DCS dược phẩm: ISA-88 Batch Control, Redundancy GMP và DeltaV API

DCS in Pharmaceutical API and Continuous Biotech Processes explains when distributed control is more appropriate than SCADA for complex process control.

• DCS fits tightly coupled, continuous or high-risk processes where control strategy, sequence logic and redundancy matter.
• GMP validation should cover control modules, alarms, recipes, historian links and change control for process parameters.
• The article helps teams distinguish engineering control needs from data-review needs before selecting automation architecture.

Năm 2023, Sartorius và Emerson công bố tích hợp sẵn DeltaV — nền tảng DCS dược phẩm chuyên biệt — vào dòng bioreactor Biostat STR Generation 3: thiết bị được pre-engineer với linh kiện DeltaV (Electronic Marshalling/CHARMs) và bộ template cấu hình chuẩn, nên khi về nhà máy được nối thẳng vào DCS thay vì phải tích hợp lại từ đầu; Emerson công bố có thể tiết kiệm tới 80% thời gian tích hợp thiết bị.

Điểm đáng chú ý là xu hướng “cắm là chạy” giữa thiết bị quá trình và DCS, giúp giảm khối lượng interface phải validate tại nhà máy. Thông cáo của hai hãng không nói tới hồ sơ lô điện tử; tích hợp với eBR vẫn là một phạm vi riêng.

Với các nhà máy API và Biotech tại Việt Nam đang đầu tư mở rộng, lựa chọn kiến trúc DCS vs PLC/SCADA quyết định không chỉ CAPEX năm đầu mà còn rủi ro tài chính của từng lô hàng trong 15–20 năm vận hành.

DCS — Distributed Control System — có đặc tính kiến trúc cốt lõi là mỗi Controller tại từng cụm thiết bị tiếp tục vận hành độc lập bất kể tầng giám sát trung tâm có online hay không. Đây là sự khác biệt quyết định so với PLC/SCADA trong môi trường sản xuất API liên tục cần duy trì setpoint chính xác suốt nhiều giờ không gián đoạn.

“Phân tán” trong DCS — Ý nghĩa Thực tế trong Vận hành GMP

Phần này biến khái niệm thành tình huống thực tế để đội vận hành tự soi gap.

Lưu ý trạng thái pháp lý: Các nhận định GMP trong bài được đối chiếu trực tiếp theo 21 CFR Part 11, 21 CFR 211.192, 21 CFR 211.68, EU GMP Annex 11, EudraLex Volume 4, ICH Q10, ICH Q9(R1).

DCS — Distributed Control System — là hệ thống điều khiển trong đó các Controllers được phân tán gần thiết bị vật lý. Mỗi Controller quản lý một cụm thiết bị (Reactor, Centrifuge, Column) một cách độc lập và tự trị, kết nối với nhau qua mạng truyền thông nội bộ tốc độ cao.

Khác biệt Căn bản với Kiến trúc PLC/SCADA

Trong PLC/SCADA, nếu SCADA server gặp sự cố, operator mất khả năng giám sát và điều khiển tập trung — quy trình tiếp tục chạy nhưng không có oversight chủ động. Trong DCS, mỗi Controller tiếp tục thực thi logic điều khiển hoàn toàn độc lập — giám sát từ HMI là tùy chọn bổ sung, không phải điều kiện tiên quyết để hệ thống duy trì an toàn.

Kịch bản minh họa: trong sản xuất API, phản ứng tổng hợp hóa học cần duy trì nhiệt độ ±0.3°C trong 18 giờ liên tục. Lúc 3 giờ sáng, server giám sát gặp lỗi phần mềm. Với PLC/SCADA: PLC vẫn giữ vòng điều khiển nhưng operator mất khả năng giám sát và can thiệp tập trung cho đến khi server phục hồi.

Với DCS chuẩn GMP: Controller phân tán tại cụm Reactor tiếp tục duy trì nhiệt độ theo setpoint, buffer dữ liệu đầy đủ với timestamp gốc, và resume bình thường khi server phục hồi. (Tình huống minh hoạ tổng hợp — không đại diện cho nhà máy cụ thể)

Kiến trúc Redundancy chuẩn GMP — Từ I/O đến CPU

Phần này giúp người đọc chuyển từ khái niệm sang checklist evidence có thể kiểm tra ngay.

