Ein Isolator kommt am Standort an, das FAT ohne Befund geschlossen, das Protokoll unterschrieben. Sechs Monate später zeigt sich in der PQ, dass das Ausschleusen von Vials mit schief sitzendem Stopfen im kleinsten Format nie erprobt wurde: Dieses Format stand beim FAT nicht zur Verfügung, und kein Dokument nannte den Ort, an dem der Test nachzuholen war. Die Anforderung stand in der URS. Es fehlte das Feld, das sagte, wo sie geprüft wird.
Dieser Beitrag behandelt die Qualifizierung einer aseptischen Linie mit Barriere zuerst als Rückverfolgbarkeits-, dann als Ausführungsproblem: welche Anforderungen wo geprüft werden, mit welchem Nachweis, und was dieser Nachweis nicht zeigt. Qualifizierung ist keine Episode zwischen Lieferung und Produktion: Sie ist der Lifecycle-Abschnitt, in dem URS-Anforderungen zu gemessenen Leistungen werden und aus dem das Change Control seine Baseline zieht.
Wo das Problem entsteht
Die Qualifizierung einer aseptischen Linie scheitert selten an einem schlecht ausgeführten Test. Sie scheitert, weil stromaufwärts vier verschiedene Tätigkeiten verwechselt wurden. Das FAT ist eine vertragliche Prüfung beim Lieferanten, mit dessen Medien und häufig ohne reales Produkt. Das SAT prüft, ob das Angekommene das Abgesandte ist und ob die Installation die Leistung nicht verschlechtert hat. Commissioning ist die ingenieurtechnische Inbetriebnahme: Einstellen, Tuning, Mängel. Die Qualifizierung dokumentiert unter Verantwortung der Quality Unit die Konformität mit den Anforderungen.
Am häufigsten übersehen: Der Annex 15 enthält das Wort «commissioning» nicht. Es ist gute Ingenieurpraxis [GEP], die der Qualifizierung zuarbeitet — sie übergibt ihr funktionierende, eingestellte und dokumentierte Systeme —, aber sie nicht ersetzt. Ein Plan, der «Commissioning anstelle der IQ» schreibt, ohne zu erklären, welche Tests formal leveraged werden, mit welchem Rationale und mit welcher Freigabe der Quality Unit, erzeugt eine Lücke im Dossier.
Der regulatorische Rahmen
| Quelle | Status und Datum | Was tatsächlich bindet |
|---|---|---|
| EU GMP Annex 15 | Revision 2015, wirksam seit 1. Oktober 2015. In Überarbeitung: Konsultation am 9. April 2026 geschlossen, kein Text verabschiedet | Sequenz URS → DQ → FAT/SAT → IQ → OQ → PQ, Change Control und Lifecycle-Rückverfolgbarkeit. Der Text von 2015 ist der einzige gültige [ANFORDERUNG] |
| EU GMP Annex 1 | C(2022) 5938 final, anwendbar seit 25. August 2023 | Barriere, Handschuhe und Biodekontamination in 4.18–4.22; Verschließen und Capping in 8.21–8.28, mit der Stopper Height Detection aus 8.28 [ANFORDERUNG] |
| ICH Q9(R1) | Step 4 am 18. Januar 2023 | Methodik zur Begründung von Leveraging und Prüftiefe [QRM] |
| PIC/S PI 006-4 | In Kraft seit 1. Oktober 2026 | Empfehlungen zu Qualification und Validation, getrennt vom Annex 15 |
| ASTM E2500-25 | Aktuelle Ausgabe 2025, ersetzt E2500-20 | Science- and risk-based Ansatz, freiwillig [STANDARD] |
Die CQV-Strategie beginnt bei der URS
Die CQV-Strategie beantwortet drei Fragen: Welche Systeme liegen im Scope, welche haben direkten Einfluss auf Produktqualität und Sterility Assurance, welche Prüftiefe verdienen sie. Die Antworten stammen aus URS und projektbezogener Risikobewertung. Enthält die URS nummerierte, prüfbare Anforderungen mit Akzeptanzkriterium, baut sich die Strategie fast von selbst; ist sie eine Wunschliste, erfindet jedes Protokoll seine Kriterien neu, und niemand kann zeigen, dass die Protokolle die Anforderungen abdecken.
DQ: Rückverfolgbarkeit, keine Neuplanung
Die DQ zeigt, dass die Planung die Anforderungen erfüllt, und ist eine Übung in Rückverfolgbarkeit: Jede URS-Anforderung erhält eine Zeile, die angibt, wo die Planung sie erfüllt (P&ID, Layout, Funktionsspezifikation, Datenblatt) und wo sie geprüft wird (FAT, SAT, IQ, OQ, PQ oder leveraged Commissioning). Anforderungen ohne Prüffeld sind das eigentliche Deliverable der DQ: die Lücken, die man zwölf Monate später bezahlt. Hier werden auch bewusste Abweichungen erklärt, statt sie später als Abweichungen in der OQ auftauchen zu lassen.
