基于风险的变更控制

William Harclerode, Bob Moser, Jorge A. Ferreira, andChristophe Noualhac

13.1介绍和关键点

整合质量风险管理进入制药质量体系可能是一项令人生畏的任务。尽管法规部门已经发布了质量风险管理的指南，但是每个公司都必须决定使用哪些特定的风险评估工具。这个过程甚至使之更困难因为有许多制药质量系统和许多不同类型的产品。本章节讨论商业化产品的基于风险的变更控制的方法。

整合质量风险管理进入变更控制系统对于将风险管理保持为实时的过程必不可少，但是也特别具有挑战性因为变更控制覆盖了制药工业中如此多的领域（如设备、厂房、设施、工艺、物料、计算机系统和文件）和产品生命周期中大多数环节（技术转移、商业化生产和产品终止）。本章节引入一些实用的方法和工具能够用于整合质量风险管理进入现有变更控制系统。

13.1.1关键点

• 质量风险管理能够提高决策的质量和加快决策速度、提高法规符合性和增加变更实施资源运用的效率。同时也能确保患者安全不会因为变更产生有害的影响。

• 风险评估典型地用于变更控制流程的两个步骤。首先，一个定义的、预先批准的基于风险的方法可以用于实施初步风险评估确定他们是在范围内或超出范围。然后，一个更加详细的风险评估可以实施用于更复杂的变更，使用正式的工具比如失效模式和影响分析（FEMA）或工艺危害分析（PHA）。

•没有医学专业意见患者风险很难直接判断。在制药工业中，患者安全也应该通过符合产品质量和法规要求来保证，这个也更容易判断。因此，产品质量和法规符合可以考虑作为患者安全的替代。

•整合质量风险管理进入变更控制的关键成功因素包括管理层承诺和支持、保持风险管理处于现行过程（或现行文件）的确定的程序、交叉职能的变更审核小组和确保为变更识别出的风险控制措施在生产和/或产品放行前完成的方法。

13.2变更控制过程

一个正式变更控制过程是现代制药质量管理系统的主要组成部分。变更控制需要确保建立产品、工艺或系统（比如设备、厂房、设施、物料、工艺或计算机）的每个变更都都能够正确的评估和实施以保护产品质量并最终保证患者安全。图13.1提供一个典型变更控制过程的流程图并解释质量风险管理在哪儿使用。

质量风险管理和知识管理是用于实施现代质量体系的两个驱动力。知识管理可以保证可靠地的术和历史经验被用于评估变更。法规当局期望企业了解他们的产品并理解变更可能怎么影响产品质量和患者安全。质量风险管理提供一个前瞻性的方法去识别、评估和控制质量风险。理想的，用于每个产品或工艺的风险管理都包含针对对照所有变更的作为标着的现行的受控的风险评估文件。否则，风险评估文件必须基于个例来准备。

正式变更控制过程的第一个步骤时变更的发起。使用一个书面的变更申请。变更申请应该包含变更的描述、变更的原因、变更的理由、支持性文件（包括已有风险评估）和提出给予风险的实施计划（包括产品隔离要求）。变更申请随后被审核，审核者可以要求发起者提供更多信息。

表13.1 变更筛选标准

变更类型	交付的文件系统
变更不影响现行GMP系统	维修工作指令
变更发生在运行阶段、初始系统安装确认（IQ）完成前	最终IQ，ECR（工程变更申请）
经过已建立的操作程序允许的变更（预防性维修（PM）、校验等）	设备使用记录、维修工作指令、校验记录、预防性维修记录，ECR（工程变更申请）等

审核者也可以执行初步风险评估去筛选出不需要通过正式系统处理的任何变更申请。这个步骤是增加价值的，因为通过正式变更控制系统处理变更可能会比通过其他方式处理耗费更多的资源。

