正常流程、审批点与异常分支

7.1 端到端正常流程

正在绘制业务流程…

步骤	稳定对象	入口	出口	失败去向
机会资格	OPP-C13-*	客户和用途事实	可服务市场与配置	补事实或退出
合同评审	CONTRACT-C13-*	报价配置与偏离	可签版本	重谈或拒绝
订单排产	ORDER-C13-*	生效合同	有效工单和齐套计划	冻结、缺料或产能方案
来料	MATERIAL-C13-*	批准供应商与采购单	合格、待判或拒收状态	NCR-C13-*
生产	DHR-C13-*	有效工单、环境、人员、设备	完工批或序列	偏差、返工、报废
检验	INSPECT-C13-*	样品、方法、有效量具	可审核结果	复验规则或量测调查
放行	RELEASE-C13-*	完整批记录和订单配置	可上市库存	返回调查或拒绝
交付验收	DELIVERY-C13-*、ACCEPT-C13-*	可上市库存和客户窗口	控制转移与服务起点	拒收、整改或退货
关账	REV-C13-*	履约与成本证据	收入成本应收现金	暂缓确认与差异调查

7.2 供应商与关键采购控制

01供应商

02来料检验

03洁净生产

04外协特殊过程与产品放行之间由受控规格和批次证据…

05关键物料变更被质量门拦截且画面无品牌长文字

供应商管理从物料风险开始，而不是从采购金额开始。一个廉价密封圈、抗原抗体、嵌入式模块、动物源材料、无菌包装或外协灭菌过程，都可能比昂贵外壳更影响安全有效。SUP-C13-* 包含法人实体、生产地点、批准物料、关键过程、质量协议、审核状态、证书、变更通知期、次级供应链和退出计划。

风险层	示例	准入	持续控制	变更门
S1 关键安全/性能	传感器、植入材料、核心试剂、无菌屏障	现场或深度审核、样件验证、质量协议	批次趋势、定期复评、应急来源	法规、设计、风险和验证联合评估
S2 重要功能	电源、泵阀、精密结构件、关键软件库	文件审核、样件与过程能力	来料与供应表现	设计和供应商质量批准
S3 一般物料	外观件、普通紧固件、非关键包装	基础资质和首件	抽样与交付表现	受控规格和采购批准
S4 服务	校准、运输、仓储、云或翻译	能力、保密、数据与责任	SLA、异常与审计	服务范围或地点变化评估

采购不得接受供应商“等效料”一句话。变更包至少包含旧新规格、原因、生效批次、受影响在途和库存、验证、注册影响、标签或软件影响、风险分析、客户通知、切换和回退。紧急缺料只能改变会议频率，不能降低结论标准。

国家药监局关于委托生产监管的公告强调，委托方需把受托过程纳入体系并将质量协议转成可执行控制，关键采购物和外协过程需要更强监督。[SRC-C13-NMPA-CONTRACT-MFG-2024] 这意味着“受托方自己有供应商”仍需在双方协议中明确批准、审核、变更、验收和偏差接口。

7.3 工单、批次、序列号与设备历史

01医疗器械批次谱系从批准物料批号经过工单

02关键工序

03检验与放行绑定到每台序列号

04再连接交付医院和投诉事件

05画面用图形呈现而非精确界面

DHR-C13-* 是实际生产事实，不是空白模板。它记录谁在何时、哪个地点、用什么设备工装和软件、消耗哪些物料批次、按哪个工艺版本、产生哪些序列号、经历何种检验偏差返工以及由谁放行。记录更正保留原值、原因、时间和责任人；系统补录要区分事件时间与录入时间。

主键关系	一对多规则	反查问题
订单→工单	可拆批，但必须保存父子关系	客户订单被哪些生产批满足
工单→物料批	多物料批可消耗，数量可守恒	某供应商批进入哪些设备
工单→序列号	每台设备唯一且配置冻结	某序列号按哪版DMR制造
序列号→检验	结果、方法、量具和人员可追溯	放行依据是否有效
序列号→交付	经销商、医院、地点和日期	受影响产品在哪里
序列号→投诉/服务	可多次事件并保留时间线	是否出现同一失效趋势

7.4 放行是三层判断

第一层生产放行确认工序完成、数量相符和现场记录完整；第二层质量放行确认检验、偏差、返工、环境、量具、标签和批记录符合；第三层上市放行由注册人或备案人授权人员确认产品满足强制性标准、产品技术要求、获准配置和市场条件。受托生产时，受托方生产放行文件是注册人上市放行的输入，不是替代。[SRC-C13-SAMR-REG53-2022]

