Pharmaceutical Manufacturing System Architecture (ISA-95 Diamond Grade, kiến trúc hệ thống nhà máy dược) maps EMS, SCADA, DCS, BMS, MES and ERP to the correct ISA-95 layer so GMP-critical data flows from sensor to release without integrity gaps.
- ISA-95 and IEC 62443 define zone boundaries for OT/IT integration, preventing data silos and lost timestamps.
- System of record must be explicitly designated per data type: process data in Historian, batch records in MES, and QC results in LIMS.
- Practical scenario: an excursion investigation must prove which system supplied the original timestamp, alarm context, reviewer decision and retained audit trail.
kiến trúc hệ thống nhà máy dược không bắt đầu bằng việc chọn MES, SCADA, EMS hay ERP.
Nó bắt đầu bằng câu hỏi dữ liệu nào là bằng chứng GMP, hệ thống nào là source of truth và ai chịu trách nhiệm khi audit hỏi lại một batch, một alarm hoặc một thay đổi cấu hình.
Bài này đưa kiến trúc hệ thống nhà máy dược về checklist triển khai: phạm vi, kiểm soát, bằng chứng audit và câu hỏi quyết định cho QA, Engineering và IT.
Kiến trúc hệ thống nhà máy dược chuẩn GMP là mô hình công nghệ tích hợp dựa trên ISA-95. Kiến trúc này nối thiết bị, PLC/SCADA, MES và ERP thành một luồng dữ liệu có kiểm soát, giúp tự động hóa sản xuất, giữ toàn vẹn dữ liệu và tạo bằng chứng thanh tra từ cảm biến đến batch release.
Kiến trúc hệ thống nhà máy dược là bản đồ ranh giới giữa tầng thiết bị, điều khiển, vận hành, chất lượng và doanh nghiệp. Mục tiêu là giữ dữ liệu đúng ngữ cảnh, truy vết được và đủ bằng chứng để QA ra quyết định.
ISA-95 là gì?
ISA-95 (tên đầy đủ ANSI/ISA-95, tương đương quốc tế IEC 62264) là tiêu chuẩn do International Society of Automation (ISA) phát triển, định nghĩa mô hình, thuật ngữ và cấu trúc thông tin để tích hợp hệ thống doanh nghiệp (enterprise) với hệ thống điều khiển sản xuất (control). Tiêu chuẩn này cung cấp ngôn ngữ chung giữa đội IT, kỹ thuật tự động hóa và vận hành nhà máy — giúp dữ liệu sản xuất di chuyển giữa các tầng hệ thống mà không mất ngữ cảnh chất lượng.
Mục đích cốt lõi của ISA-95 là enterprise-control integration. Trong nhà máy dược, tầng doanh nghiệp (ERP, planning) và tầng điều khiển (PLC, SCADA, DCS) thường hoạt động độc lập với thuật ngữ và cấu trúc dữ liệu riêng. ISA-95 giải quyết vấn đề này bằng cách xác định rõ boundary và mô hình thông tin dùng chung giữa các tầng. Khi áp dụng đúng, dữ liệu từ cảm biến lên đến ERP vẫn giữ đủ context cho QA đánh giá batch — đây là nền tảng của kiến trúc hệ thống nhà máy dược chuẩn GMP.
ISA-95 Part 1 chia kiến trúc nhà máy thành 5 tầng:
Level 0 — Physical Process: sensor nhiệt độ, áp suất, độ ẩm phòng sạch, actuator, van — thiết bị trực tiếp tiếp xúc với quy trình sản xuất. Dữ liệu ở tầng này là tín hiệu vật lý chưa qua xử lý.
Level 1 — Basic Control: PLC và I/O module nhận tín hiệu từ Level 0, thực hiện điều khiển vòng kín cơ bản. Đây là tầng chuyển đổi tín hiệu analog thành dữ liệu số có địa chỉ tag.
Level 2 — Supervisory Control: SCADA, DCS, BMS và EMS giám sát, cảnh báo và ghi nhận dữ liệu từ nhiều controller Level 1. Historian thường đặt ở tầng này hoặc cross-layer để lưu time-series data với timestamp gốc.
