Kiến trúc dữ liệu EMS nâng cao: ISA-95, Historian & IEC 62443 cho GMP

Advanced EMS Data Architecture with ISA-95, Historian and IEC 62443 expands EMS from monitoring screens into a validated data pipeline.

• ISA-95 clarifies where EMS sits in the manufacturing stack and how it exchanges data with SCADA, MES and historians.
• IEC 62443 zone and conduit thinking protects EMS availability, validated state and remote access boundaries.
• The article focuses on data lineage, historian retention and interface governance for Vietnamese GMP facilities.

Kiến trúc dữ liệu EMS nâng cao là nền tảng để nhà máy dược vượt thanh tra EU và FDA nhất quán qua nhiều chu kỳ inspection.

Bài này là bản đồ ra quyết định kỹ thuật cho Engineering và QA trước audit tiếp theo.

Bài này đưa kiến trúc dữ liệu EMS nâng cao về checklist triển khai: phạm vi, kiểm soát, bằng chứng audit và câu hỏi quyết định cho QA, Engineering và IT.

Kiến trúc dữ liệu EMS nâng cao là nền tảng để nhà máy dược vượt thanh tra EU và FDA nhất quán qua nhiều chu kỳ inspection.

Khi số nhà máy đạt chuẩn EU-GMP tại Việt Nam đang tăng và EU GMP Annex 11 Draft 2025 mở rộng yêu cầu về Identity & Access Management, cybersecurity và lifecycle management, thiết kế đúng ngay từ đầu tiết kiệm chi phí validation về lâu dài hơn nhiều so với retrofit sau khi hệ thống đã chạy.

Bài này là phần tiếp nối C1.1 — đi sâu vào ba lớp kỹ thuật cốt lõi quyết định tính pháp lý của dữ liệu GMP: lựa chọn giao thức Level 1–2 giữa OPC UA và Modbus TCP, kiến trúc hybrid Historian/SQL với phân tích platform AVEVA PI và SQL Server, phân đoạn mạng IEC 62443 đầy đủ theo Zones và Conduits, và phạm vi thẩm định CSV GAMP 5 Category 4 cho interface EMS–MES.

Kiến trúc dữ liệu EMS trong nhà máy dược: Thiết kế chuẩn GMP và ALCOA+ · ISA-95 là gì? Mô hình phân cấp tự động hóa trong nhà máy dược GMP

Ba nhiệm vụ đồng thời — ranh giới EMS “đủ chạy” và EMS Diamond Grade

Phần này làm rõ control dữ liệu và dấu vết cần chứng minh khi bị audit.

Regulatory baseline: Các nhận định GMP trong bài được đối chiếu trực tiếp theo 21 CFR Part 11, 21 CFR 211.192, 21 CFR 211.68, EU GMP Annex 11, EudraLex Volume 4, ICH Q10, ICH Q9(R1).

Ranh giới phân biệt hệ thống EMS “đủ chạy về mặt kỹ thuật” với EMS đạt chuẩn Diamond Grade không nằm ở tên thương hiệu cảm biến hay giao diện dashboard. Nó nằm ở khả năng thực hiện đồng thời — không phải tuần tự — ba nhiệm vụ sau.

Nhiệm vụ đầu tiên là Thu thập liên tục không gián đoạn: timestamp phải chính xác, không có data gap dù mất mạng hay server restart, Store-and-Forward phải hoạt động trong mọi tình huống disruption. Nhiệm vụ thứ hai là Contextualization đầy đủ: nhiệt độ 22°C phải được gắn vào ngữ cảnh GMP đầy đủ — phòng nào, lô nào, cảm biến nào, calibration còn hiệu lực không.

Số liệu không có context là con số kỹ thuật, không phải bằng chứng GMP. Nhiệm vụ thứ ba là Bảo vệ khỏi chỉnh sửa hồi tố: Audit Trail Append-Only, RBAC chặt chẽ, và export format không thể chỉnh sửa phải hoạt động song song. FDA Data Integrity Guidance (2018) định nghĩa rõ: data integrity bao gồm completeness, consistency và accuracy — tóm gọn trong ALCOA (Attributable, Legible, Contemporaneous, Original, Accurate) ).

