Datenintegrität der Kennzeichnung: IQ/OQ, 21 CFR Part 11 und Audit Trail an der Beschriftungs- und Verifikationsstation

In den dokumentierten Projekten aus der Medizin- und Pharmaproduktion fällt die Frage nach der Datenintegrität nicht am Ende, sondern im ersten Gespräch. Ein Maschinenbauer will vor dem Angebot wissen, ob ein Folien-Coder IQ/OQ-fähig ist. Ein Hersteller von Nasensprays verlangt für die Klarschriftprüfung eine Lösung, die den Anforderungen von 21 CFR Part 11 genügt. Ein Hersteller, bei dem die Seriennummer bislang von Hand in den Code gelangt, sucht die Verknüpfung mit seinem System. Und ein kleiner Implantathersteller muss die Validierungsregeln eines nationalen Implantateregisters erfüllen. Allen gemeinsam ist, dass die Kennzeichnung nicht nur ein Aufdruck ist, sondern ein Datensatz in einem regulierten Umfeld. Dieser Beitrag beschreibt diesen Datensatz, den Beitrag der einzelnen Geräte und die Grenze, an der die Gerätefunktion endet und das validierte System beginnt. Was GMP grundsätzlich verlangt und wie ein Reinraum die Station verändert, beschreibt die Übersichtsseite dieser Branche.

Wichtige Punkte im Überblick

Vor der Gerätewahl steht fest, was je Einheit vorliegen soll, in den dokumentierten Anforderungen sieben Felder: Kennung der Einheit, Charge, aufgebrachter Inhalt, Verifikationsergebnis, Bild, Zeitstempel und Identität des erzeugenden Systems mit Programmstand, denn diese Liste bestimmt die Schnittstellen und gehört in die URS.
Qualifiziert wird die Station, nicht das Gerät: IQ und OQ führt der Betreiber oder sein Integrator am installierten System durch, das Gerät liefert Typ, Firmware- und Softwarestand, Schnittstellenbeschreibung, Parameterliste und Funktionsbeschreibung, und in einem dokumentierten Fall veranschlagte die Qualitätsabteilung für die komplette Zelle etwa ein halbes Jahr.
Eine Seriennummer aus einem globalen Zähler wird nur an einer Stelle geführt, im System, sonst entstehen nach einem Neustart doppelte Nummern, und die Rücklesung schreibt die Nummer in denselben Eintrag zurück, damit die Kette aus Zähler, Beschriftung und Lesung geschlossen ist.
Audit Trail und Benutzerverwaltung mit Rollen, Passwörtern und elektronischer Unterschrift sind Funktionen des Systems, das den Datensatz entgegennimmt, und die Anforderungen aus 21 CFR Part 11 richten sich an dieses empfangende, validierte System: Laser, Drucker, Kamera und Codeleser erzeugen und übergeben die Daten, und Änderungen an Geräteparametern werden über das System ausgelöst oder dort protokolliert.
Der dokumentierte Weg für ein Werk ohne MES verläuft in Stufen, zuerst der Inhalt aus einer Quelle statt aus einer Eingabe an der Maschine, dann die Rücklesung je Einheit mit Ergebnis und Bild an dieselbe Quelle, erst danach ein Batch-Record-System mit Audit Trail, denn wer mit der Software beginnt, hat ein validiertes System, das von Hand gefüttert wird.

Die Kennzeichnung ist ein Datensatz: sieben Felder, bevor ein Gerät gewählt wird

Wer eine Beschriftungs- oder Verifikationsstation für ein Medizinprodukt oder ein Arzneimittel spezifiziert, legt zuerst fest, was am Ende je Einheit vorliegen soll. In den dokumentierten Anforderungen sind es sieben Felder: die Kennung der Einheit (Seriennummer oder Zählerstand), die Charge oder die Chargen, aus denen sie stammt, der aufgebrachte Inhalt, das Ergebnis der Verifikation, das Bild, unter dem entschieden wurde, der Zeitstempel und die Identität des Systems, das den Eintrag erzeugt hat, mit Gerät und Programmstand.

Diese Liste kommt vor der Gerätewahl, weil sie die Schnittstellen bestimmt. Ein Laser, der den Inhalt nur aus einer lokalen Datei bezieht, verknüpft das Feld „Inhalt" nicht mit dem Auftrag; eine Kamera ohne Bildablage liefert das Feld „Bild" nicht. Datenintegrität heißt in den Regelwerken, dass jeder Eintrag zuordenbar, lesbar, zeitnah, original und richtig ist; getragen wird diese Erwartung von 21 CFR Part 11 für elektronische Aufzeichnungen und Unterschriften, EU GMP Annex 11 für computergestützte Systeme und GAMP 5 als risikobasiertem Leitfaden für deren Validierung.