Level 3 — Manufacturing Operations Management: MES, eBR, LIMS và WMS quản lý batch execution, quality workflow và review by exception. Đây là tầng tạo bằng chứng GMP trực tiếp — batch record điện tử, kết quả kiểm nghiệm và quyết định release.
Level 4 — Business Planning: ERP, finance, supply chain planning. Tầng này tiêu thụ dữ liệu đã contextualized từ Level 3 để ra quyết định kinh doanh.
ISA-95 không quy định sản phẩm cụ thể hay kiến trúc bắt buộc — tiêu chuẩn xác định ranh giới thông tin giữa các level. Với nhà máy dược GMP, giá trị lớn nhất nằm ở data integrity: EU GMP Annex 11 và FDA 21 CFR Part 11 yêu cầu electronic records phải có authenticity, integrity, access control và audit trail. Khi dữ liệu đi qua interface giữa các tầng, các thông tin bắt buộc — source system, timestamp gốc, value, unit, quality flag, tag ID, batch/room context và exception status (xem Hình 4) — phải được giữ nguyên. Nếu kiến trúc không phân tầng rõ ràng, dữ liệu sản xuất có thể bị đẩy thẳng lên ERP mà thiếu context chất lượng, dẫn đến investigation không truy được bằng chứng gốc.
Ý chính cần nắm:
- Đặt EMS, SCADA, DCS, BMS, MES và ERP đúng tầng ISA-95 trước khi viết URS hoặc validation test.
- Xác định system of record cho từng loại dữ liệu GMP-critical — Historian, MES, LIMS không thể thay thế nhau.
- Tích hợp OT/IT sai cách tạo data silos và mất timestamp gốc — đây là nguồn gốc của Observation.
- Kiến trúc quyết định phạm vi CSV, Part 11 và Annex 11 — không phải ngược lại.
Regulatory baseline cho kiến trúc hệ thống nhà máy dược
Kiến trúc không phải yêu cầu riêng, nhưng evidence là yêu cầu thật
Không có một regulation nào yêu cầu nhà máy phải dùng ISA-95, MES hoặc SCADA theo một mẫu duy nhất. Nhưng khi hệ thống tạo, sửa, lưu hoặc truyền electronic records trong GMP, nhà máy phải kiểm soát authenticity, integrity, access, audit trail và retention.
EU GMP Annex 11 hiện hành trên EudraLex Volume 4 vẫn là revision January 2011. Annex 11 Draft 2025 là consultation đã đóng, không phải luật hiện hành.
21 CFR Part 11 áp dụng khi electronic records và electronic signatures được dùng trong phạm vi FDA. §11.10(d) nói về giới hạn truy cập cho người được ủy quyền. §11.10(e) nói về audit trail secure, computer-generated và time-stamped.
ISA-95 và IEC 62443 là framework thiết kế
ISA-95 giúp phân tầng enterprise-control integration. IEC 62443 giúp thiết kế zone, conduit và remote access control cho OT. Cả hai là standard chuyên môn, không phải GMP law. Giá trị của chúng là làm ranh giới hệ thống đủ rõ để validation, cybersecurity và data integrity không bị trộn lẫn — điều này đặc biệt quan trọng với kiến trúc dữ liệu EMS, nơi sensor data phải giữ nguyên timestamp và context từ Level 0 đến Historian.
Kiến trúc hệ thống nhà máy dược theo ISA-95
Mỗi tầng có một loại quyết định khác nhau
ISA-95 hữu ích vì nó buộc đội dự án nói rõ tầng nào điều khiển process, tầng nào ghi nhận batch execution và tầng nào tối ưu kế hoạch kinh doanh. Nếu mọi thứ đều đẩy vào ERP hoặc Excel, kiến trúc sẽ mất ngữ cảnh GMP.
