技能介绍

这个技能解决什么问题

药企的信息化项目有个绕不开的坑：方案文档里写着「系统满足 ALCOA+ 要求」，代码里却找不到 audit_log 表；URS 写了完整的电子签名能力，实际实现只有一段上传 PDF 的接口。等到审计师来翻账，发现的全是「文档有、实现无」的窟窿。

@user_ce7e6948/gmp-csv-validator 就是冲这个场景来的：给一个项目目录，产出一份合规覆盖度报告——哪些检查项真落地了，哪些只是写在 MD 里，哪些压根没影。

它怎么工作

核心不是「读懂」项目，而是关键词匹配。 内置一份基线文件 data/baseline.md，覆盖 12 个合规域、58 个检查项，权重合计 108。对每一项，agent 会拿预设的 keywords 到项目里 grep/rg 一遍：

命中代码/配置/SQL 才算覆盖，文档只作辅助证据
命中率 ≥ 50% 记覆盖，0 到 50% 记部分覆盖，0 记缺失
缺失项直接引用基线里的 advice 和 source 字段，把法规条款精确到 references/compliance_sources/ 里的文件加章节

匹配是事实驱动的，不是语义理解。 文档写了电子签名不算数，得在代码里找到 E-Signature 类或 signature_record 表；反过来，MD 没提审计追踪，但代码里有 AuditTrail 实体加 @Audited 注解，照样判覆盖。这避免了「我们会做」式的自欺欺人。

检查项按域组织：数据完整性 (ALCOA+)、CSV 验证、审计追踪、电子签名与权限、批次追溯、变更控制、偏差/CAPA、备份容灾、时间同步、培训、文件记录、风险评估。每项带风险等级，任意高风险项缺失则整体风险标红。报告输出为 Markdown，覆盖项注明证据位置（哪个文件、哪一行），整改项明确到 21 CFR Part 11 §11.10(e) 或 EU Annex 11 §11 这种颗粒度。

法规原文按需加载，覆盖 FDA、欧盟、中国 GMP 及计算机化系统附录、WHO TRS 996、ICH Q9 六部。基线还内置按品种/剂型扩展的示例段落，无菌制剂、生物制品、原料药等可追加专属检查项。