变更从正式变更控制系统筛选来可以基于两个基本原因（表13.1）。第一，变更不能影响产品质量或法规符合性，比如非GMP领域的变更（比如非工艺区域、维修车间和某些工厂设施比如电气）是不在范围之内的。第二，经批准的标准操作规程（SOPs）明确允许的变更也应被去除，如果这些SOPs是使用质量风险管理理念开发出来的。一个例子是校验和预防性维修系统。已建立的校验程序允许调节传感器，假如它是超出预先设定的公差的范围。维修程序典型地允许用批准的备件替换正常磨损物品，文件可能通过维修工作订单系统和设备记录簿被执行。一个进一步的例子是发生在系统安装确认钱的变更。如果公司SOPs允许的话，只要用户需求说明（URSs）没有改变，通过工程变更申请系统（ECR）来文件化这些变更都是可接受的。表13.1显示可以在正式变更控制系统之外通过程序控制（SOP）的各种变更。

通过了筛选标准的变更申请然后由交叉职能的变更审核小组审核。审核小组对变更申请、支持文件（包括所有存在的风险评估）尤其是提出的变更实施计划实施详细审核保证已经考虑到所有通过维持产品质量和法规符合性来保护患者安全的关注点。变更审核小组成员（其典型地包括来自变更所有者部门的代表、QA、质量控制、生产、工程、技术支持和法规事务）从各自专业领域的角度考虑变更申请来确保计划的行为和文件是充分的。作为审核的一部分，审核小组应该确认变更对现有影响产品或工艺的风险评估文件的影响。如果这些不存在，可能必须实施新的风险评估。

一旦包括变更实施计划的所有项目都被认为可接受，变更申请即被批准为“可以实施”。

变更遵照批准的计划实施。意料之外的事件可能阻止遵照计划正确地实施。当这种情况发生时，审核小组（包括QA）需要了解任何重大偏差，需要进一步的行动（比如偏差或预防纠正措施）。

最后，当变更已经实施所有重大偏差和行动达到变更审核小组的满意，变更申请文件可以审核和关闭。

13.3质量风险管理用于变更控制的效益

整合质量风险管理进入变更控制过程的主要优点是变更审核的质量和速度。风险排序格式提升了决策的客观性，提交给变更审核委员会每个变更可以使用可靠理性的方法处理。完成风险评估后，变更可以在合理的科学的文件化基本原理基础上实施。这也提供了从常常用于确定变更实施计划的“部落知识”决策重要的改进。

当变更使用质量风险管理处理时，直接的效益就是及时的做出基于科学的决策的能力。首先，在提交的变更的初步审核上，确定为在范围外的变更可以立即从正式的变更控制流程中移除。另外，已经通过SOPs允许的日常的低风险变更也可以移除。这些低风险变更的影响分析是预先确定的和可接受的不需要再正式变更控制会议上做进一步讨论。结果实施这些类型变更的过程是清晰的可以立即启动。

因为对变更相关的相对风险更清晰的理解基于打分的风险工具（如FMEA、PHA等）可以导致更快的评估和科学决策。文件化审核流程（使用一个风险评估模板）的正式性允许对变更及其对产品的影响直接的理解和鉴别。风险评估讨论聚焦在由变更及其对已识别的关键参数的影响带来的风险上。处理变更的结构化格式和科学方法有助于周密即时的决策。

一旦作出接受变更的决策，质量风险管理的效益就是减少实施变更的时间。避免对产品质量不增值的活动，变更可以以一种及时而有效的方式实现。

使用质量风险管理的第二个效益是资源的更有效的管理。为变更控制实施的确认和验证活动需要大量的资源（生产、检验和文件）。仅仅聚焦在对产品质量（关键方面）重要的参数会导致减少非增值活动，从而提供了所有水平资源的效益。

第三个效益是改进了符合性。质量风险管理提供一个方法产品知识可以被用来为支持变更传递一个合理的一致的方法。有变更控制文件可以经得起法规当局任何进一步的检查是一种符合性效益。一个正确的文件化的变更申请包不能依赖于涉及在官方检查过程中为变更提供基本原理和理由的那些人的记忆。

这些资源和符合性效益最后导致提高效率。短期效益可能不是如此明显，因为乍一看可能似乎文件化风险管理过程的额外努力是事与愿违的。然而从长远看，这个文件化的过程包含了预先小的投资，后期在提高符合性和信息数据化上可以产生时间的节约。长期效益包括通过彻底地提前处理变更避免后期涉及到的质量成本。在长期之上一个好的变更控制系统将带来提高质量和符合性，也避免不必要的未来成本。

