IQ/OQ/PQ设备验证确认完全指南：医疗器械与制药行业验证实操

在医疗器械与制药行业，设备的验证与确认（Qualification & Validation）是保障产品质量、满足全球监管要求的基石。无论是一台灭菌柜、一条无菌灌装线，还是一套自动化包装系统，企业都必须通过系统化的 IQ/OQ/PQ 三阶段确认流程，向 FDA、欧盟公告机构和中国 NMPA 证明：设备在安装、运行和实际生产条件下，均能持续、稳定地满足预设的性能要求。

对于正在推进全球化布局的中国医药企业而言，IQ/OQ/PQ 不仅仅是一项技术工作——它是通过 GMP 认证、FDA 检查和欧盟审计的核心要素。每年全球范围内大量的 FDA 483 观察项和警告信都与设备验证不足直接相关。本文将从法规依据出发，系统讲解 IQ/OQ/PQ 三阶段确认的方法论、执行要点、偏差处理，以及计算机化系统验证（CSV/CSA）、再验证策略和中国企业出海的实战经验。

一、什么是设备验证与确认（Qualification & Validation）？

1.1 验证（Validation）vs 确认（Qualification）的区别

在 GMP 语境下，"验证"和"确认"是两个既相关又有区别的概念：

确认（Qualification）：针对设备、设施和公用系统，证明其正确安装、正常运行并产生预期结果的过程。确认关注的是"硬件"——设备本身是否达标。
验证（Validation）：针对工艺过程，证明一个流程在规定条件下能够持续、可重复地生产出符合预期质量属性的产品。验证关注的是"过程"——用这台设备做出的产品是否合格。

简言之，设备确认（Equipment Qualification）是工艺验证（Process Validation）的前提。没有完成 IQ/OQ/PQ 的设备，不应用于工艺验证或商业化生产。在灭菌验证中，灭菌设备的 IQ/OQ/PQ 是整个灭菌工艺验证方案的第一步。

1.2 V-Model（V模型）概述

设备验证遵循经典的 V 模型（V-Model），该模型将整个生命周期分为"需求定义"和"验证确认"两条对应的路径：

V模型左侧（需求定义）	对应关系	V模型右侧（验证确认）
用户需求规格（URS）	↔	性能确认（PQ）
功能规格（FS）	↔	运行确认（OQ）
设计规格（DS）	↔	安装确认（IQ）
硬件/软件设计	↔	组件测试

V 模型的核心思想是：每一阶段的需求定义都必须有对应的验证活动来确认其满足。URS 对应 PQ（最终在实际生产条件下确认设备满足用户需求），FS 对应 OQ（确认设备在运行范围内功能正常），DS 对应 IQ（确认设备按设计规格正确安装）。

1.3 为什么 IQ/OQ/PQ 对出海企业至关重要？

对于志在全球市场的中国医药企业，IQ/OQ/PQ 的重要性体现在以下几个层面：

法规强制要求：FDA cGMP、欧盟 GMP Annex 15、ISO 13485 以及中国 GMP 均明确要求对生产设备进行确认。未完成 IQ/OQ/PQ 即投入生产的企业，在任何一国的 GMP 检查中都将面临严重缺陷项。
FDA 检查重灾区：设备验证不足是 FDA 483 观察项的高频类别之一。常见问题包括"缺少 OQ/PQ 方案"、"验证文件不完整"、"变更后未进行再验证"等。
产品质量保障：设备是产品质量的物质基础。经过充分确认的设备才能确保产品批间一致性，降低偏差和召回风险。
审计通行证：无论是 FDA 预批准检查（PAI）、欧盟公告机构审计，还是 MDSAP 五国审核，验证文件都是审计员必查的核心文件。

