你有沒有過這種經(jīng)歷？熬夜把申報(bào)材料拷進(jìn)U盤，第二天送到監(jiān)管局，結(jié)果人家打開一看，文件損壞了，或者頁碼對(duì)不上，再嚴(yán)重點(diǎn)，直接被質(zhì)疑數(shù)據(jù)是否動(dòng)過手腳。這時(shí)候你才意識(shí)到，原來eCTD發(fā)布不是簡(jiǎn)單點(diǎn)一下"發(fā)送"按鈕就完事的。
說到底，數(shù)據(jù)完整性這事兒，在電子提交時(shí)代比紙質(zhì)時(shí)代復(fù)雜多了。紙質(zhì)文件你摸得著，簽了字蓋了章，物理上很難無痕修改。但電子文件呢？一個(gè)比特的差別，肉眼根本看不出來，可監(jiān)管系統(tǒng)能識(shí)別出來，一旦校驗(yàn)失敗，整個(gè)序列號(hào)可能就直接被拒收。康茂峰在業(yè)內(nèi)做了這么多年，見過太多因?yàn)楹雎约?xì)節(jié)而導(dǎo)致返工的案例，今天咱們就掰開了揉碎了聊聊，怎么在發(fā)布那一刻確保萬無一失。
很多人一聽到這個(gè)詞就頭大，覺得是什么高深的技術(shù)標(biāo)準(zhǔn)。其實(shí)沒那么玄乎。簡(jiǎn)單理解，就是你交出去的文件，從創(chuàng)建到被藥監(jiān)局打開，這期間內(nèi)容沒有發(fā)生任何非預(yù)期的改變。
具體來說，在eCTD的語境下，它包括這么幾層意思：
ICH的M4和M8技術(shù)規(guī)范其實(shí)把這些要求寫得挺清楚，但規(guī)范是死的，執(zhí)行是活的。咱們接下來聊的都是活的東西。
說實(shí)話， deadline前的焦慮很容易讓人手忙腳亂。康茂峰的項(xiàng)目經(jīng)理們有個(gè)不成文的規(guī)矩：發(fā)布前必須靜置四小時(shí)。什么意思？就是所有文件定稿后，不要急著生成最終包，先放一邊，讓系統(tǒng)冷靜，人也冷靜，然后拿著 checklist 逐條過。
你可能會(huì)問，現(xiàn)在不都有eCTD出版軟件嗎，自動(dòng)校驗(yàn)不就行了？機(jī)器確實(shí)能幫你查出90%的格式錯(cuò)誤，比如書簽層級(jí)超過四級(jí)、字體嵌入失敗這些。但數(shù)據(jù)完整性這事兒，有些點(diǎn)機(jī)器查不出來，或者說查出來了也不會(huì)報(bào)錯(cuò)，但人得知道。
比如MD5校驗(yàn)值。這是個(gè)很基礎(chǔ)但容易被忽略的操作。在康茂峰的內(nèi)部流程里，每個(gè)模塊在打包前都會(huì)生成獨(dú)立的哈希值，發(fā)布前再算一遍，兩邊比對(duì)。如果同一個(gè)文件跑出不一樣的MD5碼，哪怕只差一位，說明文件在傳輸或存儲(chǔ)過程中發(fā)生了位翻轉(zhuǎn)（bit flip），可能是硬盤壞道，也可能是網(wǎng)絡(luò)抖動(dòng)。這時(shí)候絕對(duì)不能強(qiáng)行提交，得重新生成。
還有文件時(shí)間戳。Windows系統(tǒng)有時(shí)候會(huì)把復(fù)制操作當(dāng)成修改操作，導(dǎo)致時(shí)間戳更新。這在審計(jì)眼里就很敏感——明明說是最終版，怎么提交前又"修改"過？所以發(fā)布前要用專門的時(shí)間戳鎖定工具，或者至少用命令行屬性查看，確認(rèn)創(chuàng)建時(shí)間和最后修改時(shí)間符合邏輯。
