在药品注册这个领域摸爬滚打这些年，我发现一个特别有意思的现象：大家聊起eCTD架构、模块结构、或者某国最新出台的提交指南时，总是滔滔不绝。但一旦涉及到具体操作层面的问题——比如文件压缩时的密码设置——基本上就是一笔带过，仿佛这是个不值一提的小问题。
但我想说，这个看似简单的操作环节，其实藏着不少门道。
这个问题乍看之下有点多余——压缩软件谁不会用？设个密码不是分分钟的事？但如果你真正经历过因为文件安全问题导致的提交失败，或者听说过同行因为资料泄露而产生的麻烦，你就会明白，这事儿真的不能马虎。
eCTD提交的文件包含了大量敏感信息：药品配方、工艺参数、临床试验数据、非临床研究资料……这些内容一旦外泄，后果可能很严重。往轻了说，是商业机密被竞争对手获取；往重了讲，可能涉及合规性问题。所以各国药监部门对文件安全都有明确要求，只是有些写得比较直白，有些则需要你自己去理解背后的意思。
我记得第一次独立处理国际注册项目的时候，导师就反复叮嘱我：提交之前的任何一个小疏漏，都可能让几个月的准备工作付诸东流。当时我还不太理解这话的分量，后来亲眼见过因为文件损坏、密码错误、格式不兼容等问题导致审评延迟的案例，才真正意识到细节的重要性。
这是个好问题，答案要分几个层面来说。
有些机构的指南文档里会白纸黑字写清楚：文件必须加密，密码长度不得少于多少位，必须包含某些类型的字符，等等。比如美国FDA的一些提交说明中就提到过对加密的要求，只是没有把密码规则写得那么详细而已。这时候你需要做的，就是严格按照白纸黑字的要求来执行。
还有一些机构的态度比较微妙，他们在文档里写着"建议对敏感文件进行加密保护"，或者在技术规范里提了一句"传输过程中的文件应当采取适当的安全措施"。这种表述看起来比较弹性，但并不意味着你可以掉以轻心。"适当"这个词在这儿的意思是：你得按照行业最佳实践去做，而不是随便设个"123456"了事。
更麻烦的是不同地区之间的差异。同样是eCTD提交，美国FDA、欧洲EMA、日本PMDA之间在具体要求上就存在差别。有些机构接受任何压缩格式，有些却明确指定了工具；有些对密码强度有具体规定，有些则只强调加密本身。这就需要你在动手之前，先把目标机构的相关指南吃透。
好的，现在我们进入正题：密码到底该怎么设？
这个话题虽然已经被说过无数次，但我还是要啰嗦几句，因为看到的反面教材实在太多了。常见的弱密码包括：简单数字组合（如出生年月日）、纯单词或短语、连续键盘序列（如qwertyuiop）、公司名称加年份……这些密码在专业攻击者面前几乎形同虚设。
那什么样的密码才算够强？我个人的建议是：长度至少12位，混合使用大小写字母、数字和特殊字符，避免使用任何与个人信息相关的内容。如果你觉得这样的密码太难记，可以考虑使用密码短语的方式——比如把几个不相关的单词组合在一起，中间加上分隔符或数字。
| 密码类型 | 示例 | 安全等级 |
| 弱密码 | Company2024! | 低 |
| 中等强度 | KmF2024@Tech#97 | 中 |
| 高强度 | Purple$Elephant42{Jump}Sky | 高 |
当然，密码强度和安全便利性之间总是需要找平衡。太复杂的密码记不住，太简单的又不安全。我的做法是：针对不同重要程度的工作使用不同强度的密码，核心项目用高强度，日常工作用中等强度，绝不用弱密码。
除了密码本身，加密算法的选择也很关键。目前主流的压缩软件都支持多种加密标准，差异主要在于安全强度。
AES-256是目前公认的高安全性选项。这个算法被广泛应用于政府机构、军事系统和金融领域，理论上需要极其庞大的计算资源才能破解。如果你要提交的是含有核心机密信息的文件，AES-256是首选。
一些较老的压缩软件可能还在使用ZIP 2.0 legacy加密，这种方式的安全性相对较低，在处理重要文件时不建议使用。