Redundancy trong DCS chuẩn GMP không dừng ở server giám sát — nó đi xuống từng tầng thấp nhất của hệ thống. Hệ PLC/SCADA cũng có cấu hình dự phòng (CPU, mạng, cả I/O với một số dòng PLC dự phòng), nhưng DCS được thiết kế dự phòng xuyên suốt ngay từ kiến trúc chuẩn, nên ít phải tự lắp ghép.

Bốn Tầng Redundancy trong DCS

Redundant Power Supply: Mỗi Controller module có nguồn điện dự phòng nóng; mất một PSU không ảnh hưởng đến hoạt động. Redundant I/O Modules: Thẻ I/O đi theo cặp — rút một thẻ khi đang vận hành để test mà không gián đoạn control loop. Dual Ring Network: Mạng truyền thông giữa các Controller có hai đường vật lý riêng biệt; đứt một đường, ring tự heal trong mili giây. Redundant Controller CPU: Hot Standby ở mức CPU — failover xảy ra trong mili giây, không có interruption cho operator và không có setpoint drift.

Redundancy nên được kiểm chứng bằng test thực tế, không chỉ thiết kế trên paper — thường ở FAT/OQ, xác nhận lại ở PQ khi cần. Các test case thường dùng: rút card I/O khi đang vận hành và verify control loop không gián đoạn; ngắt một đường mạng và verify ring healing; tắt một PSU và verify không có power loss; switch CPU từ primary sang standby và verify không có setpoint drift.

Online Configuration là đặc tính độc đáo của DCS: có thể thêm điểm đo mới, điều chỉnh PID hoặc logic block mà không cần dừng hệ thống. Tuy nhiên, mọi online change phải đi qua Change Control documented — thay đổi cấu hình live mà không có Change Control là vi phạm EU GMP Annex 11 (2011) §10 – Change and Configuration Management.

ISA-88 Batch Control — Quản lý Recipe trong DCS chuẩn GMP

Phần này tóm tắt chuẩn tham chiếu để QA biết khung kiểm tra chi phối nội dung phía dưới.

ISA-88 (ANSI/ISA-88) là tiêu chuẩn quốc tế cho batch process control, xác định cách phân tách recipe khỏi equipment — cho phép cùng một recipe chạy trên nhiều equipment đơn vị khác nhau, giúp giới hạn phạm vi đánh giá tác động khi đổi thiết bị; mức validate lại vẫn do change control và đánh giá rủi ro quyết định.

Master Recipe và Control Recipe trong DCS

ISA-88 định nghĩa bốn loại recipe — general, site, master và control. General và site recipe độc lập với thiết bị, mô tả kỹ thuật xử lý; master và control recipe gắn với thiết bị cụ thể trong một process cell, nên trong DCS phần thường gặp là master recipe và control recipe.

Master Recipe là công thức chính được QA định nghĩa và khóa sau khi phê duyệt, chứa đầy đủ thông số kỹ thuật, trình tự van và giới hạn kiểm soát. Thay đổi Master Recipe phải qua Change Control. Control Recipe được tạo từ Master Recipe cho mỗi lô, gắn với batch ID cụ thể. ISA-88 không quy định control recipe bị khoá: hệ thống batch có thể cho phép sửa tham số control recipe khi lô đang chạy, tuỳ quyền người dùng. Trong GMP, quyền sửa này phải được giới hạn theo vai trò, mọi thay đổi ghi audit trail kèm lý do và được review trước khi duyệt lô.

Procedural control model của ISA-88 phân cấp Procedure (recipe procedure) → Unit Procedure → Operation → Phase; phase là phần tử thủ tục thấp nhất. (“Process” là đỉnh của một mô hình khác — process model: Process → Process Stage → Process Operation → Process Action.) Ví dụ: “Tổng hợp API lô X” (Procedure) → “Phản ứng tại Reactor A” (Unit Procedure) → “Nạp liệu” (Operation) → “Định lượng dung môi” (Phase); thao tác như mở một van cụ thể thuộc về equipment/control module mà phase điều khiển. Khi hệ thống batch được cấu hình ghi sự kiện cho từng bước với timestamp và giá trị thực so với setpoint, các bản ghi này là cơ sở cho truy vết GMP.

