IT和OT（自控）职责边界

Kc305

一、问题

IT和OT职责在制药领域一直是一个老生常谈的问题。因为大计算机化系统领域不仅包含IT计算机还包含了automation自动化控制程序，所以这一块争议和分歧一直存在。甚至极端的只要是计算机化系统都是IT去解决，（IT懂PLC？搞不好刚开电柜就被电了半死）但是分锅甩锅，问题还是存在，最终目的是要使药品符合质量体系以及通过审计。

当前主流的检查理念：“横向追踪”而非“纵向隔离” WHO&PIC/S检查员的做法与FDA高度一致。他们不关心部门墙，而是关注数据流和指令流的完整性与可靠性。他们会进行“横向追踪”，这必然跨越IT和自动化工程的边界：讲人话就是，虽说在实际中部门之间那些有的没得分锅甩锅等现象太多，但是审计官他们的维度永远是符合法规要求而不是公司内部那些有的没得边界。

• 回归正题分析下原因
• 顺向追踪（从指令到记录）：
  

• 从一个生产指令（可能来自IT层的ERP/MES）开始，追踪它如何下达给车间控制系统（OT层的SCADA/DCS）。
• 再追踪控制系统如何驱动物理设备（PLC、阀门）执行。
• 最后追踪过程数据和结果如何被采集、存储（可能在OT层的Historian），并最终汇总为电子批记录（回到IT层）。
  

• 逆向追踪（从记录到源头）：
  

• 在实验室报告（IT层的LIMS）中发现一个超标结果（OOS）。
• 回溯该样品对应的生产批次记录（IT层的MES/EBR）。
• 进一步回溯生产该批次时设备的实际运行参数（OT层的SCADA历史数据）。
• 最终可能追溯到某个传感器的校准状态（现场OT设备）或控制逻辑的变更（自动化工程活动）。
  

这种检查方式意味着，任何边界上的管理真空或沟通脱节，都会成为严重的合规缺陷。也就是说最终目的企业是一个整体而不是一个个独立的小个体，至于最后公司内部怎么分锅 FDA管不了那么多他们只认为你们在职责边界，管理边界上存在严重的真空和灰色地带。

二、分析

存在问题就要解决，目前主流解决方案，分为SMP和SOP&WI中分两步执行

1. 基本是按照GAMP5中风险控制和岗位职责进行边界划分，在IT或者设备工程部门的SMP中对OT和IT负责需要有一个明确的文件边界定义，

2. 其次在系统SOP中进行细节定义进行查漏补缺，规避掉灰色地带。

一、背景与核心思路

目的：在受监管环境中，区分 IT 与OT/自动化系统的职责、治理、验证与变更管理边界，确保系统安全、可维护、可验证，并符合相应法规（如 21 CFR Part 11、欧盟 GMP、药典等）。

GAMP 5的定位：提供基于风险的生命周期模型和“分类–建模–实现–验证–维护”的方法论，强调对供应商活动、采购、变更、风险评估和合规性的清晰分界与协同。

IT与自动化边界的核心：涉及网络分层、数据一致性、职责范围、变更管理、供应商管理、记录与审计、验证策略、以及对安全（信息安全、工业控制系统安全）的考量。

二、边界的常见划分原则

主要职责划分

功能与职责分界（SMP)

IT 侧（企业信息系统与 IT基础设施）职责侧重点：企业应用、数据存储与管理、信息系统安全、网络与基础设施、云与数据中心、用户账户与访问控制、电子记录/签名的实现、数据备份与灾备、系统级的验证与确认（IQ/OQ/PQ 在 IT 部分的测试与验收）

典型范围：ERP、LIMS、实验室信息系统、电子邮件、协作工具、企业级数据库、IT 安全与合规性、IT 变更管理，数据库管理、云服务、IT治理、信息安全与数据完整性。。

自动化/OT 侧（现场控制系统、工艺控制、现场设备、DCS/PLC/SCADA、制造执行相关的现场数据）：职责侧重点：现场控制、实时数据采集、过程参数执行、设备安全与可靠性、现场网络的分区与安全、与工艺相关的验证（如对控制逻辑、界面互操作性、现场设备的测试）

