Automatisierung, Alarme und Datenintegrität in Aseptic-Fill-Finish-Systemen

Der Inspektor verlangt den Audit Trail des Rezepts einer Charge, die ein Füllstandsalarm gestoppt hat. Das System liefert ihn: einhundertzwanzigtausend Zeilen, in denen jeder Zustandswechsel eines Sensors so viel wiegt wie die Änderung des Dosier-Set-Points. An diesem Standort hatte niemand diese Datei je gefiltert. Der Audit Trail existierte; er war nie Gegenstand einer Review gewesen, weil niemand ihn lesen konnte.

Dieser Beitrag entscheidet eine Frage: Welche Daten der Linie sind «GMP record», also GMP-Aufzeichnungen, und welche bleiben «machine data», reine Maschinendaten. Nicht alles, was die SPS erzeugt, ist eine GMP-Aufzeichnung, und nicht jede GMP-Aufzeichnung entsteht in der PLC. Die Einstufung folgt nicht aus der Steuerungsarchitektur: Sie ist eine dokumentierte Risikoentscheidung, zu treffen in der URS, und aus ihr folgen Audit Trail, Aufbewahrung, Backup, Review und Periodic Review.

Wo das Problem entsteht

Die Fehlersequenz ist immer dieselbe. In der URS wird die Automatisierung nach Funktionen beschrieben – Dosierung, Transport, Stoppering, Ausschuss – nicht nach Daten; der Lieferant kalkuliert die Standardkonfiguration seines SCADA; im FAT werden Funktionen geprüft, nicht die Erzeugung von Aufzeichnungen; in der OQ werden Alarme und Verriegelungen einzeln getestet, ohne zu prüfen, ob das Ganze für einen Operator beherrschbar bleibt. Im Betrieb zeichnet das System alles auf und sagt nichts.

Die Rechnung kommt stromabwärts, in zwei Richtungen. Ein Datum, das sich im laufenden Betrieb als GMP-Aufzeichnung erweist und das das System weder lesbar noch zuordenbar aufbewahrt, erzwingt Change Control und Teilrevalidierung. Ein Datum, das ohne Grund als GMP-Aufzeichnung behandelt wird, erzeugt Reviews, die niemand nutzt. Beide Fehler stammen aus derselben Unterlassung: Niemand hat die Liste der GMP-Aufzeichnungen des Systems mit ihrem Rationale geschrieben.

Der regulatorische Rahmen

Zwei Ebenen bleiben getrennt. Erstens: Der geltende Annex 11 ist der Text von 2011, der einzige, an dem heute inspiziert wird; den Entwurf als Anforderung zu behandeln bindet Lieferant und Budget an einen Text, den es in endgültiger Fassung nicht gibt. Zweitens: Eine heute spezifizierte Linie bleibt Jahrzehnte in Betrieb, und die durch die Konsultation öffentlich gewordene Richtung – Data Lifecycle, Schnittstellen, Cybersecurity – zu ignorieren heißt, eine Architektur zu übergeben, die beim ersten Textwechsel umzubauen ist. Man validiert gegen 2011 und plant so, dass die Architektur die erwartete Entwicklung aufnimmt, und erklärt das als Robustheitsentscheidung [GUIDEGXP].

PLC, HMI, SCADA und Historian sind nicht dasselbe System

Die PLC führt die Maschinenlogik in Echtzeit aus; das HMI ist die lokale Schnittstelle; das SCADA überwacht mehrere Maschinen und verwaltet Rezepte, Benutzer und Ereignisse; der Historian archiviert Zeitreihen. Auf einer aseptischen Linie verteilen sich diese Funktionen auf Füller, Barriere, Tunnel, Gefriertrockner, EMS und Standortsysteme: Jedes erzeugt Daten, keines das Batch Record.

Rezepte und kritische Parameter

Beim Rezept greift die Entscheidung. Es enthält kritische Prozessparameter (Nennvolumen und Grenzen, Zyklusparameter, Reject-Kriterien), unkritische Maschinenparameter und die Konfiguration der Oberfläche. Nur die ersten sind vollumfänglich GMP-Aufzeichnungen; für die übrigen hängt die Einstufung vom nachgewiesenen Produkteinfluss ab [QRM]. Werte und Grenzen stammen aus Process Development, URS und Validierung und werden in einer eindeutigen Rezeptversion eingefroren, die dem Change Control unterliegt [ANFORDERUNG].

Alarme, Ereignisse und Verriegelungen

Eine Verriegelung verhindert eine Handlung. Ein Alarm verlangt eine menschliche Handlung. Ein Ereignis hält eine Tatsache fest. Sie zu verwechseln ist die häufigste Ursache der Alarmflut: Jeder Zustandswechsel wird Alarm, und der Operator quittiert im Sekundentakt Fenster, die er längst nicht mehr liest. Die Vermehrung unkritischer Alarme ist selbst ein Risiko für die Sterility Assurance: Der Alarm über einen Überdruckverlust in der Barriere geht im Rauschen des Stopfenmagazins unter.

