系统、数据与权限

药品数字化的目标不是无纸，而是正确的人在正确时间使用正确版本，动作可归属、数据可追溯、系统故障可恢复。电子签名不能只是图片，审计追踪不能只在检查前导出，接口不能把失败事件静默丢弃。系统验证按预期用途和风险开展，供应商证书不替代企业对自身配置、流程和数据的责任。

01药品研发注册

02质量

03实验室

04制造

05仓储

10.1 系统边界与事件总线

正在绘制业务流程…

接口事件最少包含事件ID、对象ID、版本、源系统、事件时间、录入时间、状态、单位、数量、操作者/系统、校验值和重放标志。接收方按事件ID与对象版本幂等，不能用“今天见过同样数量”猜重复。乱序事件进入待处理队列；上游撤销要带原事件引用，不许通过覆盖历史实现。

故障	风险	检测	处置
重复投递	重复收货、发运或记账	事件ID和幂等键	拒绝重复并记录
乱序	上市放行早于批放行	对象版本和状态机	暂存、补前序、人工判定
单位错	片、板、盒、件混算	主数据单位与换算版本	隔离接口批并重算
配置错	结果对应旧方法/旧规格	产品+方法+生效区间	重新评价而非搬运结果
附件丢失	结论无原始证据	清单校验和	阻塞状态与补传
静默失败	两系统均自认为成功	端到端对账与告警	重放、补偿交易、事件升级

10.2 主数据与生效区间

产品、市场、物料、供应商、处方、工艺、方法、规格、包装、标签、设备、客户和价格均带版本、生效起止、批准人与替代关系。一个物料号不能同时指不同规格；一个产品码不能隐藏不同市场标签；修改历史值不能影响已执行批次。批次保存“当时使用的快照”，主数据保存“当前有效版本”，两者都要能读取。

10.3 最小权限与职责分离

场景	申请	批准	执行	复核	禁止组合
主批记录发布	工艺	质量负责人	文控/系统管理员	QA运营	起草者自行批准发布
检验结果修改	QC分析员说明	QC独立主管/质量	受控更正	QA审计追踪	原分析员删旧值
批放行	QA提交	质量受权人	系统改变状态	持有人上市放行复核	生产经理放行自己的批
价格主数据	商业申请	销售A+财务规则	商业运营/主数据	财务	销售个人改价并开票
供应商银行账户	采购申请	财务授权人	主数据管理员	独立回拨核验	采购单人全链路
紧急访问	事件负责人	系统所有人+流程A	具名管理员	次日独立复核	共享超级账号

紧急访问有理由、范围、开始/结束、命令或动作日志、到期自动撤销和独立回检。生产中断时可启用受控应急记录，但必须预先定义编号、版本、数据回补、差异复核和质量批准；停机后随手用空白纸记录不构成合规业务连续性。

10.4 数据完整性与审计追踪

记录应可归属、清晰、同步、原始或真实副本、准确，并保持完整、一致、持久和可获得。常见失效包括共享账号、预签名、反填时间、选择性转录、删除失败进样、无理由手工积分、时钟不同步、导出后失去元数据、备份从未恢复。审计追踪复核按风险安排：高风险结果、主数据、放行和权限事件逐批/逐事复核，低风险日志按周期趋势；频率有依据。

10.5 备份恢复与灾备

备份成功不等于可恢复。恢复测试要验证数据库、附件、审计追踪、电子签名、时间戳、接口队列和长期归档一起可用，并按RTO/RPO评估业务影响。灾备切换期间明确哪个系统是权威、哪些批次/样品冻结、如何防止双写、恢复后如何对账。重大恢复演练至少从一个发运批次反查到完整批记录和从一个投诉反查到流向与财务。

10.6 计算机化系统验证生命周期

系统立项先写预期用途、流程、数据、用户和法规风险，再评估供应商与标准功能，配置后开展可追溯需求、风险、设计/配置、测试、缺陷、迁移、培训和上线批准。运行期管理事件、问题、变更、权限、备份、性能和周期评估；退役时保证数据可读、审计追踪与签名关系不丢失。

生命周期	必要证据	常见失败
选型	预期用途、风险、供应商能力	先买系统后补需求
配置	配置说明、角色、接口、主数据	生产环境直接试错
测试	正常、边界、失败、审计追踪与恢复	只测“成功按钮”
上线	缺陷接受、迁移核对、培训和批准	未决高风险缺陷隐藏
运行	事件、变更、访问与周期评估	升级无影响评价
退役	数据导出、可读、留存和销毁	关服务器后失去记录

10.7 报表、算法与人工智能

用于趋势、预测或异常检测的模型不自动成为质量决定者。先定义用途、输入数据血缘、适用范围、性能、偏差、人工复核、版本、变更和失效处理。生成式工具不得接收未经批准的患者、安全、配方或批记录敏感数据，也不得直接生成或改写原始质量记录。若模型建议扩大抽样或冻结批次，由有权限岗位基于可解释证据决定并保留模型版本。

10.8 系统停机优先级

停机时先保证人员与产品安全，再冻结无法可靠记录的操作。若MES不可用但有批准应急批记录，可以在范围内执行；若LIMS无法保留原始数据，不得用个人计算表替代关键检验；若安全库不可用，启用受控个例接收与恢复录入；若ERP不可用，质量放行可独立完成但发运和财务状态须受控协调。恢复后逐事件对账，不把“系统恢复”当业务恢复。