典型范围：DCS、PLC、SCADA、HMI、工艺控制系统、分布式控制系统、现场仪表、数据采集与过程控制、过程控制参数、现场数据采集与批记录的初级生成。负责：现场控制、实时数据采集、过程参数执行、设备层面的安全与可靠性。

系统功能和数据接口边界(SOP)

生产关键数据（如关键过程参数、批记录、完整性相关数据）应在合规范围内可追溯、不可篡改，通常需要在 OT/控制层与IT/应用层之间定义清晰的数据流、接口与审计路径。

数据风控点：谁有权限改动数据、数据从哪里来、如何传输（加密、签名）、如何存储（长期保留、不可变性）。

系统功能：一条工艺设备哪怕一个灭菌锅都由多个设备组成，混合了大量OT和IT的设备和职责，如IT的IT基础设施（工控计算机，数据网络交换机，时间NTP服务器）以及OT的（PLC,CPU,以及大量的伺服电机和电气控制模块）。这时通常需要在SOP定义这些系统的维护和支持职责，因为SMP管理文件仅在大方向上进行定义，实际执行仍然需要SOP进行补充补位，但是注意SOP其职责描述不可超越其上位SMP。

验证与变更边界

OT 系统的验证关注点在于工艺可控性、稳态与安全性，以及与现场设备的互操作性；IT系统的验证更多聚焦于功能性、数据完整性、用户权限、审计轨迹、合规性。

变更管理分界：对OT/控制逻辑、现场硬件、传感器、控制参数的变更需要经过工艺/制程相关的变更评估和工厂级的变更控制流程；对 IT 的应用软件、服务器、网络配置的变更则通过IT change control流程执行。

安全与合规边界

OT/工业控制系统安全关注控制精确、能量干扰（核药)、界面清晰的安全策略、以及对工艺中断的影响评估；IT 安全关注数据保护、身份认证、访问控制、日志与事件管理、灾难恢复。

两者的边界还包括合规性要求的落地方式：如 21 CFR Part 11对电子记录和签名的要求、数据完整性（ALCOA）等，需要在跨边界的接口处确保可验证性和不可抵赖性。

三、总结

IT和OT的争议GAMP 5在边界管理中仍然以风险评估和岗位职责边界的形式最终落地，我所经历的项目中多以沟通少（没把话说清楚）人员配置，以及监管部门协调不充分导致的。

生命周期与分级

将系统分级（Classifying）为 IT、OT、或混合系统，结合关键性和对工艺的影响进行风险评估。

对混合系统，明确哪些部分由 IT 担责，哪些由 OT 担责，以及跨边界的接口治理。

立项到采购的治理

对工艺设备立项采购进场VD需要起到更多的管理和职责协调的功能，起到充分协调明确专精职责，让OT和IT可以和供应商明其的责任边界、接口契约、数据传输协议、版本管理和变更跟踪。

验证策略

OT 验证侧重于工艺参数、控制逻辑、界面一致性、现场设备的可重复性与鲁棒性；IT验证侧重于功能性测试、数据完整性、权限与审计、灾备与可用性。

对边界处的接口要有端到端的验证方案，确保数据在跨边界传输时保持完整性、可追溯。

最后最后就是一份清晰明了的SOP/WI，多少项目都栽在SOP/WI定义不清晰上，SOP不是只是教你设备怎么用，其另一半用途是明确各岗位支持内容和边界。

BerniceCheung

是不是OT放在设备部门更合理

xqliu

学习了，谢谢提供分享。

linchk

PLC，DCS，车间生产过程自动化控制系统，应该是生产自动化仪表控制专业，计算机化系统及日常维护管理验证，所有的这些工作归到设备部，更合理。我工作过的几个药厂，都是归到设备部。专业的人，干专业的事。

Kc305

BerniceCheung 发表于 2026-01-17 22:04
是不是OT放在设备部门更合理

是的通常在 EG 下设备部门， 有的企业还会在设备部门下再细分设备机械工程组和设备电气工程组。

来自安卓APP客户端

琦瑞福生

确实，现在我们设备管DCS,PLC啥的，现在有一部分缺少审计追踪，数据完整性的管理
但是在公司感觉推行起来有困难，比如IT觉得怎么给我这么多别的科室的活啊，丢雷老母

胜利者

学习