1.4 法规依据

IQ/OQ/PQ 的法规依据涵盖全球三大主要市场：

法规/标准	关键条款	核心要求
FDA 21 CFR 820.72	检验、测量和试验设备	设备必须经过确认以确保其能够产生有效结果
FDA 21 CFR 211.68	自动化设备（药品）	自动化、机械和电子设备应经过校准、检查和确认
EU GMP Annex 15	确认和验证	详细规定了 DQ/IQ/OQ/PQ 四阶段确认要求
ISO 13485:2016	7.5.6 生产和服务提供的确认	对特殊过程必须进行确认，包括设备确认
中国 GMP（2010版）	附录：确认与验证	明确 IQ/OQ/PQ 三阶段要求，与国际接轨
ISPE 基线指南	调试与确认	行业最佳实践，定义了良好工程实践（GEP）

特别值得注意的是，2024年生效的 FDA QMSR 将美国医疗器械质量体系法规与 ISO 13485 对齐，使得全球验证要求进一步统一。

二、IQ（安装确认）详解

2.1 定义与目的

IQ（Installation Qualification，安装确认）是设备确认三阶段中的第一步，其目的是通过文件化的证据证明：设备已按照制造商的规格和企业的设计要求正确安装，安装环境满足设备运行所需的全部条件。

IQ 回答的核心问题是：设备是否按照说明书和设计图纸被正确地安装到了正确的位置？

2.2 IQ 检查清单

一份完整的 IQ 方案应涵盖以下检查项目：

检查类别	检查项目	验证方法
设备识别	设备名称、型号、序列号、制造商	对照采购订单与铭牌
设备组件	所有组件与配件的完整性	对照装箱清单逐项核查
安装位置	洁净室等级、温湿度、振动	环境监测记录
公用设施连接	电力（电压/频率/相数）、压缩空气、纯化水、蒸汽	仪表测量与记录
排放连接	废气、废水排放管路	管路走向与连接确认
安全装置	紧急停机、过载保护、联锁装置	功能测试
软件版本	控制系统软件版本号、固件版本	系统信息截屏
校准状态	关键仪表的校准证书与有效期	校准证书核查

2.3 IQ 文件要求

IQ 阶段需要收集和归档的文件包括：

供应商文件：设备操作手册、维护手册、备件清单、电气原理图、P&ID 管路仪表图
校准记录：所有关键传感器和仪表的出厂校准证书（温度、压力、流量、重量等）
安装图纸：厂房布局图中设备的实际安装位置、管线走向图
材质证书：与产品接触部件的材质证书（不锈钢 316L 的材质报告、表面光洁度证书等）
焊接记录：关键焊缝的焊接参数记录与焊后检测报告（适用于制药纯化水和注射用水系统）

2.4 IQ 常见偏差与处理

IQ 阶段最常出现的偏差类型及建议处理方式：

设备序列号不一致：铭牌序列号与采购文件不符——联系供应商确认，更新文件记录，附上解释说明。
公用设施参数偏差：实际电压或压缩空气压力超出设备要求范围——设施整改后重新测试。
校准证书过期：供应商出厂校准证书已超过有效期——在 IQ 完成前重新校准。
配件缺失：开箱检查发现缺少备件或附件——补充到货后重新执行缺失项的 IQ 检查。

所有偏差必须按照企业偏差处理程序记录、评估、处理和关闭，并在 IQ 总结报告中逐一说明。

三、OQ（运行确认）详解

3.1 定义与目的

OQ（Operational Qualification，运行确认）是设备确认的第二阶段，其目的是通过文件化的测试证据证明：设备在预定的运行参数范围内（特别是在极端操作条件下）能够正常运行，所有功能和控制系统均按设计意图工作。

OQ 回答的核心问题是：设备在规定的参数范围（尤其是上下限）内是否都能正常工作？

3.2 OQ 测试策略

OQ 的核心测试策略是最差工况（Worst Case）测试——在设备运行参数的上下限、最大负载和最小负载条件下进行挑战性测试，以确认设备在整个操作范围内均能稳定运行。

