制藥設備計算機化系統常見設計缺陷分析

謝光宇

（江蘇萬邦生化醫藥股份有限公司，江蘇徐州221004）

0 引言

2015年5月26日，國家食品藥品監督管理總局正式發布了GMP附錄《計算機化系統》，并宣布將從2015年12月1日起施行。雖然過去一些企業早就開始關注計算機化系統這一概念，并且依據GAMP也開展了很多工作，一些新建項目也都按照GAMP去進行，但法規的頒布，還是引起了行業內的熱烈討論和重視。

對于大多數制藥企業來說，計算機化系統不是一個很熟悉的領域，畢竟處于不同的行業，相關的人才也缺乏，可能只有部分電氣自控的維修人員或工程技術人員略有了解，但大多可能了解得也不夠深入。

那么首先什么是計算機化系統呢？個人理解計算機化系統可以認為是計算機系統與制藥設備、儀器、設施的結合，或者說設備、儀器、設施經過“計算機化”的系統。比如我們的配液系統，過去可能全靠人工操作，人工開啟閥門、讀取記錄儀表數據，同時可能有一些繼電器和儀表控制電路實現部分的自動控制。

現在我們用PLC、HMI、平板工控電腦、上位臺式機以及在上面運行的各種程序軟件來控制系統的自動化流程和數據記錄，那么這個配液系統就被“計算機化”了。當然上面所說的計算機系統絕不僅僅指大家所認為的上位臺式機、PLC以及HMI，稍有了解的人都知道這些其實都是計算機的不同類型，但事實上計算機系統的類型很廣泛，從一臺數字化儀表到一塊門互鎖的控制板，這都是計算機系統，采用了這些組件的系統都可以成為計算機化系統。它們的共同特點是具有數字化數據的采集、運算和記錄（輸出）功能。

個人認為，我們只需要關注那些涉及關鍵工藝控制、數據傳輸、記錄的計算機系統，比如我們改造一個過去只有變頻器、水泵這樣的純化水分配系統，我們增加一些傳感器連接一臺無紙記錄儀以記錄關鍵數據，這樣這個系統同樣被計算機化了，涉及到了電子數據，根據GMP附錄《計算機化系統》要求，我們需要開展一些相關的工作。

計算機化系統最大的特點是“看不見摸不著”，除非具有相關的專業知識和技能，比如具有PLC、HMI等工控組件的組態、編程能力。目前法規已經頒布，我們如何確保計算機化系統代替人工操作時，不對產品的質量、過程控制及其質量保證水平造成負面影響，不增加總體風險；如何進行風險管理，知道哪些地方可能存在風險；如何去測試一個計算機化系統，首先我們需要知道，計算機化系統哪些地方可能存在問題，以及如何去規避這些問題。因此，本文結合筆者近一兩年所參與的實際工程項目和后期的維護經驗，例舉一些計算機化系統常見設計缺陷的實際案例。

1 文件與程序不符

設備：西林瓶灌裝機。

問題：緩沖罐經常出現不進料的情況。

這臺灌裝機當時剛剛正式投入生產，結果出現了頻繁不進料、偶爾出現溢料的情況，嚴重影響了正常生產，同時也造成了較大的損失。

筆者查閱了說明書，可以看到圖1中對于緩沖罐液位控制的描述。說明書中描述的對于低液位的控制是當設備運行達到設定的灌裝周期后即開始進料的，高液位是液位計控制，因此我們對主機編碼器進行了檢查，始終沒有發現問題，也無法解決。只好通過STEP7軟件讀取了灌裝機PLC程序并進行檢查，關于緩沖罐液位的控制程序如圖2所示。可以看到，液位只是通過液位計的高低探頭控制的，與灌裝周期無關，最終發現是因藥液泡沫以及電極式液位計所設定的電阻值不合適造成的。

這個問題看起來并不是設備本身的問題，但從設備全生命周期的角度來看，文件是計算機化系統非常重要的一部分，文件不正確，對于設備的使用、故障調查都會產生很大的阻礙，對產品質量也可能造成一定的風險。特別是面對新采購的設備。因為大多數情況下，用戶還是根據文件來了解設備，而不是直接通過程序，但是設備卻是按照程序運行而非文件。當用戶認為文件是合理的時候，設備的運行卻不一定正確。

對于這種情況，由于測試、驗證與實際生產之間不可能完全一致，單純的測試與驗證不一定能夠發現這一類問題，因此，關鍵設備程序源代碼的審核，不論是自己還是找第三方，有條件還是要做一下。如果設備供應商比較可靠的話，供應商自己也可以審核一下代碼和文件。

