Case study: EMS tách biệt BMS nhà máy dược GMP

Case Study: Separating EMS from BMS in a Pharmaceutical Plant — Design, Validation, and Migration Without Stopping Production documents how Vietnamese pharma plants separate the quality-evidence monitoring path (EMS) from the operational control path (BMS).

• BMS is commissioned under GEP; EMS is qualified/validated under GMP — two budgets, two dossiers, two change-control lifecycles.
• URS for EMS starts from CPP per dosage form with three value rings: design space → alert alarm → action alarm.
• Legacy plants migrate in two parallel steps: replace sensors on the old path, then build the GxP path alongside until acceptance — monitoring never stops.

Trong giai đoạn 2024–2025 tôi tham gia soi hoặc biên soạn nhiều hồ sơ EMS (Environmental Monitoring System) của các nhà máy dược Việt Nam — từ hồ sơ thầu BMS+EMS cho một nhà máy mới đến hồ sơ nâng cấp EMS tại một nhà máy đang sản xuất. Câu hỏi lặp lại nhất của chủ đầu tư: “BMS đã đo nhiệt độ độ ẩm rồi, sao phải thêm hệ EMS nữa?” Bài này trả lời bằng kiến trúc, bằng URS, bằng cách đọc validation package của hãng — và bằng lộ trình chuyển đổi không dừng sản xuất.

Vì sao gom chung BMS và EMS tạo rủi ro data integrity

Phần này phân tích ba failure mode khi hai hệ thống dùng chung đường dữ liệu.

Regulatory baseline: bài viết đối chiếu theo EU GMP Annex 11 / Annex 1 (EudraLex Vol. 4), 21 CFR Part 11, FDA Data Integrity Guidance và Thông tư 28/2025/TT-BYT của Bộ Y tế.

BMS (Building Management System) và EMS đều đo môi trường, nhưng phục vụ hai mục đích khác nhau. BMS là hệ vận hành: điều khiển vòng kín HVAC, tối ưu năng lượng. EMS là hệ chứng cứ: ghi nhận dữ liệu môi trường tại các điểm critical chứng minh sản phẩm được làm ra và bảo quản trong điều kiện đã thẩm định — dữ liệu đi vào hồ sơ lô và bị thanh tra soi. Đây chính là vai trò “bản ghi GMP sơ cấp” của EMS đã phân tích trong EMS và Data Integrity: nền tảng ALCOA+; còn khung phân tích ranh giới pháp lý và các failure mode kiến trúc chi tiết hơn nằm ở bài EMS và BMS trong nhà máy dược.

Gom hai chức năng vào một hệ tạo ra ba failure mode điển hình — là các rủi ro mà phân tích hồ sơ và hướng dẫn ngành đều chạm tới:

• Audit trail bị “nhiễm” bởi vận hành. Cảm biến môi trường đổ thẳng vào PLC/DDC điều khiển thì mỗi lần chỉnh setpoint, bypass interlock hay reset alarm đều nằm chung không gian ghi với dữ liệu GxP — thanh tra viên xin audit trail điểm đo kho lạnh sẽ thấy luôn mọi can thiệp tay của ca trực. Về nguyên tắc cấu hình và review audit trail đúng từ đầu, xem audit trail GMP.
• Change control trói cả hai phía. Sửa một vòng PID HVAC — việc thuần vận hành — đột nhiên chạm vào đối tượng giữ dữ liệu GxP, kéo theo đánh giá tác động và re-test; ngược lại, update EMS bị trì hoãn vì sợ ảnh hưởng HVAC.
• Một điểm hỏng mất cả hai. Sự cố BMS (rớt server, lỗi PLC, thay card I/O) đồng nghĩa mất giám sát đúng lúc sản xuất vẫn chạy — data gap trên hồ sơ lô là thứ khó biện minh nhất trước thanh tra.

Đây không phải quan điểm cá nhân: ISPE Baseline Guide và ISPE Good Practice Guide: HVAC đều khuyến nghị tách đường dữ liệu chất lượng khỏi đường điều khiển; bài “Use of Building Management Systems and Environmental Monitoring Systems in Regulated Environments” trên Pharmaceutical Engineering (Sep/Oct 2005) — được trích trong tài liệu hãng trình bày hướng dẫn ISPE — lập luận thẳng cho việc tách BMS và EMS, với trọng tâm là data integrity và vòng đời validation độc lập. (Bản toàn văn nằm sau paywall ISPE; tham chiếu chương trong Baseline Guide nên đối chiếu lại khi đăng.)

