Loại bỏ một điểm dữ liệu đếm hạt: khi nào được phép, khi nào là vi phạm toàn vẹn dữ liệu

Trên màn hình giám sát hiện lên một điểm dữ liệu cao bất thường giữa một chuỗi số vốn rất ổn định. Phản xạ đầu tiên của gần như mọi kỹ thuật viên là cùng một câu: “chắc là nhiễu thôi”. Câu nói đó có thể đúng — quy định thừa nhận rằng máy đếm hạt sinh ra số đếm giả. Nhưng khoảng cách giữa một giả thuyết kỹ thuật hợp lý và một quyết định loại bỏ dữ liệu bảo vệ được trước đoàn đánh giá là rất xa, và đó chính là khoảng cách mà bài viết này lấp. Nội dung dưới đây tách bạch ba việc thường bị gộp làm một: giải thích một điểm dữ liệu, loại nó khỏi phép tính thống kê, và xoá nó khỏi hồ sơ. Việc thứ ba không bao giờ được phép.

Câu hỏi thật sự đằng sau “chắc là nhiễu thôi”

Một chương trình giám sát hạt liên tục sinh ra hàng chục nghìn điểm dữ liệu mỗi tháng. Trong số đó, luôn có một tỷ lệ nhỏ những điểm không giống phần còn lại: một chu kỳ lấy mẫu cho số đếm cao gấp nhiều lần nền, rồi chu kỳ ngay sau đó trở lại bình thường như chưa có gì xảy ra. Với người vận hành, đó là chuyện thường ngày. Với hồ sơ chất lượng, mỗi điểm như vậy là một ngã ba bắt buộc phải chọn đường.

Vấn đề là ba việc rất khác nhau thường bị gộp thành một hành động duy nhất:

Phần lớn phát hiện của đoàn đánh giá về “thao túng dữ liệu môi trường” không phát sinh từ ý đồ gian lận. Chúng phát sinh vì hành động thứ hai được thực hiện mà không có hồ sơ, khiến nó trông giống hệt hành động thứ ba. Nói cách khác: cùng một kết quả cuối cùng, nhưng thiếu đúng một tờ giấy giải thích.

Bài viết này đi từ chỗ quy định nói gì, tới chỗ bằng chứng kỹ thuật nào là đủ, và kết thúc ở bộ hồ sơ tối thiểu để một quyết định loại trừ đứng vững được sau nhiều năm.

Quy định thừa nhận số đếm giả tới đâu

Phụ lục 1 bản 2022 của bộ hướng dẫn GMP EU không né tránh chuyện máy đếm hạt sinh số đếm giả. Ghi chú thứ hai kèm bảng giới hạn nồng độ hạt cho giám sát thường quy nêu rõ:

“Việc thỉnh thoảng xuất hiện số đếm hạt lớn, đặc biệt là hạt ≥ 5 µm, trong vùng cấp A có thể được coi là số đếm giả do nhiễu điện tử, ánh sáng lạc, mất mát do trùng hạt và các nguyên nhân tương tự. Tuy nhiên, việc đếm được các mức thấp một cách liên tiếp hoặc đều đặn có thể là dấu hiệu của một sự cố nhiễm bẩn và cần được điều tra. Những sự kiện như vậy có thể cho thấy sự hỏng hóc sớm của hệ thống lọc khí cấp cho phòng, hỏng hóc thiết bị, hoặc cũng có thể là dấu hiệu chẩn đoán về thực hành kém trong quá trình thiết lập máy và vận hành thường quy.”

Đoạn này là căn cứ quy định trực tiếp và duy nhất mà phần lớn nhà máy có được cho việc loại trừ dữ liệu. Nó đáng được đọc kỹ, vì nó cho ít hơn nhiều so với những gì người ta thường viện dẫn:

Điểm mấu chốt nằm ở câu thứ hai của ghi chú: quy định dành nhiều chữ hơn cho nghĩa vụ điều tra so với cho quyền loại trừ. Một chuỗi số đếm thấp nhưng lặp lại đều đặn được coi là đáng lo hơn một đỉnh đơn lẻ cao — điều ngược với trực giác vận hành thông thường, vốn chỉ giật mình khi thấy số lớn.

Cùng bộ tài liệu còn hai mục nữa cần đọc kèm. Mục 9.21 nêu rằng cỡ mẫu giám sát bằng hệ tự động thường là hàm của tốc độ lấy mẫu của hệ thống được dùng, không nhất thiết phải bằng thể tích mẫu dùng cho phân loại chính thức, nhưng thể tích mẫu giám sát phải được lý giải. Mục 9.29 nêu rằng phương pháp và thiết bị lấy mẫu phải được hiểu đầy đủ và phải có quy trình cho việc vận hành đúng và diễn giải đúng kết quả thu được. Hai câu này đặt nghĩa vụ ở đúng chỗ: nhà máy phải có sẵn quy trình diễn giải trước khi gặp điểm dữ liệu bất thường, chứ không phải nghĩ ra cách diễn giải sau khi đã nhìn thấy con số.

