Vorausschauende Instandhaltung in der GMP-Pharmaproduktion (Annex 1 / GAMP 5 / Part 11)

In der Medizinproduktefertigung ist die erste Hürde, die ein Überwachungswerkzeug nehmen muss, die OT-Sicherheit. Im GMP-Pharmawerk folgt unmittelbar eine zweite Hürde: Datenintegrität und der validierte Zustand. Ein Werkzeug, das Aufzeichnungen erzeugt, denen Ihre Qualitätssicherung nicht vertrauen kann — oder das ein validiertes computergestütztes System still stört — ist eine Belastung, kein Gewinn, ganz gleich, wie genau seine Vorhersagen sind.

In diesem Beitrag geht es darum, wie vorausschauende Instandhaltung in eine GMP-Umgebung passt: wo sie EU GMP Annex 1 berührt, wie sie unter GAMP 5 / CSV behandelt wird und was 21 CFR Part 11 und ALCOA+ tatsächlich von ihr verlangen. (Zur OT-Sicherheit und IEC 62443 siehe unseren Beitrag zu Medizinprodukten — vieles davon gilt auch hier.)

Anlagenzuverlässigkeit ist Kontaminationskontrolle

Die Revision 2022 von EU GMP Annex 1 stellte eine Kontaminationskontrollstrategie (CCS) in den Mittelpunkt der sterilen Fertigung. Man liest das leicht als reines Reinraum- und Kleidungsthema und übersieht den Anlagenaspekt — doch die Versorgungssysteme und Maschinen, die den Prozess in Spezifikation halten, sind Teil der CCS:

HLK- und Luftaufbereitung, die Druckkaskaden und Partikelgrenzwerte aufrechterhalten
Druckluft-, WFI- und Reinmedien-Pumpen
Autoklaven, Lyophilisatoren, Isolatoren und Abfülllinien-Antriebe

Ein ungeplanter Ausfall eines dieser Systeme ist nicht nur Ausfallzeit — er ist ein potenzielles Kontaminations- oder Produktqualitätsereignis. Eine Zustandsüberwachung, die Lagerverschleiß, Motordegradation oder einen driftenden Kompressor erkennt, bevor er ausfällt, ist im Sinne von Annex 1 eine Kontrolle, die ein Kontaminationsrisiko senkt. Das ist ein stärkeres und ehrlicheres Argument gegenüber einer Pharma-Qualitätssicherung als „Verfügbarkeit“.

GAMP 5: wo ein PdM-Werkzeug als Software einzuordnen ist

GAMP 5 (2. Auflage) beschreibt die Validierung computergestützter Systeme als risikobasiert und angemessen zum Einfluss eines Systems auf Produktqualität und Patientensicherheit. Eine Plattform zur Zustandsüberwachung ist im Sinne von GAMP eine Software, die der Kunde für seine beabsichtigte Verwendung und Risikoklassifizierung validiert — typischerweise ein konfiguriertes Produkt. Zwei Dinge entscheiden, ob diese Validierung mühsam oder routinemäßig ist:

Der Anbieter liefert die Dokumentation, die der CSV-Aufwand verbraucht — Architektur, Datenflüsse, Konfigurationsspezifikationen und eine klare Aussage darüber, was die Software tut und was nicht. Eine Validierungsleitung sollte das System nicht rückentwickeln müssen.
Die Bereitstellung ist versioniert und reproduzierbar. Ein validierter Zustand muss genau wissen, was läuft. Eine signierte, versionierte On-Premise-Bereitstellung unterstützt das; eine sich selbst aktualisierende Cloud-Blackbox arbeitet dagegen.

Um die Grenze genau zu ziehen: Das Werkzeug wird nicht im Werk „validiert“ und kommt compliant an. Die Validierung führen Sie durch, bezogen auf Ihre beabsichtigte Verwendung, unter Ihrem Qualitätssystem. Was ein guter Anbieter liefert, sind validierungsfähige Werkzeuge — ein CSV-/GAMP-5-Dokumentationspaket, das Ihre Validierung beschleunigt, kein Zertifikat, das sie ersetzt.

21 CFR Part 11 und ALCOA+: Aufzeichnungen, die Ihre QS verteidigen kann

Werden Instandhaltungsentscheidungen oder deren Nachweise zu regulierten Aufzeichnungen, fallen sie unter 21 CFR Part 11 (und EU GMP Annex 11). Die Grundsätze, die darüber entscheiden, ob eine Aufzeichnung verteidigungsfähig ist, werden meist als ALCOA+ zusammengefasst: Attributable (zuordenbar), Legible (lesbar), Contemporaneous (zeitnah), Original, Accurate (richtig) — plus Complete, Consistent, Enduring und Available.

