实验室单机设备数据可靠性合规建设

童斌华 俞金河 吴晓波

（浙江康恩贝制药股份有限公司 浙江省金华市 321100）

1 引言

可靠性要求数据是真实的、安全的、可追溯的数据，所有的数据均处于客观真实的状态。CFDA 的《计算机化系统附录》对数据的审计追踪、数据的备份等都做出了详细的要求。单机版计算机设备数据备份操作繁琐，需要逐一手动备份，移动存储设备可能还存在病毒破坏实验数据的隐患。但建设网络版的成本较高，动辄上百万，而实验室设备单机版数量多，除液相系统外还有很多不同类型，所以怎样使现有单机版设备合规，并满足业务要求是本课题急需解决的，单机设备的计算机化系统数据可靠性合规建设是必然的结果。笔者通过QC 活动（小组名称：信息合规QC 小组；注册号：GQC-2017-012；课题类型：创新型；活动时间：二〇一七年四月至二〇一七年十二月）来研究实验室单机设备的数据可靠性合规建设，并获得了浙江省QC 成果二等奖。

2 问题分析

通过现有手段分析、网上查新、市场调研等多种途径发现，目前除了AGILENT、WATERS 等专用商品化软件，还没有其他方式实现实验室单机设备的数据可靠性合规建设。但商品化软件费用动辄上百万，企业合规成本高，笔者发现利用计算机ActiveDirectory域技术，也可以基本满足实验室设备数据可靠性合规建设。

3 系统设计与分析

本文提出的合规建设是通过搭建ActiveDirectory 域服务器，连接各个实验室单机设备的计算机化系统，通过域的用户管理、权限管理、数据管理来实现合规需求。

实验室计算机系统合规性的功能要求可以总结为：时间锁定、时间同步、审计追踪、自动备份、账户唯一、权限分配、禁止使用移动存储设备、禁止删除系统数据、数据安全和数据备份等，针对本次数据可靠性合规建设，还需考虑到降低成本、降低系统维护时间等因素。

利用域控制器技术实现时间同步、数据备份与安全、人员与文件权限控制、审计追踪等合规性要求，使原先实验室计算机化设备单机版升级成网络版。

4 系统实现

为尽快完成实验室计算机化数据可靠性合规建设，利用箭条图法，合理安排制作流程。如图1 所示。

图1

4.1 用户管理

人员管理是合规建设中的主要内容。合规建设前，实验室使用单机版计算机化系统，统一使用管理员账号进入操作系统，可以任意修改操作系统设置；合规建设对应的用户为使用实验室计算机化系统的实验室人员，在ActiveDirectory 域中建立相应的域账户，使用域账户登录操作系统，杜绝使用域账号之外的账号登录操作系统，实现访问控制。

域系统管理员为用户建立域用户来登录域及访问域上的资源。域系统管理员根据实验室人员名单建立域用户及不同的实验组；将域用户加入对应实验组中，制定不同的组策略并应用至所有域用户上，实现域用户使用不同的组策略进入系统。

4.2 权限管理

实验室所使用的域用户包含DefaultDomainPolicy 和Default DomainControllerPolicy 两条策略项，隶属于DomainUsers 及对应建立的实验组，所具备的权限只有使用业务软件的权限。

组策略通过组策略对象（Group Policy Object，GPO）来设置，只要将GPO 链接到指定的站点、域或组织单位，该GPO 内的设置值就会影响到该站点、域或组织单位内的所有用户和计算机。

针对本次建设所使用的内置GPO 分为两部分，分别为：

（1）DefaultDomainPolicy：主要配置的功能为账户策略、访问注册表策略、使用命令指示符功能策略、移动存储访问策略。限制用户对计算机基本配置的修改功能。

（2）DefaultDomainControllerPolicy：主要配置的功能为本地磁盘的访问策略。限制域用户对本地计算机磁盘的访问权限，防止用户修改/删除数据。

针对不同实验室工作小组，建立不同GPO；针对实验室的计算机化系统，建立两套GPO 进行用户权限控制；针对域用户账户建立了密码复杂性、密码修改周期、密码池、密码错误阈值、锁定时间、登录登出审计追踪等策略；针对用户对计算机化系统访问建立了禁止使用命令指示符、禁止访问注册表、禁止使用移动存储设备、禁止打开控制面板等策略；针对数据安全方面建立了隐藏本地磁盘、防止访问本地磁盘等策略。

组策略功能模块包含了权限分配、审计追踪等功能。

权限分配：应当对进入和使用系统制定授权、取消和授权变更的操作规程。

审计追踪：用于记录数据的输入和修改以及系统的使用和变更。

计算机配置：用于开启或关闭相关计算机系统内部功能。

对于单机版的计算机化系统，本地计算机的审计追踪功能需要单独开启，在这一方面管理员将会花费大量时间；而在ActiveDirectory 域中，实现了审计追踪功能的统一开启，并且还能实现操作系统不同权限的分配，域用户无法修改成员计算机的基本设置，例如：修改时间、修改IP 地址、修改注册表等影响系统的操作，同时也无法编辑或删除系统中数据。