| Tầng | Hệ thống thường gặp | Quyết định chính | Rủi ro GMP nếu sai ranh giới |
|---|---|---|---|
| Level 0-1 | Sensor, actuator, PLC I/O | Tín hiệu và điều khiển cơ bản | Sai source data, mất calibration context |
| Level 2 | SCADA, DCS, BMS, EMS | Monitoring, alarm, control | Sai timestamp, alarm không truy vết |
| Level 3 | MES, eBR, LIMS, WMS | Batch execution và quality workflow | Sai batch context, review by exception yếu |
| Level 4 | ERP, planning, finance | Kế hoạch, tồn kho, costing | ERP ra quyết định từ dữ liệu chưa contextualized |
| Cross-layer | Historian, gateway, integration bus | Truyền và lưu data | Mapping sai, mất quality flag, mất owner |
Source of truth phải được viết ra
kiến trúc hệ thống nhà máy dược tốt phải trả lời: dữ liệu gốc nằm ở đâu? EMS database, SCADA historian, MES batch record hay LIMS? Nếu cùng một giá trị xuất hiện ở nhiều nơi, SOP phải nói rõ bản nào là original record và bản nào là report hoặc copy.
Ví dụ TYPE 3: nhiệt độ phòng sạch xuất hiện trên BMS, EMS dashboard và eBR. Nếu excursion xảy ra, QA cần biết bản ghi nào dùng để đánh giá batch impact. Nếu không định nghĩa trước, investigation sẽ biến thành tranh luận giữa Engineering và QA.
Liên kết triển khai
Đọc tiếp để mở rộng chủ đề liên quan.
Kiến trúc dữ liệu EMS trong nhà máy dược: Thiết kế chuẩn GMP và ALCOA+ ->
Kiến trúc hệ thống nhà máy dược và data integrity
Data integrity bị phá khi context bị mất
Data integrity không chỉ là chống sửa dữ liệu. Trong kiến trúc hệ thống, lỗi phổ biến hơn là mất context khi dữ liệu đi qua nhiều lớp. Tag ID mất unit. Timestamp bị đổi sang thời điểm nhập MES. Alarm bị summarize nhưng mất acknowledge user.
Vì vậy interface specification phải giữ tối thiểu source system, timestamp gốc, value, unit, quality flag, tag ID, batch hoặc room context và status exception. Nếu một interface chỉ gửi giá trị số, nó chưa đủ cho GMP-critical data — đây là vấn đề cốt lõi khi thiết kế tích hợp MES, SCADA, EMS và ERP trong môi trường Pharma 4.0.
Audit trail phải theo đường đi của quyết định
Audit trail nằm ở nhiều nơi: SCADA cho setpoint, EMS cho alarm limit, MES cho batch step, LIMS cho result approval, ERP cho material status. QA không cần review mọi click, nhưng cần review event ảnh hưởng GxP decision.
Part 11 §11.10(e) không chỉ là bật log. Audit trail documentation phải được giữ ít nhất lâu bằng record liên quan và có thể available for agency review. Điều này ảnh hưởng trực tiếp đến kiến trúc lưu trữ và archive — và là lý do cấu hình audit trail GMP đúng từ đầu quan trọng hơn bật log sau khi đã triển khai.
OT/IT integration trong kiến trúc hệ thống nhà máy dược
Tích hợp không đồng nghĩa mở mọi kết nối
OT cần availability và deterministic control. IT cần identity, patching, monitoring và enterprise governance. Tích hợp tốt không phải nối thẳng PLC với ERP. Tích hợp tốt là có DMZ, gateway, account model, change control và data contract rõ.
IEC 62443 giúp chia zone và conduit cho hệ thống công nghiệp. Trong nhà máy dược, zone nên đi theo function và criticality: SCADA/DCS zone, EMS/BMS zone, MES zone, corporate IT zone và remote vendor access zone — việc phân zone sai khiến SCADA trong nhà máy dược không thể giữ validated state khi có patch hoặc remote access event.
Cybersecurity là điều kiện giữ validated state
Cybersecurity yếu có thể làm dữ liệu mất tin cậy ngay cả khi validation ban đầu tốt. Ransomware, shared remote account hoặc patch không kiểm soát đều có thể làm nhà máy không chứng minh được validated state.
Vì vậy kiến trúc phải định nghĩa backup/restore, remote access approval, network segmentation, asset inventory, vulnerability handling và incident response có phần batch impact assessment.
CSV trong kiến trúc hệ thống nhà máy dược
Validation boundary phải đi theo data flow
GAMP 5 khuyến khích cách tiếp cận theo intended use và risk. Trong kiến trúc hệ thống nhà máy dược, validation boundary không nên dừng ở từng phần mềm riêng lẻ. Boundary phải đi theo đường dữ liệu từ sensor tới quyết định GMP.
