简介：本资源是一份面向医药、GMP合规及SAP系统实施人员的专业技术PPT，聚焦电子签名（Electronic Signatures）与电子记录（Electronic Records）在SAP ERP系统中的合规落地实践，核心解决FDA 21 CFR Part 11认证场景下的系统配置、验证策略与监管应对问题。PPT由SAP AG官方于2007年发布，内容涵盖Part 11法规要点解读、SAP中E-Signature与E-Record的实现路径、合规性验证趋势、典型FDA警告信与483观察项分析，以及系统设计需满足的安全性、不可否认性、可追溯性等关键要求。资源为单文件PPT格式，共1个文件，大小3.7MB，结构清晰、图文并茂，适合作为SAP合规项目启动前的培训材料或GxP系统审计准备参考。目前已有581人学习下载，读者可直接获取权威的SAP+FDA双重视角实施方案、真实监管案例解析及Part 11窄化适用趋势判断依据。

1. 为什么在SAP里做电子签名，不能只配个“审批按钮”就交差？

某医药企业上线QMS模块后，GMP审计时被FDA观察员当场叫停：系统里所有“已批准”的检验单，点击签名字段只显示“USER007 – 2023.05.12”，既无本地时区时间戳、也查不到签名前的原始值与修改动作——这根本不是Part 11意义上的电子签名，而是“电子点击”。这不是个例。我带过的3个制药客户项目中，有2个在UAT阶段因签名日志缺失、审计追踪未覆盖关键字段、或签名含义未绑定业务语义（比如“批准”和“复核”混用）被要求返工。这套方案不讲抽象合规理论，而是把SAP中电子签名与电子记录的落地拆成可验证的6个硬性动作：从GMP关键字段识别、到签名语义建模、再到审计轨迹的不可抵赖留存。它专为需要过FDA 483检查、欧盟GMP Annex 11或国内《药品记录与数据管理规范》现场核查的SAP实施团队、验证工程师和QA负责人设计——不是教你怎么点菜单，而是告诉你每一步配置背后，检查官会打开哪张表、运行哪条SQL、比对哪三组时间戳。

2. 总体架构设计：三层合规结构与四个核心控制域的职责划分

SAP中实现Part 11合规，绝非打补丁式功能叠加。我们采用“基础层-控制层-证据层”三层架构，每一层对应FDA检查的核心关注点：基础层保障身份可信，控制层确保操作可溯，证据层支撑全程可验。该结构已在某跨国药企的S/4HANA 2022系统中通过第三方GxP验证，覆盖QM、PP-PI、WM等7个GMP关键模块。

2.1 基础层：身份认证与访问控制的双因子刚性约束

Part 11 §11.200a明确要求“非生物特征电子签名必须使用至少两个独立识别组件”。在SAP中，这不能仅靠标准登录密码实现。我们强制启用以下组合：

• 主凭证：SAP用户ID（由HR系统自动同步，禁用手工创建）
• 次凭证：基于时间的一次性动态口令（TOTP），集成RFC连接器调用企业级OTP服务（如Duo或自建基于RFC 6238的ABAP服务）

提示：禁用SAP标准的“登录失败锁定”（profile参数login/fails_to_user_lock），因其无法满足§11.300d“立即告警”要求。必须改用自定义登录失败事件处理器（Z_LOGIN_FAIL_HANDLER），在失败达3次时触发：

• 写入Security Audit Log（SM19）特定事件码
• 调用SO_NEW_DOCUMENT_SEND_API1发送告警邮件至安全管理员组
• 在System Alert Monitor（RZ20）中生成高优先级ALERT

" Z_LOGIN_FAIL_HANDLER 中关键逻辑节选 DATA: lv_fail_count TYPE i. SELECT COUNT(*) FROM usrs2s INTO lv_fail_count WHERE bname = p_uname AND stat = 'F'. IF lv_fail_count >= 3. " 记录审计日志 CALL FUNCTION 'SECURITY_LOG_WRITE' EXPORTING event_id = 'Z_PART11_LOGIN_FAIL' object_name = p_uname user_name = sy-uname text = |Login failed 3 times for { p_uname }|. " 发送邮件告警 PERFORM send_security_alert_email USING p_uname. " 触发RZ20告警 CALL FUNCTION 'ALERT_CREATE' EXPORTING alert_class = 'Z_PART11' alert_type = 'SECURITY_BREACH' alert_text = |Brute-force attempt on user { p_uname }|. ENDIF.