13.4一个质量风险管理工具：FMEA

FMEA是一个可以用于分析作为一个变更的结果的系统内的潜在失效模式，为了确定对系统的影响。潜在失效模式和影响随后被量化分析为了回答两个主要问题：

•潜在失效是否被缓解至一个可接受的水平？

• 如果没有，什么附加的措施可以被采取进一步缓解潜在失效？

在为了患者安全的变更控制的情况下，失效可以很容易地被解释成为可能影响质量和/或法规符合性的任何事件。缓解是帮助防止失效而加入系统的任何控制。

FMEA被美国军队在19世纪40年代晚期被正式引入用于军事用途。后来在19世纪60年代在太空竞赛中用于安全的将人送上月球。。FMEA工具在工业被广泛普及的一个原因可能是它是用于帮助风险缓解的系统化的方法。

在变更控制过程中有很多类型用于缓解风险的系统分析工具。这些技术通常都与危害分析有关系。这些工具包括但不限于以下几种：

• 检查表

• 情景分析法和

• FTA（故障树分析法）

检查表的方法由定性的预先确定的系统风险的清单组成。当变异已知比如法规要求时检查表尤为有用。检查表通常用作为了减少更严格的方法比如FMEA审核时间的数量用来识别已知变异的预先筛选的方法。

在情景分析定性分析中，一个人的和/或一个小组编写一个设计用来测试系统的“假如会如何”问题的清单；例如“如果冷冻库断电会如何？”在这个例子中一个潜在的后果可能是冷冻库内储存的产品被妥协。潜在防护措施（如控制）可以包括高温报警。情景分析的结果以包含了问题、潜在后果、现场防护措施和建议的表格形式体现。

FMEA开始于一个失效或故障的识别，然而FTA开始于顶部风险；所有可能的原因以树的形式被评估。这些故障按照每个风险来定量。FTA是一个可视化的工具（参考图13.2FTA的例子）

各类风险评估工具都被广泛地应用；每个都其独有的优缺点。FMEA是通用工具可以用来在团队环境中有组织地利用工艺知识和经验。可能失效事件和其原因定性地确定。第二步通过为FMEA风险元素的严重性、可能性和可检测性指定分值来量化与失效事件有关的风险。FMEA是合并可检测性进入风险度量方程式中的一般方法的一种。这个分析可能导致降低失效发生可能性的建议。

13.5 成功实施的关键

整合质量风险管理进入变更控制中的重要性可能常常未被意识到，因为最初的感觉其需要额外努力但没有显然的效益。没有整合质量风险管理可能最后导致不同的失效，包括产品拒收、。

为了成功整合质量风险管理进入一个变更控制系统建立一个可靠的交叉职能的小组和获取管理层承诺和支持对质量风险管理项目是第一位的、最明显的要求。

成功变更控制小组必须遵守冲突解决的基本规则例如为了达到观念上的一致要相互尊重、参与和相互倾听。小组领导者必须促进小组动力和提升积极参与的热情。个人承诺显然是至关重要的，因为如果成员中的一个或多个不履行其职责就不能做最后的决定。质量部门必须作为患者安全的主要焦点主动地参与此过程。

尽管变更必须以及时的事件被处理，但非人为的时间约束应该强加以达成最终的决策。使用质量风险管理处理变更应自然地导向快速决策和识别恰当的行动。

企业应该有文件化的方法在变更控制中使用风险管理。FDA的Q9指南没有要求一个具体的质量风险管理方法。推荐使用一个通过全面风险模板（FMEA、PHA等）增补的正式的科学的方法。

最后追踪一致同意的实施计划中的项目直到完成很重要。

13.6风险评估工具在变更控制中的应用

使用FMEA方法完成一个风险分析的按部就班的程序列举在此。

13.6.1 步骤1：为严重性、可能性和可检测性建立定义和等级以及定义风险承受能力

在FMEA中为严重性(S)、可能性（O）和可检测性（D）的不同等级选择定义是最重要的步骤之一。每个公司都应标准化以反映风险承受能力。表13.2列举了一个公司使用的一些定义的例子。

严重性、可能性和可检测性的等级分应该慎重选择。如果使用太多等级，然后小组可能耗费过多的时间决定选择哪个等级。较少的等级通常容易做决定。一个简单的三个等级的方法（高、中、低或3,2,1）可能是一个好的出发点。

