12 医药制药MES：GMP审计追踪、批记录、放行、洁净管控
专栏：制造业各行业MES业务流程、底层逻辑与系统适配性 ｜ 第12篇
读者：MES实施顾问、CIM/EAP工程师、工艺工程师、生产负责人
一、行业业务原点
接单模式：以按库存生产为主。普药、OTC、集采品种靠预测备货，一批做出来进成品库，等订单发货。委托生产（代工）和医院制剂是按单生产，订单来了才排批。原料药有一半是按单，客户指定质量标准和审计要求。
产品特征：批量以"万"计。片剂一批 50 万到 200 万片，胶囊类似，冻干粉针一批几千到几万支，生物药一批几百升到几千升。单价从几毛到几万不等。批号是法规要求的，规则一旦定了不能随便改，因为批号要能追溯到放行记录、稳定性考察、不良反应报告。
换线频率：低，但极重。一个品种连续做几批到几周，换品种要清场、清洁、必要时清洁验证，4 到 24 小时。共线生产的还要算残留限度，做擦拭取样。换线不是"快不快"的问题，是"干不干净、有没有证据"的问题。
合规约束：这是全专栏里最重的一层。药品生产质量管理规范、数据完整性要求、电子签名要求、计算机化系统验证、批记录审核、质量受权人放行。合规层压在业务层之上，不是并列关系。业务可以为了合规让步，反过来不行。
主范式：Batch 批次配方。发酵、合成、配制、灌装、冻干，全是按批走、按批判、按批放。
次要范式：重复流水线。包装段（铝塑、装盒、赋码、装箱）是标准的流水线，节拍固定、按盒计数。这一段和食品的灌装段很像，但多了赋码关联这一层。
判断依据：生产段看批，包装段看盒，两段之间靠批号加盒码关联。主范式定 Batch，没有争议。
二、标准业务流转链路
第一段 ERP：销售订单/预测 → 生产订单
单据：销售订单、要货计划、生产订单、物料需求计划。
载体：物料号加批量加需求日期。
最容易断的地方：ERP 的"批量"和 MES 的"实际收率"不一致。ERP 按理论收率算物料需求，MES 按实际投料算消耗，两头差 2% 到 5%，月底物料平衡对不上，财务和仓库互相扯。药品的物料平衡是必查项，差一点都要写说明。
第二段 PPC/APS：主计划 → 批排程
单据：主生产计划、批排产表、清场计划、稳定性考察取样计划。
载体：批号、设备、洁净区房间号。
最容易断的地方：清场时间和共线残留限度没进模型。另一个断点是稳定性考察的留样量——每批要留够全检量加稳定性考察量，排产时如果没扣这部分，做到最后一批发现料不够，整批降级。
第三段 MES：工单 → 批记录 → 偏差
单据：工单、批生产记录（BMR）、批包装记录（BPR）、称量单、清场记录、偏差单、CAPA 单、变更控制单。
载体：批号加批记录实例号。
最容易断的地方：工单和批记录不同步。工单是"计划要做什么"，批记录是"实际做了什么"，很多系统里这是两套东西，工单完成了批记录还没写完，或者批记录写完了工单还挂着。两者必须是同一张表的两个面。
第四段 EAP/设备层：参数 → 批记录
单据：设备参数曲线、灭菌记录、冻干曲线、环境监测数据。
载体：批号加设备号加时间段。
最容易断的地方：设备数据没进批记录，靠人抄。抄错一个数字，整批报废；抄的时候"顺手"把不合格的值写成合格，就是数据完整性问题，比质量事故更严重。这一段必须是自动采集加时间戳，人工录入只允许在非关键参数上，且要双人复核。
第五段 检验/入库：取样 → 检验 → 放行
单据：取样单、检验记录、COA、放行单、拒绝单。
载体：批号加取样点加样品编号。
最容易断的地方：待检状态没有硬隔离。系统里设了"待检"，物理上货在待检区，但仓库为了腾地方把货挪到合格区，发货员按位置拣货。药监检查时看状态是对的，实际已经错了。
