医疗器械临床试验数据管理系统的合规性要求

FDA 21 CFR Part 11

核心要求：电子记录与签名的等同性（与纸质记录法律效力一致）、审计追踪（记录所有数据变更）、系统验证（IQ/OQ/PQ）。

示例：某企业因未启用审计追踪功能，导致FDA发出483警告信，临床试验数据被质疑。

ICH E6(R3) 草案

新增要求：基于风险的数据治理、数据生命周期管理、供应商第三方审计。

《医疗器械临床试验质量管理规范》（GCP）

第25条：数据应准确、完整、可追溯，禁止选择性记录。

第48条：电子数据系统需通过系统验证，确保数据不可篡改。

关键条款：

《医疗器械临床试验数据递交要求》

明确要求：提交数据库锁定说明、数据溯源报告、系统验证文件。

ISO 14155:2020

数据采集需符合伦理（如受试者隐私保护）。

系统需支持电子签名与长期数据存储（≥15年）。

核心原则：

验证阶段：

IQ（安装验证）：确认系统安装环境符合要求（如服务器配置、网络带宽）。

OQ（运行验证）：测试核心功能（如用户登录、数据录入、审计追踪）。

PQ（性能验证）：模拟高并发场景（如1000用户同时在线），确保系统稳定。

验证文件：

需提交《验证计划》《验证报告》《偏差记录》，NMPA检查必查项。

加密要求：

传输加密：TLS 1.2以上协议。

存储加密：AES-256加密算法。

隐私保护：

受试者ID需脱敏处理（如“姓名”替换为“随机码”）。

访问日志需保留≥15年（欧盟MDR要求）。

备份策略：

每日增量备份，每周全量备份。

备份数据存储于异地灾备中心（距离主数据中心≥50公里）。

恢复演练：

每年至少1次恢复演练，确保RTO（恢复时间目标）≤4小时，RPO（数据丢失点）≤15分钟。

评估维度：

资质审核：ISO 13485认证、FDA 21 CFR Part 11合规声明。

案例参考：要求供应商提供3个以上同类项目成功案例（附NMPA/FDA检查报告）。

服务水平协议（SLA）：明确系统可用性（≥99.5%）、故障响应时间（≤2小时）。

审计内容：

代码审查：检查是否存在“后门”或数据篡改漏洞。

渗透测试：模拟黑客攻击，验证系统安全性。

审计报告：

需由独立第三方机构出具，NMPA检查时可能要求提交原始报告。