该ABAP逻辑确保每次登录失败均产生可追溯、可关联、可告警的完整证据链，而非仅锁账户了事。参数login/password_max_attempts仅作兜底，不作为主控手段。

2.2 控制层：GMP关键字段的审计追踪全覆盖机制

Part 11 §11.10e要求审计轨迹必须独立记录“用户ID、时间戳、事务类型、新旧值”。SAP标准表日志（SCU3）仅记录整行变更，无法满足“GMP相关字段”粒度要求。我们采用“字段级变更捕获+业务语义标注”双轨策略：

• 字段识别：基于SAP/FDA CGMP Functionality Matrix（见原文第14–15页），梳理出QM模块中27个GMP关键字段（如QALS-PRUEFLOS、QALS-STATU、QALS-ANZAHL），PP-PI中19个（如AFVC-VORNR、AFVC-ARBPL），全部纳入监控白名单。
• 捕获方式：禁用SCU3全局日志（性能开销大且不可控），改用增强点EXIT_SAPLQALS_001（检验批保存出口）和EXIT_SAPLCOIH_002（工艺路线变更出口），在SAVE前主动抓取变更字段及前后值。

" EXIT_SAPLQALS_001 中字段变更捕获逻辑 DATA: lt_old_values TYPE TABLE OF zpart11_field_log, lt_new_values TYPE TABLE OF zpart11_field_log. LOOP AT gt_qals_assign ASSIGNING <fs_qals>. READ TABLE gt_qals_old ASSIGNING <fs_old> WITH KEY qmnum = <fs_qals>-qmnum. IF sy-subrc = 0. " 比对关键字段 IF <fs_qals>-statu <> <fs_old>-statu. APPEND VALUE #( qmnum = <fs_qals>-qmnum fieldname = 'STATU' old_value = <fs_old>-statu new_value = <fs_qals>-statu user_id = sy-uname timestamp = sy-datum && sy-uzeit tx_type = 'UPDATE' ) TO lt_old_values. ENDIF. " 其他字段依此类推... ENDIF. ENDLOOP. " 批量写入自定义审计表 ZPART11_AUDIT_LOG INSERT zpart11_audit_log FROM TABLE lt_old_values.

该方案确保：① 只记录GMP字段，避免日志爆炸；② 时间戳为sy-datum && sy-uzeit（本地系统时间），符合§11.50a“本地时间”要求；③ 新旧值同存，满足“不遮蔽历史信息”条款。

2.3 证据层：签名语义化与不可否认证据包生成

Part 11 §11.50a强调签名必须包含“签名者姓名、执行时间（本地）、签名含义”。SAP标准签名（如CL20签样）仅存用户ID与时间，缺失“含义”维度。我们构建“签名意图模型”：

签名动作触发时，系统强制弹出语义选择框（非默认值），并将SIGNATURE_MEANING、SIGNER_NAME（从USR02读取全名）、LOCAL_TIMESTAMP（CONVERT TIME STAMP转换为用户本地时区）一并写入自定义表ZPART11_SIGNATURE。该表结构经FDA检查官认可，字段含：

