Eine URS, die lediglich einen „GMP-Autoklaven mit validierbarem Zyklus“ verlangt, überträgt wichtige Prozessentscheidungen auf den Lieferanten. Das Problem wird sichtbar, wenn die spezifikationsgerechte Kammer die tatsächliche Beladung nicht aufnimmt, die Aufzeichnung nur die Kammertemperatur beschreibt oder der Tunnel seinen Sollwert erreicht, ohne eine belastbare Endotoxinreduktion nachzuweisen. Die User Requirements Specification muss deshalb den Verwendungszweck mit Risiken, technischen Entscheidungen und überprüfbaren Nachweisen verbinden.
Dieser Beitrag beschreibt ein Vorgehen für Dampfsterilisatoren, Heißluftöfen und Depyrogenisationstunnel. Die Planungsempfehlungen von GuideGxP sind gemeinsam mit Engineering, Produktion, Mikrobiologie, Automatisierung und Qualität an das Projekt anzupassen. Temperaturen, Zeiten, Letalitätswerte und die Anzahl der Messstellen werden nicht als allgemeingültige Vorgaben behandelt. Entscheidend ist, welche Leistung für welches Material unter welchen Bedingungen nachgewiesen werden muss.
1. Das geforderte Ergebnis vor der Anlage definieren
Die erste Anforderung beschreibt das Behandlungsgut und das nachzuweisende Ergebnis. Bei Komponenten für einen aseptischen Prozess sind kritische Oberflächen, Verpackung, Schutz nach der Behandlung und Übergabe an den nächsten Prozessschritt zu bestimmen. Bei einem Produkt im endgültigen Behältnis kommen Zusammensetzung, Füllvolumen, Wärmeempfindlichkeit, Behältnisintegrität sowie Auswirkungen von Erwärmung und Abkühlung hinzu.
Für die Depyrogenisation von Vials müssen Material, Formate, Ausgangszustand und Endotoxinkontrolle festgelegt werden. Sterilisation und Depyrogenisation sind unterschiedliche Ziele. Sterilisation betrifft die Inaktivierung von Mikroorganismen durch einen geeigneten, entwickelten und validierten Prozess. Depyrogenisation betrifft die Entfernung oder Inaktivierung von Pyrogenen und verlangt einen spezifischen Nachweis, wenn die Reduktion bakterieller Endotoxine das Ziel ist.
Ein biologischer Indikator misst keine Endotoxinentfernung. Ein Endotoxintest weist für sich genommen keine Sterilität nach. Auch Desinfektion, Sanitisierung und Biodekontamination haben andere Zielsetzungen und Anwendungsbedingungen. Die URS muss verhindern, dass eine Funktion zur Desinfektion als Antwort auf eine Anforderung zur Sterilisation angeboten wird. Begriffe sollten im Projekt eindeutig verwendet werden.
SIP fest installierter Systeme und die Biodekontamination von Barrieresystemen sind als Schnittstellen zu behandeln. Sie erweitern den Umfang eines Sterilisatorprojekts nicht automatisch. Dokumentieren Sie, welche Anlage welche Aufgabe übernimmt, wo die Verantwortung wechselt und welcher Nachweis für die Übergabe erforderlich ist. Dadurch werden Lücken zwischen getrennten Projektpaketen früh erkennbar.
2. Die Beladung als kontrollierte Spezifikation behandeln
Die Beladung ist kein ergänzender Hinweis zum Nennvolumen der Kammer. Ein Beladungsregister sollte Familien, Geometrien, Masse, Werkstoffe, Verpackung, Ausrichtung, Packungsdichte und Anzahl enthalten. Bei Hohlkörpern und komplexen Baugruppen ist zu beschreiben, wo Luft oder Kondensat verbleiben können. Bei Flüssigkeiten sind Behältnis, Verschluss, Füllmenge und relevante Ausgangsbedingungen festzuhalten.
Für Vials im Tunnel gehören Glas, Abmessungen und Verteilung auf dem Transportband dazu. Mindestbeladung, Höchstbeladung und relevante Zwischenzustände sind getrennt zu betrachten. Die größte Stückzahl ist nicht automatisch der schwierigste Fall. Eine kleinere Beladung kann die Dampfverteilung, Luftzirkulation oder Regelungsdynamik verändern und deshalb eigene Untersuchungen erfordern.