Ein Werkzeug zur Zustandsüberwachung verdient sich seinen Platz in dieser Umgebung, indem es für diese Eigenschaften gebaut ist, nicht nachträglich daran angepasst:

| Anforderung | Was sie von einem PdM-Werkzeug verlangt | |---|---| | Zuordenbar | Jede Aktion und Bestätigung einem authentifizierten Nutzer zugeordnet (Plant-Identity-Provider, keine geteilten Konten) | | Zeitnah | Ereignisse und Alarme zum Zeitpunkt des Geschehens zeitgestempelt, in einem Append-only-Audit-Trail | | Original / Richtig | Sowohl die Rohtelemetrie als auch die Modellausgabe werden aufbewahrt, nicht still überschrieben | | Part-11-E-Signaturen | Freigaben von Instandhaltungsmaßnahmen mit Part-11-fähigen elektronischen Signaturen erfasst | | Erklärbar | „Das Modell hat es gesagt“ ist keine verteidigungsfähige Grundlage für eine GMP-Maßnahme — Merkmalsattribution pro Sensor liefert jeder Vorhersage eine dokumentierte Begründung |

Die Formulierung in der letzten Spalte ist bewusst gewählt. Prevly stellt Part-11-fähige E-Signaturen und einen ALCOA+-Datenintegritäts-Audit-Trail als Werkzeuge bereit; ob Ihre Verwendung davon Part-11-konform ist, wird durch Ihre Validierung festgestellt, nicht durch uns.

Was „validierungsfähig“ tatsächlich bedeutet — und was nicht

Es lohnt sich, die Grenze klar zu benennen, weil manche Anbieter sie verwischen:

✅ Ein GAMP-5-/CSV-Dokumentationspaket, das Sie in Ihre Validierung einbringen können
✅ EU-GMP-Annex-1-ausgerichtete Kontrollen (schreibgeschützter OT-Zugriff, kein erforderlicher ausgehender Datenverkehr, reproduzierbare Bereitstellung)
✅ Part-11-fähige elektronische Signaturen und ein ALCOA+-Audit-Trail
❌ Keine Aussage, dass Prevly „GMP-konform“, „validiert“ oder „Part-11-zertifiziert“ sei — Software kann das nicht gewähren; Ihr Qualitätssystem tut es

Genau diese Ehrlichkeit ist der Punkt. Ein Werkzeug, das seinen regulatorischen Status überzeichnet, ist der schnellste Weg, eine QS-Prüfung nicht zu bestehen. Ein Werkzeug, das genau sagt, was es ist — und so aufgebaut ist, dass seine Einführung einen bereits validierten Zustand nicht gefährdet —, ist dasjenige, das freigegeben wird.

Die Bewertungs-Checkliste für ein GMP-Werk

Gibt es ein GAMP-5-/CSV-Dokumentationspaket, das wir unserer Validierungsleitung übergeben können?
Ist der OT-Zugriff strikt schreibgeschützt — im Code, nicht nur in der Konfiguration? (Kein Schreibpfad in den Prozess.)
Kann es On-Premise ohne erforderlichen ausgehenden Datenverkehr laufen, damit Datenfluss und -residenz leicht zu dokumentieren sind?
Bietet es Part-11-fähige E-Signaturen und einen ALCOA+-Audit-Trail — append-only, zuordenbar, zeitgestempelt?
Sind Vorhersagen erklärbar, damit eine Instandhaltungsmaßnahme eine dokumentierte Begründung hat, die eine Qualitätssicherung akzeptiert?
Unterstützt der Anbieter unsere Validierung mit Architektur- und Datenflussdokumentation — und vermeidet es, in unserem Namen Compliance zu behaupten?

Erhalten Sie auf diese Fragen klare Antworten, wird das Gespräch über den ROI vorausschauender Instandhaltung — das, mit dem die meisten Anbieter eröffnen — zum einfachen Teil, der danach folgt.

Prevly ist eine On-Premise-Plattform für vorausschauende Instandhaltung, gebaut für die regulierte Fertigung: schreibgeschütztes OPC-UA, On-Site-ML, erklärbare Vorhersagen sowie ein GAMP-5-/CSV-Dokumentationspaket mit Part-11-fähigen E-Signaturen und einem ALCOA+-Audit-Trail — validierungsfähige Werkzeuge für Ihre GMP-Umgebung, keine Compliance-Zusage. Architektur ansehen oder technische Vorführung anfragen.

Weiterführende Artikel: Vorausschauende Instandhaltung für die Medizinproduktefertigung (IEC 62443) · On-Premise vs. Cloud PdM · Schreibgeschützte OPC-UA-Überwachung