Ein qualifiziertes Environmental Monitoring System bleibt nicht von allein qualifiziert. Der Zustand der Beherrschung wird durch wiederkehrende Tätigkeiten gehalten — Kalibrierung, Wartung, Verifizierung, Datenprüfung, Änderungsmanagement —, die mit derselben Disziplin wie die Erstqualifizierung geplant, ausgeführt und dokumentiert werden müssen. Der Unterschied: Die Qualifizierung hat ein Budget, einen Termin und einen Projektverantwortlichen; der Betrieb hat nur ein Verfahren — und überlebt je nachdem, wie gut dieses durchdacht wurde.
Die Frage, die diese Phase zusammenfasst, lautet: Würde morgen ein Inspektor den Nachweis verlangen, dass das System noch zuverlässig ist — welche Dokumente würden vorgelegt und wer hat sie unterschrieben? Lautet die Antwort „der Qualifizierungsbericht von vor drei Jahren“, wurde die Betriebsphase nicht geführt. Umfasst die Antwort einen termingerecht ausgeführten Kalibrierplan, Wartungsaufzeichnungen, Audit-Trail-Prüfungen, einen Periodic-Review-Bericht und ein nachvollziehbares Änderungsmanagement, ist das System im Zustand der Beherrschung.
Warum die Betriebsphase den Wert der Investition bestimmt
Die Kosten eines EMS liegen nicht in der Beschaffung, sondern verteilen sich über die Jahre, in denen das System gewartet, kalibriert, aktualisiert und beaufsichtigt wird. In diesen Jahren entsteht — oder verliert sich — auch das Vertrauen in die erzeugten Daten. Ein Umgebungsdatum trägt eine GMP-Entscheidung nur, wenn das erzeugende Gerät in gültigem Kalibrierzustand war, das System gewartet wurde und dies nachgewiesen werden kann.
Es gibt einen zweiten, weniger offensichtlichen Grund. Wiederkehrende Tätigkeiten sind der Mechanismus, mit dem eine Organisation Probleme bemerkt, bevor sie zu Abweichungen werden: ein Gerät, das allmählich driftet, ein Alarm, der sich wiederholt, ohne je geschlossen zu werden, eine Komponente, die häufiger ausfällt als erwartet, ein Audit Trail mit einem unerwarteten Änderungsmuster. Wer diese Tätigkeiten als Formalie abarbeitet, liest sie nicht; wer sie als Überwachungsinstrument nutzt, gewinnt Information.
Der regulatorische Rahmen
| Ebene | Was sie zur Betriebsführung festlegt |
|---|---|
| Regulatorische Anforderung (EudraLex Volume 4, Teil I und Annex 15) | Verlangen, dass Ausrüstung nach einem definierten Programm gewartet und kalibriert wird, dass Tätigkeiten aufgezeichnet werden und dass der qualifizierte Zustand über die Änderungskontrolle erhalten bleibt, mit risikobasiert bewerteter Requalifizierung. |
| Regulatorische Anforderung (Annex 11, Revision Januar 2011) | Für die computergestützte Komponente: periodische Bewertung des Systems, Störungsmanagement, Änderungskontrolle, Zugriffsverwaltung, Backup und Kontinuität. |
| Regulatorische Anforderung (EudraLex Volume 4, Annex 1) | Verlangt, dass das Monitoringprogramm periodisch überprüft und in die Contamination Control Strategy eingebunden wird, mit Trendbewertung. |
| Anforderung technischer Normen (ISO 21501-4; Reihe ISO 14644) | Definieren Leistungs- und Kalibrieranforderungen für optische Partikelzähler sowie Klassifizierungsmethoden. Als technische Kriterien für das Kalibrierprogramm relevant, sofern übernommen. |
| Herstellerspezifikation | Referenz für die vorgesehenen Wartungsarbeiten, Verschleißteile und empfohlenen Prüfungen am konkreten Gerät. |
| Operative Empfehlung GuideGxP | Den Betriebsführungsplan — Kalibrierung, Wartung, Prüfungen, Reviews, Verantwortlichkeiten und begründete Frequenzen — in einem einzigen, bei der Freigabe genehmigten Dokument festlegen, nicht nachträglich rekonstruieren. |
Technische Anleitung
Kalibrierprogramm
Was ein Kalibrierprogramm belastbar macht:
- Liste der kalibrierpflichtigen Geräte mit eindeutiger Kennung und einer Kritikalität, die sich aus der Verwendung der erzeugten Daten ableitet.