Case Study: Sartorius–Emerson DeltaV — Tích hợp Bioreactor 2023

Phần này biến khái niệm thành tình huống thực tế để đội vận hành tự soi gap.

Năm 2023, Sartorius và Emerson công bố tích hợp Emerson DeltaV DCS vào hệ thống bioreactor Biostat STR Generation 3. Theo thông báo từ cả hai công ty (Contract Pharma, 2023), bioreactors được thiết kế và pre-engineered với DeltaV components từ đầu — không phải retrofit sau.

Kết quả theo thông cáo của Emerson (03/08/2023): bioreactor dùng DeltaV Electronic Marshalling với CHARMs để giảm đấu dây và cấu hình khi lắp đặt; toolkit cấu hình chung gồm template chuẩn; các nhà máy thương mại kỳ vọng tiết kiệm tới 80% thời gian tích hợp thiết bị (số liệu nhà cung cấp).

Đây là minh chứng cụ thể cho xu hướng thiết bị pre-integrated với DCS trong sản xuất sinh phẩm — thay vì tích hợp từng thiết bị tại nhà máy. Với phần tích hợp thiết bị–DCS được nhà cung cấp chuẩn hoá và có tài liệu, nhà máy có thể leverage vendor documentation để giảm scope CSV của mình theo nguyên tắc GAMP 5 “leveraging supplier evidence.”

Ứng dụng DCS tại Nhà máy Dược Việt Nam — Khi nào Phù hợp

DCS không phải là lựa chọn mặc định cho mọi nhà máy dược. Tại Việt Nam, DCS phù hợp nhất cho ba loại nhà máy cụ thể.

Nhà máy sản xuất API: Phản ứng hóa học phức tạp kéo dài nhiều giờ, đòi hỏi kiểm soát nhiệt độ và áp suất chính xác cao. Mỗi phút downtime có thể hủy lô hàng giá trị cao — DCS availability là risk control investment. Nhà máy Biotech: Vaccine, insulin, kháng thể đơn dòng với quy trình lên men và tinh chế liên tục, đặc biệt nhạy cảm với parameter drift. Nhà máy thuốc tiêm Parenteral: Quy trình pha chế trong phòng sạch nhạy cảm với biến động nhiệt độ — DCS đảm bảo continuous control không phụ thuộc tầng giám sát.

Ngược lại, nhà máy sản xuất viên nén, nang, siro thông thường và dây chuyền đóng gói gần như không cần DCS — PLC/SCADA đủ và kinh tế hơn nhiều. Lựa chọn sai giữa hai kiến trúc tạo ra lãng phí đầu tư hoặc rủi ro vận hành không cần thiết.

Theo báo cáo KPMG–EuroCham (2025), tính đến 2024 Việt Nam có 288 cơ sở sản xuất dược phẩm, chỉ 20 cơ sở đạt chứng nhận EU-GMP. Với nhà máy API/Biotech hướng tới EU-GMP, lựa chọn kiến trúc điều khiển nên tính sẵn yêu cầu dữ liệu và thẩm định ngay từ đầu.

Thẩm định CSV cho DCS theo GAMP 5 2nd Edition

DCS thường được phân loại GAMP 5 2nd Edition Category 4 (Configured Products). Đặc thù của DCS là database-centric architecture — toàn bộ cấu hình từ I/O đến HMI nằm trong một project database nhất quán. Điều này tạo lợi thế cho validation: thay vì validate nhiều interface giữa các hệ thống khác nhau (như trong SCADA multi-vendor), DCS validation tập trung vào một database duy nhất.

Tuy nhiên, khối lượng cấu hình lớn đòi hỏi chiến lược validation rõ ràng: sử dụng Risk Assessment để xác định nhóm representative để test, không cần test mọi I/O point. Online Change Management là điểm đặc biệt: mọi change thực hiện online phải được document trước với Change Control và verify sau trong OQ protocol — không phải mọi online change đều là Minor Change theo phân loại GMP.