OQ 测试通常涵盖以下维度：

参数范围测试：在设备设定温度、压力、速度、时间等参数的上限和下限分别运行
报警与联锁测试：模拟温度超限、压力超标等异常情形，确认报警系统和安全联锁的触发与响应
空载与满载测试：在无负载和最大装载量条件下分别测试
断电恢复测试：模拟突然断电，确认设备的状态保持和恢复功能
打印/记录功能：确认数据记录器、打印机、SCADA 系统的数据采集准确性

3.3 OQ 参数设定与接受标准

OQ 的参数设定和接受标准必须来源于设备的功能规格（FS）和制造商的技术规格。以下为典型设备的 OQ 参数示例：

设备类型	关键OQ参数	典型接受标准
灭菌柜	腔体温度均匀性	空载/满载条件下任意点温差 ≤ ±1°C
灭菌柜	压力控制精度	设定值 ±0.5 bar
清洗机	喷淋覆盖率	核黄素测试 100% 覆盖
清洗机	温度-时间曲线	满足清洗 SOP 规定的温度保持时间
包装机	封口强度	剥离强度 ≥ 1.5 N/15mm
包装机	封口温度范围	设定温度 ±5°C
冻干机	搁板温度均匀性	各搁板间温差 ≤ ±2°C
纯化水系统	电导率	≤ 1.3 μS/cm（25°C）
纯化水系统	TOC	≤ 500 ppb

3.4 OQ 执行案例

灭菌柜 OQ：空载热分布测试（≥ 12 个热电偶，确认温度均匀性 ±1°C）、满载热穿透测试（最冷点确认）、Bowie-Dick 空气排除测试、真空泄漏测试（≤ 1.3 mbar/min）。详见灭菌验证指南。

清洗机 OQ：核黄素覆盖率测试（紫外灯确认 100% 无荧光残留）、污染物清洗效果测试（蛋白质/内毒素残留量低于接受标准）、各清洗步骤温度与流量确认。

包装封口机 OQ：封口温度/压力/时间上下限组合挑战测试、ASTM F1929 染色渗透测试确认封口完整性、ASTM F88 剥离强度测试。

四、PQ（性能确认）详解

4.1 定义与目的

PQ（Performance Qualification，性能确认）是设备确认的最终阶段，其目的是通过文件化的证据证明：设备在实际生产条件下——使用实际产品、实际工艺参数、由经过培训的操作人员执行——能够持续、可重复地生产出符合预设质量标准的产品。

PQ 回答的核心问题是：在真实生产条件下，这台设备是否能可靠地满足用户需求规格（URS）中的所有要求？

4.2 PQ 与工艺验证（Process Validation）的关系

PQ 处于设备确认（Equipment Qualification）和工艺验证（Process Validation）的交汇点。在某些情况下，PQ 可以与工艺验证的第一阶段（Stage 1: Process Design）或第二阶段（Stage 2: Process Qualification）合并执行，但两者的关注点不同：

PQ 关注设备：在实际生产条件下，设备本身的性能是否达标
工艺验证关注产品：整个工艺流程（包括设备、物料、环境、人员等全部要素）是否能生产出合格产品

在实际操作中，灭菌设备的 PQ 通常与灭菌工艺验证紧密结合执行。

4.3 连续批次验证策略

PQ 通常要求连续成功运行多个批次来证明设备性能的一致性和可重复性。行业通行做法：

制药行业：传统上要求连续 3 个合格批次。FDA 2011 年工艺验证指南引入了生命周期方法后，虽然不再硬性规定"3 批"，但 3 个连续合格批次仍是行业最广泛接受的标准。
医疗器械行业：根据 ISO 13485 7.5.6 条款，需要通过足够的验证批次证明过程能力。具体批次数量应基于风险评估确定。
灭菌工艺：通常要求至少 3 次连续的半周期运行（Half Cycle）或满载运行来确认灭菌效果。

