制藥設(shè)備計(jì)算機(jī)化系統(tǒng)常見設(shè)計(jì)缺陷分析

謝光宇

（江蘇萬邦生化醫(yī)藥股份有限公司，江蘇徐州221004）

0 引言

2015年5月26日，國家食品藥品監(jiān)督管理總局正式發(fā)布了GMP附錄《計(jì)算機(jī)化系統(tǒng)》，并宣布將從2015年12月1日起施行。雖然過去一些企業(yè)早就開始關(guān)注計(jì)算機(jī)化系統(tǒng)這一概念，并且依據(jù)GAMP也開展了很多工作，一些新建項(xiàng)目也都按照GAMP去進(jìn)行，但法規(guī)的頒布，還是引起了行業(yè)內(nèi)的熱烈討論和重視。

對(duì)于大多數(shù)制藥企業(yè)來說，計(jì)算機(jī)化系統(tǒng)不是一個(gè)很熟悉的領(lǐng)域，畢竟處于不同的行業(yè)，相關(guān)的人才也缺乏，可能只有部分電氣自控的維修人員或工程技術(shù)人員略有了解，但大多可能了解得也不夠深入。

那么首先什么是計(jì)算機(jī)化系統(tǒng)呢？個(gè)人理解計(jì)算機(jī)化系統(tǒng)可以認(rèn)為是計(jì)算機(jī)系統(tǒng)與制藥設(shè)備、儀器、設(shè)施的結(jié)合，或者說設(shè)備、儀器、設(shè)施經(jīng)過“計(jì)算機(jī)化”的系統(tǒng)。比如我們的配液系統(tǒng)，過去可能全靠人工操作，人工開啟閥門、讀取記錄儀表數(shù)據(jù)，同時(shí)可能有一些繼電器和儀表控制電路實(shí)現(xiàn)部分的自動(dòng)控制。

現(xiàn)在我們用PLC、HMI、平板工控電腦、上位臺(tái)式機(jī)以及在上面運(yùn)行的各種程序軟件來控制系統(tǒng)的自動(dòng)化流程和數(shù)據(jù)記錄，那么這個(gè)配液系統(tǒng)就被“計(jì)算機(jī)化”了。當(dāng)然上面所說的計(jì)算機(jī)系統(tǒng)絕不僅僅指大家所認(rèn)為的上位臺(tái)式機(jī)、PLC以及HMI，稍有了解的人都知道這些其實(shí)都是計(jì)算機(jī)的不同類型，但事實(shí)上計(jì)算機(jī)系統(tǒng)的類型很廣泛，從一臺(tái)數(shù)字化儀表到一塊門互鎖的控制板，這都是計(jì)算機(jī)系統(tǒng)，采用了這些組件的系統(tǒng)都可以成為計(jì)算機(jī)化系統(tǒng)。它們的共同特點(diǎn)是具有數(shù)字化數(shù)據(jù)的采集、運(yùn)算和記錄（輸出）功能。

個(gè)人認(rèn)為，我們只需要關(guān)注那些涉及關(guān)鍵工藝控制、數(shù)據(jù)傳輸、記錄的計(jì)算機(jī)系統(tǒng)，比如我們改造一個(gè)過去只有變頻器、水泵這樣的純化水分配系統(tǒng)，我們?cè)黾右恍﹤鞲衅鬟B接一臺(tái)無紙記錄儀以記錄關(guān)鍵數(shù)據(jù)，這樣這個(gè)系統(tǒng)同樣被計(jì)算機(jī)化了，涉及到了電子數(shù)據(jù)，根據(jù)GMP附錄《計(jì)算機(jī)化系統(tǒng)》要求，我們需要開展一些相關(guān)的工作。

計(jì)算機(jī)化系統(tǒng)最大的特點(diǎn)是“看不見摸不著”，除非具有相關(guān)的專業(yè)知識(shí)和技能，比如具有PLC、HMI等工控組件的組態(tài)、編程能力。目前法規(guī)已經(jīng)頒布，我們?nèi)绾未_保計(jì)算機(jī)化系統(tǒng)代替人工操作時(shí)，不對(duì)產(chǎn)品的質(zhì)量、過程控制及其質(zhì)量保證水平造成負(fù)面影響，不增加總體風(fēng)險(xiǎn)；如何進(jìn)行風(fēng)險(xiǎn)管理，知道哪些地方可能存在風(fēng)險(xiǎn)；如何去測(cè)試一個(gè)計(jì)算機(jī)化系統(tǒng)，首先我們需要知道，計(jì)算機(jī)化系統(tǒng)哪些地方可能存在問題，以及如何去規(guī)避這些問題。因此，本文結(jié)合筆者近一兩年所參與的實(shí)際工程項(xiàng)目和后期的維護(hù)經(jīng)驗(yàn)，例舉一些計(jì)算機(jī)化系統(tǒng)常見設(shè)計(jì)缺陷的實(shí)際案例。

