作者： 杭州沐昀科技有限公司 技术部 阅读对象： 无菌药品、无菌医疗器械及生物制品企业的 QA/QC、验证、生产、无菌保证（SME）与质量风险管理负责人，以及需要把灭菌验证、环境监测与无菌工艺模拟（APS）纳入污染控制策略（CCS）体系建设的岗位
很多企业的无菌保证体系里，生物指示剂（BI）被当作"一用就灵"的金标准：放进灭菌柜、培养、看长不长。但 BI 自己也会"失灵"——假阴性会让本该判废的批次被放行，假阳性会把合格的批次拖进偏差调查。EU GMP Annex 1（2022）要求企业建立并维护一份污染控制策略（CCS），基于风险理解去管理全部污染风险；而 BI 的失败模式，恰恰是 CCS 最容易被忽略、却最致命的一类风险。本文用 FMEA（失效模式与影响分析）这把"手术刀"，把 BI 在无菌保证全链路上的失败模式逐一剖开，给出可落地的评分与闭环方法，让 BI 的可靠性本身被写进 CCS。
一、CCS 是什么：Annex 1 给无菌保证立的"总纲"
EU GMP Annex 1（2022 版）第 2.5 段对污染控制策略（Contamination Control Strategy, CCS）给出了明确界定：它是企业提出的、旨在对生产中的微生物、内毒素/热原与颗粒污染风险进行识别、评估并恰当控制的策略，且其依据应来自于对当前产品和工艺的现有知识与风险理解。换句话说，CCS 不是一份孤立的文件，而是把无菌保证相关的所有要素"串成一张网"的总纲。
Annex 1 在 2.5 随后列举了 CCS 需要覆盖的若干要素，通常包括：厂房与设备设计、人员、公用系统（HVAC、水、压缩空气/气体）、物料与组件控制、供应商与来料管理、工艺设计、工艺控制、清洁与消毒、环境监测体系等。这些要素彼此关联，任何一个环节失守都可能成为污染路径。
| CCS 构成要素 | 典型关注点 | 与 BI 的关系 |
|---|---|---|
| 设施与设备设计 | 流向、压差、气锁、隔离器/RABS | 决定 BI 挑战的负载与最难灭菌点（PCD） |
| 人员 | 培训、行为、更衣、人机干预 | BI 放置/回收/培养的人为错误来源 |
| 公用系统 | HVAC、纯蒸汽、压缩空气、水 | 蒸汽灭菌 BI 直接依赖纯蒸汽质量 |
| 物料与组件 | 来料放行、内包装、COA | BI 本身的 COA、菌株溯源与批间一致性 |
| 工艺控制 | 灭菌参数、装载方式、OQ/PQ | BI 是工艺验证的核心挑战介质 |
| 清洁与消毒 | 消毒剂选型、频次、环境监测 | 与 BI 灭菌验证互补，区分消毒与灭菌 |
| 监测体系 | EM、中控、趋势分析 | BI 结果 + 环境监测共同构成放行证据 |
关于 Annex 1 的更新要点与法规脉络，可参考本系列《法规与标准追踪：中国药典 2025 版、ISO 11138 系列与 EU GMP Annex 1 更新要点》。理解 CCS 的框架，是把 BI 失败模式"装进去"的前提。
二、BI 在 CCS 中的定位：验证与监测的支柱
在 CCS 这张网里，BI 主要承担验证与监测两大职能：在灭菌工艺的 IQ/OQ/PQ（含 PCD 确认）中，用高抗力休眠芽孢挑战最难灭菌点，证明工艺具备过度杀灭（overkill）富余量；在日常生产中，对过程挑战装置（PCD）与负载 BI 进行周期性监控。BI 之所以是"金标准"，正是因为它用最耐受的微生物去挑战最严苛的工艺，从而把"无菌保证水平（SAL 10⁻⁶）"落成可验证的事实——详见本系列《生物指示剂是什么？为什么它是灭菌验证的"金标准"》与《生物指示剂与无菌保证水平（SAL）》。
