Digital Twin nhà máy dược & IIoT: Chuẩn Pharma 4.0 và GMP

Digital Twin and IIoT in Pharmaceutical Manufacturing explains practical use cases that can improve operations without bypassing GMP controls.

• IIoT data must be governed for source, timestamp, calibration context, cybersecurity and validated interface behavior.
• Digital twin models should remain advisory unless validation, change control and human approval support regulated decisions.
• The article connects predictive monitoring, process understanding and engineering optimization to GMP evidence requirements.

Digital Twin nhà máy dược đã trở thành chuẩn mực trong các dự án đạt giải ISPE FOYA 2026 — bốn nhà máy trong một mùa giải dùng bốn dạng twin khác nhau.

Trước đó, FDA đã phê duyệt Orkambi của Vertex với quy trình sản xuất liên tục — FDA nêu đây là một trong các động lực dẫn tới đề xuất ICH Q13. Đây là tiền lệ cho việc dùng dữ liệu quy trình thời gian thực và mô hình hoá trong hồ sơ đăng ký, chưa phải một “Digital Twin” theo nghĩa đầy đủ.

Không phải ngẫu nhiên khi các dự án trên đều bắt đầu không phải từ “mô hình đẹp” mà từ dữ liệu đáng tin: cảm biến có Audit Trail, dữ liệu có ALCOA+ và mô hình có intended use được phê duyệt bởi QA.

Công nghệ Digital Twin chỉ có giá trị khi nó dùng dữ liệu vận hành thật để dự báo, tối ưu và giảm rủi ro chất lượng — không phải để trình diễn với lãnh đạo. Digital Twin thường phù hợp nhất với Stage 3 — Continued Process Verification theo FDA Guidance for Industry — Process Validation: General Principles and Practices (January 2011, vẫn hiện hành): dùng dữ liệu vận hành liên tục để phát hiện drift và cải thiện process understanding, không thay thế bằng chứng validation vật lý. IIoT thu thập dữ liệu; Digital Twin mô phỏng và ra gợi ý. Digital Twin không tự phê duyệt lô, không tự thay đổi setpoint và không thay thế Change Control.

Digital Twin trong dược phẩm là gì — và không phải là gì

Lưu ý trạng thái pháp lý: Căn cứ chính của bài là 21 CFR Part 11 (Mỹ) và EU GMP Annex 11 (EU). Annex 11 đang có hiệu lực là bản 2011; bản sửa đổi công bố tháng 7/2025 vẫn là dự thảo. Danh mục nguồn đầy đủ ở mục “Ghi chú minh bạch” cuối bài.

Trước khi đầu tư, cần làm rõ định nghĩa và ranh giới để tránh kỳ vọng sai dẫn đến thất bại dự án.

Định nghĩa và phân loại

Theo Grieves và Vickers (2017) — nhóm nghiên cứu đặt nền tảng lý thuyết cho Digital Twin — Digital Twin là bản sao ảo (virtual representation) của hệ thống vật lý, được cập nhật liên tục bằng dữ liệu thời gian thực để phản ánh hành vi, dự báo hiệu năng và tối ưu vận hành. Trong sản xuất dược phẩm, có ba cấp độ trưởng thành của Digital Twin thường được phân biệt.

Digital Twin Prototype (DTP) tồn tại trước khi thiết bị vật lý ra đời, dùng cho virtual commissioning và process design simulation. Digital Twin Instance (DTI) gắn với một thiết bị hoặc dây chuyền cụ thể, đồng bộ real-time với cảm biến trong quá trình vận hành thương mại.

Digital Twin Aggregate (DTA) tổng hợp dữ liệu từ nhiều DTI để tối ưu hóa ở cấp độ nhà máy hoặc fleet, ví dụ so sánh hiệu suất các bioreactor trên nhiều site.

Trong sản xuất dược phẩm, hai loại ứng dụng chính bao gồm Asset Twin (bản sao tài sản) — mô phỏng hiệu suất thiết bị như máy ép viên, HVAC, nồi lên men, tập trung vào predictive maintenance; và Process Twin (bản sao quy trình) — mô phỏng phản ứng hóa học, động học hạt thuốc, granulation dynamics, tập trung vào tối ưu hóa Critical Process Parameters (CPPs) và Critical Quality Attributes (CQAs).