严重性是对与患者安全相关的变更申请导致的危害的潜在后果的测量。如以前提及的，产品质量和符合性要求常常用作保证患者安全的测量手段。必要时应需找医学上专业的判断。

失效事件的发生率（或可能性）可以分解成从频繁到几乎不会的类别和使用数值定义（如1%、10%等）也可以使用定性语言描述（如频繁、偶尔、几乎不会或3,2,1）。可能时应使用量化的定义。工艺能力指数（CpK）是特别有用的方法。当测量可能性时应考虑已有的控制的存在。

可检测性测量的是发现失效事件和预防缺陷产品达到患者的现有的控制能力。（高的可检测等级分意味着低的检测能力从而是高风险）。与可能性一样，可检测性可以用数值也可以用主观的语言来定义。

变更审核小组也应同意其风险承受能力，如风险处于不需要进一步降低的水平则审核小组将接受。例如审核小组可以决定在中严重性、中可能性和高可检测性之上的风险优先排序没有缓解措施将不可接受。

13.6.2步骤2：定义关键质量属性（CQAs）和关键工艺参数（s）

为了理解风险重要的是为变更申请识别关键质量属性（CQAs）。关键质量属性（CQAs）通常定义为哪些对患者健康、产品质量（如放行标准）和法规符合性（生命周期内的稳定性等）有潜在影响的质量属性。确保符合产品质量要求的关键工艺参数（CPPs）也应熟悉和理解。关键质量属性（CQAs）和关键工艺参数（s）通常在研发报告、技术转移报告或验证报告中识别并有助于帮助定义设计空间[5]。

表13.2风险排序等级实例
	严重性	可能性	可检测性*
高	对产品、工艺或设施的关键质量属性(CQA)或关键工艺参数（）有直接（主要）影响；可能导致关键（AQL）缺陷；潜在伤害患者健康；微生物/外来杂质污染；针对注册文件（已批准的）或主生产批记录的重大变更；直接接触产品的项目；关键仪表	潜在存在的事件频繁发生，工艺不能胜任（工艺能力CpK<1.00）	事件很难被发现或者没有频繁的检测，或者不检测；在产品放行前不可能被发现。
中	对关键质量属性(CQA)或关键工艺参数（）有间接（第二位）影响；可能导致主要（AQL）缺陷；可能导致客户不满意或产品投诉；针对注册文件（已经发生过的变更）或主生产批记录的微小变更	事件会发生但是进偶尔发生；在很严的控制下工艺可胜任(CpK=1.00—1.33）	事件可能通过100%的人工目检或其他行政类的控制手段发现；可能再产品放行前被发现。
低	对关键质量属性(CQA)或关键工艺参数（）无影响；可能导致仅仅表面上投诉；针对注册文件（年度报告）或主生产批记录没有或最小化的变更；对患者健康没有影响，可能导致微小或表面上的AQL缺陷	事件是罕见和不寻常的；工艺是胜任的（CpK>1.33）	事件可以通过工程类控制100%的被发现（电子视觉系统、金属探测器）；明显可检出；在产品放行前将被发现。
*注释：高的可检测等级分意味着低的检测能力从而是高风险

13.6.3步骤3：列出失效模式、影响和原因

对提出的变更针对影响产品质量和法规符合性的失效事件的潜在影响进行评估，可能时审核小组应参考已在已有的现行的风险评估文件中识别出失效模式。那里如果没有，也可以使用如下（表13.3）的简单的FMEA电子表。

作为实施变更申请的结果应为了每个可能发生的失效的识别类型列出失效模式、影响和原因。例如片剂生产工艺中一个失效模式可能混合机不正确的旋转方向。影响是不合格含量均匀度。一个特殊原因可能是混合机换电机后接线错误。

为了使危害分析易于管理应作某些合理的假设。已存在的有助于缓解失效的控制措施应该列出并列入可能性和可检测性的测量中。其他假设可能是世界公认的（不需要去每次重新开始），例如现行质量体系在应有的位置并具备功能（偏差、变更控制、纠正预防措施、校验、预防性维修等）