- Rückführbarkeit der Kalibrierungen auf anerkannte Normale, mit verfügbaren und aufbewahrten Zertifikaten.
- Definierte und begründete Intervalle. Es gibt keine universelle Frequenz: Das Intervall ergibt sich aus Herstellerangaben, Kritikalität der Nutzung, historisch beobachteter Stabilität und Standorterfahrung; die Begründung wird dokumentiert. Ein Intervall darf geändert werden, die Änderung ist mit Daten zu begründen.
- As-found- und as-left-Erfassung. Der vor dem Eingriff vorgefundene Zustand ist die Information, mit der die Auswirkung auf die seit der letzten gültigen Kalibrierung erzeugten Daten bewertet werden kann: Ohne sie ist diese Bewertung nicht möglich.
- Umgang mit Out-of-Tolerance. Vorab zu definieren: wer bewertet, in welcher Frist, welche Daten potenziell betroffen sind, wie die Auswirkungsbewertung dokumentiert wird und welche Entscheidungen folgen. Es ist das Verfahren, das am häufigsten fehlt — und das im ungünstigsten Moment gebraucht wird.
- Sichtbarer Kalibrierstatus, vor Gebrauch prüfbar, mit Handhabung abgelaufener oder außer Betrieb genommener Geräte.
Vorbeugende und korrektive Wartung
- Plan aus den Herstellerspezifikationen abgeleitet und an die Einsatzbedingungen des Standorts angepasst, mit definierten Frequenzen und zugewiesenen Verantwortlichkeiten.
- Verschleißteile und Verbrauchsmaterial: zu identifizieren, Verfügbarkeit sicherzustellen, Austauschkriterien zu definieren. Ein fehlendes Ersatzteil ist eine banale und häufige Ursache längerer Nichtverfügbarkeit.
- Zugänglichkeit: Eingriffe im klassifizierten Bereich erfordern Planung, Genehmigung und oft Abstimmung mit der Produktion. Erfordert der Eingriff das Betreten eines kritischen Bereichs, ist die Kontaminationsauswirkung zu bewerten.
- Korrektive Wartung: als solche erfasst, mit Ursachenanalyse bei wiederkehrenden Ereignissen und Bewertung der Auswirkung auf während der Störung erfasste Daten.
- Lieferanteneinsätze: genehmigt, protokolliert, mit Prüfung des Systemzustands am Ende des Einsatzes vor Rückkehr in den Betrieb.
Periodische Prüfungen und Funktionstests
Jenseits der Kalibrierung braucht das System Prüfungen, die sein Gesamtverhalten bestätigen: Test der Alarme und ihrer Weiterleitung, Prüfung der Zeitsynchronisation, Restore-Test der Daten aus dem Backup, Prüfung der Integrität von Leitungen und Verbindungen nach den Methoden des Lieferanten, Abgleich der Konfiguration mit der genehmigten Baseline. Jeweils mit definierter Frequenz und erfasstem Ergebnis.
Datenprüfung und Audit-Trail-Prüfung
Die Datenprüfung ist nicht die Audit-Trail-Prüfung, und keine ersetzt die andere. Die erste betrachtet Ergebnisse und Umgebungstrends; die zweite betrachtet, wer im System was getan hat. Beide sind mit definiertem Umfang, definierter Frequenz, Verantwortlichkeiten und Nachweisen risikobasiert zu planen. Insbesondere die Trendanalyse ist das Mittel, mit dem langsame Driften erkannt werden, die eine einzelne Überschreitung nicht zeigt.
