본문으로 건너뛰기

기록, 서명, 그리고 법: 21 CFR Part 11과 EU Annex 11

📍 현재 위치: 우리는 데이터를 신뢰할 수 있게 만드는 원칙을 갖추었습니다. 이제 신뢰할 수 있는 전자 기록이 종이에 쓴 잉크와 똑같이 법적으로 인정받게 해주는 법규를 만나봅니다.

지난 데이터 무결성과 ALCOA+ 장에서 우리는 기록이 의약품 그 자체를 대신할 만큼 신뢰할 수 있어야 한다는 개념과, "신뢰할 수 있다"가 무엇을 의미하는지 풀어 쓴 ALCOA+ 원칙을 만났습니다. 기록은 Attributable(귀속 가능), Legible(판독 가능), Contemporaneous(동시 기록), Original(원본), Accurate(정확)해야 하며, 여기에 더해 Complete(완전), Consistent(일관), Enduring(지속), Available(이용 가능)해야 합니다. 이것들은 훌륭한 원칙입니다. 하지만 원칙만으로는 전자 서명을 법적으로 구속력 있게 만들거나 데이터베이스 항목을 규제기관에 증거로 인정받게 할 수 없습니다. 그러려면 법이 필요합니다.

이 장은 그 법에 관한 것입니다. 두 개의 문서가 이 분야를 지배합니다. 미국의 21 CFR Part 11과 유럽연합의 GMP(Good Manufacturing Practice, 우수제조관리기준) Annex 11입니다. GMP는 규제 대상 의약품이 어떻게 만들어져야 하는지를 규율하는 기본 규칙 체계이며, Annex 11은 그중 전산화 시스템을 다루는 부분입니다. 이 둘은 함께 하나의 질문에 답합니다. 컴퓨터 기록이 언제 종이 한 장만큼 좋다고 할 수 있는가?

이 장은 책의 핵심 논지가 법이 되는 장입니다. 하나의 배치는 두 번 만들어집니다. 한 번은 분자로서, 한 번은 그 데이터 그림자(data shadow)로서입니다. 그리고 Part 11은 그 데이터 그림자가 법적으로 의미를 갖게 만드는 것입니다. 문서화되지 않은 배치는 일어나지 않은 것이며, 서명되지 않고 추적할 수 없는 전자 기록은 법적으로 문서화되지 않은 배치입니다.

전제 규칙을 기반으로 그 위에 21 CFR Part 11과 EU Annex 11이 얹혀 전자 기록을 신뢰할 수 있게 만드는 계층 구조를 보여주는 도해. Part 11과 Annex 11은 기록을 만들어 내지 않습니다 — 기반이 되는 predicate rule(전제 규칙) 위에서 전자 기록을 신뢰할 수 있게 만듭니다. 저자가 AI의 도움을 받아 직접 제작한 그림입니다.

쉽게 말하면

수 세기 동안 서명되고 날짜가 적힌 종이 기록은 "이것은 실제로 일어났고, 이름이 적힌 한 사람이 그 뒤에 책임을 진다"는 사실의 황금 기준이었습니다. 제약 산업이 디지털로 전환하면서 규제기관은 문제에 부딪혔습니다. 데이터베이스의 한 행은 아무도 모르게 바꾸기가 너무 쉽고, 타이핑한 이름은 서명이 아닙니다. Part 11과 Annex 11은 전자 기록이 좋은 종이처럼 작동하도록, 즉 위조할 수 없고, 시간이 찍히고, 귀속 가능하며, 몰래 지울 수 없도록 만드는 규칙집입니다. 이들은 서류 보관함에서 서버로 이어지는 법적 다리입니다.

이 장에서 다루는 내용​

먼저 이 규칙들이 왜 만들어졌는지에서 출발한 다음, Part 11의 핵심 요구사항, 즉 검증, 감사 추적, 사본, 보존, 접근 통제, 그리고 전자 서명을 차례로 살펴봅니다. 유럽의 병행 체계인 Annex 11과, 두 문서를 중심으로 자라난 전 세계적 데이터 무결성 지침도 만나봅니다. predicate rule(전제 규칙)과 위험 기반 범위라는 중요한 개념을 풀어냅니다. 그런 다음 속도를 늦추어, 법적 무게의 대부분을 짊어지는 단 하나의 데이터 구조인 감사 추적의 한 행을 필드별로 읽고, 품질 부서가 출하 전에 실제로 수행하는 검토까지 그것을 따라가 봅니다. 마지막으로 이 모든 것을, 실제 데이터 시스템, 즉 히스토리언(historian, 모든 센서 측정값을 담는 공장 데이터베이스), LIMS(실험실의 시료·결과 시스템), MES(전자 배치 기록 시스템 — 각각 이 장 끝에서 전부 정의됩니다)가 실제로 무엇을 해야 하는지로 옮겨봅니다.

법이 존재하는 이유: 디지털 기록을 종이만큼 좋게 만들기​

1990년대에 제약 산업은 모든 것을 인쇄하는 일을 그만두고 싶어 했습니다. 종이 배치 기록은 수천 페이지에 달했고, 종이 서명은 공장 곳곳을 물리적으로 쫓아다니며 받아야 했습니다. 무서류화(paperless)는 속도와 더 적은 전사 오류를 약속했습니다. 다만 규제기관이 전자 기록과 전자 서명을 정당한 것으로 받아들일 때에만 그러했습니다.

그래서 1997년 미국 FDA(Food and Drug Administration, 식품의약국)는 21 CFR Part 11, 즉 연방규정집(Code of Federal Regulations) 제21편 제11부를 공표했고, 정식 명칭은 Electronic Records; Electronic Signatures(전자 기록; 전자 서명)입니다[1]. 그 핵심 약속은 동등성입니다. 전자 기록과 적절하게 실행된 전자 서명은 종이 기록 및 손으로 쓴 서명과 똑같이 법적으로 유효할 수 있습니다. 단, 시스템이 일련의 신뢰성 통제 항목을 충족한다는 조건하에서입니다[1]. Part 11은 기준을 낮추지 않았습니다. 오히려 "컴퓨터가 그렇다고 한다"는 말이 의미를 가질 수 있는 조건을 정했습니다.

Part 11의 핵심 요구사항​

Part 11은 두 가지 환경을 구분합니다. 폐쇄 시스템(closed system)은 기록에 책임을 지는 바로 그 사람들이 접근을 통제하는 시스템입니다. 예를 들어 검증된 공장 히스토리언(모든 센서 측정값을 기록하는 공장 데이터베이스)이 그렇습니다. 개방 시스템(open system)은 접근을 통제하는 사람들이 그 내용에 책임이 없는 시스템입니다. 공개 인터넷을 가로질러 외부 당사자에게 전달되는 기록을 떠올려 보십시오. 개방 시스템은 주변 환경을 신뢰할 수 없기 때문에 암호화 같은 추가 의무를 집니다[1]. 개방 시스템은 제조 공장 내부에서는 드물지만 그 가장자리에서는 흔합니다. 소프트웨어 공급업체가 운영하는 클라우드 호스팅 LIMS(실험실의 시료·결과 시스템), 또는 위탁 시험 실험실(contract testing laboratory)로 전송되는 안정성 및 출하 시험 데이터가 그 예입니다. 이는 제조사가 기록을 소유하되 그 기록을 담고 있는 인프라는 통제하지 못하는 상황입니다.