Khi thiếu bất kỳ nhiệm vụ nào trong ba nhiệm vụ trên, hệ thống EMS không còn tạo ra bằng chứng pháp lý — dù cảm biến đo chính xác đến mức nào.

Ba nhiệm vụ — Thu thập liên tục, Contextualization đầy đủ, Bảo vệ Audit Trail — phải hoạt động đồng thời. Thiếu một, EMS chỉ còn là hệ thống đo lường, không phải hệ thống tạo bằng chứng GMP.

Giao thức Level 1–2: OPC UA hay Modbus TCP?

Phần này giúp người đọc chuyển từ khái niệm sang checklist evidence có thể kiểm tra ngay.

Lựa chọn giao thức tại Level 1–2 ảnh hưởng trực tiếp đến khả năng bảo mật, tích hợp và maintainability trong toàn bộ vòng đời hệ thống EMS — đây là quyết định kiến trúc không thể dễ dàng thay đổi sau khi triển khai.

Modbus TCP — kế thừa phổ biến, hạn chế rõ ràng

Modbus TCP là giao thức phổ biến nhất trong môi trường OT công nghiệp, được hỗ trợ bởi hầu hết thiết bị từ mọi nhà sản xuất. Ưu điểm chính: đơn giản, chi phí thấp, tương thích rộng với thiết bị legacy.

Tuy nhiên, Modbus TCP có ba hạn chế quan trọng trong môi trường GMP: không có security layer nội tại (không có authentication, không có encryption), không hỗ trợ semantic metadata (chỉ truyền giá trị số, không truyền context), và không có built-in mechanism phát hiện data integrity violation trong quá trình truyền.

OPC UA — lựa chọn ưu tiên cho môi trường GMP mới

OPC UA (Open Platform Communications Unified Architecture) được chuẩn hóa trực tiếp trong ISA-95 Companion Specification ), cung cấp Certificate-based authentication, message signing và encryption. Quan trọng hơn là Information Modeling — khả năng truyền metadata cùng với giá trị đo lường.

Thay vì chỉ nhận “22.5”, OPC UA server truyền “22.5°C từ cảm biến TMP-B2-003, với unit, timestamp và quality indicator” — nền tảng kỹ thuật cho Contextualization tự động ở Level 3.

Khuyến nghị thực tế: với EMS mới (greenfield), ưu tiên OPC UA cho Level 2 để đáp ứng security của EU GMP Annex 11 Draft 2025. Với thiết bị legacy dùng Modbus, có thể giữ Modbus RTU/TCP ở Level 1 và đặt OPC UA Gateway tại đầu vào Level 2 để chuẩn hóa giao thức trước khi dữ liệu lên Historian.

OPC UA là lựa chọn ưu tiên cho EMS mới vì security built-in và Information Modeling — Modbus TCP vẫn chấp nhận được cho legacy khi kết hợp đúng DMZ và monitoring IEC 62443.

Kiến trúc Historian Hybrid — phân chia vai trò SQL và Time-Series Database

Phần này làm rõ control dữ liệu và dấu vết cần chứng minh khi bị audit.

Sai lầm kiến trúc phổ biến nhất trong thiết kế EMS là dùng một loại database cho tất cả. SQL database và Historian database có đặc điểm kỹ thuật hoàn toàn khác nhau, phục vụ hai loại truy vấn khác nhau, và việc trộn lẫn tạo ra vấn đề performance lẫn compliance không cần thiết.

Relational Database (SQL) — cho metadata và audit

SQL database như MS SQL Server hoặc PostgreSQL phù hợp với dữ liệu có cấu trúc quan hệ rõ ràng và thay đổi không thường xuyên: quản lý user accounts và RBAC, Audit Trail và security event log, cấu hình cảm biến và alarm threshold, lịch sử calibration và certificate tracking, configuration history và change log.

