지캣 GMP컨설팅 밸리데이션 제약 엔지니어링

데이터 무결성 Q&A: Audit Trail 검토와 전자기록 승인

1. Q. Audit trail은 원자료와 다른 문서인가요?

아닙니다. Audit trail은 전자기록의 생성·수정·삭제·재처리 같은 사건을 시간순으로 남기는 메타데이터입니다. 분석 결과 표만 출력해 검토하면 재적분, method 변경, 수동 입력, user 권한 변경처럼 결과의 의미를 바꿀 수 있는 흐름을 놓치기 쉽습니다. 원자료, 설정값, audit trail, 검토자의 판단은 함께 하나의 기록 묶음으로 관리되어야 합니다.

현장에서 자주 받는 질문은 “모든 로그를 매 배치마다 읽어야 하나요?”입니다. 답은 모든 화면을 무차별로 훑는 것이 아니라, 제품 품질과 환자 안전에 영향을 줄 수 있는 전자기록의 변경 가능 지점을 위험에 맞게 정의하는 것입니다. 시험 결과를 생성하는 HPLC, GC, LIMS, 배치기록 시스템과 환경·유틸리티 감시 시스템은 기록의 성격과 검토 방식이 다릅니다.

2. Q. ‘중요 데이터’는 어떻게 목록으로 만들까요?

목록은 시스템명만 적은 자산대장이 아닙니다. 데이터 소유부서, 품질 의사결정 용도, audit trail 생성 여부, 검토자, 검토 주기, 예외 발생 시 연결할 절차서를 함께 정리해야 합니다. 신규 장비 도입이나 소프트웨어 변경 시에는 이 목록도 변경관리의 산출물로 갱신합니다. 그래야 ‘시스템은 밸리데이션 되었지만 검토 대상에서 빠졌다’는 공백을 막을 수 있습니다.

3. Q. 검토 주기는 월 1회로 통일하면 되나요?

주기는 데이터의 사용 시점에 맞춰야 합니다. 배치 출하에 직접 쓰이는 시험결과의 audit trail은 해당 결과를 승인하기 전에 검토하는 편이 자연스럽습니다. 반면 계정 생성·권한 변경, 시스템 설정, 장기 경향을 보는 기록은 정해진 주기 검토가 더 알맞을 수 있습니다. 월간 검토를 운영하더라도, 이미 출하된 배치의 핵심 결과를 한 달 뒤에 처음 보는 구조가 되어서는 안 됩니다.

검토량이 많다는 이유로 중요 이벤트를 자동 필터링한 목록만 받아보는 경우가 있습니다. 필터 자체가 변경되었거나 실패 이벤트를 누락할 수 있으므로, 필터 조건의 밸리데이션 상태·변경이력·표본 대조도 관리해야 합니다. 자동 요약은 검토를 돕는 도구이지 검토 책임을 대체하지 않습니다.

4. Q. 사용자 권한과 전자서명은 무엇을 확인해야 하나요?

공유 ID는 누가 기록을 변경했는지 식별할 수 없게 하므로 피해야 합니다. 개인 계정, 역할 기반 권한, 생성·수정·승인 권한의 분리, 퇴직·부서이동 시 신속한 비활성화가 기본입니다. 특히 administrator 권한은 업무상 필요 인원과 기간을 제한하고, 권한 부여·변경·해지의 승인기록을 남겨야 합니다. 시스템이 제공하는 audit trail은 권한 설정 자체의 변경도 남길 수 있어야 합니다.

시간은 단순 표시 항목이 아닙니다. 서로 다른 시스템의 시간대·동기화 상태가 다르면 제조 사건, 시험, alarm의 선후관계를 재구성하기 어렵습니다. 정기점검에는 시스템 시간, time zone, NTP 또는 승인된 동기화 방식, 수동 변경 가능 권한을 포함하세요. 전자서명은 승인자의 의도와 역할을 보여 주는 기록이므로, 단순 로그인 시간과 혼동하지 않고 승인 사유·시점·대상 기록에 연결되도록 설계합니다.

5. Q. 예외 이벤트가 나오면 재시험으로 끝내도 되나요?

재시험 결과가 적합하더라도 최초 이벤트가 사라지지는 않습니다. 먼저 어떤 이벤트인지 분류합니다. 정당한 재적분이나 재처리가 승인된 절차와 분석법 범위 안에서 이루어졌는지, 원래 결과·변경 사유·검토자가 모두 연결되는지 확인합니다. 삭제, 시험 중단, 수동 결과 입력, 시간 역전, 권한 밖 조작처럼 설명되지 않는 이벤트라면 데이터 신뢰성 이슈로 범위를 넓혀야 합니다.

1. 사실 보존: 원본 audit trail, 화면 캡처가 아니라 원시 전자기록, 관련 sequence와 권한 로그를 보존합니다.
2. 즉시 평가: 해당 시험·배치·장비의 사용 상태와 출하 판단 영향을 확인합니다.
3. 원인 조사: 절차, 교육, 권한, 인터페이스, 설정, 의도치 않은 조작 가능성을 증거와 대조합니다.
4. 범위 설정: 동일 사용자·방법·기간·장비의 유사 이벤트를 검토합니다.
5. CAPA와 효과성: 권한 축소나 절차 개정만 적지 말고 후속 audit trail로 효과를 평가합니다.

6. Q. QA 승인 전에 최소한 무엇을 대조해야 하나요?

• □ 결과표의 시험번호·시료·방법·version이 원시 전자기록과 일치하는가?
• □ 재처리·재적분·수동 입력·삭제·중단 이벤트에 승인된 사유와 검토가 있는가?
• □ audit trail 검토 범위와 기간이 배치/시험 기간을 빠뜨리지 않았는가?
• □ 사용자·권한 변경과 administrator 활동이 승인 절차에 맞는가?
• □ 결과와 반대되는 초기 데이터가 무단으로 배제되지 않았는가?
• □ 예외가 있다면 일탈·OOS·변경관리 번호와 영향평가가 연결되는가?

승인자는 체크박스를 채우는 사람이 아니라, 데이터가 제품 품질 결정을 지지할 수 있는지 판단하는 역할입니다. 그래서 검토기록에는 ‘확인함’만 남기기보다 검토 범위, 확인한 이벤트, 예외번호, 판단 근거를 재현 가능하게 적어야 합니다. 검토자의 역량도 중요합니다. chromatogram의 재적분을 읽는 사람과 배치 자동화 시스템의 recipe 변경을 읽는 사람에게 같은 교육만 제공해서는 충분하지 않습니다.

7. Q. 시스템 밸리데이션과 일상 검토는 어떤 관계인가요?

컴퓨터화 시스템 밸리데이션은 audit trail의 생성, 보존, 검색, 권한 분리, 전자서명 연결이 의도대로 작동함을 확인하는 기반입니다. 그러나 밸리데이션 보고서가 있다고 해서 매일 생기는 이벤트를 자동으로 설명해 주지는 않습니다. 운영 절차는 어떤 역할이 어떤 기록을 언제 검토하고, 어떤 이벤트를 품질부서에 escalation하며, 원본을 어떻게 보존하는지까지 정해야 합니다.

저희 GMPCAT은 전자기록을 별도 IT 과제로 분리하기보다, 시험법 밸리데이션·설비 적격성평가·품질시스템 기록과 연결해 검토 범위를 설계하는 것이 중요하다고 봅니다. 작은 경고 하나가 실제 일탈인지, 정상적인 작업의 흔적인지는 데이터를 만든 공정과 승인 흐름을 함께 볼 때 판단할 수 있습니다.

8. Q. Audit trail review 절차서는 어떤 순서로 설계하나요?

먼저 결과표를 보는 방식에서 벗어나 데이터 생애주기를 그려 봅니다. 시료가 등록되고, 분석 sequence가 만들어지고, 측정값이 취득되며, 계산·재처리·승인·보관으로 이어지는 흐름에서 누가 어떤 권한으로 변경할 수 있는지를 표시합니다. 그다음 변경 이벤트마다 정상 작업인지 예외인지 판정하는 절차와 증적을 정합니다. 이 흐름을 만들면 system마다 화면 이름이 달라도 검토 논리는 일관되게 유지됩니다.

절차에는 검토가 불가능한 시스템 상태도 다뤄야 합니다. 예를 들어 audit trail이 비활성화되었거나 저장공간 부족으로 로그 보존이 흔들렸다면, 단순한 IT 장애가 아니라 해당 기간 데이터의 신뢰성 평가가 필요한 품질사건입니다. 장애 시작·종료 시점, 영향받은 기록, 백업 및 복구기록, 대체 통제, 재발방지 조치를 묶어 판단해야 합니다.

9. Q. 시험자와 QA의 역할을 어떻게 나누나요?

시험자는 자기 작업에서 발생한 재처리·중단·수정의 이유를 원시기록에 즉시 남기고, 승인된 절차 밖의 사건을 보고합니다. 1차 검토자는 분석 흐름과 방법을 아는 사람이 결과와 audit trail을 대조합니다. QA는 배치·제품 품질 판단에 필요한 검토가 정해진 범위로 수행되었는지, 예외가 적절히 조사되고 처분되었는지 독립적으로 확인합니다. 역할을 분리해도 인수인계는 끊기면 안 됩니다. QA가 화면을 읽을 수 없으면 무조건 분석자에게 되돌리는 방식보다, 사건의 기술 설명과 품질 판단을 각각 기록해 연결하는 방식이 바람직합니다.

교육도 시스템 사용법 교육과 data integrity 교육을 구분합니다. 사용법 교육은 버튼·메뉴·로그인 절차를 익히는 것이고, data integrity 교육은 왜 재처리 사유를 남겨야 하는지, 공유 계정이 왜 문제인지, 예상치 못한 이벤트를 언제 escalation해야 하는지를 이해시키는 일입니다. 교육 후에는 단순 출석만 확인하지 말고, 대표적인 이벤트를 주어 검토 범위와 필요한 기록을 판단하게 하는 방식이 도움이 됩니다.

10. Q. 월간 경향검토에서는 무엇을 보나요?

개별 batch review가 정상이어도 월간 또는 분기별로 반복되는 사건을 묶어 보면 다른 신호가 보일 수 있습니다. 특정 method에서 재적분이 늘거나, 특정 user의 manual entry가 집중되거나, administrator 활동이 보전일과 무관하게 반복되는 경우가 그렇습니다. 건수만 비교하지 말고 시험 건수라는 분모, 방법 변경, 신규 장비 도입, 교육·권한 변경 시점을 함께 보아야 합니다.

경향검토의 목표는 사람을 감시하는 것이 아니라 시스템과 절차의 취약점을 찾는 데 있습니다. 동일한 오류가 계속되면 개인의 주의 부족으로만 끝내지 말고 화면 설계, 권한, workflow, 절차 문구, 교육자료 중 무엇이 정상 작업을 어렵게 만드는지 확인하세요. 이렇게 얻은 결과는 CSV 주기검토, 경영검토, 변경관리의 입력값이 될 수 있습니다.

검토 계획이 현장에서 작동하는지 확인하려면 표본점검도 유용합니다. 정기 검토기록에서 임의의 배치와 예외를 골라 실제 audit trail, 원시 데이터, 일탈기록, 승인 전자서명이 서로 같은 사건을 설명하는지 역추적합니다. 이 점검은 형식상 완료된 검토와 실질적으로 충분한 검토를 구분하게 해 줍니다. 발견사항은 단순 문서오류로 닫지 말고 데이터 영향과 절차 개선 필요성을 평가합니다.

핵심 정리

좋은 audit trail review는 모든 로그를 읽는 일이 아니라, 중요한 데이터의 변경 가능성을 놓치지 않고 그 판단을 기록으로 남기는 일입니다. 위험기반 대상 선정, 배치 판단 전 검토, 권한 관리, 예외 조사, CAPA 효과성 확인이 이어질 때 전자기록은 신뢰할 수 있는 품질 근거가 됩니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 적격성평가와 CSV 수행 분야가 공개되어 있습니다. 전자기록 검토 체계를 설비·시험·품질 기록과 연결하는 문서화가 필요하시면 GMPCAT 주요 실적 보기에서 공개된 수행 범위를 확인하실 수 있습니다.

참고 문헌

• FDA, Data Integrity and Compliance With Drug CGMP, Q7
• FDA, 21 CFR Part 11 guidance
• GMPCAT 주요 실적

ISO 14971 의료기기 위험관리: 변경 시 위험관리파일 갱신 실무

1. 변경관리는 승인 절차이고, 위험관리는 품질 판단입니다

의료기기 현장에서 변경은 매우 다양한 얼굴로 들어옵니다. 원자재 공급처의 변경, 사양서 개정, 금형 보수, 펌웨어 수정, 포장재 규격 변경, 세척공정 조정, 시험법 자동화가 모두 변경요청의 대상입니다. 그러나 변경번호를 발급하고 부서 서명을 받았다는 사실만으로 환자·사용자 위험이 관리됐다고 말할 수는 없습니다. 저희 GMPCAT(지캣)이 문서를 검토할 때 가장 먼저 보는 것은 변경이 위험관리파일의 어떤 가정을 흔드는가입니다.

위험관리파일은 한 권의 표가 아니라, 의도된 사용과 합리적으로 예측 가능한 오사용, 위해요인, 위험통제, 검증 증거, 잔여위험 평가, 생산 및 시판 후 정보가 이어지는 근거 묶음입니다. 따라서 변경은 이 연결고리 중 어느 부분을 수정해야 하는지 알려주는 신호입니다. ‘위험 없음’이라는 체크박스를 먼저 채우기보다, 기존 분석의 전제와 데이터가 바뀌었는지를 질문하는 순서가 안전합니다.

위 인용은 ISO 공개 제품 페이지의 범위 설명에서 가져온 짧은 문장입니다. 실제 제품별 적용에는 조직의 위험관리 절차, 적용 규제요건, 사용목적을 함께 반영해야 합니다. 내부 양식의 항목을 기계적으로 복사하면 변경 전후의 차이를 놓치기 쉽습니다.

2. 변경요청을 받으면 먼저 ‘무엇이 달라지는가’를 분해합니다

변경 제목만으로는 영향 범위를 판단할 수 없습니다. 예를 들어 ‘공급처 변경’이라도 재질, 치수, 표면처리, 생체적합성, 세척성, 포장 적합성, 멸균 적합성, 소프트웨어 설정값 가운데 무엇이 동일하고 무엇이 달라지는지에 따라 위험은 달라집니다. 변경요청 단계에서 비교표를 요구하는 이유가 여기에 있습니다.

비교표에는 단지 ‘동일’ 또는 ‘상이’만 쓰지 말고 근거 문서 번호를 붙이세요. 자재가 동일하다는 결론에는 성적서, 물질사양, 변경통지, 필요 시 시험계획이 연결돼야 합니다. 그래야 검토자가 다음 질문을 할 수 있습니다. 이 변경이 기존 위험통제의 성능을 떨어뜨릴 가능성은 있는가? 기존 검증 결과는 변경 후 제품을 대표하는가?

3. 위험분석은 RPN 갱신으로 축소하지 않습니다

변경 영향평가에서 자주 생기는 실수는 기존 FMEA의 점수만 다시 계산하고 종료하는 것입니다. 점수는 우선순위를 돕지만, 새 위해요인이나 통제수단의 의존성을 대신 발견해 주지 않습니다. 기존 위험분석의 행을 하나씩 보며 위해요인, 위험상황, 위해, 통제수단, 검증 증거의 문장을 다시 읽는 편이 효과적입니다.

예를 들어 센서 공급처가 변경된 경우 ‘센서 오차’라는 기존 행의 발생도만 조정할 일이 아닐 수 있습니다. 새로운 응답속도, 장착 허용차, 교정 인터페이스, 고장 시 알람 동작이 위험상황의 시간적 전제를 바꿀 수 있습니다. 이때는 설계입력과 소프트웨어 요구사항, 제조검사 기준, 현장 서비스 절차까지 함께 대조합니다. 변경이 기존 통제를 제거하거나 약화하는지, 새로운 통제가 필요한지, 두 통제 사이에 공백이 생기는지 확인해야 합니다.

4. 위험통제는 선택, 구현, 검증을 분리해 기록합니다

위험통제를 논의할 때 ‘교육을 강화한다’는 문장만 남으면 설계상 위험을 운영 절차에 떠넘기게 될 수 있습니다. 가능한 경우에는 본질안전 설계, 보호수단, 사용정보의 순서로 통제 옵션을 검토하고, 어느 옵션을 선택했는지와 선택하지 않은 이유를 남겨야 합니다. 변경 후에도 같은 통제 계층이 유지되는지 확인하는 일은 특히 중요합니다.

구현 증거와 효과 검증 증거도 구분하세요. 새 인터록이 도면과 소프트웨어에 반영됐다는 것은 구현 증거입니다. 지정된 고장 조건에서 인터록이 위험상황을 방지한다는 시험 결과는 검증 증거입니다. 제조현장에서 관리항목이 추가되었다면, 작업표준서 개정만으로 충분한지, 작업자 자격과 공정 밸리데이션 자료가 필요한지도 따로 판단해야 합니다.

5. 잔여위험은 ‘낮음’ 한 줄로 끝내지 않습니다

위험통제 후에도 남는 위험은 제품별 위험수용 기준과 비교해야 합니다. 이 기준은 변경이 접수된 뒤에 만들면 안 됩니다. 사전에 정한 위험수용 정책, 유사 제품의 정보, 임상적 사용 맥락, 사용자의 숙련도, 경고 문구의 실제 전달 가능성을 함께 고려합니다. 단일 위험의 수용성뿐 아니라 전체 잔여위험을 다시 검토할 필요가 있는지도 판단합니다.

특히 사용설명서 또는 라벨 경고에 의존하던 통제가 변경으로 더 중요해졌다면, 해당 정보가 실제 사용자에게 전달되는 방식까지 검토해야 합니다. 설계변경으로 조립 순서가 달라졌는데 사용정보가 이전 버전 그대로라면, 점수표가 같아도 잔여위험의 성격은 달라질 수 있습니다. 위험관리보고서에는 변경 범위, 검토한 항목, 결론, 미해결 과제와 출시 전 충족 조건을 명확히 남기세요.

6. 검증과 밸리데이션: ‘시험을 했는가’보다 ‘질문에 답했는가’를 봅니다

변경 후 시험 범위는 변경의 크기보다 위험관리 질문에서 출발해야 합니다. 강도 저하가 우려되면 기계적 검증이 필요하고, 새 세척공정이 잔류물에 영향을 줄 수 있으면 세척 밸리데이션의 대표 조건을 다시 정해야 합니다. 사용자 인터페이스 변경이라면 기능시험만으로 충분한지, 사용성 검증이 필요한지 판단합니다. 기존 보고서를 인용할 때도 변경 후 제품·공정·최악조건을 대표하는지 설명해야 합니다.

프로토콜에는 위험관리파일의 행 번호 또는 요구사항 ID를 연결하면 좋습니다. 시험 결과가 통과했다는 말보다, 어느 위해요인의 어느 통제를 확인한 시험인지 명확해집니다. 예상치 못한 결과가 나오면 변경을 일단 되돌릴지, 위험분석을 보완할지, 시험 범위를 넓힐지의 의사결정 기준도 사전에 정합니다. 시험 통과가 곧바로 출시 승인과 같은 뜻은 아닙니다. 문서·교육·공급망·라벨·규제영향의 완료 상태가 함께 확인돼야 합니다.

7. 생산과 시판 후 정보는 변경의 마지막 확인 창입니다

변경 승인은 출시 전 문서검토로 끝나지만, 위험관리의 입력은 생산과 시판 후에도 이어집니다. 변경 적용 lot의 수입검사, 공정불량, 재작업, 서비스 기록, 불만, 반품, 현장 이상경향은 변경 가정이 맞았는지 검토하는 자료입니다. 이 정보가 예상 범위를 벗어나면 CAPA와 위험관리파일 갱신을 연결해야 합니다.

‘변경 후 모니터링’은 막연한 관찰 기간이 아닙니다. 어떤 지표를, 어떤 표본 또는 기간에, 어떤 기준으로 볼지 계획서에 정해야 합니다. 예를 들어 새로운 공급자 자재라면 입고시험·공정수율·불만 유형을, 소프트웨어 변경이라면 오류로그·사용자 문의·알람 이력을 연결할 수 있습니다. 신호가 나타났을 때 위험수용 판단을 재개할 책임자와 보고 경로도 미리 정해 두세요.