폐쇄 시스템에 대해 이 규정은 이제는 익숙해진 일련의 통제 항목을 열거합니다[1].

  • 검증(Validation). 시스템은 검증되어야 합니다. 즉, 유효하지 않거나 변경된 기록을 탐지하는 능력을 포함해, 의도한 대로 신뢰성 있게 작동함을 공식적으로 입증해야 합니다. (이것이 어떻게 이루어지는지에 대해서는 다음 장 전체를 할애합니다.)

  • 감사 추적(Audit trails). 시스템은 안전하고 컴퓨터가 생성한 시간이 찍힌 감사 추적을 유지해야 합니다. 이는 누가 무엇을 언제 했는지, 즉 모든 생성, 변경, 삭제를 이전 값을 덮어쓰지 않고 기록합니다. 옛 값은 계속 보여야 합니다[1]. 감사 추적은 오류를 한 줄로 그어 지우되 원본은 여전히 읽을 수 있게 하는 방식의 디지털 등가물입니다.

  • 정확한 사본(Accurate copies). 시스템은 검사와 검토를 위해 사람이 읽을 수 있는 형태와 전자적 형태 양쪽으로, 기록의 정확하고 완전한 사본을 생성할 수 있어야 합니다[1]. 실무에서 이는 같은 기록을 두 가지 출력으로 내보내는 것을 뜻합니다. 사람이 읽을 수 있는 형태(서명란이 보이는 배치 기록 페이지의 PDF 출력물)와, 근본 값들에 더해 그 메타데이터까지 담는 전체 전자 내보내기(CSV 또는 XML 파일)입니다. 그래야 변환 과정에서 아무것도 손실되지 않습니다. 예를 들어 단일 태그에 대한 히스토리언 내보내기는 값, 그 단위, 그리고 완전한 감사 맥락을 함께 유지합니다.

    timestamp_utc,tag,value,unit,quality,operator,modified
    2026-06-13T08:00:01Z,BR101.Temp.PV,37.02,degC,Good,jdoe,false

    타임스탬프, quality 플래그, 또는 감사 추적 링크를 누락하는 사본은, 아무리 보기 좋아도 "정확하고 완전한" 사본이 아닙니다.

  • 보존 및 검색(Retention and retrieval). 기록은 요구되는 보존 기간 내내 보호되고 검색 가능해야 합니다. 이 기간은 Part 11이 아니라 predicate rule(전제 규칙)이 정합니다(미국에서는 21 CFR 211.180 — 같은 제21편의 별개 부분으로, 전자 기록이 아니라 GMP 기록 보관을 다룹니다: 배치의 유효기간 만료일로부터 최소 1년, 흔히 그보다 훨씬 더 길게). 많은 GMP 기록의 경우 이는 수년 또는 수십 년을 의미합니다[1].

  • 접근 통제(Access controls). 시스템은 고유한 로그인을 통해 접근을 승인된 개인으로 제한해, 행위가 실제 사람에게로 추적될 수 있게 해야 합니다[1].

그다음으로 전자 서명(electronic signatures)이 옵니다. Part 11은 타이핑하고 클릭하는 서명이 법적으로 구속력을 가질 수 있다고 말하지만, 안전장치가 있을 때에만 그렇습니다[1].

  • 각 서명은 한 개인에게 고유해야 하며 결코 재사용되어서는 안 됩니다.
  • 비생체 서명은 최소 두 가지 구성요소를 사용해야 합니다. 일반적으로 사용자 ID와 개인 비밀번호입니다. (하나의 연속된 로그인 세션 안에서는 첫 서명만 두 구성요소를 모두 필요로 하고, 이후의 각 서명은 사용자에게 고유한 구성요소를 최소 하나만 필요로 합니다.)
  • 서명은 그 기록에 영구적으로 연결되어야 하며, 그래야 복사, 잘라내기, 또는 다른 기록으로의 이전이 불가능합니다.
  • 서명된 기록은 사람이 읽을 수 있는 형태로 서명자의 인쇄된 이름, 날짜와 시간, 그리고 서명의 의미(예: 검토함, 승인함, 작성함)를 표시해야 합니다.

이 마지막 항목, 즉 서명-기록 연결(signature-to-record linking)이야말로 서명이 "떼어내져" 다른 문서에 붙는 것을 막는 장치이며, 이는 서명 위조의 디지털 판본입니다.

이 모든 것이 의미를 갖기 전에, §11.100이 빠진 나머지 절반을 채웁니다. 이 조항은 조직이 서명을 발급하기 전에 각 개인의 신원을 확인하도록, 그리고 자사의 전자 서명이 손으로 쓴 서명과 법적으로 구속력 있는 등가물로 의도되었음을 FDA에 서면으로 한 번 인증하도록 요구합니다. 이 인증이 등록되어 있지 않으면, 다중 구성요소 로그인이 기술적으로 아무리 완벽하더라도, 규제기관은 그 회사의 전자 서명 중 어떤 것도 구속력 있는 것으로 취급할 필요가 없습니다.

Part 11 신뢰 가능 기록 연쇄의 순서도: 사용자가 고유 ID와 개인 비밀번호로 인증한 뒤 승인 확인이 이루어지며, 아니오면 접근 거부 및 이벤트 기록으로, 예면 기록 생성 또는 변경으로 분기한다. 이는 누가, 무엇을, 옛 값, 새 값, 타임스탬프를 포착하는 감사 추적과, 인쇄된 이름, 날짜-시간, 의미를 표시하고 바로 그 기록에 영구적으로 결합되며 마지막으로 정확한 사본으로 보존, 보호, 검색 가능하게 유지되는 전자 서명 적용으로 갈라진다.

동료 심사를 거친 한 사례는 이것이 추상적이지 않음을 보여줍니다. 비록 그 사례는 GMP 제조가 아니라 임상 연구 문서화에서 나온 것이지만, 공학은 동일합니다. 연구자들은 임상 문서화 시스템을 Part 11에 부합하게 만들기 위해 바로 이러한 기능들, 즉 고유 로그인, 변조가 드러나는 감사 추적, 디지털 서명 안전장치, 공식 검증, 그리고 보호된 백업을 갖추어 구축했습니다[9]. 제조 히스토리언이나 LIMS가 제공해야 하는 것도 바로 이 동일한 통제 항목의 집합입니다.

유럽의 병행 체계: GMP Annex 11​

유럽연합은 조금 다른 길로 같은 목적지에 도달합니다. EU GMP 가이드의 Annex 11, 즉 Computerised Systems(전산화 시스템)는 규제 대상 제조에 사용되는 모든 전산화 시스템에 대한 EU의 기대사항을 제시합니다[3]. 이는 위험 관리, 공급자 및 서비스 제공자의 책임, 검증, 데이터 보안 및 무결성, 감사 추적, 전자 서명, 그리고 업무 연속성을 다룹니다[3].