13.6.4步骤4：为每个失效模式的严重性、可能性和可检测性赋值

审核小组应讨论每个失效事件并为严重性、可能性和可检测性的恰当等级赋值。只要可能等级赋值应基于客观数值。

13.6.5步骤5：为每个失效模式计算综合风险（RPR）

使用严重性、可能性和可检测性已赋的等级分用一致同意的方法来为每个失效事件计算风险优先等级（RPR）

RPR可能是一个数值（如果数值已赋值）或一个分类（高-中-低）。表格13.4提供了基于高中低分类确定RPR值的方法的例子。

表13.3
工艺步骤	失效模式	影响	严重性	原因	可能性	现行控制措施	可检测性	整体风险	风险接受与否？	建议的措施

13.6.6步骤6：减低风险值一个可接受的水平

如果RPR超出了步骤1（风险承受能力）中一致同意的值，审核小组决定哪些额外的降低步骤将采取来降低残留风险（补救努力已经完成后的剩余风险）至一个可接受的水平。

在某些情况下，审核小组可以基于一个文件化的风险效益分析来决定去接受已经降低至尽可能低的合理限度（ALARP）的风险。

意外后果规律也应用于变更控制。降低措施的实施可能产生额外风险。因此在降低措施已经实施后重复风险评估过程去确认没有新的风险引入也是很重要的。

13.6.7步骤7：交流残留风险的可接受性至适当等级

变更控制的风险管理过程最后一个步骤是确保任何残留风险的可接受都已经与适当等级的管理层进行了交流。高风险等级的风险交流应该包含高层管理者。

13.7案例研究

为了更好的阐明如何使用FMEA方法去整合质量风险管理进入变更控制，列举了四个案例研究在此。（实施降低措施后评估风险的最后一步没有包含在这些案例中）

13.7.1 Case Study #1: Changing Magnesium Stearate from Bovine to Vegetable-Based

案例研究#1：从来源于牛科动物的硬脂酸镁变更为来源于植物

13.7.1.1 变更描述：为了减少BSE/TSE污染的风险在片剂生产中使用等效量的职务等级的硬脂酸镁替代动物级的。（在生产过程中为了促进压片过程中的润滑硬脂酸镁在片剂最后混合步骤中加入）

供应商建议使用有类似粒度分布和形状的相当等级的物料来使变更的影响最小化。没有对物料放行标准、供应商或生产场地进行变更。

13.7.1.2对关键质量属性的潜在影响：最终混合性能对硬脂酸镁的疏水性很敏感。即使物料可能符合放行标准，一个疏水性稍微不同的替代的物料也可能潜在影响片剂关键质量属性，比如外观、硬度和溶出度（因为会润滑不足或润滑多度）。

润滑不足可能引起压片冲击时粉末粘附从而导致粘结和用于识别药品的印花和或效力的潜在改变。所以字迹模糊的印字都被考虑是关键缺陷。

润滑过度，与疏水性物质在一起的颗粒过度包衣的结果，可能导致溶出度推迟或改变颗粒间的内聚力并对片剂硬度产生不良影响产生软片。

13.7.1.3 计算风险：风险分析（表13.5）导向不可接受中等风险并需要降低计划。在这里假定这些建议措施的实施已被评估为不会产生新的风险。

13.7.1.4 建议的措施：为了确保替换硬脂酸镁在制剂生产中的等效性将生产一个确认批次并对进行外观、硬度和溶出度进行大量分层测试。这个行动的实施将风险降低至尽可能合理可行的低，通过提供数据保证未来生产批次将符合产品质量和法规符合性。

表13.5 变更硬脂酸镁的来源的风险评估
工艺步骤	失效	SEV	原因/工艺失效	OCC	现有控制措施	DET	RPR	风险接受	行动
总混 润滑	片子失败    外观-印字被磨掉	H	润滑不足（包膜、粘结、	L	过程检测（目视和放行测试）	M	M	否	工艺确认（1批）增加对外观、硬度和溶出度的分层中间过程检测
总混   润滑	片子失败   硬度中间控制指标不符合（太软）	H	过度润滑（片子在正常工艺中损坏）	L	过程检测（易碎性和硬度）	M	M	否
总混   润滑	片子失败  溶出度指标	H	过度润滑（颗粒过度包衣导致产品溶出度减速）	L	过程检测（崩解度和放行测试）	M	M	否