8. 회의에서 바로 쓰는 변경 영향평가 흐름

변경심의 회의가 길어지는 이유는 부서마다 다른 단위로 변경을 설명하기 때문입니다. 개발은 도면 차이를, 생산은 작업시간을, 품질은 승인 상태를 이야기하지만 위험관리파일은 위해와 통제의 언어를 사용합니다. 회의 전에 한 장짜리 영향평가 요약표를 준비하면 논의가 훨씬 선명해집니다. 첫 열에는 변경 전후의 사실을, 둘째 열에는 영향받는 위험관리 항목을, 셋째 열에는 유지 또는 추가되는 통제를, 마지막 열에는 출시 전 증거와 책임자를 놓습니다.

이 표의 장점은 ‘위험평가 완료’라는 넓은 표현을 시험 가능한 약속으로 바꾼다는 데 있습니다. 예를 들어 자재 변경의 위해가 추출물 증가라면, 답은 ‘관련 부서 검토’가 아니라 어떤 대표 시료로 어떤 시험을 하고 어떤 기준으로 평가할지여야 합니다. 반대로 기존 데이터로 충분하다고 판단한다면, 그 데이터가 변경 후 제품에 적용되는 이유와 경계조건을 적습니다.

9. 자주 생기는 누락과 바로잡는 방법

첫째, 변경관리 번호와 위험관리파일 개정 이력을 서로 연결하지 않는 경우입니다. 파일의 개정일만 남으면 어떤 변경이 어떤 행을 바꿨는지 추적하기 어렵습니다. 둘째, 시험이 끝난 뒤 위험분석을 고치는 경우입니다. 시험 설계가 실제 위험 질문을 답하지 못하는 문제가 생길 수 있으므로, 위험검토를 프로토콜 승인보다 앞에 둡니다. 셋째, 공정 변경에서 설계 위험만 보고 제조현장의 검사·교육·보전 조건을 누락하는 경우입니다. 통제가 공정에 구현되는 방식까지 확인해야 합니다.

넷째, 제품 출시 후의 정보를 CAPA 문서에서만 보고 위험관리파일에는 반영하지 않는 경우입니다. 불만과 서비스 정보가 위험의 발생 양상이나 통제 효과를 보여 준다면, 정기 위험관리검토의 입력으로 사용해야 합니다. 다섯째, 잔여위험을 ‘수용 가능’으로만 적고 판단근거를 남기지 않는 경우입니다. 승인자는 제품의 사용 맥락과 통제의 한계를 이해할 수 있어야 하므로, 기준과 근거 문서를 함께 남기는 편이 좋습니다.

10. 변경 위험관리파일 갱신 체크리스트

• □ 변경 전후의 제품, 자재, 공정, 소프트웨어, 라벨 차이를 근거문서와 함께 비교했는가?
• □ 관련 위험관리 항목과 설계입력·검증·밸리데이션 기록을 추적성 있게 연결했는가?
• □ 새 위해요인, 위험상황, 통제 공백 가능성을 검토했는가?
• □ 유지·추가·삭제되는 통제수단별 검증 증거를 정했는가?
• □ 단일 및 전체 잔여위험, benefit-risk 판단이 영향을 받는지 평가했는가?
• □ 출시 전 완료해야 할 시험, 문서, 교육, 라벨, 규제영향 항목을 분리했는가?
• □ 변경 후 생산·시판 후 정보를 어떤 지표로 언제 검토할지 정했는가?

위험관리파일은 변경의 걸림돌이 아니라, 변경이 제품 품질과 환자 안전에 미칠 영향을 설명하는 가장 유용한 지도입니다. 저희 GMPCAT은 변경요청, 위험평가, 검증계획, 밸리데이션 증적이 서로 다른 문서에 흩어지지 않도록 추적성 구조를 먼저 설계합니다. 이렇게 하면 승인 회의에서 ‘무엇을 시험했는가’뿐 아니라 ‘어떤 위험 질문에 답했는가’를 명확히 설명할 수 있습니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 제조·시험 설비의 적격성평가와 CSV 수행 분야가 공개되어 있습니다. 의료기기 변경의 위험기반 검토에서도 요구사항·시험·기록의 연결이 필요할 때 GMPCAT 주요 실적 보기에서 공개 수행 분야를 확인하실 수 있습니다.

참고 문헌

• ISO 14971:2019 Medical devices — Application of risk management to medical devices
• FDA, Quality System Regulation
• GMPCAT 주요 실적

FMEA 위험평가: 점수보다 중요한 위험수용 기준과 CAPA 연결

1. FMEA 표가 길어질수록 놓치기 쉬운 질문

현장에서 FMEA 회의를 하면 점수표부터 펼치는 경우가 많습니다. 심각도(S), 발생도(O), 검출도(D)를 정하고 곱한 RPN이 일정 값보다 높으면 조치한다는 방식은 빠르고 익숙합니다. 다만 같은 RPN이라도 위해의 성격은 전혀 다를 수 있습니다. 환자 안전이나 무균성에 직접 닿는 한 번의 실패와, 검출 가능성이 높은 문서 표기 오류를 단순 곱셈 결과만으로 같은 줄에 놓으면 의사결정의 우선순위가 흐려집니다.

RPN은 특히 세 가지 한계가 있습니다. 첫째, 서로 다른 점수 조합이 같은 RPN을 만들 수 있습니다. 둘째, 점수 1점 차이에 실제 위험 차이가 비례한다는 보장이 없습니다. 셋째, 팀마다 ‘발생 가능성 높음’의 해석이 달라지면 숫자가 객관성처럼 보일 뿐 비교 가능성이 없어집니다. 그래서 FMEA는 점수를 만든 뒤 끝나는 문서가 아니라, 위험을 수용할 수 있는지와 어떤 추가 통제가 필요한지를 설명하는 의사결정 기록이어야 합니다.

2. 시작은 점수가 아니라 위험 질문입니다

좋은 FMEA는 ‘무엇이 고장 날 수 있는가’보다 먼저 ‘어떤 품질 결정을 지원하려는가’를 정합니다. 예를 들어 충전라인 변경 후 위험평가라면 질문은 설비 전체의 일반적인 고장이 아니라, 변경한 부품이 충전량·무균성·용기밀봉성·데이터 기록에 어떤 영향을 줄 수 있는가여야 합니다. 질문이 넓으면 행 수만 늘고, 좁으면 중요한 인터페이스를 놓칩니다.

이 단계에서 원자료를 함께 준비하면 추정에 기대는 일을 줄일 수 있습니다. 설비 알람 이력, 환경모니터링 경향, 공정편차, 예방보전 결과, 시험법 검증자료, 공급업체 변경 이력은 모두 점수의 근거가 될 수 있습니다. 반대로 데이터가 없다는 사실도 위험입니다. 데이터 공백을 낮은 발생도로 처리하지 말고, 추가 확인이 필요한 불확실성으로 표시해야 합니다.

3. S·O·D 점수는 공통 언어로 관리합니다

점수 체계가 없으면 회의 참석자의 목소리가 큰 사람이 기준을 정하게 됩니다. 점수 체계는 단순한 1~5 표보다, 각 점수가 무엇을 의미하는지 공정에 맞는 문장으로 정의할 때 유용합니다. 심각도는 제품 품질과 환자 위험에 초점을 두고, 발생도는 막연한 인상보다 해당 조건의 이력과 변경 정도를 반영하며, 검출도는 문제가 발생한 뒤 발견하는 능력이 아니라 위해가 되기 전에 발견·차단할 수 있는 능력으로 정의하는 것이 좋습니다.

점수표는 교육받은 사람만 이해하는 부록이 아니라, 다음 회의의 다른 팀도 재현할 수 있는 기준이어야 합니다. 예를 들어 ‘검출도 4’가 자동기록 검토가 없는 상태인지, 알람은 있으나 독립 검토가 없는 상태인지 명시합니다. 동일한 기준으로 두 명이 개별 평가해 점수가 크게 다르면, 평균을 내기보다 판단 근거가 다른 이유를 토론하는 편이 바람직합니다.

4. 위험수용은 RPN 컷오프보다 먼저 정합니다

위험수용 기준은 ‘RPN 40 미만이면 허용’ 같은 한 줄로 끝내기 어렵습니다. 심각도가 최상위인 위해는 RPN이 낮아도 별도 검토가 필요할 수 있고, 불확실성이 큰 신규공정은 중간 점수라도 추가 정보가 필요할 수 있습니다. 따라서 수용 기준은 적어도 세 갈래로 구분하는 것이 실용적입니다.

1. 즉시 저감 또는 사용중지 검토: 고심각도 위해, 필수 통제 부재, 법규·허가조건 위반 가능성이 있는 경우입니다.
2. 저감조치 후 잔여위험 평가: 공정·설비·절차 통제로 발생도나 검출도를 낮춘 뒤, 실제로 효과가 있는지 확인합니다.
3. 근거 기반 수용 및 모니터링: 현재 통제가 충분하고 잔여위험이 정당화되는 경우에도, 어떤 지표를 어느 주기로 다시 볼지 정합니다.

ICH Q9(R1)는 위험통제를 위험을 낮추거나 수용하기 위한 의사결정으로 설명합니다. 위험수용은 아무 조치도 하지 않는다는 뜻이 아닙니다. 어떤 위해를, 어떤 현행 통제와 근거 때문에, 누가 수용했는지 승인 기록으로 남기고 재검토 조건을 붙이는 결정입니다.

5. CAPA는 FMEA의 ‘조치란’을 채우는 일이 아닙니다

위험통제 조치가 교육, 절차개정, 인터록 추가, 예방보전, 시험 추가 중 무엇이든 조치 완료와 효과성 확인은 구분해야 합니다. 예를 들어 알람 설정값을 바꿨다면 바뀐 값이 실제 위험을 조기에 감지하는지, 작업자 교육을 했다면 후속 수행에서 핵심 동작이 일관되게 지켜지는지, 예방보전 주기를 바꿨다면 관련 편차가 감소하는지 확인할 지표와 기간이 있어야 합니다.

FMEA의 현행통제 항목과 CAPA 시스템을 연결할 때에는 원인, 조치, 잔여위험, 효과성 확인의 문서 번호를 서로 참조하게 합니다. 이 연결이 없으면 다음 위험평가에서 이미 종료된 CAPA를 다시 제안하거나, 반대로 종료되지 않은 위험통제를 현행통제로 잘못 전제하게 됩니다. 저희 GMPCAT은 위험통제 하나마다 ‘누가, 무엇을, 언제까지, 어떤 결과로 효과성을 판단할지’를 실행계획으로 분리해 관리하는 방식을 권합니다.

5-1. 회의에서 바로 쓰는 위험수용 판단 질문

위험수용 회의에서는 ‘RPN이 기준보다 낮은가’만 묻지 말고, 실패모드가 실제로 발생했을 때 가장 먼저 손상될 품질속성이 무엇인지 확인합니다. 다음으로 그 위해가 현재 공정에서 독립적으로 차단되는지, 하나의 사람·센서·기록에만 의존하는지 따져 봅니다. 마지막으로 통제 실패를 알아차리는 시점이 배치 처분 전인지, 제품이 시장에 나간 뒤인지까지 연결하면 숫자 뒤에 있던 위험의 차이가 드러납니다.

이 질문은 고심각도 항목을 놓치지 않게 할 뿐 아니라, 불필요하게 큰 CAPA를 피하는 데도 도움이 됩니다. 이미 견고한 자동 차단과 독립 검토가 있고 데이터로 유효성이 뒷받침된다면, 동일한 위험을 단순히 ‘높다’고만 적는 대신 잔여위험 수용의 근거를 명료하게 만들 수 있습니다. 반대로 검출만 있고 예방 통제가 없다면 최종시험 결과가 좋더라도 예방 중심의 보강을 검토해야 합니다.

6. 변경관리에서 FMEA를 다시 여는 기준

FMEA는 승인일에 고정되는 문서가 아닙니다. 원료 공급처, 자동제어 로직, 세척방법, 적재 패턴, 분석방법, 작업자 개입처럼 원래 가정에 영향을 주는 변경이 생기면 적용 범위를 다시 봐야 합니다. 모든 변경에서 전체 FMEA를 새로 작성할 필요는 없지만, 변경된 단계와 그 인터페이스가 기존 실패모드·통제·수용근거를 무너뜨리는지 확인해야 합니다.

재평가 범위를 정할 때에는 변경 대상 하나만 보지 말고 전후 공정의 연결부를 확인합니다. 예를 들어 센서 교체는 계측기 사양만의 문제가 아니라 경보 로직, 전자기록, 교정주기, 알람 대응 절차까지 영향을 줄 수 있습니다. 새로운 세척제가 도입되면 세척성뿐 아니라 잔류물 시험, 작업자 노출, 자재 적합성, 변경 후 샘플링 계획을 함께 검토해야 합니다. 이때 기존 FMEA 행을 수정한 이유와 추가·삭제한 실패모드를 변경관리 기록에 연결해 두면, 다음 재평가에서 판단이 훨씬 투명해집니다.

재평가의 시작 신호는 변경관리만이 아닙니다. 반복 일탈, 예상치 못한 경향, 새로운 규제 요구, CAPA 효과성 미흡, 신규 데이터 축적도 FMEA의 점수를 다시 읽을 근거가 됩니다. 특히 이전에 ‘발생 가능성이 낮다’고 평가한 항목에서 반복 신호가 나타난다면, 원래 점수보다 먼저 데이터 출처와 현행 통제가 여전히 유효한지 확인하세요.

정기 품질검토에서는 위험이 낮다는 결론만 재확인하지 말고, 당시 수용 판단의 전제가 유지되는지도 확인합니다. 생산량·작업조·원료 lot·공정시간이 달라졌거나, 모니터링의 결측이 늘었다면 기존 점수의 근거가 약해질 수 있습니다. FMEA 개정 이력에 재검토 사유와 결론을 남기면, 시간이 지나도 위험수용의 맥락을 설명할 수 있습니다.

6-1. FMEA 기록을 실제 의사결정에 쓰는 방법

FMEA 결과는 승인용 표 한 장으로 보관하기보다, 변경관리의 영향평가와 밸리데이션 계획에 직접 연결해야 합니다. 고위험 또는 불확실성이 큰 항목은 IQ·OQ·PQ 중 어느 단계에서 어떤 시험으로 확인할지 정하고, 중간 위험은 일상 모니터링·독립검토·정기 경향분석 중 어떤 방식으로 관리할지 정합니다. 이 연결이 없으면 위험평가에는 필요한 시험이라고 쓰였지만 실제 프로토콜에는 반영되지 않는 간극이 생길 수 있습니다.

회의록에는 최종 RPN뿐 아니라 의견이 갈린 항목과 그 결론에 이른 근거를 간략히 남기는 것이 좋습니다. 예를 들어 발생도에 대한 이력이 부족했다면, 낮은 점수를 선택하기보다 추가 데이터 수집 계획과 재검토 기한을 기록합니다. 현장 자료가 새로 쌓인 뒤에는 원래 가정을 수정할 수 있어야 합니다. 이렇게 하면 FMEA는 누군가의 경험을 숫자로 옮긴 문서가 아니라, 새 데이터가 들어올 때마다 품질 의사결정을 갱신하는 살아 있는 관리도구가 됩니다.

• □ 위험 질문·공정 범위·팀 역할이 명확한가?
• □ S/O/D 판단마다 관찰자료 또는 합리적 가정이 남아 있는가?
• □ 고심각도 위해를 RPN과 별도로 검토했는가?
• □ 위험수용 결정에 승인자·근거·재검토 조건이 있는가?
• □ 조치완료와 CAPA 효과성 확인의 증거를 구분했는가?
• □ 변경·일탈·추세와 위험평가 문서번호를 연결했는가?

핵심 정리

FMEA의 목적은 낮은 숫자를 만드는 일이 아니라, 품질 위험을 같은 기준으로 토론하고 필요한 통제를 끝까지 실행하는 데 있습니다. RPN은 유용한 신호이지만 고심각도 위해, 불확실성, 현행 통제의 신뢰성을 대신 판단하지 않습니다. 위험수용 기준을 먼저 세우고, 통제조치의 효과를 데이터로 확인하며, 변경과 경향에 따라 다시 평가할 때 FMEA는 표가 아니라 품질시스템의 의사결정 도구가 됩니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 중요 생산설비 적격성평가와 CSV 수행 분야가 공개되어 있습니다. 위험기반 밸리데이션 문서의 범위 설정과 적격성평가 체계가 필요하시면 GMPCAT 주요 실적 보기에서 공개된 수행 분야를 확인하실 수 있습니다.

참고 문헌

• ICH Q9(R1), Quality Risk Management, Sections 4.2.2 and 5.3
• ICH Quality Risk Management guideline portal
• GMPCAT 주요 실적

바이알 충전 라인 Changeover: Line Clearance와 교차오염 방지

1. Changeover를 ‘청소 완료’로 끝내면 생기는 공백

바이알 충전 라인에서는 바이알, 고무전, 알루미늄 캡, 라벨, 인쇄자재, 충전 니들, 가이드 레일, 스타휠처럼 작은 부품 하나도 다음 품목의 식별과 품질에 영향을 줄 수 있습니다. 전환 중에 남은 바이알이나 캡이 발견되면 단순 정리 미흡으로 치부하기 쉽지만, 실제로는 혼입·혼동·수량 불일치·기록 불일치가 어디까지 확장될 수 있는지 먼저 판단해야 합니다. 무균구역에서는 불필요한 재진입과 재작업 자체가 오염 위험도 키웁니다.

저희 GMPCAT(지캣)은 line clearance를 마지막 사람이 서명하는 한 장의 체크리스트가 아니라, 전환 전 위험평가와 전환 후 독립 확인을 잇는 흐름으로 봅니다. 품목이 바뀔 때 달라지는 부품, 충전량, 충전 속도, stopper·cap 규격, 배치기록 양식, 전자 레시피와 IPC 한계가 무엇인지 먼저 목록화해야 합니다. 그래야 ‘남아 있지 않다’는 확인과 ‘다음 품목으로 맞게 준비됐다’는 확인을 서로 분리해 입증할 수 있습니다.

2. 공식 GMP 원칙: 오염·교차오염 위험을 만들지 않는 취급

이 원칙은 품목 전환 시 자재 보관함만 바꾸라는 뜻이 아닙니다. 개방된 제품접촉부, RABS 글러브, 트레이와 도구, 이송 중인 부품, 소프트웨어 레시피까지 오염과 혼동의 경로가 되지 않게 통제하라는 요구입니다. Annex 1에는 작업 종료 후 clean-up period와 line clearance/cleaning 활동도 언급되어 있습니다. 따라서 전환 시간을 줄이기 위해 점검 단계를 생략하기보다, 전환 활동을 사전에 표준화해 불필요한 동작을 줄이는 접근이 적절합니다.

3. 전환 범위를 네 개의 구역으로 쪼개기

이 구분이 없으면 설비 청소는 완료됐는데 이전 품목의 라벨 롤이 포장 구역에 남거나, 충전 부품은 맞는데 전자 레시피가 이전 규격으로 남는 식의 공백이 생깁니다. 각 구역의 완료 기준과 확인자를 전환 계획서에 명확히 두세요. 특히 물리적 확인을 수행한 사람과 다음 품목 설정값을 승인하는 사람의 역할을 완전히 같은 사람에게 맡길지, 독립 확인을 둘지는 공정 위험도와 절차에 따라 정해야 합니다.

4. RABS 내부 전환: ‘깨끗해 보임’보다 동선이 중요합니다

RABS 내부는 접근 횟수 자체가 관리 대상입니다. 전 품목 부품을 회수하고 다음 부품을 들이는 과정에서 문을 여는 횟수, 글러브로 다루는 범위, 소독제 접촉시간, 물품의 이동 경로가 사전에 정해져 있어야 합니다. 현장에서 자주 생기는 문제는 필요한 도구가 뒤늦게 발견되어 추가 개입이 생기는 경우입니다. 전환 킷을 품목별로 구성하고, 반입 전 구성품을 외부에서 대조하면 RABS 안에서의 탐색 동작을 줄일 수 있습니다.

RABS 내부의 line clearance는 잔류 부품을 찾는 데만 머물지 않습니다. 전 작업에서 사용한 도구·폐기물·보호재가 모두 제거됐는지, 다음 작업에 필요한 멸균 부품의 포장 상태와 유효기간이 적절한지, 필요한 개입이 작업표준서와 동적 기류가시화에서 평가된 동작 범위 안에 있는지를 함께 봐야 합니다. 새로운 전환 동작이 추가되거나 개입 시간이 길어졌다면, 단순 교육으로 끝낼 일이 아니라 CCS와 적격성평가 자료에 미치는 영향을 검토해야 합니다.