但问题在于：BI 不是"黑盒里的绝对真理"，它自身也有失效的可能。一旦 BI 给出假阴性（灭菌实际失败、挑战芽孢却不生长），最极端的情况下可能放行一个无菌不合格的批次——这是无菌保证中最不可接受的结果。因此，把 BI 的失败模式纳入 CCS 的风险评估，不是"锦上添花"，而是对无菌保证体系的关键补强。这也与无菌工艺模拟（APS）中 BI 的应用逻辑相互呼应，详见本系列《生物指示剂在无菌工艺模拟（APS）中的应用》。
三、用 FMEA 把 BI 的失败模式"显影"出来
FMEA（Failure Mode and Effects Analysis，失效模式与影响分析）是一种成熟的、前瞻性的定性—半定量风险工具，思路是：在失效发生前，系统识别每一个"可能怎么坏（失效模式）"、坏了"会造成什么后果（影响）"、"为什么会坏（成因）"，并对严重度（Severity, S）、发生度（Occurrence, O）与可探测度（Detection, D）三个维度打分，计算风险优先数 RPN = S × O × D，据此排序并分配控制措施。其方法论与 ISO 14971（医疗器械风险管理）、ICH Q9（质量风险管理）同源，在无菌保证领域与 Annex 1 的风险导向要求天然契合。
| 维度 | 含义 | 打分方向 | 备注 |
|---|---|---|---|
| 严重度 S | 失效后果对产品质量/患者安全的危害 | 1（可忽略）→ 10（灾难性） | 假阴性放行无菌不合格批次通常取 9~10 |
| 发生度 O | 该失效模式在现有控制下的发生概率 | 1（极罕见）→ 10（几乎必然） | 受 COA 复核、双人复核等控制压低 |
| 可探测度 D | 失效在到达患者前被发现的难易 | 1（极易发现）→ 10（几乎不可发现） | 假阴性最难探测，D 偏高 |
| RPN | S × O × D 的综合排序 | 数值越高越优先处理 | 阈值由企业自定（如 ≥ 100 强制行动） |
对 BI 做 FMEA 时，建议沿"来料 → 储存运输 → 放置/回收 → 培养判读 → 记录归档"的全生命周期展开，逐环节列出失效模式。这与本系列《生物指示剂抗力建立与抗性确认》、《生物指示剂储存、效期与验收管理》里的来料与储存控制思路一致，只是把"控制点"升级成"可评分的风险项"。
四、BI 关键失败模式清单（含 S/O/D 与 RPN）
下表给出一个面向无菌保证场景的 BI 失败模式示例清单（评分与 RPN 为示例基准值，企业须结合自身工艺、历史数据与控制措施重新评定）。它把"BI 自己会出什么错"直接量化，便于纳入 CCS 的风险登记。
| 失效模式 | 可能后果 | 主要成因 | S | O | D | RPN | 关键控制 / 缓解 |
|---|---|---|---|---|---|---|---|
| 假阴性：灭菌失败但 BI 不长菌 | 放行无菌不合格批次，患者安全风险 | BI 失活、放置遗漏、对照缺失、培养不足 | 10 | 2 | 8 | 160 | 每批带阳性对照；BI 来料抗性确认；双人复核放置/回收 |
| 假阳性：工艺充分但 BI 长菌 | 误判批次失败、偏差调查、物料报废 | BI 染菌、回收污染、培养箱交叉污染 | 5 | 3 | 3 | 45 | 无菌操作回收；BI 来源洁净度控制；环境监控 |
| 抗力漂移：D 值下降导致挑战不足 | 高估工艺余量，SAL 失真 | 菌株退化、标称值过期、批次偏差 | 8 | 2 | 5 | 80 | 周期性 D 值复核；COA 复核；抗性确认 |
| 储存/运输超温失活 | BI 提前失活，产生假阴性 | 冷链中断、到货验收缺失 | 7 | 3 | 4 | 84 | 到货温度记录；效期管理；留样 |
