4. 风险评估驱动验证策略

设备确认与验证不是“把所有能测的都测一遍”，而是把有限的工程资源投向真正影响产品质量、患者安全和数据可靠性的风险点。本章讨论如何用 FMEA、HACCP、FTA 三类风险工具驱动验证策略，并用 SIA（系统影响性评估）与 CCA（部件关键性评估）把风险结论转化为可执行的确认范围与测试深度。

一、三类工具的分工与互补

FMEA（失效模式与影响分析）是自下而上的归纳法：从部件或功能失效出发，评估严重度 S、发生度 O、可探测度 D，得到风险优先数 RPN = S × O × D，用于排序并确定控制措施。它最适合回答“哪些部件失效会带来高后果、且不易被发现”。

HACCP（危害分析与关键控制点）是面向过程的预防体系：识别生物、化学、物理危害，确定关键控制点 CCP，设定关键限值、监控方式、纠偏措施与验证程序。在生物制造中，它天然适配发酵、纯化、配液、灭菌等工艺环节，回答“在哪个点必须把危害挡住”。

FTA（故障树分析）是自上而下的演绎法：以顶事件（如“无菌灌装批次染菌”）为起点，用与门、或门逐层分解到基本事件，可做定性割集分析和定量概率估算，回答“一个严重后果可能由哪些路径组合导致”。

三者关系可概括为：FTA 从后果反推路径，FMEA 从部件正推后果，HACCP 在工艺链上设置拦截点。实践中常先用 FTA 锁定顶事件与关键路径，再用 FMEA 细化设备部件风险，最后用 HACCP 固化过程控制点。

二、SIA 与 CCA：把风险结论落到设备清单

SIA 的对象是“系统”，通常按功能单元划分，如纯化水系统、发酵罐及配套、层析系统、无菌灌装线、HVAC 洁净空调系统。评估时逐项回答：该系统是否与产品直接接触？其输出是否影响产品质量属性（CQA）？失效是否影响患者安全或数据完整性？据此分为直接影响系统、间接影响系统、无影响系统。直接影响系统必须纳入确认范围；间接影响系统通常只需做运行确认或工程验收；无影响系统仅做基本调试记录。

CCA 的对象是直接影响系统内部的“部件”，如传感器、阀门、密封件、控制模块、过滤器。评估维度包括：该部件失效是否影响产品关键质量属性、是否影响 CCP 控制、是否可被下游检测发现、是否属于唯一控制手段。关键部件需要更深的测试（如校准验证、冗余切换测试、故障注入），非关键部件可采用常规到货验收与安装检查。

一个常见的实操做法是：SIA 决定“做不做”，CCA 决定“做多深”。例如某生物反应器系统被 SIA 判为直接影响，其 pH 电极被 CCA 判为关键部件（直接参与 pH 控制且影响 CQA），则 OQ 中必须包含 pH 电极校准、响应时间、断电恢复后读数一致性测试；而罐体外保温层被判为非关键，仅做外观与安装确认。

三、确定确认范围与测试深度的量化规则

为避免“凭感觉定深度”，可建立风险等级与测试策略的映射。以下为示例规则，实际项目应结合企业质量体系调整：

测试深度还体现在抽样量上。高风险项通常要求 n≥3 批或连续监测 3 个周期；中风险可 n=1～2；低风险以文件审查为主。对于 CCP 相关设备，关键限值的验证必须覆盖最差条件，例如灭菌设备需验证冷点位置、最小装载与最大装载下的温度分布。

四、案例演练：无菌灌装线风险评估与确认策略

某生物制品企业新建一条无菌灌装线，灌装产品为单抗注射液。按以下步骤演练：

1. FTA 顶事件设定：“灌装后产品无菌检查阳性”。分解为或门下的三条路径：A. 药液灭菌不彻底；B. 灌装环境微生物超标；C. 容器密封失效。
2. FMEA 细化：对路径 B 进一步分析，识别“HVAC 高效过滤器泄漏”失效模式，S=9、O=3、D=5，RPN=135，判为高风险。
3. HACCP 设点：将“灌装区悬浮粒子与浮游菌”设为 CCP，关键限值参照 A 级区标准：≥0.5 μm 粒子 ≤3520 个/m³，浮游菌 ≤1 CFU/m³。
4. SIA 判定：HVAC 系统直接影响产品无菌属性，纳入确认范围。
5. CCA 判定：高效过滤器、压差传感器、送风机组为关键部件；风管保温层为非关键。
6. 确认策略输出：高效过滤器做完整性测试（PAO 法）与泄漏挑战；压差传感器做校准与报警联锁测试；OQ 中模拟过滤器泄漏，确认报警与联锁在 30 秒内触发；PQ 连续监测 3 个灌装批次的环境数据。

综上，FMEA、HACCP、FTA 分别从部件、过程、后果三个视角提供风险输入，SIA 与 CCA 则把风险语言翻译成设备确认的范围与深度。掌握这条“风险识别—分级—映射—测试”的链路，才能在合规与效率之间取得平衡，使确认活动真正服务于产品质量与患者安全。