5. 자재·문서·레시피는 서로 다른 방식으로 대조합니다

자재 대조는 품명만 보는 작업이 아닙니다. 품목 코드, 규격, lot, 상태, 수량, 사용 가능 여부를 대상으로 합니다. 전환 전 회수 수량과 전환 후 투입 수량이 비정상적으로 맞아 보이는 경우에는 손실·폐기·샘플링·불량 분류 기록을 포함해 이유를 연결해야 합니다. 특히 유사한 외관의 stopper나 cap은 보관 위치를 분리하고, 한 번에 한 품목만 열어 두는 물리적 통제가 실수 방지에 효과적입니다.

문서 대조에서는 현재 배치기록의 개정번호, 라벨 문구, IPC 양식, 검체 채취 계획을 확인합니다. 전자 레시피는 제품 코드만 바뀌었다고 승인하지 말고 충전량 목표·허용범위, 펌프 속도, 알람 한계, 인터록, 시간 설정이 승인된 master와 일치하는지 확인해야 합니다. 레시피 이름이 맞아도 이전 시험 설정이 남아 있을 수 있으므로, 핵심 파라미터 목록을 독립적으로 대조하는 방식이 더 견고합니다.

6. Line clearance 부적합이 발견됐을 때의 판단 순서

잔류 라벨, 미확인 부품, 잘못된 레시피, 서명 누락을 발견하면 먼저 즉시 통제합니다. 라인의 시작 여부, 영향을 받을 수 있는 배치·자재·시간대를 분명히 하고, 해당 품목의 사용을 보류합니다. 다음으로 발견 사실을 원형 그대로 기록합니다. 발견 뒤 현장을 정리해 버리면 실제 잔류 위치와 상태, 누가 언제 확인했는지의 중요한 단서가 사라질 수 있습니다.

조사에서는 ‘누가 놓쳤는가’보다 통제가 왜 작동하지 않았는가를 봅니다. 체크리스트 항목이 모호했는지, 전환 킷이 유사했는지, 자재 회수와 독립 확인이 동시에 몰렸는지, 레시피 대조 항목이 제품 코드에만 머물렀는지, RABS 전환 동선이 실제 작업을 반영하지 못했는지를 검토하세요. 재교육은 하나의 조치일 수 있지만, 원인이 절차 설계나 자재 식별 체계라면 교육만으로 CAPA를 닫으면 안 됩니다.

1. 통제: 라인 상태표지, 자재 격리, 진행 중 배치 범위 확인
2. 사실 보존: 위치·수량·상태·사진 또는 독립 관찰 기록
3. 영향평가: 제품·포장·기록·전자 설정·오염관리 영향 구분
4. 원인 분석: 절차, 사람, 자재, 설비, 소프트웨어, 환경별 가설 검토
5. 효과성 확인: 후속 전환에서 새 통제가 실제로 작동하는지 계획된 증적으로 확인

7. 전환 검증을 일상 운영과 연결하는 방법

신규 품목, 새로운 부품, RABS 내부 동선 변경, 전자 레시피 개정은 전환 절차의 적용 범위를 바꿀 수 있습니다. 이때는 변경관리를 열어 영향을 받는 문서, 교육, 기류가시화, 무균공정 시뮬레이션, 세척·소독, 컴퓨터화 시스템 검증 요소를 검토합니다. 모든 변경이 재적격성평가를 요구하는 것은 아니지만, 이유 없이 과거 전환 결과를 그대로 적용하는 것도 바람직하지 않습니다.

전환 자체의 성과지표는 시간 단축 하나가 아닙니다. 잔류 자재 발견 건수, 독립 확인 보완 건수, 재진입 횟수, 레시피 대조 오류, 전환 관련 일탈과 CAPA 재발 여부를 함께 보세요. 지표가 늘었다고 즉시 절차를 느슨하게 바꾸기보다, 변화가 진짜 신호인지 데이터 품질과 생산계획 변화를 함께 해석해야 합니다. 좋은 전환 절차는 점검을 많이 요구하는 절차가 아니라, 오류가 발생하기 전에 경계를 명확히 보이게 하는 절차입니다.

8. 현장 체크리스트

8. 전환 계획서에 먼저 적어 둘 질문

품목 전환이 시작된 뒤에 점검 범위를 정하면 작업자마다 확인 깊이가 달라집니다. 전환 계획서에는 전 품목과 다음 품목의 공통 부품·전용 부품을 구분하고, 청소 대상과 단순 교체 대상을 구분해 둡니다. 예를 들어 충전 니들·튜빙·호퍼처럼 제품과 직접 접촉하는 부품은 상태와 세척·멸균 이력을 우선 확인하고, 가이드 레일이나 스타휠처럼 규격에 맞춰 바뀌는 부품은 품번과 조립 방향을 중점적으로 대조합니다. 같은 부품을 재사용한다는 이유만으로 이전 품목의 경계가 사라지는 것은 아닙니다.

또한 품목별 위험 차이를 계획서에 표시하세요. 고활성 또는 감작성 원료, 외관이 유사한 용기·전·캡, 라벨 문구가 비슷한 제품, 충전량 차이가 작은 제품은 혼동 가능성이 높습니다. 이 경우 자재 반입 순서, 한 품목만 개방하는 원칙, 독립 확인 시점, 보류 상태 표지 같은 통제를 강화할 근거가 생깁니다. 위험이 낮은 전환이라도 기록의 일관성은 유지해야 하며, 위험평가 결과를 근거 없이 ‘간편 전환’의 허가처럼 사용해서는 안 됩니다.

9. 전자기록은 종이 체크리스트를 대체하지 않습니다

자동화된 충전 설비에서는 전자 레시피가 잘못 선택돼도 화면상 제품명만으로는 이상을 알아차리기 어렵습니다. 레시피 불러오기, 파라미터 변경, 알람 승인, 사용자 전환은 audit trail에 남을 수 있지만, 기록이 남는다는 사실이 그 설정이 올바르다는 뜻은 아닙니다. 전환 확인자는 audit trail을 사후에 읽는 역할과, 시작 전 승인 master를 대조하는 역할을 구분해야 합니다. 특히 임시 조정값이 다음 생산으로 이월되지 않도록 세션 종료·권한·백업 절차를 확인합니다.

종이 기록도 같은 원칙이 적용됩니다. 이전 배치기록의 빈 페이지, 라벨, 메모지가 다음 배치 문서와 섞이지 않게 회수하고, 손으로 작성한 수정은 절차에 맞는 사유와 서명이 있어야 합니다. 양식 개정이 있는 전환이라면 현장에서 구버전 양식이 남아 있지 않은지 확인하세요. 물리적 line clearance와 문서 line clearance를 별개의 완결 조건으로 두면, 누군가가 다른 영역의 완료를 근거로 조기에 생산을 시작하는 일을 줄일 수 있습니다.

10. 시작 승인 직전의 짧은 회의가 만드는 차이

다음 품목을 가동하기 전에는 생산, QA, 엔지니어링, 미생물 또는 밸리데이션 담당자가 필요한 범위에서 전환 상태를 한 번 정렬하는 것이 좋습니다. 이 회의는 길게 진행할 필요가 없습니다. 남은 open item, RABS 내부 추가 개입 여부, 설비 경보·보전 이력, 자재 상태, 전자 레시피 대조 완료, 최초 IPC 계획을 짧게 공유하는 방식이면 충분합니다. 핵심은 누가 무엇을 보고 시작을 승인했는지와, 미결 항목이 있다면 어떤 조건으로 보류됐는지를 기록으로 남기는 데 있습니다.

시작 직후의 첫 바이알, 첫 stopper, 첫 cap은 단순 시운전 결과가 아니라 전환 통제가 의도대로 적용됐는지 확인할 수 있는 초기 관찰 기회입니다. 최초 IPC와 외관 점검, 라벨·수량 대조, 설비 알람 상태를 시작 승인과 연결하면 line clearance가 과거형 서류로 끝나지 않습니다. 단, 초기 결과가 정상이라고 해서 전환 중 확인되지 않은 잔류물이나 기록 누락을 소급해 해소할 수는 없습니다. 발견된 사실은 그 자체로 평가하고, 생산 결과는 영향평가의 한 입력으로만 사용해야 합니다.

• □ 전 품목의 자재·라벨·문서·전자 세션이 모두 회수 또는 종료됐는가?
• □ 충전기·컨베이어·캡핑부·검사부의 숨은 공간까지 점검 범위가 정의됐는가?
• □ RABS 내부 반입·반출·소독 동작이 승인된 절차 및 기류가시화 범위와 일치하는가?
• □ 다음 품목의 부품 kit, 제품접촉면 상태, 멸균 포장 및 유효기간을 대조했는가?
• □ 충전량, 속도, 알람, 인터록, IPC 한계를 승인 master와 독립 대조했는가?
• □ 물리적 line clearance와 문서·전자기록 확인의 책임과 서명 순서가 분명한가?
• □ 부적합 시 중지·격리·영향평가·재개 권한이 절차에 정의됐는가?

충전 라인의 품목 전환은 다음 배치를 빠르게 시작하기 위한 준비가 아니라, 이전 배치의 경계를 완전히 닫는 일에서 출발합니다. 잔류물, 자재, 레시피, 작업자 동선의 네 가지 경계를 같은 기준으로 관리하면 line clearance는 감사용 서명이 아니라 무균공정의 예방 통제가 됩니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 RABS가 포함된 바이알 충전기·동결건조기·바이알 캡핑기 적격성평가와, 중요 생산설비 적격성평가 항목이 공개되어 있습니다. 설비와 업무 범위에 맞춘 적격성평가 문서화가 필요하시면 GMPCAT 주요 실적 보기에서 수행 분야를 확인하실 수 있습니다.

참고 문헌

• European Commission, EU GMP Annex 1, 5.10
• GMPCAT 주요 실적

Autoclave 건조 불량: 진공·적재·포장재 원인조사

1. 멸균이 끝났는데 왜 건조 상태를 다시 봐야 할까요?

현장에서는 온도·압력 기록이 허용범위 안에 있고 화학적 지시계도 정상이라면, 부하의 젖음을 사소한 현상으로 취급하기 쉽습니다. 그러나 다공성 포장재나 멸균 포장 시스템은 멸균이 끝난 뒤에도 무균 상태를 유지하는 보호장벽입니다. 물기가 남으면 취급 중 포장재 강도와 미생물 차단성에 영향을 줄 수 있고, 작업자가 습기를 닦거나 부하를 다시 정리하는 과정 자체가 불필요한 개입이 될 수 있습니다.

따라서 wet load는 ‘멸균 실패’라는 결론을 즉시 뜻하지도, 단순 외관 이상으로 종결할 수도 없습니다. 어느 위치가 얼마나 젖었는지, 어떤 적재와 포장 시스템에서 반복되는지, 사이클의 진공·건조 단계가 평소와 달랐는지를 함께 읽어야 합니다. 특히 멸균 대상이 제조용 기구, 부품, 포장된 자재처럼 다음 공정에서 무균 상태를 전제로 사용되는 경우에는 부하 적합성 평가가 우선되어야 합니다.

2. 조사 시작점은 ‘젖었다’가 아니라 젖음의 지도입니다

조사 기록에 ‘포장 젖음’ 한 줄만 남으면 설비팀·생산팀·QA가 서로 다른 현상을 떠올리게 됩니다. 문을 열자마자 챔버 바닥에 고인 물인지, 트레이 하부의 국부 응축인지, 멸균 포장지 전체의 습윤인지, 밀폐 용기 외면의 물방울인지에 따라 우선 가설이 달라집니다. 처음 관찰한 작업자는 건조시간이 끝난 직후의 사진, 랙 위치, 적재 순서, 포장재 로트, 부하 구성과 개수, 습윤 면적을 같은 양식에 남기는 것이 좋습니다.

이 분류는 책임을 가르는 표가 아니라, 불필요한 재시험을 줄이는 도구입니다. 동일 사이클에서 정상인 포장과 젖은 포장이 섞여 있다면 사이클 전체의 값만 보는 것보다 위치·포장·적재 차이를 우선 비교하는 편이 효율적입니다. 반대로 모든 부하가 고르게 젖었다면 유틸리티나 진공성능, 건조 설정 등 공통 인자를 먼저 확인합니다.

3. 진공 단계는 숫자 하나가 아니라 시간 흐름으로 읽습니다

다공성 부하의 건조는 단순히 높은 온도로 말리는 과정이 아닙니다. 멸균 후 배출되는 증기와 응축수, 진공에 의한 수분 제거, 허용된 공기 유입과 냉각이 연결됩니다. 그래서 최종 진공값만 이전 배치와 비교하면 원인을 놓칠 수 있습니다. 진공 도달 시간, 펄스 횟수, 각 plateau의 유지시간, 진공 해제 시점, 건조 종료 전후의 압력 변화와 함께 검토해야 합니다.

진공 도달이 평소보다 늦어졌다면 챔버 도어 가스켓, 밸브 시트, 배관 연결부, 진공펌프 성능, 배기 필터, 제어 밸브의 개폐 순서를 확인합니다. 다만 누설시험이 통과했다는 사실만으로 실제 부하가 포함된 건조 성능을 모두 설명하지는 못합니다. 빈 챔버 누설시험은 설비 기밀성의 한 근거이고, 실제 적재 상태의 건조성은 적재·포장·응축수 조건까지 포함한 별도 성능 관찰입니다.

4. 증기와 응축수: ‘젖음’이 반드시 증기 품질 문제는 아닙니다

건조 불량을 만나면 증기가 과도하게 습하다고 단정하는 경우가 있습니다. 실제로 스팀 공급 상태, 응축수 배출, 드레인 온도, 트랩 기능은 중요합니다. 그러나 wet load는 포장재 사이의 빈 공간 부족, 랙 하부 배수 방해, 차가운 금속 표면에서의 재응축처럼 부하 쪽 요인으로도 발생합니다. 원인조사는 steam quality 성적서만 재확인하는 방식보다, 해당 사이클의 스팀 공급·챔버 드레인·부하 배치 자료를 같은 시간축에 놓는 방식이 낫습니다.

먼저 드레인 스트레이너와 배수 라인의 이물, 스팀 트랩 작동, 챔버 바닥·랙의 배수 경로, 배관 보온 손상이나 저점부의 응축수 축적을 점검합니다. 그 다음 같은 시점의 공급 압력 변동, 다수 사용점 동시 사용, 스팀 발생기 운전 상태를 비교합니다. 보전작업 직후 또는 장기간 정지 후 재가동한 설비라면 변경관리와 연결하여 영향받은 부하 범위를 정해야 합니다.

EU GMP Annex 1은 모든 멸균 공정에 대해 검증된 적재 패턴을 두고 최소·최대 부하를 고려하도록 요구합니다. 이는 멸균 온도 도달만이 아니라 실제 운전에서 반복 가능한 부하 상태를 설정하라는 뜻입니다. Annex 1, 8.38의 적재 패턴 원칙을 건조 상태 기록과 연결해 두면, 어느 구성에서 위험이 커지는지 훨씬 빨리 찾을 수 있습니다.

5. 적재 패턴: 같은 개수라도 같은 부하는 아닙니다

부하 개수만 같으면 같은 적재라고 생각하기 쉽지만, 포장된 기구의 면적, 트레이의 겹침, 랙의 높이, 물이 빠질 방향, 포장재끼리의 접촉 면적이 달라지면 증기 응축과 건조 경로가 달라집니다. 특히 직물류·다공성 포장재·복잡한 기구가 섞인 부하는 물을 머금거나 배수 경로가 막힐 가능성이 큽니다. 최대 부하 검증 때 사용한 배치 사진과 실제 현장 적재를 비교할 수 있도록 랙 구획·방향·상한을 작업표준서에 시각적으로 표시하는 방법이 유용합니다.

6. 포장재는 멸균 매체와 건조 조건을 함께 통과해야 합니다

포장재 변경은 겉보기에는 구매 변경처럼 보이지만, 증기 침투·공기 제거·건조·보호장벽과 연결됩니다. 종이의 평량, 부직포 구조, 파우치 재질, 이중 포장 방식, 테이프 사용량, 포장 내 기구의 표면적은 수분 거동을 바꿀 수 있습니다. 포장재가 젖었을 때에는 자재 로트나 공급업체만 확인하는 데 그치지 말고, 같은 포장재가 다른 멸균기 또는 다른 적재에서 정상인지 비교하세요.

새 포장 시스템을 도입하거나 이중 포장 방법을 바꿀 때는 변경 전후 부하의 열전달과 건조 상태를 계획적으로 비교하는 것이 좋습니다. 이때 ‘마른 것처럼 보인다’는 주관적 판단을 줄이기 위해, 관찰 위치·판정 시점·사진 촬영 방식·포장 손상 여부를 프로토콜에 정해 둡니다. 포장재가 젖은 상태에서 건조대나 작업대 위에 장시간 두어 자연 건조시키는 조치는 원래 상태의 적합성을 입증하지 못하므로, 임시 조치와 최종 처분을 분리해 기록해야 합니다.

7. 일탈이 발생했을 때의 조사 순서

1. 즉시 격리: 젖은 품목과 동일 부하를 식별하고, 사용·이동 상태와 다음 공정 투입 여부를 확인합니다.
2. 관찰 보존: 젖음 위치·면적·포장 손상·챔버 내 위치를 사진과 부하도에 남깁니다. 관찰 후 닦거나 재배치한 사실도 기록합니다.
3. 사이클 검토: 시간·온도·압력·진공·건조 단계와 경보, 차트의 특이점을 해당 설비의 과거 정상 사이클과 비교합니다.
4. 설비·유틸리티 확인: 드레인, 트랩, 가스켓, 진공펌프, 밸브, 스팀 공급과 최근 보전·변경을 확인합니다.
5. 부하·포장 검토: 수량, 방향, 랙 위치, 포장재, 용기 형상, 최대·최소 부하 검증 범위와의 차이를 찾습니다.
6. 영향 및 CAPA: 제품·자재의 사용 적합성 판단과 함께, 원인 가설별로 재시험 또는 재적격성평가의 필요성을 정합니다.

재시험은 유용하지만, 처음 wet load가 발생한 이유를 대신 설명하지는 않습니다. 예를 들어 재적재 후 정상 건조가 확인되었다면 적재 영향의 가설을 지지할 수 있지만, 최초 적재가 왜 검증 범위를 벗어났는지와 교육·표준서·시각적 가이드의 보완 여부까지 정리해야 합니다. 반대로 설비 인자가 의심되면 임의로 운전조건을 바꾸기 전에 변경관리와 적격성평가 전략을 세워야 합니다.

7-1. 제품 영향평가에서 빠뜨리기 쉬운 질문

영향평가는 ‘온도 기록이 정상이었는가’와 ‘포장재가 젖었는가’를 각각 따로 적는 데서 멈추면 안 됩니다. 해당 품목이 멸균 직후 어떤 구역으로 이동했는지, 포장 장벽이 손상되었는지, 젖은 상태로 보관·운반되었는지, 이후 공정에서 개봉되기 전까지 어떤 통제가 있었는지를 시간순으로 재구성해야 합니다. 멸균된 기구가 다음 무균공정에 투입되는 경우라면, 동일 부하의 다른 품목도 같은 취급 조건에 있었는지를 함께 확인해야 합니다.

특히 현장에서 자주 생기는 오해는 ‘습기는 눈에 보였으니 품질 영향도 명확하다’ 또는 반대로 ‘외포장만 젖었으니 문제없다’는 두 극단입니다. 보호장벽 시스템의 적합성은 포장 구성과 습윤 정도, 취급 과정, 사내 절차서의 승인 기준을 함께 고려해야 합니다. 조사자는 관찰값과 처분결정을 분리하고, 처분결정에는 적용한 절차·위험평가·QA 승인 근거를 명확히 남겨야 합니다.

7-2. 정상 사이클과 비교할 때의 데이터 표

데이터 비교는 평균 사이클 하나와의 대조보다, 같은 대표 부하를 사용한 최근 정상 사이클 여러 건을 기준군으로 두는 편이 좋습니다. 설비는 계절·스팀 사용량·보전 후 상태에 따라 작은 차이를 보일 수 있기 때문입니다. 조사표에는 단순 합격·불합격뿐 아니라 시간 차이와 조건 차이를 기록하세요. 그래야 다음에 유사한 현상이 생겼을 때 원인 가설을 다시 처음부터 만들지 않아도 됩니다.

