药品追溯系统基本技术要求（修订）
1 范围
本标准规定了药品追溯系统的通用要求、功能要求、存储要求、安全要求与运维要求等内容。
本标准适用于规范药品上市许可持有人、生产企业、经营企业、疾病预防控制机构、使用单位及第三方技术机构等药品信息化追溯体系参与方建设与使用药品追溯系统。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 22239 《信息安全技术 信息系统安全等级保护基本要求》
GB/T 28452 《信息安全技术 应用软件系统通用安全技术要求》
NMPAB/T 1001 《药品信息化追溯体系建设导则》
NMPAB/T 1002 《药品追溯码编码要求》
NMPAB/T 1006—2019《药品上市许可持有人与生产企业追溯基本数据集》
NMPAB/T 1007—2019《药品经营企业追溯基本数据集》
NMPAB/T 1008—2019《药品使用单位追溯基本数据集》
NMPAB/T 1011—2022《药品追溯码标识规范》
NMPAB/T 1004—2019《疫苗追溯基本数据集》
NMPAB/T 1005—2019《疫苗追溯数据交换基本技术要求》
3 术语与定义
NMPAB/T 1001-2019与NMPAB/T 1002-2019界定的以及下列术语与定义适用于本文件。因为便于使用，以下重复列出上述标准中的一些术语与定义。
3.1 药品追溯协同服务平台 drug traceability harmonization service platform
通过提供药品标识码的备案与管理，以及药品、企业基础数据分发等服务，辅助实现药品追溯相关信息系统互联互通的信息服务系统。
3.2 药品追溯码 drug traceability code
用于唯一标识药品各级销售包装单元的代码，由一系列数字、字母与（或）符号组成。
3.3 药品追溯系统 drug traceability system
基于药品追溯码、相关软硬件设备与通讯网络，获取药品追溯过程中相关数据的集成，用于实现药品生产、流通与使用全过程追溯信息的采集、存储与共享。
3.4 药品标识码 drug identification code
用于标识特定于某种与药品上市许可持有人、生产企业、药品通用名、剂型、制剂规格与包装规格对应的药品的唯一代码。
4 通用要求
4.1 药品追溯系统应包括药品在生产、流通及使用等全过程的追溯信息，并具有对追溯数据的采集、存储、管理与共享功能，满足药品信息化追溯体系各参与方的不同追溯业务需求。
4.2 药品追溯系统应对接药品追溯协同服务平台，实现药品相关信息备案、追溯数据上报、追溯信息查询等功能。
4.3 药品追溯系统应支持界面输入、系统对接、文件导入、物联网终端设备读取等多种追溯信息采集方式。
4.4 药品追溯系统应对接药品追溯监管系统，满足监管数据交换要求。
4.5 药品追溯系统应形成追溯数据存储与管理机制，确保数据完整、有效、不可篡改与可追溯。
4.6 药品追溯系统应形成数据授权使用与安全监测机制，有效地保护数据安全，防止追溯数据被非法使用。
5 功能要求
5.1 基础信息管理要求
药品追溯系统应当提供基础信息管理的功能，支持企业维护自身的企业信息、资质信息、药品信息及往来单位信息等。所有基础信息的数据结构与内容须符合国家药监局药品追溯相关数据标准的规定要求。
5.1.1 企业信息管理要求
（1）企业信息新增与变更
药品追溯系统应当要求首次使用本系统的企业用户依据企业类型提供相应资质文件；系统基于国家药监局公开数据对企业信息及其资质信息开展审核，审核通过后方可提供服务。
企业开展信息变更时，药品追溯系统应当要求企业上传带有变更记录的资质证明或具备法律效力的材料，并开展审核，审核通过后变更生效。
（2）资质信息分类维护
药品追溯系统应支持企业维护以下根本资质信息，若有变更须上传最新资质图片经系统审核：
