解读2026年7月FDA三封计算机化系统与数据完整性警告信

本文基于2026年7月整理公开的警告信，其中三封与计算机化系统和数据完整性相关的FDA警告信，分别涉及法国Fareva Amboise、印度Shimoga Chemicals和BioMylz Pvt. Ltd.。

从无菌区域的粒子计数器，到实验室HPLC，再到纸质记录、电子原始数据和质量部门监督，FDA关注的已经不是某一个系统有没有某项功能，而是深入到三个更根本的问题：

企业是否完整看见了数据？异常数据是否进入了质量决策？发现问题以后，企业能否立即控制风险并追溯历史影响？

三封警告信同时释放了4个监管信号，本期一起来看看。

三封警告信，三个不同的数据违规

这三个案例看似分别属于生产设备、实验室系统和纸质记录，但它们共同暴露出一个问题：

企业最终提交给质量部门审核的“正式记录”，并不能完整代表实际发生过的GMP活动。这也是此前多次讨论的监管变化：FDA已经从“记录是否存在”，进一步深入到“数据是否可信、过程是否可追溯、系统是否具备防操控能力”。

Fareva：只留下了想留下的结果

Fareva使用粒子计数器对洁净区进行粒子监测。FDA检查发现，操作人员能够不受限制地：

修改系统日期；
调整报警限度；
访问设备设置；
在未强制实施用户身份验证的情况下操作设备。

更严重的是，FDA审查粒子计数器中的电子数据时发现，多次出现A级区域粒子计数超过行动限度的情况。

但企业无法提供这些失败结果对应的原始打印记录，批记录中也没有记录初始超限结果。企业进行了复测，最终只把符合要求的复测结果纳入生产文件。

这条证据链非常值得大家关注：

设备参数可以被修改

↓

初始超限结果未进入批记录

↓

进行了复测

↓

只保留符合要求的结果

↓

原始失败结果及处置过程无法重建

随后，供应商在设备校准前删除了全部电子数据，而企业没有备份。

所以，Fareva的问题并不只是“没有建立备份程序”。如果前期已经存在选择性报告结果的情况，那么后续数据删除又使企业失去了进一步调查历史问题的能力。

FDA在警告信中直接使用了“data suppression”，即数据隐匿，数据筛选。

企业提出购买新设备、连接服务器、开展人员培训和制定老旧设备升级计划。这些措施并非没有价值，但FDA仍认为回复不充分。

原因是企业没有回答：

新系统上线前，旧设备如何继续受控使用？
如何防止操作人员继续修改数据和参数？
质量部门是否加强了现场监督？
已经放行的历史批次是否受到影响？
原始超限结果未被报告的范围有多大？

FDA的关注表明，整改计划不能只讲“未来准备怎么做”，还必须控制“现在正在发生什么”，并调查“过去已经发生了什么”。

Shimoga：纸质报告合格，不代表电子检验数据合格

Shimoga Chemicals的缺陷发生在HPLC分析中。

FDA发现，企业存在多次未报告的样品进样。这些进样涉及含量和有关物质检测，但没有记录在实验室批记录中。

其中一个批次出现了一次未报告的OOS含量结果，批记录中采用的却是另一针报告结果。企业既没有电子数据审核程序，质量部门也没有审核电子数据，最终该批次仍被放行并进入美国市场。

这一案例再次说明：FDA不是简单反对重复进样，而是反对未记录、未解释、未调查地选择性报告结果。

如果质量部门只审核打印报告或最终结果表，就可能看不到：

未报告进样；
初始OOS结果；
试进样；
重复进样；
被丢弃的打印记录；
数据重新处理；
未进入正式报告的数据。

FDA《数据完整性与药品CGMP合规性：问答》明确强调，电子数据及其相关元数据应当在保存期内得到维护，并能够重建相应的CGMP活动。即使某个结果经过科学调查后被判定无效，原始结果及其调查依据仍应保留。

