制造执行系统（MES）

本主题是 SG Systems Global 监管及运营指南库。

更新于 2026 年 1 月 • 制造执行系统 ​​(MES)、实时车间执行、电子批次记录 (eBR/eBMR)、硬性门控执行、可追溯性、异常管理、集成、验证就绪证据

制造执行系统 ​​(MES)是实时运行生产的系统层——它负责调度工作、确保生产顺序正确、收集实时数据，并将车间执行情况转化为可供审计的记录。抛开演示和专业术语，MES 本质上是一个控制平台：它根据车间实际存在的特定订单、批次、批号、设备和操作员，决定当前允许发生什么。

这一点至关重要，因为大多数制造失败并非“知识问题”，而是执行问题：正确的标准操作规程 (SOP)、正确的规格、正确的标签都已存在——然而却出现了以下情况：使用了错误的批次、跳过了某个步骤、使用了已停用的仪器、代码设置出现偏差，或者临时解决方案变成了“真正的流程”。企业资源计划 (ERP) 系统和电子表格在计划和核算方面表现出色，但它们并非旨在防止错误执行的发生。而制造执行系统 ​​(MES) 正是为此而生。

如果您曾经历过反复出现的偏差、缓慢的批次发布、长期的核对工作，或者审计中发现“我们无法证明”，那么核心问题通常都是一样的：您的证据链过于依赖事后重建。人们只是事后记录发生了什么。而MES系统则改变了这种现状，它能够记录系统强制执行的事件——身份扫描、设备集成值、带时间戳的步骤转换、独立验证，以及在问题解决之前会阻止流程继续推进的受控例外情况。

“如果系统无法阻止错误行为，那它就不是执行系统，而只是一种数字化形式。”

1）买家所说的“MES”是什么意思？

当买家说“我们需要一套制造执行系统（MES）”时，他们很少指的是“我们需要更多屏幕”。他们的意思是，他们希望生产过程可预测。可预测的质量。可预测的产量。可预测的证据。可预测的发布。MES 就像一个杠杆，将“我们认为的流程运作方式”转化为“周二晚班实际的流程运作方式”。

这体现在几种一致的疼痛模式中：

• 质量保证审核速度较慢 因为质量保证部门不信任现场证据。
• 偏差重复出现 因为该系统无法阻止根本故障模式。
• 可追溯性十分脆弱 因为它是根据问题和手动日志重建的。
• 日程安排是幻想 因为准备工作没有强制执行，而且派遣也是非正式的。
• “数据完整性”调查结果 因为这些值是被输入、编辑或回填的，而没有严格的控制。

MES并非报告工具，而是一个运行时系统，它管理着工作流程以及证明工作完成所需的证据。正因如此，现代MES的讨论很快就会触及数据完整性、审计跟踪和电子签名等棘手问题。这些并非“合规附加功能”，而是信任机制的基石。

2) MES 与 ERP、MOM、SCADA、WMS、QMS 的比较

许多MES项目停滞不前，是因为组织内部始终无法就边界达成一致。其结果是逻辑重复、主数据冲突以及集成过程中出现绕过控制的情况。避免这种情况最简单的方法是根据每一层所回答的问题来定义它：

MES（制造执行系统）与人工操作最为接近。它必须便于操作员使用，但又不能是“可有可无”的。因此，MES 常常成为企业意图（工单执行）与实际操作差异（设备停机、替换、返工、暂停、培训缺口）之间的桥梁。当这些桥梁薄弱时，人们就会用纸质文件和电子表格搭建自己的桥梁。审计人员和客户一眼就能看出来。

3）真正重要的核心MES功能

功能列表具有误导性，因为供应商可以将任何东西都贴上“MES”的标签。因此，评估MES应该着重考察它能否始终如一地产生以下三个结果：

与这些结果直接相关的能力包括：

• 执行控制 （状态逻辑，步骤执行）：见 执行级强制执行 和 硬门控制造执行.
• 操作指南 （数字指南和旅客）：请参阅 数字化工作指令 和 制造业旅行者.
• 生产可见性 （队列、调度板）：见 作业队列 和 生产调度板.
• 证据采集 （身份扫描、设备数据）：见 条形码扫描器集成, 称重秤集成和 标签打印机集成.
• 例外治理 （偏差、搁置、返工）：见 异常处理工作流程 和 偏差管理.
• 可追溯分析仪 （家谱，记忆准备）：见 执行层谱系 和 召回准备.

