BMS, EMS und Umgebungsüberwachung im GMP-Reinraum: Monitoring, Alarme und Data Integrity

In der Inspektion kommt die Frage immer in derselben Form: Zeigen Sie mir die Druckdifferenz zwischen dem Abfüllraum und seinem Background während der Herstellung der Charge. Zwei Archive tauchen auf. Das BMS führt einen kontinuierlichen Trend, doch die Werte sind bereits über ein vom Integrator gewähltes Intervall gemittelt, die Uhr ist gegenüber den anderen Systemen verschoben und der Set Point lässt sich mit geteilten Zugangsdaten ändern. Das EMS zeichnet denselben Parameter mit anderer Abtastlogik und einem echten Audit Trail auf, allerdings über eine Sonde, deren Position kein Qualifizierungsdokument begründet. Keines der beiden Archive beantwortet die Frage allein, und gemeinsam widersprechen sie sich.

Das Problem ist nicht technischer Natur, denn beide Systeme funktionieren. Es fehlt die vorab getroffene und schriftlich festgehaltene Entscheidung, welches System für jeden Parameter den GMP-Record führt, in welcher Granularität und unter welchen Zugriffskontrollen. Das ist Architektur und nicht Parametrierung: Sie nach der Inbetriebnahme zu ändern bedeutet, Validierung und Verfahren neu aufzusetzen. Der Gesamtüberblick steht im Hub Cleanrooms & HVAC Systems.

Warum die Grenze zwischen BMS und EMS dreifach bezahlt wird

In der Ausschreibung erhält ein Leistungsverzeichnis, das „ein BMS mit Umgebungsmonitoring“ verlangt, unvergleichbare Angebote: Wer Historian, Benutzerrollen, Audit Trail und Validierung einpreist, verliert gegen den, der nur die Visualisierung einpreist. Die Lücke entsteht früher, wenn die URS für Reinraum und HVAC nicht festlegt, welche Daten GMP-Records sind. In der Qualifizierung ist das System, das den Record führt, ein computergestütztes GMP-System und nach Annex 11 zu validieren. Im Betrieb bezahlt man die reflexhaften Quittierungen einer nicht rationalisierten Alarmierung, über den Lebenszyklus die Obsoleszenz, denn ein Historian-Wechsel ohne geplante Datenmigration kostet die Lesbarkeit der Records.

Regulatorischer Rahmen: Was das Monitoring wirklich bindet

Was überwacht wird und wer den Record führt

Die Tabelle listet keine Pflichtparameter auf, sondern gibt das Format vor, in dem die Entscheidung Zeile für Zeile aus CCS und Risk Assessment des Standorts geschrieben wird.

Sondenposition und Kritikalität der Instrumentierung

Die Messstelle ist Teil des Records: Eine Druckentnahme neben einem Zuluftauslass liefert Daten, die wahr und bedeutungslos zugleich sind. Die Position wird mit dem Strömungsschema und der Druckkaskade festgelegt und in den As-built-Unterlagen eingefroren.

Ein Instrument ist kritisch, wenn es direkten Qualitätseinfluss hat oder einen GMP-Record erzeugt. Dann verlangt es rückführbare Kalibrierung, Umgang mit Kalibrierabweichungen, Change Control und einen Platz im Inventar. Alles als kritisch zu erklären ist der schnellste Weg, nichts mehr instand zu halten. Keine offizielle Quelle legt eine Kalibrierfrequenz fest: Das Intervall ergibt sich aus Kritikalität, historischer Drift und Herstellerangaben [QRM].

Architektur: PLC, SCADA, BMS, EMS, Historian

Die Kette bleibt dieselbe: Feldinstrumentierung, speicherprogrammierbare Steuerungen, Visualisierung, Historian. Das BMS führt die Anlage und verwaltet Set Points, Sequenzen und Umschaltungen, das EMS erzeugt den GMP-Nachweis, mit Anforderungen an Aufbewahrung und Rekonstruktion. Werden beide Rollen vermischt, entsteht ein System, das gut regelt und schlecht bezeugt.

Drei Architekturen sind gangbar: ein eigenständiges EMS mit eigener Instrumentierung; ein aus dem BMS gespeistes EMS, das Doppelungen vermeidet, dafür den elektronischen Datenaustausch zu einem nach Klausel 5 des Annex 11 validierten Element macht; ein einziges, als GMP-System erklärtes BMS, zulässig nur, wenn der gesamte Annex 11 darauf angewandt wird. Die Wahl ist zu begründen und mit der HVAC-Architektur konsistent zu halten.