检查域	放行问题	证据	不通过动作
订单配置	型号、附件、软件、标签、市场一致吗	ORDER-C13-*与REGCFG-C13-*比较	冻结、纠正订单或重评变更
生产记录	投料、参数、人员、设备、环境完整吗	DHR-C13-*	调查缺口，不得事后猜填
检验计量	方法、量具、样本、原始数据有效吗	INSPECT-C13-*、CAL-C13-*	影响评估和按批准方案复验
偏差返工	范围、风险、返工、复验关闭吗	NCR-C13-*、REWORK-C13-*	隔离或报废
标签UDI	实物、标签、数据库和订单一致吗	标签核对与扫描结果	阻止包装或装运
上市条件	证照、生产地址、市场和有效期适配吗	法规清单	不得上市

7.5 不合格、偏差与返工状态机

正在绘制业务流程…

复验不能无限做到合格。先判断原结果是否无效；若原结果有效，则处置不合格品，不能通过重复抽样挑出“好看的一次”。返工方案要说明适用序列、步骤、人员设备、复验、潜在副作用、标签和记录更新。让步接收必须核验法规和安全有效边界，客户同意不能合法化违反强制性要求或获准技术要求的产品。

7.6 投诉、疑似不良事件、现场行动和召回

01医院现场出现设备校准漂移后

02服务

03医学

04质量

05法规和制造团队冻结序列范围

投诉入口接受任何产品、标签、交付、服务或使用问题；随后分出商业投诉、质量投诉、疑似不良事件、网络安全事件、现场安全纠正和召回路径。这些标签可以并行，不能为了减少统计而只选一个。现行不良事件规则要求注册人、备案人建立监测制度并主动收集、报告、调查评价和控制风险，采用疑似即报原则。[SRC-C13-NMPA-AE-2018]

时间窗	必做动作	允许未知	不能等待
前30分钟	保护患者和操作者；建议停用或替代；记录原始报告	根因、完整范围	联系方式、产品和即时伤害事实
前2小时	锁定序列、批次、配置、医院和同类库存；建立战情ID	法定分类最终结论	发货冻结和证据保全
当日	医学严重度、可报告性、现场行动、监管和客户沟通评估	长期CAPA	法定时限和跨地区同步
24小时滚动	更新受影响范围、库存、现金、供应和恢复方案	最终根因	事实版本和批准人
关闭前	根因、纠正预防、有效性、报告、客户与财务全部勾稽	无	不能以“客户满意”代替系统关闭

召回数量守恒为：已生产受影响数=未放行+厂内库存+在途+经销库存+客户库存/在用+已回收+已消耗或无法回收，并对每项给责任人和证据。回收率分母必须锁定，不能在回收困难时删掉无法联系客户。

7.7 十类常见异常及恢复门

异常	冻结范围	恢复门	防复发证据
关键料缺货	订单、在制和替代料	替代获批、验证完成、追溯可用	双源或安全库存策略
量具超期或漂移	受影响检验时间窗和产品	校准恢复、历史影响评估	自动预警与替代量具
洁净或公用系统失控	暴露期间工序和物料	环境恢复、产品风险与复验	设施CAPA和趋势
软件烧录错版	所有可能序列号	版本核验、重刷与功能复验	自动配置阻错
标签混用	包装线、库存、已发货	100%核对与市场评估	线清、扫描和权限
供应商未通知变更	相关物料批与产品	影响评估、验证、注册判断	质量协议和变更监控
网络攻击或勒索	系统、接口、设备更新和数据	隔离、恢复验证、完整性确认	分区、备份、演练
客户拒收	订单序列和收入	合同事实、整改、重验	验收前置与配置确认
严重投诉趋势	型号、批次、软件和市场	风险控制、报告、现场措施	CAPA有效性与趋势复核
回款争议	客户信用暴露和新增发货	验收/质量/账单差异关闭	合同和核销主数据

7.8 过程确认的协议怎么写

过程确认协议不应先填结论再补数据。先定义目的、适用产品和设备、职责、前置资格、关键参数、最坏条件、样本、方法、接受准则、偏差、统计方法、记录和再确认触发。运行过程中方案变化必须先评估和批准；若测试失败，原始数据保留，不能删除失败批再补做一批当作原方案通过。