Lưu ý ranh giới pháp lý: EU GMP Annex 11 và Annex 1 2022 là quy định thị trường EU; hồ sơ Mỹ dùng 21 CFR Part 11 — sự khác biệt giữa hai khung này được phân tích chi tiết trong Annex 11 vs 21 CFR Part 11; tại Việt Nam, văn bản pháp quy là TT 28/2025/TT-BYT của Bộ Y tế. ISPE, GAMP 5, PIC/S PI là chuẩn mực và hướng dẫn ngành — căn cứ thiết kế rất mạnh, nhưng đừng viết trong URS là “luật bắt buộc” nếu không đúng phạm vi thị trường.

Kiến trúc tách lớp: BMS được commissioning, EMS được thẩm định

Phần này cho sơ đồ kiến trúc đích và quy tắc phân chia cảm biến.

Nguyên tắc mà hướng dẫn ISPE đề ra và các hồ sơ EMS tôi tham gia đều áp dụng: BMS được commissioning theo GEP (Good Engineering Practice); EMS được qualification/validation theo GMP — hai ngân sách chất lượng, hai bộ hồ sơ, hai vòng đời thay đổi riêng.

Kiến trúc điển hình theo hướng này:

Cảm biến hiện trường (T/RH/ΔP/hạt/vi sinh)
    → Recorder/edge logger phân tán (ghi tại điểm đo, file tamper-resistant)
    → Ethernet → EMS historian/review server → QA xem xét & ký duyệt báo cáo
BMS (DDC/PLC + SCADA vận hành) chạy song song, không nằm trên đường dữ liệu GxP.

Recorder phân tán đặt gần khu vực đo thay vì gom tín hiệu về một PLC trung tâm: dây 4–20 mA ngắn, ít nhiễu; mỗi recorder lưu file nhị phân có checksum chống sửa (kiểu UHH) rồi đẩy SFTP về server review — “store-and-forward” nên mất mạng cũng không mất dữ liệu. Một chi tiết kiến trúc mà tài liệu hãng (trình bày hướng dẫn ISPE) mô tả tường minh: dữ liệu chỉ đi một chiều EMS → BMS, không cho BMS ghi ngược — ranh giới trách nhiệm rạch ròi trên sơ đồ.

Cảm biến nào dùng chung, cảm biến nào phải riêng? Hồ sơ dự án cân nhắc hai phương án — cảm biến chung relay cho cả hai hệ (thiết bị đó phải hiệu chuẩn đầy đủ) hoặc cảm biến riêng cho từng hệ. Quy tắc áp dụng: điểm đo đi vào hồ sơ phát hành lô hoặc file đăng ký (T/RH kho, chênh áp giữa cấp phòng, hạt tại điểm critical) thì cảm biến riêng cho EMS; điểm chỉ phục vụ điều khiển (gió hồi, áp suất ống, trạng thái bơm) nằm ở BMS. Vùng xám “vận hành nhưng có yêu cầu chất lượng” thì ưu tiên cảm biến GxP riêng là phương án an toàn — một cảm biến rẻ hơn nhiều so với biện minh dữ liệu chung nguồn trước thanh tra.

URS cho EMS: từ CPP theo dạng thuốc đến ba vòng giá trị

Phần này cho cấu trúc URS thực tế: bắt đầu từ CPP, không từ catalog thiết bị.

URS tốt cho EMS không bắt đầu từ catalog thiết bị mà từ CPP theo dạng bào chế: mỗi dạng thuốc có ma trận tham số môi trường critical riêng (nhiệt ẩm kho, chênh áp tầng Grade, hạt tại điểm fill). Cấu trúc URS trong hồ sơ thầu mà tôi soi định nghĩa từng CPP theo ba vòng giá trị — đúng tư duy design space của ICH Q8:

• Design space — vùng đã chứng minh sản phẩm an toàn (tư duy ICH Q8);
• Vùng vận hành thường → alert alarm: trong design space nhưng hẹp hơn, báo sớm để can thiệp trước khi chạm biên;
• Vùng đã thẩm định → action alarm: chạm biên này tức ra khỏi vùng đã qualify, kích hoạt quy trình sai lệch/CAPA.

