在GMP环境下使用DeltaV（三）：版本控制与审计追踪实现配置变更全生命周期可追溯

此系列之前的文章：

在GMP环境下使用DeltaV（一）-用户管理与权限控制：构建 GMP 合规的访问基石

在GMP环境下使用DeltaV（二）电子签名与动作确认：满足 21 CFR Part 11 的双重验证机制

INTRODUCTION

没有审计追踪的组态变更等于“黑箱操作”

制药企业的自动化系统不是一成不变的。控制策略会调，报警限值会改，用户权限会变。但 GMP 要求每一次变更都必须回答三个问题：谁改的？改了什么？为什么改？

REFERENCE

欧盟 GMP Annex 11 §9：审计追踪应基于风险、可用、可追溯、可理解。审计追踪应保护原始记录不被修改，并应安全地存储。

REFERENCE

21 CFR Part 11 §11.10(e)：计算机化系统应提供安全、计算机生成、时间标记的审计追踪，记录操作员输入和创建、修改或删除电子记录的日期和时间。

DeltaV 通过版本控制（Version Control，简称 VCAT）提供了一套完整的配置变更审计追踪体系。它不是简单的“修改日志”，而是一个独立的数据库，保留组态和安全条目的所有历史版本，支持检入/检出、回滚、标签管理和归档。

ARCHITECTURE

一、VCAT 的核心架构与覆盖范围

1.1 什么是版本控制

DeltaV 版本控制的核心能力：

「“通过保留组态和安全条目之前的版本帮助您管理组态和用户安全的更改。版本控制允许您查看做出更改的人和原因。同时，它也允许您恢复条目或整个数据库以前的版本、归档版本控制数据库、恢复存档、以及在恢复条目后清除数据库。”」

1.2 覆盖范围

使能后，VCAT 会跟踪以下所有条目的添加、编辑和删除：

变更来源	跟踪的应用
组态条目	DeltaV Explorer、Control Studio、I/O 组态、系统报警管理（SAM）
安全条目	DeltaV 用户管理器（User Manager）
显示文件	DeltaV Operate 显示的版本控制
文档文件	文档的版本控制（如 SOP、仪器图表等）

用户管理器的安全条目变更也被纳入审计追踪：

「“当使用版本控制和用户管理器应用程序创建安全条目审计追踪时，自动检出和检入会始终使能。”」

用户权限的变更本身也是可审计的。谁给谁加了什么权限，何时加的，都在 VCAT 中有记录。

1.3 不被跟踪的条目

VCAT 的覆盖边界也有明确界定：

「- 已投用的现场总线设中的转换块和资源块的更改 - 已停用的现场总线设备的更改 - 从第三方数据源导入的条目 - 授权（Licenses）」

这些不被跟踪的区域可能需要通过其他手段（如人工记录、程序控制）来补充。验证团队评估审计追踪覆盖率时，这些例外项不能忽略。

SECTION

二、检入/检出：受控的变更工作流

2.1 三种检出模式

DeltaV 提供了三种检出（Check Out）首选项，对应不同的变更管理严格度：

模式	行为	适用场景
手动或提示用户检出	保存前提示用户检出，未检出不可编辑	缺省模式，适合大多数药企
自动检出	打开/编辑时自动检出，保存后需手动检入	效率优先，需配合严格流程
自动检出和检入	打开时自动检出，关闭时自动检入	最便捷但审计粒度较粗

“当自动检出或自动检出和检入使能时，打开和保存组态条目一般比没有使能的情况下花费更长时间。”

2.2 检入/检出与审计记录

检出和检入操作本身会在 VCAT 数据库中创建记录，包括：

操作人（Who）

操作时间（When）

操作类型（检出/检入）

被操作的条目（What）

配变更注释（检入时可输入），构成了完整的“谁—何时—什么—为什么”审计链。

VERSION CONTROL

三、版本控制的核心功能与操作

3.1 版本回滚

VCAT 允许将组态条目恢复到之前的版本：

「“VC_ROLLBACK_ITEMS —— 允许用户从版本控制数据库恢复条目。”」

错误变更后的快速回退、变更对比分析、审计检查时重现历史组态状态，都靠这个功能。

3.2 标签管理

VCAT 支持为组态条目打标签（Label）：

「“VC_SET_LABEL —— 允许用户为组态条目贴标，以方便其日后恢复。”」

标签可以标记重要的里程碑版本，比如“FAT 基线”“验证后版本”“生产放行版本”，方便快速定位和恢复。

3.3 归档与清除

VCAT 提供了数据库生命周期管理工具：

功能	说明
归档版本控制数据库	将历史版本数据转移到归档存储
从档案中恢复	需要时从归档恢复数据
清除版本控制数据库	永久移除条目（需 VC_PURGE_RECOVER_ITEMS 密钥）