第六段 出货：放行 → 赋码 → 发运
单据：放行单、出库单、序列化赋码文件、发运记录。
载体：批号加包装序列号（一盒一码）。
最容易断的地方：批状态在质量部门手里，MES 里还是"合格"。放行是一个独立动作，不能靠"工单完成"来近似。批状态机如果没有独立的放行节点，整个质量体系就是虚的。
三、管控优先级（严格排序）
第一位：数据完整性。
可归属、清晰、同步、原始、准确，这五条加在一起，是这套体系的生死线。错了会出什么事：检查员抽查一个批次的审计追踪，发现某条称量记录在生成后被修改过，修改人显示"admin"，没有原因，没有复核。这一条会被认定为数据不可靠，然后顺着查：这个系统上线以来所有批次的数据可不可靠？这个产品线其他系统呢？最坏的结果是产品线停产整改、已上市批次召回、生产许可受影响。它比一次质量事故更狠，因为它否定的是"所有数据的可信度"，而你没法自证。
具体到系统行为，三条硬要求：审计追踪不可关闭、不可编辑、不可删除；任何数据修改都新增一条记录而不是覆盖原值；时间戳来自系统而不是客户端。
第二位：批记录与工单的绑定完整性。
批记录是执法证据。一批一份，从投料到入库，每个动作有执行人、复核人、时间、结果。批记录和工单必须一一对应，不能一张工单对多份批记录，也不能一份批记录跨两张工单。这一条错了，放行就没有依据，批次只能降级或报废。
第三位：批次状态机与放行控制。
隔离、待检、合格、放行、拒绝，五个状态，转换要有权限、有签名、有理由。放行必须由质量部门独立完成，生产角色不能自己把状态改成"放行"。这一条是防止"不合格品流出"的最后一道闸。
第四位是洁净区环境监测与人员物料流向，第五位是序列化与防伪追溯。
四、MES适配特征
底层引擎类型
以批次配方加合规留痕为核心的引擎。它和食品的批次引擎同源，但多了两层：一层是事件溯源——所有操作落成只追加的事件，不覆盖；一层是验证状态——每个功能、每个接口、每份报告都有"已验证/未验证"的标记，未验证的功能不允许在生产环境启用。
用普通批次引擎做制药，功能上够，合规上不够。差别不在功能清单，在数据模型允不允许"改"。
核心模块重心（三个必须做深的模块）
- 电子批记录（BMR/BPR）。模板定义、实例执行、在线复核、电子签名、批记录审核。要能支持"边做边记"，不是"做完再录"。
- 审计追踪与电子签名。全表级审计，字段级留痕，签名与记录绑定，签名不可转移。这一块的深度决定项目能不能过验证。
- 批次放行与状态机。状态转换规则、权限表、放行前检查清单（检验完成、偏差关闭、批记录审核完成、环境监测合格）。
EAP采集重点
采什么：反应釜温度压力搅拌转速、灭菌柜的温度压力F0值、冻干机的搁板温度与真空度、压片机的压力与片重、包衣增重、洁净区的悬浮粒子与压差温湿度、纯化水与注射用水的电导率TOC。
多快：灭菌柜和冻干机 30 秒一个点，全程不能断；冻干曲线要能还原整个升华过程；洁净区粒子每分钟一个点，压差连续监测；压片机按片采，每片一条压力记录，剔除的片要能定位到序号。
采不到怎么办：关键设备（灭菌柜、冻干机、层流罩）采不到数据，这批就不允许放行——这不是选项，是红线。非关键设备可以人工录入，但要有双人复核、要有理由字段、要进审计追踪。不允许"先生产后补录"，补录本身在审计追踪里就是一条可疑记录。
追溯单元
批号为主，包装段加包装序列号（一盒一码，盒箱托三层关联）。原料端挂供应商批号与检验报告，成品端挂经销商与终端。生物药还要挂捐赠血浆或细胞株来源。
排程约束
约束清单：清场与清洁验证时间、共线残留限度、洁净区级别与房间占用、设备验证状态（未验证设备不能排）、人员资质与更衣等级、稳定性留样量、检验周期（微生物 5 到 14 天）、包装线赋码段停机窗口。
