1. LIMS权限审计与电子签名工程导论
在制药、生物制品、医疗器械与临床检测等受监管行业中，实验室信息管理系统（LIMS）早已不只是“记录数据的软件”。它同时承担样品流转、检验记录、结果审核、报告签发与数据归档等职责，因此一旦系统内的数据可能影响产品质量或患者安全，就必须回答三个问题：谁有权做什么、谁实际做了什么、记录能否被信任。本课程围绕这三个问题展开，目标是把法规要求转化为可设计、可配置、可验证、可审计的工程能力。
课程目标与能力地图
学完本课程，你应当能够独立完成四类工作：第一，依据 FDA 21 CFR Part 11、EU GMP Annex 11 与 GMP/GLP 要求，梳理某套 LIMS 的合规需求清单；第二，设计基于角色的权限模型，并处理职责分离、临时授权与离职回收；第三，配置并验证审计追踪，使其满足“谁、何时、对什么、做了什么、为什么”的可追溯要求；第四，设计电子签名流程，使签名与记录内容绑定、可显示打印、不可否认。课程最终交付的是一套可落地的工程框架，而不是法规条文的复述。
法规背景：三条主线
FDA 21 CFR Part 11 关注电子记录与电子签名的可信度。其核心要求包括：系统需具备验证能力；能生成准确完整的副本供检查；记录与签名受权限保护；审计追踪需记录创建、修改、删除操作且不可被普通用户关闭；电子签名须包含签署人姓名、日期时间、签署含义，并与记录绑定。它并不要求“必须用某种技术”，而是要求你能证明电子记录与手写签名等效。
EU GMP Annex 11 更强调计算机化系统的生命周期与风险管理。它要求系统经过验证、数据完整、权限受控、审计追踪可追溯、变更受控、业务连续性有保障。与 Part 11 相比，Annex 11 更明确地把“数据完整性”放在质量体系内，要求企业建立数据治理策略，而不仅是买一套软件。
GMP/GLP 则提供数据完整性的通用原则。业内常引用 ALCOA+：可归属（Attributable）、清晰（Legible）、同步（Contemporaneous）、原始（Original）、准确（Accurate），再加上完整、一致、持久、可获取。权限、审计追踪与电子签名，本质上都是为 ALCOA+ 提供技术证据。
核心术语：四个必须分清的概念
权限是“允许做什么”，通常由角色、岗位、项目或样品类型决定。权限设计的关键不是“给得越多越方便”，而是最小必要与职责分离。例如检验员可录入结果但不能放行，QA 可审核但不能修改原始数据，系统管理员可建账号但不应拥有业务数据修改权。
审计追踪是“实际做了什么”的连续记录。它应独立于业务操作，记录操作者、时间戳、对象、旧值、新值、原因，并且普通用户无法编辑或删除。审计追踪不是日志的堆砌，而是可检索、可导出、可审阅的证据链。
电子签名是“对记录内容负责”的法律行为。它通常要求再次身份验证，签名后记录应锁定或产生新版本，签名信息需随记录显示与打印。电子签名与审计追踪的区别在于：审计追踪记录操作，电子签名表达意图与责任。
数据完整性是上述机制共同保障的结果。它贯穿数据生命周期：创建、处理、审核、报告、归档、销毁。任何环节的权限失控、审计缺失或签名可否认，都会破坏数据完整性。
整体工程框架：从法规到证据链
把上述要求落到工程上，可以形成一条清晰的映射链：法规要求 → 系统控制 → 操作证据 → 可审计结果。具体来说，权限模型回答“能做什么”，审计追踪回答“做了什么”，电子签名回答“谁负责”，而数据生命周期管理确保这些证据在创建、审核、报告、归档各阶段都保持完整。四者不是并列功能，而是相互支撑的证据链。
以一次典型的检验放行为例：检验员登录后录入结果，系统依据其角色仅开放“录入/保存”，不开放“批准”；保存动作触发审计追踪，记录操作者、时间、样品号、修改前后值；复核人审核时若修改数据，必须填写原因，系统再次写入审计追踪；最终 QA 放行时执行电子签名，系统要求重新输入密码或使用双因素认证，签名信息与报告版本绑定并显示在打印件上。整个过程结束后，审计追踪应能还原出完整时间线，任何一步缺失都意味着数据完整性存在缺口。