Periodic Review des Systems
Der dokumentierte Nachweis, dass das System im Zustand der Beherrschung bleibt und die Annahmen der Qualifizierung weiterhin gelten. Typische Inhalte:
- seit der letzten Überprüfung erfolgte Änderungen und ihre Handhabung im Change Control;
- erfasste Abweichungen, Störungen und Fehlfunktionen mit Maßnahmen und Schließungsstatus;
- Ausführung des Kalibrier- und Wartungsplans gegenüber der Planung;
- Ergebnisse der Daten- und Audit-Trail-Prüfungen;
- Zugriffs- und Kontoverwaltung im Zeitraum;
- durchgeführte Restore-Tests;
- Status von Support, Softwareversionen und Obsoleszenz;
- ausdrückliche Aussage zum Zustand der Beherrschung und daraus folgende Maßnahmen.
Änderungsmanagement und Obsoleszenz
Jede Änderung — Ergänzung oder Verlagerung von Messstellen, Software-Update, Komponententausch, Änderung von Grenzwerten oder Konfiguration — läuft über Change Control, mit Auswirkungsbewertung auf den qualifizierten Zustand und Festlegung der erforderlichen Verifizierungen. Obsoleszenz ist vorausschauend zu steuern: Kündigt der Lieferant das Supportende einer Version oder Komponente an, ist die nutzbare Planungszeit jene ab diesem Zeitpunkt — nicht die, die bleibt, wenn der Support bereits ausgelaufen ist.
Arbeitsmittel: Betriebsführungsplan
Bei Systemfreigabe auszufüllen und aktuell zu halten. Frequenzen und Verantwortliche sind vom Standort festzulegen und zu begründen.
| Tätigkeit | Frequenz (festzulegen) | Verantwortlich | Erzeugter Nachweis |
|---|---|---|---|
| Kalibrierung der Geräte | Zertifikate mit as-found und as-left | ||
| Vorbeugende Wartung | Einsatzaufzeichnungen | ||
| Test von Alarmen und Benachrichtigung | Testbericht | ||
| Prüfung der Zeitsynchronisation | Prüfaufzeichnung | ||
| Restore-Test aus dem Backup | Testbericht | ||
| Prüfung der Leitungsintegrität | Aufzeichnung nach Lieferantenmethode | ||
| Konfigurationsabgleich mit der Baseline | Dokumentierter Vergleich | ||
| Daten- und Trendprüfung | Prüfbericht | ||
| Audit-Trail-Prüfung | Prüfaufzeichnung | ||
| Prüfung von Konten und Berechtigungen | Geprüfte und genehmigte Liste | ||
| Periodic Review des Systems | Bericht mit Schlussfolgerung | ||
| Prüfung von Ersatzteilverfügbarkeit und Support | Aktueller Status |
Praxisszenario
An einem Standort, den wir Site Delta nennen — realistisch, aber fiktiv — ergibt die periodische Kalibrierung eines Partikelzählers ein Out-of-Tolerance-Ergebnis. Das Gerät wird justiert, wieder in Betrieb genommen und das Ereignis als Wartungstätigkeit geschlossen.
Das Problem zeigt sich im Audit: Niemand hat bewertet, was dieses Ergebnis für die zwischen der letzten gültigen und der aktuellen Kalibrierung erzeugten Daten bedeutet. Die Frage ist berechtigt und direkt: Haben diese Daten Entscheidungen getragen? Wenn ja, mit welcher Zuverlässigkeitsmarge?