차이는 대부분 강조점과 구조에 있습니다. Part 11은 기록과 서명 그 자체에 빈틈없이 초점을 맞춘 규정(regulation)입니다. Annex 11은 EU GMP 가이드인 EudraLex 제4권 안의 가이드라인(guideline)으로 구성되어, 전산화 시스템을 더 넓은 GMP 생애주기 안에 위치시키고 위험 관리와, 통제의 깊이가 환자 안전, 제품 품질, 데이터 무결성에 대한 시스템의 영향에 맞춰져야 한다는 발상에 크게 의존합니다[3]. 그렇다고 "가이드라인"을 "선택사항"으로 오해하지 마십시오. Annex 11은 법적 구속력을 가진 EU GMP 요구사항의 일부로 집행되므로, 이를 충족하지 못하면 GMP 실사에 불합격하고 시장 접근권을 잃습니다. 실무에서는 대서양 양쪽에서 판매하는 회사가 둘 다 만족시키도록 하나의 시스템을 설계합니다. 겹치는 부분이 크기 때문입니다.

Annex 11 또한 대대적으로 개정되는 중입니다. EMA의 콘셉트 페이퍼(EMA/INS/GMP/745438/2022)가 2022년에 그 절차를 시작했고[10], 개정된 Annex 전체 초안이 개정된 제4장과 함께 2025년에 공개 의견 수렴 절차에 들어갔는데, 그 범위는 감사 추적 검토, 클라우드 및 SaaS 서비스 제공자, 네트워크로 연결된 다중 시스템 환경 전반의 데이터 무결성, 그리고 AI/ML로 확장되었습니다[11]. 여기서 설명하는 2011년 텍스트는 현행이지만 곧 대체될 기준선입니다. 흐름의 방향은 바로 이 장이 해부하는 데이터 무결성 및 검토 통제를 향하고 있습니다.

노트

Annex 11은 문서화를 규율하는 EU GMP의 제4장(Chapter 4)에 명시적으로 연결되어 있습니다. 이 연결 고리는 우리가 다음에 만날 핵심적인 미국 개념의 유럽판 메아리입니다. 즉, 이 컴퓨터 규칙들은 애초에 좋은 기록을 유지해야 한다는 근본적 요구사항 위에 얹혀 있습니다.

데이터 무결성의 중첩​

Part 11과 Annex 11은 홀로 서 있지 않습니다. 산업 전반에 걸쳐 조작되고 누락된 데이터를 드러낸 일련의 실사 적발 이후, 전 세계 규제기관은 같은 기대사항을 지난 장의 ALCOA+ 언어로 구체화한 데이터 무결성 지침을 내놓았습니다. 영국 MHRA는 GxP Data Integrity Guidance(GxP는 우수실험실관리기준, 우수임상관리기준, 우수제조관리기준, 우수유통관리기준을 아우르는 상위 용어)를 발간하여 ALCOA(+) 원칙과 그것을 보호하는 통제 항목, 즉 감사 추적, 접근 통제, 생애주기 관리를 정의했습니다[5]. 국제 실사 기구인 PIC/S는 PI 041-1을 발행하여 여러 규제기관에 걸쳐 위험 기반 데이터 거버넌스 기대사항을 조화시켰습니다[6]. WHO는 종이와 전자 시스템 양쪽에 대한 우수 데이터 및 기록 관리 관행을 제시했습니다[8]. 그리고 FDA 자체의 Data Integrity and CGMP 질의응답 지침은 감사 추적 검토, 보존, 접근 통제에 대한 현재의 기대사항을 명시했습니다[7].

이 모든 문서를 관통하는 메시지는 일관됩니다. 전자 기록은 누가 그것을 만들었는지, 그것이 변경되지 않았음(또는 모든 변경이 보임)을, 그리고 법이 요구하는 기간 내내 완전하고 검색 가능함을 증명할 수 있을 때에만 신뢰할 수 있습니다.

감사 추적의 내부: 법이 데이터 기록이 되는 곳​

위의 모든 조항은 법적 무게의 대부분을 짊어지는 단 하나의 데이터 구조를 들여다보기 전까지는 추상적입니다. Part 11과 Annex 11이 요구하는 모든 통제 중에서, 하나는 나머지의 데이터적 구현입니다. 바로 감사 추적입니다. QC에서 실행되는 출하 시험이 결과를 내고, 나중에 검토자가 배치 처분 전에 전사 오류를 바로잡을 때, 실사관이 수년 뒤 무슨 일이 있었는지 재구성할 수 있게 해주는 것은 결과 그 자체가 아니라 감사 추적입니다. 이 절은 그 기록을 한 필드씩 해부한 다음, 품질 부서가 출하 전에 실제로 수행하는 검토를 따라갑니다.

귀속 가능 대 원본: 사람과 옛 값을 함께 보존하기​

하나의 변경 안에서 두 ALCOA+ 원칙이 충돌하며, 감사 추적은 이 둘이 조화를 이루는 곳입니다. 귀속 가능(Attributable)은 변경이 실제로 이름이 있는 사람에게 연결될 것을 요구합니다. 공유 로그인도, 서비스 계정도 아닙니다. 원본(Original)은 변경 전의 값이 결코 사라지지 않을 것을 요구합니다. 순진한 데이터베이스는 둘 다 하지 못합니다. UPDATE는 옛 숫자를 제자리에서 덮어쓰고, 기록되는 유일한 "사용자"는 애플리케이션이 접속하는 계정일 뿐입니다. 감사 추적은 이 둘을 한 번에 해결합니다. 변경을 한 사람을 데이터베이스 계정과 구별되는 별도의 필드로 기록하고, 변경 전과 후의 행 전체 스냅숏을 유지합니다. 그래서 원본 값은 지워지는 것이 아니라 한 줄로 그어집니다. 이는 종이에 대한 GMP 규칙의 디지털 판본입니다. 오류를 한 줄로 그어 원본을 여전히 읽을 수 있게 하는 것이지요.

감사 추적 한 행의 해부​

감사 추적으로 할 수 있는 가장 유용한 일은 그것의 한 행을 천천히 읽는 것입니다. 모든 열이 데이터베이스로 위장한 규제 요구사항이기 때문입니다. 아래는 단 하나의 audit.change_log 행, 즉 오프라인 시료의 역가(titer) 결과를 바로잡는 UPDATE를 한 필드씩 해부한 것으로, 각 열은 그것이 충족하는 정확한 조항에 매핑되어 있습니다.

출처, 변경, 무결성 세 그룹으로 감사 추적 한 행을 신원 카드 형태로 해부한 도해. seq, ts, db_user, app_user 출처 필드, table_name, action, row_key 변경 필드, 옛 역가와 새 역가를 문서화된 사유와 함께 나란히 보존한 녹색 블록, 그리고 prev_hash와 row_hash 사슬을 보여주는 보라색 패널을 담고 있다. 감사 추적의 한 행: 각 열은 데이터로 표현된 Part 11 또는 Annex 11 통제입니다 — 누가, 무엇을, 언제, 왜, 결코 지워지지 않는 옛 값, 그리고 그 행을 이웃과 용접하는 해시. 저자가 AI의 도움을 받아 직접 제작한 그림입니다.

