Testování zaměřené na důkazy pro regulované výzkumné systémy

OpenFactory může automatizovat vymezené kontroly infrastruktury a aplikací pro contract research organization. Neurčuje splnění požadavků FDA, automaticky nevaliduje celý počítačový systém ani nenahrazuje systém kvality regulované organizace a odpovědná schválení.

21 CFR Part 11  se vztahuje na určené elektronické záznamy a podpisy a zahrnuje kontroly nad rámec obrazu operačního systému: validaci systému, ochranu a vyhledávání záznamů, kontroly přístupu a oprávnění, auditní stopy s časovým razítkem, školení, politiky, kontroly dokumentace a požadavky na podpisy. Platná predicate rules a intended use musí stanovit kvalifikovaní právní, regulační a kvalitativní pracovníci.

Aktuální Computer Software Assurance guidance  FDA popisuje přístup založený na riziku pro software výroby a systémů řízení jakosti. Týmy by měly určit použitelnost pro svůj systém a kontext, místo aby obecný počet testů považovaly za validaci.

Co může doložit evidence OpenFactory

• přesné recipe a source provenance pro image build;
• package, service, file, port a command assertions v nabootovaném hostu;
• vymezené důkazy z GUI a snímků obrazovky, kde běží podporované assertion;
• timestamps, output a artifact identifiers pro každý běh;
• opakovatelné negative a recovery tests; a
• porovnání nového artifact se schválenou baseline.

Každá položka je důkaz pro uvedené requirement. Žádná sama o sobě neustavuje regulační akceptovatelnost.

Začněte intended use a rizikem

Před psaním testů zdokumentujte:

1. intended use počítačového systému;
2. regulované records a signatures, pokud existují;
3. uživatele, role, rozhraní a data flows;
4. rizika pro pacienta, kvalitu produktu a integritu dat;
5. requirements a acceptance criteria vázaná na tato rizika;
6. odpovědnosti dodavatele a komponent; a
7. postupy change, incident, backup, recovery, retention a vyřazení z provozu.

Obraz operačního systému je jen jednou configuration item v tomto systému.

Příklad vymezeného scénáře

Tento příklad kontroluje syntetickou integrační službu a lokální konfiguraci auditu. Netvrdí, že EDC, LIMS, safety database nebo workflow Part 11 je validovaný.

{
  "id": "synthetic-integration-smoke",
  "name": "Synthetic integration and audit smoke test",
  "enabled": true,
  "tests": ["boot", "login", "packages", "services"],
  "custom_tests": [
    {
      "description": "Confirm the synthetic receiver and audit controls are present.",
      "assertions": [
        {
          "type": "service_running",
          "description": "The synthetic receiver is running.",
          "params": {"service": "synthetic-receiver"}
        },
        {
          "type": "port_listening",
          "description": "The synthetic receiver listens on its lab port.",
          "params": {"port": 2575}
        },
        {
          "type": "service_running",
          "description": "The Linux audit daemon is running.",
          "params": {"service": "auditd"}
        },
        {
          "type": "file_contains",
          "description": "The approved synthetic data path has an audit watch.",
          "params": {
            "path": "/etc/audit/rules.d/research-system.rules",
            "content": "-w /var/lib/synthetic-study"
          }
        }
      ]
    }
  ]
}

Používejte ve sdílených systémech build a snímků obrazovky pouze syntetická, necitlivá testovací data. Snímek obrazovky může odhalit subject identifiers, credentials, oznámení nebo nesouvisející obsah plochy. Před sběrem definujte kontroly capture, redaction, přístupu, retention, export a deletion.

Evidence packet

Pro každý schválený běh testu uchovejte:

• requirement a risk identifiers;
• test protocol a očekávaný výsledek;
• recipe revision, source commits, dependency inventory a image digest;
• identitu prostředí a testovacích dat;
• surový output, screenshots kde je to opodstatněné, timestamps a runner version;
• odchylky, neúspěšné kroky, šetření a odkazy na retest;
• identitu reviewer, rozhodnutí a datum; a
• traceability od requirement k evidence a rozhodnutí o release.

Nepřejmenovávejte automatizovaný event log nebo složku se snímky obrazovky na Part 11 audit trail. Part 11 audit-trail controls se týkají regulovaných akcí nad záznamy, retention, dostupnosti a integrity v příslušném systému.

Workflow change a regrese

1. Vyhodnoťte dopad navrhované change.
2. Vyberte testy podle rizika a dotčených requirements.
3. Sestavte nový immutable artifact; zachovejte dříve schválený artifact.
4. Spusťte protocol v kontrolovaném prostředí.
5. Projděte failures a odchylky bez mazání nepříznivých důkazů.
6. Získejte požadovaná schválení kvality, security, business a regulace.
7. Nasazujte přes change control a ověřte produkční konfiguraci.
8. Sledujte drift a v případě potřeby proveďte otestovanou recovery path.

OpenFactory může zkrátit evidence collection u kroků, které skutečně automatizuje. Regulovaná organizace zůstává odpovědná za intended-use validation, procedural controls, data governance a konečné rozhodnutí o release.