Das Verhalten vor den Softwarefunktionen festlegen
Ein Gefriertrockner verliert während der Primärtrocknung die Verbindung zum Historian. Die lokale Steuerung regelt Druck und Stellflächen weiter, während der zentrale Chargenbericht eine Lücke aufweist. Ob der Prozess fortgesetzt und die Charge anschließend nachvollziehbar bewertet werden kann, hängt von validierter Architektur, lokalen Aufzeichnungen und festgelegten Wiederanlaufregeln ab. Eine pauschale Zusage zur „Datenintegritätskonformität“ beantwortet diese Fragen nicht.
Automatisierung beginnt beim physikalischen Prozess und den benötigten Aufzeichnungen. Zu definieren ist, was die Steuerung ausführen, verhindern und nach einem Fehler nachweisen muss sowie welche Änderungen Bedienpersonen vornehmen dürfen. Bei der Gefriertrocknung wirken Temperaturregelung, Vakuum, Kondensatorleistung, Phasenübergänge und aseptische Grenze zusammen.
Der Schwerpunkt bleibt auf Anlage und Schnittstellen. Standortstandards für SPS, Leitsystem und elektronische Chargendokumentation werden in konkrete Funktionen übersetzt. Eine allgemeine Digitalarchitektur muss nicht erneut beschrieben werden. Ebenso wenig garantiert eine standardisierte Plattform automatisch eine geeignete Konfiguration für den vorgesehenen Gefriertrocknungsprozess.
Die anwendbare regulatorische Grundlage bestimmen
Für computergestützte Systeme im EU-GMP-Bereich behandelt Annex 11 validierte Anwendungen, qualifizierte Infrastruktur und risikogerechte Lebenszykluskontrollen. Die aktuell gelistete Fassung ist weiterhin die Revision von 2011; Konsultationsentwürfe ersetzen den anwendbaren Text nicht. Verwendungszweck, Konfiguration und Schnittstellen bestimmen den standortspezifischen Nachweisbedarf.
Für FDA-regulierte elektronische Aufzeichnungen und Signaturen ist 21 CFR Part 11 innerhalb seines Geltungsbereichs zusammen mit den zugrunde liegenden Dokumentationsvorschriften zu bewerten. Eine SPS ist nicht von sich aus „Part-11-zertifiziert“. Ein ausgedruckter Bericht hebt Pflichten für tatsächlich verwendete elektronische Aufzeichnungen nicht automatisch auf.
PIC/S PI 041-1 und GAMP 5 können Datenmanagement und risikobasierte Umsetzung unterstützen. Sie sind nicht mit verbindlichen Vorschriften gleichzusetzen. Im Projekt werden Klassifikation und Zuständigkeit jeder Anforderung benannt und mit prüfbarer Nutzeranforderung sowie verantwortlicher Rolle verbunden. Lieferantenaussagen sind anhand der konfigurierten Verwendung zu beurteilen.
Diese Zuordnung sollte für das Projektteam praktisch nutzbar sein. Ein allgemeiner Verweis auf mehrere Regelwerke reicht nicht aus, wenn unklar bleibt, welcher elektronische Datensatz tatsächlich für eine GMP-Entscheidung verwendet wird. Erst diese Festlegung erlaubt gezielte Anforderungen und sinnvolle Nachweise.
Den Zyklus als eindeutige Zustandsfolge darstellen
Eine Rezeptur umfasst mehr als Temperatur- und Druckwerte. Sie benötigt Phasen, Übergänge, Bedingungen, Aktionen und Ausnahmen. Relevante Zustände können Bereitschaft, abgeschlossene Beladung, Einfrieren, Primär- und Sekundärtrocknung, Gasrückfüllung, Stopfensetzen und Entladen sein. Die tatsächliche Reihenfolge folgt Anlagen- und Prozessdesign.
Anweisung und Abschlussnachweis sind zu trennen. Ein Schließbefehl beweist nicht die Ventilstellung; ein Temperaturbefehl beweist nicht den gewünschten Produktzustand. Übergangsbedingungen müssen geeignete Rückmeldungen und die validierte Prozessbegründung verwenden. Dabei ist zwischen physikalisch gemessener Bedingung und modellbasiert abgeleiteter Freigabe zu unterscheiden.
Für Fehler wird dokumentiert, welche Funktionen weiterlaufen, pausieren oder stoppen. Manche Abweichungen erfordern einen kontrollierten Haltezustand während der Bewertung, andere eine definierte Schutzreaktion. Einen für jedes Produkt und jeden Ausfall geeigneten universellen „sicheren Zustand“ gibt es nicht. Antworten werden durch technische Analyse und Qualitätsrisikobewertung festgelegt.