境内药品上市许可持有人/生产企业：营业执照、生产许可证；
境外药品上市许可持有人：药品注册证书；
境外药品上市许可持有人指定境内责任人：营业执照；
经营企业：营业执照、经营许可证；
医疗机构：事业法人证或营业执照、诊所备案证或医疗机构执业许可证。
5.1.2 药品信息管理要求
（1）药品信息新增与变更
企业在新增或修改药品基本信息时，药品追溯系统应当要求企业提交药品批件等证明材料；系统基于国家药监局公开数据对药品信息开展审核，审核通过后方可提供服务。
（2）药品信息维护
药品追溯系统应当支持查询与维护药品通用名称、剂型、制剂规格、包装规格等信息。
药品追溯系统应当要求企业必须严格依据药品注册证或药品注册批件开展规范维护。如有特殊使用场景需扩展信息，企业可另行说明，不得混淆法定注册信息。
5.1.3 往来单位信息管理要求
药品追溯系统应支持企业对往来单位信息开展维护，包括新增、查询、编辑及删除等。
企业在维护往来单位时，应当优先从所有已入驻或由其他入驻企业添加并经系统审核通过的企业信息中检索并引用，保障数据的一致性与准确性。
5.2 药品追溯码发码管理要求
对于承担发码功能的药品追溯系统应按照发码机构开展管理，应当为中国境内的法人机构，具备改进的管理制度与运行体系，并符合我国数据安全密切相关要求。应当制定符合标准要求的编码实施指南，指导药品上市许可持有人、生产企业开展追溯码创建、赋码工作，所发放的药品追溯码应确保其在生产、流通、使用等环节的可识读性。
5.2.1 发码信息备案要求
药品追溯系统在发放药品追溯码前应向药品追溯协同服务平台备案，予以药品追溯协同服务平台统筹，确保药品追溯码的唯一性。
5.2.2 追溯码申请与管理要求
药品追溯系统应当按照药品上市许可持有人、生产企业等的业务需求，按照NMPAB/T 1002的规定，提供药品追溯码发码与管理功能，用于处理与追溯码相关的操作事项，包括申请、下载、查询、注销等常规操作，以及其他对追溯码管理的相关操作。
（1）药品追溯码的发放与管理
企业在申请药品追溯码时，药品追溯系统应当要求企业选用已维护的药品信息，并精确指定至具体的包装规格、层级作为追溯码申请对象。
药品追溯系统应当依据设定的包装层级，自动为每个层级分配药品标识码，最小包装层级设定为1级。每个层级的药品标识码原则上不应一致。
（2）追溯码下载
药品追溯系统应支持在追溯码申请完成后下载追溯码包文件，并清晰展示该码包关联的药品信息。
（3）日志管理
药品追溯系统应当严格记录企业对追溯码的操作日志，包括追溯码的基础信息、操作记录、时间节点、追溯码状态等。
5.2.3 追溯码加解密管理与安全要求
药品追溯系统应保障药品追溯码在生成、传输、存储等环节的安全性、机密性与防篡改能力，应当按照基于加密技术对追溯码数据开展加解密处理，防止因文件意外泄露或非法获取结果的数据安全风险。
5.2.4 追溯码查询与权限管理要求
药品追溯系统应按相关法规要求，依权限为企业提供追溯码的相关信息查询。
5.3 追溯应用信息管理要求
药品追溯系统应按照不同类型企业用户的业务需求，按照药品追溯相关标准的规定，提供追溯应用信息管理功能。
5.3.1 关联关系管理要求
（1）关联关系上传要求
药品追溯系统应当支持企业对关联关系开展全生命周期管理，包括信息的解析校验、上传提交、信息修正、信息查询及文件上传及下载等功能。药品追溯系统应当指导或提醒上市许可持有人或生产企业保障生产数据上传的及时性。
（2）关联关系信息变更与删除要求
药品追溯系统应当支持企业对已上传的关联关系信息开展修正，并按照修改内容的性质实行分级管理。
已上传成功的关联关系信息原则上禁止删除。确因特殊原因需删除的，药品追溯系统应当按照企业提供的具备法律效力的证明材料，审核后执行。已销售出库药品禁止删除关联关系信息。
（3）关联关系查询要求