Alert, Alarm und Alarmrationalisierung

In der Systemsprache meldet der Alert eine Bedingung, die Aufmerksamkeit verlangt, der Alarm eine, die Handlung verlangt. Das sind Automatisierungsebenen, verschieden von den Alert- und Action-Levels des Umgebungsmonitorings. Werden beide Vokabulare vermischt, entstehen Verfahren, in denen der Bediener nicht erkennt, ob er ein anlagentechnisches oder ein Qualitätsereignis bearbeitet.

Die Rationalisierung ist eine dokumentierte und genehmigte Tätigkeit. Für jeden Alarm werden Größe und Grenzwert, Empfänger, erwartete Handlung, Priorität, Abschlusskriterium und das begründende Dokument festgelegt. Ein Alarm ohne Empfänger oder ohne erwartete Handlung ist Rauschen, und Rauschen erzieht zum Quittieren. Es gibt keine universell akzeptable Alarmanzahl: Die Last wird an den Standortdaten gemessen und unter Change Control reduziert. Verzögerungen und Hysteresen werden an der realen Raumdynamik begründet und in der OQ verifiziert; die Grenzwerte behandelt Temperatur, Feuchte und Druck.

Data Integrity: Annex 11 auf das Monitoring angewandt

Gültig ist die Annex-11-Revision von Januar 2011. Die Klauseln 3.1–3.4 verlangen eine dokumentierte Bewertung von Lieferant und Service Provider sowie formale Vereinbarungen über die Verantwortlichkeiten; hierunter fällt der Integrator des BMS. Die Klauseln 4.1–4.8 fordern eine risikoproportionale Validierung, ein Systeminventar einschließlich BMS, EMS und lokaler Stationen, eine auf einem Risk Assessment beruhende URS, dokumentierte Tests und die Beherrschung der Datenmigration. Klausel 6 ergänzt eine Kontrolle der manuell eingegebenen Daten, einschließlich abgelesener Manometerwerte.

Klausel 7.1 verlangt den Schutz archivierter Daten und eine periodische Prüfung ihrer Zugänglichkeit und Lesbarkeit, Klausel 7.2 Backup und periodische Überwachung der Wiederherstellbarkeit, also den Restore zu erproben und nicht nur zu bestätigen, dass das Backup gelaufen ist. Klausel 8 will Ausdrucke, aus denen hervorgeht, ob ein Datum nach der Erfassung geändert wurde; Klausel 9 verlangt einen systemseitig erzeugten Audit Trail, der in definierter und begründeter Periodizität durchgesehen wird. Die Klauseln 10 und 11 regeln Change Management und Periodic Evaluation, die nicht mit der periodischen Requalifizierung nach Annex 1 §4.32 zusammenfällt, mit maximal 6 Monaten für Grade A und B und 12 Monaten für C und D [ANFORDERUNG].

An den Klauseln 12.1–12.4 scheitern HVAC-Systeme am häufigsten: Zugang nur für Berechtigte, Aufzeichnung der Änderungen an Berechtigungen, Identität sowie Datum und Uhrzeit bei jeder Änderung kritischer Daten. Ein zwischen Fremdfirma und Standort geteiltes Wartungskonto ist damit unvereinbar, und dieselbe Vorgabe macht die Zeitsynchronisation verbindlich: eine einzige Zeitquelle für alle Systeme, die zum Record beitragen. Als Regulatory Watch gilt, dass der Revisionsentwurf des Annex 11 und der vorgeschlagene Annex 22 vom 7. Juli bis 7. Oktober 2025 in Konsultation waren und am 30. August 2026 nicht angenommen sind.

21 CFR Part 11: Anwendbarkeit ist zu ermitteln

Part 11 gilt nicht automatisch, nur weil ein System elektronisch ist. Maßgeblich sind der belieferte Markt und eine Predicate Rule, die diesen Record verlangt; für ein Monitoringsystem zur Unterstützung der Aseptik kommen 21 CFR 211.42(c)(10) und 211.68 in Betracht. Die Bewertung wird System für System und Record für Record dokumentiert. Die Guidance vom September 2003 erklärt Enforcement Discretion für Validierung, Audit Trail und Kopie der Records, hält aber fest, dass „part 11 remains in effect“: Die Ermessensausübung erfasst weder Zugriffskontrollen noch elektronische Signaturen.

Fernzugriff und Cybersecurity

Der Fernzugriff für Support muss personenbezogen, protokolliert, zeitlich und in den Rechten begrenzt und durch die Vereinbarung mit dem Service Provider abgedeckt sein. Cybersecurity ist keine ausdrückliche Anforderung des Annex 11 von 2011, doch ein kompromittiertes System ist kein validiertes: Netzsegmentierung, Patches unter Change Control und Zugriffsüberwachung stützen die Klauseln 12 und 16 [GEP].