密码复杂性保障域用户账号由个人单独使用，其他人员无法使用该账号登录系统。根据法规要求，密码更改期限设定为90 天，系统定期通知域用户更改密码，如不修改密码，域用户则无法登陆系统；域用户连续多次输入错误密码，系统会根据策略设置的密码错误阈值，锁定该账户，防止其他人员恶意暴力登录系统；禁止移动存储设备，杜绝实验室人员使用移动存储设备拷贝数据，防止病毒破坏数据；隐藏本地磁盘并防止访问本地磁盘确保了域用户登录系统后，无法删除盘符中的实验数据，保障数据的安全。

4.3 数据管理

根据电子数据安全性要求，电子数据安全性一般分为逻辑安全性和物理安全性。逻辑安全性即是通过软件自身的权限控制对数据的访问、录入、修改和删除等操作，确保不被人为误操作或有意的篡改行为而影响数据安全。而物理安全性，即是对数据存储的介质（如硬盘、光盘、服务器等）进行保护，确保系统本身不会因为物理介质的损坏或故障造成数据丢失。

单机版的实验室计算机化系统，数据存储在本地计算机的硬盘中，对于数据保障存在较大风险，如出现硬盘损坏，同时备份不及时，有可能出现丢失部分业务数据的情况。

合规建设的数据管理体现在域成员计算机通过备份脚本将本地的业务数据自动备份至Active Directory 域服务器中，实现异地备份。根据不同的实验室设备建立备份文件夹，在设置共享时，只添加对应的实验小组的用户组，此备份文件夹只能该实验组的成员访问。

4.4 系统实现结果

QC 小组根据设计方案组织活动，活动完成后进行了效果检查。

（1）实验室设备的计算机化系统已加入到域环境，通过启用组策略中用户配置下的禁止访问控制面板、禁止修改注册表、禁止使用命令符等策略，实现了域用户无法打开控制面板，防止用户修改时间、修改时区、修改IP 地址、修改计算机系统环境等操作。

（2）单机版实验室计算机化系统时间需要定期进行校准，数量较大，如果所有系统都需要校准时间，将花费大量的时间。现在由Active Directory 域服务器充当时间服务器角色，所有成员计算机自动同步Active Directory 域服务器上的时间，由之前单机版计算机逐台校正时间的检查模式转换成时间统一同步服务器时间模式，并无法篡改，降低了维护计算机化系统的时间。

（3）通过启用组策略中的密码策略和本地策略，以此开启域用户的密码复杂性、密码长度、密码周期、密码池、帐户锁定阈值、用户登录事件（审计追踪）等功能，保障了域用户的帐户唯一性及安全性，防止恶意爆破登录操作系统。

（4）通过启用组策略中的拒绝所有权限策略，禁止域用户使用移动存储设备，成员计算机无法读取移动存储设备中的数据，防止病毒通过移动存储设备影响实验室中实验设备所使用的计算机化系统。

（5）通过启用组策略中的隐藏指定的驱动器和防止访问驱动器的策略，磁盘驱动器只能由域管理员才能查看访问，防止了域用户直接进入驱动器中进行数据操作（如：修改、删除等）。

（6）数据备份通过备份脚本将数据备份至服务器上，不同的实验室计算机化系统使用不同的备份策略，例如域用户登陆后，系统自动运行脚本进行数据备份、系统定时通过备份脚本进行数据备份等备份策略，保障了数据备份的时效性，且备份脚本都是在Active Directory 域用户使用系统时运行，确保数据备份时的安全性。备份策略统一使用增量备份（首次数据备份为全备份）。

5 结论

本文讨论了利用ActiveDirectory 域技术实现实验室单机设备数据可靠性的合规建设，从创新效果来说：利用域控制器技术实现时间同步、数据备份与安全、人员与文件权限控制、审计追踪等合规性要求，使原先实验室单机设备的计算机化系统满足制药行业的合规要求；从经济效益来说：购买商品化的实验室设备管理系统，包括软件、硬件及授权等内容，所需要的费用过百万，而本文讨论的合规建设所使用到的软硬件总计费用只需上万元，极大的降低了合规建设的成本；从推广效果来说，利用ActiveDirectory 域控技术进行管理，管理方式更简便，能满足行业法规的基本要求，类似实验室单机设备的计算机化系统，如生产设备等，都可以利用此方式实施，具有很强的推广价值。小组成员通过学习，掌握了各种管理工具和方法，对甘特图、箭条图、流程图、PDCA 法等管理工具能做到熟练的运用。通过团队协作，激发了小组成员的积极性和创造性。回首此次活动，小组通过利用域控制器来管理实验室单机设备的计算机化系统，创造性的解决了企业经营中的实际问题，提升了合规性，降低了合规成本，在专业技术、管理技术、人员素质方面得到了提升。