감사추적 타임스탬프를 지키는 GMP 시간 동기화
GMP 시간 동기화는 기록을 남기는 모든 시스템이 같은 기준 시각을 쓰도록 맞추고, 그 시각을 아무나 바꾸지 못하게 통제하는 일입니다. 21 CFR 11.10(e)는 컴퓨터가 생성한 타임스탬프가 있는 감사추적을 요구하는데, 시스템 시계가 틀리면 그 타임스탬프도 함께 틀립니다. 감사추적이 증거가 되려면 시각부터 맞아야 하는 셈입니다. 관리할 것은 크게 네 가지입니다.
- 기준: 국가 표준시나 GNSS에 소급되는 시간원
- 전달: 사내 NTP 서버로 서버·PC·장비 동기화
- 통제: 시계는 권한자만 바꾸고, 바꾼 내용은 기록
- 점검: 시각 불일치를 감지하고 주기적으로 확인
규정
규정은 시간을 어떻게 다룰까요?
시간에 관한 요구는 21 CFR 11.10(e)의 감사추적 규정에서 시작하고, 이후 나온 지침들이 시계를 어떻게 통제할지 구체적으로 채워 왔습니다. 문서별 요지는 아래와 같습니다.
| 문서 | 요지 |
|---|---|
| 21 CFR 11.10(e) | 컴퓨터 생성 타임스탬프가 있는 보안 감사추적 |
| MHRA GXP DI 지침(2018) | 적절히 통제·동기화된 시계 사용, 여러 사이트면 시간대 명시 |
| FDA 임상 전자시스템 Q&A Rev.1(2024) Q14 | 날짜·시간 정확성 통제, 불일치 감지 시 관리자 통보, 변경은 권한자만·문서화 |
| EU GMP Annex 11 개정 초안(2025) 13.4 | 전자서명 일시와 필요 시 시간대 자동 기록 |
FDA Q&A는 임상시험용 지침이지만 시계 통제 방법을 꽤 구체적으로 적고 있어, GMP 시스템을 설계할 때도 참고할 만합니다. Annex 11 개정안은 아직 초안이라는 점도 기억해 두세요.
시간 문제는 FDA 경고장에도 자주 등장합니다. 2026년 4월 한 경고장은 사용자가 시스템 날짜를 바꿀 수 있는 상태를 문제 삼았고, 2026년 5월 경고장은 파일 생성·수정 일시가 부정확하다는 점을 지적했습니다.
시간원
기준 시각은 표준시나 위성 신호에서
대한민국 표준시는 한국표준과학연구원(KRISS)이 UTC(KRISS)로 유지합니다. KRISS는 공개 NTP 서버 ntp.kriss.re.kr와 동기화 프로그램 UTCk 4를 운영하지만, 인터넷을 거치는 동기화는 네트워크 상태에 따라 수 ms에서 수백 ms까지 오차가 생깁니다. 그래서 KRISS도 이 서비스를 일반 국민 편의용으로 안내하고, 상업적 활용이나 정밀도가 필요한 산업 현장 제어, 표준장비 교정 용도는 제외한다고 밝히고 있습니다.
이런 이유로 사내에 GNSS 수신 시간 서버를 두는 구성이 많습니다. 위성 신호를 직접 받아 사내 NTP 기준으로 삼으니, 외부망이 막혀도 시각이 유지됩니다.
| 모델 | 시간원 | 프로토콜 | 홀드오버 |
|---|---|---|---|
| Bodet Netsilon 7 | GPS·GLONASS, TCXO | NTP v2/v3/v4, SNTP | 24시간 후 5 ms |
| Bodet Netsilon 9 | GPS·GLONASS·BeiDou·Galileo, OCXO | NTP, PTP 옵션 | 24시간 후 ±15 µs |
표의 홀드오버는 위성 신호가 끊겼을 때 내부 발진기만으로 시각을 지키는 성능을 말합니다. Netsilon 7은 초당 7,000건의 NTP 요청을 처리하고, 1U 랙에 들어갑니다.
구성
사내 NTP는 계층 구조로
GNSS 시간 서버를 맨 위에 두고, 서버와 장비 PC, 라우터가 차례로 그 기준만 따르도록 층층이 연결합니다. 기준이 한 줄로 이어져 있어야 시스템마다 시각이 어긋나지 않습니다.
- GNSS 시간 서버를 최상위 기준으로 둡니다.
- 도메인 컨트롤러나 주요 서버가 이 기준을 받습니다.
- EMS 서버, LIMS, 장비 PC는 사내 기준만 바라보게 설정합니다.
- 현장 라우터·게이트웨이도 같은 기준을 사용하게 합니다. Digi IX10 같은 라우터는 NTP 서버 기능이 있어서 원격지 장비의 기준 역할을 할 수 있습니다.