eCTD最大的優(yōu)勢(shì)是超鏈接導(dǎo)航，這也是最容易出 integrity 問題的地方。你在本地測(cè)試時(shí)，點(diǎn)3.2.R區(qū)域的鏈接能跳轉(zhuǎn)到3.2.S.1.3，但發(fā)布到監(jiān)管系統(tǒng)后，路徑結(jié)構(gòu)變了，如果用的是絕對(duì)路徑而不是相對(duì)路徑，鏈接就失效了。
康茂峰的做法是：在沙盒環(huán)境里模擬監(jiān)管局的接收系統(tǒng)。把打好的包解壓到完全不同的目錄結(jié)構(gòu)下，用只讀模式打開，逐一點(diǎn)擊關(guān)鍵鏈接。這很枯燥，但能救命。想象一下，審評(píng)老師打開你的藥學(xué)章節(jié)，點(diǎn)擊"分析方法驗(yàn)證報(bào)告"的鏈接，結(jié)果彈了個(gè)"文件未找到"，你覺得他會(huì)怎么想？
21 CFR Part 11 和中國的《電子數(shù)據(jù)管理規(guī)范》都對(duì)電子簽名有明確要求。很多人以為把掃描的簽名圖片插進(jìn)PDF就算數(shù)了，這完全是誤解。
真正的電子簽名需要滿足：
在eCTD發(fā)布環(huán)節(jié)，這意味著你要用經(jīng)過數(shù)字證書認(rèn)證的私鑰來簽?zāi)切┬枰炞值腜DF。康茂峰的系統(tǒng)在最終打包時(shí)會(huì)自動(dòng)檢查簽名狀態(tài)，看證書是否過期，算法是否被破解（比如早期SHA-1現(xiàn)在已經(jīng)被認(rèn)為不安全了，得用SHA-256）。
有個(gè)細(xì)節(jié)特別容易被忽略：簽名的可視層和邏輯層要一致。有時(shí)候PDF上看起來有個(gè)簽名框，但底層的數(shù)字簽名對(duì)象其實(shí)是空的，或者簽名覆蓋了空白頁而不是實(shí)質(zhì)內(nèi)容。這種"假簽名"在監(jiān)管部門的技術(shù)審查中一眼就能被工具掃出來，屬于誠信問題了。
講個(gè)真事。某次一個(gè)客戶急急忙忙找過來，說監(jiān)管反饋他們的eCTD里有兩個(gè)版本的同一個(gè)研究報(bào)告，一個(gè)日期是3月1日，一個(gè)是3月15日，內(nèi)容有細(xì)微差別，問到底以哪個(gè)為準(zhǔn)。一查，原來是發(fā)布前最后一刻替換了文件，但舊文件沒從臨時(shí)文件夾清干凈，打包時(shí)兩個(gè)都進(jìn)去了。
這就是版本控制失效導(dǎo)致的完整性災(zāi)難。eCTD要求每個(gè)文件在序列中是唯一的，文件名命名規(guī)范（如m1-3-2-p3.pdf）雖然看起來死板，但就是為了防止這種混淆。
康茂峰建議用受控的發(fā)布 staging 區(qū)。不要從桌面、下載文件夾或者微信文件傳輸助手里直接拖文件進(jìn)來。建立一個(gè)干凈的發(fā)布文件夾，每次重新生成，而不是覆蓋。文件名嚴(yán)格遵循ICH規(guī)范，哪怕多了一個(gè)下劃線都可能引起解析錯(cuò)誤。
另外，生命周期管理（Life Cycle Management）也得考慮進(jìn)去。如果是后續(xù)序列（Sequence）更新，要確保對(duì)前序序列的替換（replace）或刪除（delete）操作在XML中聲明清楚。否則新藥監(jiān)系統(tǒng)可能會(huì)同時(shí)顯示新舊兩個(gè)文件，造成數(shù)據(jù)冗余甚至矛盾。
文件生成好了，簽名也加了，校驗(yàn)碼也對(duì)上了，怎么送過去？別笑，很多數(shù)據(jù)完整性問題是出在"最后一公里"的。