协议元素	有教学价值的写法	无效写法
最坏条件	低/高参数、负载、材料、人员、环境组合及理由	“选择代表性条件”
样本量	与风险、变异、检测能力和统计目的关联	“取三件，行业惯例”
接受准则	试验前批准、可测量、有来源	看到结果后定限值
偏差	对有效性、产品和结论逐项影响	“不影响”无分析
持续监控	参数、趋势、报警、抽样和升级	验证后不再观察
再确认	设备、材料、地点、参数、趋势和时间触发	固定每年做一次但不看变化

若外协执行特殊过程，企业仍需掌握产品、装载、参数、接受准则和放行接口。外协报告中的批号必须映射本方产品批；运输和等待时间也可能影响过程。供应商证书、过程确认和每批证明是不同层级证据，不能互相替代。

7.9 洁净、环境与线清的日常控制

洁净区不是“进门穿衣”。人员、物流、清洁、压差、温湿度、微生物或颗粒监测、维护施工、虫害、废物、停机和恢复都可能改变产品风险。具体分级和限值取决于工艺与产品，本章不提供统一数字。

每班线清用 LINECLEAR-C13-* 确认上一产品的物料、标签、文件、残留和废弃物已清除；当前工单的物料、工装、软件和标签已核对；异常物品有状态；计数差异为零或已调查。标签与印刷材料采用领用—使用—退回—销毁守恒，差一张也不能用“可能掉了”关闭。

设施报警后的恢复门分三层：设施参数恢复；暴露期间产品影响结论；恢复后的监测与首批增强确认。只看到仪表恢复就继续生产，会漏掉失控期间已暴露的在制品。ROLE-C13-12 对设施安全A，ROLE-C13-03 对产品质量处置A，两者不能合成“共同A”。

7.10 服务维修与制造反馈

现场维修要保持序列号、原配置、故障、拆换件、软件、校准、功能检查、清洁、客户确认和数据处置。换件既是服务事件，也是潜在质量信号和备件库存移动。返厂维修品进入隔离，维修人员不能从报废机随意拆件用于另一客户。

服务结果	制造/设计反馈	财务反馈	上市后反馈
无故障发现	检查测试覆盖与使用条件	是否计费按合同	仍保留投诉，不删除
同部件重复失效	供应批、设计裕量、工艺	备件与质保成本趋势	信号检测和CAPA
软件恢复	版本、日志、更新流程	远程支持成本	网络安全或使用错误评估
客户环境问题	安装条件、培训、接口	责任与收费边界	是否需改说明书/可用性
误报后患者受影响	报警设计与量测	现场行动成本	医学严重度和报告判断

7.11 停线、恢复和追赶计划

停线后最大的二次风险是为追回计划而同时加班、换班、临时换料、缩短等待和增加返工。恢复计划把“安全恢复”和“产量追赶”分成两道门。第一道由设施、工艺、质量确认根因控制、产品范围和首批增强检查；第二道由计划、供应、服务和财务比较交期、加班、外协、客户分配和现金。

恢复问题	事实	决策
设备能否启动	维修、校准、试运行与报警	ROLE-C13-08作工艺设备结论
暴露产品怎么办	时间窗、工序、环境、物料和检验	ROLE-C13-03作产品处置结论
首批如何增强	样本、参数、旁站、放行层级	条件写入临时控制计划
如何追回交付	瓶颈小时、人员资格、关键料	不允许跳验证或合批遮蔽
客户如何沟通	事实、影响、替代、下一更新时间	不承诺未经评审的新日期
现金如何承受	加班、空运、赔偿、回款推迟	更新十三周压力情景

恢复授权设有效期和批次数，达到条件后要么转永久变更，要么撤销。临时控制若长期存在，会形成一套没有注册、验证和培训支撑的影子工艺。追赶结束后复盘计划精度、缓存、维护和应急供应，而不只表扬团队加班。

7.12 正常与异常订单的并行资源冲突

异常发生时，调查、返工、客户沟通和替换会占用与正常订单相同的工程师、校准台、备件和现金。计划表必须显式建“安全事件容量”，不能假设额外工作免费发生。若优先异常，正常单延期要重新承诺；若继续正常单，必须证明不会扩大风险或使用同一可疑资源。

典型排序为：人员和患者安全、法规时钟、受影响范围冻结、证据易失任务、必要替代支持、正常订单关键路径、效率优化。每次排序记录谁作A、有效到何时、何种新事实触发重排。收入最大订单并不自动优先于安全事件。