Digital Twin không thay thế Validation

Câu hỏi được đặt ra thường xuyên nhất: “Digital Twin có thay thế validation vật lý không?” Câu trả lời là không — và đây là ranh giới quan trọng nhất cần khóa trước khi đầu tư. FDA và EMA vẫn yêu cầu bằng chứng vật lý từ Process Performance Qualification (PPQ).

ICH Q13 về Continuous Manufacturing (2022) — văn bản regulatory hiện đại nhất có đề cập rõ ràng nhất đến modeling trong pharmaceutical context — công nhận vai trò của process models nhưng nhấn mạnh rằng model validation phải chứng minh accuracy, precision, robustness và cơ chế maintenance trong suốt vòng đời sản phẩm.

Digital Twin là công cụ tăng tốc và tăng depth của process understanding — không phải giấy tờ thay thế cho bằng chứng vật lý trong hồ sơ regulatory.

Vai trò của IIoT: Nguồn dữ liệu sống cho Digital Twin

IIoT là giao thức và hạ tầng, không phải chỉ là cảm biến

IIoT (Industrial Internet of Things) bao gồm cảm biến thông minh, IIoT Gateway, giao thức truyền thông (OPC UA, MQTT) và edge computing layer cho phép kết nối thế giới vật lý vào Digital Twin theo thời gian thực.

OPC Foundation có đặc tả OPC 10030 (“OPC Unified Architecture — Common Object Model: ISA-95”) ánh xạ mô hình đối tượng ISA-95 sang OPC UA, nên OPC UA là lựa chọn phổ biến để tích hợp OT-IT theo kiến trúc ISA-95 (OPC UA — Open Platform Communications Unified Architecture) — mỗi data point được truyền kèm metadata định nghĩa rõ nguồn gốc, đơn vị, timestamp và trạng thái cảm biến.

Đây là kiến trúc đảm bảo dữ liệu IIoT có thể đáp ứng yêu cầu ALCOA+ của GMP ngay từ điểm thu thập, không phải xử lý sau.

Data Integrity của luồng IIoT trong GMP

Trong môi trường GxP, dữ liệu IIoT phải đáp ứng yêu cầu ALCOA+ tại mọi điểm trong chuỗi truyền dẫn.

Điều này có nghĩa là cảm biến phải được calibrate và đưa vào chương trình calibration management, IIoT Gateway phải được đưa vào phạm vi CSV (tối thiểu IQ/OQ để xác nhận dữ liệu truyền đúng, đầy đủ và có timestamp chính xác), và luồng dữ liệu từ Edge đến Historian phải có cơ chế phát hiện và báo cáo khi dữ liệu bị mất hoặc bị gián đoạn.

Khi không có những kiểm soát này, Digital Twin nhận dữ liệu đầu vào không đáng tin và mọi output của nó không có giá trị GxP — làm cho toàn bộ đầu tư trở thành rủi ro thay vì lợi ích. Xem thêm cấu trúc kiến trúc IT-OT theo ISA-95 trong chuyển đổi số nhà máy dược để hiểu tầng nền cần có trước khi triển khai IIoT.

Trong thực tiễn triển khai IIoT, rủi ro lớn nhất thường không nằm ở các SCADA/DCS lớn mà nằm ở các thiết bị standalone như máy đo pH, cân phân tích hoặc máy thử độ hòa tan. Nếu dữ liệu từ các thiết bị này được đưa vào mô hình Digital Twin nhưng không được đồng bộ thời gian (time-sync) với máy chủ NTP nội bộ, hoặc bản thân thiết bị không bật local audit trail, thì toàn bộ mô hình dự đoán sẽ dựa trên dữ liệu sai lệch. Bất kỳ auditor nào khi kiểm tra luồng dữ liệu này cũng sẽ yêu cầu bằng chứng cấu hình time-sync trước khi xem xét độ chính xác của mô hình.

Ba ứng dụng đột phá của Digital Twin trong sản xuất dược

Giảm rủi ro hỏng lô trong Scale-up

Scale-up — chuyển quy trình từ lab lên production scale — là một trong những giai đoạn rủi ro cao nhất trong pharmaceutical development. Sự thay đổi về fluid dynamics, heat transfer và shear stress trong bồn sản xuất 1.000 lít so với bioreactor lab thường tạo ra những parameter interactions không có trong nghiên cứu nhỏ.

