Ein abgeschlossener Skidtest gibt noch keinen Reinigungsprozess frei
Ein CIP-Skid kann die Werksprüfung bestehen, obwohl der später installierte Rücklauf einen Behälter teilweise überflutet. Eine SIP-Sequenz kann enden, ohne nachzuweisen, dass ein entfernter Ventilhohlraum die erforderliche Behandlung erhalten hat. Beide Fehler haben eine gemeinsame Ursache: Die Abnahme bezieht sich auf die Maschine, ohne den vorgesehenen Betrieb und seine Grenzen ausreichend abzubilden. Die Qualifizierung muss genehmigte Anforderungen, tatsächlich installierte Konfiguration, verwendete Betriebsarten und die für eine Produktionsentscheidung erforderlichen Nachweise miteinander verbinden.
Dieser Beitrag behandelt die Qualifizierung pharmazeutischer CIP- und SIP-Systeme einschließlich ihrer Schnittstellen zu Prozessequipment, Versorgungssystemen und Automatisierung. Er unterscheidet Anlagenqualifizierung, Reinigungsvalidierung und Validierung des Sterilisationsprozesses. Diese Arbeiten können im selben Projekt koordiniert werden, beantworten jedoch unterschiedliche Fragen. Ein Lieferantenzertifikat, ein erfolgreicher Inbetriebnahmelauf oder ein genehmigter FAT-Bericht beantwortet nicht automatisch alle Fragen zur späteren GMP-Verwendung.
Regulatorische und technische Grundlagen festlegen
Der seit Oktober 2015 geltende EU-GMP-Annex 15 beschreibt den Rahmen für Qualifizierung und Validierung. Er verbindet Benutzeranforderungen, Designqualifizierung und Prüfungen bis zur Funktions- und Leistungsqualifizierung. Tätigkeiten und Nachweise dürfen bei ausreichender Begründung zusammengeführt oder wiederverwendet werden. Die Eignung für die tatsächlich installierte Anwendung muss trotzdem nachgewiesen werden. Für die Reinigungsvalidierung enthält Abschnitt 10 eigene Gesichtspunkte.
Bei sterilen Anwendungen ergänzt Annex 1, insbesondere Abschnitte 8.58 und 8.63, relevante Erwartungen an SIP. ASTM E2500-25 und der ISPE-Leitfaden Commissioning and Qualification bieten technische Vorgehensweisen; sie sind keine eigenständigen GMP-Gesetze. PIC/S PI 006-4 ist veröffentlicht und tritt am 1. Oktober 2026 in Kraft. Zum Überprüfungsstand dieses Beitrags im September 2026 muss dieser zukünftige Status ausdrücklich erkennbar bleiben.
Systemgrenzen vor den Prüfungen bestimmen
Die Systemgrenze gehört in aktuelle Rohrleitungs- und Instrumentierungsdiagramme. Dazu zählen CIP-Vorlauf und Rücklauf, Dosieranschlüsse, Wegeventile, Entleerungen, Sprühgeräte, Probenahmestellen und reinigungsrelevante Versorgungsanschlüsse. Für SIP sind Sterilisationsgrenze, Entlüftungen, Kondensatwege, Filter, Dichtungen und alle Verbindungen zu bestimmen, die die Integrität nach dem Zyklus beeinträchtigen können. Kennzeichnen Sie, welche Teile vom Skidlieferanten, vom Standort oder von anderen Auftragnehmern geliefert werden.
Die Grenze umfasst auch den Betrieb. Dokumentieren Sie gleichzeitige Verbraucher, Behälterkonfigurationen, minimale und maximale Anordnungen, demontierbare Komponenten und manuelle Eingriffe. Erfassen Sie separat gereinigte Teile ausdrücklich. Ein vergessener Schlauch oder Ventilsitz ist nicht abgedeckt, nur weil der Hauptbehälter im Protokoll steht. Klären Sie Zuständigkeiten an den Schnittstellen, bevor spätere Änderungen den Prüfplan und die Übergabe gefährden.
Aus der URS einen Verifikationsplan entwickeln
Jede wesentliche Anforderung benötigt Kennung, Begründung, Akzeptanzkriterium, Prüfverfahren und Ablageort des Nachweises. „Das System muss wirksam reinigen“ ist ein Ziel, aber noch keine prüfbare Spezifikation. Trennen Sie Funktionsanforderungen, etwa die Sperre einer unzulässigen Route, von Prozessergebnissen wie der nachgewiesenen Entfernung eines relevanten Rückstands. Beide Ebenen sind mit Prozesswissen und Risikobewertung zu verknüpfen, damit ihre Bedeutung nachvollziehbar bleibt.