URS, IQ/OQ und die Frage im ersten Gespräch

Die Anforderungsspezifikation des Betreibers, die URS, ist der Ort, an dem die sieben Felder stehen sollten, in den dokumentierten Projekten aber oft fehlen. Sie nennt Material, Takt und Inhalt und setzt „GMP-gerecht" darunter, ohne den Datensatz zu benennen. Der Maschinenbauer fragt deshalb im ersten Gespräch, ob IQ und OQ für den Coder möglich sind, und meint damit die Dokumente, mit denen Installation und Funktion gegen die Anforderung geprüft werden.

Die Antwort ist für alle Geräte einer Kennzeichnungsstation dieselbe: IQ und OQ sind Prüfungen, die der Betreiber oder sein Integrator am installierten System durchführt; das Gerät liefert die Grundlage mit Typ, Firmware- und Softwarestand, Schnittstellenbeschreibung, Parameterliste und Funktionsbeschreibung. Qualifiziert wird die Station, nicht das Gerät. In einem dokumentierten Fall war für die Qualifizierung der kompletten Zelle durch die Qualitätsabteilung etwa ein halbes Jahr veranschlagt; wer die Dokumente erst nach der Installation anfordert, zahlt diese Zeit doppelt.

Seriennummer, Charge und globaler Zähler: die Verknüpfung im Code

In einem dokumentierten Fall trägt ein Medizinprodukt drei Chargennummern, weil es aus drei Vorprodukten mit eigener Charge besteht. Auf das Produkt kommt nicht die Charge, sondern eine Seriennummer aus einem fortlaufenden globalen Zähler, die im DMC steht. Die Verknüpfung dieser Seriennummer mit den drei Chargen liegt im System, und die Übergabe an den Laser soll über eine CSV-Schnittstelle laufen: Das System schreibt die nächste Nummer, der Laser beschriftet sie, die Verifikation liest sie zurück, und das System schließt den Eintrag.

Zwei Regeln folgen daraus. Der Zähler wird nur an einer Stelle geführt, im System, sonst entstehen nach einem Neustart doppelte Nummern. Und die Rücklesung schreibt die Nummer in denselben Eintrag zurück, damit die Kette Zähler, Beschriftung, Lesung geschlossen ist. Ein Sonderfall ist der zweite Code: ein interner DMC auf einem Tray, den der Kunde des Werks nicht lesen können soll, neben dem Kundencode. Im Datensatz sind beide Felder derselben Einheit, die Zuordnung lebt nur im System des Werks; der Codeleser soll in einer dokumentierten Anwendung beide Codes direkt vergleichen und die Abweichung melden, ohne dass die Zuordnung die Station verlässt.

Was Laser, Drucker, Kamera und Leser erzeugen: Ergebnis, Bild, Zeitstempel, Schnittstelle

Die Geräte einer Station liefern je einen Teil des Datensatzes, und die URS sollte je Gerät benennen, welchen. Der 3-Achsen-Hybrid-Beschriftungslaser der Modellreihe MD-X und der 3-Achsen-UV-Beschriftungslaser der Modellreihe MD-U empfangen den Inhalt über das Netzwerk aus dem System und beschriften ihn; sie liefern das Feld „Inhalt" als das, was tatsächlich gesendet und ausgeführt wurde, nicht als Eingabe von Hand. Der Continuous-Inkjet-Drucker der Modellreihe MK-G und der UV-Laser Coder der Modellreihe FP-1000 stehen an Folie und Faltschachtel in derselben Rolle; die IQ/OQ-Frage an den Coder ist die Frage nach der Dokumentation dieser Rolle.

Die Felder „Ergebnis" und „Bild" kommen von der Verifikation. Der AI-Codeleser der Modellreihe SR-X liefert je Lesung den Inhalt, das Leseergebnis und den Übereinstimmungswert von 0 bis 100 über PROFINET, EtherNet/IP oder eine TCP/IP-Verbindung. Die All-in-One Kamera mit integrierter AI der Modellreihe VS liefert das Ergebnis der Klarschriftprüfung über dieselben Wege und legt das Bild je Einheit per FTP auf einem Server ab. Beide erzeugen den Datensatz in dem Moment, in dem die Einheit vor ihnen steht; das ist die Bedingung „zeitnah", und sie gilt nur, wenn der Eintrag nicht später aus einem Puffer nachgetragen wird.