Gemischte Beladungen benötigen eine technische Begründung für die Vereinbarkeit ihrer Behandlungsanforderungen. Ein organisatorischer Vorteil in der Produktion reicht hierfür nicht aus. Die Begründung muss zeigen, welche Eigenschaften vergleichbar sind und welche Unterschiede untersucht werden müssen. Das gilt insbesondere, wenn Verpackung, thermische Masse oder Zugang des Behandlungsmediums voneinander abweichen.
Fordern Sie Zeichnungen oder Fotos zulässiger Konfigurationen, eine Kennzeichnung der Wagen und Regeln für neue Komponenten. Eine Beladungsfamilie muss auf nachweisbarer Vergleichbarkeit beruhen. Legen Sie fest, wer eine Erweiterung genehmigt, welche Angaben dafür erforderlich sind und wann zusätzliche Entwicklung, Risikobewertung oder Validierung notwendig wird. Die Entscheidung darf nicht allein vom Produktnamen abhängen.
3. Die Kapazität aus dem tatsächlichen Ablauf ableiten
Zur nutzbaren Kapazität gehören Beladen, Konditionieren, Aufheizen, Exposition, gegebenenfalls Trocknen, Abkühlen und Entladen. Hinzu kommen Wartung und organisatorische Verfügbarkeit. Eine Angabe in Zyklen pro Tag enthält Annahmen, die offengelegt werden müssen. Verlangen Sie eine Bilanz für repräsentative Beladungen und definierte Medienbedingungen, einschließlich der Unterscheidung zwischen Garantie und vorläufiger Schätzung.
Berücksichtigen Sie externe Engpässe: Verfügbarkeit gereinigter Materialien, zulässige Wartezeiten, Reservewagen, Bewegungsflächen, Personalwege und die Kapazität des nachfolgenden Schritts. Bei einem kontinuierlichen Tunnel entsteht die Leistung aus dem Zusammenspiel von Vialformat, Bandbelegung, qualifizierter Geschwindigkeit und Stillstandsmanagement. Eine höhere Geschwindigkeit zur Aufholung eines Rückstands kann die validierte Exposition verändern.
Für eine Durchreicheanlage sind Belade- und Entladeseite, Türverriegelungen, Materialstatus und Wartungszugang ausdrücklich zu spezifizieren. Fragen Sie, wie eine unzulässige Öffnung zur reineren Seite nach einem abgebrochenen Zyklus verhindert wird. Ebenso müssen Kennzeichnung des Materials und Freigabe zur Wiederinbetriebnahme beschrieben werden. Diese Funktionen sollen prüfbar sein und nicht nur im Handbuch erwähnt werden.
Eine Kapazitätsreserve ist nur dann nützlich, wenn sie mit zulässigen Beladungen genutzt werden kann. Zusätzlicher Kammerraum kann bei eingeschränktem Zugang des Mediums oder ungeeigneten Wagen wertlos sein. Prüfen Sie deshalb die vorgesehene Produktionsfolge mit tatsächlichen Formaten und Ressourcen. Damit wird die Kapazitätsanforderung zu einer überprüfbaren Prozessleistung statt zu einer reinen Größenangabe.
4. Die drei thermischen Strategien unterscheiden
Bei feuchter Hitze umfasst die Spezifikation Luftentfernung, Kontakt des Heizmediums mit den relevanten Oberflächen, Kondensatableitung, Verteilung und Wärmeeindringung. Flüssigkeiten können wegen ihrer inneren thermischen Antwort und der Behältnissicherung andere Strategien benötigen als poröse Güter. Die Anzahl der Vakuumpulse ist aus Entwicklung und Nachweisen abzuleiten, nicht aus einer allgemeinen Vorliebe.
Bei trockener Hitze sind Luftzirkulation, Temperaturverteilung, Anordnung der Gegenstände und Erwärmung langsam reagierender Stellen besonders relevant. Fordern Sie zugängliche Filter und Ventilatoren, eine geeignete Berücksichtigung thermischer Ausdehnung, Schutz während der Abkühlung und Materialverträglichkeit. Ein für Sterilisation konstruierter Ofen ist nicht automatisch für ein bestimmtes Depyrogenisationsziel geeignet.