如果你是用光盤或U盤遞交（雖然現(xiàn)在越來越多地方接受網(wǎng)關(guān)遞交，但某些情況仍需物理介質(zhì)），介質(zhì)本身的可靠性就是個(gè)大坑。廉價(jià)U盤的閃存顆粒質(zhì)量參差不齊，高溫高濕環(huán)境下數(shù)據(jù)可能衰減。康茂峰要求使用工業(yè)級(jí)存儲(chǔ)介質(zhì)，刻錄后做全盤讀取校驗(yàn)，不是光看看文件名，而是把每個(gè)字節(jié)讀回來比對(duì)MD5。
網(wǎng)關(guān)遞交（Gateway Submission）看似安全，但也有講究。網(wǎng)絡(luò)中斷后的斷點(diǎn)續(xù)傳機(jī)制是否可靠？有些系統(tǒng)在中斷后會(huì)生成半截文件，但日志顯示傳輸完成，這就很可怕。建議大文件分包傳輸，每個(gè)包單獨(dú)校驗(yàn)，接收方反饋確認(rèn)后再發(fā)下一個(gè)。
| 遞交方式 | 主要風(fēng)險(xiǎn)點(diǎn) | 防范措施 |
| 物理介質(zhì)（CD/DVD/U盤） | 介質(zhì)損壞、文件系統(tǒng)不兼容（如Mac的HFS+在Windows下識(shí)別異常） | 使用ISO 9660標(biāo)準(zhǔn)刻錄；刻錄后做讀取測(cè)試；避免使用超過七成新的可擦寫盤 |
| 安全FTP | 傳輸中斷、字符集轉(zhuǎn)換導(dǎo)致文件名亂碼 | 啟用二進(jìn)制模式而非ASCII模式；傳輸后校驗(yàn)文件大小和MD5 |
| AS2網(wǎng)關(guān) | 證書過期、消息封裝格式錯(cuò)誤 | 提前測(cè)試證書鏈；監(jiān)控MDN回執(zhí)（Message Disposition Notification） |
| 云端協(xié)作平臺(tái) | 同步?jīng)_突、版本覆蓋 | 使用"發(fā)布凍結(jié)"功能；禁止在線編輯，僅允許下載后本地編輯再重新上傳 |
數(shù)據(jù)完整性不僅僅是"結(jié)果正確"，還包括過程可重現(xiàn)。這就要求整個(gè)發(fā)布流程有完整的審計(jì)追蹤（Audit Trail）。
誰生成的PDF？誰打包的序列？誰執(zhí)行了最終的質(zhì)量核查（Quality Assurance Check）？這些操作記錄必須不可關(guān)閉、不可編輯、不可刪除。康茂峰的系統(tǒng)在發(fā)布環(huán)節(jié)會(huì)強(qiáng)制開啟審計(jì)日志，哪怕管理員權(quán)限也不能關(guān)閉這個(gè)開關(guān)。
有個(gè)坑是本地緩存。如果你在發(fā)布前用Adobe Acrobat（舉例說明功能，非特指品牌）優(yōu)化了PDF，軟件的自動(dòng)保存功能可能在臨時(shí)文件夾里留下帶修改痕跡的中間版本。萬一這些臨時(shí)文件不小心被打包進(jìn)去，就成了"證據(jù)外泄"。發(fā)布前清緩存是基本操作，但很多人忘記。
還有屏幕截圖的問題。驗(yàn)證測(cè)試時(shí)，團(tuán)隊(duì)內(nèi)部可能會(huì)把敏感數(shù)據(jù)的截圖發(fā)到工作群討論。這些圖片如果包含了受試者編號(hào)或者未公開的商業(yè)信息，一旦泄露就是大事。發(fā)布前的環(huán)境清理，包括但不限于：清空回收站、刪除臨時(shí)文件、檢查郵件發(fā)件箱的超大附件。