1 文件與程序不符

設(shè)備：西林瓶灌裝機(jī)。

問題：緩沖罐經(jīng)常出現(xiàn)不進(jìn)料的情況。

這臺(tái)灌裝機(jī)當(dāng)時(shí)剛剛正式投入生產(chǎn)，結(jié)果出現(xiàn)了頻繁不進(jìn)料、偶爾出現(xiàn)溢料的情況，嚴(yán)重影響了正常生產(chǎn)，同時(shí)也造成了較大的損失。

筆者查閱了說明書，可以看到圖1中對(duì)于緩沖罐液位控制的描述。說明書中描述的對(duì)于低液位的控制是當(dāng)設(shè)備運(yùn)行達(dá)到設(shè)定的灌裝周期后即開始進(jìn)料的，高液位是液位計(jì)控制，因此我們對(duì)主機(jī)編碼器進(jìn)行了檢查，始終沒有發(fā)現(xiàn)問題，也無法解決。只好通過STEP7軟件讀取了灌裝機(jī)PLC程序并進(jìn)行檢查，關(guān)于緩沖罐液位的控制程序如圖2所示?？梢钥吹剑何恢皇峭ㄟ^液位計(jì)的高低探頭控制的，與灌裝周期無關(guān)，最終發(fā)現(xiàn)是因藥液泡沫以及電極式液位計(jì)所設(shè)定的電阻值不合適造成的。

這個(gè)問題看起來并不是設(shè)備本身的問題，但從設(shè)備全生命周期的角度來看，文件是計(jì)算機(jī)化系統(tǒng)非常重要的一部分，文件不正確，對(duì)于設(shè)備的使用、故障調(diào)查都會(huì)產(chǎn)生很大的阻礙，對(duì)產(chǎn)品質(zhì)量也可能造成一定的風(fēng)險(xiǎn)。特別是面對(duì)新采購的設(shè)備。因?yàn)榇蠖鄶?shù)情況下，用戶還是根據(jù)文件來了解設(shè)備，而不是直接通過程序，但是設(shè)備卻是按照程序運(yùn)行而非文件。當(dāng)用戶認(rèn)為文件是合理的時(shí)候，設(shè)備的運(yùn)行卻不一定正確。

對(duì)于這種情況，由于測(cè)試、驗(yàn)證與實(shí)際生產(chǎn)之間不可能完全一致，單純的測(cè)試與驗(yàn)證不一定能夠發(fā)現(xiàn)這一類問題，因此，關(guān)鍵設(shè)備程序源代碼的審核，不論是自己還是找第三方，有條件還是要做一下。如果設(shè)備供應(yīng)商比較可靠的話，供應(yīng)商自己也可以審核一下代碼和文件。

圖1 說明書中關(guān)于緩沖罐液位控制的描述

圖2 緩沖罐液位的控制程序

2 參數(shù)沒有設(shè)限

（1）設(shè)備：塞紙機(jī)。

問題：塞紙機(jī)按下觸摸屏啟動(dòng)按鈕后無反應(yīng)，設(shè)備無法啟動(dòng)，PLC Err燈報(bào)警。

該設(shè)備采用松下FP0 PLC，從網(wǎng)上獲取其組態(tài)軟件FPWIN GR，聯(lián)機(jī)后發(fā)現(xiàn)PLC運(yùn)算錯(cuò)誤，下載并閱讀程序后發(fā)現(xiàn)問題在于：塞紙機(jī)速度由PWM參數(shù)控制，范圍為0～1 000，此參數(shù)在不啟動(dòng)塞紙機(jī)的時(shí)候是不顯示的，但是增減參數(shù)的按鍵是顯示的，如果按下增減參數(shù)的按鍵（按一下增減20），參數(shù)是會(huì)變化的。此次故障是由于按鍵在設(shè)備不啟動(dòng)時(shí)被無意按下多次，使該參數(shù)達(dá)到了1 080，超過了限制導(dǎo)致PLC運(yùn)算錯(cuò)誤。