需要强调的是，3 批只是最低要求——对于高风险产品或关键工艺设备，应基于统计学考量增加批次数。

4.4 PQ 中的采样计划与统计分析

PQ 阶段的采样计划和统计分析是确保验证结论科学可靠的关键：

采样计划设计：采样点的选择应覆盖最差工况位置。对于灭菌柜，采样点应包括空载热分布试验中识别出的最冷点；对于清洗机，应包括最难清洗的部位。
样本量确定：基于统计学原则确定。对于过程能力评估，通常每批次至少采集 30 个数据点以支持正态性检验。
统计工具：常用的统计分析方法包括过程能力指数（Cpk/Ppk，通常要求 ≥ 1.33）、均值和标准差计算、控制图分析等。
接受标准：PQ 的接受标准必须基于产品的质量属性和注册标准来设定，而不能仅仅依据设备的技术规格。

五、计算机化系统验证（CSV/CSA）

5.1 GAMP 5 分类模型

随着制药和医疗器械行业数字化程度不断提升，计算机化系统验证（Computerized System Validation, CSV）已成为设备验证不可分割的一部分。现代生产设备几乎都配备了 PLC、HMI、SCADA 或嵌入式控制系统，这些软件组件同样需要验证。

GAMP 5（Good Automated Manufacturing Practice，第五版）将软件按复杂度和风险分为以下类别：

GAMP 5 类别	说明	示例	验证力度
类别 1	基础设施软件	操作系统、数据库引擎	记录版本，通常不单独验证
类别 3	不可配置的商业软件	固件、嵌入式软件	功能测试
类别 4	可配置的商业软件	ERP、LIMS、eQMS	配置确认 + 功能测试
类别 5	定制软件	自主开发的控制程序	完整生命周期验证

5.2 FDA 对 CSV 的新思路：Computer Software Assurance（CSA）

2022 年，FDA 发布了《Computer Software Assurance for Production and Quality System Software》最终指南，标志着监管理念从传统的 CSV 向 CSA 的转变。CSA 的核心理念包括：

基于风险的方法：对高风险功能（直接影响产品质量和患者安全的功能）进行严格的脚本化测试；对低风险功能可采用非脚本化测试（如探索性测试、即席测试）。
减少文件负担：不再要求对所有功能都编写详尽的测试脚本和预期结果，低风险功能的验证可以更灵活。
关注关键思维：鼓励验证人员运用批判性思维来设计测试策略，而不是机械地执行预设脚本。

CSA 的推行为企业节省了大量的文件工作，但对验证人员的专业判断能力提出了更高要求。

5.3 常见计算机化系统的验证要求

系统类型	GAMP 类别	关键验证要点
eQMS（电子质量管理系统）	4	文件审批工作流、培训管理、CAPA 跟踪、电子签名（21 CFR Part 11）
LIMS（实验室信息管理系统）	4	样品追踪、结果录入与审核、OOS 管理、计算公式确认
ERP（企业资源计划系统）	4	物料管理、批号追踪、库存控制、GMP 相关模块配置
SCADA/DCS（过程控制系统）	3/4	过程参数采集、报警管理、历史数据存储、审计追踪
电子批记录（EBR）	4/5	工艺指令执行、数据采集、偏差触发、电子签名

5.4 数据完整性（ALCOA+ 原则）

数据完整性是设备验证和 CSV 中贯穿始终的核心要求。FDA、EMA 和 MHRA 均将其列为 GMP 检查重点。ALCOA+ 原则要求所有数据必须满足：Attributable（可归属）、Legible（清晰可读）、Contemporaneous（同步记录）、Original（原始记录）、Accurate（准确无误），以及 Complete（完整）、Consistent（一致）、Enduring（持久）、Available（可获取）。在设备 IQ/OQ/PQ 执行过程中，所有测试数据、偏差记录和变更文件都必须符合 ALCOA+ 原则，审计追踪（Audit Trail）是确保电子数据完整性的关键技术控制措施。

