Chain of Identity / Chain of Custody とは？細胞治療で取り違えを防ぐ仕組み

2つの連鎖は何が違うのか

似た言葉ですが、守っている対象が違います。

COIが破れることは、患者安全に直結します。 同種（他家健常ドナー由来の細胞から在庫型で製造するCAR-T。拒絶やGvHDを避ける改変を要する。）由来の細胞を誤って投与すれば、重篤な免疫反応につながりえます。一方COCの破れは、多くの場合「その製品を出荷してよいか判断できない」という形で現れます。

識別子をどう設計するか

COIの実装は、突き詰めると識別子（ID）の設計の問題になります。

工程の中で、材料は何度も形を変えます。採血バッグ、洗浄後の細胞懸濁液、遺伝子導入後の細胞、拡大培養後の細胞、凍結バッグ液体窒素レベルの極低温での凍結保存に使う使い捨てバッグです。細胞や原薬を凍らせて長期に保管・輸送するための容器です。詳しく →。⁠容器が変わるたびに、識別子を引き継ぐ操作が発生します。

この引き継ぎが弱点になります。設計上の要点は次のとおりです。

• 一意であること⁠：施設をまたいでも重複しない体系にする
• 人が読めて、機械も読めること⁠：バーコードや二次元コードに加え、目視でも確認できる表示を併記する
• 患者の個人情報と分離すること⁠：製造現場では匿名化された識別子を使い、対応表は別に管理する
• 移し替えの前後で必ず突合すること⁠：新しい容器のラベルと元の容器を照合してから移す
• 二人で確認する（ダブルチェック）か、システムで強制するかを決める

近年は、⁠システム側でスキャンが一致しないと次の操作に進めないという設計が採られます。人の注意力に依存する運用は、疲労や割り込みに弱いためです。

施設をまたぐ、という構造

細胞治療のもうひとつの難しさは、⁠1社の中で完結しないことです。

採取は医療機関、輸送は物流業者、製造はCDMO医薬品の開発・製造を他社から受託する企業。設備投資を負わずに専門能力を使える。または自社工場、試験は外部の試験室、投与はまた医療機関——という経路をたどります。記録を持つ主体が分かれ、システムも様式も揃っていません。

このとき問題になるのは、⁠受け渡しの境界です。

• どちらの責任範囲がどこで終わるか
• 受け取った側は何を確認してから受領とするか
• 確認で不適合が見つかったとき、誰が判断するか
• 記録はどちらが保管し、どう共有するか

責任分界点が曖昧だと、⁠誰も見ていない時間帯が生まれます。空港での待機時間、休日をまたぐ保管、通関の停滞。ここで温度が外れても、気づくのは受け取った側になります。

医療機関との取り決め（品質に関する契約）で、この境界を文書化しておくのが実務の出発点になります。

温度の連続性という具体的な論点

COCの中でも、凍結保存と輸送の記録は最も問題になりやすい領域です。

• 測っているのは製品の温度ではない⁠：液体窒素の気相輸送容器では、ロガーが読むのは容器内の代表点であり、バッグそのものの温度ではありません
• 受け渡しのたびに記録が途切れうる⁠：ロガーを止めて読み出し、また別のロガーを付ける——という運用では、その間が空白になります
• 一時的な逸脱承認された手順や規格から外れた事象。GMPでは発見したら記録し、製品品質への影響を評価してロットの可否を判断します。詳しく →の評価が難しい⁠：数分間だけ規定範囲を外れたとき、その製品を出荷してよいかを判断する根拠が要ります

3番目に備えるには、⁠あらかじめ許容できる逸脱の範囲を決めておくしかありません。起きてから判断基準を作ると、判断そのものが恣意的に見えます。安定性データに基づいて、どの程度の温度・時間の逸脱までなら品質に影響しないかを示しておく——という準備が要ります。

細胞治療の充填・凍結製剤化の設計段階で、この記録の取り方と判断者まで含めて決めておくのが望ましい流れです。

自家と同種で要求が変わる

同じ細胞治療でも、自家と同種では追跡の性質が変わります。

自家（患者本人由来）

• 1バッチが1患者に対応する。COIは絶対的な要求になる
• 作り直しができない。取り違えの影響が回復不能
• 一方で、⁠追跡すべき経路は明確⁠（誰から誰へ、が最初から決まっている）

同種（他家由来）

• 1つのドナー由来から多数の製品ができる。一般的な医薬品のロット管理に近づく
• ドナーの適格性（感染症スクリーニング等）の記録が重要になる
• 1つの不備が多数の患者に及ぶため、範囲の広がり方が違う

つまり自家では「1対1の対応を絶対に崩さない」、同種では「1対多の影響範囲を把握する」——という方向に、管理の重心が移ります。

記録を統合するということ

近年、この領域で専用のソフトウェアを使う流れが出ています。記録の統合、識別子の一貫した付与、条件から外れたときの検知、監査時の再構成——人手の照合で起きる転記ミスを減らす効果は確かにあります。

ただし、⁠ソフトウェアが保証できないものもあります。

• 入力元の正しさ⁠：温度ロガーが正しく校正されていなければ、統合されたデータも正しくありません
• 記録されていない事象⁠：スキャンを飛ばして進めた操作は、システムには残りません
• 組織をまたぐ運用の実効性⁠：相手方が同じシステムを使っていなければ、境界には手作業が残ります

監査証跡が残っていても、元の入力が誤っていれば追跡は成立しません。データインテグリティの議論と同じで、⁠システムの導入は前提を整えることであり、正しさそのものを生むわけではないという理解が要ります。

実務としての備え方

最後に、設計段階で決めておくと後が楽になる項目を挙げます。

• 識別子の体系⁠：桁数、チェックディジット、施設コードの扱い
• 突合のタイミング⁠：どの操作の前後で必ず照合するか
• 受け渡しの手順書作業の手順を定めた文書。品質システムの要素を具体化し、査察でも運用が確認される。⁠：施設ごとに、受領時の確認項目を具体的に書く
• 温度逸脱の判定基準⁠：安定性データに基づく許容範囲と、判断者
• 模擬追跡の実施⁠：任意の1製品を選び、原材料製造の起点となる原料で、その品質や持ち込む不純物が最終製品の品質に影響しうるため、規格管理が重視される物質。から投与まで記録をたどってみる

最後の項目は、回収における模擬回収と同じ性質を持ちます。平時に一度やってみると、⁠記録が部門をまたいでいて集めるのに半日かかるといった弱点が見つかります。査察で指摘される前に自分で見つけられるかどうかが、この種の準備の値打ちです。