因此對(duì)程序做以下修改，如圖3所示：程序第3行，增加R180限制，即只有在開啟了塞紙機(jī)后（開塞紙機(jī)按鈕地址R180）才能調(diào)節(jié)塞紙機(jī)速度參數(shù)。

該故障是設(shè)備的一種設(shè)計(jì)缺陷，輸入的參數(shù)沒有范圍限制，對(duì)于這臺(tái)設(shè)備而言這僅僅只是一種故障，而對(duì)于其他的情況，也許會(huì)對(duì)產(chǎn)品質(zhì)量或人員安全產(chǎn)生嚴(yán)重的損害。

（2）設(shè)備：裝盒機(jī)。

問題：電子監(jiān)管碼信號(hào)不能觸發(fā)推盒氣缸。

正確的電子監(jiān)管碼會(huì)給PLC一個(gè)信號(hào)，不正確的則不會(huì)給信號(hào)，推盒氣缸不動(dòng)作。但已確定了電子監(jiān)管碼正確，推盒氣缸仍然不工作。推盒動(dòng)作是由歐姆龍PLC控制的。因此我們下載了歐姆龍PLC軟件，上傳程序。發(fā)現(xiàn)電子監(jiān)管碼i0.4信號(hào)觸發(fā)后延時(shí)400 ms才能觸發(fā)氣缸，如圖4所示。而上位機(jī)電子監(jiān)管碼軟件上設(shè)置電壓延時(shí)才50 ms。

圖3 塞紙機(jī)PLC控制程序

圖4 裝盒機(jī)推盒部分控制程序

對(duì)于以上的這2個(gè)案例，都是由于輸入?yún)?shù)沒有限制措施所造成的。這種情況其實(shí)很好解決，目前主流的觸摸屏都可以對(duì)數(shù)字輸入框進(jìn)行范圍設(shè)定。而例1中采用按鍵來增減參數(shù)，這種做法沒有任何優(yōu)點(diǎn)，不推薦。其他如滑動(dòng)條調(diào)整參數(shù)，同樣如此。在做設(shè)備OQ的時(shí)候，需要對(duì)輸入的參數(shù)進(jìn)行范圍確認(rèn)，測(cè)試高于或低于范圍的參數(shù)是否可以被輸入進(jìn)去。需要特別指出的是，有時(shí)候觸摸屏輸入的數(shù)據(jù)，在PLC內(nèi)部可能需要再次處理。比如有些老款或低檔的觸摸屏不支持小數(shù)，如看起來輸入的是12.34，實(shí)際傳送到PLC的是1234，PLC還需要進(jìn)行數(shù)據(jù)處理才能得到正確的值。另外還有一些情況可能是不同碼制的轉(zhuǎn)換等。對(duì)于可靠的供應(yīng)商及成熟設(shè)備來說，一般不會(huì)存在處理上的錯(cuò)誤。而一些新設(shè)備或特殊定制的設(shè)備，這一點(diǎn)也是需要關(guān)注的。當(dāng)然，根據(jù)GAMP5和新出的GMP附錄《計(jì)算機(jī)化系統(tǒng)》，這一類設(shè)備的軟件的分類級(jí)別也是比較高的，需要特殊關(guān)注。

3 斷電后設(shè)備丟失參數(shù)

設(shè)備：濕熱滅菌柜、器具清洗機(jī)。

問題：設(shè)備斷電數(shù)日后參數(shù)丟失。

這種問題主要發(fā)生在采用西門子S7-200和老式的S7-300 PLC的設(shè)備上。雖然電池卡和及時(shí)更換電池可以有效避免這一情況，但是電池壽命往往達(dá)不到預(yù)期，不及時(shí)更換還是會(huì)出現(xiàn)參數(shù)丟失的情況，如果沒有做好參數(shù)記錄，往往會(huì)非常麻煩，因?yàn)楹芏鄥?shù)是經(jīng)過長(zhǎng)期調(diào)試后確定的最佳參數(shù)，難以在短時(shí)間內(nèi)重新找回。即使有記錄，重新輸入?yún)?shù)也非常麻煩，幾十乃至上百個(gè)參數(shù)，很多往往還需要輸入權(quán)限密碼，重新輸入一次參數(shù)可能需要按鍵數(shù)百次乃至更多。