이 표는 조사 보고서의 부록으로도 유용합니다. 정상 기준군의 선택 이유, 제외한 사이클과 그 이유, 원자료의 저장 위치를 함께 적으면 비교의 신뢰성이 높아집니다. 설비 로그의 시간대와 작업자가 기록한 적재 사진의 시간대가 어긋나지 않도록 확인하는 것도 중요합니다. 데이터가 완전할수록 원인조사는 특정 부서의 의견이 아니라 검증 가능한 판단이 됩니다.

8. CAPA와 재적격성평가를 연결하는 기준

CAPA는 ‘건조시간 5분 추가’처럼 조치 하나를 적는 문서가 아니라, 원인과 효과성 확인을 연결하는 체계입니다. 적재 가이드가 부족했다면 표준 적재 사진·최대 높이 표시·작업자 교육 뒤 대표 부하에서 건조상태를 확인하는 계획이 필요합니다. 드레인이나 진공부품을 교체했다면 교체 범위와 멸균기 운전 데이터, 필요한 경우 적재된 부하 성능을 함께 평가해야 합니다.

저희 GMPCAT은 고압증기 멸균기 PQ 및 Steam Quality Test가 공개된 수행 범위처럼, 설비의 유틸리티 상태와 실제 공정 성능을 분리하지 않고 문서화하는 방식을 중요하게 봅니다. 다만 각 설비의 변경 범위와 승인된 프로토콜에 따라 필요한 시험은 달라집니다. 반복되는 wet load는 단발성 외관 이슈가 아니라, 적재 패턴·건조 단계·설비 상태의 검증 범위를 다시 확인하라는 신호로 다루는 편이 안전합니다.

현장 체크리스트

• □ 젖음의 위치와 랙·포장·용기 방향을 사진으로 남겼는가?
• □ 부하 수량뿐 아니라 실제 적재 간격·중량·흡수성을 검증 부하와 비교했는가?
• □ 진공 도달 시간, 건조 단계, 드레인·압력 추세를 정상 사이클과 비교했는가?
• □ 포장재 변경·보전·배관 변경·장기 정지 후 재가동 이력을 확인했는가?
• □ 젖은 품목의 사용 적합성 및 영향 범위를 QA 승인 흐름으로 판단했는가?
• □ CAPA의 효과성 확인을 후속 부하와 사전 정의한 지표로 확인할 계획이 있는가?

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 고압증기 멸균기 PQ와 Steam Quality Test 수행 항목이 공개되어 있습니다. 설비·적재 조건에 맞춘 적격성평가 범위와 문서화가 필요하시면 GMPCAT 주요 실적 보기에서 관련 수행 분야를 확인하실 수 있습니다.

참고 문헌

• European Commission, EU GMP Annex 1, 8.35–8.40 및 8.56–8.58
• European Commission, EudraLex Volume 4
• GMPCAT 주요 실적

오염관리전략(CCS) 재직자가 가장 궁금해하는 질문 Best 10: 무엇을 담고 어떻게 유지하나

Q1. 오염관리전략(CCS)은 정확히 무엇인가요?

가장 먼저 받는 질문입니다. CCS를 "새로 만들어야 하는 또 하나의 SOP" 정도로 받아들이는 분이 많은데, Annex 1의 정의를 보면 성격이 조금 다릅니다. 용어집(Glossary)은 CCS를 이렇게 정의합니다.

"Contamination Control Strategy (CCS) – A planned set of controls for microorganisms, endotoxin/pyrogen and particles, derived from current product and process understanding that assures process performance and product quality."
출처: EU GMP Annex 1 (2022), Glossary

핵심은 '계획된 관리 수단의 집합'과 '제품·공정 이해에서 도출'이라는 두 구절입니다. 정의 뒤에는 관리 수단이 원료·부자재, 시설과 설비 운전 조건, 공정 중 관리, 완제품 규격, 모니터링 방법과 빈도까지 포함할 수 있다고 적혀 있습니다. 즉 청정실 등급이나 소독제 목록을 나열하는 문서가 아니라, "우리 제품과 공정에서 오염이 들어올 수 있는 경로가 어디이고, 그 경로마다 어떤 관리가 걸려 있으며, 그 관리가 실제로 효과가 있다는 걸 어떻게 아는가"를 한 눈에 보여 주는 문서에 가깝습니다.

본문 Section 2.3은 한 걸음 더 나아갑니다.

"A Contamination Control Strategy (CCS) should be implemented across the facility in order to define all critical control points and assess the effectiveness of all the controls (design, procedural, technical and organisational) and monitoring measures employed to manage risks to medicinal product quality and safety."
출처: EU GMP Annex 1 (2022), Section 2.3

여기서 눈여겨볼 단어가 '구현(implemented)'입니다. 문서를 한 권 만들어 두는 것으로 끝나는 게 아니라, 시설 전체에서 실제로 돌아가고 있어야 한다는 뜻으로 읽힙니다. 또 관리의 종류를 설계·절차·기술·조직 네 가지로 나눈 점도 실무에서 유용합니다. 예를 들어 같은 오염 경로라도 "RABS 도입"(설계·기술), "개입 절차 SOP"(절차), "작업자 자격 인정 체계"(조직)가 겹겹이 걸려 있는지 볼 수 있기 때문입니다.

현장에서 자주 틀리는 점: CCS를 청정실 관리 SOP의 상위 개요 정도로 쓰고 끝내는 경우가 많습니다. 그러면 정의에 있는 "제품 및 공정 이해에서 도출"이라는 부분, 즉 왜 그 관리 수준이 그 제품에 적절한지에 대한 근거가 빠집니다. 관리 수단만 있고 근거와 효과성 평가가 없는 문서는 CCS라기보다 목록에 가깝습니다.

Q2. CCS에는 어떤 요소를 담아야 하나요? (Annex 1 Section 2.5)

Section 2.5가 CCS에서 고려할 요소를 열거하고 있습니다. 원문은 "Elements to be considered within a CCS should include (but are not limited to)"로 시작합니다. '이것으로 충분하다'가 아니라 '최소한 이런 것은 고려하라'는 구조입니다. 2.5에는 이 요소가 i부터 xvi까지 16개 항목으로 나열되어 있고, 아래 표는 이를 실무 문서와 짝지어 본 것입니다. 오른쪽 열은 저희 GMPCAT이 현장에서 자주 연결하는 문서 예시이며 Annex 1 원문 내용은 아닙니다.

현장에서 자주 틀리는 점: 2.5의 목록을 그대로 목차로 삼아 16개 항목마다 "관련 SOP: OOO" 한 줄만 적는 경우가 있습니다. 이렇게 되면 항목은 채워졌는데 "그래서 이 제품에서 어느 위험이 가장 크고 어떻게 줄였는지"는 읽히지 않습니다. 항목별로 최소한 위험, 관리 수단, 효과성 확인 방법(모니터링 또는 시험)이 같이 적혀 있어야 CCS가 살아 있다고 느껴집니다.

Q3. 이미 있는 EM·APS·세척·소독·교육 문서와는 어떤 관계인가요?

"이미 SOP가 다 있는데 CCS를 또 써야 하나요?"라는 질문에 대한 답은 2.3의 마지막 문장에 있습니다.

"Where existing control systems are in place and are appropriately managed, these may not require replacement but should be referenced in the CCS and the associated interactions between systems should be understood."
출처: EU GMP Annex 1 (2022), Section 2.3

즉 기존 문서를 버리고 새로 쓰라는 것이 아니라, CCS가 기존 문서를 참조하는 구조로 만들면 됩니다. 그리고 두 번째 절반, "상호작용을 이해하고 있어야 한다"가 실무에서 어려운 부분입니다. 2.4도 비슷한 취지입니다. 오염 관리는 서로 연결된 일련의 사건과 조치이고 보통 개별적으로 평가·관리·모니터링되지만, 그 집합적 효과성을 함께 고려해야 한다고 합니다.

현장에서는 EM 경향은 소독 프로그램과, APS는 공정 개입 종류와, 교육은 작업자 EM 결과와 서로 연결해 두면 상호작용을 설명하기 쉽습니다. APS와 세척·소독에 대해서는 Annex 1이 CCS와 직접 연결해 둔 조항도 있습니다. 예를 들어 4.35는 Grade A·B에서 쓰는 소독제와 세정제는 사용 전에 멸균되어야 하고, Grade C·D에서도 CCS에서 정한 경우 멸균이 필요할 수 있다고 합니다. 9.40은 APS에서 충전할 단위 수의 근거를 CCS에 명확히 남기라고 합니다. 이런 조항들은 Q8에서 다시 정리하겠습니다.

현장에서 자주 틀리는 점: 문서 간 참조 번호가 오래된 SOP 번호로 남아 있거나, 참조는 했는데 서로의 기준이 어긋나는 경우(예: CCS에는 월 1회 포자 제거제 사용이라고 되어 있는데 소독 SOP에는 분기 1회)가 의외로 흔합니다. 문서 개정 때 참조 관계를 같이 점검하는 습관이 필요합니다.

Q4. CCS는 누가 작성하고 누가 승인하나요?

Annex 1에는 "품질보증 부서가 작성한다" 같은 지정은 없습니다. 대신 두 군데에서 단서를 얻을 수 있습니다. 먼저 2.5는 "The development of the CCS requires detailed technical and process knowledge."라고 하여 CCS 개발에 상세한 기술·공정 지식이 필요하다고 합니다. 그리고 2.1 iii는 무균 제조의 공정과 모니터링 시스템이 "적절한 공정, 엔지니어링, 미생물학 지식을 가진 인력(personnel with appropriate process, engineering and microbiological knowledge)"에 의해 설계, 시운전, 적격성평가, 모니터링, 정기 검토되어야 한다고 합니다.

현장에서는 보통 생산, QC 미생물, 엔지니어링, 밸리데이션, QA, 구매가 각자 영역을 나눠 쓰고 검토합니다(Annex 1 규정이 아닌 운영 예시입니다). 2.3은 CCS의 효과성이 "경영 검토(periodic management review)"의 일부가 되어야 한다고 합니다. 이 문장 때문에 승인과 검토에 경영층이 관여하는 구조를 만들어 두는 것이 안전합니다. 문서 소유자(Document owner)를 누구로 할지는 회사마다 다르지만, 한 사람이 소유하되 관련 부서가 섹션별로 책임을 지는 방식이 현실적으로 많이 쓰입니다.

Q5. CCS는 얼마나 자주 개정해야 하나요?

정해진 숫자를 기대하신 분께는 아쉬운 답일 텐데, Annex 1 원문에는 "1년마다" 같은 고정 주기가 적혀 있지 않습니다. 대신 2.3과 2.6이 개정의 원칙을 줍니다.

"The CCS should be actively reviewed and, where appropriate, updated and should drive continual improvement of the manufacturing and control methods." (2.3)
"Changes to the systems in place should be assessed for any impact on the CCS before and after implementation." (2.6)
출처: EU GMP Annex 1 (2022), Section 2.3, 2.6

여기서 개정 트리거를 두 가지로 나눌 수 있습니다.

• 정기 검토: 정해진 주기(회사가 정당화한 주기)에 맞춘 검토. 2.3대로 효과성 평가를 경영 검토에 올리려면 연간 품질 검토 시기에 맞추는 구성이 자연스럽습니다. 주기 자체는 회사가 정하되 근거를 적어 두세요.
• 이벤트 기반 검토: 설비·공정·시설 변경, EM 경향 악화나 Action Level 초과, APS 부적합, 무균 시험 부적합, 새 균주 검출, 공급업체 변경 등이 생겼을 때. 2.6의 "변경 전후 영향 평가"가 여기에 해당합니다.

변경관리 양식 문구 예: 변경관리 영향평가 항목에 "오염관리전략(CCS)에 미치는 영향: 없음 / 있음(해당 섹션 및 개정 필요 여부 기재)" 항목을 하나 넣어 두면 2.6의 요구를 일상 업무에 연결할 수 있습니다. 변경 후 평가는 변경 종료 시점 점검 항목에 같은 문항을 한 번 더 두면 됩니다.

현장에서 자주 틀리는 점: 주기만 정해 두고 이벤트 기반 갱신이 이뤄지지 않는 경우입니다. 중요한 설비를 교체했는데 CCS 개정 이력이 1년 전 그대로인 상황은 실사에서 바로 눈에 띕니다.

Q6. CCS 문서 구성 예시 목차를 보여 주세요

Annex 1에는 CCS 서식이 지정되어 있지 않습니다. 따라서 아래는 Annex 1 2.3, 2.5와 정의를 반영해 저희가 정리한 예시 구조입니다. 회사 규모와 제품에 맞게 조정하셔야 합니다.

5번의 관리 수단 매트릭스가 문서의 중심입니다. 행에는 오염 경로(예: 작업자, 자재 반입, 공기, 표면, 용수, 용기·마개), 열에는 설계/절차/기술/조직 관리와 효과성 확인 방법을 두는 방식이 보기 편합니다. 한 경로에 한 가지 관리만 걸려 있으면 그 칸이 바로 취약점 후보가 되니까, 매트릭스를 그려 보는 것만으로도 개선점이 눈에 들어옵니다.

Q7. 환경모니터링(EM) 프로그램은 CCS에서 어떤 위치인가요?

Section 9(Environmental & process monitoring)는 첫 문장부터 CCS와의 관계를 밝힙니다.

"The site's environmental and process monitoring programme forms part of the overall CCS and is used to monitor the controls designed to minimize the risk of microbial and particle contamination."
출처: EU GMP Annex 1 (2022), Section 9.1

뒤이어 9.1은 부유 미생물·부유 입자·APS 각각은 단독으로는 신뢰도에 한계가 있어 개별로 무균 상태의 지표로 볼 수 없고, 함께 고려했을 때 설계·밸리데이션·운영의 신뢰성을 확인해 준다고 설명합니다. 9.2는 모니터링 프로그램의 구성 요소로 총 입자 EM, 환경 및 작업자 부유 미생물 모니터링, 온도·상대습도 등의 특성, APS(무균 제조 제품에 한함)를 듭니다.

이 구조를 실무로 풀면, EM은 "관리 수단 그 자체"가 아니라 관리 수단이 잘 작동하는지 보여 주는 센서입니다. 또 2.2의 마지막 문장 "Monitoring or testing alone does not give assurance of sterility."(모니터링이나 시험만으로는 무균성이 보증되지 않는다)처럼, 설계 → 절차 → 모니터링 순으로 우선순위를 두라는 점도 CCS 작성 방향과 맞닿아 있습니다.

CCS에서 EM을 다룰 때 담을 만한 내용 체크리스트

• EM 샘플링 위치 선정 근거가 위험평가와 연결되어 있는가
• Alert/Action Level 설정 방식과 초과 시 대응(조사, CAPA)이 정의되어 있는가
• 경향 분석의 단위(구역별, 위치별, 작업자별)와 검토 주기가 있는가
• 검출 균주의 동정 기준과 그 결과를 소독 프로그램에 환류하는 경로가 있는가
• 대체·신속 방법 도입 가능성을 평가했는가(2.5 xiv에서 요구하는 평가)
• EM 결과, APS 결과, 무균시험 결과를 종합적으로 볼 수 있는 정기 검토 체계가 있는가(9.1의 '함께 고려' 취지)

Q8. Annex 1 본문에서 CCS가 직접 언급되는 곳은 어디인가요?

Section 2만 읽고 끝내시는 분이 많은데, CCS는 본문 곳곳에서 "CCS에서 정하라/정당화하라"는 식으로 다시 등장합니다. 원문에서 확인되는 대표 조항을 표로 모았습니다. 번역은 요지 위주입니다.

특히 8.7은 CCS를 쓰는 입장에서 꼼꼼히 읽을 필요가 있습니다.

"The site's CCS should clearly define the acceptance criteria for these controls, requirements for monitoring and the review of their effectiveness. ... Accepted residual risks should be formally documented."
출처: EU GMP Annex 1 (2022), Section 8.7

즉 CCS는 "이런 관리를 한다"에서 끝나지 않고 허용기준과 모니터링 요구와 잔여 위험까지 적어야 하는 문서입니다. 앞의 Q6 예시 목차에서 7번(중요 관리점 목록)과 4번(잔여 위험)을 둔 이유가 여기에 있습니다.

Q9. 실사에서는 어떤 점이 지적되기 쉬운가요?

특정 업체의 실제 지적 사례를 말씀드릴 수는 없지만, 적격성평가와 교육 현장에서 "이 부분은 실사 때 질문받기 쉽다"고 이야기가 모이는 지점은 있습니다. 이는 Annex 1 조항에서 거꾸로 읽어 낸 일반적인 경향이니 참고해 주세요.

Q10. 처음 시작한다면 어떤 순서가 좋을까요?

아무것도 없는 상태에서 CCS를 시작해야 한다면, 저희가 현장에서 권하는 순서는 아래와 같습니다. 순서는 Annex 1 규정이 아니라 실무적 제안입니다.

1. 범위와 제품 정리: 어떤 시설, 어떤 제품, 어떤 공정을 CCS가 덮는지 먼저 정합니다. 제품군별로 나눌지 시설 단위로 한 권으로 할지도 이때 결정합니다.
2. 팀 구성: Q4처럼 생산·QC 미생물·엔지니어링·밸리데이션·QA를 모읍니다.
3. 현행 문서 목록 작성: 2.5의 i~xvi 항목별로 이미 있는 SOP·보고서·프로그램을 찾아 표로 만듭니다. 여기서 비어 있는 칸이 보입니다.
4. 오염 경로별 위험평가: 공정 흐름도 위에 오염 경로를 그리고 위험을 평가합니다. 2.2의 우선순위(설계 → 절차 → 모니터링)를 기준으로 관리 수준이 적절한지 봅니다.
5. 관리 수단 매트릭스 작성: Q6의 5번을 채우고 중요 관리점과 허용기준을 정리합니다.
6. 빈틈 개선 계획: 비어 있는 항목, 불일치 항목을 CAPA 또는 개선 과제로 등록하고 우선순위를 정합니다.
7. 문서화·승인·교육: 초안을 부서별로 검토받고 승인합니다. 이후 부서별 교육을 합니다.
8. 운영 연결: 변경관리 양식에 CCS 영향 항목을 넣고, 경영 검토 안건에 CCS 효과성을 추가합니다.

자주 묻는 질문(FAQ)

Q. 제품이 여러 개인데 CCS를 제품별로 따로 만들어야 하나요?
2.3은 CCS를 '시설 전반(across the facility)'에 구현하라고 하고, 용어집 정의는 제품과 공정 이해에서 도출한다고 합니다. 두 문장을 같이 읽으면 시설 수준의 공통 CCS를 두고 제품·공정별 차이는 해당 섹션이나 부록에서 다루는 구조가 일반적으로 쓰입니다. 어느 쪽이든 제품별 위험 차이가 드러나야 합니다.

Q. 이미 Annex 1 개정 전부터 오염 관리 문서가 있는데 이름만 CCS로 바꾸면 되나요?
2.3에 따라 기존 시스템은 교체하지 않아도 되지만 CCS에서 참조하고 상호작용을 이해해야 합니다. 이름만 바꾸면 중요 관리점 정의와 효과성 평가가 빠지기 쉬우니 2.3과 2.5 항목을 하나씩 대조해 보시길 권합니다.

핵심 정리

참고 문헌

• EU GMP, EudraLex Volume 4, Annex 1 "Manufacture of Sterile Medicinal Products" (2022), Section 2 (Principle), Section 4.35, Section 8.7, Section 9.1, Section 9.40, Glossary - European Commission 원문 PDF

필터 무결성 시험(FIT) 방법 비교: 버블포인트·확산·압력유지·Water Intrusion, 언제 무엇을 쓰나

1. 왜 필터 무결성 시험(FIT)을 하는가

0.2 μm(또는 0.22 μm) 등급 멸균 필터는 제품 안에 세균이 들어 있는지를 현미경으로 세어 보고 쓰는 장비가 아닙니다. 멸균 필터가 제대로 일했는지는 출하 시험(무균시험)으로는 사실상 증명할 수 없고, 그래서 "필터가 밸리데이션 때 세균을 잡았던 그 상태 그대로인가"를 비파괴 시험으로 대신 확인합니다. 그 시험이 바로 필터 무결성 시험, FIT입니다.

원리는 단순합니다. 습윤된 소수성이 아닌(친수성) 막의 기공은 표면장력으로 액체를 붙잡고 있어서, 일정 압력 이하에서는 기체가 액체를 밀어내지 못하고 용해–확산으로만 천천히 넘어갑니다. 막에 결함이 있거나 가장 큰 기공이 기준보다 크면 이 거동이 달라지고, 그 차이를 압력이나 유량으로 읽습니다. 즉 FIT는 세균을 직접 보는 시험이 아니라 "세균 포획 능력과 상관관계가 있는 물리량"을 보는 시험이기 때문에, 한계값이 어디서 왔는지가 방법 선택보다 훨씬 중요합니다.