清除操作需要专用密钥（VC_PURGE_RECOVER_ITEMS），只有授权人员才能永久删除版本记录。

3.4 版本控制函数与锁定

VCAT 的所有关键操都受功能锁定保护：

函数	功能	默认锁定
VC_ADMINISTRATOR	撤销其他用户的检出	版本控制管理
VC_CHECKOUT_CHECKIN	检入和检出条目	版本控制
VC_DOWNLOAD_CHECKEDOUT	下装被检出的条目	版本控制
VC_PURGE_RECOVER_ITEMS	永久移除条目	版本控制管理
VC_ROLLBACK_ITEMS	恢复条目	版本控制管理
VC_SET_LABEL	为条目贴标	版本控制

VERSION CONTROL

四、SIS 版本控制：安全系统的独立审计追踪

DeltaV SIS（安全仪表系统）拥有独立的版本控制能力，满足 IEC 61511 对安全系统变更管理的更严格要求。

4.1 SIS VCAT 的两种认证模式

SIS 版本控制包含两种认证：

「“版本控制组态对话框包含了为 DeltaV SIS 模块认证和 SIS 模块功能测试记录而使能版本控制的控制选项。”」

SIS 不仅要跟踪模块的配置变更，还要跟踪功能测试的记录。这是 IEC 61511 对安全系统“定期验证”要求的直接体现。

4.2 SIS VCAT 的独立安全函数

SIS VCAT 使用与普通 VCAT 对应但独立的锁定函数：

SIS 函数	对应普通函数	默认锁定
SIS_VC_CHECKOUT_CHECKI	VC_CHECKOUT_CHECKIN	Can Configure SIS
SIS_VC_DOWNLOAD_CHECKEDOUT	VC_DOWNLOAD_CHECKEDOUT	SIS Version Control
SIS_VC_DOWNLOAD_UNAUTHORIZED	VC_DOWNLOAD_UNAUTHORIZED	SIS Version Control

SIS 变更管理与普通 BPCS（基本过程控制系统）变更管理完全隔离，防止交叉授权。

VERSION CONTROL

五、版本控制与备份的关系

版本控制数据库备份和组态数据库备份是分开的：

「“版本控制数据库可以单独备份。备份和恢复工具只能在没有用户登录到数据库的情况下运行。”」

组态数据库备份（通过备份和恢复工具）需要在无用户状态下进行

VCAT 数据库可以独立备份，不影响生产运行

每日导出工具创建 FHX 格式的组态数据备份，可作为补充手段

💡 GMP 关联：Annex 11 §16 要求“数据应通过定期备份进行保护”。VCAT 数据库的独立备份能力使得审计追踪数据本身也受到备份保护。

COMPLIANCE

六、GMP 合规对照与实操清单

GMP 条款对照

GMP / Annex 11 要求	DeltaV VCAT 实现	合规要点
审计追踪记录谁、何时、改了什么	VCAT 保留所有组态和安全条目的历史版本	含检出/检入人、时间、注释
审计追踪保护原始记录不被修改	VCAT 是独立数据库，与组态数据库分离	滚操作本身也在 VCAT 中留痕
变更需可恢复	版本回滚 + 标签管理	可恢复到任意历史版本
用户权限变更可审计	用户管理器安全条目纳入 VCAT	自动检出/检入始终使能
安全系统变更更严格管理	SIS 独立 VCAT + 功能测试记录认证	独立锁定函数，与 BPCS 隔离
审计追踪数据需备份保护	VCAT 数据库可独立备份	与组态数据库备份分离

CSV 验证实操清单

☐

确认 VCAT 已使能，且使能时间在 FAT/SAT 之后（避免验证前间隙）

☐

验证组态条目变更（添加、编辑、删除）均在 VCAT 中有记录

☐

验证用户管理器安全条目变更（加用户、改权限）在 VCAT 中有记录

☐

测试检入/检出工作流：未检出条目不可编辑

☐

测试版本回滚：可恢复到指定历史版本

☐

测试标签功能：可创建和定位标签版本

☐

确认 VCAT 函数锁定已按角色分配（VC_ADMINISTRATOR 限管理员）

☐

验证 VCAT 数据库独立备份策略已制定并执行

☐

确认 VCAT 不跟踪的条目（现场总线转换块等）有替代管控措施

☐

若使用 SIS：确认 SIS VCAT 已使能，功能测试记录认证可用

☐

验证禁用 VCAT 时系统会发出警告（检出条目检测）

∞

EPILOGUE

结语

版本控制是 DeltaV 合规体系中最核心的基础设施之一。它不仅是审计追踪的存储库，更是变更管理工作流的引擎。检入/检出强制变更经过受控流程，版本回滚提供安全网，标签管理锚定关键基线，独立备份确保审计数据本身的持久性。

VCAT 的使能时机很重要。一般建议在系统准备好工厂验收测试后才使能版本控制，具体时机应结合企业变更管理规程确定。一旦使能，应避免禁用：

「“一旦使能了版本控制，如果禁用它会在组态历史中创建一个间隙。”」