制药用水系统生物膜防控风险评估报告，采用 ICH Q9 与 HAZOP 识别 12 项偏差

1　概述

1.1　背景

制药用水系统是直接关系药品质量与患者安全的"高风险公用系统"，应纳入企业污染控制策略（CCS）统一管理。生物膜（biofilm，又称生物被膜）是水系统微生物污染最常见、最难清除的形态，其防控须遵循"设计优先—程序执行—结果证明"的质量风险管理闭环，仅依靠离线监测不足以保证水质。

本评估依据 ICH Q9（质量风险管理）的方法学要求，采用 HAZOP（危险与可操作性分析）工具对水系统生物膜风险进行系统化辨识、分析与评价，明确各相关部门职责，并制定对应的控制措施与行动计划，为水系统污染控制与产品放行决策提供专业技术依据。

1.2　法规、指南与国家标准依据

本报告主参考《制药用水检查指南》（NMPA 核查中心，2026.03），并覆盖以下国内外双层法规依据：

1.3　生物膜形成原因及危害

（一）形成原因（机理）。生物膜是微生物在"水分 + 养分 + 表面"三者并存环境下，黏附于表面并分泌胞外聚合物（EPS）形成的三维群落，其发展遵循四阶段（EMA Q&A；USP <1231>）：① 调节膜（conditioning film）形成；② 初级附着（可逆）；③ 定植 / 表面分裂；④ EPS 合成与稳定（群体感应通信、保护性代谢物），随后进入生长—脱落（detachment）循环。促进形成的关键诱因包括：水动力学恶化（低流速/滞水/非循环支管）、几何死角（盲管/不当变径）、温度适宜（WFI 跌破70℃或常温系统）、表面条件（红锈/粗糙度偏高/钝化不良）、营养源（原水 TOC 偏高/余氯去除过度）、消毒不彻底（未验证/冷子回路）、运行中断（停机重启未按规）。

2　目的

本风险评估报告旨在：

·系统辨识制药用水系统各环节生物膜形成的风险点，运用 HAZOP 工具完成风险分析与评价（ICH Q9 第4节 风险识别—分析—评价）。

·明确生产部、质量部、QC、QA、验证部门在生物膜防控中的职责分工与接口，落实污染控制策略（CCS）的跨部门协同。

·针对识别的高/中风险制定可执行的工程、运行、监测与维护控制措施，并经验证形成证据闭环。

·形成带责任部门、时限与完成标志的行动计划，将风险降低并控制在可接受水平（ICH Q9 风险降低—风险接受）。

·为水系统相关批次的放行决策、偏差/OOS 管理与迎检准备提供专业技术依据——本评估本身不构成放行结论。

3　部门职责

依据 ICH Q9 风险沟通与组织实施要求，水系统生物膜防控实行"质量统筹、验证提供证据、生产负责运行、QC 负责检验、QA 负责体系"的分工。各部门职责如下：

4　风险评估正文

4.1　风险评估方法（ICH Q9 + HAZOP）

ICH Q9（质量风险管理）将风险管理流程定义为：风险评估（风险识别、风险分析、风险评价）→ 风险控\\制（风险降低、风险接受）→ 风险沟通 → 风险审核。HAZOP（危险与可操作性分析）是 ICH Q9 明确认可的风险管理工具之一，其核心是以"引导词"作用于"工艺参数"于各"分析节点"，系统推导偏差、原因、后果与现有措施。

（1）分析节点（Node）：原水及预处理、RO/EDI 膜组件、储罐、分配管网、使用点/换热器、呼吸器/喷淋、跨节点监测。

（2）工艺参数（Parameter）：流量（流速）、温度、压力（通气）、表面状态、微生物/生物膜、监测识别、时间（停留）。

（3）引导词（Guide Word）：No/None（无）、More（过量）、Less（不足）、Reverse（反向）、Part of（部分）、As well as（伴随）、Other than（异常/非预期）。

4.2　风险评价标准（严重性 S × 可能性 L）

采用 ICH Q9 推荐的风险矩阵，严重性（S：1–5）与可能性（L：1–5）组合判定等级。判定规则：任一为 5 或 S≥4 且 L≥3 判为"高"；S=3 或（S=4 且 L≤2）判为"中"；其余为"低"。

注：S1 可忽略；S2 轻微；S3 中等；S4 严重；S5 灾难性（直接危及产品质量/患者安全）。L1 罕见；L2 不太可能；L3 可能；L4 很可能；L5 几乎确定。

4.3HAZOP 分析工作表

为适配 A4 版心，将 HAZOP 分析工作表按"偏差辨识—原因分析与风险评价—控制措施与责任"拆分为以下三张表，三表通过"序号"（H1–H12）一一对应。

表 4.3.1HAZOP 偏差辨识

表 4.3.2　原因分析与风险评价（可能原因—后果—严重性/可能性—等级）

表 4.3.3　现有控制措施、建议措施与责任部门

4.4　风险评价结果汇总

经 HAZOP 分析共识别 12 项偏差，其中高风险 6 项（H2、H3、H4、H6、H7、H9）、中风险 6 项（H1、H5、H8、H10、H11、H12）、无低风险项。高风险集中于"膜组件/储罐/管网/换热器"四类硬件节点，是生物膜控制策略（CCS）的优先处置对象。

