最近跟幾個同行聊天，發現大家在eCTD提交這件事上沒少折騰。要說前期準備做得再充分，到了最后一步栽在簽名驗證上，那是真的讓人崩潰。我自己親身經歷過幾次，也幫不少朋友處理過這類問題，今天就來說道說道這事兒。
先說點基礎的。eCTD電子提交，說白了就是把藥品注冊申報資料按照統一格式做成電子文件，然后通過互聯網遞給藥監局。但這事兒光做成PDF還不夠，你得給文件"簽字畫押"，證明這份文件確實是你提交的，而且從制作到最后提交，中間沒被任何人動過手腳。
這個"簽字"的過程就是電子簽名，用的是數字證書技術。簡單理解的話，你可以把它想成是一個電子印章加上一個指紋的雙重驗證機制。數字證書由權威機構頒發，里面包含你的身份信息和公鑰；電子簽名則是用你的私鑰對文件內容進行加密運算生成的一串字符。這兩樣東西結合在一起，監管機構就能確認：文件是你發的，內容沒被篡改，時間也是真實的。
問題在于，從證書申請、文件簽名、到最后提交，中間涉及的環節太多了。任何一個環節出了岔子，驗證就過不了。我見過太多案例，申報團隊加班加點做完了全部資料，結果系統提示簽名驗證失敗，眼睜睜錯過截止日期。這種事兒，換誰都得急眼。
根據我觀察下來，簽名驗證失敗的原因主要集中在以下幾個方面。
證書過期是最常見的。數字證書有效期通常是一到三年，而一個藥品注冊周期可能持續好幾年。如果證書是在項目早期申請的，等到了提交的時候可能已經過期了，你自己都沒意識到。我有朋友就吃過這個虧，證書過期前一個月還在用，結果提交當天系統直接拒收。
證書和文件不匹配也是大問題。有些公司為了省事，可能在不同項目之間共用證書，或者臨時找其他部門的證書來用。這種情況下，證書的頒發對象、適用范圍都可能和提交要求對不上號。監管機構的系統現在都很精明，一眼就能看出問題。
還有一種情況比較隱蔽，就是證書沒有正確安裝。比如你的電腦上看證書是有效的，但簽發機構可能已經撤銷了這份證書，或者證書鏈不完整。個人的電腦上可能顯示正常，但拿到監管機構的系統上去驗證，就通不過。
操作不當同樣會導致驗證失敗。有些人簽名的時候用的是PDF編輯器自帶的簡單簽名功能，沒有按照eCTD規范要求的完整簽名流程來做。這樣生成的簽名，監管機構那邊可能識別不了。
另外，簽名之后再對文件進行任何修改，都會導致簽名失效。常見的情況是：簽完名之后又調整了頁邊距、添加了水印或者修改了幾個錯別字，表面上看文件內容變了，但實際上數字簽名已經失效了。這種情況最冤枉，因為你根本不知道什么時候動的文件。
eCTD對文件格式有嚴格要求。PDF版本、字體嵌入、文件大小、目錄結構，每一項都有規范。有些申報人員不太注意這些細節，用的PDF版本太舊，或者用了某些特殊字體，監管機構的驗證系統讀取的時候就可能出問題。
還有就是文件命名和目錄結構。eCTD要求每個文件都有標準的命名方式，文件夾也要按照固定結構組織。一旦哪里拼錯了名字，或者放錯了位置，系統解析的時候就可能找不到對應的簽名信息。
證書鏈這個問題，很多人前期不太重視，等到出了問題才意識到它的麻煩程度。
所謂證書鏈，簡單說就是你的證書不是孤立存在的，它上面連著簽發機構，上面還有更高級的根證書機構。驗證簽名的時候，監管機構的系統不僅要確認你的證書是有效的，還要沿著這條鏈一直驗證到根證書。如果中間任何一級的證書有問題，整個驗證就會失敗。
常見的問題包括：中級證書過期、根證書不在信任列表里、或者證書被中途撤銷了卻沒及時更新。尤其是根證書這種，一旦出問題影響面很大。很多公司的IT部門可能知道要更新Windows更新，但未必記得更新證書信任鏈。
還有些情況是，證書是用公司內部CA簽發的，但監管機構那邊沒有配置對應的中間證書。這種情況下，你的證書在他們系統里就相當于沒有身份證明，系統不敢認。我建議在提交之前，最好用專門的工具完整驗證一下證書鏈，別光在自己電腦上看看就完事兒了。