- 시간대를 통일하고, 여러 사이트면 기록에 시간대를 함께 남깁니다.
데이터로거는 대개 서버나 게이트웨이와 통신할 때 시각을 맞춥니다. 로거의 시각이 어디서 오는지 장비별로 확인해 구성도에 적어 두면, 실사에서 설명하기가 훨씬 수월합니다.
통제
시계를 바꾸는 권한부터 막으세요
정확한 시간원을 갖춰 놓아도 일반 사용자가 OS 시계를 바꿀 수 있다면 감사추적의 시각을 믿기 어렵습니다. 그래서 시간 통제는 시계를 바꿀 수 있는 사람을 제한하는 데서 시작하고, 권한·감지·기록 세 가지를 갖춰야 합니다.
- 권한: 일반 사용자 PC에서 날짜·시간 변경 권한을 막고, EMS·LIMS 서버의 OS 관리자 계정도 역할을 나눕니다.
- 감지: 동기화가 실패하거나 시각 차이가 생기면 관리자에게 알림이 가게 합니다. 장비 로그에서 동기화 이력까지 볼 수 있으면 더 좋습니다.
- 기록: 시각을 손으로 고쳐야 할 때는 사유, 수행자, 이전·이후 시각을 남깁니다.
데이터 완전성 쪽에서 보면 시간 기준에도 소급성이 있어야 설명이 쉽습니다. 식약처 바이오의약품 데이터 완전성 Q&A(2024.1 개정)는 위성 신호로 자동 보정되는 스마트폰을 표준 시계로 쓰면 별도 교정이 필요 없다는 취지로 안내했습니다.
점검
실사 전 시간 점검표
실사 전에는 아래 여섯 가지 질문에 답할 수 있는지 확인해 두세요. 모두 답할 수 있다면 시간 관리 체계를 설명할 준비는 된 셈입니다.
- 시스템별 시간원과 동기화 경로를 그린 구성도가 있습니까?
- 사용자가 OS 시계를 바꿀 수 없게 막혀 있습니까?
- 동기화가 실패하면 누가, 어떻게 알게 됩니까?
- 감사추적에 시간대가 표시됩니까? 여러 사이트라면 반드시 필요합니다.
- 서머타임이 있는 해외 사이트와 데이터를 주고받는다면 기준 시간대를 정했습니까?
- 시간 서버 장애 때 대체 기준이 정해져 있습니까?
관련 제품
자주 묻는 질문
인터넷 NTP 서버만으로 시간을 맞춰도 되나요?
쓸 수는 있지만 한계가 있습니다. 네트워크 상태에 따라 오차가 생기고, 외부망이 막히면 동기화가 끊깁니다. 사내 GNSS 시간 서버를 기준으로 두면 두 문제가 모두 줄어듭니다.
GNSS 시간 서버도 교정을 받아야 하나요?
장비에 따라 다릅니다. 위성 신호에 자동으로 맞춰지는 장비는 별도 교정 대신 동기화 상태와 홀드오버 이력을 점검 기록으로 남기는 경우가 많습니다. 관리 방식은 품질 부서와 함께 사내 기준으로 정하세요.
시스템 사이 시각 차이는 몇 초까지 괜찮나요?
규정에 정해진 숫자는 없습니다. 기록 간격과 사건 순서를 판단하는 데 지장이 없는 수준으로 사내 기준을 정하고, 그 근거를 함께 남기세요.
데이터로거 시각이 틀린 걸 나중에 알았다면 어떻게 하나요?
일탈로 처리합니다. 시각이 얼마나, 얼마 동안 틀렸는지 확인하고 데이터 해석에 준 영향을 평가해 기록하세요. 원본 값은 고치지 않습니다.
시간 동기화에 PTP가 꼭 필요한가요?
용도에 따라 다릅니다. EMS처럼 분 단위로 기록하는 시스템은 NTP로 충분한 경우가 많고, 마이크로초 수준이 필요한 설비 제어나 계측 동기화라면 PTP를 검토합니다.
시간 동기화와 권한 통제, (주)테솔 엔지니어와 함께 점검하세요
시간 서버 구성부터 EMS 밸리데이션의 시각 시험 항목까지 현장 시스템에 맞춰 정리해 드립니다. 대표번호 031-713-5988
기술 상담 신청참고 자료
- 21 CFR Part 11, §11.10(e)
- MHRA, GXP Data Integrity Guidance and Definitions, Revision 1 (2018.3)
- FDA, Electronic Systems, Electronic Records, and Electronic Signatures in Clinical Investigations: Questions and Answers, Revision 1 (2024.10)
- EU GMP Annex 11 개정 초안 (2025.7, 의견수렴용)
- 한국표준과학연구원, 표준시각 맞추기 안내
- Bodet, Netsilon 7·Netsilon 9 제품 사양