Rezepturen und Versionen kontrollieren
Eine Masterrezeptur identifiziert freigegebene Version, Produkt und Präsentation, zulässige Bereiche und Gültigkeitsstatus. Entwicklungsrezepturen werden von für die Routine zugelassenen Fassungen unterschieden. Veraltete oder ungeeignete Versionen dürfen nicht allein deshalb auswählbar sein, weil sie noch gespeichert sind.
Es wird festgelegt, welche Parameter durch welche Rollen veränderbar sind. Änderungen einer Gefrierhaltezeit, eines Drucksollwerts, einer Endpunktregel oder einer Sekundärrampe können unterschiedliche Qualitätsfolgen haben. Nicht jede Einstellung ist automatisch ein kritischer Prozessparameter. Jede erlaubte Anpassung braucht dennoch einen klaren Zweck und angemessene Kontrollen.
Beim Chargenstart wird die ausgeführte Rezeptur einschließlich Version dauerhaft mit dem Chargendatensatz verknüpft. Autorisierte Änderungen während der Ausführung müssen ursprünglichen und neuen Wert, Identität, Zeitpunkt und erforderliche Begründung nachvollziehbar erhalten. Ein abschließender Ausdruck mit nur den zuletzt gültigen Werten erklärt nicht die tatsächliche Verarbeitung.
Auch die Wiederverwendung einer bekannten Rezeptur nach Anlagenänderung ist zu bewerten. Ein unveränderter Rezeptname garantiert nicht, dass Sensorzuordnung, Regelung oder zugrunde liegende Funktionslogik unverändert geblieben sind. Rezeptur und Konfigurationsstand müssen deshalb gemeinsam interpretierbar bleiben.
Temperatur, Vakuum und Kondensator koordinieren
Die Steuerung muss Heizen und Kühlen mit Druckregelung und Kondensatorbereitschaft koordinieren. Eine Druckanforderung kann bei zu hoher Dampfbelastung oder Kälteausfall unerreichbar werden. Ein ständig stärker angesteuertes Stellglied ersetzt nicht das Erkennen des begrenzenden Zustands.
Messwertauswahl und Ausfallbehandlung für die Druckregelung sind festzulegen. Kapazitives Manometer und Pirani-Sensor besitzen unterschiedliche physikalische Aussagen. Ein unbegründeter Wechsel kann das Regelverhalten verändern. Kontrollierter Gaseinlass muss in Logik und Aufzeichnung berücksichtigt werden, weil er Gaszusammensetzung und Druck beeinflusst.
Relevante Freigaben für Pumpen, Isolationsventile, Kondensator und Wärmeträgerumlauf gehören in die Funktionsbeschreibung. Anfahren, Abtauen, Wartungsbetrieb und Produktion werden sauber getrennt. Trägt eine prozessanalytische Schätzung zur Regelung bei, muss die Steuerung ungültige oder fehlende Ergebnisse erkennen und eine genehmigte Ersatzstrategie anwenden, statt veraltete Werte stillschweigend weiterzuverwenden.
Bereitschaft sollte die Bedingungen der vorgesehenen Beladung widerspiegeln. Ein kalter Kondensator im leeren System belegt nicht allein, dass der momentane Dampfbedarf der Charge bewältigt werden kann. Die Steuerungsanforderungen werden deshalb mit charakterisierter Leistung und qualifizierten Betriebsbedingungen verbunden.
Alarme, Verriegelungen und Qualitätsentscheidungen trennen
Ein Alarm macht auf einen Zustand aufmerksam; eine Verriegelung verhindert oder verändert eine Aktion. Keines von beiden entscheidet automatisch über die Produktfreigabe. Funktionen werden nach physikalischem Zweck, Qualitätsfolge und erforderlicher Bedienreaktion klassifiziert. Zu viele unwichtige Meldungen können das tatsächlich dringliche Ereignis verdecken.
Schwellen, Verzögerungen und Eskalationswege folgen Anlagenfähigkeit, Prozesscharakterisierung und freigegebener Betriebsstrategie. Allgemeine Alarmgrenzen für Druck, Temperatur oder Trocknungsdauer sind nicht angemessen. Änderungsraten, Mindestdauer oder Plausibilitätsprüfungen werden dort berücksichtigt, wo sie einen bekannten Fehlmechanismus adressieren.