실제 적격성평가를 하다 보면 한계값 출처와 습윤 조건이 문서에 연결되어 있지 않은 경우를 자주 봅니다.

2. Annex 1(2022)과 FDA가 요구하는 것

멸균 필터 무결성 시험의 규정상 핵심 근거는 EU GMP Annex 1(2022) 8.85~8.87 구간입니다. 먼저 습윤액과 한계값에 대한 8.85 i.입니다.

이어서 시험의 시점과 방법을 직접 언급하는 8.87입니다.

이 문단에서 실무자가 꼭 챙길 단어는 세 개입니다. "post-use prior to removal from its housing"(사용 후, 하우징에서 분리하기 전), "validated"(시험 과정 자체의 밸리데이션), "correlate to microbial retention"(세균 포획 능력과의 상관관계). 8.87은 시험 방법 네 가지를 예시로 들 뿐 특정 방법을 지정하지 않으므로, 어떤 방법을 쓸지는 필터 종류와 제조사 데이터에 맞춰 사용자가 정당화해야 합니다.

FDA의 무균 공정 가이드(Guidance for Industry, Sterile Drug Products Produced by Aseptic Processing - Current Good Manufacturing Practice, 2004) Section IX.B(Filtration Efficacy)에도 같은 취지의 문장이 있습니다.

정리하면 사용 후 시험은 양쪽 모두 사실상 필수이고, 사용 전 시험은 Annex 1에서 PUPSIT라는 이름으로 기대치가 올라갔다는 구도입니다. 이 부분은 9장에서 다시 다룹니다.

3. 버블포인트(Bubble Point) 시험

무엇을 보는가. 완전히 젖은 막의 상류 쪽 압력을 서서히 올리다가, 가장 큰 기공에서 액체가 밀려나 기체가 연속적으로 넘어가기 시작하는 압력이 버블포인트입니다. 기공 지름이 클수록 낮은 압력에서 뚫리기 때문에, 결국 "가장 큰 기공(또는 결함)이 기준보다 크지 않다"를 보는 시험입니다. 판정은 버블포인트가 제조사 최소값 이상이면 합격입니다.

장점. 결함의 크기와 직접 연결되는 물리량이어서 해석이 직관적이고, 습윤 불량·큰 결함·잘못된 필터 등급을 잘 잡아냅니다. 정성 시험(수동 버블포인트)으로도 가능하고, 자동 시험기는 압력 상승 속도와 감지 기준을 장비가 잡아 줍니다.

한계. 압력을 올리다가 최초 기포를 판정해야 하므로 수동 방식은 사람마다 결과 차이가 생기고, 필터 면적이 큰 카트리지에서는 막 전체의 확산 흐름 때문에 "터지는 지점"이 모호해질 수 있습니다. 또 소수성 필터나 습윤이 어려운 제품에서는 적용이 까다롭습니다. 현장에서는 정량적이고 재현성이 좋은 확산·압력유지를 일상 시험으로, 버블포인트를 재시험 또는 확인 시험으로 쓰는 구성이 많습니다.

4. 확산(Diffusive flow)과 압력유지(Pressure hold)

확산(Diffusive flow, Forward flow). 버블포인트보다 낮은 일정 압력(제조사가 지정, 보통 최소 버블포인트의 80% 안팎으로 안내하는 경우가 많습니다)을 상류에 걸고, 막을 통해 기체가 용해·확산되어 넘어오는 유량을 측정합니다. 습윤된 정상 막에서는 이 유량이 매우 작고 압력에 비례하며, 막에 결함이 있거나 습윤이 덜 되었거나 연결부에서 새면 값이 올라갑니다. 판정은 확산 유량이 제조사 최대값 이하이면 합격입니다. 값이 정량이어서 추세 관리도 가능하고, 큰 필터에서도 판정이 안정적이라 일상 시험에 가장 널리 쓰입니다.

압력유지(Pressure hold, Pressure decay). 확산과 원리가 같지만, 유량을 직접 재는 대신 상류 공간을 시험 압력으로 채운 뒤 밸브를 닫고 정해진 시간 동안 압력이 얼마나 떨어지는지 봅니다. 압력 강하량이 제조사 한계 이하이면 합격입니다. 공급 라인이 닫혀 있어야 하므로, 상류 부피(필터 하우징, 배관, 호스)가 커질수록 같은 유량에도 압력 강하는 작아져서 감도가 떨어집니다. 그래서 압력유지 한계값은 "필터 + 정해진 상류 부피"를 전제로 한 값입니다. 배관을 바꿔 부피가 달라졌는데 한계값을 그대로 쓰면 안 됩니다.

현장에서 자주 틀리는 점. 시험 압력이 안정되기 전에 측정을 시작하거나(압축 기체 온도 영향), 하우징 벤트나 드레인 밸브의 미세 누설을 필터 불량으로 판정하거나, 반대로 연결부 누설 때문에 올라간 값을 "습윤 불량"으로 오해하는 경우입니다. 필터 하우징 이후 연결부를 비눗물이나 누설 검출 방식으로 먼저 확인하는 절차를 SOP에 넣어 두면 불필요한 재시험이 줄어듭니다.

5. Water Intrusion Test(WIT, 소수성 필터)

가스 필터나 벤트 필터에 쓰이는 PTFE 같은 소수성 막은 물에 젖지 않습니다. 그래서 위의 방식처럼 "막을 먼저 적셔서" 시험할 수가 없습니다. Water Intrusion Test는 반대 원리입니다. 소수성 막은 일정 압력 이하에서는 물이 기공 안으로 들어오지 못하는데, 이 "물이 못 들어오는 성질"이 유지되고 있는지를 봅니다. 하우징에 물을 채워 제조사 지정 압력으로 가압하고 일정 시간 동안 막을 통과하는 물의 양(또는 압력 변화)을 측정해, 제조사 한계 이하이면 합격입니다.

Annex 1 8.88~8.90은 멸균 가스·벤트 필터를 다룹니다. 핵심 문장은 다음과 같습니다.

여기서 실무적으로 중요한 부분은 8.90입니다. 소수성 필터가 SIP 응축수나 제품 비말로 젖어 버린 뒤에 시험하면 정상 필터인데도 값이 이상하게 나옵니다. 건조 상태를 확인하고, 이미 젖은 경우의 처리(건조 절차, 시험 방법 변경)를 사전에 SOP로 정해 두어야 합니다. 또한 WIT는 시험 후 필터 건조가 필요하니, 시험을 한 뒤 다음 사용까지 필터를 어떻게 건조·보관하는지도 같이 문서화합니다. 제조사에 따라 소수성 필터에 IPA 습윤 후 버블포인트·확산을 적용하는 방법을 안내하기도 하므로, 어느 쪽이든 제조사 시험 방법서를 근거로 잡으세요.

6. 방법별 비교표와 선택 기준

선택 기준을 한 줄씩 정리하면 이렇습니다. 액체 멸균 필터라면 제조사가 제공하는 확산 또는 압력유지 한계값으로 일상 시험을 하고, 큰 결함이나 습윤 문제가 의심되면 버블포인트로 확인합니다. 가스·벤트 소수성 필터라면 제조사 방법서에 따라 WIT를 쓰거나 알코올 습윤을 이용한 시험을 선택합니다. 어떤 경우든 "제조사 방법서에 없는 조합"(예: 다른 습윤액에서 제조사 한계값을 그대로 적용)은 쓰지 않는 것이 원칙입니다. 방법을 바꾸는 것은 한계값 재설정과 같은 일이기 때문입니다.

7. 제조사 한계값과 습윤(wetting) 조건

한계값은 어디서 오는가. 필터 제조사는 막 종류와 포획 밸리데이션 데이터(대표적으로 Brevundimonas diminuta를 이용한 세균 포획 시험)를 바탕으로, "이 값 이상/이하이면 세균 포획 성능이 보장된다"는 무결성 시험 한계값을 습윤액·온도·시험 방법별로 제시합니다. Annex 1 8.87의 "correlate to the microbial retention capability"가 바로 이 연결을 말합니다. 사용자는 제조사 한계값을 그대로 쓸 수도 있고, 자사 제품으로 포획 밸리데이션을 하면서 별도로 제품 습윤 한계값을 설정할 수도 있습니다.

제품으로 습윤하는 경우. 제품이 물과 표면장력이 다르면(계면활성제, 알코올, 지질 성분 등) 물 기준 한계값을 쓸 수 없습니다. 이때는 8.85 i.가 말하는 대로 "해당 유체에 맞는 시험값 규격"을 설정해야 합니다. 보통은 제품으로 적신 필터의 값을 실측해 제조사와 협의하며 한계값을 만들고, 포획 밸리데이션과의 정합성을 문서로 남깁니다. 그리고 같은 조항의 두 번째 항목, "제품이 아닌 유체로 플러싱하거나 in-situ 시험하는 경우 제품 품질에 해로운 영향이 없도록 조치"도 놓치기 쉽습니다. 시험용 물이나 알코올 잔류가 제품에 들어가지 않도록 플러싱 절차와 잔류 확인 방법을 정해 두어야 합니다.

습윤 조건 체크포인트. 같은 필터라도 아래 조건이 달라지면 판정값이 달라집니다.

• 습윤액 종류와 조성(물, IPA/물 혼합비, 제품). 조성이 바뀌면 표면장력이 바뀝니다.
• 온도. 기체 확산은 온도에 민감합니다. 제조사가 정한 온도 범위, 시험 중 안정화 시간을 기록합니다.
• 습윤 방법과 시간. 플러싱 유량, 압력, 체류 시간. 다층 카트리지는 충분히 오래 적셔야 합니다.
• 공기 제거. 하우징 안에 갇힌 공기는 확산 값을 올리는 대표 원인입니다. 벤트 위치와 배수 방향을 절차에 넣습니다.
• 필터 크기와 개수. 여러 개를 병렬로 쓰면 한계값은 개수에 비례해 합산해서 써야 합니다.

Protocol과 SOP에는 이런 문구가 들어가면 좋습니다. 예: "무결성 시험은 필터 제조사 시험 방법서 [문서번호, 개정]에 따라 [습윤액] 기준으로 [온도 범위] 조건에서 수행하며, 판정 기준은 확산 유량 [X mL/min] 이하(시험 압력 [Y bar])로 한다. 제조사 값 변경 또는 습윤액 변경 시 변경관리를 통해 재평가한다." 숫자는 반드시 사용하는 필터의 제조사 문서에서 가져오세요. 필터 모델이 같아도 제조사 개정에 따라 값이 바뀔 수 있습니다.

8. 시험 실패 시 재습윤·재시험 판단

가장 현장 질문이 많은 부분입니다. 사용 후 시험이 한 번 실패했다고 곧바로 배치 불합격은 아니지만, 그렇다고 합격이 나올 때까지 시험을 반복하는 것은 더 위험합니다. 일반적인 접근은 다음 순서입니다.

• 1단계. 시험 조건 점검. 시험 압력·온도·안정화 시간, 시험기 설정과 교정 상태, 연결부 누설, 하우징 벤트 밸브 상태를 먼저 봅니다. 이 단계에서 시험 시스템 문제가 확인되면 시스템을 바로잡고 같은 필터로 재시험할 수 있다고 SOP에 정해 둡니다.
• 2단계. 재습윤 후 재시험. 필터가 제대로 젖지 않았을 가능성이 있으면 SOP에 허용된 방식(더 많은 유량으로 플러싱, 승인된 습윤액 사용, 승인된 압력으로 재습윤)으로 다시 적신 후 재시험합니다. 사용 후 시험에서는 필터 안에 제품이 남아 있으므로, 제품이 습윤액이 됩니다. 제품이 점성이 높거나 표면장력이 낮다면 제조사 권고에 따라 물이나 알코올 혼합액으로 플러싱한 뒤 시험하는 절차가 필요할 수 있고, 이것도 포획 밸리데이션과 모순이 없어야 합니다.
• 3단계. 대체 방법. 확산 실패 후 버블포인트처럼 제조사가 인정한 다른 방법으로 확인할 수 있는지 SOP에서 정합니다. 다만 "합격하는 방법을 찾을 때까지 방법을 바꾸는 것"이 되지 않도록, 허용되는 순서와 횟수를 미리 문서화합니다.
• 4단계. 최종 실패 처리. 정해진 재시험을 해도 실패하면 필터 비무결로 판단하고 일탈 처리합니다. 해당 필터로 여과한 제품의 영향 평가, 필터 제조 배치와 사용 이력 조사, 필요시 제조사와 원인 분석을 진행합니다.

Annex 1 8.91과 8.92도 판단에 영향을 줍니다. 다중 필터로 하나의 멸균 단위를 밸리데이션한 경우 시스템의 모든 필터가 사용 후 시험에 합격해야 하고(8.91), 리던던트 필터 구성에서는 1차 필터가 합격하면 백업 필터 시험은 생략할 수 있지만 1차가 실패하면 2차를 시험하고 원인 조사와 위험 평가를 함께 해야 한다고 되어 있습니다(8.92). 실패 대응 SOP에 이 구성별 분기를 넣어 두시면 좋습니다.

자주 지적받는 점. 재시험 횟수 제한이 없는 SOP, 재습윤 방법이 SOP와 다르게 현장에서 임의로 이뤄진 경우, 첫 번째 실패 결과를 원시 데이터에서 빼 버리거나 출력물을 보관하지 않는 경우(데이터 완전성 문제)입니다. 첫 시험 실패 기록은 반드시 남기고, 재시험 사유와 조치를 같은 기록에 연결하세요.

9. PUPSIT와 시험 시점 설계

Annex 1 8.87의 첫 문장은 사용 전 시험을 요구합니다.

같은 조항 뒤에는 공정 제약(예: 아주 소량 여과)으로 PUPSIT가 불가능한 경우, 철저한 위험 평가와 적절한 통제로 대체 접근을 할 수 있다는 문장이 이어지고, 위험 평가에서 고려할 사항으로 필터 멸균 공정의 이해와 통제, 공급망(위탁 멸균, 운송, 포장), 제품 특성과 전처리 단계 등이 열거됩니다. PUPSIT 자체의 실패 사례와 대응은 별도 글로 다룬 바 있어 여기서는 시험 방법 관점만 정리합니다.

• 사전 시험 방법은 사후 시험과 같은 한계값 체계를 써야 합니다. 사용 전과 사용 후의 한계값이 다르면 비교가 어렵습니다.
• PUPSIT 습윤액은 가급적 제품과 무관한 물이나 제조사 권고 유체로 잡는 경우가 많습니다. 이 경우 8.85의 "제품 품질에 해로운 영향이 없도록" 조치가 같이 필요합니다. 시험 후 플러싱과 잔류 관리를 문서화하세요.
• PUPSIT 이후 멸균 상태가 유지되도록 무균 연결을 설계합니다. 이 부분은 설비·배관 설계와 함께 접근해야 합니다.
• 사후 시험 합격만으로 PUPSIT를 대신할 수 없다는 점도 인식해야 합니다. 제품의 입자 부하가 기공을 막아 사후 시험에서 결함이 가려질 수 있기 때문입니다(8.87 iii.의 "potential to alter integrity-testing values").

10. 자주 묻는 질문(FAQ)

Q1. 버블포인트와 확산 중 하나만 한다면?
법규가 한 가지를 지정하지는 않습니다(Annex 1 8.87은 방법을 예시로만 듭니다). 제조사가 포획 밸리데이션과 연결해 한계값을 제시한 방법을 쓰고, 일상 시험은 정량적이고 재현성이 좋은 확산 또는 압력유지로, 문제 상황 확인에는 버블포인트를 두는 구성이 현장에서 흔합니다.

Q2. 제조사 한계값 대신 우리가 설정한 값을 써도 되나요?
가능은 하지만, 그 값이 세균 포획 능력과 상관관계가 있음을 포획 밸리데이션 데이터로 설명할 수 있어야 합니다. 제품으로 습윤하는 경우가 대표적입니다. 근거 없이 한계값을 느슨하게 잡으면 안 됩니다.

Q3. 한 번 실패한 필터를 재습윤해서 합격하면 그 배치를 출하해도 되나요?
SOP에 승인된 재습윤·재시험 절차가 있고, 그 절차대로 진행해 합격했다면 가능한 경우가 많습니다. 다만 첫 실패의 원인(시험 조건인지, 필터 자체인지)을 기록으로 남기고 품질부서가 판단해야 합니다. 절차에 없던 방법으로 합격시키는 것은 문제가 됩니다.

11. 핵심 정리

• FIT는 세균 포획 능력과 상관관계가 있는 물리량을 비파괴로 측정하는 시험이므로, 방법보다 한계값의 근거가 중요합니다.
• 버블포인트는 가장 큰 기공, 확산·압력유지는 습윤된 막 전체의 기체 이동, WIT는 소수성 막의 물 저항을 봅니다.
• Annex 1(2022) 8.85 i.는 습윤액을 제조사 권고 또는 여과 유체 기준으로 정하고 한계값을 설정하라고 요구합니다.
• 8.87은 사용 후 비파괴 시험(하우징 분리 전)과 PUPSIT를 요구하고, PUPSIT가 불가능한 경우에는 위험 평가와 통제로 대체합니다.
• 실패 대응은 시험 조건 점검 → 재습윤 → 허용된 대체 방법 → 일탈 처리 순서로 SOP에 횟수와 함께 정해 두세요.
• 압력유지 한계값은 상류 부피에 종속되고, 온도와 공기 잔류가 확산 값을 흔듭니다.

참고 문헌

• EU GMP Annex 1 (2022), Manufacture of Sterile Medicinal Products, C(2022) 5938 final, Section 8 (8.83~8.95): European Commission 원문 PDF
• FDA, Guidance for Industry: Sterile Drug Products Produced by Aseptic Processing - Current Good Manufacturing Practice (2004), Section IX.B Filtration Efficacy: FDA 원문 PDF

GMP Q&A: 교정·검증·적격성평가를 구분하는 기준

1. 먼저 질문을 분리해야 합니다

현장에서 “이 장비는 검증됐나요?”라는 질문은 여러 뜻을 섞고 있을 때가 많습니다. 온도계라면 표시값이 기준값과 맞는지를 묻는 것일 수 있고, 멸균기라면 정해진 사이클에서 온도·압력·시간을 재현하는지를 묻는 것일 수 있습니다. 충전공정이라면 실제 제품이 규격에 맞게 반복 생산되는지까지 질문이 넓어집니다. 저희 GMPCAT(지캣)은 문서명을 먼저 고르기보다, 그 질문이 겨냥하는 대상과 품질 위험을 먼저 분리하는 방식으로 접근합니다.

네 활동은 서로 배타적이지 않습니다. 예를 들어 열전대를 교정한 뒤, 적절한 위치에 설치됐는지 확인하고, 멸균기가 운전범위에서 제어되는지를 OQ로 평가하며, 실제 부하에서 공정 성능을 확인할 수 있습니다. 교정성적서 한 장이 장비 PQ를 대신하지도 않고, PQ 결과가 계측기의 교정 상태를 대신하지도 않습니다.

2. 공식 GMP 원칙: 계획과 위험에 맞춘 수명주기 증거

이 원칙은 IQ, OQ, PQ라는 순서를 기계적으로 반복하라는 뜻이 아닙니다. 설계에서 예상한 위험, 설치·시운전에서 확인한 사실, 상업 운전 중 축적된 데이터, 변경 후 영향평가가 서로 연결되어야 한다는 의미입니다. Annex 15는 품질 위험관리 원칙을 적용해 적격성평가·밸리데이션 활동의 범위와 정도를 정하도록 안내합니다. 따라서 낮은 위험의 표시등 교체와 제품 접촉부 재질 변경을 같은 깊이로 평가할 수는 없습니다.

교정도 같은 맥락에서 봅니다. 단지 달력상 주기가 도래했기 때문이 아니라, 계측기가 어떤 CPP나 품질 특성의 판단에 쓰이는지, 허용오차가 공정 허용범위에 비해 충분히 작은지, as-found 결과가 과거 기록에 영향을 주는지를 함께 검토해야 합니다. 특히 허용오차를 외부 성적서의 ‘합격’ 표시로만 판단하지 말고, 현장 공정의 의사결정 한계와 비교하세요.