設(shè)備如果使用的是西門子系列或其他品牌的觸摸屏，具有配方功能（圖5）的，是完全可以避免這種情況發(fā)生的。

圖5 西門子觸摸屏組態(tài)軟件配方功能

目前一些設(shè)備只在工藝參數(shù)上使用了配方功能，而在設(shè)備參數(shù)上卻忽視了這一功能的作用。由于配方的數(shù)據(jù)是存儲(chǔ)在觸摸屏的非易失存儲(chǔ)器中的，斷電不會(huì)導(dǎo)致數(shù)據(jù)丟失，所以只需要在觸摸屏上增加設(shè)備參數(shù)的管理畫面（圖6），即使參數(shù)丟失，選擇設(shè)備參數(shù)配方后只需按下參數(shù)恢復(fù)按鍵，將設(shè)備參數(shù)配方下載到PLC中，一鍵就可以恢復(fù)所有的參數(shù)。同時(shí)，也便于參數(shù)的集中管理。

圖6 新增的濕熱滅菌柜設(shè)備參數(shù)配方管理畫面

4 流程計(jì)時(shí)與打印計(jì)時(shí)不統(tǒng)一

設(shè)備：濕熱滅菌柜。

問題：打印機(jī)打印的記錄中，滅菌階段時(shí)間比設(shè)定時(shí)間少了1～2 s。

造成該問題的主要原因?yàn)椋涸诔绦蛑辛鞒痰挠?jì)時(shí)與打印的時(shí)間的獲取是在不同的程序段中采用不同的方法進(jìn)行的。

流程的計(jì)時(shí)采用的是SM0.5特殊寄存器配合計(jì)數(shù)器來進(jìn)行的，如圖7所示。一個(gè)10 s計(jì)時(shí)的程序，SM0.5提供時(shí)鐘脈沖，該脈沖在1 s的周期時(shí)間內(nèi)OFF（關(guān)閉）0.5 s，ON（打開）0.5 s。當(dāng)滅菌柜滅菌標(biāo)志位S0.3置位后，每當(dāng)SM0.5從OFF變?yōu)镺N時(shí)，C3的值加1，直到加滿10，C3置位進(jìn)入排汽階段。

圖7 S7-200PLC中利用計(jì)數(shù)器計(jì)時(shí)的程序示例

而打印的時(shí)間數(shù)據(jù)是通過讀取系統(tǒng)實(shí)時(shí)時(shí)鐘來獲得的。C3的置位同時(shí)將觸發(fā)打印程序，打印程序通過READ_RTC指令讀取系統(tǒng)時(shí)鐘，將當(dāng)前實(shí)時(shí)時(shí)間寫入打印表中，作為滅菌結(jié)束的時(shí)間打印出來。

之所以兩者會(huì)有不同，主要是由于程序的一個(gè)漏洞。C3通過計(jì)數(shù)的方式計(jì)時(shí)，當(dāng)CU獲得一個(gè)上升沿則C3加1，但是上升沿不光可以通過SM0.5的跳動(dòng)獲得，當(dāng)S0.3置位的瞬間，如果SM0.5處于那接通的0.5 s，則S0.3的置位將使得C3加1，也就意味著進(jìn)入滅菌階段的同時(shí)（S0.3置位），C3的計(jì)時(shí)就已經(jīng)過去了1 s。而READ_RTC讀取的時(shí)鐘是連續(xù)的，不存在這種影響，所以打印出來的時(shí)間會(huì)少1 s。而如果S0.3置位的瞬間SM0.5處于斷開的0.5 s，則不會(huì)出現(xiàn)這種情況。

至于為什么有時(shí)候會(huì)出現(xiàn)2 s的誤差。個(gè)人認(rèn)為是由于S0.3如果在SM0.5剛剛接通時(shí)置位，再加上由于READ_RTC處于不同的程序段且打印數(shù)據(jù)的處理量較大而導(dǎo)致掃描周期造成的時(shí)間差，可能會(huì)導(dǎo)致2 s的情況出現(xiàn)，但絕對(duì)不會(huì)出現(xiàn)3 s的情況，在設(shè)備實(shí)際使用中，也確實(shí)沒有出現(xiàn)過3 s的情況。

其實(shí)這個(gè)問題對(duì)滅菌效果來說是沒有什么影響的，不論是過度殺滅的情況，還是熱敏感比較高的藥物的滅菌，1～2 s的誤差都不會(huì)有什么問題，是一個(gè)可以接受的偏差，但是這個(gè)偏差需要一個(gè)合理的解釋。當(dāng)然我們可以通過修改程序來避免這種問題的發(fā)生，比如用掉電保護(hù)性接通延時(shí)定時(shí)器來替代計(jì)數(shù)器計(jì)時(shí)等。