| 菌株身份 / COA 错误 | 用错菌株挑战，结论无效 | 供应商失误、文件传递错误 | 8 | 2 | 4 | 64 | 供应商审计；COA 与菌号核对；批次留样 |
| 放置 / 回收错误 | 挑战点错位，监控失效 | 人为疏忽、PCD 装载混乱 | 6 | 3 | 4 | 72 | 装载图 + 双人复核；PCD 标识唯一化 |
| 培养 / 判读错误 | 生长被误判，结果失真 | 培养时间/温度偏差、判读主观 | 7 | 3 | 3 | 63 | 培养箱验证；判读 SOP；读数与复核 |
| 数据 / 记录缺失 | 结果不可归因、不可复核 | 记录不完整、篡改风险 | 5 | 2 | 3 | 30 | 遵循 ALCOA+；电子审计追踪 |
可见，假阴性虽发生度低（O 小），但因严重度拉满（S=10）且难以在放行前被发现（D 高），RPN 最高，是 BI-FMEA 中必须优先封堵的"特例"——它直接对应无菌保证最不可接受的结果。关于假阳性/假阴性的成因与排查，可深入本系列《假阳性与假阴性：生物指示剂误判原因与排查清单》；一旦 BI 出现阳性，如何开展调查与偏差处理见《阳性结果怎么办？生物指示剂阳性调查与偏差处理》。
五、BI 失败模式如何映射回 CCS 的构成要素
FMEA 的价值不止于"列出风险"，更在于把风险归位到 CCS 的构成要素，让控制措施落在体系里而不是悬空。下表把上节的失败模式映射到 Annex 1 的 CCS 要素，便于在体系文件中建立可追溯的对应关系。
| BI 失败模式 | 对应的 CCS 要素 | 在该要素中应强化的控制 |
|---|---|---|
| 抗力漂移 / 菌株身份错误 | 物料与组件、供应商管理 | 供应商审计、COA/菌号复核、来料抗性确认（见《供应商审计与来料质量控制》） |
| 储存 / 运输超温 | 物料与组件、清洁消毒（仓储） | 冷链到货验收、效期与留样管理 |
| 放置 / 回收错误 | 人员、工艺控制 | 人员资质授权、装载双人复核、PCD 唯一标识 |
| 培养 / 判读错误 | 工艺控制、监测体系 | 培养箱验证、判读 SOP、趋势分析 |
| 假阴性 / 假阳性 | 监测体系（综合） | 每批阳性对照、环境监测联动、APS 协同 |
| 数据 / 记录缺失 | 监测体系、质量体系 | ALCOA+ 数据完整性、审计追踪 |
把 BI 失败模式映射回 CCS，意味着：当监测体系里出现一次 BI 阳性或一次抗性复核偏离，不应只当作"单个偏差"关闭，而要回到 CCS 看它是否暴露了某个要素的系统性薄弱点，并触发相应的体系更新。这与本系列《生物指示剂与无菌工艺环境监控（EM）的协同》强调的"BI 与 EM 联动判读"异曲同工——二者都是把孤立的监测信号织进无菌保证网络。
六、把 BI-FMEA 结果闭环进 CCS 的更新机制
Annex 1 强调 CCS 应是动态、可维护的：当工艺变更、偏差、CAPA、监测趋势或新知识出现时，CCS 需被回顾与更新。BI-FMEA 应作为 CCS 的常驻模块，按以下闭环运行：
- 初始建立：在 CCS 文件内单列"BI 失败模式风险登记"，完成首轮 FMEA 评分与 RPN 排序；
- 控制落地：对 RPN 超阈值（如 ≥ 100）的项，制定具体 CAPA（复核频次、对照策略、自动化判读等），并把控制写进 SOP；
- 持续触发：每一次 BI 偏差、阳性调查、抗性复核偏离、供应商变更都作为触发事件，回到 FMEA 重新评分；
- 周期回顾：结合再验证与周期性回顾（见本系列《生物指示剂再验证与周期性回顾》），对 RPN 趋势进行年度评审；
- 知识沉淀：把 FMEA 的输入（来料数据、培养趋势、EM 数据）纳入知识管理，支撑 CCS 的"风险理解"基础。