Für wesentliche Ereignisse sind Aufzeichnung und Prüfung festzulegen. Quittierung bedeutet Kenntnisnahme, nicht Behebung der Abweichung. Erlaubte Unterdrückungen oder Übersteuerungen benötigen kontrollierte Befugnis, Dauer und Sichtbarkeit. Dauerhafte Umgehungen, die nur im Gedächtnis des Personals existieren, erzeugen Prozessrisiken und unvollständige Dokumentation.
Die Bedienanweisung sollte zu jeder wesentlichen Meldung eine verständliche Handlung nennen. Eine technisch korrekte Alarmmeldung ist wenig hilfreich, wenn die erwartete Reaktion weder möglich noch bekannt ist. Prüfungen sollten daher auch zeigen, dass Anzeige, Zugriffsrechte und Arbeitsablauf zusammenpassen.
Unterbrechung und Wiederanlauf bewusst entwickeln
Stromausfall, Kältefehler oder Vakuumstörung können den Produktzustand verändern, selbst wenn die Steuerung anschließend denselben Bildschirm zeigt. Wiederanlauflogik muss verstrichene Zeit, Temperaturhistorie, Druck, verbleibendes Eis und relevante Integritätsgrenzen berücksichtigen. Ein Software-Neustart einer Phase stellt den früheren physikalischen Zustand nicht wieder her.
Benötigte Nachweise für Fortsetzung, kontrolliertes Halten, Beendigung oder weitere Bewertung sind vorab festzulegen. Automatische Aktionen, Bedienentscheidungen und Zuständigkeiten müssen eindeutig sein. Lässt Unsicherheit keine begründete Fortsetzung zu, soll das System eine Eskalation unterstützen und keinen scheinbar normalen Abschluss erzeugen.
Geeignete Simulationen oder technische Versuche prüfen den Wiederanlauf an relevanten Punkten. Dazu gehören Rampen, Übergänge und Datentransfers, nicht nur stabile Haltephasen. Timer, Zähler, Rezeptversionen und Ereignisse müssen nach der Wiederherstellung ihre richtige Bedeutung behalten. Ziel ist der Nachweis vorgesehenen Verhaltens und vollständiger Prüfbarkeit, nicht eine universelle Wiederanlaufrezeptur.
Für die Bedienperson muss erkennbar bleiben, ob ein Wiederanlauf automatisch erfolgt ist oder eine bewusste Entscheidung erforderlich war. Die Aufzeichnung sollte den Anlass und die tatsächlich ausgeführten Aktionen erklären. Ein zurückgesetzter Timer ohne Zusammenhang zur vorangegangenen Unterbrechung kann sonst eine scheinbar normale Phasendauer erzeugen und die spätere Qualitätsbewertung erschweren.
Aseptische Schnittstellen und Stopfensetzen berücksichtigen
Automatisierung von Beladung, Kammerzugang, Gasrückfüllung und Stopfensetzen muss zum etablierten aseptischen Prozess passen. Bereitschaft berücksichtigt den erforderlichen Reinigungs-, Sterilisations- und Integritätsstatus mit zur Anlagengrenze passenden Kontrollen. Ein Trocknungszyklus ist kein Sterilisationszyklus; ein akzeptables Vakuum belegt allein keine Sterilitätssicherung.
Mechanische Bestätigung des Stopfensetzens ist von Integrität des Behältnis-Verschluss-Systems zu unterscheiden. Stellflächenbewegung, Kraft, Position oder andere Rückmeldungen können Aspekte der Funktion bestätigen. Für das Verpackungssystem ist weiterhin eine begründete Integritätsevidenz erforderlich. Messgrößen und Kriterien hängen von Konstruktion, Behältnis und Prozess ab.
Zusätzliche Rezepturschritte wie kontrollierte Keimbildung können mehrere Schnittstellen verändern. Neue Gas- oder Dampfwege, Ventile und Softwarezustände betreffen möglicherweise Medienkapazität, Sterilisationsabdeckung und Fehlerbehandlung. Die Änderung wird gemeinsam bewertet. Ein optionaler Prozessschritt macht seine Hardware- und aseptischen Auswirkungen nicht optional.
Chargenaufzeichnungen über Systemgrenzen definieren
Für jeden Datensatz wird bestimmt, welches System verantwortlich ist und welche Fassung der Prüfung dient. Lokale Steuerung, Leitsystem, Historian und elektronisches Chargensystem können unterschiedliche Informationen speichern. Identifikatoren, Zeitbasis, Übertragungsbestätigung und Abgleich müssen eine Rekonstruktion ohne Vermutungen über die maßgebliche Quelle erlauben.