Ba nhóm nguyên nhân sinh số đếm bất thường

Trước khi bàn tới việc loại trừ, cần phân biệt được ba nhóm nguyên nhân. Ba nhóm này đòi hỏi ba loại bằng chứng khác nhau và dẫn tới ba kết luận khác nhau.

Nhóm 1 — Số đếm giả do bản thân phép đo

Đây là nhóm duy nhất mà ghi chú của Phụ lục 1 nói tới. Cơ chế thường gặp:

• Nhiễu điện tử. Xung điện trong mạch khuếch đại bị diễn giải thành một xung tán xạ. Thường liên quan tới chất lượng nguồn điện, tiếp đất, hoặc thiết bị công suất lớn đóng cắt gần đó.
• Ánh sáng lạc. Ánh sáng bên ngoài lọt vào buồng quang học qua đầu lấy mẫu hoặc qua khe hở, tạo tín hiệu nền. Với đầu lấy mẫu để hở dưới đèn LED công suất cao, đây là cơ chế rất thực tế.
• Mất mát do trùng hạt. Khi nồng độ vượt giới hạn của cảm biến, hai hạt cùng đi qua vùng chiếu sáng bị đọc thành một hạt lớn hơn. Cơ chế này giải thích vì sao số đếm ở kênh lớn có thể tăng bất thường trong môi trường bẩn — và vì sao nó không phải cơ chế hợp lý trong một phòng cấp A vốn có nồng độ rất thấp.
• Rung động và va chạm cơ học. Một cú va vào thân máy hoặc vào ống lấy mẫu có thể làm bong hạt bám trong đường dẫn.

Nhóm 2 — Hạt thật nhưng không đến từ quá trình sản xuất

Đây là nhóm gây tranh cãi nhiều nhất, vì hạt là thật — cảm biến không sai — nhưng nguồn gốc nằm ngoài phạm vi mà phép giám sát muốn phản ánh:

• Hạt bong ra từ chính chuỗi lấy mẫu: ống đã dùng lâu, đoạn uốn gấp, khớp nối kém kín. Đây là lý do vì sao chất lượng của chuỗi lấy mẫu quyết định độ tin cậy của số liệu nhiều hơn hầu hết người dùng nghĩ.
• Hoạt động bảo trì trong phòng: thay lọc, hiệu chuẩn cảm biến áp suất, vệ sinh sâu.
• Hạt sinh ra khi thao tác trên chính thiết bị đo — tháo lắp đầu lấy mẫu, thay bộ lọc zero count.

Nhóm 3 — Hạt thật, từ quá trình, và đó chính là điều phép đo cần bắt được

Nhóm này gồm mọi trường hợp còn lại: can thiệp của người vận hành, sự cố thiết bị, suy giảm hệ lọc, thực hành kém khi thiết lập máy. Với nhóm này, việc loại bỏ dữ liệu không những sai về hồ sơ mà còn huỷ mất chính giá trị của chương trình giám sát.

Khó khăn thực tế nằm ở chỗ: nhìn vào một con số đơn lẻ, ba nhóm này trông giống hệt nhau. Việc phân biệt chúng không đến từ độ lớn của số đếm mà đến từ bối cảnh — và bối cảnh chỉ tồn tại nếu nó được ghi lại tại thời điểm đó.

Nguyên tắc gốc: dữ liệu gốc không bao giờ biến mất

Trước khi bàn về việc loại một điểm khỏi phép tính, cần đóng đinh nguyên tắc nền. Bộ nguyên tắc toàn vẹn dữ liệu thường được gọi tắt là ALCOA+ trong các tài liệu hướng dẫn của cơ quan quản lý — trong đó có tài liệu GXP Data Integrity Guidance and Definitions bản sửa đổi 1 do MHRA công bố tháng 3/2018 — gồm chín thuộc tính mà dữ liệu phải có:

Thuộc tính Original và Complete là hai thuộc tính trực tiếp cấm việc xoá. Hệ quả thực hành rất cụ thể: khi một điểm dữ liệu được kết luận là số đếm giả, bản ghi gốc vẫn phải còn nguyên trong cơ sở dữ liệu, vẫn phải xuất hiện trên biểu đồ xu hướng, và chỉ được gắn nhãn kèm lý do — chứ không bị gỡ khỏi chuỗi.