六、再验证（Requalification）与变更控制

6.1 何时需要再验证？

设备确认不是"做一次就结束"的工作。以下情形触发再验证（Requalification）需求：

设备重大变更：更换关键部件（如灭菌柜的加热元件、清洗机的喷嘴系统）、软件版本升级、控制系统更换
搬迁或重新安装：设备移至新的安装位置，需重新执行 IQ，并评估是否需要重新执行 OQ/PQ
工艺参数变更：改变运行温度范围、压力设定、装载构型等
长期停用后恢复使用：设备长时间（通常 > 6 个月）未使用后重新启用
产品变更：新产品引入导致设备的使用条件发生变化
法规要求更新：新版法规或标准对验证提出了更高的要求

6.2 变更控制（Change Control）流程

变更控制是连接日常运营与验证体系的桥梁。合规的变更控制流程包括六个步骤：变更申请（描述变更内容与原因）、影响评估（跨职能团队评估对产品质量和验证状态的影响）、审批（质量部门与管理层审批）、执行（按计划实施变更及再验证）、验证确认（执行再验证方案）、关闭归档（更新 SOP 与验证文件）。

6.3 年度回顾中的验证评估

在药品年度产品回顾（Annual Product Review, APR）或医疗器械管理评审中，应对验证状态进行系统评估：

回顾期内所有设备偏差和 CAPA 记录
维护和校准记录的合规性
变更控制对验证状态的影响
关键过程参数的趋势分析
是否存在需要再验证的触发条件

七、FDA 与欧盟验证要求对比

三大市场（美国、欧盟、中国）对设备验证确认的要求既有共性，也存在差异。以下对比表帮助企业快速把握各市场的重点：

对比维度	FDA（美国）	EU GMP Annex 15（欧盟）	中国 GMP 附录
法规依据	21 CFR 820.72（器械）；21 CFR 211.68（药品）	EU GMP Annex 15: Qualification and Validation	药品 GMP（2010版）附录：确认与验证
DQ 要求	未明确要求 DQ，但 PAI 中会检查设计输入	明确要求设计确认（DQ）	明确要求 DQ
IQ/OQ/PQ	强制要求，检查力度大	强制要求，文件化要求细致	强制要求，近年检查力度持续加强
CSV 指南	CSA（2022最终指南），基于风险	EU GMP Annex 11: Computerised Systems	中国 GMP 附录：计算机化系统
数据完整性	FDA Data Integrity Guidance（2018）	EMA/PIC/S Data Integrity Guidance	NMPA 数据完整性指南（2020）
验证批次数	不硬性规定批次数（生命周期方法）	传统上 3 批，现也接受生命周期方法	通常要求至少 3 批
再验证	基于变更控制触发	要求定期再验证（Periodic Requalification）	要求定期再验证
验证主计划（VMP）	未强制要求独立的 VMP 文件	强烈推荐编制 VMP	明确要求编制 VMP
电子签名	21 CFR Part 11，全球最严	EU GMP Annex 11	参照 FDA 和欧盟要求
检查重点	实际执行记录、偏差处理、数据完整性	文件体系完整性、SOP 合规性	验证方案的科学性、执行记录完整性

核心差异总结：FDA 更强调实际执行效果和数据完整性，检查风格偏向"发现问题"；欧盟更注重文件体系的完整性和系统性，强调 VMP 的作用；中国 GMP 近年加速与国际接轨，但在执行深度上各地药监局仍有差异。

八、中国企业出海验证实战经验

8.1 验证主计划（VMP）的编写

验证主计划（Validation Master Plan, VMP）是企业验证活动的顶层设计文件。欧盟 GMP Annex 15 对 VMP 有明确要求，即使 FDA 未强制要求独立的 VMP 文件，编制一份完整的 VMP 也是出海企业的最佳实践。

VMP 应包含的核心内容：

验证方针：企业对验证的总体政策声明
组织架构：验证团队的职责分工（质量部、工程部、生产部、QA 的角色）
设备清单：需要确认的所有生产设备、检验设备、公用设施和计算机化系统
验证策略：每类设备/系统的验证方法和接受标准
时间计划：各设备验证活动的时间进度表
文件体系：验证方案、报告、偏差记录等文件的编号规则和审批流程
再验证策略：触发再验证的条件和定期评审机制