Beim Tunnel ist der nachzuweisende Zusammenhang zwischen thermischem Profil, Bandgeschwindigkeit, Luftführung und Verhalten der Behältnisse zu definieren. Die Lufttemperatur in der Heizzone ersetzt nicht das Profil am Behältnis. Der Validierungsplan muss Endotoxin-Challenge, Wiederfindung und analytische Eignung berücksichtigen. Standort, Labor und Lieferant benötigen hierfür abgestimmte Verantwortlichkeiten.
Die URS sollte keine allgemeine Zeit-Temperatur-Kombination als Ersatz für diese Strategie verwenden. Ein Sollwert beschreibt eine Regelungsgröße, aber noch nicht die Behandlung jeder relevanten Stelle. Fordern Sie deshalb eine nachvollziehbare Verbindung zwischen Einstellung, physikalischer Exposition und angestrebtem Ergebnis. Die konkreten Akzeptanzwerte entstehen aus Prozesswissen und den anwendbaren Anforderungen.
5. Medien und Verantwortungsgrenzen spezifizieren
Dokumentieren Sie benötigte und verfügbare Bedingungen für Dampf, Wasser, Luft, Elektrizität, Vakuum, Abflüsse und Abluft. Für jede Schnittstelle sind Übergabepunkt, Betriebsbereich, Spitzenbedarf, Verhalten außerhalb des Bereichs und Prüfverantwortung festzulegen. Fragen Sie beispielsweise, was bei gleichzeitiger Dampfanfrage zweier Sterilisatoren oder bei sinkendem Versorgungsdruck während der Konditionierung geschieht.
Die Qualifizierung von Reindampf als kritischem Medium weist nicht die Leistung des Autoklavenzyklus nach. Ein erfolgreicher Zyklus ersetzt umgekehrt keine Medienkontrolle. Die URS muss Dampfanforderungen mit der konkreten Anwendung verbinden und Probenahmestelle sowie Repräsentativität der Untersuchung klären. Erzeugung und Verteilung werden im Bereich Critical Utilities Systems behandelt.
Berücksichtigen Sie Wartungszugang, sichere Trennung von Energiequellen, Komponententausch und Wiederherstellung der Konfiguration. Ein unzugängliches Ventil kann eine Routinearbeit in eine Demontage verwandeln, die den qualifizierten Zustand beeinflusst. Das ist eine Frage der Konstruktion und Verfügbarkeit, nicht nur der späteren Dokumentation. Solche Folgen sollten vor der Bestellung sichtbar werden.
Klare Grenzen verhindern außerdem doppelte Annahmen. Wenn der Lieferant die Medienprüfung beim Standort sieht und der Standort sie im Maschinenpaket erwartet, fehlt möglicherweise der Nachweis vor den Zyklusstudien. Jede relevante Schnittstelle benötigt deshalb einen benannten Verantwortlichen und ein definiertes Dokument oder Prüfergebnis, das ihre Einsatzbereitschaft bestätigt.
6. Risiken in überprüfbare Anforderungen übersetzen
Die folgende Matrix ist ein eigenständiges Strukturbeispiel und keine allgemeingültige Kriterienliste. Zahlenwerte müssen vor den Prüfungen in genehmigten Projektdokumenten festgelegt werden. Jede Anforderung sollte eine stabile Kennung, einen Verantwortlichen und Regeln für Änderungen haben. Die Kritikalität ergibt sich aus dem Prozessrisiko und der Bedeutung für die spätere Entscheidung.