Die Alarm Rationalisation erklärt für jeden Alarm Bedingung, Folge für den aseptischen Prozess, Priorität und erwartete Handlung. Was keine menschliche Handlung erfordert, wird Ereignis im Historian; was eine Handlung verhindern muss, wird Verriegelung. Schwellen und Prioritäten leiten sich aus Process Development, CCS und Herstellerdaten ab und werden in der OQ geprüft [QRM]. Ein Alarm, der den Zutritt eines Operators in Grade A auslöst, erzeugt einen Eingriff, der in die autorisierte Liste (8.16) gehört und mit Zeit, Dauer und Beteiligten im Batch Record zu dokumentieren ist (8.17) [ANFORDERUNG]: Alarmlogik ist damit auch eine Entscheidung über die Zahl der Eingriffe, Thema von Automatisierung, Robotics und gloveless Aseptic Processing.

IPC und Ausschuss

Im IPC treffen Messung, automatische Korrektur und Ergebnis zusammen. Der Ausschuss ist der meistvernachlässigte Fall: Ein wegen fehlenden oder schief sitzenden Stopfens verworfener Behälter – ein Ausschleusen, das Annex 1 8.28 vor dem als Clean Process mit Grade A Air Supply geführten Capping verlangt [ANFORDERUNG] – erzeugt ein für die Chargenabstimmung notwendiges Datum. Ist die Zählung nach Ursache nicht der Phase zuordenbar, wird die Abstimmung zur Schätzung.

Audit Trail, Zugriffe, Zeit und Kontinuität

Review ist eine Risiko-, keine Mengenübung

Ein brauchbarer Audit Trail lässt sich nach Datentyp, Benutzer und Zeitraum filtern und ohne proprietäre Werkzeuge lesen. Die Review wird nach Umfang, Anlass (Freigabe, Untersuchung, periodisch) und Verantwortung festgelegt, gemäß Kritikalität [QRM]. Die Frequenz kopiert man nicht, man begründet sie. Eine Review, die alles abzudecken behauptet und nichts abdeckt, ist schlechter als eine partielle, aber gezielte.

Rollen, Zugriffe und elektronische Aufzeichnungen

Die Zugriffskontrolle muss jede kritische Handlung einer identifizierten Person zuordenbar machen, mit funktionsbezogenen Rollen und minimalen Rechten; geteilte Konten und dauerhafte Wartungszugänge sind die häufigste Bresche. Die elektronische Signatur ruft den Part-11-Rahmen auf: Bedeutung, untrennbare Verbindung mit der Aufzeichnung, Identitätskontrollen [ANFORDERUNG]. Die Guidance von 2003 erklärt Enforcement Discretion, befreit aber nicht von den Predicate Rules.

Zeit, Backup, Fernzugriff und Cybersecurity

Ohne synchronisierte Zeitreferenz zwischen PLC, SCADA, EMS und Standortsystemen wird die Korrelation einer Umgebungsexkursion mit einem Linieneingriff zur Auslegung: Die Synchronisation gehört in die URS und wird in der Qualifizierung geprüft [GEP]. Ein ungetestetes Backup ist kein Backup: Frequenz und Verfahren richten sich nach Kritikalität und werden durch einen dokumentierten Restore belegt [QRM]. Der Fernzugriff des Lieferanten wird geführt: Freischaltung auf Anforderung, namentliche Autorisierung, protokollierte Sitzung, dokumentierte Änderungen. Eine nicht nachverfolgte Fernänderung ist eine nicht genehmigte Systemänderung. Cybersecurity ist die Voraussetzung der Data Integrity: OT/IT-Segmentierung, mit dem validierten Zustand verträgliche Patches und Kontrolle von Wechselmedien sind die Bedingungen, ohne die Zuordenbarkeit und Unveränderbarkeit nicht nachweisbar sind [GEP].

Machine data oder GMP record: die Entscheidungsmatrix

Die letzten Zeilen zeigen beide Seiten der Unterscheidung: Die PLC erzeugt Daten, die keine GMP-Aufzeichnungen sind, und die GMP-Aufzeichnungen, die über die Sterility Assurance entscheiden, wird keine PLC je erzeugen.

QRM und CCS

Mit ICH Q9(R1) lautet die Gefahr nicht «das Datum ist falsch», sondern «eine Chargenentscheidung beruht auf einem nicht zuordenbaren oder nicht rekonstruierbaren Datum»: Die Bewertung wägt Patientenwirkung, Detektierbarkeit und unabhängige Kontrollen und liefert zwei Ergebnisse, die Datenklassifizierung und den Review-Umfang. In der CCS treten diese Kontrollen als technische und organisatorische Kontrollen auf (Annex 1 2.3 und 2.5). Die Periodic Review prüft, dass der validierte Zustand nicht durch angehäufte Changes abgedriftet ist, dass Backups restorefähig sind und dass die Alarme noch die gebrauchten sind [QRM]; die Verbindung zur Qualifizierung der Linie ist Kontinuität, nicht Wiederholung.