열을 세 그룹으로 읽으십시오. 출처 그룹(seq, ts, db_user, app_user)은 누가, 언제에 답합니다. seq는 추가 순서를 고정하고, ts는 §11.10(e)의 "컴퓨터가 생성한 시간이 찍힌" 요구사항을 문자 그대로 구현한 것이며, db_user(데이터베이스 계정, 예: bioproc 서비스 로그인)와 app_user(사람, 예: 분석자 mlee)의 구분이야말로 ALCOA+ "귀속 가능"과 Annex 11 12조의 핵심입니다. 서비스 계정이 아니라 오직 사람만이 일탈 조사에서 질문받을 수 있기 때문입니다. 변경 그룹(table_name, action, row_key, old_row, new_row, reason)은 무엇을, 왜에 답합니다. action은 INSERT/UPDATE/DELETE이고, row_key는 검토자가 한 번의 필터로 기록의 전체 이력을 끌어낼 수 있게 하는데, 이는 책의 batch_id 조인 키가 캠페인 수준에서 맡는 바로 그 역할, 즉 단 하나의 술어로 BATCH-2026-001에 대한 모든 변경을 모으는 역할과 같습니다. 그리고 old_row/new_row는 §11.10(e)의 "이전에 기록된 정보를 가리지 말 것"을 물리적으로 참이 되게 합니다. 원본 값이 여전히 old_row 안에 영원히 남기 때문입니다. 무결성 그룹(prev_hash, row_hash)은 그 이후 누군가 이것을 건드렸는가에 답합니다. 이것이 바로, 오픈소스 자매편에서 트리거와 사슬 검증기를 갖춘 구체적인 PostgreSQL 테이블이 되는 그 기록입니다. 오픈소스 Part 11 장이 이것을 한 줄 한 줄 구축합니다.

정정된 숫자가 실제로 무엇인가: 하류 출하 속성​

이 행을 그것이 기술하는 물리적 단계에 근거시키는 것은 가치가 있습니다. "오프라인 시료의 역가 결과"는 그것이 어디서 오는지 알기 전까지는 추상적이기 때문입니다. 분석자가 정정한 값은 정제된 원료의약품, 즉 전체 하류(downstream, 바이오리액터 이후의 단위공정으로, 조(粗)수확물을 순수하고 안전한 원료의약품으로 바꾸는 단계) 정제 트레인을 거친 뒤에야 나오는 벌크 항체에서 측정된 출하 속성(release attribute)입니다. 그 트레인이야말로 감사 추적이 제값을 하는 곳입니다. 각 단계가 불순물을 제거하는 동시에 행이 기록하는 바로 그 결과를 생성하기 때문입니다. 수확 후, 항체는 Protein A 포획(capture)으로 세포 잔해의 소용돌이에서 건져 올려집니다. 이는 Protein A 리간드가 항체의 Fc 줄기를 붙잡는 동안 숙주세포단백질, DNA, 잔해는 폐기물로 흘려보내고, 이어 약산 용출(pH 3.5 부근)이 농축되고 훨씬 더 순수한 풀(pool)을 방출하는 친화 크로마토그래피로, 단 한 단계로 숙주세포단백질을 23 로그(수백수천 배) 제거합니다(Book 1의 Protein A 포획 장에서 전부 다룹니다). 산성 용출액은 곧장 저(低)pH 바이러스 불활화(viral inactivation)로 흘러듭니다. 이는 외피 보유 바이러스를 변성시키는, 유지된 산 처리(흔히 pH 3.3~3.6에서 약 60분)로, 검증된 로그 감소값(LRV — 한 단계가 바이러스를 줄이는 10의 거듭제곱 배수로, LRV 4는 1만 배 감소)을 지니며, 하류의 크기 기반 바이러스 필터와 짝을 이루어 두 직교(orthogonal, 서로 다른 작용 기전으로 독립적으로 작동하는) 단계가 함께 산에 약한 바이러스와 산에 강한 바이러스를 모두 제거합니다(Book 1의 저pH 불활화 장).

이 단계들 각각은 실사관이 나중에 거슬러 읽을 결과를 기록합니다. 포획 단계의 숙주세포단백질 제거량, 최종 풀에 대한 크기 배제 크로마토그래피의 단량체 순도(monomer purity)와 HMW 응집체(aggregate) 백분율, 불활화 유지의 문서화된 LRV 말입니다. 분석자가 정정한 역가 수치는 그 출하 패널의 한 항목이며, 감사 추적은 정정된 값이 여전히 올바른 풀의 올바른 시료로 추적됨을 증명하는 것입니다. 이것이 또한 하류에서 문서화된 사유가 그토록 중요한 이유입니다. 규격을 벗어난 응집체나 놓친 LRV는 사무적 각주가 아니라, 로트 전체를 규격 외(out-of-specification)로 처분하고 공식 조사를 열게 할 수 있는데, 바로 자매 온톨로지의 출하 게이트가 모델링하는 실패 양상입니다. 거기서는 2.0 %를 넘는 단 하나의 HMW 결과가 게이트를 작동시켜 로트를 일탈 검토로 보냅니다.

변경에 대한 문서화된 사유: Annex 11 9조와 보관 연쇄​

reason 필드에 주목하십시오. 미국 Part 11은 변경이 왜 이루어졌는지에 대해 비교적 조용합니다. Annex 11 9조는 명시적입니다. GMP 관련 변경에 대한 감사 추적은 문서화된 사유를 기록해야 합니다. 그 단 하나의 필드가 감사 추적을 수동적 로그에서 보관 연쇄(chain of custody)로 바꿉니다. 헐벗은 "값이 4.81에서 4.92로 변경됨"은 의심을 부르지만, "값 정정 — 원시 HPLC 출력물과 대조한 전사 오류"는 방어 가능합니다. 사유는 검토자가 정직한 정정과 데이터 조작을 구별할 수 있게 해주는 것이며, 이는 정확히 2010년 이후의 데이터 무결성 적발 물결이 다룬 구별입니다. 실무에서는 애플리케이션이 변경 직전에 사람의 신원과 사유를 설정하고, 시스템이 이를 자동으로 포착합니다. 데이터베이스가 작업자를 대신해 감사 행을 쓰기 때문에 작업자는 잊을 수가 없습니다.

해시 사슬 무결성: 권한 있는 우회를 막지는 못하되 변조를 탐지하기​

마지막 두 열, prev_hash와 row_hash는 다른 필드들이 답할 수 없는 질문을 다룹니다. 추적 그 자체가 작성된 이후 변경되었는가? 각 행의 해시는 그 자신의 내용 더하기 이전 행의 해시에 대해 계산되므로, 행들이 하나의 사슬을 이룹니다. 한 행을 삭제하거나, 두 행을 재배열하거나, 위조된 행을 끼워 넣으면 사슬이 더 이상 재계산되지 않습니다. 그 끊김이 탐지됩니다. 이것은 정직하고 겸손한 통제이며, 그것이 아닌 것을 말하는 것이 중요합니다. 이것은 블록체인이 아니며 변조를 불가능하게 만들지 않습니다. 포착을 비활성화하거나 테이블을 다시 쓰는 데이터베이스 슈퍼유저는 여전히 이를 우회할 수 있습니다. 해시 사슬은 변조를 막는 것이 아니라 탐지 가능하게 만듭니다. 즉, 권한 있는 오용을 실제로 막는 통제(직무 분리, 제한된 관리자 계정, 외부 시스템으로의 로그 전송)는 여러분의 절차와 인프라에 있으며, 실사관은 그것들을 보여달라고 요청할 것입니다. 이것은 CSV와 CSA를 관통하는 바로 그 위험 기반 자세입니다. 통제의 깊이를 위험에 맞추고, 나머지는 문서로 남기는 것이지요.