注意"设备验证状态"这一条：设备做完再验证之前，不能用于商业批生产。排产系统如果不认这个字段，会排出"用未验证设备生产"的计划，这一条在检查时是严重缺陷。
| 子项 | 医药制药的答案 | 判定要点 |
|---|---|---|
| 底层引擎 | 批次配方加合规留痕，事件只追加 | 模型允不允许"改"，比功能多少更重要 |
| 核心模块 | 电子批记录、审计追踪与签名、放行状态机 | 三块做不深，验证过不了 |
| EAP 采集 | 关键设备曲线 30 秒级，粒子压差连续 | 关键设备采不到，批次不许放行 |
| 追溯单元 | 批号加包装序列号 | 盒箱托三层关联，能追到终端 |
| 排程约束 | 清场、共线限度、洁净级别、设备验证状态 | 设备验证状态必须作为硬约束 |
五、✅ 这套方案的优势
批次加事件溯源的引擎，天生擅长回答"这件事是谁在什么时候做的、有没有被改过"。
原因在数据模型。所有业务动作都落成事件记录，事件表只允许插入，不允许更新和删除。修改一个值，实际是插入一条"修改事件"，原值留在原地。这个结构下，审计追踪不是额外开发的功能，是数据库的写入规则。任何一条数据的历史，都是这张表里的一串事件，按时间排开就是完整的故事。
对比普通业务系统：它的表允许更新，改了就改了，要留痕只能加触发器或者加日志表，加完之后性能下降、覆盖不全、还能被 DBA 关掉。制药要的"不可否认"，靠加功能是加不出来的，必须建表时就长成这样。
第二个天生优势是批记录的可复现。批记录实例里存的是"当时的配方版本号加当时的参数值加当时的签名"，不是"当前配方"。三年后回头看这批，看到的是三年前的样子，不会因为配方改版而变形。这一点在食品里也重要，在药品里是强制要求。
第三个优势是状态机的强制力。批次状态转换在模型里是一张转换表，每个转换有前置条件、有权限、有签名。想从"待检"直接跳到"放行"，转换表里没有这条边，系统直接拒绝。这种拒绝是模型级的，不是界面级的，改前端绕不过去。
第四个优势是验证的可切割。功能被拆成可独立验证的单元，每个单元有验证状态。上新功能时只验证新单元，不影响已验部分。这个结构让系统能持续演进，而不是"上线即冻结"。
六、❌ 天然短板与局限
崩法一：验证成本吃掉变更能力。 场景：系统上线做了 6 个月验证，IQ、OQ、PQ 全套文档堆了一柜子。上线后业务要加一个报表字段，评估下来要写变更控制、要做影响评估、要重做部分 OQ，周期 3 个月。业务等不了，最后用 Excel 补，Excel 又不在验证范围内。三年后系统里一半的活是 Excel 在干。这是这类项目最常见的死法，不是技术问题，是节奏问题。
崩法二：批记录审核还是靠人翻。 场景：一份批记录 80 到 200 页，一个批次审核 4 到 8 小时，一个 QA 一天审两份。系统能电子签名，但不能自动比对"这次的实际值是否在历史分布内"。审核变成盖章，签了但不看。这类系统的短板在于只有记录没有分析，记录越完整，人越看不完。
崩法三：偏差处理停在记录层。 场景：一批含量偏低 1.5%，走偏差流程，原因写"原料波动"，CAPA 写"加强供应商管理"，关闭。三个月后同样的问题再来一次，还是同样的原因、同样的 CAPA。系统记下了偏差，但没有把偏差和批次参数关联起来做趋势，所以永远发现不了"是某台设备的搅拌转速在漂"。
崩法四：共线清场验证的取样点靠经验。 场景：同一台压片机做两个品种，清洁后擦拭取样 5 个点，点位的选择靠工艺员经验。换了品种，点位没更新，最脏的地方没取到。系统里记录"清洁验证合格"，实际残留超标。这类问题的根子在于模型里没有"最差条件"这个概念，只有"合格/不合格"。