Digital Twin giải quyết bài toán này bằng Computational Fluid Dynamics (CFD) simulation: kỹ sư xây dựng mô hình bồn sản xuất ảo, chạy thử nghiệm với hàng trăm tổ hợp thông số (tốc độ khuấy, nhiệt độ, thời gian) trên môi trường ảo trước khi cam kết với nguyên liệu thực.

Pfizer đã áp dụng cách tiếp cận này để tạo ra process scale-up roadmap, giảm đáng kể số mẻ thử nghiệm thực tế cần thiết (theo case study do M-Star CFD công bố).

ISPE iSpeak bài “Validating the Virtual” (2025) mô tả Digital Twin trong giai đoạn này có thể test “what-if scenarios safely in silico, flag potential deviations, và generate validation evidence aligned với FDA lifecycle approach.”

Virtual Commissioning — Chạy thử ảo trước khi lắp đặt

Trước khi lắp đặt hệ thống tự động hóa mới, kỹ sư có thể kết nối code PLC thực với một Digital Twin của máy móc (Digital Twin Prototype). Mọi kịch bản lỗi — Interlock, Emergency Stop, sequence out-of-order — được kiểm tra trên môi trường ảo trước khi phần cứng thực được lắp đặt.

Lợi ích trực tiếp: bugs trong logic PLC được phát hiện sớm, tránh hỏng hóc cơ khí do lỗi code; FAT (Factory Acceptance Test) và SAT (Site Acceptance Test) diễn ra nhanh hơn vì phần lớn kịch bản test đã được verify trên Digital Twin; và timeline lắp đặt rút ngắn đáng kể.

Theo dữ liệu từ ngành, virtual commissioning có thể rút ngắn commissioning timeline lên đến 70% trong một số trường hợp — tuy nhiên con số này phụ thuộc nhiều vào độ phức tạp của hệ thống và chất lượng model.

Bảo trì kê đơn — Prescriptive Maintenance

Đây là mức độ cao nhất của bảo trì dự báo. Trong khi Predictive Maintenance chỉ cảnh báo “máy sẽ hỏng trong X giờ,” Prescriptive Maintenance đề xuất hành động cụ thể để tối ưu hóa thời điểm bảo trì và duy trì năng suất.

Ví dụ: Digital Twin phân tích rằng nếu giảm tốc độ ép viên xuống một mức nhất định, thiết bị có thể hoàn thành lô hiện tại trước khi cần bảo trì — tránh dừng máy giữa lô, giảm risk điều tra deviation và tiết kiệm nguyên liệu.

Ứng dụng này thuộc loại Advisory (rủi ro GxP thấp) theo framework phân loại AI/ML trong GMP, tức output của Digital Twin là gợi ý cho kỹ sư bảo trì, không phải lệnh tự động.

Digital Twin và tính tuân thủ GMP — Validation theo vòng đời

Mapping Digital Twin với FDA 3-Stage Process Validation Lifecycle

Digital Twin có thể đóng góp khác nhau ở từng stage:

Ở Stage 1 (Process Design), Digital Twin Prototype cho phép virtual DoE (Design of Experiments) — khám phá design space với chi phí thấp hơn nhiều lần so với wet lab experiments. Nghiên cứu của Ierapetritou và cộng sự trên continuous direct compression process cho thấy integrated process model có thể dự đoán tablet CQAs từ CPP với đủ độ chính xác để hỗ trợ design space definition theo ICH Q8(R2).

Ở Stage 2 (Process Qualification), Digital Twin hỗ trợ thiết lập scientifically justified acceptance criteria cho PPQ batches, và trong một số trường hợp bổ sung model-based predictions cho những CQAs khó đo trực tiếp. Điều này không thay thế PPQ physical batches mà tăng cường depth của process understanding đi kèm với PPQ data.

Ở Stage 3 (Continued Process Verification), Digital Twin thể hiện giá trị lớn nhất. Thay vì CPV truyền thống (review control charts định kỳ), Digital Twin CPV hệ thống phát hiện process deviation sớm hơn qua real-time predictive analytics. Nghiên cứu của Ondracka và cộng sự (PDA Journal, 2023) chứng minh AI-powered CPV system cho bioreactor processes phát hiện deviation sớm hơn SPC truyền thống, giảm risk batch failure.