Anwendungsbeispiel: der Standort Pyxis

Der «Standort Pyxis» ist ein realistisches, aber vollständig erfundenes Beispiel. Er installiert eine Vial-Linie im Isolator mit Maschinen-SCADA und Standort-Historian. Die URS enthält ein Kapitel «Konformität mit Annex 11 und Part 11», das die erwarteten Funktionen aufzählt: Audit Trail, Zugriffskontrolle, Backup, elektronische Signatur. Der Lieferant setzt sie um; FAT, SAT, IQ und OQ laufen ohne Befund durch.

Der Fehler steckt im Kapitel: Es hat Funktionen verlangt und keine Daten klassifiziert. Der Audit Trail ist «auf alles» konfiguriert, denn ohne Liste der GMP-Aufzeichnungen ist die vorsichtige Wahl des Lieferanten, alles mitzuschreiben. Monate später muss eine Untersuchung klären, ob eine Reject-Grenze in der Vorschicht verändert wurde: Die Antwort existiert, doch für die Extraktion braucht es die Fernunterstützung des Lieferanten, weil die Datei nicht nach Parametertyp filterbar ist und Rezepteinträge dieselbe Bezeichnung tragen wie Maschinenparameter. Die Charge bleibt in Quarantäne, und die vorgesehene Review – «stichprobenartige Prüfung» – erweist sich als an Login-Ereignissen durchgeführt.

Die Korrektur ist nicht technischer Art: nachträglich erstellte klassifizierte Datenliste, Rekonfiguration von Bezeichnungen und Aufzeichnungsebenen unter Change Control, nach Umfang und Anlass neu geschriebene Review-Prozedur, rationalisierte Alarm List. Das kostet mehr, als es in der URS zu schreiben gekostet hätte: Datenklassifizierung ist Projektarbeit, keine Nachbesserung.

Verbindlichkeitsstufen

Checkliste

• Klassifizieren jedes Datenflusses als Machine Data oder GMP Record, mit gezeichnetem Rationale, vor der Funktionsspezifikation.
• Fordern in der URS einen filterbaren und exportierbaren Audit Trail.
• Rationalisieren der Alarme in Abgrenzung zu Ereignissen und Verriegelungen.
• Erfassen des Ausschusses nach Ursache und Phase.
• Definieren der Rollen-/Rechtematrix, geteilte Konten ausgeschlossen.
• Synchronisieren der Zeitreferenz zwischen PLC, SCADA, EMS und Standortsystemen.
• Prüfen des Backups durch einen ausgeführten, dokumentierten Restore.
• Steuern des Lieferanten-Fernzugriffs über namentliche Autorisierung und abgeglichene Sitzungen.
• Einfrieren der Rezeptversionen unter Change Control.

Wiederkehrende Fehler und Red Flags

Das erste Signal ist ein URS-Kapitel, das «Annex-11-Konformität» verlangt, ohne die Liste der GMP-Aufzeichnungen beizulegen: Es delegiert eine Entscheidung des Inhabers an den Lieferanten. Das zweite ist eine Alarm List, die mit jeder Änderung wächst: Wurde nie ein Alarm zum Ereignis zurückgestuft, hat keine Rationalisierung stattgefunden. Das dritte ist die Spezifikation auf Basis des Annex-11-Revisionsentwurfs, als wäre er in Kraft: Die EMA/PIC/S-Konsultation schloss am 7. Oktober 2025 und keine Verabschiedung ist bestätigt – gegen einen nicht existierenden Text zu validieren ist ein Fehler, seine Richtung in einer jahrzehntelang laufenden Anlage zu ignorieren ein zweiter. Das vierte ist die Uhr: Unsynchronisierte Systeme machen Liniendaten und Daten des Environmental Monitoring unkorrelierbar. Das fünfte ist das nie zurückgespielte Backup und der dauerhaft offene Fernzugriff, klassische Fälle für Troubleshooting und Retrofit bei stehender Linie.

Der Unterschied zwischen einem konformen und einem nützlichen System liegt in einer Liste, die jemand unterschreiben muss, bevor der Lieferant das SCADA konfiguriert: jene wenig sichtbare und teuer nachzuholende Entscheidung, von der The Pragmatic GMP erzählt.

Kernpunkte

• Die Einstufung als Machine Data oder GMP Record ist eine dokumentierte Risikoentscheidung.
• Für die Sterility Assurance wesentliche GMP-Aufzeichnungen entstehen außerhalb der PLC; viele PLC-Daten sind keine.
• Die Vermehrung unkritischer Alarme ist ein Risiko: Der zählende Alarm geht im Rauschen unter.
• Der geltende Annex 11 ist der Text von Januar 2011; der Entwurf nach der Konsultation ist keine Anforderung.
• Ein nicht filterbarer Audit Trail ist formal vorhanden und praktisch unbrauchbar.
• Cybersecurity begleitet die Data Integrity nicht, sie geht ihr voraus.

Quellen

• EU GMP Annex 1 (C(2022) 5938 final)
• EU GMP Annex 11 – Computerised Systems (2011)
• EU GMP Annex 15 (2015)
• 21 CFR Part 11
• FDA – Part 11 Scope and Application (2003)
• ICH Q9(R1)