Aufzeichnungen verbinden Istprofile, relevante Ereignisse, ausgeführte Rezeptur, autorisierte Änderungen und gegebenenfalls analytische Ergebnisse. Die zur Interpretation benötigten Metadaten bleiben erhalten. Ein PDF kann die Prüfung unterstützen; ein zusammengefasster Plot kann jedoch Originalwerte, Ereignisreihenfolge oder benötigte Audit-Trail-Informationen auslassen.
Die folgende eigenständige Schnittstellenmatrix unterstützt die Anforderungsentwicklung.
| Ereignis oder Schnittstelle | Technische Frage | Zu erhaltender Nachweis |
|---|---|---|
| Rezepturauswahl | Ist die Version für diese Präsentation freigegeben? | Zuordnung von Charge, Rezeptur und Version |
| Sensorfehler | Werden ungültige oder veraltete Eingänge erkannt? | Kanalstatus, Ereignis und Reaktion |
| Historian-Ausfall | Welche Daten bleiben lokal verfügbar? | Lückenerkennung, lokale Daten und Abgleich |
| Bedienänderung | Ist die Anpassung autorisiert und begrenzt? | Alte und neue Werte sowie zuordenbare Aktion |
| Phasenwechsel | Waren die definierten Bedingungen erfüllt? | Zeitpunkt und relevante Freigabestatus |
| Wiederanlauf | Entspricht der rekonstruierte Zustand dem Prozess? | Unterbrechungsverlauf und Entscheidungen |
Doppelte, verspätete oder teilweise übertragene Daten sind bereits beim Schnittstellendesign zu berücksichtigen. Der Abgleich muss eine gültige Wiederübertragung von einer unerklärten Datenänderung unterscheiden. Geprüft wird gemeinsam mit dem empfangenden System: Erfolgreiches Senden beweist noch keine korrekte Speicherung oder Darstellung im endgültigen Prüfablauf.
Zugriffe und Audit Trails wirksam gestalten
Zugänge müssen zuordenbar und den Aufgaben angemessen sein. Routinebedienung, Rezeptfreigabe, Wartung und Administration verfolgen unterschiedliche Zwecke und sollten nicht in einer undokumentierten gemeinsamen Identität zusammenfallen. Lieferantenzugriff und Servicekonten unterliegen den genehmigten Standortregeln einschließlich Autorisierung und Rückverfolgbarkeit.
Audit Trails sollen relevante Änderungen und Löschungen rekonstruierbar machen. Was wann durch wen geprüft wird, folgt Prozess- und Datenrisiken. Ein vorhandenes Audit-Trail-Menü belegt weder Vollständigkeit noch Schutz oder tatsächliche regelmäßige Prüfung der Ereignisse.
Zeitsynchronisation, Aufbewahrung, Sicherung und Wiederherstellung verdienen ebenso viel Aufmerksamkeit wie Rezeptmasken. Wiederhergestellte Aufzeichnungen müssen lesbar und mit richtiger Charge und Konfiguration verbunden sein. Der Zugang nach Software- oder Hardwarewechsel ist zu planen. Eine Sicherung ohne erfolgreich geprüfte Wiederherstellung belegt keine wirksame Datenrettung.
Die Prüfung sollte auch die praktische Nutzbarkeit berücksichtigen. Können relevante Änderungen gezielt gefunden werden, und ist ihr Zusammenhang mit dem Chargenverlauf erkennbar? Ein umfangreicher Ereignisbestand hilft wenig, wenn die vorgesehenen Prüfer keinen nachvollziehbaren Weg zu den entscheidenden Informationen haben.
Den konfigurierten Ablauf sinnvoll validieren
Anforderungen werden zu Design und Prüfnachweisen rückverfolgt. Lieferantentests sind wertvoll, die Standortakzeptanz muss jedoch installierte Konfiguration, Verwendungszweck und Schnittstellen abdecken. Geeignete Nachweise können begründet wiederverwendet werden; verbleibende Prüfungen nach Installation oder Integration werden klar benannt.
Zu prüfen sind relevante Verhaltensweisen: nicht autorisierte Rezeptwahl, ungültige Eingänge, Kommunikationsverlust, unterdrückte Alarme, unvollständige Übertragungen und Wiederanlauf. Physikalische Antwort und resultierende Daten werden gemeinsam bewertet. Ein erfolgreich navigierter Bildschirm belegt nicht die korrekte Endpunktberechnung oder Fehlerbehandlung.
