3. 追溯体系的设计原则与标准框架
样本追溯体系不是“给样本贴个条码”这么简单。它要回答四个基本问题：这个样本是谁（唯一标识）、它的记录是否可信（数据完整性）、需要追到多深（可追溯性层级）、以及要满足哪些外部要求（ISO 与 GxP）。这四项共同构成追溯体系的设计骨架，缺一项，链路就会在某个环节断裂。
一、唯一标识：追溯的起点
唯一标识（Unique Identification）要求每一个样本、每一份衍生分装、每一次交接动作都能被无歧义地指向唯一对象。设计时要区分三个层次：对象标识（样本本身）、容器标识（承载样本的管、板、袋）、位置标识（冰箱、层架、抽屉、孔位）。三者组合才能唯一定位一个物理实体。
实践中常用“主码 + 副码”结构。例如主码采用 SP-20240612-B03-0017，其中 SP 表示样本类型，20240612 为采集日期，B03 为批次，0017 为流水号；副码用二维码承载，包含主码、采集时间戳、受试者/项目代号、容器规格。二维码容量有限，因此主码必须短且稳定，扩展信息放在数据库而非码内。
唯一标识的关键约束有三条：不可复用——样本销毁后其编号不得再分配给新样本；不可变——编号一旦生成，任何环节不得修改；可解析——扫码后能立即定位到数据库记录。若采用一维条码，需注意 Code 128 与 Code 39 的字符集差异；若采用 RFID，则要处理读取冲突与金属/液体环境下的衰减问题。
二、数据完整性：ALCOA+ 的落地
数据完整性（Data Integrity）在 GxP 语境下通常以 ALCOA+ 原则衡量：可归属（Attributable）、清晰可溯（Legible）、同步记录（Contemporaneous）、原始（Original）、准确（Accurate），再加上完整、一致、持久、可获得。落到样本追溯上，就是每一次交接都必须留下“谁、何时、从哪、到哪、做了什么、为什么”的记录。
最容易出问题的是“同步记录”。例如样本从 -80℃ 冰箱取出分装，操作人员往往先做完再补录，这就违反了同步性。正确做法是在分装台旁设置扫码终端，取出时扫一次、分装后扫一次、放回时再扫一次，系统自动写入时间戳。若网络中断，应使用离线缓存并记录补传时间，补传记录必须标注“离线补录”而非伪装成实时记录。
审计追踪（Audit Trail）是数据完整性的技术保障。任何对样本记录的修改都应保留旧值、新值、修改人、修改时间和修改原因。例如将样本状态从“在库”改为“已出库”，系统应记录原状态、新状态、操作账号、时间戳和关联的交接单号。审计追踪本身不可被普通用户删除或关闭。
三、可追溯性层级：追到哪一层才够
可追溯性层级决定追溯的深度和粒度。通常分为三级：一级（样本级）——能追到单个样本管；二级（批次级）——能追到同一采集批次或同一处理批；三级（项目级）——只能追到项目或研究编号。层级越高，成本越高，但召回和偏差调查的精度也越高。
设计时应根据样本用途和法规要求选择层级。临床试验关键样本通常要求一级追溯；常规生物样本库可接受二级；早期探索性研究可能只需三级。但要注意：层级不是静态的。当二级样本被用于关键试验时，必须能升级到一级，否则就需要重新采集或补充标识。
层级之间通过“父子关系”连接。例如一支采集管（父）分装成三支冻存管（子），父码与子码在数据库中建立一对多关系。当子样本出现异常时，可反向追溯到父样本的采集时间、采集人、采集条件，也可正向追溯到同一父样本的其他子样本，判断是否为系统性偏差。
四、ISO 与 GxP 相关要求
ISO 与 GxP 并非两套对立标准，而是从不同角度约束追溯体系。ISO 9001 强调过程方法和持续改进，ISO 13485 针对医疗器械，ISO 20387 专门针对生物样本库，要求样本从采集到销毁的全生命周期可追溯。GxP（GMP、GLP、GCP）则更强调数据完整性和放行控制。
以 ISO 20387 为例，它要求生物样本库建立样本可追溯性政策，明确追溯范围、标识规则、记录保存期限和偏差处理流程。GCP 则要求临床试验样本的追溯记录必须能还原到受试者知情同意和采集时间点。两者叠加时，追溯体系需要同时满足“样本库内部管理”和“临床试验监管”两套记录要求。
实际落地时，建议先做一次追溯映射：列出所有样本流转节点，标注每个节点的标识方式、记录载体、责任人和法规依据。若某节点同时受 ISO 和 GxP 约束，取更严格的要求执行。例如 ISO 可能允许电子记录，但 GxP 要求电子记录必须符合 21 CFR Part 11 的电子签名和审计追踪要求，此时应按 Part 11 执行。
五、设计时的常见冲突与取舍
四原则之间并非总是和谐。唯一标识要求短码，数据完整性要求记录丰富，可追溯性层级要求细粒度，法规要求保存期限长。冲突时按以下优先级判断：法规要求 > 数据完整性 > 可追溯性层级 > 标识简洁性。例如 GxP 要求记录保存至试验结束后若干年，即使存储成本高，也不能提前删除。
另一个常见问题是“标识漂移”。样本在多次分装、转运后，可能出现标签脱落、二维码磨损、手写补标等情况。设计时应规定：任何补标必须记录原码、新码、补标原因和操作人，且新码不得覆盖原码的数据库记录，只能建立映射关系。这样即使物理标签丢失，逻辑追溯链仍然完整。
总结来说，追溯体系的设计不是选一个条码格式，而是把唯一标识、数据完整性、可追溯性层级和 ISO/GxP 要求编织成一张逻辑网。网眼的大小由层级决定，网线的强度由数据完整性决定，而网的边界由法规决定。三者匹配，追溯才真正可用。