Model Validation — Yêu cầu vượt ra ngoài CSV truyền thống

Model validation cho Digital Twin GxP phải bao gồm bốn chiều: scientific validity (model có đúng cơ sở khoa học không?); predictive accuracy (model dự đoán chính xác trong range operating variability?); robustness (performance duy trì khi có raw material variability, equipment aging?); và transferability (model có thể dùng ở scale khác hoặc site khác không?).

Ngoài ra, vì Digital Twin có thể cần cập nhật model theo thời gian do concept drift (quan hệ input-output thay đổi theo sự lão hóa thiết bị hoặc thay đổi nguyên liệu), cần có quy trình Change Control rõ ràng cho mọi model update có GxP impact — tương tự như quy trình cho AI manufacturing validation theo GAMP 5.

Ma trận ứng dụng theo tác động GxP và độ phức tạp validation

Bối cảnh Việt Nam: Điểm bắt đầu thực dụng

Với phần lớn nhà máy dược Việt Nam đang trong giai đoạn nâng chuẩn từ WHO-GMP lên EU-GMP — khoảng 30 cơ sở đạt EU-GMP/PIC/S theo DAV tính đến tháng 9/2024 — Digital Twin nên được định vị không phải như dự án công nghệ flagship mà như công cụ hỗ trợ Ongoing Process Verification theo EU GMP Annex 15 (mục 5.28–5.32) và Continued Process Verification (Stage 3) theo FDA Process Validation Guidance 2011.

Pharbaco — nhà máy dược tại Hà Nội đạt EU-GMP với hệ thống automation do Rockwell Automation tích hợp (theo case study của Rockwell) — minh chứng rằng lộ trình từ automation cơ bản đến digital process monitoring là khả thi cho nhà máy nội địa.

Điểm bắt đầu thực dụng nhất: chọn một thiết bị critical asset (ví dụ nồi pha chế hoặc hệ thống HVAC phòng sạch), xây Asset Twin với IIoT Gateway có CSV, validate dữ liệu đầu vào theo ALCOA+ và chứng minh ROI trong 6–12 tháng trước khi mở rộng sang Process Twin phức tạp hơn. Xem thêm phân tích ROI chuyển đổi số dược phẩm để xây business case đúng.

Kết luận: Nền tảng dữ liệu là điều kiện tiên quyết

Digital Twin và IIoT là chìa khóa để chuyển nhà máy dược từ “phản ứng với sự cố” sang “chủ động tối ưu hóa chất lượng.” Nhưng chìa khóa này chỉ hoạt động khi có ổ khóa đúng: dữ liệu sạch, ALCOA+, intended use rõ ràng và validation tương xứng với tác động GxP.

Bắt đầu nhỏ, validate chặt, mở rộng có kiểm soát — đó là nguyên tắc không đổi dù công nghệ có phức tạp đến đâu.

Phạm Đức Phương Nam — Kỹ sư Tự động hóa chuyên ngành nhà máy dược GMP · Sales Manager tại ESTC (nhóm ESEC) · nampham.net

Câu hỏi quyết định — 3 câu hỏi trước khi go-live

Nếu anh/chị muốn đánh giá mức độ sẵn sàng triển khai Digital Twin cho nhà máy của mình, tham khảo thêm các playbook tại nampham.net.

1. Dữ liệu IIoT đầu vào cho Digital Twin đã có Audit Trail, Timestamp đáng tin và traceability đến Batch ID chưa — hay Digital Twin đang chạy trên dữ liệu không đạt ALCOA+?
2. Intended use của Digital Twin đã được đóng khung rõ ràng (Advisory/Augmented/Consequential) và validation scope đã được xác định tương ứng, hay model vẫn đang được dùng vượt khỏi phạm vi đã thẩm định?
3. Ai là model owner chịu trách nhiệm Change Control khi model cần cập nhật, và quy trình re-validation sau mỗi update đã được định nghĩa chưa?