Câu hỏi quyết định — 3 Câu hỏi Chiến lược

Phần này gom các câu hỏi giúp QA tự kiểm tra nhanh trước khi audit.

Câu hỏi 1: Trong nhà máy của bạn, nếu server giám sát chính sập lúc 3 giờ sáng trong khi đang sản xuất API batch 18 giờ, thiết bị có tiếp tục hoạt động theo setpoint không? Nếu câu trả lời là “không chắc chắn”, kiến trúc hiện tại là single point of failure cho lô hàng giá trị cao.

Câu hỏi 2: Recipe của bạn hiện đang được quản lý ở đâu — trong PLC, trong SCADA, hay trong hệ thống MES/DCS theo ISA-88? Nếu câu trả lời là “trong PLC”, khi thay thiết bị, bạn phải re-validate cả recipe — tốn thời gian và chi phí không cần thiết.

Câu hỏi 3: Với kế hoạch 5 năm tới, nhà máy có dự định mở rộng sang API hoặc Biotech không? Nếu có, quyết định kiến trúc hôm nay sẽ quyết định TCO và flexibility của hệ thống trong giai đoạn mở rộng đó.

→ Tư vấn kiến trúc DCS dược phẩm cho nhà máy anh/chị tại nampham.net

Ví dụ minh hoạ: định cỡ DCS quy mô lớn (ngoài GxP)

Phần này là ví dụ minh hoạ (tình huống tổng hợp, không đại diện cho dự án cụ thể), đối chiếu cách định cỡ một hệ DCS công nghiệp quy mô lớn với yêu cầu GMP — phần nào chuyển nguyên được, chỗ nào cần bù thêm bằng chứng.

Ở ngành khí công nghiệp, một hệ DCS trọn gói cho hệ phân tách không khí (ASU) có thể có quy mô I/O tương đương một nhà máy API lớn. Cách định cỡ thường là: đếm I/O gốc từ P&ID theo từng loại tín hiệu (AI, AO, DI, DO, RTD), cộng spare theo quy ước (ví dụ 10%), rồi phân bổ nhiều bộ controller redundant theo cụm process, các module I/O và tủ cabinet, cộng PLC của hãng khác cho package unit như cụm compressor và tủ trung thế.

Ba chi tiết đáng lưu ý trong chuỗi submittal: IO count dẫn xuất trực tiếp từ P&ID qua IO Summary — “hợp đồng kỹ thuật” thật sự của scope; sơ đồ nguyên lý điều khiển thường được revise nhiều vòng — control philosophy đóng vai Functional Design Spec ngầm; và spare trên giấy khác spare trong cấu hình — quy ước 10% nhưng sau khi phân bổ module, spare còn lại của từng loại tín hiệu có thể thấp hơn nhiều, nên cần kiểm theo từng nhóm.

Áp vào nhà máy dược, phần cứng và kiến trúc giữ nguyên — phần bù thêm là chuỗi bằng chứng. IO Summary trở thành đầu vào của URS và traceability matrix, điểm GxP-critical được đánh dấu ngay trong IO list để gom scope qualification. FAT trong hồ sơ công nghiệp là mốc nghiệm thu trước giao hàng — nhưng FAT không thay thế IQ/OQ trong protocol thẩm định; kết quả FAT chỉ tận dụng được theo tư duy leveraging supplier evidence của GAMP 5 khi traceability requirement–test case được duy trì. Phần mà checklist FAT công nghiệp không có — audit trail ghi đủ Who/When/What/Why, quản lý truy cập, lưu trữ historian — chính là phạm vi data integrity theo ALCOA+ mà OQ bổ sung theo yêu cầu của Part 11 và Annex 11.

Cần nhấn lại: ví dụ này thuộc ngành khí công nghiệp — không phải nhà máy dược, không viện dẫn GMP hay GAMP. Nó cho thấy engineering DCS quy mô lớn đã chuẩn hóa tới mức nào; khoảng trống khi sang dược nằm ở chuỗi bằng chứng — qualification lifecycle, audit trail và data integrity.

Ghi Chú Minh Bạch

Phần này làm rõ nguồn tham chiếu và ranh giới áp dụng của bài viết.

FAQ

Phần này gom các câu hỏi giúp QA tự kiểm tra nhanh trước khi audit.