Die Rückverfolgbarkeitsmatrix bestimmt die aussagekräftigste Prüfphase. Ein Materialzeugnis lässt sich vor Lieferung prüfen; die Entleerbarkeit der installierten Anlage erfordert Nachweise vor Ort. Ein simulierter Alarm im FAT kann Softwarelogik belegen, jedoch nicht die richtige Installation des Feldsensors. Legen Sie fest, was früh akzeptiert werden darf und was nach Transport, Montage, Integration oder Konfigurationsänderung erneut zu bestätigen ist.
| Kritische Frage | Geeigneter Nachweis | Typische Phase | Verbleibende Grenze |
|---|---|---|---|
| Ist der ausgewählte Kreislauf richtig geschaltet? | Ventilzustände gezielt prüfen und Route unabhängig kontrollieren | FAT, danach integrierte OQ | Tatsächliche Feldanschlüsse |
| Kann sich das Equipment entleeren? | Installationsprüfung und repräsentativer Entleerungsversuch | Inbetriebnahme und Qualifizierung | Betriebslage und Konfiguration |
| Sind kritische Messungen zuverlässig? | Kalibrierung, Schleifenprüfung und Bereichstests | IQ/OQ | Messort und Reaktionszeit |
| Entfernt die Reinigung den Zielrückstand? | Genehmigte Probenahme und analytische Ergebnisse | Reinigungsvalidierung | Produkte, Verschmutzung und Bedingungen |
| Erreicht SIP die gesamte Grenze? | Thermische Studien und begründete Sterilisationsnachweise | SIP-Qualifizierung und Validierung | Kalte Stellen und spätere Integrität |
Vorhersehbare Probleme durch Designqualifizierung verhindern
Eine Designprüfung untersucht, wie die vorgesehene Architektur die URS erfüllt. Die bloße Existenz vollständiger Zeichnungen reicht dafür nicht aus. Prüfen Sie das Verhältnis von Vorlauf und Rücklauf, Chemikalienzugabe, Temperaturmessung, Entleerung, Zugänglichkeit der Sprühgeräte und Auswirkungen schwankender Versorgung. Berücksichtigen Sie Kontaminationsübertragung durch gemeinsame Rückläufe oder Rückgewinnungsbehälter. Bei SIP sind Luftentfernung, Kondensatableitung, thermische Ausdehnung und repräsentative Messorte für schwer erwärmbare Bereiche entscheidend.
Halten Sie Annahmen fest, die später bestätigt werden müssen. Lieferantenberechnungen und Betriebsbereiche einzelner Geräte können Entscheidungen begründen, gelten aber nur unter passenden Bedingungen im Gesamtkreislauf. Eine Pumpenkennlinie beweist keine Reinigungsleistung am Verbrauchsort. Schließen Sie kritische Designlücken möglichst vor der Fertigung. Verbleibende begründete Fragen erhalten einen Verantwortlichen und ein konkretes Abschlusskriterium im Verifikationsplan.
Der FAT soll funktionale Schwächen sichtbar machen
Die Werksabnahme prüft das gelieferte Paket unter vereinbarten Bedingungen. Dazu gehören Fertigungsunterlagen, Instrumentenlisten, Softwarestände, Rezeptstrukturen und Alarmdefinitionen. Demonstrieren Sie Phasenübergänge, Routenauswahl, Dosierfreigaben, Zyklusabbruch, Einschränkungen beim Wiederanlauf und Reaktionen auf Fehler. Sind reale Prozessbedingungen nicht herstellbar, müssen Simulation, Grenzen und zusätzliche Standortprüfungen dokumentiert werden. Die Aussage eines simulierten Ergebnisses muss später im Freigabedossier verständlich bleiben.
Prüfen Sie glaubwürdige Störungen neben dem erfolgreichen Demonstrationszyklus: verlorenes Rücklaufsignal, fehlende Ventilrückmeldung, Kommunikationsausfall oder ein unberechtigter Versuch zur Parameteränderung. Definieren Sie den erwarteten sicheren Zustand sowie den erzeugten Datensatz. Potenziell schädigende Tests benötigen Planung. Kontrollierte Simulationen sollen das Equipment schützen und trotzdem das zu bewertende Verhalten zuverlässig nachweisen.