药品追溯系统应支持企业在符合相关数据权限的前提下，查询追溯系统中已激活的追溯码的关联关系，包括追溯码对应的药品信息、生产信息、追溯码关联信息。
5.3.2 追溯码重复激活处理要求
当上传的关联关系文件中包括已处于“已激活”状态的追溯码时，药品追溯系统应开展预警，并协助企业查明原因并开展处理。
已激活的追溯码原则上禁止重复激活，如有特殊原因，药品追溯系统应当要求企业提交原因说明及具备法律效力的证明材料，审核后执行。
药品追溯系统应当提供查询码重复激活处理记录的功能，包括操作人、处理原因、操作时间等信息。
5.3.3 药品入出库管理
药品追溯系统应对药品流通过程中所有入出库、库存信息开展管理，并对其中的追溯信息开展验证统计。
（1）入出库单上传管理
药品追溯系统应引导企业遵循“业务真实出现、当日及时上传”的原则，确保单据数据的完整性、准确性与时效性；严格执行“先入库、后出库”的流转逻辑，防止出现库存负数或流向异常。
药品追溯系统应仅允许企业对归属于本企业的追溯码执行入出库单据上传操作，确保数据操作的合法性。
药品追溯系统应支持完整维护发货单位、收货单位、委托单位及配送单位信息，清晰界定药品的物权关系与实际物流操作关系。
（2）退货及拒收管理
退货流程应与正向流通流程保持一致，需提交完整的退货入出库单据。药品追溯系统应协助企业及时处理退货入出库单，对退货药品的追溯码开展状态复位，确保数据闭环。
（3）入出库单查询与删除管理
药品追溯系统应依权限为企业提供入出库单查询功能，包括查询系统内所有本企业上传的单据、上下游指向本企业的单据、委托单位为本企业的入出库单据、向本企业授权过的入出库单据等。
药品追溯系统中已经上传成功的入出库单原则上不能删除，如因为特殊原因需要删除，企业应向追溯系统指出申请，详细描述删除理由，并提供证明文件，审核后执行。
（4）库存管理
药品追溯系统应支持企业按药品生产批次维度查询自身库存信息。药品追溯系统应支持期初库存维护，针对系统启用前已存在的药品库存，支持通过期初库存维护功能录入批次及数量信息，以确保账实相符。
药品追溯系统应当形成负库存预警机制，限制出现负库存数据。
5.3.4 召回管理
药品追溯系统应按照药品上市许可持有人、境内责任人等参与方的业务需求，遵循药品追溯数据及交换相关标准，提供药品召回信息管理功能。
药品上市许可持有人、境内责任人在药品追溯系统发起召回任务后，系统应当为药品上市许可持有人、境内责任人提供召回批次药品的全链条流转数据，并将召回信息实时推送至供应链全链条相关方。
5.4 统计与预警功能
药品追溯系统应对接收的追溯信息开展校验，将校验结果反馈上游企业/机构，并具有为监管部门、药品生产企业、经营企业以及医疗机构等相关主体提供追溯数据指标统计等功能，包括但不限于追溯验证率统计、库存平衡率统计等。
药品追溯系统应该具备风险预警与通知的功能，为监管部门、药品生产企业、经营企业以及医疗机构等相关主体提供有效的风险预警信息，。
5.5 日志管理
药品追溯系统应当形成完整的操作日志机制，尤其针对关联关系信息、追溯码状态、收发货单据等的操作须详细记录操作人、时间节点、操作原因等，确保操作行为可追溯。
5.6 系统融合应用
鼓励药品追溯系统为企业提供合规的数据上传或数据查询的接口服务，支持企业通过技术手段与追溯系统开展对接，以提高数据交互及时性与准确性。
鼓励药品追溯系统探索应用数智技术，利用新技术新方法支持多码合一、多追溯系统合一等方式，实现企业资源计划管理系统（ERP）、仓储管理系统（WMS）、供应链管理系统（SCM）、医院信息系统（HIS）等多系统的数智化转型，加强与药品追溯系统深度融合，提升企业管理效率与合规管理水平，推动医药行业数智化转型。
6 追溯信息共享要求
6.1 与药品追溯协同服务平台追溯数据共享及备案管理要求
药品追溯系统应按照相关规定与标准要求，在药品追溯协同服务平台开展备案，与药品追溯协同服务平台开展数据对接，上传并接收药品追溯相关数据。