Từ thực tế dự án

Theo tài liệu hãng (bộ case study AVEVA công bố 2025), historian là xương sống dữ liệu của Digital Twin. Eli Lilly tách QBMS khỏi BMS: BMS chỉ điều khiển HVAC, còn QBMS trên PI System ghi và alarm các tham số ảnh hưởng chất lượng qua Event Frames bắt buộc acknowledge kèm comment. Bayer chuẩn hóa ~695.000 tag, ~80 triệu Event Frames theo Asset Framework/ISA-88 cho 15 site để nuôi OEE toàn cầu — OEE đỉnh công bố +10%. Roche đưa dữ liệu PI nhiều site lên data mesh (CONNECT Data Services → Snowflake/Seeq) cho condition-based maintenance, đồng thời đẩy yêu cầu validation sang phía hãng. Một pattern khác: nối PI↔MES qua Unified Namespace (MQTT) thay tích hợp điểm-điểm — PI giữ process variable sub-second, MES giữ exception giây–phút, ERP giữ order phút–giờ, kèm taxonomy chung và yêu cầu “validating UNS” trong GxP — cùng hướng tích hợp MES–SCADA–EMS–ERP theo Pharma 4.0.

Bối cảnh công nghiệp thuần túy — không phải dược, không phải GxP: một dự án đo tiện ích (điện, nước) tại nhà máy vật liệu của tập đoàn đa quốc gia dùng ~30 đồng hồ điện PM2120 (Modbus RTU), đồng hồ nước M-Bus, LoRaWAN cho điểm xa, gateway RTU→TCP ở từng nhóm tủ, lên PLC hiện hữu và SCADA; nền tảng năng lượng tập đoàn đọc ngược qua OPC UA — giao tiếp phải chốt từ thiết kế. Bài học đắt nhất: một site từng chạy EMS chung server với SCADA sản xuất và SCADA bị treo — tách server EMS riêng tốn thêm giấy phép nhưng đúng, cùng logic segmentation OT trong cybersecurity hệ thống OT theo IEC 62443 (chuẩn ngành, không phải quy định bắt buộc).

Khoảng cách giữa “dashboard chạy được” và “dữ liệu GxP-ready”: nghiệm thu công nghiệp chỉ cần số liệu lên đúng; dữ liệu GxP phải chứng minh vòng đời — audit trail, time-sync, alarm acknowledge, backup/restore và cơ chế báo mất dữ liệu. Checklist tự chấm trước khi đưa nguồn dữ liệu vào Digital Twin:

Câu trả lời dừng ở cột “chạy được” nghĩa là nguồn dữ liệu chưa sẵn sàng cho Digital Twin có GxP impact — map từng mục vào kiểm soát cụ thể trong EMS và data integrity theo ALCOA+.

FAQ

Production Readiness — Chuẩn hóa trước go-live

Để đưa chủ đề Digital Twin vào trạng thái production-ready, đội triển khai cần biến insight trong bài thành bằng chứng vận hành. Điểm bắt đầu không phải là mua thêm công cụ, mà là xác định dữ liệu nào có tác động GxP, hệ thống nào tạo ra dữ liệu đó, ai sở hữu dữ liệu và bằng chứng nào phải xuất hiện trong hồ sơ khi auditor yêu cầu.

Với Digital Twin, bằng chứng trước go-live phải chứng minh ba điều: dữ liệu IIoT đầu vào có traceability đến nguồn gốc và Batch ID; mô hình có intended use được phê duyệt bởi QA; và output của mô hình không được dùng cho bất kỳ quyết định GxP nào vượt khỏi phạm vi đã thẩm định.

Nếu một trong ba điều kiện này chưa đạt, go-live chỉ tạo ra rủi ro mới, không phải giá trị mới.

Trong thực tiễn, một checklist cơ bản trước khi go-live Digital Twin phải map trực tiếp về các SOP thực tế của nhà máy. Chẳng hạn, IT SOP về backup/restore phải bao gồm cơ sở dữ liệu IIoT Historian; Engineering SOP về bảo trì phải có bước kiểm tra kết nối gateway; và QA SOP về đánh giá độ lệch (deviation) phải quy định rõ cách xử lý khi dự đoán của Digital Twin sai lệch với kết quả lab thực tế.

Ghi Chú Minh Bạch

Để chuyển các khuyến nghị trong bài thành kế hoạch triển khai khả thi, xem thêm tại nampham.net.