In einem Praxisfall trennt sich der Historian, während die lokale Steuerung einen validierten Zyklus fortsetzt. Die Untersuchung bestätigt vollständige lokale Erfassung, übereinstimmende Zeitbasis und erkannte Übertragungslücke. Die wiederhergestellten Daten werden abgeglichen und die Prozesshistorie bewertet. Dies kann eine dokumentierte Entscheidung stützen; es erlaubt nicht grundsätzlich jede Fortsetzung bei Kommunikationsverlust.
Sind lokale Daten unvollständig oder Zeitangaben nicht abgleichbar, fällt die Bewertung anders aus. Das genehmigte Ausfallkonzept muss Unsicherheit sichtbar machen und Eskalation festlegen. Prüfungen beider Fälle verhindern die unbegründete Erwartung, dass fehlende Daten später schon wieder auftauchen werden.
Produktion, Technik, Automatisierung und Qualität sollten bei den wesentlichen Ausnahmeprüfungen zusammenarbeiten. Das erwartete Verhalten muss für diejenigen verständlich sein, die später die Störung bearbeiten. Benötigt eine Anweisung Informationen, die nicht angezeigt werden, oder Aktionen außerhalb der vorgesehenen Berechtigungen, ist der Ablauf vor Freigabe zu korrigieren, statt sich auf vorübergehende Administratorrechte zu verlassen.
Abweichungen aus der Verifikation und die Begründung ihres Abschlusses bleiben dokumentiert. Eine erfolgreiche Wiederholung zeigt das Ergebnis nach der Korrektur, beseitigt aber nicht die Notwendigkeit, weitere betroffene Funktionspfade zu bewerten. Die Reichweite einer Korrektur folgt ihrer technischen Wirkung und nicht nur dem Umfang des zuerst fehlgeschlagenen Tests.
Kontrolle nach der ersten Freigabe erhalten
Das System wird mit genehmigter Konfiguration, Rezepturverwaltung, Verfahren, Schulung und praktisch umsetzbarer Prüfung freigegeben. Verantwortlichkeiten für regelmäßige Bewertung, Störungsuntersuchung und Änderungen werden festgelegt. Die Wirksamkeit wird anhand tatsächlicher Ereignisse überprüft, nicht ausschließlich am ursprünglichen Qualifizierungspaket.
Updates, ausgetauschte Steuerungen, Sensoränderungen, neue Produkte und geänderte Schnittstellen können Prozessverhalten und Dateninterpretation beeinflussen. Auswirkungen werden vor Umsetzung bewertet und angemessene Prüfungen bestimmt. Ein Fernwartungseingriff oder Wartungsdownload darf die Änderungskontrolle nicht umgehen, nur weil kein sichtbarer Rezeptwert verändert wird.
Die abschließende technische Frage ist konkret: Führt das System den vorgesehenen Zyklus aus, verhindert es unzulässige Übergänge, zeigt es Fehler und erhält es ausreichende Chargenevidenz? Warnzeichen sind „Konformität“ als bloßes Verkaufsmerkmal, unerklärte Übersteuerungen, unvollständige lokale Wiederherstellung und Berichte ohne Änderungshistorie. Verlässliche Automatisierung macht physikalisches Verhalten und Aufzeichnungen konsistent, verständlich und überprüfbar.
Quellen und Geltungsbereich
Quellenstand geprüft am 26. September 2026. Anforderungen gelten innerhalb ihres jeweiligen Rechts- und Anwendungsbereichs. Wissenschaftliche Erkenntnisse und technische Empfehlungen begründen keine universellen Zyklusparameter. Beispiele dienen der Veranschaulichung. Bei lizenzpflichtigen Dokumenten wurden öffentlicher Geltungsbereich und Ausgabe geprüft; Einschränkungen des Literaturzugangs sind im Quellenverzeichnis dokumentiert.
- EU GMP Annex 11 — Computerised Systems — Revision 1, January 2011 — Regulatorische Anforderung.
- 21 CFR Part 11 — Electronic Records; Electronic Signatures — eCFR consolidated text — Regulatorische Anforderung.
- Part 11, Electronic Records; Electronic Signatures — Scope and Application — Final guidance — Leitlinie.
- Good Practices for Data Management and Integrity in Regulated GMP/GDP Environments — PI 041-1 — Leitlinie.
- ISPE GAMP 5 Guide — A Risk-Based Approach to Compliant GxP Computerized Systems — Second Edition — Gute Ingenieurpraxis.
- From laboratory to production: a journey of GMP implementation for controlled ice nucleation in Amgen’s manufacturing network (2026) — Wissenschaftliches Prinzip.