Hai mức báo động này tránh hiện tượng “nhà máy đầy chuông không ai nghe”: alert kêu khi còn cứu được, action chỉ kêu khi chất lượng bị ảnh hưởng.

Các mục URS mà hồ sơ dự án viết tường minh — và là thứ đáng đòi hỏi trong mọi URS EMS:

• MKT (Mean Kinetic Temperature) cho kho nhiệt độ thường — một alarm tức thời không nói hết rủi ro nhiệt tích lũy lên sản phẩm.
• Độ chính xác đầu-cuối: sai số tính trên toàn chuỗi sensor → I/O → recorder, không chỉ con số “accuracy của cảm biến” trên datasheet.
• Hiệu chuẩn & truy xuất: từng điểm đo có chứng chỉ hiệu chuẩn truy được, kèm phương án cân chỉnh tại hiện trường.
• UPS cho cảm biến critical — đặc biệt chênh áp phòng sạch: mất điện mất giám sát đúng lúc rủi ro cao nhất.
• Risk assessment theo HACCP/FMEA dẫn ra điểm đo và mức báo động — URS xuất phát từ risk assessment, không từ “cái gì có sẵn trong kho”.

Đọc một bộ GAMP 5 validation package của hãng — và các lỗ hổng thường gặp

Phần này chỉ cách soi bộ hồ sơ thẩm định của vendor trước khi chấp nhận.

EMS đến tay chủ đầu tư thường kèm “GAMP validation package” của hãng — điểm nhiều người trông xem mà chưa đọc kỹ. Một bộ điển hình có: Quality Plan, Requirement Definition/PCS (bảng ~30 nhóm requirement kèm cờ Required, GAMP category, Severity H/M/L), FS, HDS/SDS, Traceability Matrix, bộ test hai pha — INT (kiểu FAT tại hãng) và SITE (IQ+OQ tại site) — rồi Final Quality Report. Chỉ tham số hoá thì xếp GAMP 5 Category 3; cấu hình riêng (graphical wiring, display tự dựng) thì nhảy Category 4; test cấp module chỉ bắt buộc ở Category 5 — cách GAMP 5 scale effort theo category.

Điểm tôi kiểm đầu tiên khi soi một package là traceability hai chiều: mỗi test trỏ tới một requirement trong PCS/RDS; requirement cross-ref ngược lên URS của nhà máy; “chức năng không dùng” được đánh N/A có giải trình, không xoá khỏi test script. Một bộ hồ sơ validation do bên tích hợp soạn mà tôi đã soi làm RA theo FMEA (S×O×D) và cho thấy backup failure là mode rủi ro cao nhất (RPN = 45) — cao hơn sensor drift hay SNTP drift — nên test backup/restore là test case bắt buộc trong OQ/PQ, không phải việc “để IT lo sau”.

Các lỗ hổng lặp lại khi soi validation package của hãng trong các hồ sơ thầu:

• Template còn nguyên chỗ trống “Enter Customer Name/TBA” — chưa fill theo dự án mà nộp là coi như chưa soạn.
• Risk rating do hãng gán sẵn (đa số MEDIUM); chủ đầu tư phải soi lại theo URS của mình, nhất là các kênh critical.
• Câu loại trừ phạm vi rất sắc (“process/equipment không validate trong package này”) — đúng về hợp đồng, nhưng phần nằm ngoài ai validate? Trách nhiệm đó vẫn thuộc nhà máy.
• Một spec CSV trong hồ sơ dự án yêu cầu lưu trữ dữ liệu ≥1 năm online và ≥10 năm archive, audit trail không thể xoá/sửa — tốt, nhưng phải kiểm chứng cấu hình thật chứ không tin giấy.

Nguyên tắc tổng: bộ hồ sơ hãng là bằng chứng đầu vào, không phải quyết định thẩm định — trách nhiệm chứng minh hệ thống fit for intended use thuộc về doanh nghiệp bị điều chỉnh; hãng không đi thanh tra thay mình.

Chuyển EMS không dừng sản xuất: lộ trình hai bước chạy song song

Phần này mô tả cách nâng cấp EMS trên nhà máy đang sản xuất mà không mất giám sát.