| Anforderung | Begründung | Kritikalität | Akzeptanzkriterium | Verifizierung | Nachweis |
|---|---|---|---|---|---|
| Definierte Beladung beherrschen | Medienzugang und Wiederholbarkeit sichern | Aus Prozess-QRM | Genehmigte Konfiguration und Leistung erfüllt | Designprüfung und Studien mit Beladung | Zeichnung, Protokoll, Rohdaten |
| Ungültige kritische Messung erkennen | Unbegründete Akzeptanz verhindern | Kritisch bei Freigaberelevanz | Reaktion und Materialstatus entsprechen der Spezifikation | Gezielter Fehlertest | Ereignisse, Trends, Prüfbericht |
| Entladeseite schützen | Unzulässigen Transfer vermeiden | Aus Barrierefunktion | Genehmigte Freigabebedingungen und Verriegelungen erfüllt | Sequenz- und Unterbrechungstest | Aufzeichnung der Türzustände |
| Rezeptversion zuordnen | Ausgeführten Zyklus rekonstruieren | GMP-relevant | Datensatz enthält tatsächlich verwendete Version | Kontrollierte Änderung und Datensatzprüfung | Audit Trail und Zyklusbericht |
| Depyrogenisation nachweisen | Endotoxinrisiko kontrollieren | Für Verwendungszweck kritisch | Anwendbare Prozess- und Wiederfindungskriterien erfüllt | Thermische Studie und begründete Challenge | Probenzuordnung und Analysedaten |
Vermeiden Sie Anforderungen, die mehrere unabhängige Leistungen in einem Satz zusammenfassen. Wenn eine Prüfung nur einen Teil erfüllt, wird das Ergebnis mehrdeutig. Trennen Sie Funktion, Leistung, Aufzeichnung und Verantwortung und erhalten Sie ihre Verbindung in der Rückverfolgbarkeitsmatrix. Ein Prüfer sollte erkennen können, welche Aussage durch welches Ergebnis gestützt wird.
7. Nutzbare Nachweise aus der Automatisierung verlangen
Die Spezifikation muss kritische Parameter, Toleranzen, erforderliche Erfassung, Datenursprung und Akzeptanzlogik benennen. Unterscheiden Sie den Sensor zur Regelung von der Messung, die eine unzulässige Bedingung erkennen soll. Gemeinsame Abhängigkeiten sind zu bewerten: Zwei angezeigte Werte können aus derselben Messkette stammen und damit keine echte Unabhängigkeit bieten.
Definieren Sie Rezeptversionierung, Berechtigungen, Änderungsgründe, Alarme, Abbruch, Wiederanlauf und Verhalten nach Ausfall von Strom oder Kommunikation. Der Datensatz muss Zyklus, Beladung, Rezept, Phasen, Messungen, Abweichungen und Entscheidung rekonstruierbar machen. Eine Unterschrift auf einem PDF behebt nicht das Fehlen der für die Bewertung erforderlichen Originaldaten.
Für elektronische Systeme sind Aufbewahrung, Wiederauffindbarkeit, Sicherung und Wiederherstellungsprüfungen festzulegen. Stimmen Sie diese Anforderungen mit Automation & Digital Systems ab. Der Lieferant muss erklären, was sein System bereitstellt und was von Infrastruktur, Verfahren oder Standortkonfiguration abhängt. Diese Abhängigkeiten gehören in die Projektplanung.
8. Qualifizierung und Validierung getrennt planen
[GUIDANCE] EU GMP Annex 15 verbindet die Qualifizierung mit dem vorgesehenen Einsatz und den Entscheidungen im Lebenszyklus. DQ, FAT, SAT, Inbetriebnahme und IQ/OQ/PQ brauchen definierte Ziele und eine begründete Nutzung ihrer Ergebnisse. Ein dokumentierter FAT kann spätere Aktivitäten unterstützen, weist aber keine Standortbedingungen nach, die beim Hersteller nicht vorhanden waren.
[GUIDANCE] Annex 1 unterscheidet physikalische Charakterisierung, Beladungskonfigurationen und gegebenenfalls biologische Indikatoren. Die URS muss die Erhebung dieser Nachweise ermöglichen. Die Maschinenabnahme ersetzt jedoch keine Validierung des konkreten Prozesses. Vereinbaren Sie Sondendurchführungen, Zubehör, Zeitsynchronisierung, verfügbare Aufzeichnungen und den Umgang mit Abweichungen.
[TECHNICAL STANDARD] ISO 17665:2024 betrifft primär die Sterilisation von Medizinprodukten mit feuchter Hitze. Ihre Anwendung auf ein pharmazeutisches Projekt benötigt eine Prüfung des relevanten Geltungsbereichs. Sie ersetzt weder GMP noch Zulassungsdossier oder Produktanforderungen. Eine Liste von Normen im Vertrag ist ohne Ausgabe, Anwendungsumfang und Verifizierungsmethode unzureichend.