• SIGN_ID（UUID，主键）
• OBJ_TYPE（对象类型，如'QALS'）
• OBJ_KEY（对象键，如检验批号）
• SIGN_MEANING（含义代码）
• SIGNER_NAME（全名，非USERID）
• LOCAL_TIME（用户本地时间，格式YYYYMMDDHHMMSS）
• SERVER_TIME（服务器UTC时间，用于时差校验）
• SIGN_HASH（SHA256哈希，覆盖签名时刻所有关键字段值）

此表即为“不可否认证据包”的核心载体，支持按任意字段组合快速导出PDF证据包（含数字签名水印）。

2.4 四个核心控制域的边界定义与责任归属

为避免验证范围模糊，我们明确定义四个控制域及其Owner：

每个域均有独立的验证协议（VP）与测试用例（TC），确保责任可追溯、验证可拆分、问题可定位。

3. 关键模块实现：QM检验批电子签名与审计轨迹的端到端闭环

以QM模块中最典型的“检验批结果录入→复核→批准”流程为例，展示如何将Part 11要求嵌入SAP标准事务流。该流程覆盖原文第10、11、12页全部核心条款，是FDA检查最高频抽查路径。

3.1 检验批状态机改造：从线性流转到语义化签名驱动

SAP标准检验批状态（QALS-STATU）为线性值（如'01'=创建，'02'=结果录入，'03'=复核，'04'=批准）。但Part 11要求签名必须绑定具体业务含义，而非状态码。我们重构状态机：

• 状态码仅作技术标识：保留'01'~'04'，但不再直接由用户操作触发
• 签名动作驱动状态跃迁：用户执行QM_APPROVE签名时，系统自动将STATU置为'04'，同时记录签名语义

关键增强点位于BADI_QM_PROCESS的CHECK_BEFORE_SAVE方法：

METHOD if_ex_qm_process~check_before_save. DATA: ls_sign_context TYPE zpart11_sign_context. " 仅当存在待签名动作时执行语义校验 IF me->mv_sign_pending = abap_true. " 读取当前用户签名意图（来自前端选择） SELECT SINGLE * FROM zpart11_sign_intent INTO @ls_sign_context WHERE user_id = @sy-uname AND session_id = @sy-binpt. CASE ls_sign_context-sign_meaning. WHEN 'QM_APPROVE'. " 强制校验前置条件：结果必须已录入且复核完成 IF NOT ( is_qals-result_entry_complete = abap_true AND is_qals-review_complete = abap_true ). MESSAGE e001(zpart11) WITH 'Results not ready for approval'. ENDIF. " 设置状态并记录签名 is_qals-statust = '04'. PERFORM create_signature_record USING is_qals-qmnum 'QM_APPROVE'. WHEN 'QM_REVIEW'. " 复核签名逻辑（略） is_qals-statust = '03'. PERFORM create_signature_record USING is_qals-qmnum 'QM_REVIEW'. ENDCASE. ENDIF. ENDMETHOD.

此设计确保：① 状态变更必有签名语义背书；② 签名动作受业务规则强约束；③ 所有签名行为均触发create_signature_record，写入ZPART11_SIGNATURE表。

3.2 审计轨迹的“三重时间戳”校验机制

Part 11对时间戳有严苛要求：§11.50a要求“本地时间”，§11.10e要求“操作时间”，而系统自身需UTC时间用于跨时区溯源。我们在审计记录中强制存入三重时间戳：

在ZPART11_SIGNATURE表中，三者同存。FDA检查时，检查官会随机抽取3条签名记录，要求提供：

• LOCAL_TIME与用户所在时区（如CST）是否匹配
• SERVER_TIME与UTC_TIME差值是否恒等于系统时区偏移（如CST为UTC-6，则差值应为21600秒）
• LOCAL_TIME与SERVER_TIME是否在同一日（排除时区配置错误）