Entscheidungen, die über QRM zu begründen sind

ICH Q9(R1), Step 4 am 18. Januar 2023, ist Methodik und enthält keine Monitoringparameter; sein Annex II.4 wendet QRM jedoch auf Facilities, Equipment und Utilities an. Formalität als Kontinuum (§5.1) staffelt Validierungstiefe und Periodizität der Audit-Trail-Durchsicht, Subjektivität und Bias (§5.3) erklären, warum die Kritikalität von Instrumenten nicht allein der Automatisierungstechnik überlassen bleibt. FMEA, HAZOP und Risk Ranking and Filtering ordnen Messstellen, Alarme und Rechte [QRM].

Anwendungsbeispiel: Standort Vega

Standort Vega ist ein realistisches, aber fiktives Beispiel: ein Bereich der Grade C und D mit vorhandenem BMS und einem später nur für Partikel ergänzten EMS. Eine Periodic Review zeigt, dass die kritischen Differenzen allein vom BMS aufgezeichnet werden, dass dessen Audit Trail Set-Point-Änderungen nicht abdeckt und dass zwei Stationen unsynchronisierte Uhren haben.

Das BMS wurde nicht ersetzt. Die kritischen Differenzen wanderten mit eigenen Sonden auf das EMS, an den unkritischen Punkten blieb das BMS technisches System und wurde in der CCS als solches erklärt, geteilte Konten wichen personenbezogenen Profilen, und eine einzige Zeitquelle des Standorts wurde erklärt. Die Requalifizierung wurde getrennt von der Periodic Evaluation geplant, wie in Requalifizierung und Retrofit.

Entscheidungsmatrix: Wer den GMP-Record führt

Grade der Verbindlichkeit

Operative Checkliste

1. In der CCS festlegen, welche Parameter kritisch sind und wer deren Record führt.
2. Dieselbe Entscheidung mit den Validierungslieferobjekten in die URS übernehmen.
3. Instrumentierung nach Kritikalität klassifizieren und unter Change Control halten.
4. Jede Sondenposition genehmigen und in den As-built-Unterlagen einfrieren.
5. BMS, EMS und lokale Stationen in das Systeminventar aufnehmen.
6. Geteilte Konten abschaffen und Änderungen an Berechtigungen aufzeichnen.
7. Eine einzige Zeitquelle des Standorts erklären und die Zeitumstellung regeln.
8. Die Periodizität der Audit-Trail-Durchsicht begründen und belegen.
9. Den Restore historischer Daten erproben und den Prüfbericht aufbewahren.
10. Jedem Alarm Empfänger, erwartete Handlung und Abschlusskriterium zuordnen.
11. Verzögerungen und Hysteresen in der OQ an der realen Raumdynamik prüfen.
12. Die Periodic Evaluation getrennt von der Requalifizierung planen.

Wiederkehrende Fehler und Red Flags

• Nie entschieden zu haben, welches System den Record führt, sodass es die Inspektion klärt.
• Vom Controller gemittelte Werte archivieren und Rohdaten nennen.
• Part 11 ohne dokumentierte Bewertung für anwendbar oder nicht anwendbar erklären.
• Den revidierten Annex 11 oder Annex 22 als gültig darstellen, obwohl sie es am 30. August 2026 nicht sind.
• Periodic Evaluation mit der Requalifizierung nach Annex 1 verwechseln.
• Regelmäßige Backups ohne dokumentierten Wiederherstellungstest.

Um diese Grundsätze in Dokumente zu überführen, die einer Inspektion standhalten, ist The Pragmatic GMP der Newsletter von GuideGxP: kurze Analysen zu Qualifizierung, HVAC und Kontaminationskontrolle, über die eigene Seite.

Kernpunkte

• Das BMS regelt, das EMS bezeugt: Wer den Record führt, ist eine zu begründende Architekturentscheidung.
• Annex 1 §4.16 verlangt kontinuierliche Aufzeichnung und Alarm für die von der CCS bestimmten kritischen Differenzen.
• Gültig ist der Annex 11 von Januar 2011; Revision und Annex 22 sind am 30. August 2026 nicht angenommen.
• Part 11 gilt nicht automatisch: Die Anwendbarkeit wird ermittelt und dokumentiert.
• Jeder Alarm braucht Empfänger, erwartete Handlung und Abschlusskriterium.
• Kalibrierintervalle, Verzögerungen und Durchsichtsperiodizität werden an Standortdaten begründet.

Referenzen

• EudraLex Volume 4
• Annex 1 (PDF)
• Annex 11 (PDF)
• Annex 15 (PDF)
• 21 CFR Part 211
• 21 CFR Part 11
• ICH Quality Guidelines
• PIC/S Publications