13.7.2 案例研究#2：无菌产品主要要素变更

13.7.2.1 变更描述：替换个别供应商生产的包装容器（玻璃瓶）。可以在不同工厂向其他供应商购买符合现行物料标准（尺寸和化学等效性）的替换的包装容器。

13.7.2.2 潜在影响的关键质量属性（CQAs）：引入的生物负载/污染物（现有的清洁和灭菌周期是基于现在停用的瓶）是一个关键质量属性（CQA）可能被一个不同的供应商带来不利的影响。

引入的瓶子的完整性（破碎或裂纹可能导致无菌失效）也可能有不利影响。

13.7.2.3 计算风险：已识别额风险事件（表13.6）的整体风险一般为高，主要因为无菌失效的严重性和发生无菌失效后可检测性等级一般都是高。（在一般（可接受质量等级）AQL测试中，在发生无菌失效后检测到的可能性低）

13.7.2.4 建议的行动：降低风险的建议的行动包括增加进入时质量检查、履行供应商审计/确认、重新实施清洁和灭菌周期验证和至少进行一批次培养基模拟灌装。

13.7.3 案例研究#3：设备变更

13.7.3.1 变更描述：在腐蚀性、温度敏感的药物悬浮固体的合成中，一个350L的带夹套的搅拌反应釜用来加热和搅拌悬浮物。为了增加批量变更为700L反应釜。

13.7.3.2潜在影响的关键质量属性：考虑为对符合产品质量标准（和因此保证患者安全）关键的属性识别如下：

•设备的材质（腐蚀性）

•搅拌流体动力学（流动性、剪切力等）和

•温度均匀性

这些工艺的特性和完整性需要在新设备设计中保持。

表13.6 变更瓶生产商的风险评估
工艺步骤，变更控制，偏差，失效事件等	F	SEV	原因	OCC	现有控制措施	DET	RPR	风险接受	行动
变更产品用瓶的供应商	瓶没有充分灭菌	H	瓶子有不同的尺寸和/或不同的材质（MOC）	M	供应商已经确认符合同样的尺寸标准和材质要求，QA接收时取样	L	M	N	增加进厂QA检查和实施供应商审计
变更产品用瓶的供应商	瓶没有充分灭菌	H	瓶子引入更高的生物负载；不充分的GMP和生产控制等	M	供应商声明瓶子符合现行的生物负载标准；进来时IQA检测	H	H	N	在采购前实施供应商GMP审计；实施增加的IQA生物负载检测；第一批实施培养基模拟灌装；实施清洁验证研究
变更产品用瓶的供应商	瓶没有充分灭菌；颗粒存在或残留膜	H	瓶子被污染；使用不同的脱模剂	H	供应商声明脱模剂在其他制药客户那里没有问题，IQA检测	H	H	N	实施清洁验证研究；实施培养基模拟灌装
变更产品用瓶的供应商	灭菌失败	H	因为不同的包装外形或包装尺寸导致瓶子破裂/裂纹	M	供应商声明将提供瓶子充分的包装避免破损；最终产品检测	M	H	N	将包装要求写进购货说明中，实施培养基模拟灌装，头三批增加IQA检查

13.7.3.3 计算风险：产品搅拌和加热放大的计算的风险考虑为中等，主要因为在购买设备前为此复杂工艺现有的控制措施不需要详细的搅拌设计分析。使用错误材质的风险也考虑为低因为现有控制是有效的（表13.7）。（可检测性等级分为低，因为可检测能力高）

表13.7 变更反应釜的风险评估
工艺步骤，变更控制，偏差，失效事件等	失效	SEV	原因	OCC	现有控制措施	DET	RPR	风险接受	行动
增加反应釜尺寸	产品不充分的搅拌；不符合含量均匀性	H	搅拌类型和转速控制；不充分的搅拌时间	M	现行程序需要工程研究、设计确认、开发批次和工艺验证	L	M	N	在指定新的搅拌设备前实施细节的3D工程/工艺模拟作为设计确认的一部分
增加反应釜尺寸	因为降解（局部过热）产品不符合放行标准	H	夹套的热交换系统无效	M	现行程序需要工程研究、设计确认、开发批次、工艺验证；产品放行检测	L	M	N	在指定新的搅拌设备前实施细节的3D工程/工艺模拟作为设计确认的一部分
增加反应釜尺寸	产品被设备腐蚀物污染	H	材质不对（MOC）	L	现行程序需要工程研究、设计确认、开发批次和工艺验证	L	L	Y	不需要