FAT, SAT und Commissioning: was sich verschieben lässt und was nicht
FAT
Ins FAT gehört sinnvoll, was auf der Baustelle teuer zu wiederholen ist und nicht vom Installationskontext abhängt: mechanische und Montageprüfung, Formatversuche mit realen Behältern, Changeover, Automatisierungssequenzen, Rezeptverwaltung, Alarmmatrix, Störszenarien an den Verriegelungen, Behältertransport bei Linientakt, Dosierung mit Surrogaten. Deutlich weniger sinnvoll ist es, dorthin zu verlagern, was von den Standortmedien, vom Raum der Barriere oder von der Integration mit Fremdsystemen abhängt: endgültige Airflow Visualisation, Differenzdrücke gegen den realen Raum, EMS- und BMS-Integration, Biodekontamination in der finalen Beladungskonfiguration.
Ein gutes FAT senkt das Projektrisiko: Es fängt Mängel ab, solange ihre Behebung wenig kostet. Es reduziert nicht automatisch den Umfang der Qualifizierung. Leveraging in IQ oder OQ ist sinnvoll [QRM], sofern drei Bedingungen vorab erklärt sind: freigegebenes Protokoll, kalibrierte und rückführbare Messmittel, nichts in Transport oder Installation, das das Ergebnis entwertet. Fällt eine weg, wird der Test wiederholt.
Das SAT und seine Fallen
Das SAT ist die am meisten unterschätzte und dem Terminzug am stärksten ausgesetzte Phase. Drei Fallen. Die erste: ein SAT mit provisorischen Medien — Luft aus dem Baustellenkompressor, noch nicht qualifiziertes Wasser — das anschließend als endgültig behandelt wird. Die zweite: ein SAT, das die FAT-Liste wiederholt, statt sich auf das zu konzentrieren, was Transport und Installation verändert haben können — Ausrichtungen, Barriereintegrität, Anschlüsse, Dichtheit der Durchführungen, Nivellierung. Die dritte: eine Punch List, die geschlossen wird, ohne zu bewerten, welche Restpunkte die folgenden Tests beeinflussen.
Commissioning und Turnover Documentation
Das Commissioning erzeugt das nützlichste und meistvernachlässigte Objekt des Projekts: die Turnover Documentation. Zertifikate der produktberührenden Materialien und der HEPA-Filter, As-built-Zeichnungen, Instrumentenlisten mit Klasse und Kalibrierstatus, Software- und Firmwareversionen, Backups, kritische Ersatzteile. Die IQ erzeugt diese Dokumente nicht: Sie prüft sie. Ein unvollständiges Paket macht aus ihr eine Jagd nach Zertifikaten.
IQ, OQ und PQ an einer Linie mit Barriere
Die IQ prüft, ob das Installierte der freigegebenen Spezifikation entspricht: Werkstoffe der produktberührenden und der barriereinnenseitigen Oberflächen, Position und Zertifizierung der HEPA-Filter, Ausführung von Glove Ports und RTP, Ausführung der Durchführungen, Kalibrierkette der Instrumente, die GMP-Daten erzeugen werden.
Die OQ prüft die Funktionen über den gesamten erklärten Bereich und ist die Phase der Störszenarien. Die Verriegelung, die im Gutfall funktioniert, genügt nicht: Zu zeigen ist die Reaktion auf geöffnete Tür, Druck außerhalb des Bereichs, ausgefallenen Ventilator, undichten Handschuh, Kommunikationsverlust zur PLC, Rezept außerhalb der Grenzen. In die OQ gehören ebenso Rezept- und Zugriffsverwaltung, Alarmmatrix mit Priorität und geforderter Handlung sowie das Verhalten nach einem Power Failure. Die kritischen Schnittstellen der Barriere — Handschuhe, RTP, Biodekontamination verlangen eine scharfe Unterscheidung: Das Cycle Development, das Zyklusparameter und deren Robustheit festlegt, ist nicht die Qualification, die deren Reproduzierbarkeit in der realen Beladung zeigt. Parameter werden entwickelt, nicht kopiert.
Die PQ zeigt, dass das System in realer Konfiguration und mit den Standortprozeduren die Leistung hält: Airflow und Recovery in der beladenen Barriere, stabile Differenzdrücke in den Übergängen, Reproduzierbarkeit der Dosierung über die erklärten Formate, Leistung bei Nenngeschwindigkeit, Stopper Height Detection für die von Annex 1 8.28 geforderten Fälle des fehlenden und schief sitzenden Stopfens [ANFORDERUNG], Capping nach 8.27 in der gewählten Konfiguration.