같은 행을 트리플로: 기계가 질의할 수 있는 출처​

감사 행은 데이터베이스 기록일 뿐만 아니라 하나의 작은 출처(provenance, 어떤 값을 누가, 어떻게, 무엇으로부터 만들어 냈는지에 대한 문서화된 이력)이며, 출처에는 표준 형태가 있습니다. W3C PROV-O 온톨로지, 즉 "엔터티, 액티비티, 에이전트" 출처를 위한 표준 어휘는 행이 담은 바로 그 세 그룹을 모델링합니다. 정정된 결과는 prov:Entity이고, UPDATE는 prov:Activity이며, 이름이 적힌 분석자는 그 액티비티가 prov:wasAssociatedWith하는 prov:Agent입니다. RDF(각 사실이 주어-술어-목적어 트리플(triple)로 표현되는 그래프 데이터 모델로, 자매 온톨로지 책에서 풀어 설명합니다)로 쓰면, 감사 행 하나는 다음과 같이 읽힙니다.

# 정정된 역가 결과, 그 UPDATE 액티비티, 그리고 그것을 실행한 사람 — PROV-O로.
ex:DS-001-titer-v2  a prov:Entity ;
    prov:wasRevisionOf  ex:DS-001-titer-v1 ;          # old_row, 결코 지워지지 않음
    prov:wasGeneratedBy ex:change-1042 .
ex:change-1042      a prov:Activity ;
    prov:wasAssociatedWith ex:analyst-mlee ;          # app_user, 책임지는 사람
    ex:reason "정정 — 원시 HPLC 출력물과 대조한 전사 오류" .

이 매핑은 감사 추적을 단지 저장하는 것이 아니라 추론기가 점검할 수 있는 것으로 바꿉니다. "모든 GMP 관련 변경은 문서화된 사유를 동반한다"는 제약, 즉 Annex 11 9조는 바로, 닫힌 세계 SHACL 셰이프(필수 값이 없을 때 실패하는 그래프 검증 규칙으로, 열린 세계 추론을 보완하는 닫힌 세계 짝)가 시스템 사이의 이음매에서 통제하는 종류의 완전성 규칙입니다. 자매 온톨로지 책은 출하 기록에 대해 바로 이 게이트를 구축합니다. 그 ReleaseShape는 귀속 가능한 approvedBy 서명을 요구하고 필수 필드가 빠진 로트를 인증하기를 거부하는데, 감사 추적 행은 그와 같은 발상을 출하가 아니라 변경에 적용한 것입니다. 다음 절이 실행하는 "이 배치에 대한 모든 변경을 누가, 왜와 함께 나열하라"는 쿼리는 그래프 용어로 보면 하나의 역량 질문(competency question, 데이터 모델이 답할 수 있어야 하는 질문으로, 그 수용 시험으로 쓰입니다)입니다. "이 배치의 결과를 수정한 모든 액티비티에 대해 에이전트, 옛 값, 새 값, 사유를 SELECT하라"는, 계보 척추가 순회로 답하는 계보 및 영향 질문의 변경 이력 판본입니다. 행을 이렇게 표준화하는 것이 바로, 기록이 히스토리언을 떠나 지식 그래프로 건너갈 때에도 귀속이 살아남게 해줍니다. 하나의 애플리케이션만 읽을 수 있는 로그와, 어떤 시스템이든 질의할 수 있는 출처의 차이지요.

검토 쿼리: 품질 부서가 출하 전에 실제로 실행하는 것​

아무도 읽지 않는 감사 추적은 규칙의 문구는 충족하되 그 목적은 전혀 충족하지 못합니다. 국제 지침은 이에 대해 단호합니다. PIC/S와 FDA의 데이터 무결성 질의응답은 모두 감사 추적이 단지 보관되는 것이 아니라 검토되어야 하며, 그 검토가 기록에 의존하기 전에, 즉 배치 출하 전에 이루어져야 한다고 주장합니다[7]. 그래서 산출물은 "우리는 감사 추적을 가지고 있다"가 아니라 "우리는 누군가가 검토하는 감사 추적을 가지고 있다"입니다. 구체적으로 그 누군가는 쿼리를 실행합니다. 이 배치 기록에 대한 모든 변경을 나열하고 — 누가, 옛 값, 새 값, 사유, 그리고 언제 — 무결성 사슬이 온전한지 확인합니다. 아래 그림은 정정된 하나의 결과를 분석자의 키 입력부터 검토자의 서명까지 끝까지 따라갑니다.

정정된 결과에서 검토된 감사 추적까지의 흐름: 분석자가 사람 사용자와 사유를 설정한 뒤 UPDATE로 결과를 정정하고, 트리거가 자동으로 발동해 옛 값 더하기 새 값 더하기 누가 더하기 왜를 포착하며, 해시 사슬로 묶인 행이 변경 로그에 삽입된 다음, 품질 부서가 출하 전 검토 쿼리와 verify_chain 점검을 실행한 뒤 출하를 승인한다. 하단의 띠는 연속 관류 공정에서의 대규모 검토가 아직 풀리지 않은 부분임을 짚는다.

순방향 경로는 자동이고 역방향 경로는 사람입니다. 트리거는 아무도 기억하지 않아도 변경을 포착하고, 사슬 검증기는 아무것도 몰래 제거되지 않았음을 확인합니다. 하지만 판단, 즉 이 정정이 정직한가, 이 일탈이 설명되는가는 검토자의 몫이며, 규칙은 배치가 의존되기 전에 그것을 요구합니다.

풀리지 않은 과제: 연속 제조에서 대규모 감사 추적 검토​

한 배치에 대해 아름답게 작동하는 통제가 흔들리기 시작하는 지점이 바로 여기입니다. 전통적인 배치(batch) 제조에서 검토 경계는 자연스럽습니다. 배치가 끝나고, 그 기록이 닫히며, 검토자가 처분 전에 감사 추적을 읽습니다. 양은 유한하고 그 순간은 명확히 정의됩니다. 연속(continuous) 및 관류(perfusion) 공정은 이 두 가정을 모두 무너뜨립니다. 깨끗한 "배치 종료"가 없습니다. 제품이 수 주 동안 흐르고, 제조사는 용기가 비워지는 것이 아니라 시간이나 부피로 정의되는 롤링 배치 윈도(rolling batch window)로 그 흐름을 나눕니다. 각 윈도는 결코 자라기를 멈추지 않는 감사 추적의 한 조각을 물려받습니다. 그리고 규제기관의 요구사항은 굽히지 않습니다. 추적은 데이터에 의존하기 전에 여전히 검토되어야 합니다[7].

