去年夏天，苏州一家做无菌注射剂的企业找到我们。他们正在准备GMP符合性检查，检查员提了一个整改项——洁净区（B级和C级）的环境监测还是人工记录，要求升级为24小时连续监测系统，并且数据要满足数据完整性要求（21 CFR Part 11 / 中国GMP附录《计算机化系统》）。

这事听起来不复杂——温度湿度压差加几个传感器，连到电脑上不就行了？但真正做起来才发现，制药行业的合规要求让这个"简单方案"变成了一个系统工程。这篇文章记录我们是怎么一步步做的、遇到了哪些坑。

一、现场情况摸底

第一次去现场，跟着质量部的负责人走了整个车间。几个关键信息：

底线是：方案本身不能成为污染源。任何进洁净区的设备都要能耐受VHP（汽化过氧化氢）灭菌，表面要光滑不积尘，电源线接口要密封。

二、方案设计

反复讨论了三版方案后，最终确定的结构是这样的：

采集层：GMP兼容的无线传感器

传感器选型花了很长时间。市面上的工业传感器很多，但能进洁净区的没几个。硬性要求：

最终选了针对制药行业定制的一款温湿度+差压三合一传感器。每间洁净室装了2-3个点位（近送风口、近回风口、关键操作位各一个），总共装了14个。

差压传感器装在隔墙两侧——这是GMP的硬性要求，不同洁净级别的相邻房间之间必须保持约10-15Pa的压差梯度。

边缘层：洁净区外的AI网关

网关不能放在洁净区内部（设备散热会干扰环境，且不符合GMP布局规范）。我们在D级区外墙的一个弱电间里放了一台边缘AI网关：

选择边缘网关而不是纯云方案的决定性因素，是GMP对数据完整性的要求。如果网络断了，云方案就丢了这段时间的数据，这在GMP检查中属于严重缺陷项。边缘方案可以断网继续采集，网络恢复后自动补传。

管理层：带审计追踪的监控平台

这个部分是整个方案中花时间多的。GMP要求计算机化系统必须满足"ALCOA+"原则：

具体到系统功能：

告警通知

异常时通过企业微信推送到质量部和工程部——温湿度超标、压差低于阈值、传感器离线都会触发。告警必须有确认机制：收到告警后必须在30分钟内确认，超时未确认升级通知到部门负责人。

三、实施过程

第一个月：选型和部署

传感器选型花了差不多两周。不是没有产品，而是满足GMP合规要求的产品太少。最终选了制药专用的验证型传感器，每个都附带出厂校准证书——这在GMP检查中是必需的。

网关部署也费了周折。第一次在弱电间试装后，发现靠近空调机房的几个传感器信号时断时续。排查发现弱电间的金属机柜对LoRa信号有屏蔽。把网关天线延伸到机柜外部后，信号恢复正常。

第二周：传感器安装和联网

安装只能在生产结束后进行（非生产时间进洁净区要值班经理批准、更衣换鞋、VHP消毒，每次进出准备时间约40分钟）。14个传感器分了3天装完。

每个传感器安装前要先用75%乙醇擦拭外表面，再经过传递窗紫外消毒才能进入洁净区。安装过程中严格的GMP流程让这个环节比预计多了近一倍时间。

第三周到第四周：数据验证和阈值调试

最初一周采到的数据质量很差——不是设备问题，是传感器安装位置没选好：

阈值调试同样不是一次搞定的。GMP要求温湿度范围是固定的（B级区温度20-24°C，湿度45-60%），但实际车间运行中，湿热灭菌结束后湿度会短暂冲到70%，然后很快回落。如果阈值设得太死，每次灭菌后都会触发告警。后来加了一个"灭菌模式"——灭菌完成后30分钟内告警阈值自动放宽，30分钟后恢复正常。

教训：GMP的静态环境标准和生产动态过程之间是有差距的，系统需要理解生产流程才能减少无效告警。这和学习机器的工作节拍很像——不了解工艺只看数据，一定会误判。

第五周：审计追踪功能开发和电子签名对接

这部分比想象的复杂得多。最开始我们用了现成的开源IoT平台，发现它的用户权限模型根本不满足GMP审计追踪要求——它只有"管理员"和"普通用户"两级，修改历史数据也没有记录。后来在开源平台的基础上自己写了审计追踪模块和电子签名模块。

核心的审计日志结构：

{
  "timestamp": "2026-03-15T14:32:18+08:00",
  "user": "zhang.qa",
  "action": "acknowledge_alarm",
  "alarm_id": "ALM-20260315-0042",
  "description": "C级区配液室湿度超标告警确认",
  "before": {"humidity": 68.3, "status": "alarm"},
  "after": {"humidity": 68.3, "status": "acknowledged"},
  "checksum": "a7f3c9e12b8d4f6a"
}