Bài toán khó nhất không phải nhà máy mới mà là nhà máy đang sản xuất với EMS legacy (cảm biến 4–20 mA đổ vào DDC rồi lên BMS qua BACnet/IP) cần nâng lên Part 11 mà không được mất giám sát một ngày nào. Lộ trình hai bước trong hồ sơ thiết kế của một dự án nâng cấp thật mà tôi tham gia:

• Bước 1 — thay cảm biến, giữ nguyên đường cũ. Đổi cảm biến T/RH sang thế hệ mới (chỉnh offset/span tại hiện trường) nhưng vẫn đổ về DDC/BMS — giám sát không gián đoạn, vận hành không đổi thói quen.
• Bước 2 — dựng đường GxP mới song song. Recorder + phần mềm review riêng (Modbus TCP, server EMS riêng, archive SFTP), validate độc lập; đường BACnet legacy vẫn chạy tới khi đường mới được chấp nhận — hai đường dữ liệu song song thì không mất monitoring.
• Pilot một điểm trước khi làm loạt. Trong dự án đó, một cảm biến mới được lắp thử nghiệm vào kênh trống của hệ cũ, xác nhận tín hiệu ổn định, trend đúng trên phần mềm hiện hữu — rồi mới nhân lên. Một điểm pilot bắt được hầu hết lỗi wiring/scaling trước khi chúng lặp lại hàng chục lần.

Bài học từ cảm biến legacy trong dự án đó: một dòng cũ phổ biến không chỉnh offset được — kiểm chuẩn phát hiện sai số thì chỉ còn cách thay, đừng kỳ vọng “cân lại cho qua”. Và dải đo cảm biến thay thế (ví dụ 0…+40 °C) có thể hẹp hơn cảm biến cũ (−40…+70 °C): đối chiếu từng khu vực, đặc biệt kho lạnh, trước khi chốt một model duy nhất.

Checklist 10 câu hỏi khi thẩm định hồ sơ thầu EMS

Mười câu hỏi chốt trước khi chấp nhận một bộ hồ sơ thầu EMS.

1. Ranh giới BMS–EMS được vẽ rõ chưa: cảm biến nào GxP, cảm biến nào vận hành, có đường ghi ngược từ BMS vào EMS không?
2. URS → test → report có traceability matrix hai chiều không, hay chỉ có danh sách tài liệu?
3. GAMP category khai báo cho từng thành phần (sensor = instrument cần hiệu chuẩn; recorder Cat 3; phần mềm cấu hình Cat 4) — khớp thực tế không?
4. Risk assessment là FMEA/HACCP của dự án hay chỉ là severity table hãng gán sẵn? Kênh critical nào được xếp HIGH?
5. Hai pha test INT (FAT) và SITE (IQ/OQ) có tách rõ không; chức năng không dùng có được đánh N/A có giải trình không?
6. Audit trail & e-sign: lưu bao lâu, ai tắt được, workflow Review→Approve→Release có khớp ma trận chữ ký nhà máy không?
7. Backup/restore và đồng bộ giờ (SNTP) có test case riêng trong OQ không — hay chỉ là bullet trong catalog?
8. Store-and-forward/tamper-resistance: file có checksum, archive qua SFTP, cơ chế phục hồi khi rớt mạng được chứng minh thế nào?
9. Scope exclusions ghi những gì — phần “ngoài package” (LAN, AD, process equipment) ai sẽ validate?
10. Bàn giao cuối dự án: bộ tài liệu (VP, RA, FS/DS, IQ/OQ/PQ, report, SOP, chứng minh Part 11, backup cấu hình, biên bản đào tạo) có chuyển về chủ đầu tư lưu “under their validation plan” không?

Về kinh nghiệm

Bài này tổng hợp kinh nghiệm trên các dự án EMS tại các nhà máy dược Việt Nam giai đoạn 2024–2025: đề xuất EMS cho nhà máy mới, bộ hồ sơ CSV Part 11 do bên tích hợp soạn, và chuyển đổi EMS legacy hai bước trong khi sản xuất vẫn chạy. Mọi chi tiết nhận diện được đã ẩn danh; các kỹ thuật (file UHH, e-sign workflow, validation package) nêu theo tài liệu hãng làm ví dụ phương pháp chứ không quảng bá sản phẩm. Tài liệu hãng và hướng dẫn ISPE là nguồn tham khảo, không kể như kinh nghiệm thực thi của ESEC.

FAQ

Phần này gom các câu hỏi chủ đầu tư và QA thường hỏi khi cân nhắc tách EMS khỏi BMS.

Decision Moment

Để chuyển các khuyến nghị trong bài thành kế hoạch triển khai khả thi, xem thêm tại nampham.net.