哪些软件功能有助于实现审计追踪、用户管理和电子批次记录？
软件能够有效支持审计追踪、用户管理和电子批次记录，但它并不会自动带来GMP、FDA或21 CFR Part 11意义上的合规性。真正起决定作用的是基于风险的系统设计、经过验证的功能、明确规范的工作流程、经过培训的用户，以及对实际生成数据的定期审查。
审计追踪是一种安全的、由计算机自动生成并带有时间戳的数据记录，借助它可以重建某项电子记录的产生、修改或删除过程。它应使人能够追溯谁在何时、以及在必要时因何原因作出了变更。因此，重要的功能包括：自动记录关键数据的更改、明确的用户归属、时间戳、新旧数值的显示，以及对特定关键数据变更原因的说明。FDA将审计追踪视为相应记录的一部分，并建议在数据最终放行前，将关键数据变更的审计追踪与该记录一并审查。
审计追踪并不一定要以完全相同的详尽程度，记录每一项技术上可能发生的用户操作。其覆盖范围应依据数据关键性、患者安全、产品质量和篡改风险来确定。通常具有关键性的是对配方、目标值、批次数据、检验结果、用户权限、放行和报警设置的更改。一份内容极其庞大却难以有效审查的审计追踪，可能反而使数据审查变得更加困难，而非更容易。因此，过滤、检索和审查功能十分重要，借助这些功能，质量保证部门和相关业务部门才能有针对性地评估相关变更、异常和偏差。
变更原因说明，常称为Reason for Change，在涉及关键变更时可能是有意义或必要的。软件应将变更原因与相应变更相关联，并在审计追踪中永久保存。仅允许任意自由文本是不够的，更合理的做法是采用结构化类别、必填字段，必要时还应设置附加的放行环节，以确保变更具有可追溯性、可评估性和可分析性。
"防篡改"这一表述不应等同于某种特定技术（如哈希函数）。基于哈希的完整性校验有助于使篡改行为变得可识别，但并不能替代安全的系统架构。真正起决定作用的是访问控制、职责分离的管理员角色、受控变更、有保障的备份、日志记录、合适的数据保存、定期审查以及可追溯的数据恢复机制的组合。一次写入多次读取（Write-Once-Read-Many）存储——即数据一旦写入便不可再更改——在某些归档方案中可能有其意义，但并非审计追踪的普遍前提条件。
统一的时间基准十分重要，这样才能正确判断来自控制系统、实验室设备、制造执行系统及其他应用系统的事件在时间顺序上的先后关系。制造执行系统（简称MES）是指用于日常生产控制、数据采集和批次记录的软件。时间同步可通过网络时间协议（简称NTP）实现，但必须对其进行持续监控；一次性的技术设置并不足够，若各系统时钟出现偏差，或系统在某些时段未保持连接，问题依然可能出现。
用户管理应实现明确的用户账户、基于角色的权限以及最小权限原则。基于角色的访问控制常缩写为RBAC，是指将权限分配给操作员、维护人员、质量保证或管理员等角色，而非为每个用户单独授予大量权限。最小权限原则是指一个人只获得完成其任务所需的权限。共享用户账户不适用于GMP相关活动，因为它们无法实现操作行为的明确归属。
与集中式身份服务对接，例如Active Directory、轻量级目录访问协议（简称LDAP）或单点登录（简称SSO），可以简化用户管理工作。单点登录使用户能够以一个集中管理的身份登录多个应用系统。尽管如此，这种集成不应导致GMP相关应用中的用户权限被不受控地继承，或未能及时被撤销。运营方需要建立相应流程，用于用户账户的建立、变更、定期审查及停用。
多因素认证（简称MFA）至少结合两种相互独立的验证方式，例如密码与基于时间的动态口令，或智能卡。它在远程访问、管理性操作和关键放行环节中尤为有意义。其实施方式必须与运营实际相匹配：在车间现场技术上过于繁琐的验证方式，可能导致人们刻意规避。因此，安全的会话超时限制、多次尝试失败后的锁定，以及受控的账户找回机制同样重要。
电子签名必须明确对应到某个人，并记录签名的时间点及其含义，例如检验、批准或放行。它们不应基于一个长期保持打开状态的会话，或未经重新用户确认的共享终端。在关键步骤中，重新身份验证或双人复核原则可能是有意义的。双人复核原则是指创建和放行由两名不同的授权人员分别完成。软件层面用于职责分离（英文Segregation of Duties）的功能，可以防止不当的自我放行，但仍须辅以相应的角色、流程和组织层面的责任划分。