圖1 說明書中關于緩沖罐液位控制的描述

圖2 緩沖罐液位的控制程序

2 參數沒有設限

（1）設備：塞紙機。

問題：塞紙機按下觸摸屏啟動按鈕后無反應，設備無法啟動，PLC Err燈報警。

該設備采用松下FP0 PLC，從網上獲取其組態軟件FPWIN GR，聯機后發現PLC運算錯誤，下載并閱讀程序后發現問題在于：塞紙機速度由PWM參數控制，范圍為0～1 000，此參數在不啟動塞紙機的時候是不顯示的，但是增減參數的按鍵是顯示的，如果按下增減參數的按鍵（按一下增減20），參數是會變化的。此次故障是由于按鍵在設備不啟動時被無意按下多次，使該參數達到了1 080，超過了限制導致PLC運算錯誤。

因此對程序做以下修改，如圖3所示：程序第3行，增加R180限制，即只有在開啟了塞紙機后（開塞紙機按鈕地址R180）才能調節塞紙機速度參數。

該故障是設備的一種設計缺陷，輸入的參數沒有范圍限制，對于這臺設備而言這僅僅只是一種故障，而對于其他的情況，也許會對產品質量或人員安全產生嚴重的損害。

（2）設備：裝盒機。

問題：電子監管碼信號不能觸發推盒氣缸。

正確的電子監管碼會給PLC一個信號，不正確的則不會給信號，推盒氣缸不動作。但已確定了電子監管碼正確，推盒氣缸仍然不工作。推盒動作是由歐姆龍PLC控制的。因此我們下載了歐姆龍PLC軟件，上傳程序。發現電子監管碼i0.4信號觸發后延時400 ms才能觸發氣缸，如圖4所示。而上位機電子監管碼軟件上設置電壓延時才50 ms。

圖3 塞紙機PLC控制程序

圖4 裝盒機推盒部分控制程序

對于以上的這2個案例，都是由于輸入參數沒有限制措施所造成的。這種情況其實很好解決，目前主流的觸摸屏都可以對數字輸入框進行范圍設定。而例1中采用按鍵來增減參數，這種做法沒有任何優點，不推薦。其他如滑動條調整參數，同樣如此。在做設備OQ的時候，需要對輸入的參數進行范圍確認，測試高于或低于范圍的參數是否可以被輸入進去。需要特別指出的是，有時候觸摸屏輸入的數據，在PLC內部可能需要再次處理。比如有些老款或低檔的觸摸屏不支持小數，如看起來輸入的是12.34，實際傳送到PLC的是1234，PLC還需要進行數據處理才能得到正確的值。另外還有一些情況可能是不同碼制的轉換等。對于可靠的供應商及成熟設備來說，一般不會存在處理上的錯誤。而一些新設備或特殊定制的設備，這一點也是需要關注的。當然，根據GAMP5和新出的GMP附錄《計算機化系統》，這一類設備的軟件的分類級別也是比較高的，需要特殊關注。

3 斷電后設備丟失參數

設備：濕熱滅菌柜、器具清洗機。

問題：設備斷電數日后參數丟失。

這種問題主要發生在采用西門子S7-200和老式的S7-300 PLC的設備上。雖然電池卡和及時更換電池可以有效避免這一情況，但是電池壽命往往達不到預期，不及時更換還是會出現參數丟失的情況，如果沒有做好參數記錄，往往會非常麻煩，因為很多參數是經過長期調試后確定的最佳參數，難以在短時間內重新找回。即使有記錄，重新輸入參數也非常麻煩，幾十乃至上百個參數，很多往往還需要輸入權限密碼，重新輸入一次參數可能需要按鍵數百次乃至更多。

設備如果使用的是西門子系列或其他品牌的觸摸屏，具有配方功能（圖5）的，是完全可以避免這種情況發生的。

圖5 西門子觸摸屏組態軟件配方功能

目前一些設備只在工藝參數上使用了配方功能，而在設備參數上卻忽視了這一功能的作用。由于配方的數據是存儲在觸摸屏的非易失存儲器中的，斷電不會導致數據丟失，所以只需要在觸摸屏上增加設備參數的管理畫面（圖6），即使參數丟失，選擇設備參數配方后只需按下參數恢復按鍵，將設備參數配方下載到PLC中，一鍵就可以恢復所有的參數。同時，也便于參數的集中管理。

圖6 新增的濕熱滅菌柜設備參數配方管理畫面

4 流程計時與打印計時不統一

設備：濕熱滅菌柜。

問題：打印機打印的記錄中，滅菌階段時間比設定時間少了1～2 s。

造成該問題的主要原因為：在程序中流程的計時與打印的時間的獲取是在不同的程序段中采用不同的方法進行的。

流程的計時采用的是SM0.5特殊寄存器配合計數器來進行的，如圖7所示。一個10 s計時的程序，SM0.5提供時鐘脈沖，該脈沖在1 s的周期時間內OFF（關閉）0.5 s，ON（打開）0.5 s。當滅菌柜滅菌標志位S0.3置位后，每當SM0.5從OFF變為ON時，C3的值加1，直到加滿10，C3置位進入排汽階段。

