Thay hệ phần mềm giám sát môi trường: di trú dữ liệu lịch sử và ba thứ không được đứt

Một hệ giám sát hạt liên tục được mua như một khoản đầu tư hạ tầng: cảm biến chạy mười năm, đường ống chạy lâu hơn thế. Nhưng phần mềm điều khiển nó thì không sống theo nhịp ấy — nó bị kéo theo vòng đời của hệ điều hành, của cơ sở dữ liệu và của chính chính sách hỗ trợ từ nhà cung cấp. Đến một lúc nào đó, nhà máy đứng trước một việc mà không SOP nào chuẩn bị sẵn: thay lớp phần mềm trong khi lớp cảm biến vẫn nguyên và trong khi dữ liệu của bảy năm trước vẫn phải đọc được. Bài viết tách bài toán đó thành ba phần không được lẫn vào nhau — dữ liệu lịch sử, chuỗi định danh và bằng chứng tuân thủ — rồi chỉ ra thứ mà hầu như mọi kế hoạch di trú đều bỏ sót.

Ba đồng hồ đếm ngược không cùng nhịp

Gốc rễ của toàn bộ vấn đề nằm ở chỗ ba thành phần của cùng một hệ có tuổi thọ khác nhau, và không ai đồng bộ chúng lúc mua.

Thành phần	Cái quyết định tuổi thọ	Dấu hiệu sắp hết
Cảm biến và phần cứng	Hao mòn cơ khí, khả năng cung cấp phụ tùng, khả năng hiệu chuẩn tiếp	Hãng thông báo ngừng sản xuất; phụ tùng phải đặt trước nhiều tháng
Lớp phần mềm	Vòng đời hệ điều hành máy chủ, phiên bản cơ sở dữ liệu, chính sách hỗ trợ	Bản vá bảo mật ngừng phát hành; phòng IT từ chối để máy chủ nối mạng
Dữ liệu và hồ sơ	Thời hạn lưu theo quy định và theo chính sách chất lượng nội bộ	Không bao giờ “hết” trong vòng đời hai lớp trên

Đồng hồ thứ hai gần như luôn chạy nhanh nhất. Thực tế thường gặp ở nhà máy tại Việt Nam: cảm biến vẫn hiệu chuẩn đạt, mạng vẫn ổn, nhưng máy chủ chạy một hệ điều hành đã hết hỗ trợ và bộ phận IT — thường sau một đợt rà soát an ninh mạng — yêu cầu tách nó khỏi mạng nhà máy. Lúc đó lựa chọn thu hẹp lại rất nhanh: hoặc cô lập máy chủ và mất khả năng thu dữ liệu tập trung, hoặc nâng cấp lớp phần mềm.

Điều quan trọng cần nhận ra sớm: đây không phải sự cố mà là một mốc vòng đời có thể dự báo trước. Một hệ được nghiệm thu năm nay nên có sẵn câu trả lời cho câu hỏi “chuyện gì xảy ra với dữ liệu khi lớp phần mềm này hết hỗ trợ” ngay trong hồ sơ URS, chứ không phải bảy năm sau trong một cuộc họp khẩn.

Dữ liệu phải sống lâu hơn phần mềm bao nhiêu

Câu trả lời đến từ quy định về lưu giữ hồ sơ chứ không đến từ nhà cung cấp phần mềm. Nguyên tắc chung của GMP là hồ sơ liên quan tới một lô phải được lưu trong một khoảng thời gian gắn với hạn dùng của lô đó, chứ không gắn với vòng đời thiết bị tạo ra hồ sơ. Trong khung EU GMP, nguyên tắc quen thuộc là hồ sơ lô được lưu ít nhất một năm sau khi lô hết hạn dùng, hoặc năm năm sau khi lô được chứng nhận xuất xưởng — lấy mốc nào dài hơn.

Dữ liệu giám sát môi trường thuộc nhóm hồ sơ hỗ trợ cho lô: nó là bằng chứng rằng lô được sản xuất trong điều kiện đã được thẩm định. Vì vậy nó thừa hưởng thời hạn lưu của hồ sơ lô. Hệ quả rất cụ thể:

Bốn chiến lược xử lý dữ liệu cũ

Có đúng bốn cách, và chúng khác nhau về chi phí lẫn về thứ bạn giữ lại được. Sai lầm phổ biến là chọn cách rẻ nhất mà không nói rõ mình đã đánh đổi cái gì.

