Įrodymais grįstas testavimas reguliuojamoms tyrimų sistemoms

OpenFactory gali automatizuoti ribotas infrastruktūros ir programų patikras sutartinių tyrimų organizacijai. Jis nenustato FDA atitikties, automatiškai nevaliduoja visos kompiuterizuotos sistemos ir nepakeičia reguliuojamos organizacijos kokybės sistemos bei atskaitingų patvirtinimų.

21 CFR Part 11  taikomas nurodytiems elektroniniams įrašams ir parašams ir apima kontrolę, kuri išeina už operacinės sistemos atvaizdo ribų: sistemos validavimą, įrašų apsaugą ir atkūrimą, prieigos ir įgaliojimų patikras, laiko žymomis pažymėtus audito takus, mokymus, politikas, dokumentacijos kontrolę ir parašų reikalavimus. Taikomas predicate taisykles ir numatytą naudojimą turi nustatyti kvalifikuoti teisininkai, reguliavimo ir kokybės specialistai.

FDA dabartinis Computer Software Assurance guidance  aprašo rizika grįstą požiūrį gamybos ir kokybės valdymo sistemos programinei įrangai. Komandos turi įvertinti taikomumą savo sistemai ir kontekstui, o ne laikyti bendrą testų skaičių validavimu.

Ką gali paremti OpenFactory įrodymai

• tikslų recepto ir šaltinio kilmę atvaizdo build metu;
• paketų, tarnybų, failų, prievadų ir komandų teiginius paleistame svečiuke;
• ribotus GUI ir ekrano kopijų įrodymus, kai vykdomas palaikomas teiginys;
• kiekvieno paleidimo laiko žymas, išvestį ir artefakto identifikatorius;
• kartojamus neigiamus ir atkūrimo testus; ir
• naujo artefakto palyginimą su patvirtinta bazine linija.

Kiekvienas punktas yra įrodymas nurodytam reikalavimui. Nė vienas pats savaime nenustato reguliavimo priimtinumo.

Pradėkite nuo numatyto naudojimo ir rizikos

Prieš rašydami testus, dokumentuokite:

1. kompiuterizuotos sistemos numatytą naudojimą;
2. reguliuojamus įrašus ir parašus, jei tokių yra;
3. naudotojus, roles, sąsajas ir duomenų srautus;
4. pacientų, produkto kokybės ir duomenų vientisumo rizikas;
5. reikalavimus ir priėmimo kriterijus, susietus su tomis rizikomis;
6. tiekėjų ir komponentų atsakomybes; ir
7. keitimo, incidentų, atsarginių kopijų, atkūrimo, saugojimo ir išregistravimo procedūras.

Operacinės sistemos atvaizdas yra tik vienas konfigūracijos elementas toje sistemoje.

Ribotos apimties scenarijaus pavyzdys

Šis pavyzdys tikrina sintetinę integracijos tarnybą ir vietinę audito konfigūraciją. Jis nepretenduoja, kad EDC, LIMS, saugumo duomenų bazė ar Part 11 darbo eiga yra validuota.

{
  "id": "synthetic-integration-smoke",
  "name": "Synthetic integration and audit smoke test",
  "enabled": true,
  "tests": ["boot", "login", "packages", "services"],
  "custom_tests": [
    {
      "description": "Confirm the synthetic receiver and audit controls are present.",
      "assertions": [
        {
          "type": "service_running",
          "description": "The synthetic receiver is running.",
          "params": {"service": "synthetic-receiver"}
        },
        {
          "type": "port_listening",
          "description": "The synthetic receiver listens on its lab port.",
          "params": {"port": 2575}
        },
        {
          "type": "service_running",
          "description": "The Linux audit daemon is running.",
          "params": {"service": "auditd"}
        },
        {
          "type": "file_contains",
          "description": "The approved synthetic data path has an audit watch.",
          "params": {
            "path": "/etc/audit/rules.d/research-system.rules",
            "content": "-w /var/lib/synthetic-study"
          }
        }
      ]
    }
  ]
}

Bendrose build ir ekrano kopijų sistemose naudokite tik sintetinius, nejautrius testų duomenis. Ekrano kopija gali atskleisti dalyvių identifikatorius, prisijungimo duomenis, pranešimus ar nesusijusį darbalaukio turinį. Prieš renkant apibrėžkite fiksavimo, redagavimo, prieigos, saugojimo, eksporto ir šalinimo kontrolę.

Įrodymų paketas

Kiekvienam patvirtintam testo paleidimui išsaugokite:

• reikalavimo ir rizikos identifikatorius;
• testo protokolą ir tikėtiną rezultatą;
• recepto reviziją, šaltinio commit, priklausomybių sąrašą ir atvaizdo digest;
• aplinkos ir testų duomenų tapatybę;
• neapdorotą išvestį, ekrano kopijas, kai tai pagrįsta, laiko žymas ir runner versiją;
• nukrypimus, nepavykusius žingsnius, tyrimus ir pakartotinio testo nuorodas;
• recenzento tapatybę, sprendimą ir datą; ir
• atsekamumą nuo reikalavimo iki įrodymo ir paleidimo sprendimo.

Automatinio įvykių žurnalo ar ekrano kopijų aplanko nepervardykite Part 11 audito taku. Part 11 audito takų kontrolė susijusi su reguliuojamų įrašų veiksmais, saugojimu, prieinamumu ir vientisumu visoje taikomoje sistemoje.

Keitimo ir regresijos darbo eiga

1. Įvertinkite siūlomo keitimo poveikį.
2. Pasirinkite testus pagal riziką ir paveiktus reikalavimus.
3. Sukurkite naują nekintamą artefaktą; išsaugokite ankstesnį patvirtintą artefaktą.
4. Vykdykite protokolą kontroliuojamoje aplinkoje.
5. Peržiūrėkite nesėkmes ir nukrypimus neištrindami nepalankių įrodymų.
6. Gaukite reikiamus kokybės, saugumo, verslo ir reguliavimo patvirtinimus.
7. Diekite per keitimo kontrolę ir patikrinkite gamybinę konfigūraciją.
8. Stebėkite nukrypimą ir prireikus vykdykite išbandytą atkūrimo kelią.

OpenFactory gali sutrumpinti įrodymų rinkimą žingsniams, kuriuos jis tikrai automatizuoja. Reguliuojama organizacija lieka atsakinga už numatyto naudojimo validavimą, procedūrines kontroles, duomenų valdymą ir galutinį paleidimo sprendimą.