13.7.3.4 建议的行为：以下建议开发用来确保质量在变更过程中保持：

• 在设计和购买新反应釜前实施一个详细的3D工程研究。（标准的最好实践分析没有考虑有效以降低产品风险，因为工艺太复杂）

13.7.4案例研究#4：树脂抑制剂（FTA）

13.7.4.1 变更描述：考虑变更用在树脂储存溶液中的抑制剂的浓度来预防生物增长。此树脂被用在制药产品的生产中。为了工艺安全目的去尽可能降低抑制剂浓度是满足需要的。

故障树分析法（FTA）是一个能够用来评估制药生产工艺中的变更对患者安全的影响的技术。故障树分析法（FTA）是从上而下地开发的。这些故障树使用门和事件（块）来建立。在故障树中两个最常用的门是“和”和“或”关卡。作为一个形象化的例子，考虑通过相关FTA(图13.2)中描述的简单的实例。

在此例中，考虑两个事件（或块）组成一个顶部事件（或一个系统）。抑制剂浓度的变更可能影响患者安全（A）可能导致：

• 不可接受的生物生长（B）或

• 化学上改变树脂（C）

如果这些事件（B或C）发生会导致顶部事件（A）发生，于是这些事件（块）使用一个“或”门来链接。如果这些事件中一个比如不可接受的生物生长（B）需要两个其他事件发生，比如

• 抑制剂浓度太低允许细菌生长（D）；和

• 细菌出现于可生长的足够浓度内（E）

它们一起发生应该会引其上述事件（B）发生，它们使用“和”门连接。

事件发生的可能性用高中低来描述。允许细菌生长的低抑制剂浓度（D）出现的可能性没有进一步研究被考虑为高。细菌出现在可生长的足够浓度中（E）的可能性为低因为树脂生产中有清洁程序。由于允许不可接受的生长需要同时满足足够低的抑制剂浓度（D）和细菌出现在足够浓度中（E）两个条件，所以整体风险为中。树脂发生化学变化（C）的可能性为低，因为树脂不需要抑制剂用化学方法保护。

FTA的分析图指向结论为关键要素是（D）抑制剂细菌生长。一项研究可以证明抑制剂某些浓度可以足够高可以抑制细菌生长，同时足够低会带来工艺安全方面的担忧。

13.8 结论

整合质量风险管理（QRM）进入变更控制系统包括改进的风险交流、更快和更深入的基于科学的评估和提高的生产率。

整合质量风险管理（QRM）应该不难。日常变更可以从风险的角度首先评估然后通过行政管理比如简单的程序管理。更复杂的变更可以评估并使用通常为工业界所接受的工具比如FMEA或FTA来管理。成功实施的关键包括定义的方法、团队工作和管理层承诺。

质量风险管理（QRM）最终聚焦于对患者的风险上。产品质量和法规符合性可以用来作为患者风险的可以接受的替代。质量风险管理（QRM）的使用向药监当局证明了公司理解其产品且所有工艺都受控。

参考文献

1. FDA Guidance for Industry: Q9 Quality Risk Management, June 2006.FDA工业指南：Q9质量风险管理，2006年6月。

2. FDA Guidance for Industry: Q10 Pharmaceutical Quality Systems, April2009.FDA工业指南：Q10制药质量体系，2009年4月。

3. Procedure For Performing A Failure Mode Effect and CriticalityAnalysis, November United States Military Procedure, MIL-P-16. 实施失效模式影响和关键性分析的程序，1949年12月9,日, 美国军队程序 MIL-P-16。

4. Process Safety Management, OSHA 29 CFR 1910.119.工艺安全管理，OSHA29CFR1910.119。

5. FDA Guidance for Industry: Q8 Pharmaceutical Development, May 2006.FDA工业指南：Q8制药研发，2006年5月。

6. ISO 14971: Medical Devices-Application of Risk Management to MedicalDevices.ISP14971：医疗器械-风险管理在医疗器械上的应用。ISP14971。