每条日志的checksum是通过上一条日志的checksum+本条内容计算得到的——形成一条不可篡改的链。这在GMP检查中虽然不是强制要求，但检查员看到这个设计后比较认可。

第六周：试运行和内部验证

试运行两周。这期间的主要工作是让质量部的人习惯电子化操作——以前习惯了纸笔记录，现在需要在系统上确认告警、查看趋势、做电子签名。操作习惯的改变比技术问题更难克服。

质量主管一开始担心"系统会不会突然坏了数据全丢"，我们现场做了一次断网测试：拔掉网络线，系统继续采集了6小时数据，网线插回去后自动同步完成，数据一条不少。这是他最满意的演示。

四、实际效果

系统正式运行3个月后，几个可以分享的数据：

提前发现的空调系统异常：3次
其中两次是B级区送风湿度缓慢上升（从48%升到55%，持续约4小时），趋势预测模型提前预警。工程部检查发现是空调除湿段阀门卡涩，修复后恢复正常。如果没及时发现，湿度持续升高可能导致无菌灌装风险。
非工作时间异常告警覆盖：全天候
以前凌晨和周末的车间状态完全靠运气，现在任何异常都会推送到手机上。有一起凌晨3点的压差告警（C级对D级压差从12Pa掉到5Pa），值班人员远程通知了工程部，第二天一早上班后处理，避免了白天的停产。
GMP检查准备时间：从2周缩短到1小时
以前每次检查前要翻纸质记录、手写汇总报告。现在直接导出审计追踪报告和设备运行趋势图。检查员现场让系统调出任意一天的历史数据，从操作到展示不到2分钟。

当然也有不如意的地方。

问题一：传感器电池寿命比预期短。 标称续航12个月的传感器，实际7个月就有两个没电了。分析原因是数据上报频率设置偏快（每15秒一次）。调整到每60秒一次后，后续批次运行了10个月还没问题。好在换传感器不需要停机，几分钟就能搞定。

问题二：VHP消毒对传感器的影响。 经过几次VHP灭菌循环后，部分传感器的密封圈出现了老化迹象。和供应商沟通后换成了耐过氧化氢的氟橡胶密封圈，问题解决。

问题三：告警疲劳。 系统上线初期一天收到20多条告警，质量主管开始忽略了。后来做了几个调整：把温度波动范围从±2°C放宽到±3°C（仍在GMP范围内），增加"持续超标超过15分钟才告警"的延迟逻辑，告警量降到了每天3-5条，基本合理。

五、个人思考

做完这个项目，几个比较深的感受：

制药行业的"慢"是有原因的。 之前做工厂项目习惯了"先跑起来再说"的节奏，但药企不一样——每步改动都要验证，每个设备进洁净区前都要消毒，每次安装都要走变更控制流程。这些流程不是 bureaucratic，而是对产品质量负责。我们在项目前期没充分估计这方面的时间成本，导致整体工期比预计多了40%。

数据完整性不是技术问题，是管理问题。 技术实现审计追踪并不复杂，真正难的是让操作人员养成"每次告警都认真确认"的习惯。系统可以记录谁确认了告警，但不能强迫他认真对待。质量文化的建设比系统建设更需要耐心。

边缘计算在制药场景的独特价值。 起初我们觉得制药行业对云方案接受度会比工厂更高（药企IT基础设施一般较好），但实际上药企对数据安全的要求更严——"数据不能出车间"是很多药企的底线。边缘方案能让数据留在本地，只上报告警和摘要信息到远端，这种架构在制药行业反而比纯云方案更容易被接受。

合规是底线，但数据本身的价值远超合规。 客户最初上线系统只是为了应付GMP检查。但运行了3个月后，质量负责人主动跟我们说，这些连续的环境数据让他们对车间的"脾气"有了深入了解——哪个时间段湿度容易波动、哪些位置压差经常不稳定、空调系统的能效趋势……这些信息对优化运行策略的帮助，比单纯合规要大得多。

六、给你的一些参考

如果你也在考虑给制药车间做环境监测，几点可能用得上的：

  1. 选传感器前先确认GMP合规资质。 很多工业传感器参数看起来不错但进不了洁净区——没有材料证明、没有校准证书、不能耐受VHP。买之前让供应商出具第三方校准报告。
  2. 位置比精度重要。 一个装在送风口下面的传感器，精度再高读出的数据也是错的。留够时间做位置验证。
  3. 审计追踪从第一天就设计进去。 不要在开源平台跑起来后再"加审计"，那是给自己挖坑。架构设计阶段就要考虑ALCOA+原则。
  4. 给操作人员留适应期。 从纸质记录到电子化操作的转换，技术本身不难，但人的习惯改变需要时间。前两周安排QA人员在旁边指导会减少很多抵触。
  5. 建议先跑一个月纯采集模式。 不开告警，只收集数据。用这一个月的数据来了解车间的真实环境波动模式，校准阈值。之后再开告警，误报率会低很多。