Chiến lược	Cách làm	Giữ được	Mất đi	Hợp khi
1. Giữ hệ cũ chạy chỉ-đọc	Cô lập máy chủ cũ khỏi mạng, không thu dữ liệu mới, chỉ mở để tra cứu	Toàn bộ: dữ liệu, ngữ cảnh, audit trail, giao diện quen	Chi phí duy trì một máy chủ cũ; rủi ro phần cứng hỏng	Thời hạn lưu còn ngắn (1–3 năm)
2. Kết xuất tĩnh	Xuất toàn bộ ra PDF/CSV có kiểm tra toàn vẹn, lưu trữ theo quy trình hồ sơ	Khả năng trưng ra khi được yêu cầu	Khả năng truy vấn, lọc, dựng xu hướng; thường mất cả audit trail	Dữ liệu ít được dùng lại; chỉ cần đáp ứng nghĩa vụ lưu
3. Di trú dữ liệu đo	Nạp chuỗi số đếm và mốc thời gian vào cơ sở dữ liệu của hệ mới	Truy vấn và xu hướng liên tục qua mốc chuyển đổi	Audit trail gốc; đôi khi cả ngữ cảnh cấu hình	Cần so sánh xu hướng dài hạn qua nhiều năm
4. Di trú đầy đủ	Di trú cả dữ liệu, siêu dữ liệu cấu hình và audit trail	Gần như mọi thứ	Chi phí và thời gian cao nhất; cần thẩm định phép di trú	Ngành có yêu cầu toàn vẹn dữ liệu chặt

Trong thực tế, lựa chọn tốt nhất thường là tổ hợp chứ không phải một chiến lược đơn: di trú dữ liệu đo của 2–3 năm gần nhất vào hệ mới để xu hướng không bị đứt, đồng thời giữ hệ cũ ở chế độ chỉ-đọc thêm một thời gian đủ phủ hết thời hạn lưu của các lô đã xuất. Cách này chấp nhận trả tiền duy trì một máy chủ cũ trong vài năm để đổi lấy việc không phải thẩm định một phép di trú audit trail phức tạp.

Bất kể chọn cách nào, quyết định phải được viết thành một tài liệu có phê duyệt, nêu rõ: dữ liệu nào đi đâu, cái gì bị mất, ai chịu trách nhiệm truy xuất khi có yêu cầu, và hệ cũ được tắt vào ngày nào. Một cuộc thanh tra hỏi về dữ liệu năm năm trước sẽ đọc chính tài liệu này trước khi đọc dữ liệu.

Thứ không nằm trong bảng số: ngữ cảnh của mỗi bản ghi

Đây là phần bị bỏ sót nhiều nhất, vì nó vô hình khi nhìn vào giao diện. Một dòng dữ liệu “14:32, điểm P-07, 1.240 hạt/m³ ở 0,5 µm” chỉ có nghĩa khi đi kèm một tập siêu dữ liệu mà phần mềm đang giữ ngầm ở chỗ khác:

Siêu dữ liệu	Vì sao thiếu nó thì số vô nghĩa
Cảm biến nào, số sê-ri nào	Không truy được về chứng chỉ hiệu chuẩn tương ứng của thời điểm đó
Trạng thái hiệu chuẩn tại thời điểm đo	Nếu sau đó máy hiệu chuẩn as-found lệch, phải biết dữ liệu nào bị ảnh hưởng
Ngưỡng cảnh báo và mức hành động đang áp lúc đó	Ngưỡng thay đổi theo thời gian; đọc dữ liệu cũ bằng ngưỡng hiện tại là sai
Lưu lượng, thời gian và chế độ lấy mẫu	Cùng một con số “hạt/m³” quy đổi từ thể tích khác nhau có độ tin cậy khác nhau
Trạng thái phòng: nghỉ hay vận hành	Hai trạng thái có giới hạn khác nhau; mất nhãn này thì dữ liệu không phân loại được
Mã lô hoặc mã mẻ đang chạy	Không ghép được dữ liệu môi trường vào hồ sơ lô

Trong hệ cũ, những trường này thường nằm rải rác: một phần trong bảng cấu hình, một phần trong nhật ký thao tác, một phần chỉ tồn tại như một quy ước đặt tên điểm đo. Phép di trú chỉ chuyển bảng số đo sẽ tạo ra một kho dữ liệu trông đầy đủ nhưng không diễn giải được — và điều tệ nhất là khiếm khuyết ấy chỉ lộ ra vào lúc cần nhất, khi có một cuộc điều tra sai lệch cần truy ngược lại vài năm.