电子批次记录常被称为Electronic Batch Record，简称EBR。它们可以用有引导性的数字化工作流程，替代或补充纸质的生产和检验文件。一份EBR应将当时有效的生产说明、配方、批次编号、原料批次、目标值和实际值、工艺阶段、操作人员操作、质量检验、偏差、放行及电子签名，汇总在一份可审查的批次历史记录中。
参照ISA-88构建的结构，有助于清晰地呈现批次工艺。ISA-88是批次控制方面的标准，规定了配方、工艺阶段、操作和设备模块等内容。该系统可以防止在既定前提条件尚未满足的情况下启动后续步骤。然而，这种联锁逻辑只应在工艺上确有必要的地方使用。一套僵化配置的工作流程，在遇到合理的例外情况时，可能导致人们绕过流程或产生不明确的旁路操作。因此，对于偏差情况，必须设置受控的例外处理流程，包括原因说明、评估，必要时的质量保证放行以及审计追踪。
从控制系统、秤、中控系统、实验室信息管理系统和分析仪器自动获取数据，可以减少人工传输错误，但这并不能替代对接口本身的检验。每一项对接都必须明确规定：哪个数值是主导数据源、时间戳如何同步、传输错误如何被识别，以及如何处理数据缺口或修正。OPC统一架构（简称OPC UA）、消息队列遥测传输（简称MQTT）以及基于Web的接口可以实现数据交换，但它们本身既不能保证数据完整性，也不能保证批次记录的完整性。
针对限值的实时校验可以及早发现偏差，但必须清楚区分警告、报警、工艺锁定和已记录的偏差。并非每一次超出内部警戒值都自动构成批次偏差，软件层面的判断也不能取代专业评估。所谓的例外审查（Review by Exception）可以提高批次审查效率，其做法是将关注点集中于偏差、缺失步骤、关键报警信息以及相关的审计追踪条目。只有当数据采集、异常识别、配置和审查规则本身针对预期用途被可靠建立并经过验证时，这种做法才是可取的。
对主批次记录（简称MBR）、配方和生产说明进行版本管理是不可或缺的。主批次记录是经批准的、用于生产和记录某一批次的主模板。软件应以可追溯的方式记录新旧版本、变更原因、评估结果、放行情况及生效时间点。正在进行中或已完成的批次，必须始终明确与当时有效的版本相关联。
对于数据完整性，通常采用ALCOA+模型。ALCOA代表可归属（attributable）、可读（legible）、同步记录（contemporaneous）、原始（original）和准确（accurate）：数据必须可归属、可读、及时记录、以原始形式或可靠副本形式存在，并且准确无误。"+"号在实践中通常代表完整、一致、持久和可获取。FDA将数据完整性描述为尤其涵盖完整性、一致性和准确性，并要求数据须可归属、可读、及时记录、以原始形式或可靠副本形式存在且准确无误。
长期归档所需的不仅仅是PDF导出文件。虽然诸如PDF/A等不可更改的格式有助于生成可读的报告，但它们并不能替代对所需电子原始数据、元数据、审计追踪及检索功能的存储。归档和迁移方案必须确保数据在规定的保存期限内保持可读、可用、完整且可核查。具体的保存期限取决于当时适用的产品和行业法规，无法从Part 11、GMP或所使用的软件本身统一推导得出。
amixon®与倍福的工业4.0集成
amixon®可依据运营方的用户需求说明书（User Requirement Specification，简称URS），按项目开展混合设备的自动化工作。URS是经文档记录的需求规范，定义了配方管理、工艺数据、接口、用户角色、文档范围及法规要求等内容。据amixon®介绍，公司在自动化方面与倍福（Beckhoff）工业自动化保持成功合作。这一合作可实现PLC、可视化及数据功能与具体混合任务、以及运营方现有生产和IT环境的适配。
PLC（可编程逻辑控制器）可执行混合程序和配方。这些配方中可存储例如混合时间、转速、加料顺序、温度曲线、填充率及其他工艺参数。配方控制由此支持已获批流程的可重复执行，但它并不会自动保证产品质量或法规合规性。配方边界、混合均匀度、原料波动、人工干预及放行策略，须针对具体产品和预定工艺分别加以确定和评估。