Đây cũng là lý do nên xử lý việc gắn nhãn ngay trong phần mềm giám sát thay vì trên bảng tính rời. Một hệ thống có nhật ký kiểm toán, phân quyền và trường ghi chú bắt buộc sẽ tự động tạo ra phần lớn bằng chứng cần thiết; xử lý bằng cách sao dữ liệu ra bảng tính rồi xoá dòng thì phá huỷ đúng những bằng chứng đó. Chủ đề này được bàn kỹ hơn trong bài về toàn vẹn dữ liệu theo 21 CFR Part 11 với phần mềm giám sát.

Khung năm câu hỏi trước khi loại một điểm dữ liệu

Khung dưới đây là công cụ do Techmaster tổng hợp từ thực tế triển khai, không phải trích dẫn từ tiêu chuẩn. Nó được thiết kế để trả lời tuần tự: chỉ khi cả năm câu hỏi đều cho câu trả lời thuận thì việc loại một điểm khỏi phép tính thống kê mới có căn cứ.

Câu hỏi thứ ba là câu hay bị bỏ qua nhất và cũng là câu quan trọng nhất. Một điểm dữ liệu không thể tự chứng minh rằng nó sai. Nếu toàn bộ lập luận chỉ dựa trên chính con số đó — “cao quá nên chắc là nhiễu” — thì lập luận đó tuần hoàn và sẽ không đứng được. Bằng chứng phải đến từ bên ngoài: một biên bản ghi rằng có người vào phòng lúc đó, một bản ghi cho thấy chênh áp tụt trong đúng khoảng thời gian đó, hoặc kết quả kiểm tra máy sau sự việc.

Câu hỏi thứ năm chạm tới một vấn đề tổ chức. Khi người vận hành vừa đo, vừa diễn giải, vừa quyết định loại dữ liệu, thì không còn cơ chế kiểm soát nào. Chính vì lý do này mà mục 9.27 của Phụ lục 1 nêu rằng khi việc giám sát được thực hiện thường quy bởi nhân sự sản xuất, hoạt động đó phải chịu sự giám sát định kỳ của bộ phận chất lượng.

Bằng chứng kỹ thuật nào là đủ

Câu hỏi số hai và số bốn trong khung trên đòi hỏi bằng chứng kỹ thuật. Bảng dưới đây liệt kê từng cơ chế và loại bằng chứng tương ứng có thể thu thập được trên thực tế.

Hai công cụ nền tảng cho gần như mọi dòng trong bảng trên là phép kiểm tra nền đếm bằng bộ lọc zero count và phép kiểm chứng lưu lượng. Đây là hai phép kiểm rẻ, nhanh, làm được ngay tại chỗ và cho bằng chứng độc lập với dữ liệu đang tranh cãi. Quy trình chi tiết được trình bày trong bài về kiểm tra máy đếm hạt trước khi đo. Thực hành hợp lý là chạy hai phép kiểm này ngay khi phát hiện điểm bất thường, chứ không đợi tới kỳ hiệu chuẩn kế tiếp — vì bằng chứng thu được sau vài tuần đã mất phần lớn giá trị liên hệ nhân quả.

Với hệ giám sát nhiều điểm, một nguồn bằng chứng nữa thường bị bỏ quên: các điểm đo lân cận. Nếu một sự cố nhiễm bẩn thật xảy ra, thường có dấu vết ở nhiều điểm hoặc ở nhiều kênh cỡ hạt. Nếu chỉ đúng một điểm, đúng một kênh, đúng một chu kỳ có bất thường trong khi các điểm cùng khu vực hoàn toàn phẳng, thì giả thuyết lỗi cục bộ của phép đo trở nên hợp lý hơn. Đây cũng là lập luận ủng hộ việc dùng cảm biến đếm hạt cố định Airnet II 310-4 ở mật độ điểm đủ dày thay vì đo điểm thưa: càng nhiều điểm đo song song, khả năng phân biệt lỗi cục bộ với sự cố thật càng cao. Phần mềm phân tích dữ liệu như PMS DataAnalyst tồn tại chính là để thực hiện kiểu đối chiếu chéo này nhanh hơn thao tác thủ công trên bảng tính.

Bốn tình huống tuyệt đối không được loại

Có bốn tình huống mà việc loại bỏ dữ liệu là sai bất kể lập luận kỹ thuật nghe hợp lý đến đâu.

Một — điểm dữ liệu vượt mức hành động. Vượt mức hành động kích hoạt quy trình điều tra, không kích hoạt quy trình loại trừ. Kết luận của điều tra có thể là số đếm giả, nhưng kết luận đó phải là đầu ra của điều tra chứ không phải lối tắt để tránh điều tra. Trình tự đúng là mở hồ sơ điều tra trước, rồi mới kết luận về bản chất của điểm dữ liệu.