Nếu EMS gửi alarm excursion sang MES để tạo event trong eBR, test phải bao gồm EMS event, interface mapping, MES display, audit trail và cách QA review. Test chỉ trên EMS hoặc chỉ trên MES đều không đủ — đây là lý do GAMP 5 dược phẩm nhấn mạnh risk-based approach theo data flow thay vì validation từng hệ thống độc lập.
Roadmap nên bắt đầu từ hệ thống tạo bằng chứng
Không phải dự án đắt nhất nên làm trước. Nhà máy nên bắt đầu từ nơi rủi ro data integrity cao và bằng chứng audit yếu: EMS, SCADA historian, LIMS interface, eBR/MES hoặc access control.
Một lộ trình thực dụng là chuẩn hóa master data, xác định source of truth, validate interface critical, rồi mới mở analytics hoặc AI. Nếu làm ngược, nhà máy chỉ số hóa sự mơ hồ.
Góc nhìn liên quan
Đọc tiếp để mở rộng chủ đề liên quan.
SCADA dược phẩm: giám sát Level 2, audit trail và interface dữ liệu GMP ->
Ma trận quyết định hệ thống ghi nhận dữ liệu GMP
Điểm yếu của nhiều dự án kiến trúc không phải thiếu phần mềm, mà là không ghi rõ hệ thống nào là bản ghi gốc cho từng loại dữ liệu GMP. Khi source of truth không được khóa trước, QA sẽ phải tranh luận lại từ đầu mỗi khi audit hỏi về timestamp, signature, exception hoặc bản báo cáo đã in ra từ hệ thống nào.
Một cách làm an toàn hơn là tách dữ liệu theo chức năng. Dữ liệu quá trình nên sống ở Historian hoặc EMS/SCADA. Dữ liệu batch execution nên sống ở MES hoặc eBR. Dữ liệu chất lượng nên sống ở LIMS. Dữ liệu quyền truy cập và phân quyền phải trace được về IAM hoặc directory service. Dữ liệu thay đổi hệ thống phải đi qua change control hoặc release record. Nếu anh/chị cần chuẩn hóa cách nhìn này theo lớp kiểm soát dữ liệu, xem thêm Data Integrity ALCOA+ trong Dược Phẩm: Framework kỹ thuật, quy trình và văn hóa GMP và Audit Trail trong GMP: Cấu hình đúng 21 CFR Part 11 và EU GMP Annex 11 để không bao giờ nhận FDA Warning Letter.
| Loại dữ liệu | System of record | Owner review | Điểm phải giữ lại |
|---|---|---|---|
| Process signal, alarm, trend | Historian, EMS hoặc SCADA | Engineering và QA | Timestamp gốc, unit, quality flag và trạng thái exception |
| Batch step, signature, exception | MES hoặc eBR | Manufacturing và QA | Step context, người duyệt, lý do ngoại lệ và audit trail |
| Test result, recalculation, COA | LIMS | QC và QA | Sample ID, calculation path và result approval |
| User access, role, SoD | IAM, AD hoặc local role model | IT và QA | Attributable user, quyền đang active và lịch sử thay đổi |
| Change, release, revalidation decision | QMS hoặc change control record | Quality Unit | Ai quyết định, quyết định gì, dựa trên rationale nào |
Decision Moment
Trước khi đầu tư thêm hệ thống, hãy dùng kiến trúc hệ thống nhà máy dược để hỏi ba câu:
1. Record gốc của dữ liệu GMP-critical nằm ở đâu và có truy lại được không?
2. Interface có giữ timestamp, unit, quality flag, batch/room context và exception không?
3. Khi có incident OT hoặc audit finding, QA biết owner nào phải cung cấp bằng chứng nào không?
Nếu ba câu này chưa rõ, hãy sửa architecture map trước khi mua thêm phần mềm. Khi cần rà soát ISA-95, OT/IT integration hoặc data integrity boundary, anh/chị có thể bắt đầu tại nampham.net.
FAQ
Phần này gom các câu hỏi giúp QA tự kiểm tra nhanh trước khi audit.