如果必须选择一项“成败攸关”的功能，那就选择强制执行。没有强制执行的报告功能，只会让仪表盘看起来很漂亮，但偏差率却始终保持不变。

4) 控制平面：状态机、门和证据

对于制造执行系统（MES）来说，最实用的思维模型是：MES 是一个带有门的状态机。底层是一系列工作状态（计划中 → 就绪 → 进行中 → 阻塞 → 完成 → 已验证 → 关闭），每个状态转换都有其前提条件。正是这些前提条件逻辑将执行控制与数据采集区分开来。

实际上，MES 控制平面由三层构成：

• 状态逻辑：明确的生命周期定义，通常形式化为： 实时执行状态机.
• 盖茨：过渡必须满足的通过/不通过条件（培训、访问权限、设备准备情况、材料状态、公差）。
• 证据采集：要证明过渡已经发生，必须记录哪些内容（身份扫描、测量、签名、时间戳、理由）。

两条规则可以防止它演变成“MES官僚机构”：

1. 经过验证的路径必须是最快的路径。 如果合规速度比变通方法慢，那么变通方法就胜出。
2. 例外情况必须加以规范，而不是完全禁止。 如果例外情况不可行，领导层就会要求绕过限制，而绕过限制就会成为一种文化。

因此，支持执行时偏差捕获的MES系统通常比那些假装偏差“稍后”发生的系统更健康。如果在异常发生时立即捕获它们，就可以进行路由处置、阻止释放并追踪真正的原因，而不是靠猜测。

5）工作指导书和执行单

MES（制造执行系统）将“配方/标准操作规程”转化为“可执行步骤”。因此，许多MES系统与数字化作业指导书和制造流程单的概念有所重叠。制造流程单不仅仅是一份检查清单，它更是一条受控的操作路径，并包含相应的证据要求。

执行流程至少应包含以下内容：

• 操作顺序 与路由一致：见 路由和操作顺序.
• 步骤准备 前提条件：设备已分配，材料已备妥，先前的核查已完成。
• 嵌入式检查 风险真实存在的地方：过程检查、核对、独立验证。
• 角色清晰谁执行，谁核实，谁批准例外情况。

在高变环境中，流程规划器还应支持受控分支：“如果结果为 X，则跳转到步骤 Y；如果结果为 Z，则触发异常。” 这并非为了增加复杂性而增加复杂性，而是为了让实际流程更加清晰明确，便于学习和审计。

6) eBR/eBMR 和数据完整性设计

MES系统几乎总是会成为电子批次记录（eBR）或电子批次管理记录（eBMR）输出的来源。但真正的抉择并非“纸质与电子”之争，而是“重构式与实时式”之争。

事后重建记录是通过输入数值、附加文件和签名确认事件发生而建立的。而同期记录则是在事件发生的瞬间建立的，因为系统会捕获事件的执行过程——包括谁、什么、哪里、何时、哪个批次、哪个工具、哪个限额、哪个结果以及是否触发了异常。

这就是为什么MES讨论不可避免地会涉及以下内容：

• 电子签名签名是什么意思？它与行为有关吗？参见 电子签名.
• 审计跟踪你能还原出谁做了什么，包括被否认的操作和编辑吗？ 审计追踪（GxP）.
• 数据的完整性记录是否可追溯、清晰易读、同期、原始、准确？参见 数据的完整性.
• 记录保留您能否检索记录、证明其完整性并保留其含义？参见 记录保存和存档.

如果您想快速筛选出MES系统是否支持“数据完整性设计”，请查看其如何处理更正。更正不应是“修改数字”这种简单操作。更正应该是一个受控事件：原始数据保持不变，更正则是一个新事件，包含更正原因、身份标识、时间以及必要的审批信息。

7) 可追溯性：批次、谱系和召回范围

可追溯性是MES真正能带来可衡量回报的地方。如果在执行阶段就完成身份采集，就能获得可靠的溯源信息。而如果之后只能根据库存问题和假设来重建身份，那就只是“可追溯性作秀”了。

MES通过将身份采集作为执行的必要环节来加强可追溯性：

• 物料消耗与特定批次和容器相关联 针对特定批次的消费执法.
• 转移和在制品流动保留了监管链：见 监管链.
• 家谱是由层层递进的事件构建而成的：参见 执行层谱系.
• 端到端可追溯性成为可查询的证据：参见 端到端可追溯性.