Hai — điểm dữ liệu thuộc dữ liệu phân loại phòng sạch. Dữ liệu phân loại được thu thập theo một kế hoạch lấy mẫu đã định trước với số điểm và thể tích mẫu xác định. Nếu một vị trí đo cho kết quả không đạt, quy trình đúng là điều tra và đo lại theo kế hoạch, không phải bỏ vị trí đó ra khỏi phép tính. Loại một điểm khỏi bộ dữ liệu phân loại làm thay đổi chính cơ sở thống kê của phép phân loại — xem thêm bài về kế hoạch lấy mẫu phân loại phòng sạch.

Ba — điểm dữ liệu nằm trong một chuỗi. Đúng theo câu thứ hai của ghi chú đã trích: số đếm lặp lại đều đặn ở mức thấp là dấu hiệu cần điều tra, không phải nhiễu. Một sai lầm phổ biến là loại từng điểm một qua nhiều tháng, mỗi lần đều “có lý do”, cho tới khi nhìn lại mới thấy đã loại hai mươi điểm cùng một kiểu — mà chính sự lặp lại đó lẽ ra là phát hiện quan trọng nhất.

Bốn — lý do duy nhất là “kết quả không phù hợp với kỳ vọng”. Đây là dạng vi phạm rõ ràng nhất và cũng dễ nhận ra nhất khi đọc hồ sơ: các điểm bị loại đều là điểm cao, không có điểm thấp bất thường nào từng bị loại. Tính bất đối xứng đó tự nó là bằng chứng cho thấy tiêu chí loại trừ đang bám vào kết quả chứ không bám vào cơ chế.

Hồ sơ tối thiểu của một lần loại trừ

Khi quyết định loại một điểm khỏi phép tính thống kê là hợp lý, bộ hồ sơ dưới đây là mức tối thiểu do Techmaster tổng hợp để quyết định đó đứng vững được nhiều năm sau — kể cả khi người ra quyết định đã nghỉ việc.

Dòng cuối cùng là dòng có giá trị nhất về lâu dài. Nếu một điểm bị loại vì ánh sáng lạc lọt vào đầu lấy mẫu, thì hành động khắc phục là che chắn lại đầu lấy mẫu — và sau đó hiện tượng không được phép tái diễn. Một hồ sơ loại trừ mà không kèm hành động khắc phục nào, lặp lại nhiều lần với cùng một cơ chế, chính là hồ sơ tự tố cáo rằng cơ chế đó chưa bao giờ được xử lý.

Về mặt thống kê, cần thêm một nguyên tắc: khi loại một điểm khỏi phép tính ngưỡng cảnh báo, phải ghi rõ số điểm đã loại trong kỳ và tỷ lệ so với tổng số điểm. Nếu tỷ lệ này vượt quá mức vài phần nghìn, vấn đề không nằm ở từng điểm nữa mà nằm ở chính hệ thống đo hoặc ở môi trường lắp đặt.

Sáu lỗi hay gặp trong thực tế

Lỗi 1 — Dùng từ “nhiễu” như một kết luận. “Nhiễu” là tên gọi của một nhóm cơ chế, không phải một chẩn đoán. Hồ sơ ghi “loại do nhiễu” tương đương với hồ sơ không ghi gì.

Lỗi 2 — Loại dữ liệu trên bảng tính rời. Xuất dữ liệu ra bảng tính rồi xoá dòng phá huỷ nhật ký kiểm toán và biến một hành động hợp lệ thành hành động không phân biệt được với thao túng. Việc gắn nhãn phải diễn ra trong hệ thống có kiểm soát.

Lỗi 3 — Áp ghi chú của cấp A cho mọi cấp sạch. Ghi chú về số đếm giả được viết trong bối cảnh vùng cấp A với hạt ≥ 5 µm. Viện dẫn nó cho kênh 0,5 µm ở một phòng cấp C là mở rộng phạm vi không có căn cứ.

Lỗi 4 — Không chạy kiểm tra xác nhận. Nền đếm zero count và kiểm chứng lưu lượng mất chưa tới một giờ nhưng là bằng chứng mạnh nhất có thể thu được. Bỏ qua bước này khiến toàn bộ hồ sơ chỉ còn là lập luận.

Lỗi 5 — Loại điểm nhưng không xem lại ngưỡng. Nếu nhiều điểm bị loại trong một kỳ, dữ liệu nền dùng để tính ngưỡng cảnh báo đã bị thay đổi. Ngưỡng tính trên tập dữ liệu đã lọc sẽ hẹp hơn thực tế và sinh thêm báo động giả ở kỳ sau.

Lỗi 6 — Không đào tạo người vận hành về ranh giới này. Người đứng trước màn hình lúc 2 giờ sáng là người quyết định điều gì được ghi lại. Nếu họ không biết cần ghi bối cảnh ngay tại thời điểm đó, thì mọi quy trình viết trên giấy đều vô hiệu — chủ đề được bàn riêng trong bài về đào tạo và đánh giá năng lực đội đo hạt.