Điểm mạnh của SQL trong GMP context là khả năng query với nhiều điều kiện kết hợp phức tạp — ví dụ “tìm tất cả alarm được suppress bởi user X trong tháng 3 tại các phòng Grade A/B” — loại query không thể thực hiện hiệu quả trên Historian.

Historian Database (Time-Series) — cho dữ liệu đo lường

Historian database tối ưu hóa đặc biệt cho time-series workload với thuật toán nén như Exception Deadband hoặc Swinging Door Compression, giúp giảm 80–90% storage requirement trong khi vẫn giữ nguyên độ phân giải dữ liệu gốc.

AVEVA PI System (trước đây là OSIsoft PI) là platform Historian phổ biến nhất trong môi trường dược phẩm được regulate — có track record validation rộng, tài liệu hỗ trợ 21 CFR Part 11 pre-built, và ecosystem integration sâu với MES, LIMS và ERP chính ).

Inductive Automation Ignition Historian linh hoạt hơn về licensing và phổ biến trong nhà máy tầm trung tại châu Á. InfluxDB là lựa chọn cloud-native và open-source — nhưng cần effort validation cao hơn vì ít tài liệu GMP pre-built hơn so với AVEVA PI.

Hybrid database — SQL cho metadata, Historian cho time-series — là kiến trúc tối ưu để đáp ứng đồng thời yêu cầu Audit Trail theo 21 CFR Part 11 và data retention theo EU GMP Annex 11.

Phân đoạn mạng IEC 62443 — Zones, Conduits và Security Level

Phần này tóm tắt chuẩn tham chiếu để QA biết khung kiểm tra chi phối nội dung phía dưới.

ISA/IEC 62443 là chuẩn quốc tế về cybersecurity cho Industrial Automation and Control Systems. Trong ngữ cảnh EMS nhà máy dược, hai phần quan trọng nhất là IEC 62443-3-2 (zone and conduit assessment) và IEC 62443-3-3 (system security requirements) — áp dụng cho end-user tức chủ nhà máy. IEC 62443-2-4 là yêu cầu dành cho nhà cung cấp dịch vụ/system integrator, không phải SOP vận hành của nhà máy ).

Bốn vùng Zone trong nhà máy dược

Zone 1 — Process Control Zone (SL-2 minimum): Chứa PLC, Remote I/O, cảm biến. Security Level 2 theo IEC 62443-3-3 yêu cầu bảo vệ chống lại tấn công có chủ đích bằng công cụ đơn giản — đủ để ngăn phần lớn ransomware lateral movement từ mạng văn phòng. Zone này tuyệt đối không được kết nối trực tiếp với bất kỳ mạng nào khác.

Zone 2 — Supervisory & Operation Zone (SL-2): Chứa SCADA server, HMI workstation và Engineering workstation. Đây là nơi operator tương tác hàng ngày với EMS. Cần strict password policy, auto-lock sau inactivity, và access log đầy đủ theo EU GMP Annex 11 Draft 2025 Section 11 (IAM).

Zone 3 — Industrial DMZ: Vùng đệm quan trọng nhất — nơi đặt EMS Server, Data Historian, Remote Access Jump Server và Patch Management Server. Mọi traffic giữa Plant Network và Corporate Network phải đi qua DMZ và qua Industrial Firewall có Deep Packet Inspection (DPI) cho giao thức công nghiệp. EU GMP Annex 11 Draft 2025 bổ sung: MFA bắt buộc cho mọi remote access vào critical systems từ bên ngoài controlled perimeter.

Zone 4 — Corporate Network (IT): Mạng văn phòng, email và ERP. Tuyệt đối không kết nối trực tiếp xuống Zone 1 hoặc Zone 2. Dữ liệu EMS được read-only replicate lên Corporate Network qua one-way data flow kiểm soát tại DMZ.