Chính vì thế, bước đầu tiên của bất kỳ dự án thay phần mềm nào không phải là chọn phần mềm mới mà là lập bản đồ trường dữ liệu của hệ cũ: liệt kê mọi trường đang tồn tại, chỉ ra trường nào có nơi tương ứng trong hệ mới, trường nào không, và với các trường không có thì quyết định lưu chúng ở đâu.

Audit trail và chữ ký: phần khó di trú nhất

Audit trail là bản ghi ai đã làm gì, lúc nào, trên bản ghi nào và vì sao. Nó là thứ khó chuyển nhất giữa hai hệ, vì cấu trúc của nó gắn chặt với mô hình dữ liệu và mô hình phân quyền của phần mềm sinh ra nó. Chuyển audit trail sang hệ khác thường có nghĩa là biên dịch lại nó, và một bản audit trail đã bị biên dịch lại thì tự nó là một bản ghi phái sinh — điều mà nguyên tắc toàn vẹn dữ liệu nhìn với sự dè dặt.

Vì lý do đó, thực hành an toàn nhất trong nhiều dự án là không di trú audit trail, mà giữ nguyên nó tại hệ cũ ở chế độ chỉ-đọc trong suốt thời hạn lưu, và ghi rõ trong tài liệu chuyển đổi rằng audit trail của giai đoạn trước ngày X được truy xuất từ hệ cũ. Cách này giữ được bản gốc thay vì tạo ra một bản sao đã diễn giải lại.

Chữ ký điện tử còn khắt khe hơn: liên kết giữa chữ ký và bản ghi được ký là một phần của chính chữ ký. Cắt bản ghi ra khỏi hệ đã ký nó, trong phần lớn trường hợp, làm liên kết đó mất hiệu lực. Yêu cầu về audit trail, phân quyền và chữ ký điện tử được bàn kỹ trong bài về toàn vẹn dữ liệu 21 CFR Part 11 với phần mềm PMS FacilityPro; ở đây chỉ cần rút ra một quy tắc thực dụng: bản ghi đã ký thì ở lại chỗ nó được ký, trừ khi có một phép di trú được thẩm định riêng cho việc đó.

Chuỗi định danh điểm đo không được đứt

Có một chi tiết nhỏ mà hậu quả kéo dài rất lâu: tên và mã của điểm đo. Khi dựng hệ mới, đội triển khai thường được dịp “dọn dẹp” cách đặt tên — đổi P-07 thành CR2-EM-007 cho có hệ thống hơn. Sau chuyển đổi, mọi thứ trông gọn gàng. Nhưng bất kỳ ai muốn dựng lại xu hướng của điểm đó qua mốc chuyển đổi sẽ phải tự tay ghép hai chuỗi dữ liệu mang hai cái tên khác nhau, và mỗi lần ghép tay là một lần có thể ghép sai.

Ba cách xử lý, theo thứ tự ưu tiên:

1. Giữ nguyên mã cũ. Xấu về hình thức nhưng đúng về dữ liệu. Nếu bắt buộc phải đổi, hãy đổi ở một thời điểm khác, tách khỏi việc thay phần mềm, để mỗi lần chỉ có một biến thay đổi.
2. Đổi mã nhưng lưu bảng ánh xạ trong hệ mới như một đối tượng dữ liệu chính thức, không phải một tệp bảng tính để trên ổ chung.
3. Đổi mã và chỉ ghi ánh xạ trong tài liệu chuyển đổi — chấp nhận được nhưng yếu nhất, vì sau vài năm luân chuyển nhân sự, tài liệu đó thường không còn ai nhớ tới.

Vấn đề tương tự cũng xuất hiện khi thay cảm biến chứ không thay phần mềm, và cách giữ liên tục chuỗi dữ liệu trong tình huống đó được bàn riêng trong bài thay cảm biến đếm hạt cố định mà không đứt mạch dữ liệu giám sát. Nguyên tắc chung là một: mỗi lần chuyển đổi chỉ nên làm đứt một thứ, và thứ bị đứt đó phải được ghi lại rõ ràng.