因此，质量部门审核的对象不能只是“最后打印出来的合格结果”，而应包括支持质量结论的完整数据集合。

BioMylz：数据完整性问题不能都归咎于一名离职员工

BioMylz的案例更加直接。FDA检查人员在垃圾袋中发现了原始记录，包括：

已执行的批生产记录；
培养基配制记录；
培养和灭菌周期日志；
成品取样记录；
环境监测记录；
投诉和变更控制记录。

企业还未能保存支持商业批次放行结果的实验室原始数据，日志页码没有编号，也没有进行核对。部分人员先用铅笔记录体积数据，称量核查结束后再使用墨水覆盖。

企业在回复中将记录销毁和虚假记录归因于一名前工厂经理，认为这是一个孤立、例外的个人事件。

但FDA掌握的证据表明，该人员曾多次被发现：

销毁批生产记录；
销毁实验室受控记录；
伪造生产数据；
伪造实验室数据。

FDA因此认为，企业没有解决严重且持续存在的数据完整性问题，也没有开展足够的系统性整改和历史影响评估。

这里最重要的监管逻辑是：违规行为可以由个人实施，但如果违规能够长期、重复发生并逃避质量体系监督，根因就不能只停留在个人层面。

企业还需要调查：

管理层是否知情；
质量部门为什么没有发现；
文件发放、回收和销毁为什么没有核对；
绩效压力是否推动了不当行为；
其他人员是否存在类似操作；
受影响产品和批次范围有多大；
负责人员是否仍能影响GMP数据；
匿名报告和独立调查机制是否有效。

FDA给到警示：解雇一名员工可以是人员处置，但不能代替系统性CAPA。

三封警告信背后的四个共同监管信号

信号一：完整性先于合格性

企业不能只证明最终结果合格，还要证明所有原始数据均被完整保留和评价。

PIC/S PI 041-1将数据完整性定义为数据在整个生命周期内保持完整、一致、准确、可信和可靠。原始数据、元数据和数据之间的关联关系共同构成完整记录。

如果企业只保留最终结果，却无法解释数据如何产生、是否被修改、是否存在未报告结果，那么“合格”本身就缺少可信基础。

信号二：电子数据必须真正进入质量审核

Fareva的电子数据暴露出A级粒子超限，Shimoga的电子数据暴露出未报告OOS进样。

两个案例都说明电子数据管理的失控，设备内部保存的数据不能停留在设备里，更不能只在检查时才被发现。

质量部门应当在批放行前明确：

哪些电子原始数据必须审核；
哪些审计追踪需要审核；
哪些异常事件必须调查；
电子数据与纸质报告如何核对；
如何确认不存在选择性报告。

信号三：不能忽视离线小设备数据完整性

粒子计数器、天平、pH计、TOC仪、电导率仪等设备，经常因为体积小、功能简单或没有联网而被排除在重点管理之外。

但Fareva案例说明，只要设备能够：

保存电子数据；
修改系统时间；
修改报警限度；
调整配置；
删除或覆盖记录；

它就可能直接影响GMP数据的可靠性。

EU GMP Annex 11要求根据风险实施访问控制，记录数据变更和删除，并对相关数据进行定期备份；备份数据的完整性、准确性和恢复能力也应得到检查。

信号四：整改必须同时回答现在、过去和系统范围

三封警告信中，FDA多次认定企业回复不充分。

共同原因并不是企业什么都没有做，而是整改缺少完整维度：

现在：问题整改完成前，如何立即控制持续风险？
过去：历史批次和已上市产品是否受到影响？
横向：其他设备、系统、实验室和生产区域是否存在同类问题？
长期：管理层、质量部门和数据治理体系如何防止再次发生？

这与此前在《FDA最新警告：GC系统单点整改被拒》中总结的监管逻辑一致：一台设备暴露问题后，FDA通常会继续追问三个问题——历史数据是否可信、其他系统是否存在类似风险、质量体系能否防止问题再次发生。

企业可以立即开展的自查

企业可以围绕以下问题开展一次计算机化系统与数据完整性专项检查：

是否建立了包含独立设备和联网系统的完整清单？
是否明确每套设备原始数据保存在哪里？
电子数据是否比打印记录包含更多信息？
操作员能否修改系统时间、报警限度或设备配置？
是否存在共享账号或不受控管理员权限？
是否存在数据自动覆盖、删除或校准清空的情况？
供应商维护或校准前是否必须完成数据保护？
质量部门是否审核原始电子数据，而不只是打印报告？
初始失败结果、复测和重复检测是否全部保留？
CAPA实施期间是否制定了临时控制？
是否评估历史批次和已上市产品的影响？
是否将发现的问题扩展至其他同类系统和场地？

结语

这三封警告信共同传递出一个清晰信号：

FDA检查计算机化系统，不是为了确认企业有没有服务器等IT硬件、审计追踪或备份SOP，而是为了判断企业的数据治理体系能否确保——

所有数据都被完整保存；
所有异常都被如实报告；
所有关键数据都进入质量审核；
所有修改都能够被追溯；
所有历史问题都能够被调查；
整改期间的持续风险都得到控制。

计算机化系统合规不是独立于质量结论之外，它是可靠质量结论的基础之一，是让每一个质量结论都建立在完整、可信、可重建的数据基础上的底座。