需要特别提示：当企业引入实时放行（RTRT）/ 过程分析技术（PAT），试图用连续化监测替代部分培养依赖时，BI 失败模式的"可探测度 D"可能被重新评估——但这要求先在 RTRT 框架下完成等效性论证，绝不能跳过 BI 挑战直接默认"过程参数即放行依据"。相关演进见本系列《生物指示剂与实时放行（RTRT）及过程分析技术（PAT）》。
七、最小可用模板：BI 失败模式登记表
为便于直接落地，下面给出一份"最小可用"的 BI 失败模式登记表字段，可直接作为 CCS 附件或风险管理文件中的表格模板：
| 字段 | 说明 |
|---|---|
| 编号 | 失败模式唯一标识（如 BI-FM-01） |
| 生命周期阶段 | 来料 / 储存 / 放置 / 培养 / 判读 / 记录 |
| 失效模式 | 具体"怎么坏" |
| 影响与严重度 S | 对无菌保证的后果 + 评分 |
| 成因与发生度 O | 根因 + 评分 |
| 现有控制 / 可探测度 D | 控制措施 + 探测难度评分 |
| RPN | S×O×D |
| 对应 CCS 要素 | 归位到 Annex 1 的 CCS 构成项 |
| CAPA 与责任 | 措施、时限、责任人 |
| 评审日期 | 首评与每次回顾时间 |
把这张表接进企业的风险管理软件或电子记录系统，并遵循 ALCOA+ 数据完整性原则（可归因、清晰、同步、原始、准确、完整、一致、持久、可得），即可让 BI 的可靠性本身成为可审计、可闭环的体系资产——详见本系列《生物指示剂数据完整性（ALCOA+）》。
八、与系列其他篇目的衔接
把 BI 的失败模式写进 CCS，本质是把"灭菌验证"从一次性活动升级为持续的、可量化的无菌保证能力。它向上衔接法规总纲（《法规与标准追踪》），向内衔接验证与监测（《生物指示剂是什么》、《SAL》、《APS 中的应用》、《与 EM 协同》），向下衔接数据完整性与放行演进（《ALCOA+》、《RTRT/PAT》）。当你下一次面对审计关于"BI 万一失效怎么办"的追问时，一份完成 FMEA 闭环的 CCS 附件，就是最有力的回答。
相关阅读：《生物指示剂是什么？为什么它是灭菌验证的"金标准"》 · 《假阳性与假阴性：生物指示剂误判原因与排查清单》 · 《生物指示剂与无菌保证水平（SAL）》 · 《生物指示剂与无菌工艺环境监控（EM）的协同》 · 《法规与标准追踪》 · 《生物指示剂数据完整性（ALCOA+）》 · 《生物指示剂与实时放行（RTRT）及过程分析技术（PAT）》。
法规依据说明：本文关于污染控制策略（CCS）的框架主要依据 EU GMP Annex 1（2022 版）第 2.5 段及其对污染风险要素的要求；FMEA 与风险评分方法参考 ISO 14971（风险管理）、ICH Q9（质量风险管理）以及行业内 FMEA 的通用 S/O/D–RPN 实践；生物指示剂本身的抗力、COA 与验证要求参考 ISO 11138 系列、《中国药典》2025 年版通则 9207 / 9208、GB 18281 系列。文中 S/O/D 评分与 RPN 阈值均为示例基准，企业须结合自身产品、工艺、历史数据与经批准的 SOP，按所在地最新法规与官方文本重新评定并维护。本文仅供技术交流，不构成合规结论，具体执行请以官方最新文本与企业质量体系文件为准。
版权声明：本文由杭州沐昀科技有限公司技术部整理并发布于公司官网（muyon.cn）技术文章栏目，版权归杭州沐昀科技有限公司所有。未经书面许可，不得转载、摘编或用于商业用途。如需引用，请注明出处并保留本声明。技术参数与法规条款请以官方最新文本为准，我司保留因标准更新而修订本文的权利。
客服1