为什么这一点至关重要：在实际事件中，速度并非仅仅意味着“拥有数据”，而是意味着拥有可靠的调查范围。你需要快速且自信地回答：哪些成品批次牵涉其中，哪些产品已经发货，以及哪些产品可以排除在外。这正是召回准备工作的基础。

8）调度和车间优先级排序

排程决定应该做什么，调度决定接下来要做什么。这两者之间的差距，决定了工厂的成败。

MES调度通常通过以下方式实现：

• 视觉 生产调度板 （队列中的工作、进行中的工作、阻塞的工作）
• 可配置的 调度规则引擎 （优先级、截止日期、约束条件、最小化切换）
• 实时准备情况检查（材料已备齐、设备可用、审批已完成）
• 面向操作员的指导，可减少“部落式调度”决策

良好的调度并非“不惜一切代价最大化利用率”，而是“在确保合规的前提下保障流量”。这意味着调度引擎必须考虑现实世界中重要的限制因素：例如暂停状态、培训资格、设备鉴定窗口以及可能阻碍调度继续进行的未决例外情况。

这也是运营沟通融入执行过程的关键所在。强大的制造执行系统 ​​(MES) 支持结构化的交接班沟通，例如电子交接班，从而避免“真相”——即哪些任务被阻塞、阻塞原因以及下一步需要做什么——仅仅停留在某个人的记忆中。

9) 设备集成和事件模型

MES 最强大的地方在于它能够接收可信的机器数据，同时又不将自动化变成旁路。设备集成应该同时做到两件事：

• 提高证据质量 （设备捕获的值、时间戳、警报、运行状态）
• 维护治理 （谁授权的，哪个批次上下文，适用哪些限制）

为了持续做到这一点，MES 需要两种基本模式：

• 结构化标签映射：定义哪些自动化标签重要以及它们如何映射到 MES 对象 MES的PLC标签映射.
• 标准化事件：将原始信号转换为标准信号 设备事件模型 （运行/停止、故障、批处理启动/停止、参数更改、报警）。

如果这项工作做得好，就不会再争论“发生了什么”，因为记录会形成一条操作员和机器事件的时间线，并与批次上下文关联起来。它还能加快根本原因分析的速度，因为可以将偏差与实际运行行为进行比对。

集成失败的常见原因在于过度干预：企业试图将每秒的每个标签都导入MES系统。这通常是历史数据库的工作，而非MES本身的工作。MES应该捕获决策级事件和证明执行控制所需的证据。对于高频率遥测数据，应将MES与制造数据历史数据库结合使用，并在下游进行上下文关联（参见MES数据上下文关联）。

10）例外情况：偏差、保持和释放块

工厂系统崩溃并非因为异常发生，而是因为异常被规范化。MES 通过将异常明确地定义为具有明确后果的状态，从而阻止了异常的规范化。

一个可信的 MES 异常模式如下所示：

• 检测到异常情况（通过规则、设备或人工输入）。
• 系统触发 执行时间偏差检测 并捕捉上下文中的细节。
• 步骤或批次进入阻塞/异常状态。
• 通过以下方式启动受控工作流程 异常处理工作流程.
• 可以通过以下方式自动应用锁定 自动执行暂停逻辑.
• 处置决策被记录下来（重做、返工、报废、替代、调查）。
• 在完成必要的处置和批准之前，该发布将被阻止。

这就是MES与质量实践（例如不符合项管理、偏差管理和CAPA）相连接的地方。“优势”不在于MES取代了一切；而在于质量决策不再脱离实际执行情况。

11）例外审查和发布准备

MES 的真正价值在于，它能够在不降低标准的前提下加快产品发布速度。这正是基于例外情况的批次审查 (BRBE)和基于例外情况的流程审查的意义所在。

逻辑很简单：

• 如果执行常规步骤并及时收集证据，则常规审查不需要重新检查每一行。
• 如果异常情况明确、相互关联且已处理，则质量保证工作将重点放在风险实际存在的地方。
• 释放是一个关于准备情况的结构化决定，而不是法医重建。

