Tõenduspõhine testimine reguleeritud uurimissüsteemidele

OpenFactory saab automatiseerida piiratud infrastruktuuri- ja rakenduskontrolle lepingu-uuringute organisatsioonile. See ei määra FDA vastavust, ei valideeri automaatselt kogu arvutisüsteemi ega asenda reguleeritud organisatsiooni kvaliteedisüsteemi ja vastutavaid kinnitusi.

21 CFR Part 11  kehtib määratud elektroonilistele kirjetele ja allkirjadele ning hõlmab kontrolle, mis ulatuvad operatsioonisüsteemi kujutise piiridest kaugemale: süsteemi valideerimist, kirjete kaitset ja taastamist, juurdepääsu- ja volituskontrolle, ajatempliga auditijälgi, koolitust, poliitikaid, dokumentatsiooni kontrolli ja allkirjanõudeid. Kohaldatavad predicate reeglid ja kavandatud kasutus peavad kehtestama kvalifitseeritud juriidilised, regulatiivsed ja kvaliteedispetsialistid.

FDA praegune Computer Software Assurance guidance  kirjeldab riskipõhist lähenemist tootmis- ja kvaliteedijuhtimissüsteemi tarkvarale. Meeskonnad peavad hindama kohaldumist oma süsteemile ja kontekstile, mitte käsitlema üldist testide arvu valideerimisena.

Mida OpenFactory tõendid toetada saavad

• täpset retsepti ja allika päritolu kujutise buildi jaoks;
• pakettide, teenuste, failide, portide ja käskude väiteid käivitatud külalises;
• piiratud GUI ja ekraanipildi tõendeid, kus toetatud väide töötab;
• iga käivituse ajatemplid, väljundit ja artefakti identifikaatoreid;
• korduvaid negatiivseid ja taastamisteste; ja
• uue artefakti võrdlust kinnitatud baasjoonega.

Iga punkt on tõend esitatud nõude kohta. Ükski neist ei kehtesta regulatiivset vastuvõetavust iseseisvalt.

Alustage kavandatud kasutusest ja riskist

Enne testide kirjutamist dokumenteerige:

1. arvutisüsteemi kavandatud kasutus;
2. reguleeritud kirjed ja allkirjad, kui neid on;
3. kasutajad, rollid, liidesed ja andmevood;
4. patsiendi, toote kvaliteedi ja andmete terviklikkuse riskid;
5. nõuded ja vastuvõtukriteeriumid, mis on seotud nende riskidega;
6. tarnija ja komponendi vastutused; ja
7. muudatuse, intsidentide, varundamise, taastamise, säilitamise ja mahakandmise protseduurid.

Operatsioonisüsteemi kujutis on vaid üks konfiguratsiooniüksus selles süsteemis.

Piiratud stsenaariumi näide

See näide kontrollib sünteetilist integratsiooniteenust ja kohalikku auditi konfiguratsiooni. See ei väida, et EDC, LIMS, ohutusandmebaas või Part 11 töövoog on valideeritud.

{
  "id": "synthetic-integration-smoke",
  "name": "Synthetic integration and audit smoke test",
  "enabled": true,
  "tests": ["boot", "login", "packages", "services"],
  "custom_tests": [
    {
      "description": "Confirm the synthetic receiver and audit controls are present.",
      "assertions": [
        {
          "type": "service_running",
          "description": "The synthetic receiver is running.",
          "params": {"service": "synthetic-receiver"}
        },
        {
          "type": "port_listening",
          "description": "The synthetic receiver listens on its lab port.",
          "params": {"port": 2575}
        },
        {
          "type": "service_running",
          "description": "The Linux audit daemon is running.",
          "params": {"service": "auditd"}
        },
        {
          "type": "file_contains",
          "description": "The approved synthetic data path has an audit watch.",
          "params": {
            "path": "/etc/audit/rules.d/research-system.rules",
            "content": "-w /var/lib/synthetic-study"
          }
        }
      ]
    }
  ]
}

Kasutage jagatud buildi- ja ekraanipildisüsteemides ainult sünteetilisi, mittetundlikke testandmeid. Ekraanipilt võib paljastada subjekti identifikaatoreid, mandaate, teateid või seostumatut töölaua sisu. Enne kogumist määratlege jäädvustamise, redigeerimise, juurdepääsu, säilitamise, ekspordi ja kustutamise kontrollid.

Tõendite pakett

Iga kinnitatud testkäivituse kohta säilitage:

• nõude ja riski identifikaatorid;
• testprotokoll ja oodatav tulemus;
• retsepti revisjon, lähtekoodi commit, sõltuvuste inventuur ja kujutise digest;
• keskkonna ja testandmete identiteet;
• toorväljund, ekraanipildid, kui see on põhjendatud, ajatemplid ja runneri versioon;
• kõrvalekalded, ebaõnnestunud sammud, uurimised ja kordustesti lingid;
• ülevaataja identiteet, otsus ja kuupäev; ja
• jälgitavus nõudest tõendini ja väljastusotsuseni.

Ärge nimetage automatiseeritud sündmustelogi ega ekraanipildikausta Part 11 auditijäljeks. Part 11 auditijälje kontrollid puudutavad reguleeritud kirjete toiminguid, säilitamist, kättesaadavust ja terviklikkust kogu kohaldatavas süsteemis.

Muudatuse ja regressiooni töövoog

1. Hinnake kavandatud muudatuse mõju.
2. Valige testid riski ja mõjutatud nõuete alusel.
3. Looge uus muutumatu artefakt; säilitage eelmine kinnitatud artefakt.
4. Käivitage protokoll kontrollitud keskkonnas.
5. Vaadake üle ebaõnnestumised ja kõrvalekalded, kustutamata ebasoodsaid tõendeid.
6. Hankige vajalikud kvaliteedi-, turva-, äri- ja regulatiivsed kinnitused.
7. Juurutage muudatuste kontrolli kaudu ja kontrollige tootmiskonfiguratsiooni.
8. Jälgige triivimist ja vajadusel käivitage testitud taastamistee.

OpenFactory saab lühendada tõendite kogumist sammude puhul, mida ta tegelikult automatiseerib. Reguleeritud organisatsioon jääb vastutavaks kavandatud kasutuse valideerimise, protseduuriliste kontrollide, andmehaldus ja lõpliku väljastusotsuse eest.