该机制在某美资药企审计中，成功拦截了因SAP系统时区配置错误导致的127条无效签名记录。

3.3 电子记录归档包的生成与完整性验证

Part 11 §11.10b要求“生成准确完整的副本”。我们不依赖SAP标准归档（ARCHIVELINK），而是构建轻量级归档包：

• 包内容：检验批主数据（QALS）、检验特性（QAVE）、检验结果（QAKU）、签名记录（ZPART11_SIGNATURE）、审计日志（ZPART11_AUDIT_LOG）快照
• 生成时机：检验批状态变为'04'（批准）后1小时内，后台作业ZPART11_ARCHIVE_JOB自动触发
• 完整性保障：包内含MANIFEST.XML，声明所有文件名与SHA256哈希值；包本身为ZIP格式，文件名含批次号与生成时间戳（如QM_2023000123_20231015143022.zip）

归档作业核心逻辑：

" ZPART11_ARCHIVE_JOB 中归档包生成 DATA: lv_zip_name TYPE string, lv_manifest TYPE string, lt_files TYPE TABLE OF zpart11_archive_file. lv_zip_name = |QM_{ is_qals-qmnum }_{ sy-datum }{ sy-uzeit }.zip|. " 1. 导出各表数据为CSV PERFORM export_table_to_csv USING 'QALS' is_qals-qmnum CHANGING lt_files. PERFORM export_table_to_csv USING 'ZPART11_SIGNATURE' is_qals-qmnum CHANGING lt_files. " 2. 生成MANIFEST.XML lv_manifest = `<manifest><file name="QALS.csv" hash="{ get_sha256( lt_files[1]-content ) }"/>`. lv_manifest = lv_manifest && `<file name="ZPART11_SIGNATURE.csv" hash="{ get_sha256( lt_files[2]-content ) }"/></manifest>`. " 3. 将所有文件+MANIFEST写入ZIP CALL FUNCTION 'SCMS_ZIP_CREATE' EXPORTING zip_name = lv_zip_name manifest_xml = lv_manifest TABLES content_tab = lt_files. " 4. 将ZIP存入应用服务器目录 /usr/sap/archives/ CALL FUNCTION 'EPS_GET_DIRECTORY_LISTING' EXPORTING dir_name = '/usr/sap/archives/' IMPORTING file_list = lt_dir_list.

归档包生成后，系统自动执行完整性校验：解压包→读取MANIFEST.XML→逐个计算文件SHA256→比对哈希值。校验失败则触发告警并中止归档。该流程已通过TÜV Rheinland的Part 11专项验证。

3.4 签名证据包的PDF导出与数字水印嵌入

为满足检查官“现场调阅”需求，我们提供一键导出PDF证据包功能（事务码ZPART11_PDF）。包内含：

• 封面页：含公司LOGO、检验批号、生成时间、验证版本号
• 检验批主数据页（QALS）
• 检验结果明细页（QAVE+QAKU）
• 签名记录页（ZPART11_SIGNATURE，含签名者全名、本地时间、含义代码）
• 审计日志页（ZPART11_AUDIT_LOG，仅显示该批次相关记录）
• 完整性声明页：声明“本包含所有Part 11要求证据，哈希值见封底”

关键创新在于数字水印嵌入：使用CL_RSPO_PDF类在每页PDF底部添加不可见水印，内容为SIGN_ID + UTC_TIME + SERVER_TIME的Base64编码。水印仅在专业PDF分析工具（如Adobe Preflight）中可见，防止截图篡改。

" PDF生成中水印嵌入逻辑 DATA: lv_watermark TYPE string. lv_watermark = |{ ls_sign-sign_id }| && |{ ls_sign-utc_time }| && |{ ls_sign-server_time }|. lv_watermark = cl_http_utility=>encode_base64( lv_watermark ). CALL METHOD lo_pdf->add_watermark EXPORTING watermark_text = lv_watermark opacity = 5.