SAT, Inbetriebnahme und Qualifizierung unterscheiden
Die Standortabnahme überprüft Lieferung und Integration anhand der vertraglichen Abnahmekriterien. Die Inbetriebnahme zeigt, dass die technische Installation wie vorgesehen arbeitet und sicher übergeben werden kann. Qualifizierung liefert genehmigte Nachweise zur Eignung für den GMP-Einsatz. Diese Ziele überschneiden sich. Gut kontrollierte Prüfungen können mehrere Zwecke unterstützen; die Umbenennung eines Inbetriebnahmeprotokolls macht einen unzureichenden Nachweis jedoch nicht belastbarer.
Vor der Wiederverwendung sind Prüfplan, Instrumenteneignung, Konfiguration, Rohdaten, Abweichungen, Beteiligte und Genehmigungen zu bewerten. Stellen Sie fest, ob Transport oder Installation das Ergebnis ungültig machen können. Alles zu wiederholen verbraucht unnötig Ressourcen; nichts zu wiederholen lässt Integrationsrisiken offen. Eine begründete Entscheidung muss deshalb für die jeweilige Anforderung und ihre Veränderungsanfälligkeit getroffen werden.
Die IQ schafft eine verlässliche installierte Ausgangsbasis
Die Installationsqualifizierung erfasst Equipment, Rohrleitungen, Instrumente, Versorgungssysteme, Software und Dokumentation der realen Anlage. Prüfen Sie kritische Werkstoffe und Komponentenidentitäten gegen das genehmigte Design. Vergewissern Sie sich, dass Kalibrierunterlagen zu den tatsächlich montierten Geräten gehören. Kontrollieren Sie Kennzeichnung, Flussrichtung, Zugänglichkeit, Anschlüsse und die Verfügbarkeit von Betriebs- und Wartungsinformationen. Die Unterlagen müssen das vorhandene System erklären und eindeutig identifizieren.
Dokumentieren Sie Abweichungen, anstatt die erwartete Konfiguration stillschweigend an den Istzustand anzupassen. Ein ausgetauschtes Ventil, eine Dichtung oder ein Sprühgerät kann Reinigbarkeit, Verträglichkeit oder thermisches Verhalten verändern. Bewerten Sie dies vor der Abnahme. Die IQ schafft eine belastbare Referenz, mit der sich spätere Betriebsergebnisse und nachfolgende Änderungen richtig interpretieren lassen.
Die OQ prüft Betriebsbereich und Fehlerverhalten
Im Prüfplan muss außerdem stehen, wie eine anspruchsvolle Bedingung erzeugt wird und wie anschließend der normale Zustand wiederhergestellt wird. Wenn ein Techniker vorübergehend ein Signal simuliert oder einen Eingang überschreibt, sind Beginn, Zweck und Rücknahme des Eingriffs nachvollziehbar zu dokumentieren. Die Überprüfung muss feststellen können, dass das beobachtete Ergebnis tatsächlich zur beschriebenen Konfiguration gehört. Vor der Freigabe dürfen keine unbewerteten Überbrückungen oder aktiven Simulationen zurückbleiben. Diese Kontrolle ist besonders relevant, wenn dieselben Geräte zuerst für Inbetriebnahme und später für die GMP-Produktion verwendet werden.
Die Funktionsqualifizierung fordert Funktionen und Bedingungen heraus, die für den genehmigten Einsatz entscheidend sind. Prüfen Sie Rezeptberechtigungen, Phasenübergänge, Alarme, Verriegelungen und Aufzeichnungen zusammen mit relevanten Prozessmessungen. Obere, untere und ungünstige Bedingungen werden aus Entwicklungswissen und Risikobewertung ausgewählt. Es gibt keine CIP-Geschwindigkeit, Chemikalienkonzentration oder SIP-Haltebedingung, die für jede Anlage universell geeignet wäre.