3. Q&A ① 온도계 교정이 통과하면 멸균기는 적격한가요?

아닙니다. 교정은 온도계 또는 기록 채널의 측정 성능을 뒷받침하는 한 요소입니다. 멸균기 적격성평가는 설치 상태, 인터록, 알람, 레시피 제어, 진공·공기제거, 온도 분포와 열침투, 부하·적재패턴 등 의도된 용도 전체를 다룹니다. 교정된 계측기를 사용해야 열분포 결과의 신뢰도가 생기지만, 그 자체가 챔버의 온도 균일성이나 부하의 멸균 성능을 입증하지는 않습니다.

실무 문서에서는 다음 네 층을 구분해 놓으면 혼선이 줄어듭니다. 첫째, 기준 온도계와 데이터로거의 교정 및 사용 전 점검. 둘째, 데이터로거 배치도와 위치 식별의 검증. 셋째, 설비 기능과 운전범위의 OQ. 넷째, 정해진 부하와 사이클에서의 PQ입니다. 누락된 층이 있을 때는 “교정 완료”라는 상태가 무엇을 의미하는지 명확히 설명할 수 없습니다.

4. Q&A ② FAT·SAT는 IQ를 대신할 수 있나요?

FAT와 SAT는 유용한 증거이지만, IQ를 자동으로 대체한다고 볼 수는 없습니다. FAT는 공급업체 환경에서 설계·기능 요구사항 일부를 확인하고, SAT는 설치 현장에서 인수 조건을 확인하는 데 쓰입니다. 반면 IQ는 실제 사용 장소에서 설비 구성, 재질·부품, 배관·전기 연결, 도면, 매뉴얼, 예비품, 계측기 식별과 교정 상태, 안전장치 등의 설치 적합성을 계획에 따라 확인합니다.

중복시험을 줄이려면 FAT/SAT 결과를 무조건 복사하는 대신, 요구사항 추적성 매트릭스를 만드세요. 각 URS 항목마다 FAT 증적, 현장 재확인 필요 여부, IQ/OQ 시험번호, 편차와 잔여조치를 연결합니다. 운송·설치·배관 변경으로 영향을 받을 수 있는 항목은 현장에서 다시 확인해야 합니다. 이렇게 하면 이미 확보한 공급업체 증적은 살리면서도 실제 설치 환경의 책임을 놓치지 않습니다.

5. Q&A ③ OQ와 PQ는 무엇으로 나누나요?

OQ는 설비가 설정된 운전범위와 제어 조건에서 요구대로 동작하는지를 확인하는 단계입니다. 상·하한 설정, 알람과 인터록, recipe 전환, 정전·복구, 제어 응답처럼 기능을 중심으로 계획합니다. PQ는 실제 또는 정당화된 대표 부하·공정조건에서 성능이 일관되는지를 보는 단계입니다. 예를 들어 바이알 충전 설비라면 OQ에서 속도 범위와 알람 기능을 보고, PQ에서는 정해진 용기·마개·충전량·운전조건에서 충전 성능과 재현성을 확인하는 구조가 됩니다.

같은 데이터가 두 단계에서 쓰일 수는 있지만, 시험 목적과 승인기준이 다르면 제목만 바꿔 재사용해서는 안 됩니다. OQ에서 잘 작동한 펌프가 실제 제품·용기 조합에서 품질 속성을 일관되게 만족한다는 보장은 별도로 확보해야 합니다.

6. Q&A ④ 시험법 검증과 장비 적격성평가는 어느 쪽이 먼저인가요?

시험법 밸리데이션에는 정확성, 정밀성, 특이성, 범위 등 시험법 자체의 성능뿐 아니라, 그 성능을 뒷받침하는 장비·표준품·시약·환경 조건이 포함됩니다. HPLC를 예로 들면 장비의 설치·기능 적격성, 펌프 유량과 검출기의 상태, 데이터 시스템 접근권한이 신뢰할 수 있어야 시험법 성능 결과도 해석할 수 있습니다. 그러나 장비가 적격하다고 해서 특정 시험법의 선택성이나 정밀성이 자동 입증되는 것은 아닙니다.

계획 순서는 위험과 준비 상태에 따라 다를 수 있으나, 일반적으로는 사용 장비·소프트웨어·표준품·시약의 준비 상태를 먼저 확인하고, 시험법의 사전 정의된 성능 특성을 평가합니다. 시험법 변경 시에도 장비 교체인지, 컬럼·이동상·통합 파라미터 변경인지에 따라 영향범위가 달라집니다. 변경 후 시스템적합성 결과만 좋았다는 이유로 필요한 부분 검증을 생략하지 말고, 변경 전후 비교와 위험평가를 근거로 범위를 정하세요.

7. Q&A ⑤ ‘검증’이라는 말은 왜 넓게 쓰이나요?

verification은 넓은 의미에서 요구사항 충족의 객관적 증거를 확보하는 활동입니다. 설계 도면이 URS와 맞는지 검토하는 일, 설치된 모터의 명판이 사양과 일치하는지 대조하는 일, 계산식이 승인된 버전인지 확인하는 일도 검증입니다. 반면 validation은 의도한 사용 또는 적용에서 요구사항이 지속적으로 충족됨을 보여 주는 더 넓은 성능 입증에 자주 사용됩니다.

그래서 SOP와 프로토콜에는 단어보다 판정기준을 먼저 씁니다. “검증한다”라고만 적지 말고, 무엇을 어떤 기준 문서와 대조하며, 어떤 증거를 합격으로 볼지, 불일치 시 어떤 경로로 처리할지를 적어야 합니다. 예를 들어 ‘설치 검증’이라는 제목보다 ‘URS-설치 사양 추적성 확인, 식별·재질·유틸리티 연결 확인’처럼 시험 목적을 구체화하면 검토자 사이의 해석 차이가 줄어듭니다.

8. Q&A ⑥ 변경이 생기면 매번 IQ·OQ·PQ를 다시 해야 하나요?

매번 전체 재수행이 정답은 아닙니다. 먼저 변경이 제품 품질, 환자 안전, 데이터 무결성, 검증된 상태에 미칠 수 있는 경로를 적습니다. 다음으로 영향을 받는 URS·위험관리 항목·기존 시험·운전범위를 추적합니다. 그 결과에 따라 문서 검토만으로 충분한지, 표적 IQ 확인이 필요한지, 기능 OQ를 반복할지, 실제 부하 PQ까지 확장할지를 결정합니다.

중요한 것은 변경의 크기가 아니라 영향의 성격입니다. 겉보기에는 작은 parameter 변경이라도 공정의 허용범위나 전자기록 계산에 닿으면 높은 위험이 될 수 있습니다. 반대로 승인된 동등품 교체가 모든 경우에 완전 재적격성평가를 뜻하는 것은 아닙니다. 변경관리에는 결론만이 아니라 제외한 시험의 근거도 남겨야 합니다.

9. Q&A ⑦ 정기 재교정과 재적격성평가는 어떻게 연결하나요?

정기 재교정은 계측 성능의 드리프트를 관리하는 활동이고, 재적격성평가는 설비·유틸리티·공정이 계속 검증된 상태에 있는지를 주기 또는 사건 기반으로 확인하는 활동입니다. 두 활동의 일정은 같을 필요가 없습니다. 다만 재교정 결과의 경향은 재적격성평가의 중요한 입력입니다. 예를 들어 반복 조정이 필요한 센서, 허용오차 경계로 이동하는 기록계, 자주 교체되는 probe는 설비 성능 또는 예방보전 전략 검토의 신호가 될 수 있습니다.

월간·분기 검토에는 교정 연체 여부만 올리지 말고 as-found 편차, 조정 여부, 영향평가 건수, 반복 발생 위치를 함께 보세요. 재적격성평가 보고서에는 전 회차 이후의 교정·보전·변경·일탈·품질 추세를 입력자료로 연결하면, 단발 시험보다 설비 상태를 더 설득력 있게 설명할 수 있습니다.

10. 바로 쓰는 문서화 체크리스트

• □ 활동마다 대상, 의도된 용도, 품질 위험, 승인기준을 구분해 썼는가?
• □ 교정 결과의 허용오차와 실제 공정 판단 한계를 비교했는가?
• □ URS 항목과 FAT/SAT/IQ/OQ/PQ 증적을 추적 가능하게 연결했는가?
• □ OQ의 운전범위와 PQ의 실제 사용조건을 혼동하지 않았는가?
• □ 시험법 성능과 장비·데이터 시스템의 준비 상태를 각각 평가했는가?
• □ 변경 시 재시험 범위뿐 아니라 제외 범위의 근거도 기록했는가?
• □ 교정·보전·일탈·변경의 경향을 재적격성평가 입력으로 검토했는가?

교정, 검증, 적격성평가, 밸리데이션을 정확히 나누는 목적은 문서 수를 늘리는 데 있지 않습니다. 각 증거가 어떤 품질 질문에 답하는지를 분명히 해, 누락과 과잉시험을 동시에 줄이는 데 있습니다. 현장에서 애매한 사례가 나오면 활동의 이름부터 정하기보다 “무엇이 바뀌었고, 어떤 품질 결정에 영향을 주며, 어떤 증거가 그 위험을 낮추는가”부터 정리해 보세요.

11. 회의에서 바로 쓰는 판단 순서

문서 검토 회의에서 ‘교정인가, 적격성평가인가’를 먼저 다투면 논의가 길어지기 쉽습니다. 아래 순서로 질문을 세우면 필요한 활동을 더 빨리 좁힐 수 있습니다. 먼저 변경 또는 이상이 제품 품질 결정에 쓰이는 측정값·제어값·기록에 닿는지 확인합니다. 다음으로 기존 승인 문서에서 그 항목이 어떤 요구사항과 시험으로 입증됐는지 찾습니다. 마지막으로 변경 후에도 같은 주장을 유지하려면 어떤 객관적 증거가 필요한지 정합니다.

예를 들어 충전량 저울의 교체라면 무게값의 정확성과 설치·통신 상태가 중심이므로 교정 및 표적 설치 확인이 출발점입니다. 그런데 그 저울 데이터가 자동 방출 판정이나 배치기록 계산에 사용된다면 데이터 흐름과 소프트웨어 기능까지 평가 범위를 넓혀야 합니다. 같은 부품 교체라도 사용 맥락이 다르면 활동의 깊이가 달라지는 이유입니다.

승인자는 보고서 마지막의 ‘적합’ 문구만 보지 말고, 어떤 위험을 어떤 시험으로 닫았는지 추적해 보아야 합니다. 시험하지 않은 항목은 왜 제외했는지, 남은 조치는 누가 언제 확인할지, 재적격성평가 또는 정기검토의 입력으로 무엇을 넘길지를 명확히 하면, 다음 변경 때 이전 결론을 안전하게 재사용할 수 있습니다. 이것이 수명주기 문서화가 현장 속도를 늦추지 않고 오히려 판단을 빠르게 만드는 방식입니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 중요 생산설비 적격성평가의 DQ, IQ, OQ, PQ, RQ 수행 범위와 생산장비 재적격성평가 항목이 공개되어 있습니다. 설비의 수명주기 문서화와 적격성평가 범위 설정이 필요하시면 GMPCAT 주요 실적 보기에서 관련 수행 분야를 확인하실 수 있습니다.

참고 문헌

• European Commission, EudraLex Volume 4, Annex 15: Qualification and Validation
• European Commission, Annex 15: Qualification and Validation
• GMPCAT 주요 실적

의료기기 설계변경: ISO 13485 기반 영향평가와 검증 계획

1. 설계변경은 왜 별도의 판단이 필요할까요?

의료기기 현장에서는 부품 대체, 치수 변경, 펌웨어 수정, 포장재 변경, 사용설명서 문구 수정처럼 서로 다른 사건이 모두 ‘변경’이라는 이름으로 들어옵니다. 그러나 설계 출력이나 의도된 사용, 안전·성능 요구사항에 영향을 줄 수 있는 변경은 단순 문서개정과 같은 속도로 처리하면 안 됩니다. 변경 이후에도 제품이 정해진 사용자 요구사항과 설계입력을 충족한다는 근거가 필요하기 때문입니다.

ISO 13485:2016은 의료기기의 설계·개발·생산·공급 전반에서 일관된 품질시스템을 요구하는 국제 표준입니다. 설계변경은 그중에서도 설계개발 통제, 위험관리, 문서관리, 구매·생산관리, 피드백과 CAPA가 만나는 지점입니다. 따라서 ‘동등품으로 교체했으니 문제없다’는 설명보다, 동등성 판단의 기준과 시험 범위를 기록으로 남기는 편이 안전합니다.

2. 접수 단계에서 확정해야 할 8가지

좋은 변경평가는 기술팀이 시험을 시작하기 전에 질문을 정확히 세우는 데서 시작합니다. 변경요청서에는 기존 상태와 변경 상태를 도면 번호·소프트웨어 버전·부품번호·라벨 개정번호처럼 비교 가능한 식별자로 적습니다. ‘성능 개선’, ‘조달 이슈’처럼 목적만 쓰면 이후 영향평가가 추측으로 흐르기 쉽습니다.

나머지 세 질문도 빠뜨리지 마세요. 첫째, 기존 verification·validation 자료 중 무엇을 재사용할 수 있는가. 둘째, 제조 이전이나 검사법의 변화가 설계출력의 적합성 판단에 영향을 주는가. 셋째, 해외 등록·기술문서·UDI·라벨링에 변경 신고 또는 갱신 검토가 필요한가입니다. 이 질문에 답한 뒤에는 변경의 크기보다 위험의 성격으로 우선순위를 정합니다.

3. 위험관리는 변경 뒤에 붙이는 표가 아닙니다

위험관리파일은 이미 승인된 위험통제와 잔여위험 판단을 담고 있습니다. 설계변경에서는 그 파일을 다시 열어 변경 대상 부품·소프트웨어 기능·사용 시나리오와 연결된 위험을 먼저 찾습니다. 예를 들어 재질 변경은 생체적합성, 내구성, 세척·소독 적합성, 화학적 상호작용의 가설을 만들 수 있고, 화면 흐름 변경은 사용오류와 경보 인지의 가설을 만들 수 있습니다. 가설은 곧 시험계획의 근거가 됩니다.

실무에서 유용한 방법은 변경 전후의 위험통제 표를 나란히 놓는 것입니다. 위험원, 위해 상황, 기존 통제, 변경 후 통제, 검증 증거, 잔여위험 판단 칸을 두면 누락이 드러납니다. 기존 점수가 낮았다는 이유만으로 재평가를 생략하면, 변경 자체가 새로운 실패모드나 사용조건을 만들었는지 놓칠 수 있습니다. 반대로 관련 없는 위험까지 전부 재시험 범위에 넣으면 일정만 길어지고 판단 근거는 흐려집니다.

4. Verification과 Validation, 무엇을 다시 해야 할까요?

verification은 설계출력이 정의된 설계입력에 맞는지를 객관적 시험·검사·분석으로 확인하는 활동이고, validation은 실제 또는 모사된 사용조건에서 사용자 요구와 의도된 사용을 충족하는지를 확인하는 활동입니다. 둘은 이름만 다른 재시험이 아닙니다. 부품의 규격·치수·전기적 성능이 바뀌었다면 설계입력 대비 verification이 중심이 될 수 있고, 사용법·사용환경·사용자 인터페이스가 달라졌다면 validation 필요성을 더 엄격히 봐야 합니다.

FDA는 설계검증이 설계출력이 설계입력을 충족하는지, 설계밸리데이션은 사용자 요구와 의도된 사용을 충족하는지를 구분합니다. 변경계획에는 시험 제목만 적지 말고 연결된 요구사항 ID, 위험통제 ID, 시료의 대표성, worst-case 선정 근거, 수용기준 출처, 일탈 처리, 결과 검토자를 함께 적으세요. 이렇게 해야 일부 시험을 재수행하지 않는 결정도 근거 있는 범위제외가 됩니다.

5. 추적성 매트릭스가 바꿔 주는 검토 품질

설계변경의 핵심 산출물은 ‘시험성적서 묶음’보다 변경 추적성 매트릭스입니다. 변경요청 번호에서 시작해 설계입력, 설계출력, 위험관리 항목, 시험계획·결과, 라벨·IFU, 제조문서, 규제평가까지 하나의 줄로 이어져야 합니다. 연결이 끊긴 항목은 대개 누락이거나, 범위제외 근거를 별도로 적어야 하는 항목입니다.

특히 기존 설계밸리데이션을 인용할 때는 ‘기존 시험 있음’으로 끝내지 않습니다. 이전 시험의 시료·사용자·사용환경·수용기준이 변경 후 제품을 대표하는지 비교표로 확인하세요. 대표성이 달라졌다면 일부 bridging 시험이나 새 validation이 필요할 수 있습니다. 반대로 동일성이 충분히 입증되었다면 기존 자료 활용의 근거와 검토 승인기록을 남기면 됩니다.

6. 시험계획을 실행 가능한 증거로 바꾸는 법

변경시험은 ‘필요 시 성능시험’처럼 추상적으로 쓰면 실행 단계에서 범위가 흔들립니다. 시험계획서에는 변경된 설계출력과 직접 연결된 설계입력 ID를 첫 줄에 두고, 그 요구사항의 수용기준이 규격서·위험통제·인정 표준 중 어디에서 왔는지 밝히는 것이 좋습니다. 이어서 시험 시료의 버전, lot, 대표 구성, 시험자의 자격, 장비 교정상태, 시험환경과 통계 또는 공학적 판단 기준을 명시합니다. 이 기본 정보가 빠지면 결과가 나와도 변경 후 제품을 대표했다는 설명이 약해집니다.

worst-case 선정도 숫자가 가장 큰 시료를 고르는 일만은 아닙니다. 사용시간이 길거나, 허용공차의 경계에 있거나, 구조상 하중이 집중되거나, 사용자 오류 가능성이 높은 구성을 함께 봐야 합니다. 여러 모델이 같은 변경을 공유한다면 가장 불리한 모델 하나로 다른 모델을 대표할 수 있는지 설계·위험·시험 담당자가 함께 판단합니다. 대표성 주장을 할 때에는 공통점뿐 아니라 차이점과 제외모델을 매트릭스에 남기는 것이 중요합니다.

시험 중 일탈이 발생했을 때에는 결과를 다시 얻기 위해 원자료를 덮어쓰지 않습니다. 시험조건 이탈인지, 시료 문제인지, 변경 자체의 설계 결함 신호인지 분리해 조사하고, 최초 결과·조사결과·재시험 이유를 모두 연결합니다. 재시험은 절차상 타당한 근거가 있을 때만 현재 상태를 보완하는 자료가 됩니다. 불리한 결과를 제거하는 수단이 되면 변경 검증의 신뢰성이 무너집니다.

7. 부서 간 hand-off에서 생기는 누락을 막습니다

설계팀이 시험을 끝냈다고 해서 변경이 출시 가능한 상태가 되는 것은 아닙니다. 생산은 제조지시서·공정조건·검사도구를, 구매는 승인공급자와 부품 규격을, 품질은 수입검사·출하검사·문서개정을, 서비스는 현장 호환성과 교육자료를 확인해야 합니다. 각 부서는 같은 변경요청 번호를 참조하되, 자신의 완료조건과 증거를 별도 항목으로 남겨야 합니다. 회의록만으로 여러 부서의 승인을 대체하면 승인 범위가 모호해질 수 있습니다.

특히 소프트웨어가 포함된 기기는 릴리스 버전과 제조 lot의 연결을 미리 정해 두세요. 어떤 생산일 이후 어느 버전이 탑재되었는지, 현장 업데이트가 가능한지, 구버전 사용자에게 전달할 정보가 무엇인지가 불만조사와 PMS 데이터 해석에 영향을 줍니다. 기구·전기·소프트웨어의 변경이 동시에 일어나면 하나의 제품 변경으로 묶어 시스템 수준 위험을 재검토하는 것이 좋습니다. 개별 부품 시험이 모두 통과했더라도 조합 상태의 의도된 사용이 충분히 입증됐다는 뜻은 아닙니다.

8. 기술문서·UDI·규제 검토는 출시 전에 닫습니다

설계변경을 품질부서의 승인으로만 닫으면 출시 직전에 라벨, UDI, 시장별 등록문서, 임상평가·PMS 입력, 공급망 문서가 남는 일이 생깁니다. 변경 영향평가에는 판매 국가와 제품 분류, 등록상 기재된 device description·intended use, 라벨링 차이, UDI 데이터 요소, 기술문서의 도면·BOM·시험보고서 개정 필요성을 별도 행으로 두세요. 규제 신고 필요성은 판매국별 요구사항에 따라 판단하되, 그 판단의 책임자·근거·검토일을 남깁니다.