Die Ursache ist nicht technisch, sondern verfahrensbedingt. Es fehlt ein Verfahren, das vor Eintritt des Falls festlegt, dass ein Out-of-Tolerance-Ergebnis eine formale Auswirkungsbewertung auslöst: Bestimmung des betroffenen Zeitraums, Auflistung der darauf gestützten Entscheidungen, Bewertung des Ausmaßes der Abweichung gegenüber den anwendbaren Kriterien, dokumentierte und genehmigte Schlussfolgerung. Mit diesem Verfahren wäre das Ereignis in wenigen Stunden abgearbeitet gewesen. Ohne es erfordert es eine rückblickende Rekonstruktion unter Druck mit ungewissem Ausgang.
Am selben Standort zeigt die folgende Periodic Review ein zweites Element: Die As-found-Aufzeichnung war beim Kalibrierdienstleister nicht angefordert worden und stand daher nicht zur Verfügung. Die Korrektur — die Anforderung in den Servicevertrag aufzunehmen — ist einfach, aber nur, wenn sie jemand bemerkt, bevor sie gebraucht wird.
Häufige Fehler und Warnsignale
- Die As-found-Aufzeichnung nicht verlangen. Ohne sie ist die Auswirkungsbewertung eines Out-of-Tolerance nicht möglich.
- Ein Out-of-Tolerance als bloße Wartung behandeln. Es ist als Ereignis mit potenzieller Datenauswirkung nach einem vorab definierten Verfahren zu behandeln.
- Kalibrierintervalle nach Konvention festlegen. Sie sind zu definieren und zu begründen; Änderungen sind mit Daten zu untermauern.
- Datenprüfung und Audit-Trail-Prüfung verwechseln. Es sind eigenständige, einander ergänzende Tätigkeiten.
- Den Restore-Test aufschieben. Ein nie wiederhergestelltes Backup ist keine Garantie.
- Die Konfiguration nicht gegen die Baseline prüfen. Konfigurationsdrift ist lautlos und fällt typischerweise erst in einer Untersuchung auf.
- Lieferanteneinsätze ohne Protokollierung handhaben. Jeder Eingriff an einem qualifizierten System ist zu genehmigen, zu erfassen und abschließend zu verifizieren.
- Supportende-Ankündigungen ignorieren. Obsoleszenz wird geplant, wenn sie angekündigt wird, nicht wenn sie zum Problem wird.
- Die Periodic Review als Formalie behandeln. Sie ist das Mittel, mit dem der Zustand der Beherrschung nachgewiesen wird — und die Gelegenheit, Probleme vor Abweichungen zu erkennen.
Wie zu dokumentieren ist
- Betriebsführungsplan, bei Freigabe genehmigt, mit Tätigkeiten, begründeten Frequenzen, Verantwortlichkeiten und erwarteten Nachweisen.
- Kalibrierprogramm mit Geräteliste, Rückführbarkeit, Intervallen und Begründung.
- Verfahren zum Umgang mit Out-of-Tolerance samt Kriterien der Auswirkungsbewertung.
- Wartungsaufzeichnungen, vorbeugend und korrektiv, mit Ergebnissen und verwendeten Teilen.
- Aufzeichnungen der periodischen Prüfungen und Funktionstests.
- Berichte der Daten- und Audit-Trail-Prüfung.
- Periodic-Review-Bericht mit ausdrücklicher Schlussfolgerung und Maßnahmen.
- Änderungsregister mit Auswirkungsbewertung und durchgeführten Verifizierungen.
- Obsoleszenz-Managementplan, aktuell gehalten.
Kernaussagen
- Der qualifizierte Zustand wird durch geplante wiederkehrende Tätigkeiten gehalten; von allein bleibt er nicht bestehen.
- Die As-found-Aufzeichnung ist Voraussetzung der Auswirkungsbewertung eines Out-of-Tolerance.
- Kalibrierintervalle werden begründet, nicht geerbt.
- Datenprüfung und Audit-Trail-Prüfung sind eigenständig und ergänzen einander.
- Ein Backup ist so viel wert wie sein verifizierter Restore.