药品追溯系统应协助药品上市许可持有人、境内责任人完成药品追溯码编码规则备案工作，支持药品追溯协同服务平台自动调取相关数据。
6.2 药品追溯参与方追溯数据传递要求
药品追溯系统应按照《数据安全法》与药品追溯数据相关标准等密切相关要求，结合药品上市许可持有人、生产企业、经营企业、使用单位等药品追溯参与方的业务需求，提供向追溯相关参与方传递追溯信息的功能。
7 权限管理要求
药品追溯系统应严格按照《数据安全法》等密切相关要求，按照“谁产生、谁所有”的原则，管理与控制追溯数据相关权限。应通过弄清楚各方权限，保障数据的准确性与安全性。
7.1 授权物流企业
药品追溯系统需具备物流授权及管理功能，即药品持有人、生产企业、经营企业或医疗机构可授权具备资质的企业，负责药品的仓储、运输与配送。被授权企业及委托企业依据相应权限对追溯信息开展上传及管理。
7.2 授权上市许可持有人与生产企业
药品追溯系统具备经营企业与使用单位向上市许可持有人授权功能，被授权的上市许可持有人可查看其持有品种在该企业与单位的经营与使用数据。
7.3 授权监管部门
监管部门指出追溯数据需求时，在满足企业授权的前提下，药品追溯系统应按监管要求帮助企业上报数据，且支持自动执行周期报备。
8 追溯信息查询要求
8.1 消费者查询
药品追溯系统应具有向消费者提供药品追溯信息查询功能。消费者查询功能应满足以下要求：
（1）能配合药品追溯协同服务平台提供与自行提供基于网页与移动终端的追溯结果展示;
（2）药品追溯查询时，追溯展示内容应遵照药品追溯数据消费者查询相关标准的规定。
8.2 监管方查询
药品追溯系统应具备按照监管需求，为监管方提供追溯数据查询的功能。
9 存储要求
9.1 支持存储调度，按照药品追溯系统使用单位需求有计划地对存储节点的迁移、扩容、拷贝、更改、删除等操作开展规划与自动执行。
9.2 提供存储资源调度管理策略，并能够将存储资源可靠、按需提供给药品追溯系统使用单位。
9.3 支持实例运行的容错机制，支持多实例并行运行；任一实例宕机不会影响应用可用性，系统自动完成运行实例与数据恢复。
9.4 支持集中控制与分布自主控制的数据备份，应对追溯数据制定具体的数据备份策略。
9.5 提供对结构化数据、半结构化数据与非结构化数据的存储功能。
9.6 按相关规定期限保存追溯数据。
9.7 提供数据导入/导出功能。
10 安全要求
10.1 权限管理
药品追溯系统的权限管理应满足以下要求：
（1）药品追溯系统应具具有作用户身份注册、审核、管理的功能；
（2）药品追溯系统应向使用系统的用户分配登录账号，并指导用户使用安全验证方式登录系统；
（3）药品追溯系统应具具有作用户权限配置功能，可按照业务需要设定访问控制策略。
10.2 安全管理
药品追溯系统应当满足信息系统安全等级保护三级要求，包括身份认证与访问控制等，实施多因素认证（如手机号+短信验证码、UKEY与密码等），保障账户安全性；按照用户角色分配权限，遵循最小权限原则等。
数据安全，定期开展数据安全风险自查，鼓励药品追溯系统定期开展第三方数据安全风险评估。
11 运维要求
11.1 应弄清楚药品追溯系统运维人员，落实运维责任，确保药品追溯系统的稳定运行。
11.2 应制定系统运行应急处理预案，确保故障出现时及时响应。
参 考 文 献
[1]中华人民共与国药品管理法实施条例（中华人民共与国国务院令第828号）
[2] 药品生产监督管理措施（国家市场监督管理总局令第28号）
[3] 药品经营与使用质量监督管理措施（国家市场监督管理总局令第84号）
[4] 国务院办公厅关于提升推进重要产品追溯体系建设的意见（国办发〔2015〕95号）
[5]国家药监局关于药品信息化追溯体系建设的指导意见（国药监药管〔2018〕35号）
[6] 国务院办公厅关于全面深化药品医疗器械监管改革促进医药产业高质量发展的意见（国办发〔2024〕53号）
1691