崩法五：多工厂批号规则冲突。 场景：集团三个生产基地，各自批号规则不同，集团做年度质量回顾时要做批号映射。映射表是人工维护的，一年就乱了。批号在制药里是主键级别的存在，主键不统一，集团级追溯做不了。
崩法六：序列化数据量压垮系统。 场景：一条包装线一小时 3 万盒，每盒一个码，还要做盒箱托三级关联。一天 20 万条关联记录，一年 7000 万条。系统按普通业务表设计，索引没做分区，半年后赋码查询要等 30 秒，产线停线等数据。这一段经常被低估，因为它在整个项目里只占 10% 的功能量。
七、APC/FDC适用场景
结论：生产段不适合闭环 APC，只适合离线 FDC 与回顾性分析；包装段的设备级闭环归设备，不归 MES。
依据三条。
第一，工艺参数是注册工艺。变更一个参数，要走变更控制，视变更等级做年报、备案或补充申请，周期 6 到 24 个月。APC 的核心动作是"自动调参"，而这个动作在制药里本身就是一次未申报的变更。技术能做，法规不许。
第二，批次数太少。一个品种一年做 20 到 50 批，建模需要的样本量根本不够。R2R 至少要有几十批稳定数据才能建补偿模型，建完还要验证模型本身——模型验证又是一套 CSV 文档。投入产出完全不成立。
第三，风险不对称。调参调错，不是"这一批差一点"，是"这一批要报废加偏差调查加可能的召回"。自动控制的风险敞口远大于收益。
能做的离线部分：冻干曲线的批间比对与工艺优化（离线仿真，人工确认后走变更）、层析工艺的参数趋势分析（生物药）、压片片重的统计过程控制、环境监测数据的趋势预警。这些是"看趋势、提建议、人决策"。
包装段的闭环（装量、片重、赋码校验）确实存在，但那是设备自带的控制回路，属于设备确认范围，不通过 MES 下发。实施时要把界线划清，否则验证范围会无限扩大。
八、选型红线
绝对不能选无审计追踪、无验证文档、允许后台改数据的 MES。
具体到模型能力，看五条：
- 审计追踪可以关闭，或者关闭操作不需要理由和双人授权。这一条是硬红线，没有例外。
- 数据库层面允许 UPDATE 和 DELETE 业务表。表现是"管理员可以在后台修数据"。这类系统做不了制药，做食品都勉强。
- 电子签名只是"用户名加密码确认"，没有和记录内容绑定。签名可以被复制到另一条记录上，等于没签。
- 没有验证文档包（URS、风险评估、IQ/OQ/PQ 方案与报告、追溯表）。不是"能不能补"，是"供应商有没有这套方法论"。没有方法论的供应商，做不出可验证的系统。
- 批次状态可以被生产角色改成"放行"。权限表里如果没有"放行只能质量角色执行"这一条，整个质量体系是纸糊的。
还有一类要避开：拿通用离散制造 MES 改的制药方案。表现是有工单、有报工、有追溯，但没有批记录实体、没有偏差实体、没有状态机。这类系统上线快、演示好看，验证阶段一定卡住，因为它的数据模型里没有"证据"这个东西。
九、横向对比小结
医药 GMP 和食品 GMP 用的是同一族批次引擎，差在证据的密度和验证的义务：食品要证明"关键点受控"，医药要证明"每个动作可归属、每份数据不可改、系统本身被验证过"。这一条差别直接决定了预算量级——同一个批次引擎，制药的实施成本通常是食品的三到五倍，多出来的部分几乎全在验证和审计追踪上。食品那一篇在本专栏第 11 篇，做制药的人回头看那一篇，会发现自己厂里很多"合规动作"其实还停在食品的水平。
十、文末引导
配套Excel工艺计算工具、良率SPC模板在主页资源栏目，适合CIM、良率工程师日常使用。