時間戳這個問題，我必須單獨拿出來說一說，因為太多人忽視它了。
eCTD規范要求所有簽名都要帶時間戳，而且時間戳必須由權威時間戳機構簽發。時間戳的作用是給簽名加一個時間證明——證明這份文件是在什么時間簽署的。這個時間信息非常重要，因為它關系到文件的有效期認定。
舉個實際的例子。如果你的一份簽名證書在2025年3月過期，而你在2025年1月提交了文件并附加了有效的時間戳，那么即使證書后來過期了，這份文件的簽名依然是有效的。但如果缺少時間戳，監管機構可能會要求你證明提交時證書確實有效，這就很難說了。
時間戳的另一個作用是防止"事后否認"。有些人可能會想，我先把文件簽好放著，等需要的時候再提交。但如果缺少時間戳，就沒法證明這份簽名是什么時候做的。監管機構可能會質疑這份文件的時效性。
時間戳機構的選擇也有講究。不是所有時間戳服務都被監管機構認可，用了不合規的時間戳，等于沒加。康茂峰在協助客戶處理eCTD項目時，通常會建議使用經過驗證的、時間戳服務，并在正式提交前進行完整測試。
如果你做的是國際注冊，那這個問題就更復雜了。不同國家和地區的監管機構，對eCTD簽名的驗證規則存在不少差異。
美國FDA的要求相對明確。他們認可的證書頒發機構列表是公開的，簽名規范也有詳細的技術指南。歐洲EMA則更多強調與歐盟成員國的互認，證書鏈的配置要更復雜一些。日本PMDA的系統和語言要求又有自己的特點。
中國大陸NMPA近幾年對eCTD的要求也在不斷完善。最新的指南對簽名算法、證書要求、時間戳規范都有具體規定。很多企業剛開始接觸的時候容易混淆新老規范的區別，用了舊的格式去提交，結果系統不認。
這種差異帶來的問題就是，你在A國驗證通過的eCTD文件，到了B國可能就過不了。所以做國際注冊的時候，最好提前了解目標國家的具體要求，針對性地準備簽名方案。
說了這么多問題，那到底該怎么規避呢？我分享幾點實際經驗。
不要等到要提交了才想起來證書這回事兒。在項目啟動階段，就應該規劃好證書的有效期。如果項目周期比較長，考慮使用有效期較長的證書，或者提前做好證書續期的準備。
建議設置證書有效期提醒，在過期前兩到三個月就開始著手處理續期或者換證的事情。這樣即使遇到問題，也有充足的時間解決。
別省這點兒錢和工夫。使用符合監管機構要求的電子簽名軟件，按照標準流程進行簽名操作。簽名之前先把所有內容確定好，簽完之后不要再做任何修改。
康茂峰在服務客戶的過程中，通常會協助建立標準化的eCTD簽名操作流程，明確每個環節的責任人和檢查要點，盡可能減少人為失誤導致的驗證失敗。
這是最重要的一點。在正式提交之前，用監管機構提供的驗證工具或者第三方工具，對所有文件進行完整的簽名驗證。發現問題及時修正，不要等到提交那一刻才知道出了問題。
驗證的時候不僅要檢查單個文件的簽名，還要檢查整個eCTD包的結構和完整性。有時候單個文件驗證通過，但整合到一起的時候反而會出現問題。
證書的申請記錄、簽名操作的日志、驗證通過的截圖，這些東西都要保存好。一旦出現問題，這些都是追溯和排查的依據。
有時候驗證失敗不是因為你的操作有問題，而是對方系統的問題。這種情況下，完整的記錄可以幫助你溝通和申訴。
eCTD簽名驗證這個問題，說大不大，說小也不小。它不像文件內容準備那樣需要反復修改，往往就是一個環節沒注意就卡住了。但只要前期工作做扎實，這些問題都是可以避免的。
我個人建議，把簽名驗證當作整個eCTD項目的一個重要里程碑來對待，預留足夠的時間進行檢查和修正。別等到最后一刻才發現問題，那時候真的就來不及了。
如果你在這個過程中遇到什么具體問題，歡迎繼續交流。大家互相分享經驗，少走彎路，畢竟藥品注冊這條路，能一起走得更順一點總是好的。