对于审计追踪、用户管理和电子批次记录而言，关键在于这些功能不仅在技术上存在，还须在完整的系统设计中被正确运用。倍福提供TwinCAT 3 HMI审计追踪扩展模块，可将可视化界面上的操作和系统事件按时间顺序记录到数据库中。该系统支持电子签名、针对高权限操作的重新身份验证，以及将审计追踪数据导出为PDF、JavaScript对象表示法（简称JSON）、超文本标记语言（简称HTML）或逗号分隔值（简称CSV）等格式。倍福将该扩展模块描述为可作为依据FDA 21 CFR Part 11、良好生产规范（简称GMP）和GAMP开发应用的基础。然而，设备实际的合规性，最终取决于其按项目进行的具体配置、验证、运营组织以及对审计追踪数据的定期审查。
审计追踪是一种安全的、由计算机自动生成并带有时间戳的数据记录，能够追溯谁在何时进行了何种相关变更。根据风险不同，它应记录例如对配方、目标值、批次数据、用户权限、放行、关键参数或报警限值的变更。对于重要变更，系统应记录新旧数值、用户身份、时间点，必要时还应记录变更原因。然而，只有当审计追踪的条目由具备相应资质的人员定期、基于风险地加以审查时，它才能真正发挥效用。大量未加结构化的日志并不能替代有效的数据审查。
用户管理应实现明确的个人用户账户以及基于角色的权限方案。基于角色的访问控制常被称为Role-Based Access Control，简称RBAC，即将权限分配给操作员、维护人员、配方负责人、质量保证或管理员等角色。最小权限原则是指每个人只获得完成其任务所需的权限。共享用户账户不适用于GMP相关操作，因为它们无法实现操作行为的明确归属。
关键操作可能需要重新用户确认或电子签名，例如配方放行、关键参数变更、偏差处理或批次放行。在敏感功能上，双人复核原则可能是有意义的，它将创建和放行分配给两名不同的授权人员。是否以及需要哪些措施，须在运营方的风险方案中加以确定。所使用的软件可在技术上支持这些流程，但不能替代专业判断或法规责任。
电子批次记录（也称为Electronic Batch Record，简称EBR）可将配方、原料标识、目标值和实际值、工艺阶段、人工干预、质量数据、偏差、审计追踪条目及放行信息，整合到与批次相关的记录中。amixon®可通过项目特定的控制系统、秤、计量器及传感技术的对接，以及与上层系统的接口，提供所需的工艺数据。一份完整的EBR还需要来自原料仓库、称重、实验室、质量保证、包装和物流的数据。因此，它通常是更广泛的MES或质量管理架构的一部分，而非仅仅是混合设备的一项功能。
与制造执行系统（简称MES）或企业资源计划系统（简称ERP系统）的集成，可依据项目需要进行规划。MES支持日常生产控制、批次记录和生产数据采集。ERP系统支持物料管理、订单管理、计划和物流。条码扫描器可识别原料、包装容器、配方版本和批次。要实现可靠的批次追溯，必须明确定义并测试数据模型、时间戳、主导数据源、配方版本、角色和权限，以及通信中断时的处理方式。
对于受监管的生产环境，amixon®可提供与资质确认相关的文档，并协助进行设计确认（DQ）、安装确认（IQ）和运行确认（OQ）。DQ用于记录设备理念满足既定要求；IQ确认安装已正确完成；OQ证明设备在预定运行范围内正常运行。amixon®介绍了其对DQ、IQ和OQ的支持，以及文档和执行方式对EU-GMP、FDA 21 CFR Part 11的遵循。集成过程遵循运营方的验证方案，从URS阶段延续到调试阶段。
21 CFR Part 11的要求并不会自动适用于每一项数字化机器功能。只有当电子记录或电子签名依据其他适用的FDA法规被创建、维护、保存、检索或传输时，这些要求才具有相关性。因此，运营方必须自行确定哪些数据与GMP或FDA相关、哪些功能需要经过验证，以及如何在整个保存期限内保障数据完整性。审计追踪模块或电子签名功能同样不能替代系统验证。
除数据和软件架构外，混合工艺本身及设备的设计仍是形成可靠批次数据的重要基础。在amixon®技术中心，可使用原始产品研究混合时间、填充率、能量输入、产品保护、卸料和可清洁性等内容。amixon®在德国、美国、中国、日本、印度、泰国和韩国运营技术中心。技术中心试验有助于确定关键工艺参数和合理的数据采集点，但既不能替代对完整生产线的性能评估，也不能替代运营方的资质确认或验证工作。
帕德博恩的集中化生产以及有据可查的组件和质量文档，有助于支持技术可追溯性、维护、备件供应及后续变更管理。然而，对于审计追踪、用户管理和电子批次记录而言，起决定性作用的是数字化系统架构：明确的职责归属、受控的软件版本、有保障的数据接口、个人化账户、基于风险的审计追踪审查，以及长期可获取的数据。