Chạy song song: bao lâu và đối chiếu cái gì

Chạy song song hai hệ trong một giai đoạn là cách rẻ nhất để chứng minh hệ mới không làm thay đổi kết luận. Nhưng nó chỉ có giá trị nếu tiêu chí đối chiếu được đặt trước khi bắt đầu.

Đối chiếu cái gì	Kỳ vọng hợp lý	Nếu lệch thì nghĩa là gì
Số đếm thô theo từng khoảng thời gian	Trùng khớp tuyệt đối nếu hai hệ đọc cùng một cảm biến	Lệch dù chỉ một bản ghi là lỗi thu thập hoặc lỗi múi giờ, phải truy tới cùng
Giá trị đã quy đổi ra hạt/m³	Trùng khớp, hoặc lệch ở chữ số cuối do làm tròn	Lệch lớn hơn thế nghĩa là hai hệ dùng công thức quy đổi hoặc thể tích mẫu khác nhau
Thời điểm và phân loại cảnh báo	Cùng sự kiện, cùng mức	Lệch nghĩa là ngưỡng nhập sai hoặc logic trễ cảnh báo khác nhau
Báo cáo định kỳ	Cùng kết luận đạt/không đạt	Lệch nghĩa là quy tắc gộp dữ liệu hoặc quy tắc loại dữ liệu khác nhau

Hai bẫy kỹ thuật thường gặp trong giai đoạn này đều liên quan tới thời gian. Thứ nhất là múi giờ và giờ mùa hè: hệ cũ lưu giờ địa phương, hệ mới lưu UTC, và bản đối chiếu lệch đúng một số giờ tròn — dấu hiệu rất dễ nhận nếu biết tìm. Thứ hai là quy ước nhãn thời gian của một chu kỳ lấy mẫu: một hệ gán bản ghi vào thời điểm bắt đầu chu kỳ, hệ kia gán vào thời điểm kết thúc. Với chu kỳ một phút thì khác biệt nhỏ, nhưng với chu kỳ lấy mẫu dài, nó đủ để đẩy một sự kiện sang phía bên kia ranh giới một ca sản xuất.

Về thời lượng, nguyên tắc thực dụng là chạy song song đủ dài để bao trọn ít nhất một chu kỳ báo cáo đầy đủ và ít nhất một sự kiện vượt ngưỡng thật hoặc mô phỏng — vì phần logic dễ khác nhau nhất giữa hai hệ chính là phần xử lý cảnh báo, thứ không xuất hiện trong dữ liệu ngày thường.

Phạm vi thẩm định lại cho một lần thay phần mềm

Thay lớp phần mềm là một thay đổi lớn, nhưng không có nghĩa phải chạy lại toàn bộ IQ/OQ/PQ như một hệ mới hoàn toàn. Cách khoanh phạm vi hợp lý là hỏi: cái gì thực sự đã đổi?

Hạng mục	Có phải làm lại không	Lý do
Lắp đặt máy chủ, hệ điều hành, cơ sở dữ liệu	Có — IQ đầy đủ cho phần mới	Là hạ tầng hoàn toàn mới
Chức năng thu thập, cảnh báo, báo cáo, phân quyền	Có — OQ đầy đủ	Đây chính là phần được thay
Phép di trú dữ liệu	Có — cần một quy trình kiểm chứng riêng	Phải chứng minh dữ liệu sau di trú bằng dữ liệu trước di trú
Hiệu chuẩn cảm biến	Không, nếu cảm biến không bị tháo	Chứng chỉ hiệu chuẩn còn hiệu lực không phụ thuộc phần mềm
Phân loại phòng sạch	Không	Phân loại là thuộc tính của phòng, không phải của lớp phần mềm
Vị trí và số lượng điểm đo	Không, nếu giữ nguyên bản đồ điểm	Đánh giá rủi ro đặt điểm không đổi vì phần mềm đổi

Riêng dòng thứ ba đáng được nhấn mạnh: phép di trú tự nó là một đối tượng cần kiểm chứng. Cách làm thông dụng là chọn một tập mẫu bản ghi theo nguyên tắc rõ ràng — bản ghi đầu và cuối của mỗi năm, toàn bộ bản ghi quanh các sự kiện vượt ngưỡng, một mẫu ngẫu nhiên có kích thước đã định — rồi so từng trường giữa hệ cũ và hệ mới, đồng thời đối chiếu tổng số bản ghi. Kết quả so sánh này là bằng chứng chính cho việc dữ liệu không bị biến dạng khi chuyển. Khung IQ/OQ/PQ và cách viết URS cho hệ giám sát được trình bày chi tiết trong bài nghiệm thu hệ giám sát hạt liên tục.