圖7 S7-200PLC中利用計數器計時的程序示例

而打印的時間數據是通過讀取系統實時時鐘來獲得的。C3的置位同時將觸發打印程序，打印程序通過READ_RTC指令讀取系統時鐘，將當前實時時間寫入打印表中，作為滅菌結束的時間打印出來。

之所以兩者會有不同，主要是由于程序的一個漏洞。C3通過計數的方式計時，當CU獲得一個上升沿則C3加1，但是上升沿不光可以通過SM0.5的跳動獲得，當S0.3置位的瞬間，如果SM0.5處于那接通的0.5 s，則S0.3的置位將使得C3加1，也就意味著進入滅菌階段的同時（S0.3置位），C3的計時就已經過去了1 s。而READ_RTC讀取的時鐘是連續的，不存在這種影響，所以打印出來的時間會少1 s。而如果S0.3置位的瞬間SM0.5處于斷開的0.5 s，則不會出現這種情況。

至于為什么有時候會出現2 s的誤差。個人認為是由于S0.3如果在SM0.5剛剛接通時置位，再加上由于READ_RTC處于不同的程序段且打印數據的處理量較大而導致掃描周期造成的時間差，可能會導致2 s的情況出現，但絕對不會出現3 s的情況，在設備實際使用中，也確實沒有出現過3 s的情況。

其實這個問題對滅菌效果來說是沒有什么影響的，不論是過度殺滅的情況，還是熱敏感比較高的藥物的滅菌，1～2 s的誤差都不會有什么問題，是一個可以接受的偏差，但是這個偏差需要一個合理的解釋。當然我們可以通過修改程序來避免這種問題的發生，比如用掉電保護性接通延時定時器來替代計數器計時等。

5 時序漏洞

設備：全自動配液系統。

問題：需要人員確認的流程在沒有人員確認的情況下自動跳過，使得料液進入到正在安裝的管路中，損失料液多達10 kg。

該問題最大的難點在于它并不經常出現，直到我們有一臺觸摸屏觸摸功能損壞而采用鼠標進行控制后才頻繁發生，并且我們了解到該鼠標由于微動開關接觸不良存在點擊一下觸發多次的情況。根據這個情況，并經過仔細閱讀配液系統的程序后，我們發現問題是由于觸摸屏按鍵的屬性與PLC程序在時序上的一個漏洞所造成的。

首先，觸摸屏用于控制配液流程的“繼續”按鈕的事件屬性如圖8所示，按鈕只有在“釋放”后才會使得變量“ZoneBAcknContinue”置位。如果出現頻繁按下“繼續”按鈕，那么這個置位動作在短時間內也會頻繁發生。

圖8 配液系統“繼續”按鈕在組態軟件中的設置

我們再來看一下PLC中對于這個“繼續”按鈕信號的處理，如圖9所示。當“繼續”按鈕置位后，程序立刻進行了復位“R#ConfirmContinue”，但是如果“繼續”按鈕在復位程序后被按下，這個標志位將再次被置位，而沒有復位的程序了。

圖9 配液系統PLC程序中對“繼續”按鈕信號的處理程序

本來提示“繼續”的按鈕界面在按下后會消失，理論上不會出現“繼續”按鈕被多次按下的情況。但由于系統存在一定的延遲，如果按下“繼續”按鈕的速度很快，還是會被觸發。由于系統反應延遲的存在，操作人員往往沒有耐心，頻繁點擊按鈕，觸摸屏的觸摸反應較慢，所以在觸摸功能還完好的時候，這種情況不是很頻繁。當更換為鼠標后，由于鼠標響應速度較快，且由于微動開關的接觸不良發生極短時間內頻繁觸發的情況，所以這種情況也就頻繁發生了。

對于此問題，可以在確認操作人員選擇“繼續”的程序段前再復位一次繼續標志位就可以解決。這是一個在驗證測試階段很難發現的程序漏洞，而且是一個很可怕的漏洞，一臺設備跳過了人員的確認而自動向下運行，是可能造成嚴重后果的。因此，不論是供應商，還是藥企的技術人員，只有具備豐富的經驗和專業的技能知識，才能減少此類事件的發生。

6 結語

通過以上的這些例子我們可以了解到，計算機化系統在為制藥生產帶來高效率和高可靠性的同時，隱藏著許多風險。所以，新版GMP推出的附錄《計算機化系統》絕對是有其存在的實際意義和必要性的。在新的法規要求下，對制藥設備的設計與驗證過程提出了新的要求。不論作為制藥企業，還是制藥機械生產企業，都應該積極面對新的要求，因為這些要求不僅只是法規的條文，更是對患者生命安全的有力保障。