这与批量发布准备工作直接相关。仅仅编写一份更完善的检查清单并不能确保准备就绪。真正的准备就绪来自于构建一个系统，该系统能够让工作流程中出现的任何不准备情况都清晰可见、无法避免且可以修复。

在实际的制造执行系统（MES）中，“异常审查”要求系统生成一份可信的异常摘要：包括覆盖、缺失的验证、超出限值、替换、返工节点和数据更正。如果系统无法可靠地生成此类摘要，那么“异常审查”就只是一句口号，而不再是有效的控制模型。

12）主数据同步和控制

执行控制的有效性取决于其所依赖的主数据的质量。很多MES系统的问题并非“MES系统本身的问题”，而是主数据混乱造成的：计量单位错误、物料清单版本错误、工艺路线过时、物料主数据重复以及配方变更不受控制。

这里有两个关键概念：

• 同步备份：如何保持ERP/WMS/QMS主数据与MES一致？ 主数据同步.
• 治理如何防止不受控制的更改泄露到执行阶段？ 主数据控制 和 修订控制.

成熟的MES环境会将主数据变更视为具有运营风险的事件。工艺路线的变更可能会改变操作人员的职责，物料清单的变更可能会改变过敏原风险，配方的变更可能会改变关键限值。如果这些变更得不到有效管理，MES就会变成一种高速执行错误指令的工具。

13）不绕过控制的集成架构

MES 很少是独立运行的系统。它必须与计划（ERP）、库存（WMS）、质量（QMS）、实验室（LIMS）和自动化（SCADA/PLC）系统交换数据。常见的故障模式是：集成方案被设计成“快速通道”，无意中绕过了 MES 的关键环节。

三种建筑模式可以降低这种风险：

• API 前端：通过单一边界强制执行身份验证、授权和验证 MES API 网关.
• 事件主干：使用发布/订阅模式来保留事件的含义和顺序 消息代理架构.
• 边缘消息传递：在适当情况下使用轻量级、弹性设备到平台的通信 MQTT消息传递层.

然后，通过添加上下文信息，数据才能发挥作用。原始信息（例如“weight=12.34”）只有与特定的批次、步骤、设备、仪器和限值关联起来，才能成为证据。这正是MES数据上下文化并非可有可无的分析功能，而是保留数据意义的关键所在。

集成架构还决定了哪些数据应该存储在 MES 系统中，哪些数据应该存储在分析平台、历史数据库或GxP 数据湖和分析平台中。指导原则是：MES 系统应存储证明执行和发布决策所需的证据。除非高频遥测数据与执行门直接相关，否则应将其存储在其他位置。

14) 验证与合规性预期

无论你称之为受监管的、经过审计的、经过认证的还是客户控制的，其核心期望都是一致的：你的执行系统必须值得信赖。实际上，MES（制造执行系统）项目的评判标准在于它们能否展现出受控的行为、可追溯的变更以及可靠的记录。

三个反复出现的框架塑造了团队如何将这一点付诸实践：

• 计算机系统验证（CSV）：证明该系统能够实现其预期功能的证据。
• 甘普5：基于风险的计算机系统方法。
• 21 CFR第11部分 和 附件11对电子记录、签名和控制的期望。

但残酷的真相是：合规性并非“功能”，而是系统在压力下的表现。用户能否绕过控制？能否篡改日期？能否自行批准工作？集成后能否在没有批次强制执行的情况下进行数据消费？正因如此，强制执行、审计跟踪、访问管理和变更控制比报告模板更为重要。

合规性要求高的项目也能从将制造执行系统 ​​(MES) 的行为与公认的预期保持一致中获益，例如ICH Q10（质量体系原则）或ICH Q7（原料药 GMP 要求）（如适用）。即使您并非身处制药行业，客户审核也常常遵循同样的逻辑：证明控制、证明可追溯性、证明治理。

15）IT控制：访问控制、网络安全、补丁管理、备份

MES既是运营技术又是企业软件。正是由于这种双重特性，IT控制措施不能事后随意添加。如果MES是任务关键型系统（而它确实是），那么您的控制模型必须涵盖身份、可用性和恢复能力。

成熟的MES环境至少应实现以下功能：

• 准入治理角色设计、配置和定期审查（见 用户访问管理 + MES访问审查).
• 安全控制加强监管、监控和政策执行（见 MES网络安全控制).
• 修补纪律：基于风险的补丁更新节奏，并考虑验证影响（见 MES补丁管理).
• 备份验证：真正可恢复的备份（见 MES备份验证).
• 可用性工程能够容忍故障的架构（参见 MES高可用性).
• 恢复规划：已测试的恢复程序（见 MES灾难恢复).