Regulatory baseline: Các nhận định GMP trong bài được đối chiếu trực tiếp theo 21 CFR 211.192, 21 CFR 211.68, EU GMP Annex 11, EudraLex Volume 4, ICH Q10, ICH Q9(R1), ISA-95.
Bắt đầu từ phạm vi GxP, record gốc, owner và rủi ro ảnh hưởng đến quyết định chất lượng.
Khi dữ liệu, cấu hình, access, audit trail hoặc thay đổi có thể ảnh hưởng batch release, deviation hoặc inspection readiness.
Không. Validation nên theo intended use và risk, nhưng phần tạo hoặc truyền bằng chứng GMP phải được kiểm soát rõ.
URS hoặc rationale, risk assessment, test evidence, traceability, SOP vận hành, access review và change control phù hợp.
Chọn công cụ trước khi xác định record gốc, boundary, owner và tiêu chí QA dùng để ra quyết định.
Có thể dùng như TYPE minh họa để thảo luận nội bộ, nhưng phải map lại theo quy trình, hệ thống và SOP của site.
Ghi Chú Minh Bạch
Phần này làm rõ nguồn tham chiếu và ranh giới áp dụng của bài viết.
Ghi Chú Minh Bạch Nguồn quy định chính (Primary Regulatory) European Commission, EudraLex Volume 4, Annex 11 revision January 2011 – European Commission, Annex 11/Chapter 4/Annex 22 consultation 2025 – eCFR, 21 CFR Part 11 §11.10 – Nguồn tiêu chuẩn.
- ISA-95 / IEC 62264
- EU GMP Annex 11 (Draft 2025 consultation)
- FDA 21 CFR Part 11
- ALCOA+
- ISA/IEC 62443
- ISPE GAMP 5 2nd Edition 2022
- ICH Q10
Các ví dụ TYPE dùng để minh họa phương pháp, không thay thế SOP, validation plan hoặc đánh giá rủi ro chính thức của từng site.
Đọc tiếp trong hệ sinh thái GMP:
- Cybersecurity Hệ Thống OT trong Nhà Máy Dược GMP: Tiêu Chuẩn IEC 62443
- CSV dược phẩm: validation lifecycle theo GAMP 5, IQ OQ PQ và risk assessment
- Pharma 4.0 dược phẩm: lộ trình chuyển đổi số từ dữ liệu GMP đến AI và cybersecurity
- GAMP 5 Dược Phẩm: Thẩm định Hệ thống Máy tính theo Tiếp cận Rủi ro – Tư duy, không phải Checklist
Câu hỏi thường gặp về ISA-95
ISA-95 khác ISA-88 thế nào?
ISA-88 (batch control standard) tập trung vào cách điều khiển một batch — recipe model, equipment model và procedural control bên trong tầng sản xuất. ISA-95 tập trung vào tích hợp thông tin giữa tầng doanh nghiệp và tầng điều khiển. Trong nhà máy dược, ISA-88 định nghĩa cách MES execute batch recipe, còn ISA-95 định nghĩa cách dữ liệu batch đó di chuyển giữa MES, SCADA và ERP. Hai tiêu chuẩn bổ sung nhau, không thay thế nhau.
ISA-95 có bắt buộc theo GMP không?
Không có regulation GMP nào bắt buộc dùng ISA-95. Tuy nhiên, EU GMP Annex 11 và FDA 21 CFR Part 11 yêu cầu kiểm soát electronic records, audit trail và data integrity — điều này đòi hỏi kiến trúc hệ thống rõ ràng. ISA-95 là framework được industry chấp nhận rộng rãi nhất để thiết kế kiến trúc đó, giúp nhà máy chứng minh ranh giới hệ thống khi thanh tra.
Nhà máy nên bắt đầu áp dụng ISA-95 từ đâu?
Bắt đầu từ việc map hệ thống hiện tại vào 5 tầng ISA-95, xác định system of record cho từng loại dữ liệu GMP-critical, và viết interface specification cho các điểm truyền dữ liệu giữa các tầng. Ưu tiên các interface có ảnh hưởng trực tiếp đến batch release, deviation investigation và audit evidence trước khi mở rộng sang analytics hoặc AI.