이미 시판된 제품에 적용하는 경우에는 전환 시점도 품질 특성입니다. 구버전과 신버전의 식별, 재고 소진·재작업 방침, 서비스 부품 호환성, 불만·PMS 데이터에서 버전을 구분하는 방법을 출시계획에 넣어야 합니다. 현장 서비스나 고객지원팀이 어떤 버전이 어떤 변경과 연결되는지 알 수 있어야, 피드백이 다시 위험관리와 CAPA로 돌아옵니다.

9. 승인 전 체크리스트

• □ 변경 전·후 설계출력과 적용 제품 범위가 식별 가능한가?
• □ 변경 목적과 불만·CAPA·공급중단 등 발생 배경이 연결돼 있는가?
• □ 영향을 받는 설계입력·위험통제·필수성능 요구사항을 검토했는가?
• □ verification·validation·bridging·범위제외 각각의 근거가 있는가?
• □ 시험 시료, worst-case, 수용기준, 일탈 처리, 독립 검토가 계획에 명확한가?
• □ 위험관리파일, DHF 또는 이에 준하는 설계 기록, 기술문서가 개정됐는가?
• □ 라벨·IFU·UDI·생산문서·검사기준·교육자료가 같은 개정 상태인가?
• □ 판매국 규제영향 평가와 출시 승인권자가 문서화됐는가?
• □ 전환 lot·현장 제품·서비스 부품·PMS 추적 방법이 정해졌는가?

변경은 빠르게 처리해야 할 때가 많지만, 빠른 승인과 얕은 영향평가는 다릅니다. 변경요청서에서 질문을 정확히 잡고, 위험관리와 추적성을 먼저 연결하면 필요한 시험을 늦게 발견하는 일을 줄일 수 있습니다. 설계변경 기록은 감사 대응용 파일이 아니라 다음 변경에서 더 나은 판단을 가능하게 하는 제품 지식의 축적입니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 제조·시험 설비의 적격성평가와 CSV 수행 분야가 공개되어 있습니다. 의료기기 설계변경의 규제 판단을 대신하는 실적은 아니며, 설비·전산화 시스템의 검증 범위가 필요한 프로젝트는 GMPCAT 주요 실적 보기에서 확인하실 수 있습니다.

참고 문헌

• ISO, ISO 13485:2016
• FDA, PMA Quality System — Design Controls
• FDA, 21 CFR 820.30
• GMPCAT 주요 실적

동결건조기 선반 온도 균일성: SIP 이후 열분포 점검 실무

1. 선반 온도는 하나의 숫자로 관리되지 않습니다

동결건조 공정에서 선반은 바이알에 열을 전달하는 핵심 경로입니다. 1차 건조에서는 승화에 필요한 에너지를 공급하고, 2차 건조에서는 목표 잔류수분에 도달하도록 제품 온도를 지지합니다. 따라서 HMI의 선반 설정온도와 실제 바이알이 놓이는 각 위치의 온도는 같은 의미가 아닙니다. 선반 가장자리와 중앙, 상·하단 선반, 챔버 도어 인접부는 열손실과 열유입 조건이 다를 수 있습니다.

저희 GMPCAT(지캣)이 동결건조기 적격성평가 문서를 검토할 때는 평균값만으로 균일성을 판단하지 않습니다. 평균이 목표에 가까워도 특정 위치가 반복적으로 늦게 도달하거나, 상승·하강 전이 구간에서 편차가 커지면 제품의 건조 거동은 달라질 수 있습니다. 특히 제품별로 허용 가능한 product temperature, shelf ramp rate, endpoint가 다르므로 장비 성능 자료와 제품 공정개발 자료를 분리하되 서로 연결해야 합니다.

이 점은 단순히 “온도가 맞았다”는 확인이 아니라, 검증된 운전 범위 안에서 열전달 조건이 재현되는지의 문제입니다. 선반 온도 균일성 평가는 누설률 시험을 대체하지 않고, 제품 동결건조 공정 밸리데이션을 단독으로 대체하지도 않습니다. 누설률은 진공 경계의 건전성, shelf mapping은 선반 열 성능, 제품 PQ는 실제 제형·충전량·바이알·적재구성에서의 공정 성능을 보여 주므로 각각의 역할을 분명히 해야 합니다.

2. SIP 뒤에 mapping 범위를 다시 정해야 하는 이유

SIP는 멸균 상태 확보를 위한 필수 활동이지만, 고온·고압 노출 뒤 장비가 이전과 완전히 같은 열 거동을 보인다고 자동으로 가정할 수는 없습니다. 열매체 유량 제어, 밸브 동작, 온도 센서 신호, 선반의 기계적 접촉 상태, 제어 로직은 보전이나 변경의 영향을 받을 수 있습니다. SIP 자체가 곧바로 재적격성평가를 뜻하는 것은 아니지만, 무엇이 달라졌는지와 변경 전후의 위험을 평가하는 출발점이 되어야 합니다.

변경관리에서는 먼저 변경 대상을 구체적으로 고정합니다. “SIP 실시”처럼 넓게 쓰기보다, SIP 중 어떤 압력·온도 조건이 적용됐는지, 이후 어떤 부품·계측기·제어 파라미터에 손을 댔는지, 이전 결과와 비교할 기준 데이터가 무엇인지를 적습니다. 그래야 재적격성평가 범위를 필요 이상으로 넓히거나 반대로 너무 좁게 잡는 일을 줄일 수 있습니다.

3. 빈 챔버와 실제 적재 조건은 질문이 다릅니다

빈 챔버 mapping은 장비 자체의 열 성능을 비교적 단순한 조건에서 보는 시험입니다. 열전대를 선반 표면 또는 대표 위치에 고정하고, 설정온도 도달, 안정화 시간, 정상상태 편차, 상승·하강 램프를 평가합니다. 이 데이터는 장비가 기준 범위에서 운전되는지와 선반 간·선반 내 차이를 파악하는 데 유용합니다.

반면 바이알과 제품 모사부하가 들어가면 열의 흐름이 달라집니다. 바이알 형상, 충전량, 마개 상태, 선반 접촉면, 가장자리 노출, 적재 밀도와 빈 공간은 실제 product temperature에 영향을 줍니다. 따라서 빈 챔버에서 균일했다고 해서 모든 적재 패턴에서 제품이 같은 거동을 보인다고 해석하면 안 됩니다. 제품 PQ가 필요한 이유가 여기에 있습니다.

실무에서는 empty chamber, 최대 적재, 최소 적재 또는 대표 적재를 무조건 모두 수행하기보다 위험평가로 필요한 조합을 정합니다. 예를 들어 특정 제형이 가장 낮은 임계제품온도를 갖고, 가장자리 바이알이 열유입에 민감하며, 충전량이 다른 제품군이 있다면 그 조합을 worst-case 후보로 검토합니다. 단순히 “가장 많이 적재한 경우”만 worst-case라고 결정하지 말고, 열전달과 제품 허용범위 관점에서 근거를 남기는 것이 중요합니다.

4. Mapping 프로토콜: 온도계 수보다 배치 논리가 먼저입니다

열전대 수를 많이 넣는다고 좋은 mapping이 되지는 않습니다. 측정점은 선반별 차이와 선반 안 위치 차이를 모두 포착하도록 설계해야 합니다. 가장자리·중앙·도어 인접부·후면부 같은 열 경계 위치를 포함하고, 상·중·하 선반을 대표하도록 배치합니다. 다만 챔버 구조, 선반 수, 열매체 흐름 방향, 적재 패턴이 서로 다르므로 다른 장비의 배치도를 복사하는 방식은 피해야 합니다.

온도 기록 간격도 결과 해석을 좌우합니다. 안정화 구간만 넓게 기록하면 ramp 중의 지연이나 제어 진동을 놓칠 수 있습니다. 반대로 지나치게 촘촘한 데이터만 쌓고 어떤 구간을 평가할지 정하지 않으면 임의 해석이 생깁니다. 시작·종료 시간, 설정값 변경시점, 진공 단계, 안정화 판정 시점을 시간축에 표시해 원자료가 장비 운전을 설명하도록 만드세요.

선반 표면 측정과 바이알 내부 또는 제품 모사부하 측정은 목적이 다릅니다. 전자는 장비의 열 공급 상태를, 후자는 실제 제품이 받는 결과를 보여 줍니다. 둘을 같은 허용기준으로 묶지 말고, 장비 mapping의 기준과 제품 공정개발·PQ의 기준을 각각 정의한 뒤 상호 참조시키는 것이 좋습니다.

5. 판정기준은 제품의 한계와 장비의 반복성을 함께 봅니다

설정온도 대비 허용편차를 정할 때는 장비 제작사 문서, URS, 기존 적격성평가 결과, 제품 공정의 열 민감성, 계측 불확도와 운전 범위를 함께 고려합니다. 임의의 숫자를 다른 장비에서 가져와 쓰면 근거가 약해집니다. 특히 낮은 선반 온도 영역과 높은 선반 온도 영역은 제어 거동이 다를 수 있으므로, 단일 평균값만으로 전 범위를 대표시키지 않는 편이 안전합니다.

판정은 최소한 네 가지를 분리해 읽습니다. 첫째, 각 측정점이 목표 설정온도 주변에서 안정화됐는가. 둘째, 같은 선반 내 위치 차이가 허용범위 안인가. 셋째, 선반 간 최대 차이가 제품 위험을 유발하지 않는가. 넷째, 동일 조건 반복 시 도달시간과 편차 양상이 재현되는가입니다. 평균값은 첫 번째 질문의 보조지표일 뿐, 국부적인 cold 또는 hot position을 가리면 안 됩니다.

예를 들어 목표 온도 근처의 평균은 적절하지만 특정 가장자리 측정점의 도달시간이 반복적으로 늦다면, 그 지점은 추가 조사 대상입니다. 열전대 접촉·고정 상태와 교정부터 확인하고, 다음으로 선반 표면 상태, 열매체 유량, 도어 또는 챔버 벽 인접부의 열손실, 적재 조건을 검토합니다. 값이 다시 정상으로 돌아왔다고 최초 이상을 단순히 폐기하지 말고, 시험 설치 오류인지 장비의 간헐적 성능 변화인지 객관적 증거로 구분해야 합니다.

6. 편차가 나오면 재시험 전에 영향 범위를 정합니다

재시험은 유용하지만, 최초 편차의 의미를 자동으로 없애지는 않습니다. 계측기 접촉 불량처럼 명확한 assignable cause가 확인되었다면 재시험 범위를 합리적으로 정할 수 있습니다. 그러나 원인이 모호하거나 동일 위치에서 반복되는 편차라면, 단순 재시험 통과보다 변경 전후 데이터·제품 영향·보전 범위를 포함한 재적격성평가가 필요할 수 있습니다.

재적격성평가를 결정할 때는 “언제 다시 할 것인가”보다 “무엇이 검증 상태에 영향을 줬는가”를 먼저 답해야 합니다. 선반 온도 균일성만 영향받은 변경이라면 그 시험을 중심으로 하되, 제어기 변경처럼 alarm·recipe·기록·인터록까지 연결되는 경우에는 OQ 범위를 확장할 수 있습니다. 제품의 핵심 공정파라미터 또는 설계공간에 영향을 줄 수 있다면 제품 PQ 또는 비교성 평가가 필요한지도 품질부서와 함께 판단합니다.

7. 데이터 검토는 시간대별로 나누어 읽습니다

동결건조기 mapping 보고서에서 자주 놓치는 부분은 안정화 구간의 평균만 보고 끝내는 일입니다. 하지만 설정온도를 바꾸는 순간, 선반 온도가 목표값에 접근하는 구간, holding 중 제어 밸브가 반복 동작하는 구간은 각각 다른 정보를 줍니다. 한 위치가 정상상태에서는 기준 안이지만 ramp에서만 늦어진다면, 제품 레시피의 단계 전환 시간과 맞물릴 위험을 별도로 평가해야 합니다.

원자료에는 측정값뿐 아니라 set point, 실제 선반 제어값, 열매체 입·출구 조건, 챔버 압력, 문 개방 또는 알람 같은 사건을 같은 시간축으로 정리하는 것이 좋습니다. 이렇게 하면 단순한 그래프 비교보다 특정 편차가 제어 동작·운전 조건·열전대 설치와 어떤 관계가 있는지 빠르게 좁힐 수 있습니다. 데이터 수집 시스템이 별도라면 시간 동기화 상태도 사전에 확인해야 합니다.

반복 시험의 값이 서로 다를 때는 평균을 내기 전에 변동의 방향을 봅니다. 특정 선반만 매번 높거나 낮은지, 모든 선반이 같은 방향으로 이동하는지, 동일 위치의 변동이 시험자 또는 열전대 교체 시점과 맞물리는지를 구분합니다. 전자는 장비의 국소 원인 가능성이 높고, 후자는 공통 유틸리티·제어 또는 측정 체계의 원인 가설을 우선 검토하게 합니다.

8. 공식 원칙: 적격성평가는 설비의 사용수명 전반을 고려합니다

이 원칙은 mapping을 설치 시 한 번 하고 보관하는 시험성적서로 취급하지 말아야 한다는 뜻입니다. URS의 온도 범위·균일성·기록 요구사항은 DQ와 IQ/OQ를 거쳐, SIP·보전·센서 교체·제어 변경 뒤의 영향평가와 재적격성평가로 이어져야 합니다. 열전대 배치와 판정기준, 변경관리의 연결 고리를 미리 문서화해 두면 이후의 판단이 훨씬 일관돼집니다.

9. 현장 점검 체크리스트

• □ Mapping의 목적이 장비 성능 확인인지, 실제 적재 조건 확인인지 분명한가?
• □ 선반별·위치별 열전대 배치가 열 경계와 장비 구조를 반영하는가?
• □ 최소·최대 설정온도와 ramp·holding 구간의 선정 근거가 있는가?
• □ 빈 챔버 결과와 모사부하 또는 제품 PQ 결과를 같은 결론으로 혼동하지 않았는가?
• □ SIP, 보전, 센서·제어 변경 이력이 mapping 결과와 연결되는가?
• □ 평균뿐 아니라 최대 편차, 도달시간, 위치별 반복성을 함께 검토하는가?
• □ 편차 발생 시 제품 영향평가와 CAPA 효과성 확인 기준이 준비돼 있는가?
• □ 재적격성평가 범위가 변경의 위험과 실제 설비 기능에 비례하는가?

선반 온도 균일성은 동결건조기의 한 가지 숫자를 검증하는 일이 아니라, 장비·제품·변경관리의 연결을 입증하는 일입니다. 표준화된 측정 위치와 명확한 판정 논리, 변경 후의 적절한 재평가가 갖춰지면 결과는 다음 배치 의사결정에 사용할 수 있는 품질 데이터가 됩니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 동결건조기 적격성평가와 동결건조기 재적격성평가 수행 항목이 공개되어 있습니다. 설비의 변경관리와 적격성평가 범위 설정이 필요하시면 GMPCAT 주요 실적 보기에서 공개된 수행 분야를 확인하실 수 있습니다.

참고 문헌

• European Commission, EU GMP Annex 15: Qualification and Validation, Section 2.1
• European Commission, EudraLex Volume 4
• GMPCAT 주요 실적

바이알 세척기 최종 린스: 노즐·수질·세척성능 적격성평가

1. 최종 린스를 세척 사이클의 마지막 단계로만 보면 놓치는 것

바이알 세척기는 외관상 같은 동작을 반복하지만, 실제로는 바이알 규격·적재 자세·노즐 위치·유량·수압·수질·배수 시간이 얽혀 있습니다. 앞 단계에서 입자와 세척 잔사를 충분히 줄였더라도 최종 린스가 내면에 닿지 않거나, 최종수의 품질이 흔들리거나, 잔류수가 남으면 다음 공정에 불확실성이 넘어갑니다. 특히 무균 충전 라인에서는 세척기 출구의 바이알이 터널 멸균기와 충전 구간의 시작점이 되므로, 최종 린스 자료를 단순 설비 점검 기록으로 끝내면 공정 연결성이 약해집니다.

실무에서 자주 발생하는 오해는 세척기의 화면에 압력과 시간이 표시되면 세척성능도 입증됐다고 보는 것입니다. 화면 값은 설정값이 실행됐다는 증거일 뿐, 모든 포켓과 모든 바이알 내면이 같은 세척 효과를 얻었다는 증거는 아닙니다. 따라서 IQ에서는 노즐·배관·밸브·계측기·유틸리티 연결을 확인하고, OQ에서는 허용 운전범위의 반복성을, PQ에서는 대표 바이알과 최악 위치에서 실제 세척 결과를 각각 보여 주어야 합니다.

2. 공식 원칙: 제품 1차 용기 세척은 밸리데이션된 공정이어야 합니다

두 요구사항을 함께 놓으면 평가의 경계가 분명해집니다. 수계 시험성적서가 적합하더라도 세척기 내부의 dead leg, 필터, 호스, 밸브, 분사노즐과 배수 조건이 검증되지 않으면 ‘바이알에 도달한 최종수’의 상태를 대신할 수 없습니다. 반대로 노즐 분사가 좋아도 수계 경향이 불안정하다면 세척기 성능만으로 위험을 닫을 수 없습니다. 프로토콜에서 수계와 세척기의 책임 경계를 나누되, 결과 해석은 하나의 공정 흐름으로 연결하세요.

3. 노즐: 분사 압력보다 ‘도달성’과 ‘재현성’이 먼저입니다

내·외부 세척 노즐은 마모, 미세 막힘, 조립 위치 변화, 압력 변동의 영향을 받습니다. 특히 특정 포켓에서만 이상이 반복될 때 전체 헤더 압력이 정상이라는 이유로 노즐 상태를 제외하면 안 됩니다. 분사 패턴은 노즐별 유량과 분포, 바이알 중심축 정렬, 포켓 가이드의 마모, 이송 중 흔들림까지 포함해 봐야 합니다. 작은 바이알과 큰 바이알은 같은 노즐 거리에서도 내부 벽면의 젖음 방식이 달라질 수 있습니다.

노즐 성능을 평가할 때는 가장 세척이 어려운 조합을 사전에 정의해야 합니다. 예를 들어 작은 구경·긴 목·가벼운 바이알은 이송 안정성과 내면 도달성에서 불리할 수 있고, 큰 바이알은 포켓 정렬과 배수에서 다른 위험을 만들 수 있습니다. ‘대표 규격’이라는 표현만으로는 부족합니다. 왜 그 규격과 포켓, 어떤 운전 조건이 worst-case인지 위험평가 표에 근거를 남겨야 나중에 품목 추가나 change part 변경이 있을 때 평가 범위를 합리적으로 정할 수 있습니다.

4. 수질: 최종수의 시험성적서와 사용점 데이터를 연결합니다

최종 린스에 쓰는 물은 용도에 맞는 규격, 사용점, 채취 시점이 명확해야 합니다. 수계가 정상이라는 월간 요약만 보고 세척기 성능을 판정하면, 사용량이 높은 시간대의 변동이나 세척기 공급부에서의 정체를 놓칠 수 있습니다. 수질 자료는 최소한 해당 사용점의 물리·화학·미생물 관리전략, 채취 방법, 시험과 세척 수행의 시간 관계를 검토해야 합니다.

여기서 중요한 것은 임의의 숫자를 다른 공장에 복사하지 않는 것입니다. 최종수의 허용기준은 제품, 후속 공정, 사내 수계 규격, 위험평가에 의해 설정됩니다. 세척기 PQ에는 적용된 사내 기준과 해당 기준의 출처, 채취 위치, 표본 수, 시험법의 적합성을 명시하세요. 수계에서 경계 신호가 있을 때 세척기 운전을 계속할 수 있는지에 대한 의사결정도 일탈·변경관리와 연결되어 있어야 합니다.

5. 배수와 carryover: 깨끗하게 씻은 뒤 남는 위험

세척 후 잔류수는 입자나 용출물의 재분포, 후속 건조 불량, 터널 투입 전 오염 위험과 연결될 수 있습니다. 배수 성능은 노즐의 세척력과 별개로 검토해야 합니다. 바이알이 포켓에서 기울어지는 정도, 공기 블로우 조건, 이동 중 충격, 드레인 경사, 배수관 막힘, 세척수와 최종수 전환 시 밸브 누설은 모두 잔류수와 carryover에 영향을 줄 수 있습니다.

PQ에서 보기 좋은 방식은 특정 한 번의 관찰로 결론을 내리는 대신, 규격별·포켓별·시작/중간/끝 구간을 나누고 반복 운전에서 같은 경향이 나오는지 확인하는 것입니다. 린스 단계 전후의 시료나 관찰 결과를 같은 바이알 위치와 연결해야 하며, 세척기 출구에서 이상이 보일 때 터널이나 충전기 문제로 성급히 넘기지 않아야 합니다. 원인 범위를 좁히려면 ‘어느 포켓의 어느 단계에서’ 신호가 발생했는지 기록하는 습관이 필요합니다.