5　控制措施

控制措施遵循"设计—确认—运行—监测—维护—应急"全生命周期，按 ICH Q9 风险降低原则针对 HAZOP 偏差逐条制定，并明确责任部门。总体策略：将生物膜控制写入企业 CCS，与污染控制策略、质量风险管理联动。

5.1　设计阶段控制（责任：验证部门 / 工程）

·材质与表面：与产品接触部件采用 316L 不锈钢或合规热塑性材料，内壁抛光 Ra≤0.6 μm（高端≤0.4 μm），酸洗钝化并执行钝化确认；焊接采用自动氩弧焊，保留焊点图与内窥镜记录（对应 H7、H11）。

·几何与流型：避免死角、盲管；L≤3D（GB 50457）或更严≤1.5×管径（FDA/WHO/Annex1）；管路坡度可排尽、设最低排放点；循环干管回水流速≥1 m/s 并保持湍流（雷诺数校核）（对应 H6、H7）。

·温度抑制：WFI 采用 70℃ 以上保温循环；换热器选用双管板/套管式并连续循环或子回路，杜绝死水（对应 H3、H9）。

·储罐与呼吸器：喷淋球经验证覆盖罐内全部位置（对应 H4）；通气口装 0.2 μm 不脱落纤维疏水性除菌过滤器，安装前后完整性测试、定期更换，设加热套防冷凝（对应 H5）。

·非蒸馏法 WFI（膜系统）：膜材质兼容消毒工艺；配置在线电导率与膜压差监测、定期完整性测试、规定最长使用时间；单级 RO 专项风险评估（对应 H2）。

5.2　运行与消毒控制（责任：生产部 / 验证部门）

·消毒策略与验证：经风险评估选择化学消毒、巴氏/过热水、纯蒸汽、臭氧、UV 等方法并规定周期；消毒程序须经验证——确认无消毒死角、无死水段积聚、关键参数（温度/时间/浓度）可达；常温系统至少"热+化学"组合消毒（对应 H9、H2）。

·覆盖率与冷点：消毒须覆盖全部回路与子回路，重点关注带换热器低温点的温度达标；验证时布点证明最差位置达到杀灭条件（对应 H9）。

·软管与取样口：软管/阀延伸器纳入定期消毒与 PM 计划，用后彻底排空、干燥、垂直存放；取样口防倒吸设计、保证系统正压（对应 H10）。

·停机与重启：正常运行循环泵不得停；确需停用须建立 SOP，重启前按规定周期冲洗并监测水质且经确认（对应 H8）。

·化学消毒后恢复：化学品消毒/清洗后须经验证淋洗，恢复使用前至少化学检测结果合格并批准；所产批次放行前微生物、内毒素（如涉及）、不可接受微生物结果须确认（对应 H2）。

5.3　监测与趋势控制（责任：QC / QA / 质量部）

·警戒/纠偏限：初始限度基于确认数据，后续依再确认、日常监测与调查数据定期再评估；偏离警戒限须记录回顾并调查，纠偏限偏离必查根本原因与产品影响（对应 H12）。

·取样方案：覆盖所有使用点与最差条件取样位，生产期每日至少 1 个代表性使用点；取样操作避免外源污染，样品存放时限按 ChP 2025 四部或评估确定（对应 H10、H12）。

·微生物鉴定与快速方法：基于风险对分离微生物鉴定，识别不可接受微生物；应用经验证、相关性明确的快速微生物检测技术（对应 H12）。

·在线监测：依风险选配流量/流速、压力、温度、电导率、TOC 连续监测，传感器位置基于风险确定，并定期与离线数据核对趋势一致性（对应 H3、H6）。

·年度回顾：每年开展质量回顾，含变更、确认状态、PM/故障、关键偏差、日常监测趋势，对异常趋势明确预防行动（对应 H1、H12）。

5.4　预防性维护与应急管理（责任：工程 / 验证部门 / 质量部）

·PM 计划：储罐定期清洗消毒、易损件（阀门/垫圈/呼吸器）更换、多介质/活性炭反洗、RO 膜与滤材更换、UV 灯强度监控与更换、仪表校验（对应 H2、H5）。

·红锈管理：定期评估管路红锈/元素杂质，依风险开展除红锈与再钝化；以 70–80℃ 运行、合理 CCS 与 PM 预防红锈生成（对应 H11）。

·生物膜应急：疑似/确认生物膜时，先调查微生物趋势、定位污染源（储罐/回路/使用点/阀门/软管/换热器/过滤器/泵/膜/死腿/滞水段），判定沉积物性质，再依系统材质与验证方案选择清洗—消毒—冲洗序列，恢复后按 5.2 末款确认放行（对应全部高风险的闭环处置）。

6　行动计划

以下行动项按 ICH Q9 风险降低要求制定，明确责任部门、时限与完成标志。高风险项（对应 H2/H3/H4/H6/H7/H9）须 24h 内出方案、7 日内启动整改。

7　结论

生物膜是制药用水系统最高频且最难清除的微生物污染形态。经 ICH Q9 框架下的 HAZOP 分析，识别出 12 项偏差（高风险 6 项、中风险 6 项），高风险集中于膜组件、储罐、分配管网与换热器四类硬件节点。其防控须以"优良设计 + 适当材质 + 充分湍流 + 温度/消毒控制 + 持续监测 + 预防性维护"为一体化控制策略纳入 CCS；在现行设计、消毒与监测证据闭合前，不得假设系统"无生物膜风险"。