Conduit — kiểm soát từng kênh giao tiếp giữa Zones

Conduit là tập hợp security control áp dụng cho từng luồng dữ liệu cụ thể giữa hai Zone. Mỗi conduit phải xác định rõ: giao thức được phép (chỉ Modbus TCP hoặc OPC UA, không phải HTTP/FTP/SMB); hướng data flow (one-way hay bi-directional); cơ chế authentication giữa hai đầu; và monitoring/alerting khi có traffic bất thường. Tất cả conduits phải được documented, tested và duy trì trong change control GMP — đây là điểm kiểm tra đầu tiên của inspector khi review network architecture.

Kịch bản Flat Network (Illustrative composite — không đại diện nhà máy cụ thể): nhà máy dùng cùng dải IP cho văn phòng và EMS server; máy tính nhiễm ransomware qua email, virus mã hóa toàn bộ database EMS trong vài giờ, dữ liệu môi trường nhiều tháng bị mất, nhà máy không chứng minh được điều kiện bảo quản cho lô hàng tồn kho.

IBM Cost of a Data Breach 2024 ghi nhận chi phí trung bình $4.88 triệu/sự cố, tăng 10% so với 2023 ).

Zone và Conduit theo IEC 62443 phải được documented, tested và maintained trong change control GMP — không phải chỉ là cấu hình IT một lần.

EU GMP Annex 11 Draft 2025 — Bốn thay đổi có tác động trực tiếp đến EMS

Phần này tóm tắt chuẩn tham chiếu để QA biết khung kiểm tra chi phối nội dung phía dưới.

EU GMP Annex 11 Draft 2025 mở rộng từ 5 trang lên 19 trang với 17 sections mới. Bốn thay đổi sau có tác động trực tiếp đến thiết kế và validation của EMS — cần gap assessment ngay, không chờ finalization.

Thay đổi 1 — Shared account bị cấm hoàn toàn và là data integrity violation: Draft 2025 Section 11.1 quy định: “The use of shared accounts… constitute a violation of data integrity” — trừ read-only accounts. Mọi tài khoản shared hiện có trên HMI và SCADA (như “Operator”, “Production_Shift”) phải được redesign. Đây là gap phổ biến nhất tại nhà máy dược Việt Nam hiện tại — “Draft Annex 11’s IAM Changes” 2025).

Thay đổi 2 — MFA bắt buộc cho remote access vào critical systems: Section 11.6 yêu cầu: “Remote authentication on critical systems from outside controlled perimeters should include multifactor authentication.” Đây là prescriptive requirement — không còn là best practice. Mọi remote access vào EMS Server, Historian hay SCADA từ bên ngoài Plant Network phải có MFA.

Thay đổi 3 — Patch management phải đi qua GMP change control: OS updates, firmware và software patches cho hệ thống EMS không thể được áp dụng tự động mà không có documented risk assessment và testing. Bật Windows Update tự động trên SCADA server — thực tế phổ biến tại nhiều nhà máy — sẽ trở thành finding sau khi Annex 11 finalized.

Thay đổi 4 — Supplier governance trở thành contractual requirement: Nhà cung cấp phần mềm EMS phải cung cấp documentation về SDLC process, thông báo trước khi update, và exit strategy đảm bảo data không bị locked khi nhà máy chuyển hệ thống. Đây là yêu cầu hoàn toàn mới so với Annex 11 phiên bản 2011. GMP dược phẩm hệ thống: nhìn GMP như kiến trúc dữ liệu, con người và quyết định chất lượng

Bốn thay đổi Annex 11 Draft 2025 tác động EMS: shared account violation, MFA mandatory, patch control qua GMP change control, supplier governance contractual — cần gap assessment ngay.

Phạm vi CSV GAMP 5 Category 4 cho EMS và Interface EMS–MES

Phần này tóm tắt chuẩn tham chiếu để QA biết khung kiểm tra chi phối nội dung phía dưới.