산술은 가차 없습니다. 단 한 번의 관류 운전이, 출하 일정 안에 어떤 사람도 한 줄씩 읽을 수 없는 감사 양을 생성할 수 있는데도, FDA의 데이터 무결성 지침은 여전히 근본 데이터와 동일한 엄격함으로 검토할 것을 기대합니다[7]. 정직한 최신 기술 수준은 위험 기반, 예외 기반 검토입니다. 모든 행을 읽는 대신, 품질 부서는 중요한 변경, 즉 수동 재정의(override), 순서를 벗어난 편집, 삭제, 문서화된 사유가 없는 변경을 자동으로 표시해 검토하고, 일상적인 대량은 표본 추출이나 자동 점검으로 검토합니다. 이는 건전한 위험 기반 사고이며, 동시에 진정으로 미해결입니다. 무엇이 검토 대상 예외에 해당하는지, 그 결정을 내리는 필터를 어떻게 검증하는지, 그리고 중요한 어떤 것도 빠져나가지 않았음을 실사관에게 어떻게 입증하는지는, 연속 바이오 제조로의 이행이 이론이 아니라 시급한 문제로 만들어 놓은 열린 질문들입니다. 이것은 더 넓은 Pharma 4.0 이야기의 감사 추적 검토 장(章)입니다. 즉 산업계의 디지털 전환 추진으로, 그 안에서 자동화는 규칙이 따라잡을 수 있다고 가정하는 사람의 검토 모델보다 더 빠르게 데이터를 만들어 냅니다.

필터가 모델일 때: 사람이 무엇을 읽을지 결정하는 그것을 검증하기​

"중요한 변경을 자동으로 표시하라"가 머신러닝 분류기, 즉 어떤 행을 사람이 검토해야 하는지 예측하도록 과거 감사 행으로 학습된 모델이 되는 순간, 검증 문제는 날카로워지고 자매 ML 책이 목록화한 모든 위험을 물려받습니다. 여기서 가장 중요한 것은 셋입니다. 첫째, 데이터 누출(data leakage)과 올바른 교차검증 분할입니다. 무작위로 분할된 감사 행에 대한 단순 정확도는, 같은 배치의 행이 학습과 시험 양쪽에 들어가면 우쭐대는 거짓입니다. 배치는 독립적이지 않기 때문입니다. 정직한 평가는 그룹화된, 배치별 제외(leave-one-batch-out) 분할로, 캠페인 전체를 떼어 두되 단일 행은 결코 그러지 않아서, 점수가 모델이 본 적 없는 배치에 대한 성능을 반영하게 하는 것이며, 이는 진짜 검증 숫자를 자기기만에서 갈라놓는 바로 그 규율입니다. 둘째, 적용 범위(applicability domain, 모델이 실제로 학습한 입력 영역)입니다. 연속 운전은 과거 어떤 배치도 차지하지 않은 운전 조건으로 표류할 수 있고, 학습 범위 밖의 행을 판단하라고 요구받은 표시 모델은 외삽하는 것이므로, 변경이 학습한 그 무엇과도 다를 때를 보고하고 조용히 통과시키는 대신 사람에게 상신해야 합니다. 셋째, 모델 자체의 표류(drift)입니다. "새벽 3시의 수동 재정의"와 "진정으로 의심스러움" 사이의 관계는 공정, 인력, 레시피가 바뀌면서 이동하는데, 이는 추적이 드러내려고 존재하는 공정 표류와 혼동해서는 안 되는 모델 표류이므로, 필터는 일회성 적격성 평가가 아니라 MLOps 장이 구축하는 잔차 및 모집단 안정성 모니터링을 필요로 합니다.

이것은 다음 장의 주제인 규칙과 정면으로 충돌합니다. 검토자가 결코 보지 못할 것을 결정하는 GMP 모델은 그 자체로 검증되어야 하는 전산화 시스템이며, 규제기관이 기대하는 잠긴 모델(locked-model) 자세하에서는 동결되고 버전이 고정되며 사전 승인된 변경 통제 계획하에서만 변경되고, 결코 제자리에서 조용히 재학습되지 않습니다. 그것이 축소판으로 본 검증 역설입니다. 필터는 학습하지만, GMP는 적격성을 부여한 바로 그 필터가 오늘 가동되는 것임을 입증할 것을 요구합니다. 정직한 현재의 답은 이 책의 나머지를 그대로 비춥니다. 놓친 예외의 결과에 검증 노력의 크기를 맞추는 위험 기반 CSA(Computer Software Assurance, 컴퓨터 소프트웨어 보증) 평가, 놓친 것을 사람이 여전히 잡아낼 수 있는 자문(advisory) 모델, 그리고 실사관이 분석자에게 던지는 것과 같은 질문을 모델에도 던질 수 있도록 필터 자신의 결정에 대한 감사 추적 말입니다. 무엇을 건너뛰었고, 왜인가? 필터는 검토자를 은퇴시키지 않습니다. 그것은 검토자를 위해 선별할 뿐이며, 출하 결정에 닿는 어떤 시스템의 기준으로도 검증되어야 합니다.

predicate rule(전제 규칙)과 위험 기반 범위​

이 분야에 처음 발을 들인 거의 모든 사람을 헷갈리게 하는 지점이 하나 있습니다. Part 11은 기록을 유지해야 한다는 요구사항을 만들어내지 않습니다. 그 요구사항은 근본적인 GMP 규정, 즉 FDA가 predicate rule(전제 규칙)이라 부르는 것에서 나옵니다[2]. predicate rule은 "배치 온도를 기록해야 한다" 또는 "적격 인원이 출하를 승인해야 한다"고 말하는 현실 세계의 법입니다. 미국 의약품 GMP에서 이들은 CFR에 들어 있습니다. 21 CFR 211.68은 자동, 기계, 전자 장비를 규율하며 그러한 시스템이 통제되고 점검될 것을 요구하고, 21 CFR 211.192는 모든 배치의 생산 및 통제 기록이 출하 전에 품질 관리 부서에 의해 검토 및 승인될 것을 요구합니다. 특히 21 CFR 211.68(a)는 자동, 기계, 전자 장비가 정기적으로 교정, 점검 또는 확인되고 그러한 점검의 서면 기록이 유지될 것을 요구하며, 21 CFR 211.182는 주요 세척, 유지보수, 사용에 관한 개별 장비 로그를 요구하는데, 바로 이 때문에 감사 추적과 장비 기록은 단지 공학적 편의가 아니라 법적 무게를 갖습니다. Part 11은 오직 그 기록을 어떻게 전자적으로 유지하고 서명할 수 있는지만 규율합니다. predicate rule상의 요구사항이 없으면 Part 11 의무도 없습니다.

이것이 중요한 이유는 역사 때문입니다. Part 11이 처음 등장했을 때 산업계는 이를 너무 넓게 읽어서, 모든 스프레드시트, 모든 타임스탬프에까지 적용한 나머지 규정 준수가 마비될 만큼 비용이 많이 들게 되었습니다. 2003년 FDA는 Scope and Application(범위 및 적용) 지침을 발표하여 해석을 좁히고, 네 가지 핵심 요구사항 영역에 대해 집행 재량(enforcement discretion)을 행사하겠다고 선언했습니다[2].