6. IQ·OQ·PQ를 한 시험표에 섞지 않는 방법

프로토콜이 길어질수록 IQ, OQ, PQ의 목적이 섞이기 쉽습니다. IQ는 설치·도면·재질·유틸리티·계측·소프트웨어와 같은 기반을 확인합니다. OQ는 압력, 유량, 시간, 알람, 인터록, 규격 전환 같은 운전 기능이 설정 범위에서 반복되는지 확인합니다. PQ는 실제 대표·최악조건 바이알을 사용하여 세척 결과가 목적에 맞는지 확인합니다. 셋을 구분하면 OQ 압력이 정상인데 PQ 결과가 흔들릴 때, 단순 설정 오류가 아니라 도달성·규격조합·배수라는 다음 가설로 자연스럽게 이동할 수 있습니다.

세척성 평가 지표는 제품·공정 위험에 맞춰 정해야 합니다. 입자, 잔류물, 미생물, 엔도톡신 또는 육안 관찰 중 어떤 자료가 필요한지는 바이알의 공급 상태와 후속 공정, 사내 CCS를 바탕으로 결정합니다. 시험법의 검출능과 회수율, 시료취급으로 인한 오염 가능성도 함께 평가하세요. ‘측정하지 않음’을 ‘없음’으로 해석하지 않도록 시험법의 한계를 프로토콜에 반영하는 것이 중요합니다.

샘플링 계획에는 무엇을 채취했는지만큼 무엇을 채취하지 않았는지도 중요합니다. 바닥에 놓여 있던 바이알과 정상 이송을 거친 바이알을 섞으면 결과의 의미가 흐려집니다. 채취 전 포켓 위치, 생산 순번, 접촉 도구, 보관용기, 시험까지의 시간을 고정하고 원자료에 남기세요. 시료가 적합하지 않아 재채취하는 경우에도 최초 시료의 식별과 판단 근거를 보존해야 경향분석에서 신호가 사라지지 않습니다.

7. 최악조건은 가장 느린 속도 하나로 정해지지 않습니다

운전속도가 낮으면 분사 시간이 길어져 항상 보수적이라고 생각하기 쉽지만, 실제 최악조건은 위험 항목에 따라 달라질 수 있습니다. 처리량이 높을 때 압력 회복이 느려질 수 있고, 규격 전환 직후에는 정렬 오차가 커질 수 있으며, 장시간 연속 운전의 후반에는 필터 차압이나 노즐 오염이 누적될 수 있습니다. 그래서 위험평가에서는 속도, 규격, 포켓 위치, 연속 운전 길이, 유틸리티 동시 사용, 시작과 종료 구간을 분리해 봐야 합니다.

예를 들어 시험 매트릭스는 ‘최소·최대 운전속도’만 두는 대신, 각 속도에서 가장 작은 입구 직경 바이알과 가장 큰 바이알, 대표 포켓과 이상 이력 포켓, 기동 직후와 연속 운전 후반을 조합해 구성할 수 있습니다. 모든 조합을 무한히 늘리기보다, 위험평가에서 제외한 조합의 근거를 명확히 남기는 편이 검토에 유리합니다. 이후 변경이 발생하면 같은 표를 다시 활용해 필요한 재평가 범위를 빠르게 잡을 수 있습니다.

8. 부적합이 나왔을 때 재시험 전에 정할 것

최종 린스 결과나 잔류수 관찰이 기준을 벗어났을 때, 가장 먼저 할 일은 같은 샘플을 다시 보는 것이 아니라 영향 범위를 정하는 것입니다. 해당 포켓·시간대·바이알 규격·생산 lot·후속 터널 투입 상태를 연결하고, 수계·노즐·배수·계측·시험법 중 어떤 가설을 우선 검토할지 계획합니다. 재시험은 현재 상태의 재현성을 확인하는 도구이지만, 최초 결과를 자동으로 지우는 장치는 아닙니다.

1. 즉시 통제: 영향을 받은 규격·포켓·시간대를 식별하고 필요 시 사용 상태를 통제합니다.
2. 원자료 검토: 시료 식별, 시험법, 계측 교정, 샘플링 순서, 계산과 전사 오류를 확인합니다.
3. 공정 조사: 노즐 맵, 압력·유량 추세, 수계 사용점, 밸브·필터·드레인 이력, 규격 전환 기록을 대조합니다.
4. 제품 영향평가: 연결된 바이알과 후속 공정 상태, 대체 가능한 품질 근거를 정리합니다.
5. CAPA 효과성: 교체·세척·재정렬·절차변경 뒤 어떤 조건에서 무엇을 반복 확인할지 사전에 정합니다.

특정 노즐 교체 후 모든 조건을 처음부터 다시 해야 하는지, 영향 포켓 중심의 보완 평가가 가능한지는 변경의 성격과 위험평가에 달려 있습니다. 이때 최초 IQ/OQ/PQ에서 노즐별 식별과 포켓 맵, worst-case 선정 근거가 잘 남아 있으면 재적격성평가 범위를 과도하게 넓히거나 좁히지 않을 수 있습니다.

조사 결과를 CAPA로 전환할 때는 예방보전 주기만 늘리는 방식에 머물지 않는 편이 좋습니다. 막힘이 반복되는 원인이 공급수 전처리, 노즐 형상, 세척 절차, 부품 취급 중 어디에 있는지에 따라 조치도 달라집니다. 조치 후에는 해당 원인 가설과 직접 연결된 지표를 정해 같은 운전 조건에서 확인해야 합니다. 예를 들어 노즐 청소 절차를 바꿨다면 청소 서명만 보지 말고 포켓별 분사·배수 결과와 재발 빈도를 함께 검토합니다.

9. 월간 검토에 넣을 체크리스트

• □ 최종 린스 사용점과 적용 수질 규격·채취 지점이 최신 P&ID 및 절차서와 일치하는가?
• □ 노즐·포켓·change part의 식별과 교체 이력을 추적할 수 있는가?
• □ 이상 발생 시 포켓 위치, 규격, 시간대, 후속 공정을 함께 검색할 수 있는가?
• □ 세척기 유입 압력만이 아니라 실제 분사·도달성·배수에 관한 확인자료가 있는가?
• □ 수계 경향, 필터 차압, 밸브·드레인 보전이력과 세척성 결과를 같은 기간으로 비교했는가?
• □ 바이알 규격 추가·전환부품 변경·노즐 교체 시 재평가 규칙이 변경관리 안에 있는가?
• □ 터널 투입 전 보관시간과 세척 후 건조·이송 조건이 공정 흐름에서 연결되는가?

좋은 세척기 적격성평가는 ‘린스가 있었다’는 문서가 아니라, 필요한 수질이 필요한 위치에 필요한 방식으로 도달하고, 그 상태가 운전 기간 동안 유지된다는 설명입니다. 노즐·수질·배수를 각각 관리하되 하나의 공정 성능으로 해석하면, 작은 이상도 후속 공정의 큰 문제로 번지기 전에 포착할 수 있습니다.

핵심 정리

최종 린스의 적합성은 수계 성적서, 세척기 화면값, 육안관찰 중 하나로 대체되지 않습니다. 사용점 수질, 포켓별 노즐 도달성, 배수와 carryover, 대표·최악조건의 PQ, 그리고 변경 후 재평가가 연결되어야 합니다. 세척기의 작은 설비 이상을 ‘후속 터널이 있으니 괜찮다’고 넘기지 말고, 1차 용기 세척 공정 자체의 관리 근거를 단단히 쌓아 두세요.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 바이알 세척기가 포함된 중요 설비 재적격성평가 항목이 공개되어 있습니다. 공개된 범위는 설비 적격성평가이며, 세부 시험 범위는 설비와 프로젝트별로 달라질 수 있습니다. GMPCAT 주요 실적 보기에서 관련 수행 분야를 확인하실 수 있습니다.

참고 문헌

• European Commission, EU GMP Annex 1: Manufacture of Sterile Medicinal Products, 6.8, 8.2
• European Commission, EudraLex Volume 4
• GMPCAT 주요 실적

PUPSIT 시험 실패: 필터 습윤·압력 안정화·조사 흐름

1. PUPSIT는 무엇을 확인하는 시험인가

무균여과 공정에서 필터 무결성시험은 필터 재질과 조립체가 설정된 미생물 보유 성능에 필요한 상태로 유지되는지를 확인하는 수단입니다. PUPSIT는 멸균이 끝난 뒤, 실제 제품 여과 전에 수행하는 시험입니다. 즉 필터가 멸균 사이클과 조립·연결 상태를 거친 뒤에도 사용 가능한지를 제품 투입 전에 확인하는 통제점입니다.

저희 GMPCAT(지캣)이 프로토콜을 검토할 때는 PUPSIT를 필터 제조사 성적서의 반복 확인으로 보지 않습니다. 필터 모델, 하우징, 가스 공급, 시험기, 밸브 배열, 습윤액, 멸균 조건과 작업 순서가 한 조립체로 작동한다는 점이 중요합니다. 필터 자체의 문제와 조립·시험 조건의 문제는 나타나는 값이 비슷할 수 있으므로, 실패 조사도 그 순서에 맞춰 설계해야 합니다.

이 요구의 초점은 단순한 합격성적서가 아니라 ‘사용 전’이라는 시점입니다. 시험 합격과 실제 여과 사이에 조립체를 분리하거나 밸브 구성·압력 조건을 바꾸면, PUPSIT가 보증하는 경계도 달라집니다. 따라서 배치기록에는 시험시각, 필터 식별번호, 시험기 식별번호, 연결 상태와 시험 후 제품 여과로 이어지는 상태를 추적 가능하게 남겨야 합니다.

2. 값이 흔들리는 세 지점: 필터·유체·시험계

같은 ‘불합격’이라도 원인은 다릅니다. 예를 들어 확산유량이 높다는 결과만으로 필터 손상을 단정하면 습윤 부족이나 연결부 누설을 놓칠 수 있습니다. 반대로 시험기 연결을 다시 한 뒤 합격했다고 해서 최초 결과를 자동으로 무효 처리해서도 안 됩니다. 최초 결과가 왜 발생했는지와 재시험이 어떤 가설을 확인했는지를 분리해 기록하는 것이 핵심입니다.

3. 습윤은 ‘젖었다’가 아니라 시험 조건을 재현하는 일입니다

필터 무결성시험의 허용기준은 특정 필터, 시험 방법, 습윤액 및 온도 조건의 조합에 연결되어 있습니다. 친수성 막도 보관·멸균·배수·벤트 과정에서 기포가 남을 수 있고, 소수성 막은 별도 습윤 절차의 영향이 더 큽니다. 현장에서 ‘충분히 적셨다’는 표현만으로는 재현성이 없습니다. 제조사가 정한 습윤액, 유량 또는 접촉시간, 배출 방법, 온도 범위와 시험 방법을 절차서에 그대로 연결해야 합니다.

특히 필터 상류·하류의 높은 점에 공기가 남아 있으면 필터가 일부만 젖은 것처럼 동작할 수 있습니다. 이때 작업자는 시험을 서둘러 반복하기보다, 유체가 실제로 필터 매체 전체를 통과하도록 vent 경로와 밸브 상태를 확인해야 합니다. 배관 구성마다 필요한 vent 포인트가 다르므로, 일반적인 그림을 복사하기보다 해당 skid의 P&ID와 작업자 관찰 위치를 절차에 반영하는 편이 좋습니다.

4. 압력 안정화: 시험 시작 시간을 관리해야 하는 이유

PUPSIT는 압력과 시간에 반응하는 시험입니다. 가스가 주입된 직후에는 필터·하우징·연결 호스 내 압력과 온도가 평형에 이르는 과정이 남아 있을 수 있습니다. 압력 안정화가 충분하지 않으면 시험기의 초기 신호가 실제 필터의 성능보다 배관 체적, 온도 변화 또는 미세한 연결부 움직임을 반영할 수 있습니다.

그래서 절차서에는 ‘안정화한다’가 아니라 시작 조건을 명확히 두어야 합니다. 예를 들어 설정 압력에 도달한 뒤 장비가 요구하는 안정화 단계가 끝났는지, 압력 추세가 허용 범위에서 유지되는지, valve 조작이 종료되었는지, 누설시험 또는 system check가 필요한 구성이면 통과했는지를 확인한 뒤 본 시험으로 넘어갑니다. 정해진 대기 시간을 무조건 길게 하는 것보다 해당 시험기와 필터 제조사 방법에서 규정한 sequence를 일관되게 지키는 것이 우선입니다.

현장에서는 배치 지연을 줄이려는 마음에 안정화 중 나타난 압력 흔들림을 바로 재시작으로 처리하기 쉽습니다. 그러나 반복 재시작 자체가 연결부·밸브·가스 공급의 이상 신호일 수 있습니다. 평소보다 안정화가 길어졌다면 시험값이 합격이어도 특이사항으로 남기고, 같은 설비·동일 조립체에서 반복되는지 경향을 봐야 합니다.

5. PUPSIT 실패 시 5단계 조사 흐름

첫 단계는 항상 사용 보류입니다. PUPSIT가 제품 여과 전의 통제점이기 때문에, 불합격이 나온 조립체를 근거 없이 제품에 연결하는 것은 피해야 합니다. 제품이 아직 투입되지 않았다면 사건의 중심은 조립체·시험 조건·교체 판단입니다. 반대로 일부 여과가 진행된 뒤 문제를 발견했다면, 해당 배치와 여과 시간대, 필터 전후 공정 상태를 포함한 제품영향평가가 추가됩니다.

원자료는 재시험보다 먼저 보전합니다. 시험기 화면의 최종 PASS/FAIL만 저장하면 압력상승, 안정화, 시험 중 경보 같은 맥락을 잃습니다. 시험기 audit trail, 설정값 변경 이력, operator login, 가스공급 경보와 설비 historian이 있다면 같은 시간 축으로 대조하세요. 데이터 검토에서 실제 오류가 확인되더라도 그 오류가 결과에 미친 영향을 논리적으로 설명해야 합니다.

6. 재시험은 언제 도움이 되고, 무엇을 대신하지 못하는가

재시험은 허용되지 않는 최초 결과를 지우는 버튼이 아닙니다. 재시험을 하려면 무엇을 바로잡았는지와 그 조치가 어떤 원인 가설을 검증하는지 먼저 정해야 합니다. 예를 들어 승인 절차와 다르게 vent가 수행되지 않았고 그 사실이 객관적 기록으로 확인됐다면, 올바른 vent·습윤 절차를 적용한 재시험은 조립체의 재평가 자료가 될 수 있습니다. 하지만 필터 자체 또는 하우징 손상 가능성이 남아 있는 상황이라면 단순 반복값으로 그 가능성을 닫을 수 없습니다.

재시험 계획에는 수행자, 재시험 전 조치, 사용 유체, 안정화 조건, 허용기준, 원자료 검토자와 제품에 대한 의사결정 경로를 정합니다. 동일 작업자가 같은 연결 방식으로 즉시 반복하는 것은 작업자·연결 조건의 영향을 분리하기 어렵습니다. 필요하다면 독립 검토자 입회, 다른 시험기 또는 승인된 점검 절차를 활용하되, 장비를 바꾸었다는 사실 자체도 조사 범위에 포함하세요.

7. CAPA는 시험자 재교육만으로 끝나지 않습니다

조사에서 습윤 미흡이나 밸브 순서 오류가 확인되었다면 재교육은 필요할 수 있습니다. 그러나 비슷한 오류가 다시 일어나지 않게 하려면 작업지시서의 모호한 표현, vent 포인트 표시, hose 연결 방식, 시험기 화면의 단계 안내, 작업 공간의 물리적 라벨도 함께 검토해야 합니다. 사람의 주의에만 의존하는 조치는 현장의 시간 압박 속에서 약해지기 쉽습니다.

설비 쪽 원인이 의심되면 gasket 교체나 hose 교체로 끝내지 말고, 어떤 부품·연결이 어떤 시험 조건에서 영향을 주었는지 확인하세요. 이후 효과성 평가는 다음 몇 건의 합격 여부만 보는 것이 아니라, 안정화 시간·경계값 근접 결과·동일 시험기의 경보 이력까지 포함해 추세로 판단하는 것이 바람직합니다. 변경된 SOP와 교육 자료가 실제 배치기록에서 같은 방식으로 실행되는지도 확인해야 합니다.

• □ 필터와 하우징 조립체의 식별이 멸균기록·시험기록·배치기록에서 이어지는가?
• □ 습윤액, 온도, vent, 안정화 순서가 제조사 방법과 승인 절차에 연결되는가?
• □ 불합격 때 사용할 즉시 통제·원자료 보전·QA 통보 기준이 정해져 있는가?
• □ 재시험의 전제와 승인권자가 절차서에 분명한가?
• □ 반복되는 안정화 지연·경계값 근접 결과를 경향으로 검토하는가?
• □ CAPA 효과성 평가가 교육 서명만이 아니라 후속 공정 데이터까지 포함하는가?

8. 배치기록에서 놓치기 쉬운 연결고리

PUPSIT 기록은 단독 시험성적서만으로 완성되지 않습니다. 필터를 수령해 보관한 상태, 조립 완료 시각, 멸균 사이클 번호, 냉각 또는 대기 시간, 습윤 시작 시각, 시험 완료 시각, 제품 여과 시작 시각을 한 흐름으로 볼 수 있어야 합니다. 이 순서가 끊기면 합격한 조립체가 실제 제품 여과에 사용됐는지, 또는 시험 후 조립체 상태가 바뀌었는지를 설명하기 어려워집니다.

특히 단일 배치에서 병렬 필터 또는 예비 필터를 사용하는 경우에는 필터별 식별 체계를 명확히 합니다. ‘주 필터 합격’ 같은 기록은 어느 하우징의 어느 필터인지 설명하지 못합니다. 위치, 방향, 시험 결과, 실제 통과량과 여과 종료 후 무결성시험 결과를 필터 단위로 연결해 두면, 조사 때 불필요하게 전체 공정을 넓히지 않고도 영향 범위를 판단할 수 있습니다.

전자 시험기를 쓰는 현장이라면 승인된 결과의 인쇄본만 붙이는 습관도 점검할 필요가 있습니다. 시험 설정값·사용자·시간대·중단 또는 재시작 이력이 전자 원자료에 남는다면, 배치기록에는 그 원자료의 식별과 검토 사실이 이어져야 합니다. 종이 기록과 전자 데이터가 서로 다른 시간을 가리키면, 그 자체가 시험 또는 문서화 절차의 조사 항목이 됩니다.

9. 현장 토의에 쓸 수 있는 판단 사례

가령 제품 투입 전 PUPSIT에서 확산유량이 한계를 초과했고, 같은 조립체에서 vent 라인의 닫힘 상태가 절차와 달랐다는 사실이 발견됐다고 가정해 보겠습니다. 이때 해야 할 일은 다시 vent를 열어 재시험만 하는 것이 아닙니다. 최초 시험의 원자료를 보전하고, 절차 이탈이 값에 영향을 줄 수 있는지 시험 방법과 장비 구성을 근거로 검토한 뒤, 수정된 연결 상태와 재시험 계획을 승인합니다. 재시험이 합격하더라도 최초 불합격의 원인·영향·시정 조치가 조사 보고서에 남아야 합니다.

반대로 연결과 습윤 조건이 모두 승인 절차와 일치하고, 하우징 또는 gasket의 물리적 이상이 관찰됐다면 우선순위는 조립체 교체와 사용 보류입니다. 이 상황에서 재시험은 손상 의심 조립체를 계속 사용하기 위한 근거가 아니라, 조사 설계에 따라 원인을 구분하기 위한 제한된 자료일 수 있습니다. 제품이 연결된 이후라면 그 뒤의 제품 영향평가와 출하 판단은 별도의 품질 의사결정으로 관리해야 합니다.

핵심 정리

PUPSIT 실패의 좋은 조사는 필터를 교체하고 결과를 다시 얻는 데서 끝나지 않습니다. 필터 조립체, 습윤, 압력 안정화, 시험기 연결, 원자료, 제품 상태를 시간순으로 연결해야 합니다. 시험 전 절차를 구체화하고 최초 신호를 보존하면, 불필요한 재시험과 과도한 제품영향평가를 모두 줄일 수 있습니다.

참고 문헌

• European Commission, EU GMP Annex 1: Manufacture of Sterile Medicinal Products, Section 8
• European Commission, EudraLex Volume 4