5 時(shí)序漏洞

設(shè)備：全自動(dòng)配液系統(tǒng)。

問題：需要人員確認(rèn)的流程在沒有人員確認(rèn)的情況下自動(dòng)跳過，使得料液進(jìn)入到正在安裝的管路中，損失料液多達(dá)10 kg。

該問題最大的難點(diǎn)在于它并不經(jīng)常出現(xiàn)，直到我們有一臺(tái)觸摸屏觸摸功能損壞而采用鼠標(biāo)進(jìn)行控制后才頻繁發(fā)生，并且我們了解到該鼠標(biāo)由于微動(dòng)開關(guān)接觸不良存在點(diǎn)擊一下觸發(fā)多次的情況。根據(jù)這個(gè)情況，并經(jīng)過仔細(xì)閱讀配液系統(tǒng)的程序后，我們發(fā)現(xiàn)問題是由于觸摸屏按鍵的屬性與PLC程序在時(shí)序上的一個(gè)漏洞所造成的。

首先，觸摸屏用于控制配液流程的“繼續(xù)”按鈕的事件屬性如圖8所示，按鈕只有在“釋放”后才會(huì)使得變量“ZoneBAcknContinue”置位。如果出現(xiàn)頻繁按下“繼續(xù)”按鈕，那么這個(gè)置位動(dòng)作在短時(shí)間內(nèi)也會(huì)頻繁發(fā)生。

圖8 配液系統(tǒng)“繼續(xù)”按鈕在組態(tài)軟件中的設(shè)置

我們?cè)賮砜匆幌翽LC中對(duì)于這個(gè)“繼續(xù)”按鈕信號(hào)的處理，如圖9所示。當(dāng)“繼續(xù)”按鈕置位后，程序立刻進(jìn)行了復(fù)位“R#ConfirmContinue”，但是如果“繼續(xù)”按鈕在復(fù)位程序后被按下，這個(gè)標(biāo)志位將再次被置位，而沒有復(fù)位的程序了。

圖9 配液系統(tǒng)PLC程序中對(duì)“繼續(xù)”按鈕信號(hào)的處理程序

本來提示“繼續(xù)”的按鈕界面在按下后會(huì)消失，理論上不會(huì)出現(xiàn)“繼續(xù)”按鈕被多次按下的情況。但由于系統(tǒng)存在一定的延遲，如果按下“繼續(xù)”按鈕的速度很快，還是會(huì)被觸發(fā)。由于系統(tǒng)反應(yīng)延遲的存在，操作人員往往沒有耐心，頻繁點(diǎn)擊按鈕，觸摸屏的觸摸反應(yīng)較慢，所以在觸摸功能還完好的時(shí)候，這種情況不是很頻繁。當(dāng)更換為鼠標(biāo)后，由于鼠標(biāo)響應(yīng)速度較快，且由于微動(dòng)開關(guān)的接觸不良發(fā)生極短時(shí)間內(nèi)頻繁觸發(fā)的情況，所以這種情況也就頻繁發(fā)生了。

對(duì)于此問題，可以在確認(rèn)操作人員選擇“繼續(xù)”的程序段前再復(fù)位一次繼續(xù)標(biāo)志位就可以解決。這是一個(gè)在驗(yàn)證測(cè)試階段很難發(fā)現(xiàn)的程序漏洞，而且是一個(gè)很可怕的漏洞，一臺(tái)設(shè)備跳過了人員的確認(rèn)而自動(dòng)向下運(yùn)行，是可能造成嚴(yán)重后果的。因此，不論是供應(yīng)商，還是藥企的技術(shù)人員，只有具備豐富的經(jīng)驗(yàn)和專業(yè)的技能知識(shí)，才能減少此類事件的發(fā)生。

6 結(jié)語

通過以上的這些例子我們可以了解到，計(jì)算機(jī)化系統(tǒng)在為制藥生產(chǎn)帶來高效率和高可靠性的同時(shí)，隱藏著許多風(fēng)險(xiǎn)。所以，新版GMP推出的附錄《計(jì)算機(jī)化系統(tǒng)》絕對(duì)是有其存在的實(shí)際意義和必要性的。在新的法規(guī)要求下，對(duì)制藥設(shè)備的設(shè)計(jì)與驗(yàn)證過程提出了新的要求。不論作為制藥企業(yè)，還是制藥機(jī)械生產(chǎn)企業(yè)，都應(yīng)該積極面對(duì)新的要求，因?yàn)檫@些要求不僅只是法規(guī)的條文，更是對(duì)患者生命安全的有力保障。