  • Part 11 시스템의 검증;
  • 감사 추적(특히 Part 11의 감사 추적 조항);
  • 기록 보존; 그리고
  • 기록의 사본 생성.

(이 지침은 또한 규칙 시행 이전부터 운영된 레거시 시스템을 별도로 제쳐 두었습니다.) 이 기관은 위험 기반 접근법(risk-based approach)을 채택했습니다. 모든 것에 동등하게 최대한의 엄격함을 적용하기보다, 부정확하거나 잃어버린 기록이 환자에게 실제로 해를 끼치거나 제품 품질을 훼손할 수 있는 곳에 통제를 집중하는 것입니다[2]. 노력은 위험을 따라야 합니다.

주의

"집행 재량"은 빠져나갈 구멍이 아닙니다. FDA는 범위를 재검토하는 동안 그 네 가지 Part 11 조항을 Part 11 요구사항으로서 집행하지 않기로 선택했을 뿐입니다[2]. 그러나 predicate rule과 현재의 데이터 무결성 지침은 여전히 같은 통제를 요구합니다. 감사 추적이 가장 분명한 예입니다. Part 11의 감사 추적 조항이 재량에 속하더라도, predicate rule(예: 21 CFR 211.68과 211.192)과 현대 데이터 무결성 지침은 여전히 이를 요구하므로, 감사 추적을 건너뛰는 것은 규제 적발로 가는 지름길입니다.

이 위험 기반 철학은 바로 산업 프레임워크 GAMP 5(Good Automated Manufacturing Practice, 제5판)가 실행으로 옮기는 것입니다. 비판적 사고(critical thinking, 모든 것을 최대한으로 시험하기보다 각 통제를 실제 위험에 맞춰 크기를 정하는 것)를 사용해 검증 및 무결성 통제를 시스템의 위험과 복잡성에 맞춰 조정하는 것이지요[4]. 이것은 FDA가 2025년 컴퓨터 소프트웨어 보증(Computer Software Assurance) 지침에서 직접 확정한 바로 그 자세이자, 다음 장으로 이어지는 다리입니다.

왜 중요한가​

데이터 시스템을 구축하거나 운영하는 누구에게든, Part 11과 Annex 11은 막연한 선의를 구체적인 명세로 바꿔놓습니다. 부합하는 시스템은 단지 데이터를 저장하는 데 그쳐서는 안 됩니다. 그것은 수년 뒤 실사관에게 방어될 수 있는 방식으로 데이터를 저장해야 합니다. 이 단 하나의 요구사항이 모든 설계 결정으로 폭포처럼 번집니다. 공유 로그인이 아닌 고유 사용자 계정, 결코 끌 수 없는 감사 추적, 신뢰할 수 있는 시계에서 나온 타임스탬프, 그 자체가 보호되고 테스트되는 백업, 그리고 자신이 승인한 기록에 용접되듯 결합된 서명입니다. 이것들을 잘못 다루면 데이터는, 과학적으로 아무리 완벽하더라도, 법적으로 무가치할 수 있고, 배치는 결코 환자에게 닿지 못할 수 있습니다.

여기서 가장 흔한 실제 적발은 감사 추적이 없는 것이 아니라 끌 수 있는 것입니다. 즉 감사 로깅이 구성 가능하도록 되어 있고, 그 상태로 출하되었거나 꺼진 채로 방치된 크로마토그래피 데이터 시스템(CDS, chromatography data system)이나 히스토리언 말입니다. 실사관은 그 추적이 일반 계정은 물론 관리자 계정으로도 꺼질 수 없는지, 그리고 감사 추적 구성에 대한 어떤 변경도 그 자체로 감사되는지를 구체적으로 확인합니다. 이것이 바로 §11.10(e)가 말하는, 가리지 않으며 조용히 억제될 수 없는 추적의 의미입니다.

실제 현장에서​

현대 바이오 제조 공장에서는 세 가지 시스템 유형이 규제의 무게를 짊어집니다. 히스토리언(historian)은 pH, 온도, 용존 산소 같은 모든 센서 측정값을 초 단위로 기록하는 데이터베이스입니다. AVEVA PI System(구 OSIsoft PI)과 AspenTech InfoPlus.21이 흔히 쓰이는 상용 히스토리언이며, AVEVA PI의 이벤트 프레임과 두 시스템의 감사 추적 기능이 바로 누가 언제 값을 확인하거나 변경했는지를 포착합니다. LIMS(Laboratory Information Management System, 실험실 정보 관리 시스템)는 시료와 시험 결과를 추적합니다. LabVantage LIMS와 Thermo Scientific SampleManager 같은 제품은 Part 11 기능, 즉 고유 로그인, 검증된 배포 환경에서 항상 켜지도록 구성되는 감사 추적, 그리고 전자 서명 워크플로우를 갖춘 것으로 마케팅됩니다. MES(Manufacturing Execution System, 제조 실행 시스템)는 전자 배치 기록을 운영하고 레시피의 단계를 강제합니다. Körber의 Werum PAS-X(바이오의약품에 가장 널리 배포된 제약 특화 MES/EBR), Siemens Opcenter Execution Pharma(구 SIMATIC IT eBR), 그리고 Rockwell FactoryTalk PharmaSuite 같은 시스템은 Part 11 전자 서명과, 각 단계를 그 단계를 수행한 작업자에게 연결하는 실행 완료 배치 기록(as-executed batch record)을 지원하는 것으로 공급업체가 내세웁니다. 각각은 Part 11과 Annex 11 통제를 기본 내장으로 제공해야 합니다. 잠긴 접근, 변경 불가능한 감사 추적, 각 승인에 결합된 전자 서명, 그리고 요청 시 정확한 사본 말입니다[1][3].

동일한 법적 무게는 제품을 생산 라인의 끝까지 따라갑니다. 완성된 바이오의약품을 그 전체 제조 이력에 묶는 품질, 규제, 데이터 백본은 바로 이 감사 추적 및 서명 통제 위에 놓여 있습니다.

이것이 또한, 실시간 실험실 데이터 통합 노력 같은 상호운용성 작업이 규정 준수를 무시할 수 없는 이유입니다. 데이터가 기기에서 표준 인터페이스를 가로질러, 즉 실시간 공정 데이터에는 OPC UA(실시간 공정 데이터를 위한 개방형 기계 간 표준), 실험실 데이터에는 분석 결과를 그 전체 맥락과 함께 담는 개방 형식인 AnIML 또는 Allotrope, 실험실 기기를 제어하고 판독하는 데에는 SiLA 2, 그리고 공장 현장과 비즈니스 계층 사이에는 ISA-95(B2MML) 메시지를 거쳐 히스토리언으로, 그리고 더 나아가 분석으로 자동으로 흐를 때, 모든 단계가 귀속과 감사 추적을 보존해야 합니다. 누가 무엇을 언제 측정했고 그것이 바뀌었는지를 놓치는 표준 기반 파이프라인은 단지 형편없는 공학에 그치지 않습니다. 그것은 Part 11과 Annex 11이 보호하기 위해 존재하는 연쇄를 끊습니다.