- Die Periodic Review ist der Weg, den Zustand der Beherrschung nachzuweisen — und zu erhalten.
Häufige Fragen
Wie oft ist ein Monitoringgerät zu kalibrieren?
Eine universelle Frequenz gibt es nicht. Das Intervall ergibt sich aus Herstellerangaben, Kritikalität der Datennutzung, beobachteter Stabilität und Standorterfahrung und ist mit seiner Begründung zu dokumentieren. Eine Änderung ist möglich, sofern sie durch Daten belegt ist.
Was tun, wenn eine Kalibrierung außerhalb der Toleranz liegt?
Das Verfahren zur Auswirkungsbewertung auslösen: Zeitraum seit der letzten gültigen Kalibrierung bestimmen, potenziell betroffene Daten und Entscheidungen identifizieren, das Ausmaß der Abweichung gegenüber den anwendbaren Kriterien bewerten und die Schlussfolgerung dokumentiert genehmigen. Das Verfahren wird geschrieben, bevor der Fall eintritt.
In welcher Frequenz ist die Periodic Review durchzuführen?
In einer vom Unternehmen nach Systemkritikalität und eigener Richtlinie für computergestützte Systeme festgelegten Periodizität und jedenfalls bei wesentlichen Änderungen. Die Wahl ist zu begründen und zu dokumentieren.
Ersetzt die Trendprüfung die Audit-Trail-Prüfung?
Nein. Die erste betrifft die Monitoringergebnisse, die zweite die am System und an den Aufzeichnungen ausgeführten Vorgänge. Es sind einander ergänzende Tätigkeiten mit unterschiedlichen Zwecken — beide erforderlich.
Wie werden Lieferanteneinsätze am System gehandhabt?
Mit vorheriger Genehmigung, protokolliertem und zeitlich begrenztem Zugriff, Erfassung der ausgeführten Arbeiten und Prüfung des Systemzustands am Ende, vor Rückkehr in den Betrieb. Die Verantwortlichkeiten sind im Servicevertrag festzulegen.
Wann erfordert eine Wartungstätigkeit eine Requalifizierung?
Wenn sie den qualifizierten Zustand beeinflussen kann: Austausch messrelevanter Komponenten, Konfigurationsänderungen, Software-Updates, Infrastrukturarbeiten. Die Bewertung erfolgt risikobasiert im Change Control und knüpft an die in der Systemqualifizierung definierten Kriterien an.
Regulatorische und technische Referenzen
- EudraLex Volume 4 — EU Guidelines for Good Manufacturing Practice (Europäische Kommission): Teil I, Annex 1 (anwendbar seit 25. August 2024), Annex 11 (Revision Januar 2011), Annex 15 (in Kraft seit 1. Oktober 2015).
- ISO 21501-4 — Determination of particle size distribution: light scattering airborne particle counter for clean spaces.
- ISO 14644-1 — Cleanrooms and associated controlled environments: Klassifizierung der Luftreinheit nach Partikelkonzentration.
- ICH Quality Guidelines — ICH Q9(R1) Quality Risk Management.
- PIC/S — Guides and Guidance Documents.
Den Projektweg fortsetzen
Dieser Beitrag ist Teil des GuideGxP-Pfads Environmental Monitoring Systems, der den Lebenszyklus eines EMS-Projekts von der Anforderungsdefinition bis zum laufenden Betrieb begleitet.
- Davor: FAT, SAT, IQ, OQ und PQ des Systems und Software, Annex 11 und Data Integrity.
- Wenn das System altert: Retrofit und Gap Assessment eines bestehenden Systems sowie Total Cost of Ownership.
- Regulatorische Grundlagen von GuideGxP: audit-ready Umgebungsmonitoring-Plan.
Analysen wie diese direkt per E-Mail? Abonnieren Sie The Pragmatic GMP, den GuideGxP-Newsletter für alle, die täglich mit GMP, Qualifizierung und Data Integrity arbeiten.