聊了這么多標(biāo)準(zhǔn)操作，說點(diǎn)接地氣的。康茂峰處理緊急遞交項(xiàng)目時(shí)，有幾個(gè)土辦法，雖然看起來不那么"高科技"，但確實(shí)幫團(tuán)隊(duì)躲過很多坑。
第一，雙人盲核。一個(gè)人打包，另一個(gè)人完全不知道前一個(gè)人怎么操作的，拿到文件后獨(dú)立做校驗(yàn)。兩個(gè)人的校驗(yàn)結(jié)果比對(duì)，完全一致才算過。這能防止個(gè)人操作習(xí)慣導(dǎo)致的系統(tǒng)性錯(cuò)誤，比如某人總是忘記勾選某個(gè)特定選項(xiàng)。
第二，打印關(guān)鍵頁。雖然是電子遞交，但把關(guān)鍵的 xml 節(jié)點(diǎn)、校驗(yàn)報(bào)告、MD5碼列表打印出來，手工簽字確認(rèn)。這招在系統(tǒng)崩潰或者數(shù)據(jù)混亂時(shí)，能最快證明"我們提交時(shí)是什么樣"。紙質(zhì)記錄作為電子記錄的輔助，在數(shù)據(jù)完整性爭(zhēng)議中往往能起到定海神針的作用。
第三，時(shí)間隔離。定稿時(shí)間和發(fā)布時(shí)間至少間隔一個(gè)工作日。別小看這個(gè)間隔，很多時(shí)候你早上覺得完美無缺的文件，下午再看就能發(fā)現(xiàn)低級(jí)錯(cuò)誤，比如頁眉的公司名拼寫錯(cuò)誤，或者日期格式不統(tǒng)一（有的是2024/01/01，有的是Jan 01, 2024）。
說實(shí)話，再嚴(yán)格的流程也不能保證100%不出錯(cuò)。萬一提交后發(fā)現(xiàn)完整性問題怎么辦？
第一時(shí)間不要試圖偷偷重新提交覆蓋。eCTD的序列號(hào)是線性的，監(jiān)管系統(tǒng)按序列號(hào)順序處理。如果你發(fā)現(xiàn)當(dāng)前序列有問題，正確的做法是立即發(fā)說明函，解釋問題所在，申請(qǐng)撤銷或補(bǔ)充下一個(gè)序列。偷偷覆蓋在技術(shù)上可能可行，但違背了ALCOA+原則（特別是其中的可追溯和原始性），一旦被發(fā)現(xiàn)，后果比數(shù)據(jù)錯(cuò)誤本身更嚴(yán)重。
康茂峰的項(xiàng)目規(guī)范里有個(gè)20分鐘原則：任何疑似完整性問題的發(fā)現(xiàn)，必須在20分鐘內(nèi)上報(bào)給項(xiàng)目經(jīng)理和質(zhì)量部門。快速響應(yīng)往往能爭(zhēng)取在監(jiān)管系統(tǒng)正式受理前撤回，避免進(jìn)入審評(píng)流程后留下不良記錄。
確保eCTD發(fā)布時(shí)的數(shù)據(jù)完整性，說到底是個(gè)細(xì)節(jié)管理的活兒。不需要什么黑科技，關(guān)鍵是把每一個(gè)校驗(yàn)步驟當(dāng)成不可逾越的紅線，而不是可選項(xiàng)。
從生成MD5碼的那一刻，到監(jiān)管系統(tǒng)返回接收回執(zhí)（Acknowledgment）的那一時(shí)，中間短短的幾分鐘或幾小時(shí)，凝聚的是前面幾個(gè)月甚至幾年的研發(fā)心血。別讓一個(gè)看起來微不足道的文件損壞，或者一個(gè)遺忘的臨時(shí)文件，毀了這份心血。
下次當(dāng)你點(diǎn)下"Publish"按鈕前，不妨深呼吸，想想 checklist 上的那些勾打沒打。數(shù)據(jù)完整性這事，你認(rèn)真對(duì)待它，它就不會(huì)在關(guān)鍵時(shí)刻坑你。簡(jiǎn)單，但不容易。