실사관을 만족시키는 바로 그 감사 추적이, 통합된 데이터를 하류에서 안전하게 재사용할 수 있게 만드는 것입니다. 귀속, 문서화된 사유, 그리고 보존된 원본은 바로 기록을 FAIR, 즉 Findable(검색 가능), Accessible(접근 가능), Interoperable(상호운용 가능), Reusable(재사용 가능)하게 만드는 출처(provenance)입니다. 그래서 법적 통제와 분석적 가치는, 만족스럽게도, 같은 통제를 두 측면에서 바라본 것입니다. 분석자(또는 모델)는 누가 언제 측정했고 그것이 바뀌었는지로 거슬러 추적할 수 있는 숫자만 신뢰할 수 있습니다.

핵심 용어​

  • 21 CFR Part 11 — 지정된 통제하에서 전자 기록과 서명을 종이와 법적으로 동등하게 만드는 미국 FDA 규정.
  • EU GMP Annex 11 — EudraLex 제4권 안의 EU 전산화 시스템 가이드라인. Part 11의 EU 병행 체계이며, 구속력 있는 GMP 요구사항의 일부로 집행됨.
  • 폐쇄/개방 시스템(Closed / open system) — 기록에 책임을 지는 사람들이 통제하는 시스템(폐쇄) 대 외부인이 접근을 통제하는 시스템(개방). 후자는 추가 보호가 필요함.
  • 감사 추적(Audit trail) — 누가 기록을 생성, 변경, 삭제했는지에 대한 안전하고 시간이 찍힌 로그로, 옛 값을 계속 보이게 유지함.
  • 변경에 대한 문서화된 사유(Documented reason for change) — 변경에 왜가 동반되어야 한다는 Annex 11 9조의 요구사항으로, 감사 로그를 보관 연쇄로 바꿈.
  • 해시 사슬 감사 추적(Hash-chained audit trail) — 각 행의 해시가 이전 행의 해시를 포함해, 삭제·재배열·편집이 사슬을 끊어 탐지 가능하게 만드는 감사 추적(막는 것이 아니라 탐지 가능).
  • 출처 / PROV-O(Provenance / PROV-O) — 어떤 값을 누가, 어떻게, 무엇으로부터 만들어 냈는지에 대한 문서화된 이력. PROV-O는 감사 행 하나를 기계가 질의할 수 있는 RDF 트리플로 표현하고 SHACL 완전성 셰이프로 검증할 수 있게 하는 W3C 표준 어휘(엔터티/액티비티/에이전트).
  • 하류 정제(Downstream purification) — 바이오리액터 이후의 단위공정(Protein A 포획, 저pH 바이러스 불활화, 폴리싱, 바이러스 여과, UF/DF)으로 조수확물을 순수한 원료의약품으로 바꾸는 단계. 감사 추적이 기록하는 출하 속성을 생성하는 단계들.
  • 로그 감소값(Log-reduction value, LRV) — 바이러스 제거 단계가 바이러스를 줄이는 10의 거듭제곱 배수(LRV 4는 1만 배 감소). 검증되고 감사로 기록되는 결과이며, 직교 단계들을 합산해 총 제거량을 얻음.
  • 그룹화/배치별 제외 검증(Grouped / leave-one-batch-out validation) — 모델(예: 감사 추적 예외 필터)을 캠페인 전체를 떼어 두고 단일 행은 결코 그러지 않는 방식으로 평가해, 누출 없는 점수가 학습에서 본 적 없는 배치에 대한 성능을 반영하게 하는 것.
  • 적용 범위(Applicability domain) — 모델이 학습한 입력 영역. 그 밖의 변경을 판단하라고 요구받은 표시 모델은 외삽하는 것이므로, 조용히 통과시키는 대신 사람에게 상신해야 함.
  • 감사 추적 검토(Audit-trail review) — 출하 전에 품질 부서가 감사 추적을 읽는 행위로, 연속 공정에서는 위험 기반·예외 기반 검토로 옮겨감.
  • 전자 서명(Electronic signature) — 고유하고, 다중 구성요소를 갖추며, 자신의 기록에 영구적으로 연결될 때 법적으로 구속력을 갖는 컴퓨터 기반 서명 방식.
  • 서명-기록 연결(Signature-to-record linking) — 서명이 다른 기록에 복사될 수 없어야 한다는 요구사항.
  • predicate rule(전제 규칙) — 기록을 유지해야 한다는 근본적 GMP 요구사항. Part 11은 그것을 전자적으로 어떻게 유지할 수 있는지만 규율함.
  • 집행 재량(Enforcement discretion) — 위험 기반 범위를 적용하면서 특정 Part 11 세부사항에 대해 조치하지 않기로 한 FDA의 선택.
  • 위험 기반 접근법(Risk-based approach) — 기록 또는 시스템의 환자 안전 및 품질 영향에 맞춰 통제를 조정하는 것.
  • GxP — 우수-x-관리기준(Good-x-Practice) 규정의 집합(우수실험실관리기준, 우수임상관리기준, 우수제조관리기준, 우수유통관리기준, GLP/GCP/GMP/GDP). 데이터 무결성 규칙은 이들 전반을 가로지름.
  • 데이터 무결성 지침(Data-integrity guidance) — ALCOA+ 통제를 다시 서술하는 2010년 이후의 MHRA, PIC/S(PI 041-1), WHO, FDA 문서로, Part 11 단독과 달리 모두 감사 추적 검토를 요구함.
  • 히스토리언/LIMS/MES(Historian / LIMS / MES) — 이러한 통제를 기본 내장으로 구현해야 하는 공장 데이터 시스템.

이 다음은​

위에서 한 단어가 얼마나 자주 등장했는지 주목해 보십시오. 바로 검증입니다. 규제 대상 데이터 시스템은 누군가가 그 기록이나 서명을 신뢰하기 전에 목적에 적합함이 입증되어야 합니다. 그 입증이 어떻게 구축되는지, 즉 전산화 시스템 검증(Computerized System Validation), 소프트웨어 범주와 V-모델을 갖춘 GAMP 5 위험 기반 프레임워크, 그리고 더 군더더기 없고 비판적 사고에 기반한 철학인 컴퓨터 소프트웨어 보증(Computer Software Assurance, CSA)으로의 산업계의 전환이 바로 다음 장 전산화 시스템 검증: GAMP 5와 CSA로의 이행의 주제입니다.

그리고 이 장의 감사 추적 행이 도해이기를 멈추고 실행되는 코드, 즉 실제 CREATE TABLE, 모든 변경을 포착하는 트리거, verify_chain() 함수, 그리고 전자 서명 워크플로우가 되는 모습을 보고 싶다면, 오픈소스 Part 11과 Annex 11 장이 그 전부를 PostgreSQL과 eLabFTW 위에 구축하며, 오픈소스만으로는 정확히 어떤 조항을 충족할 수 없는지를 솔직하게 밝힙니다.