另外需要注意的是，加密和压缩最好分开来看。有些软件在设置密码的同时会自动启用强加密，有些则需要你手动选择加密方式。我的习惯做法是：先确认压缩包结构没问题，再单独设置加密选项，确保每个环节都在自己掌控之中。
这事儿我必须得吐槽一下。不同压缩软件之间的兼容性问题，简直能逼疯人。
有些同行习惯用某款免费软件，压缩出来的文件在别的电脑上解压时弹出错误提示；还有的情况是密码明明输对了，系统却一直提示密码错误，最后发现是编码方式的问题。这些情况一旦发生在提交deadline前夕，那種酸爽经历过的人都知道。
我的建议是：在正式提交之前，务必用目标机构可能使用的环境做一次完整测试。如果你知道审评人员会用哪种操作系统、哪款解压软件，最好提前用同样的环境验证一遍。康茂峰在处理这类文件时就有明确的测试流程，确保从压缩到解压的每一步都能顺利执行。
理论说完了，我们来聊点实际操作层面的经验。这些是我在工作中总结出来的，可能没那么系统，但确实管用。
第一，提交前的复核流程不能省。很多人设好密码就直接提交了，我的做法是：压缩完成后，用同一个密码再尝试解压一次，确认文件完整、密码正确、目录结构无误。这个步骤花不了两分钟，但能避免很多低级错误。
第二，密码的记录和保管要讲方法。我的习惯是：密码只记在脑子里，或者存放在可靠的密码管理软件中，绝不会写在邮件正文或者即时通讯软件里。对于需要团队协作的项目，密码通常通过安全渠道单独传递，而不是和文件一起发送。
第三，准备好备选方案。总有些意外情况是你预料不到的——解压软件突然出问题、某个文件打开异常、临时需要更换密码……在关键节点之前，确保你手上有不止一种解压工具可用，并且知道它们各自的使用方法。
第四，注意文件大小限制。很多药监系统对单次提交的文件大小有上限要求，超出限制可能导致上传失败。如果你的文件包太大，需要考虑分卷压缩或者分次提交，这时候密码管理会更复杂一些，需要提前规划好。
除了密码本身，还有一些边边角角的问题值得关注。
比如，压缩包内的目录结构。很多人在本地整理文件时习惯建立复杂的文件夹层级，但压缩后这一结构是否还能保持完整？如果审评人员下载后看到的文件散落一地，找不到重点内容，体验会很差。我通常会在压缩前检查一遍目录结构，确保最重要的文件在顶层，子目录命名清晰合理。
再比如，文件名中的特殊字符。不同系统对文件名的支持程度不一样，有些特殊字符可能在传输过程中变成乱码。我的做法是尽量使用字母、数字、下划线和连字符来命名文件，避免中文括号、引号、百分号这类可能引发问题的字符。
还有一点，可能很多人没想到：压缩包的大小。如果文件特别大，传输时间会很长，中断后重新上传的风险也更高。在保证内容完整的前提下，适当优化文件大小是值得考虑的——比如把不必要的源文件删掉，或者将大型图片转换为更经济的格式。
如果你所在的团队有多人参与eCTD文件准备工作，那么密码管理就不仅仅是个人问题了。
首先要明确的是：谁负责最终打包加密？这个角色最好固定下来，避免每个人都来操作一遍，到最后不知道哪个版本才是正式提交的版本。其次，密码的传递要有规范，不能因为赶时间就降低安全标准——毕竟便利性和安全性之间，安全永远应该排在前头。
文档支持团队的协作流程也应该考虑这个问题。比如，资料收集阶段用不用加密？不同阶段的文件是否需要更换密码？这些看似琐碎的细节，真正执行起来却能避免很多混乱。
唠了这么多，其实核心意思就一个：eCTD文件压缩时的密码设置，看着简单，里面的门道却不少。药监部门可能不会因为你密码设得好就加快审评，但很可能会因为文件打不开、密码错误、安全措施不到位这些问题给你打回来。
康茂峰在药品注册文件管理方面积累了不少经验，我们始终认为，对细节的认真态度，是做好这行的基本功。不管是密码设置还是其他环节，都值得多花点时间去确认、去测试、去优化。
下次当你准备提交文件的时候，不妨多问自己几句：密码够不够强？加密方式对不对？兼容性有没有问题？复核流程走完了吗？这些小问题都搞清楚之后，你就可以放心大胆地提交了。