Was jede Phase zeigt
| Gegenstand | Phase | Was sie zeigt | Was sie NICHT zeigt |
|---|---|---|---|
| Dosierung | FAT, OQ, PQ | Reproduzierbarkeit über den erklärten Bereich, mit Produkt oder Surrogat | Dass sich das reale Produkt wie das Surrogat verhält |
| Behältertransport | FAT, OQ, PQ | Keine Staus und Beschädigungen in den erklärten Formaten | Das Eingriffsrisiko bei verbleibenden Staus |
| Capping und Stopper Height Detection | OQ, PQ | Ausschleusen von Vials mit fehlendem oder schiefem Stopfen (8.28) | Die Integrität des Container Closure System: das ist CCIT (8.23) |
| Barriere | SAT, IQ, OQ | Konforme Installation und Trennung vom Raum | Dass die Aseptic Technique der Operatoren sie respektiert |
| Handschuhe und RTP | IQ, OQ | Korrekte Konfiguration und funktionierende Testmethode | Die Handschuhintegrität in der nächsten Charge (4.21) |
| Airflow und HEPA | IQ, OQ, PQ | Filterintegrität und Homogenität der Strömung am Arbeitsplatz | Dass der First Air bei Eingriffen ungestört bleibt |
| Differenzdrücke | OQ, PQ | Stabilität und Alarmierung in Übergängen | Das Verhalten bei nicht protokollierten Eingriffen |
| Biodekontamination | OQ, PQ | Reproduzierbarkeit des Zyklus in der qualifizierten Beladung | Die Wirksamkeit bei nicht erprobten Beladungen |
| Automation, Rezepte, Alarme | FAT, OQ | Ausführung, Verriegelungen, Störreaktion, Zugriffe | Dass die Daten als konforme GMP-Records geführt werden |
Begründung über ICH Q9(R1)
ICH Q9(R1) ist die Methodik, mit der entschieden wird, wie viel Prüfung nötig ist und wo [QRM]. Die Risikobewertung stuft die Systeme nach Einfluss auf Sterility Assurance und Produktqualität ein; daraus folgen drei Entscheidungen: welche Tests unter Qualifizierungsprotokoll laufen, welche Commissioning-Tests mit dokumentiertem Rationale leveraged werden dürfen, welche Funktionen in der OQ explizite Störszenarien verlangen. ASTM E2500-25 [STANDARD] ist freiwillig und ersetzt den Annex 15 nicht: Sie bietet eine Argumentationsweise, keine Erlaubnis zur Scope-Kürzung. Das Ergebnis fließt in die CCS als Nachweis, welche technischen Kontrollen mit welcher Tiefe verifiziert wurden.
Es gehört gesagt, wo die Qualifizierung endet. Die Equipment Qualification zeigt, dass die Anlage tut, was sie soll. Die Aseptic Process Simulation zeigt, dass der aseptische Prozess, geführt von diesen Personen mit diesen Prozeduren auf dieser Anlage, hält. Eine perfekt qualifizierte Linie kann eine positive APS liefern: Die APS hebt die Qualifizierung nicht auf, sie zeigt deren Scope-Grenzen. Keine ersetzt die andere.
Anwendungsbeispiel: Standort Norma
Der «Standort Norma» ist ein realistisches, aber vollständig erfundenes Beispiel. Er kauft eine Vial-Linie im Isolator bei zwei Lieferanten, der Linienhersteller ist Integrator. Das FAT dauert drei Wochen und ist technisch ausgezeichnet: Formatversuche, gestoppte Changeover, Alarmmatrix, Verriegelungen. Es schließt mit vier kleineren Punkten und einem sauberen Protokoll.
Das Problem taucht in der PQ auf. Die URS verlangte das Ausschleusen von Vials mit schief sitzendem Stopfen vor dem Bördeln, auch im kleinsten Format. Beim FAT war dieses Format nicht verfügbar: Der Test lief auf den beiden großen Formaten und der Punkt wurde als «geprüft» geschlossen. Niemand notierte, dass ein Drittel der Anforderung ungedeckt blieb, und im SAT kam das Thema nicht wieder hoch, weil das SAT die FAT-Liste wiederholte. In der PQ erwies sich das Ausschleusen als unzuverlässig, und die Linie stand fünf Wochen still, zwischen mechanischer Änderung und Wiederholung.
Der Fehler liegt darin, das FAT als abzuhakende Aktivitätenliste zu behandeln statt als Teilabdeckung verfolgter Anforderungen. Eine nach Anforderung — nicht nach Test — gebaute DQ-Matrix hätte die Zelle «kleines Format / Stopper Height Detection» leer gezeigt, und der Plan hätte diesen Test in die OQ vor Ort verschoben.