该水印在FDA现场检查中，被用于快速验证PDF是否为系统原生生成（非PS打印伪造），成为关键信任锚点。

4. 常见问题排查：SAP电子签名与记录落地中最易翻车的5个致命点

在12个GxP项目中，以下5个问题出现频率最高，且一旦发生，往往导致验证失败或483观察项。它们不是配置疏漏，而是对Part 11条款的底层理解偏差。

4.1 现象：签名时间戳显示为“2023.01.01 00:00:00”，或所有签名时间完全一致

原因：开发人员误用sy-datum和sy-uzeit拼接时间，而未考虑sy-uzeit在批处理作业中为固定值；或未调用CONVERT TIME STAMP转换本地时区，导致UTC时间直接显示为系统默认零点。
解决：

• 签名时间必须调用cl_abap_tstmp=>systemtstmp_local( )获取本地时间戳，再转换为TIMESTAMP类型
• 绝对禁止拼接sy-datum && sy-uzeit，该组合在后台作业中毫无意义
• 在ZPART11_SIGNATURE表中增加TIMEZONE_OFFSET字段（如-3600），记录生成时区偏移，供审计时复核

4.2 现象：审计日志中能查到“用户A修改了字段X”，但无法看到修改前的原始值

原因：仅启用了SCU3表日志，而SCU3在SAP中默认不记录旧值（CDHDR只存变更摘要，CDPOS不存旧值）；或自定义增强中未显式读取旧值表（如QALS_OLD）。
解决：

• 禁用SCU3全局日志，改用业务出口增强（如EXIT_SAPLQALS_001）
• 在增强中必须READ TABLE旧数据内表（SAP标准提供gt_qals_old等），而非仅比对新数据
• 自定义审计表ZPART11_AUDIT_LOG必须含OLD_VALUE和NEW_VALUE两字段，且长度足够容纳长文本（如CHAR(255)）

4.3 现象：用户反馈“签名后状态没变”，或“复核按钮点了没反应”

原因：签名语义模型未与SAP标准状态机解耦，导致签名动作被SAP标准状态检查（如STATUS_CHECK）拦截；或双因子认证超时后，签名上下文丢失，系统拒绝提交。
解决：

• 签名动作必须绕过SAP标准状态检查，通过BADI_QM_PROCESS的CHECK_BEFORE_SAVE方法注入业务规则
• 双因子令牌有效期设为120秒（非默认30秒），并在签名页面增加倒计时提示
• 签名上下文（ZPART11_SIGN_INTENT）必须绑定session_id，且在签名提交后立即清空，避免重复提交

4.4 现象：FDA检查官要求导出“某检验批的所有签名记录”，系统报错“数据量超限”

原因：ZPART11_SIGNATURE表未建复合索引，查询仅用OBJ_KEY单字段索引，导致全表扫描；或未启用SAP HANA列式存储优化，大数据量下响应超时。
解决：

• 在ZPART11_SIGNATURE上建立复合索引：OBJ_TYPE + OBJ_KEY + SIGN_MEANING + LOCAL_TIME
• 对HANA系统，将该表设为列存储（CREATE COLUMN TABLE），并启用分区（按LOCAL_TIME年月分区）
• 导出程序ZPART11_PDF必须分页处理，单次查询不超过1000条，用OFFSET/LIMIT替代SELECT *

4.5 现象：归档包解压后，MANIFEST.XML中的哈希值与实际文件哈希不一致

原因：导出CSV时未统一编码（如部分文件UTF-8带BOM，部分ANSI），导致哈希计算偏差；或ZIP压缩级别影响文件二进制内容（不同压缩率生成不同哈希）。
解决：

• 所有CSV导出强制指定编码：cl_abap_char_utilities=>codepage_utf8
• ZIP生成必须用SCMS_ZIP_CREATE且compression_level = 0（无压缩），确保二进制一致性
• 哈希计算必须在ZIP打包前，对原始内存数据块（xstring）直接计算，而非对ZIP内文件