8.2 常见验证偏差与审核发现

基于中国企业出海实践中的高频审核发现，以下问题需要特别关注：

验证方案缺乏科学依据：接受标准来源不清，未引用法规标准或技术规格，仅凭"经验"设定。
验证执行记录不完整：原始数据缺失、记录涂改不规范、电子数据的审计追踪未开启。
偏差处理不充分：发现偏差后未按程序进行根因分析和影响评估，而是简单重测通过。
变更后未触发再验证：设备更换部件或软件升级后，未评估对验证状态的影响。
人员培训记录缺失：执行验证的人员无法证明其已接受过相关培训。
URS 缺失或不完整：设备采购时未编写用户需求规格书，导致 PQ 的接受标准缺乏依据。
校准管理缺陷：用于验证的测试仪器校准过期，或校准的溯源性不足。

8.3 国产设备 vs 进口设备的验证差异

中国企业在选择国产还是进口设备时，验证工作量和难度存在显著差异：

对比维度	进口设备	国产设备
供应商文件	通常齐全，符合 GMP 要求	部分厂商文件不完整，需主动索要
FAT/SAT	大多数提供规范的 FAT 方案	部分厂商 FAT 经验不足，需企业主导
软件验证	PLC/HMI 软件通常有 GAMP 文件	软件文件包往往需要另行要求
材质证书	与产品接触材质的证书完备	需明确要求并在合同中约定
技术支持	IQ/OQ 阶段通常有原厂工程师支持	服务水平参差不齐
成本	设备成本高，但验证工作量相对可控	设备成本低，但验证工作量可能更大

建议：无论选择国产还是进口设备，企业都应在采购阶段就将验证要求写入合同和技术协议（URS），明确供应商在 FAT（工厂验收测试）、IQ、OQ 阶段应提供的支持和文件。

8.4 URS（用户需求规格）的重要性

URS（User Requirement Specification，用户需求规格）是整个设备生命周期的起点，也是 PQ 阶段最终验证回溯的终点。在出海实践中，URS 的质量直接决定了验证工作的成败。

一份高质量的 URS 应包含：

功能需求：设备需要执行的所有功能和操作模式
性能需求：产能、精度、效率等量化的性能指标
GMP 需求：材质要求、表面光洁度、清洁性设计、无死角设计等
法规需求：需满足的法规标准清单（FDA cGMP、EU GMP、中国 GMP 等）
数据与软件需求：数据采集、审计追踪、电子签名、21 CFR Part 11 合规等
环境需求：洁净等级、温湿度范围、振动限制等
安全需求：电气安全、机械安全、操作人员防护等
文件需求：供应商需提供的全部文件清单

企业应在设备采购招标阶段就发布 URS，将其作为设备选型和合同谈判的核心技术依据。在 PQ 阶段，验证人员需逐条对照 URS 确认设备是否满足全部用户需求。

九、总结

IQ/OQ/PQ 设备确认是医疗器械与制药企业质量体系的核心支柱。对于正在推进 GMP 认证和全球市场准入的中国企业而言，建立一套科学、系统、符合国际标准的设备验证体系，不仅是满足 FDA、欧盟和 NMPA 监管要求的必经之路，更是提升产品质量一致性、降低运营风险、增强国际竞争力的战略投资。

验证不是一项孤立的技术工作，而是贯穿设备全生命周期的系统工程。从 URS 的编写到 DQ/IQ/OQ/PQ 的执行，从计算机化系统验证到再验证与变更控制，每一个环节都需要跨职能团队的紧密协作和持续投入。希望本文能够为中国医药企业的出海验证之路提供一份实用的参考指南。

本文仅供专业参考，具体验证实施应结合企业自身情况和最新法规要求，必要时咨询专业顾问。