Verbindlichkeitsstufen
| Aussage | Stufe | Quelle |
|---|---|---|
| Die Sequenz URS–DQ–IQ–OQ–PQ und das Lifecycle-Change-Control werden erwartet | [ANFORDERUNG] | EU GMP Annex 15 (2015) |
| Beim als Clean Process geführten Capping sind automatisierte, qualifizierte Methoden der Stopper Height Detection nötig | [ANFORDERUNG] | Annex 1, 8.28 |
| Die Biodekontamination des Isolators ist automatisiert, validiert und in definierten Parametern kontrolliert | [ANFORDERUNG] | Annex 1, 4.22(i) |
| Commissioning arbeitet der Qualifizierung zu, ersetzt sie aber nicht | [GEP] | Annex 15 nennt Commissioning nicht |
| Prüftiefe und Leveraging werden über das Risiko begründet | [QRM] | ICH Q9(R1) |
| Der science- and risk-based Verifikationsansatz ist ein freiwilliger Leitfaden | [STANDARD] | ASTM E2500-25 |
| Die Traceability-Matrix wird nach Anforderung gebaut, nicht nach Test | [GUIDEGXP] | Redaktionelle Empfehlung |
Checkliste
- Erklären in der CQV-Strategie, welche Systeme direkten Einfluss haben und mit welchem Rationale.
- Aufbauen der Traceability-Matrix nach URS-Anforderung, mit Spalte «Prüfphase».
- Festlegen vor dem FAT, welche Tests leveraged werden und unter welchen Bedingungen.
- Prüfen, dass ins FAT verlagerte Tests nicht von nicht reproduzierbaren Medien oder Integrationen abhängen.
- Auflisten im SAT nur dessen, was Transport und Installation verändert haben können.
- Schließen der Punch List unter Bewertung jedes verbleibenden Punkts.
- Einfordern der Turnover Documentation als vertragliches Deliverable.
- Erproben in der OQ von Störszenarien und Verriegelungen, nicht nur des Nennbetriebs.
- Trennen von Cycle Development der Biodekontamination und deren Qualification.
- Einfrieren der qualifizierten Konfiguration als Baseline des Change Control.
Wiederkehrende Fehler und Red Flags
Das erste Warnsignal ist ein Plan, in dem Commissioning und Qualification Synonyme sind: Niemand weiß dann noch, welches Dokument einem Inspektor antwortet. Das zweite ist eine Traceability-Matrix, die aus den Protokollen statt aus den Anforderungen gebaut ist: Sie deckt hundert Prozent der Tests ab und sagt nichts über die Anforderungen. Das dritte ist ein FAT, das unter nicht repräsentativen Bedingungen geschlossen wird — fehlende Formate, unbegründete Surrogate —, ohne festzuhalten, was ungedeckt bleibt. Das vierte ist eine OQ, die nur den Nennfall prüft und Störszenarien auf «Versuche in der Produktion» verschiebt, wo sie zu Abweichungen werden: Alarme und Rezepte werden als Funktionen qualifiziert, nicht als Bildschirme. Das fünfte ist ein Biodekontaminationszyklus, qualifiziert auf einer anderen Beladung als der Routine. Das sechste ist eine PQ, geplant als bloßer Leistungslauf. Das siebte und teuerste ist, die Qualifizierung zu schließen, ohne die Konfiguration einzufrieren.
Qualifizierung ist keine Pflichtübung vor der ersten Charge: Sie ist der Akt, mit dem der Standort entscheidet, was er über die gesamte Lebensdauer der Anlage wird belegen können. Wer die Rückverfolgbarkeit von der URS bis zur Freigabe sauber hält, kauft sich Jahre beherrschbaren Change Controls. Solche Vertiefungen sind das Handwerk von The Pragmatic GMP.
Kernpunkte
- FAT, SAT, Commissioning und Qualification haben unterschiedliche Geltungsbereiche und Beweiswerte.
- Der Annex 15 nennt Commissioning nicht: gute Ingenieurpraxis, die der Qualifizierung zuarbeitet, sie aber nicht ersetzt.
- Ein exzellentes FAT senkt das Projektrisiko, nicht den Umfang der Qualifizierung, außer bei begründetem Leveraging.
- Die DQ zählt wegen der Anforderungen, die sie ungedeckt lässt, nicht wegen der bestätigten.
- Eine OQ ohne Störszenarien ist eine Vorführung, keine Qualifizierung.
- Cycle Development und Qualification der Biodekontamination bleiben getrennt.
- Equipment Qualification und APS beantworten verschiedene Fragen; keine ersetzt die andere.
- Eine Qualifizierung, die die Konfiguration nicht einfriert, schützt nichts.