GAMP 5 2nd Edition (2022) phân loại EMS thông thường là Category 4 — Configured Standard Products: phần mềm thương mại có cấu hình tùy chỉnh theo URS của nhà máy nhưng không thay đổi source code của vendor theo GoValidation. Validation deliverables đầy đủ bao gồm URS, Risk Assessment, Vendor SDI/Audit, full IQ/OQ/PQ trên configuration cụ thể, và RTM kết nối URS với test cases.

IQ — nền tảng không thể bỏ qua

IQ cho EMS Category 4 phải verify: hardware specs và OS version của historian server; patch level và tất cả security patches; network configuration và firewall rules; NTP configuration và synchronization đến tất cả thiết bị; và đặc biệt — tất cả automated tasks trên server (OS update, backup jobs, antivirus scan) phải được identified, documented và either disabled trong giờ sản xuất hoặc covered bởi Store-and-Forward.

Bỏ sót automated tasks trong IQ chính là failure mode tạo ra data gap do server restart tự động — failure scenario điển hình nhất trong thanh tra EMS.

OQ — ba nhóm test case rủi ro cao nhất

Nhóm 1 — Data Integrity Tests: Test case Audit Trail Immutability (thử delete với Admin account, verify hệ thống từ chối và record tồn tại nguyên vẹn); Test case Store-and-Forward (ngắt network trong thời gian định trước, verify zero data gap sau khi reconnect với timestamp gốc bảo toàn); Test case restore-from-backup (verify backup restore thành công — yêu cầu mới trong Annex 11 Draft 2025, thường bị bỏ qua).

Nhóm 2 — Access Control Tests: Test case RBAC cho từng role; Test case shared account prohibition (verify hệ thống không cho phép cùng tài khoản đăng nhập đồng thời từ hai thiết bị với quyền write); Test case MFA cho remote access nếu applicable.

Nhóm 3 — Alarm Management Tests: Test case alarm logging đầy đủ với timestamp, user acknowledge và action taken; Test case alarm suppress mandatory reason entry; Test case alarm flood prioritization.

PQ — Interface EMS–MES là điểm rủi ro cao nhất

Interface giữa EMS và MES/eBR thường bị bỏ ngoài validation scope vì team CSV EMS cho rằng đó là việc của team CSV MES, và ngược lại. PQ phải bao gồm parallel comparison: lấy 20–30 data points thực tế từ Historian và so sánh với giá trị được nhúng vào eBR — verify giá trị, timestamp và Tag ID khớp chính xác 100%.

Test case negative bắt buộc: simulate gián đoạn kết nối EMS–MES, verify eBR không nhận giá trị null và có alert mechanism. EMS và Data Integrity: Tại sao EMS là Nền tảng ALCOA+ trong GMP

GAMP 5 Category 4: leverage vendor evidence cho base platform, test đầy đủ configuration và interface EMS–MES. Interface EMS–MES là điểm rủi ro cao nhất thường bị bỏ ngoài scope.

Decision Moment — 3 câu hỏi trước khi chuẩn hóa lên WordPress

Phần này gom các câu hỏi giúp QA tự kiểm tra nhanh trước khi audit.

Trước khi xem bài này là nội dung sẵn sàng publish, QA, Engineering và owner hệ thống nên khóa ba quyết định sau để tránh biến một bài viết kỹ thuật thành checklist chung chung không tạo thay đổi vận hành.

1. Ranh giới hệ thống hoặc quy trình nào trong chủ đề kiến trúc dữ liệu EMS nâng cao phải được định nghĩa lại trước khi audit tiếp theo?
2. Bằng chứng GMP nào cần được tạo tự động thay vì dựa vào giải thích thủ công sau sự cố?
3. Ai là owner chịu trách nhiệm cập nhật SOP, URS, CSV hoặc training record sau khi insight của bài này được áp dụng?

Decision Moment

Để chuyển các khuyến nghị trong bài thành kế hoạch triển khai khả thi, xem thêm tại nampham.net.

FAQ

Phần này gom các câu hỏi giúp QA tự kiểm tra nhanh trước khi audit.

Ghi Chú Minh Bạch

Phần này làm rõ nguồn tham chiếu và ranh giới áp dụng của bài viết.