可用性不仅仅是IT问题，更是合规性问题。如果MES系统宕机，操作人员会想方设法绕过它。这些变通方案会导致记录缺失、操作无法追踪，以及留下“稍后修复”的痕迹。即使没人这样称呼它，一个具有弹性的MES架构本身就是一种质量控制。

16）甄选陷阱：如何伪造“MES”

MES实施失败有一些可预测的模式。它们通常在早期演示中看起来很成功，但在生产环境中却悄然表现不佳。请注意以下这些模式：

• 以警告代替大门。 如果错误操作触发警告，而“继续”是默认选项，那么您就是在买一堆文书工作。
• 手动输入是正常途径。 如果操作员可以自由输入批次和数值，那么在压力下就会出现看似合理的虚构情节。
• 没有职责分离。 如果用户可以自行审核自己的作品，那么双重验证就只是做做样子（见 MES 中的 SoD).
• 审计跟踪语义薄弱。 如果你无法证明被否认的行为、纠正措施和理由，你就无法证明执法（见 审计线索).
• 绕过控制的集成。 如果 API 或导入可以在不强制执行批次的情况下“发布消费”，则您的控制平面将受到损害。
• 仅根据库存清单构建的家谱。 从库存中发出的物品并非执行的真实情况；执行级别的谱系是基于事件的（见 执行层谱系).
• “MES是一份报告。” 仪表盘并不能解决执行问题，强制执行才能。

17）保护吞吐量的实现方法

速度最快的MES实施方案并非那些“大刀阔斧”的方案，而是那些深入风险极高的环节，然后逐步扩展的方案。其策略是：先执行风险高的步骤，再加快常规流程。

切实可行的分阶段实施方法如下：

注意这里缺少的是什么：“安装一套庞大的软件包，然后进行无休止的配置。”这种方法既缓慢又脆弱。MES 的成功之处在于，它能成为完成正确事情的最快途径，并让错误的事情难以发生。

18）扩展常见问题解答

问题1：什么是制造执行系统（MES）？
MES 是实时控制和记录生产执行情况的系统——调度工作、执行步骤、收集证据、建立可信的记录和谱系。

Q2. MES和ERP有什么区别？
ERP负责工作计划和核算；MES负责实时控制工作。ERP回答“应该生产什么”，而MES则回答“接下来允许做什么”，并负责执行和证据收集。

Q3. 如何最快地判断一个MES（制造执行系统）是否真实存在？
运行阻塞测试：尝试错误的批次消耗、跳过步骤、自我批准以及在存在未解决异常的情况下发布。如果系统阻塞并记录该异常，则表示系统阻塞。 审计线索它更接近真实的MES行为。

Q4. MES 是否会降低生产速度？
糟糕的MES系统会降低生产效率。优秀的MES系统能够加快合规路径，并通过预防可避免的故障和赋能，减少返工、偏差和发布延迟。 例外审查.

Q5. 早期最重要的集成是什么？
优先考虑能够改进证据和预防错误的整合： 条码扫描仪 为了身份， 秤 用于测量，以及与库存状态和主数据的受控接口。

Q6. 对于MES而言，哪些IT控制措施最为重要？
准入治理（访问审查）， 安全 （网络安全控制），补丁纪律（补丁管理），已验证可恢复的备份（备份验证），以及韧性（高可用性 + 灾难恢复).

相关阅读
• MES基础知识： MES（制造执行系统） | 执行导向型MES | 无纸化制造
• 执行堆栈： 实时执行状态机 | 步骤级执行强制 | 执行上下文锁定 | 批次特定消费执法
• 调度与运营： 调度规则引擎 | 生产调度板 | 电子交接班
• 集成与数据： MES的PLC标签映射 | 设备事件模型 | 消息代理架构 | MQTT消息传递层 | MES API 网关 | MES数据背景化
• 合规性和IT控制： 计算机系统验证（CSV） | 甘普5 | 21 CFR第11部分 | 附件11 | MES网络安全控制 | MES备份验证 | MES高可用性 | MES灾难恢复