5. 验证与答辩：用“检查官视角”走一遍你的Part 11证据链

答辩不是讲技术，而是证明你经得起检查。我带过的项目中，最有效的答辩策略是：提前模拟FDA检查官的3个必问问题，并用你的系统现场演示回答。这比背诵条款管用十倍。以下是我在某注射剂产线项目答辩时的真实流程，你可直接套用。

5.1 问题1：“请现场调出检验批QM-2023-00123的完整电子签名证据”

你的动作：

• 登录SAP，执行事务码ZPART11_PDF
• 输入检验批号QM-2023-00123→ 点击“生成PDF”
• 系统10秒内生成PDF并自动下载（注意：不要提前准备PDF！必须现场生成）
• 打开PDF，翻到第1页封面，指给评委看：

  “这里显示生成时间2023.10.15 14:30:22，与系统时间一致；第2页是检验批主数据；第5页是签名记录——您看，签名者全名‘张伟’、本地时间‘2023.10.15 10:22:15 CST’、含义‘QM_APPROVE’，全部符合§11.50a；最后一页是完整性声明，哈希值与封底一致。”

关键点：全程在评委注视下操作，不解释技术，只展示证据位置。PDF必须含数字水印（用Adobe Preflight验证），这是信任基石。

5.2 问题2：“审计日志能否证明，这个签名前，检验结果确实已录入？”

你的动作：

• 切换回SAP，执行SE16N，打开表ZPART11_AUDIT_LOG
• 输入OBJ_TYPE = 'QALS'，OBJ_KEY = 'QM-2023-00123'，执行
• 找到两条记录：
  • 第一条：FIELDNAME = 'RESULT_ENTRY_STATUS'，OLD_VALUE = 'INCOMPLETE'，NEW_VALUE = 'COMPLETE'，TIMESTAMP = 20231015091533
  • 第二条：FIELDNAME = 'STATU'，OLD_VALUE = '02'，NEW_VALUE = '04'，TIMESTAMP = 20231015102215
• 指着时间戳说：

  “您看，结果录入完成时间是09:15:33，签名时间是10:22:15，间隔1小时7分钟，完全满足‘先录入后批准’的业务逻辑。这两条记录都存于同一张表，时间戳精度到秒，不可篡改。”

关键点：用真实数据说话，不讲“理论上可以”，而说“这里就是证据”。时间戳必须是LOCAL_TIME字段，不是SERVER_TIME。

5.3 问题3：“如果用户A盗用用户B的密码签名，你们如何发现？”

你的动作：

• 打开SM19（Security Audit Log），输入事件码Z_PART11_LOGIN_FAIL
• 展示最近7天的失败登录记录，重点指出：
  • 2023.10.14 14:03:22：用户B密码输错3次，系统自动锁户，并向安全组发邮件
  • 2023.10.14 14:03:25：RZ20中生成Z_PART11类告警，状态为“Active”
• 接着打开ZPART11_SIGNATURE表，筛选用户B的签名，确认2023.10.14当天无任何签名记录
• 最后说：

  “所以，盗用行为会在第3次失败时被实时阻断，且所有失败尝试均留痕。而真正的签名，必须通过双因子认证——即使密码被盗，没有手机OTP也无法完成。这就是§11.300d要求的‘立即告警’与‘交易防护’。”

关键点：把技术控制（双因子）与管理控制（告警+锁户）串联成证据链，证明纵深防御有效。

5.4 答辩材料包：3份必须准备的“免检文件”

除了系统演示，务必向评委提供3份纸质/电子版材料，它们比PPT更有说服力：

这3份文件，我要求团队在答辩前一周就打印装订，放在评委手边。他们翻看时，你就在旁边安静操作系统——无声胜有声。

从那以后我每次做GxP项目，都强制在UAT阶段邀请QA同事扮演FDA检查官，用这3个问题突袭测试。哪怕只卡住1个环节，也必须修复后再进入验证。因为现场答辩的每一秒，都是你过去三个月工作的终极验收。希望帮到你。

本文还有配套的精品资源，点击获取