9. Beispiel: Eine zukünftige Beladung verändert die Auswahl
Ein beispielhafter Standort beschafft einen Autoklaven für verpackte Metallteile und möchte später Lösungsbehälter behandeln. Wenn die URS nur Kammervolumen und Höchsttemperatur nennt, kann das Angebot ausreichend erscheinen. Die zusätzliche Beladung verändert jedoch thermische Trägheit, Kühlbedarf und gegebenenfalls Druckanforderungen an das Behältnis. Ein weiteres Rezept allein löst diese Unterschiede nicht.
Trennen Sie die anfängliche Konfiguration von der zukünftigen Erweiterung. Beschreiben Sie jeweils Beladung, Leistung, Zubehör und Prüfungen. Fragen Sie, welche Optionen die Erweiterung ermöglichen, welche Hardwareänderungen trotzdem nötig bleiben und welche Qualifizierungs- oder Validierungsaktivitäten erneut zu bewerten sind. So werden Vorbereitungsaufwand und späterer Retrofit vergleichbar.
10. Dokumentation und Wissenstransfer festlegen
Das Dokumentationspaket muss am Standort nutzbar sein: aktuelle Schemata, Instrumentenlisten, kritische Komponenten, Softwareversionen, genehmigte Rezepte und Wartungsanweisungen. Fordern Sie lesbare, zugängliche Formate für den erforderlichen Aufbewahrungszeitraum. Ein proprietäres Archiv mit einer nicht eingeplanten Lizenz kann die spätere Bewertung erschweren, wenn das ursprüngliche System nicht mehr verfügbar ist.
Definieren Sie, wie der Lieferant Obsoleszenz, Ersatzkomponenten und Softwareänderungen kommuniziert. Die Verfügbarkeit eines Ersatzteils beweist keine funktionale Gleichwertigkeit. Ein Sensor mit anderer Dynamik oder eine geänderte Dichtung können unterschiedliche Auswirkungen haben. Die URS soll die Informationen verlangen, die eine angemessene Bewertung ermöglichen, ohne pauschal jede Wartung einer vollständigen Neuqualifizierung gleichzusetzen.
Planen Sie Schulungen anhand konkreter Situationen: Alarm während der Exposition, verlorene Aufzeichnung, falsche Beladung oder gewünschte Rezeptänderung. Mitarbeitende müssen zulässige Grenzen erkennen, Nachweise sichern und den vorgesehenen Bewertungsweg einleiten können. Eine reine Bedienvorführung zeigt diese Fähigkeiten nur eingeschränkt und sollte durch entsprechende Szenarien ergänzt werden.
11. Checkliste zur Genehmigung der URS
- Verwendungszweck sowie mikrobiologisches und endotoxinbezogenes Ziel sind getrennt beschrieben.
- Beladungsfamilien besitzen definierte Konfigurationen, Grenzen und Verantwortliche.
- Die Kapazität berücksichtigt den vollständigen Ablauf und die Medienbedingungen.
- Barriere, Abkühlung und Transfer haben klare Schnittstellen.
- Jede kritische Anforderung hat ein messbares Kriterium und einen vorgesehenen Nachweis.
- Rezepte, Alarme, Daten und Zustände nach Unterbrechungen sind prüfbar.
- FAT, Standortprüfungen und Validierung haben abgestimmte Verantwortlichkeiten.
- Ausschlüsse und Voraussetzungen zukünftiger Erweiterungen sind bewertet.
Ein wichtiges Warnsignal ist eine URS mit vielen Komponenten, aber wenigen klaren Akzeptanzentscheidungen. Gehen Sie vor der Genehmigung einen fehlgeschlagenen Zyklus und eine neue Beladung gedanklich durch. Wenn Datenbedarf, Entscheidungskompetenz oder Wiederinbetriebnahme unklar bleiben, fehlen Anforderungen. Eine gute URS macht den Prozess nachweisbar und seine langfristige Beherrschung praktikabel.
Quellen und weiterführende Bereiche
Quellenprüfung am 23. September 2026: Europäische Kommission, EudraLex Volume 4, Annex 1 und Annex 15; ISO 17665:2024, Ausgabe und Geltungsbereich. GMP-Verweise sind nach Rechtsraum, Produkt und Zulassung zu bewerten. Die eigenen Planungschecklisten sind [GUIDEGXP RECOMMENDATION] und [GEP].
Weitere Inhalte finden Sie unter Sterilization & Depyrogenation Systems sowie zu den Schnittstellen Cleaning, CIP & SIP und Aseptic Fill-Finish & Barrier Systems.
