Spis treści
1. Krótka odpowiedź
Kategoria 4 GAMP 5 to oprogramowanie konfigurowane — produkt komercyjny, który ustawiasz parametrami, regułami i przepływami, bez zmiany jego kodu. Kategoria 5 to oprogramowanie szyte na miarę — kod napisany specjalnie dla Ciebie. Różnica praktyczna to nakład walidacji i ryzyko: Kategoria 5 wymaga walidacji samego kodu (przeglądy projektu, przegląd kodu, testy strukturalne), a Kategoria 4 pozwala oprzeć się na cyklu życia produktu dostawcy i skupić walidację na Twojej konfiguracji i jej przeznaczeniu.
2. Kategorie oprogramowania GAMP 5
GAMP 5 (wydanie drugie, 2022) klasyfikuje systemy skomputeryzowane według sposobu ich budowy, bo to determinuje oparte na ryzyku podejście do walidacji:
| Kategoria | Czym jest | Przykład |
|---|---|---|
| 1 | Oprogramowanie infrastruktury | Systemy operacyjne, bazy danych, middleware |
| 3 | Niekonfigurowane (używane jak jest) | Narzędzia gotowe używane z ustawieniami domyślnymi |
| 4 | Konfigurowane | LIMS, MES, ERP, QMS — ustawione Twoimi parametrami i regułami |
| 5 | Dedykowane / szyte na miarę | Oprogramowanie (lub moduły) kodowane specjalnie pod Twój proces |
(Kategoria 2, firmware, została wycofana w pierwszym wydaniu GAMP 5 i nie występuje w bieżącej klasyfikacji.)
3. Kategoria 4 vs 5 — porównanie
| Aspekt | Kategoria 4 (konfigurowane) | Kategoria 5 (dedykowane) |
|---|---|---|
| Pochodzenie kodu | Zwalidowany produkt dostawcy | Napisany dla Twojej instancji |
| Dźwignia dostawcy | Oparcie o cykl życia + audyt dostawcy | Więcej cyklu życia po Twojej stronie |
| Przeglądy projektu | Specyfikacja konfiguracji | Pełne przeglądy projektu + kodu |
| Fokus testów | Konfiguracja i przeznaczenie (IQ/OQ/PQ) | Strukturalne + funkcjonalne, w tym ścieżki kodu |
| Kontrola zmian | Reweryfikacja dotkniętej konfiguracji | Rewalidacja dotkniętego kodu |
| Typowy nakład | Niższy, jeśli dowody dostawcy są mocne | Wyższy |
4. Dlaczego klasyfikacja zmienia nakład CSV
Klasyfikacja to nie papierologia — decyduje, ile musisz udowodnić samodzielnie. Produkt Kategorii 4 pozwala wykorzystać dowody rozwoju i testów dostawcy (przez audyt dostawcy i jego pakiet walidacyjny), więc Twoja walidacja na miejscu skupia się na tym, czy Twoja konfiguracja robi to, co zamierzasz. Błędne zaklasyfikowanie produktu Kat 4 jako Kat 5 marnuje nakład; błędne zaklasyfikowanie budowy Kat 5 jako Kat 4 pozostawia nieprzetestowany kod w ścieżce decyzji GxP — to luka, o której pisze się warning letter.
Subtelność, którą podkreśla drugie wydanie GAMP 5: konfiguracja i customizacja mogą współistnieć w jednym systemie. Produkt konfigurowany z dedykowanym modułem obliczeniowym jest Kategorią 4 dla części konfigurowanych i Kategorią 5 dla modułu dedykowanego. Klasyfikuj po komponencie, nie po etykiecie produktu na pudełku.
5. Co dostawca musi udowodnić dla Kategorii 4
Jeśli dostawca twierdzi, że jego produkt to oprogramowanie konfigurowane Kategorii 4, poproś o dowody, które pozwalają się na tym oprzeć:
- Udokumentowany cykl życia rozwoju produktu (SDLC), który możesz zaudytować.
- Pakiet walidacyjny / kwalifikacyjny: śledzenie URS-do-testów, skrypty IQ/OQ, testy zwolnienia.
- Jasną granicę konfiguracja vs customizacja — co ustawiasz, a co wymagałoby nowego kodu.
- Wersjonowane, odtwarzalne zachowanie — te same dane i wersje dają ten sam wynik dla audytora.
- Ścieżkę audytu dostawcy (na miejscu lub udokumentowaną), by móc go zakwalifikować jako dostawcę.
To standard, pod który zbudowana jest Synlogica Terminus: moduł Quality (Terminus M4) jest zaprojektowany i udokumentowany jako oprogramowanie konfigurowane GAMP 5 Kategorii 4 — konfigurowane Twoimi SOP, regułami i progami, z pakietem walidacyjnym dostawcy oraz wersjonowanymi, odtwarzalnymi pakietami decyzyjnymi. Uzasadnienie klasyfikacji i podejście walidacyjne przedstawia nasz white paper o klasyfikacji GAMP 5 Kategorii 4.
6. FAQ
Czy jeden system może być jednocześnie Kategorią 4 i 5?
Tak. GAMP 5 klasyfikuje po komponencie. Produkt konfigurowany (Kat 4) zawierający dedykowany moduł lub autorskie obliczenie jest Kat 5 dla tego modułu. Waliduj każdą część wg jej własnej kategorii, zamiast narzucać jedną etykietę całemu systemowi.
Czy Kategoria 4 oznacza mniej walidacji?
Zwykle oznacza mniej zdublowanej walidacji: wykorzystujesz dowody cyklu życia dostawcy i skupiasz się na swojej konfiguracji i przeznaczeniu. Całkowity rygor jest oparty na ryzyku — decyzja GxP o wysokim wpływie nadal wymaga rzetelnego IQ/OQ/PQ, tylko bez ponownego testowania kodu dostawcy.
Gdzie mieszczą się LLM / funkcje AI?
Komponent AI/ML wpływający na decyzję GxP wymaga specyficznego nadzoru poza etykietą kategorii — danych, wersjonowania modelu i kontroli zmian. Dlatego Synlogica nie trzyma LLM w pętli decyzyjnej i osobno dąży do ISO 42001 dla warstwy ekstrakcji wspieranej AI.
7. Źródła
- ISPE GAMP 5: A Risk-Based Approach to Compliant GxP Computerized Systems, wydanie drugie (2022).
- EU GMP Aneks 11 — Systemy skomputeryzowane.
- 21 CFR Part 11 — Zapisy elektroniczne; Podpisy elektroniczne.
- ISPE GAMP Good Practice Guides — Records & Data Integrity.