Integrierte Tests verfolgen die gesamte Wirkungskette. Stoppt bei unzureichendem Rücklauf die Dosierung? Wird der Zyklus korrekt als fehlgeschlagen gekennzeichnet? Kann ein Bediener ohne genehmigten Wiederanlaufweg fortfahren? Prüfen Sie die Daten zur Rekonstruktion des Ereignisses. Eine Bildschirmmeldung genügt nicht, wenn der dauerhaft gespeicherte Zyklusbericht gleichzeitig einen erfolgreichen Abschluss ausweist.
Die PQ verbindet Leistung und konkrete Anwendung
Die Leistungsqualifizierung demonstriert reproduzierbares Verhalten für die freigegebene Betriebsanwendung. Bestimmen Sie repräsentative und anspruchsvolle Equipmentkonfigurationen, Versorgungsbedingungen, Belastungen und Arbeitsweisen. Erklären Sie, warum die ausgewählten Fälle die beanspruchte Abdeckung unterstützen. Bei Ersatzmedien ist festzuhalten, welche Eigenschaften sie tatsächlich repräsentieren und welche produktbezogenen Fragen weiterhin durch die Reinigungsvalidierung beantwortet werden müssen.
Die Schlussfolgerungen bleiben getrennt. Ein stabiler CIP-Temperaturverlauf belegt Systemleistung, aber noch keine Rückstandsentfernung. Sprühabdeckung liefert Informationen zu Kontakt und Abschattungen, ersetzt jedoch keine chemischen oder mikrobiologischen Nachweise. Thermische SIP-Ergebnisse müssen die definierte Sterilisationsstrategie unterstützen. Eine allgemeine Sterilitätszusage allein auf Grundlage der Meldung „Zyklus abgeschlossen“ wäre nicht angemessen.
Die Aussagekraft digitaler Nachweise sichern
Die Automatisierungsqualifizierung berücksichtigt Erstellung, Speicherung, Überprüfung und Wiederauffindbarkeit von Datensätzen. Prüfen Sie Zeitsynchronisation, Equipmentkennung, Rezeptversion, Zugriffsrechte, Änderungen kritischer Parameter und Vollständigkeit der Berichte. Fordern Sie gegebenenfalls Kommunikations- oder Spannungsausfälle heraus. Klären Sie, ob gespeicherte Werte Originalbeobachtungen, Mittelwerte oder berechnete Zusammenfassungen sind. Diese Unterscheidung kann die Bewertung kurzer Abweichungen verändern.
Der derzeit geltende Annex 11 ist weiterhin die Fassung von Januar 2011. Der Revisionsvorschlag von 2025 darf nicht als geltende Vorgabe dargestellt werden. Lieferantenunterlagen können die Bewertung unterstützen. Die Verantwortung für das konfigurierte System und seine GMP-Aufzeichnungen verbleibt dennoch beim regulierten Anwender.
Beispiel: Ein gemeinsamer CIP-Skid für zwei Behälter
Die Werkstests eines Projekts zeigen korrekte Sequenzen für zwei Ziele. Am Standort steht ein Behälter weiter vom Skid entfernt und besitzt einen anderen Rücklauf. Während eines Übergangs beobachtet das Inbetriebnahmeteam zeitweilige Überflutung. Würde dies lediglich als Einstellproblem behandelt, blieben mögliche Folgen für Verdünnung, Kontaktbedingungen und Zuverlässigkeit der Rücklaufmessung unberücksichtigt. Der erfolgreiche FAT beantwortet diese Frage nicht.
Das Team dokumentiert zuerst tatsächliche Konfiguration und Abweichung und untersucht anschließend Rücklaufdesign und Instrumentierung. Nach der genehmigten Korrektur wiederholt es betroffene hydraulische und sequenzielle Prüfungen. Gleichzeitig bewertet es, ob frühere Abdeckungs- und Entwicklungsnachweise noch gültig sind. Die anschließende Reinigungsvalidierung berücksichtigt relevante Verschmutzungen und Haltezeiten. Die Abnahme basiert auf der korrigierten Nachweiskette, nicht allein auf dem ursprünglichen Werksbericht.