Mười hai câu hỏi phải hỏi trước khi ký

Danh sách dưới đây nên nằm trong hồ sơ mời thầu, không phải trong biên bản họp sau khi triển khai:

1. Phần mềm mới đọc trực tiếp được định dạng dữ liệu của hệ cũ hay phải qua bước chuyển đổi trung gian?
2. Những trường siêu dữ liệu nào của hệ cũ không có chỗ tương ứng trong hệ mới?
3. Audit trail có được di trú không? Nếu có, cấu trúc gốc được giữ lại tới mức nào?
4. Bản ghi đã ký điện tử được xử lý ra sao?
5. Nhà cung cấp cung cấp bộ tài liệu kiểm chứng phép di trú, hay nhà máy phải tự dựng?
6. Hệ mới có chạy song song với hệ cũ trên cùng cảm biến được không, hay cảm biến chỉ nói chuyện được với một hệ tại một thời điểm?
7. Chu kỳ hỗ trợ đã công bố của phiên bản mới là bao lâu, và gắn với phiên bản hệ điều hành nào?
8. Khi phiên bản này hết vòng đời, đường nâng cấp tiếp theo là gì?
9. Dữ liệu xuất ra được ở định dạng mở nào, và xuất được cả siêu dữ liệu không?
10. Ai giữ quyền quản trị cơ sở dữ liệu, và quyền đó bị ghi lại trong audit trail thế nào?
11. Giấy phép có ràng buộc theo số điểm đo, số cảm biến hay số người dùng đồng thời?
12. Nếu chấm dứt hợp đồng, nhà máy lấy dữ liệu của mình ra bằng cách nào?

Câu 12 là câu ít được hỏi nhất và đắt nhất khi bỏ qua. Trong danh mục phần mềm của Particle Measuring Systems, sự phân tầng giữa các sản phẩm chính là phân tầng theo phạm vi trách nhiệm dữ liệu: phần mềm phòng sạch dược phẩm PMS FacilityPro đóng vai hệ giám sát và điều khiển cho môi trường có yêu cầu GMP, phần mềm giám sát môi trường dược phẩm PMS Pharmaceutical Net Pro phục vụ lớp thu thập và giám sát theo hướng mạng thiết bị, còn phần mềm đếm hạt tiểu phân PMS DataAnalyst nghiêng về phân tích và khai thác dữ liệu đã thu. Khi lập kế hoạch thay thế, việc xác định lớp nào đang giữ vai trò “sổ cái” của dữ liệu là bước đầu tiên — vì chỉ lớp đó mới thực sự cần một kế hoạch di trú.

Năm sai lầm hay gặp

Sai lầm	Hậu quả	Cách tránh
Coi việc thay phần mềm là dự án của phòng IT	Yêu cầu về toàn vẹn dữ liệu và thời hạn lưu không ai nêu ra	Đảm bảo chất lượng đồng chủ trì từ giai đoạn URS
Tắt hệ cũ ngay sau khi nghiệm thu hệ mới	Mất đường truy xuất audit trail của giai đoạn trước	Giữ chế độ chỉ-đọc phủ hết thời hạn lưu; ghi ngày tắt vào kế hoạch
Di trú số đo mà bỏ siêu dữ liệu	Kho dữ liệu không diễn giải được khi cần điều tra	Lập bản đồ trường dữ liệu trước, quyết định chỗ lưu cho từng trường
Đổi mã điểm đo cùng lúc với đổi phần mềm	Xu hướng dài hạn đứt tại mốc chuyển đổi	Giữ mã cũ, hoặc tách hai thay đổi ra hai thời điểm
Chạy song song mà không đặt tiêu chí trước	Có dữ liệu đối chiếu nhưng không kết luận được gì	Viết tiêu chí và ngưỡng chấp nhận vào kế hoạch trước khi bắt đầu