Angemessene Nachweise auswählen, ohne Lücken zu lassen
| Situation | Entscheidung | Erforderliche Begründung |
|---|---|---|
| Unveränderte Softwarefunktion bereits im FAT geprüft | Kontrollierte Wiederverwendung erwägen | Version, Konfiguration und Prüfqualität bleiben anwendbar |
| Feldgerät oder Rohrleitung nach FAT verändert | Betroffene Integration erneut prüfen | Folgewirkungen und Grenzen bestimmen |
| Neues Produkt auf qualifiziertem CIP-Kreislauf | Reinigungsstrategie und Validierungsfolgen bewerten | Equipmentqualifizierung bildet neue Verschmutzung nicht ab |
| Zusätzlicher Abzweig innerhalb der SIP-Grenze | Thermisches Design und Sterilisation neu bewerten | Luftentfernung, Kondensat und kalte Stellen berücksichtigen |
Nur mit einer verständlichen Übergabe freigeben
Zur Übergabe gehört auch die praktische Auffindbarkeit der Informationen. Das Betriebsteam muss erkennen können, welcher Zeichnungsstand gültig ist, wo freigegebene Rezepte liegen und wer eine nicht vorgesehene Konfiguration bewerten darf. Verweise auf Lieferantenarchive sind nur hilfreich, wenn die benötigten Unterlagen verfügbar und eindeutig zugeordnet sind. Prüfen Sie deshalb einen konkreten Anwendungsfall: Kann ein Reviewer aus einem Zyklusbericht die verwendete Rezeptversion, den gereinigten Kreislauf und die relevanten Messwerte rekonstruieren? Kann die Instandhaltung nach einem Komponententausch feststellen, welche genehmigten Merkmale erhalten bleiben müssen? Solche Fragen verbinden das abgeschlossene Projekt mit einem kontrollierten späteren Betrieb, ohne zusätzliche pauschale Prüfpflichten zu erfinden.
- Genehmigte und rückverfolgbare Nachweise für kritische Anforderungen bestätigen.
- Abweichungen schließen oder begründete Bedingungen und Einschränkungen im Qualitätssystem dokumentieren.
- Betriebs-, Reinigungs-, Wartungs- und Kalibrierverfahren für die geprüfte Konfiguration genehmigen.
- Ausführende, prüfende und instandhaltende Personen für ihre Aufgaben schulen.
- Verantwortung für Rezepte, Zugriffsverwaltung und Änderungsfreigabe festlegen.
- Routineüberwachung, Auslöser für Überprüfungen und Grundlage der Requalifizierung bestimmen.
- Reinigungs- und Sterilisationsvalidierung ausdrücklich von der Equipmentfreigabe unterscheiden.
Häufige Fehler sind nicht dokumentierte Lieferantendemonstrationen, die pauschale Abdeckung aller Abzweige durch einen Versuch, die Verwechslung von Auslegungsdruck und validierten Prozessbedingungen sowie geschlossene Abweichungen ohne Betrachtung früherer Ergebnisse. Auch ein formal vollständiges Dossier bleibt schwach, wenn es den zulässigen Einsatz nicht erklärt. Benennen Sie daher freigegebenen Umfang, Betriebsbedingungen und verbleibende Einschränkungen eindeutig und so, dass das spätere Betriebsteam sie anwenden kann.
Welche Entscheidung das Qualifizierungspaket ermöglichen muss
Das Paket muss eine konkrete Aussage tragen: Diese Konfiguration eignet sich innerhalb dieser begründeten Bedingungen und Kontrollen für diesen Einsatz. Außerdem muss erkennbar sein, wann die Aussage neu zu prüfen ist. Änderungen an Equipment, Rezepten, Versorgung, Produkten oder steriler Grenze können unterschiedliche Nachweise betreffen. Verknüpfen Sie diese Auslöser mit dem pharmazeutischen Qualitätssystem und berücksichtigen Sie auch die Gesamtwirkung mehrerer kleiner Änderungen.
Die Übersicht Pharma Engineering ordnet das Projekt in den übergeordneten technischen Zusammenhang ein. Pharmaceutical Water & WFI Systems behandelt Versorgungsschnittstellen; Aseptic Fill-Finish & Barrier Systems unterstützt die Betrachtung nachgeschalteter steriler Grenzen. Die Qualifizierungsentscheidung bleibt an die tatsächlich realisierte Reinigungs- und Sterilisationsanwendung gebunden.
Verwandte Entscheidungen
- URS für Reinigungs-, CIP- und SIP-Systeme: Anforderungen, Aufbau und Checkliste
- Reinigungsvalidierung in der GMP-Produktion: Wischprobe, Spülprobe, Wiederfindung und Akzeptanzstrategie
Alle Entscheidungsbereiche finden Sie unter Cleaning, CIP & SIP Systems.