Den Zeitstempel vergibt in dokumentierten Anwendungen das empfangende System beim Eingang des Ergebnisses, nicht das Gerät; eine Gerätezeit ist nur brauchbar, wenn sie aus derselben Quelle synchronisiert wird, sonst widersprechen sich zwei Uhren im Audit. Die Systemidentität umfasst Gerätetyp, Seriennummer des Geräts und Programmstand: Beim Codeleser sind die 16 Bänke gespeicherte Gerätekonfigurationen, und die aktive Bank gehört in den Eintrag, weil ein Bankwechsel die Lesebedingungen ändert.

Audit Trail und Benutzerverwaltung: Funktion des Systems, nicht des Geräts

Wer den Sollwert geändert hat, wer eine Grenze verschoben hat, wer eine NIO-Einheit nachträglich freigegeben hat: Diese Fragen beantwortet der Audit Trail, und er ist in den dokumentierten Projekten eine Funktion des Systems, das den Datensatz entgegennimmt, also des Batch-Record-Systems, des MES oder der validierten Maschinensoftware. Ebenso die Benutzerverwaltung mit Rollen, Passwörtern und elektronischer Unterschrift. Kamera, Codeleser, Laser und Drucker erzeugen und übergeben Daten; der Audit Trail wird nicht in ihnen geführt, und kein Gerät wird deshalb als Part-11-konform bezeichnet.

Praktisch heißt das: Änderungen an Geräteparametern werden über das System ausgelöst oder dort protokolliert, nicht am Gerät allein. Die Parameter im Gerät sind als Konfiguration Teil der IQ und werden bei jeder Änderung neu freigegeben. Und ein Ergebnis gelangt über eine Schnittstelle ins System, die das System selbst liest, nicht über eine Datei, die jemand kopiert.

IQ und OQ an der Station: Dokumente vom Gerät, Prüfungen an der Zelle

Für die IQ liefern die Geräte die Nachweise, dass installiert ist, was spezifiziert wurde: Typ, Seriennummer, Firmware- und Softwarestand, Netzwerkadressen, Parametersätze und die Wartungspunkte, die im Betrieb die Bedingungen ändern. Beim Beschriftungslaser der Modellreihe MD-X gehört das Schutzglas vor der Optik dazu, das im Schnellwechsel getauscht wird; ein Tausch ist ein Ereignis, das im Wartungsprotokoll steht. Beim Inkjet-Drucker sind Tinte und Lösemittel Verbrauchsmaterial mit eigener Charge, die der Betreiber im Chargenprotokoll führt.

Die OQ prüft die Funktionen gegen die Anforderung: Wird der gesendete Inhalt beschriftet, wird ein falscher Inhalt erkannt, wird eine leere Position nicht als Einheit gezählt, landet jedes Ergebnis mit Bild im System, und was passiert bei Netzwerkunterbrechung. Die letzte Frage braucht einen eigenen Testfall, denn nachgelieferte Einträge aus einem Puffer verletzen die Bedingung „zeitnah", wenn das System sie nicht als solche kennzeichnet. Einhausung, Absaugung und Laserschutz sind Teil desselben Qualifizierungspakets und im Hauptbeitrag dieser Reihe beschrieben.

Vom Tabellenblatt zum Batch-Record: der Weg des kleinen Herstellers

Nicht jedes dokumentierte Werk hat ein MES. Der Implantathersteller mit den Regeln des Implantateregisters führt seine Seriennummern heute in einer Datenbank ohne Anbindung an ein ERP und liest die Codes mit einem einfachen Handscanner oder dem Telefon. An einer dokumentierten Blisterlinie werden Charge und Datum bislang von Hand etikettiert. Beides funktioniert, bis ein Audit fragt, wer den Eintrag gemacht hat und ob er später geändert wurde.

Der dokumentierte Weg heraus verläuft in Stufen. Zuerst kommt der Inhalt aus einer Quelle: Der Laser oder der Drucker bezieht Seriennummer und Charge aus dem Auftragssystem statt aus einer Eingabe an der Maschine. Dann kommt die Rücklesung je Einheit mit Ergebnis und Bild an dieselbe Quelle zurück. Erst danach lohnt sich ein Batch-Record-System, das Audit Trail und Benutzerverwaltung mitbringt, weil es dann einen vollständigen Datensatz zu verwalten hat. Wer mit der Software beginnt, hat ein validiertes System, das von Hand gefüttert wird, und genau das Risiko der Handeingabe.

Häufige Fragen

F Welche Daten muss eine Kennzeichnungsstation je Einheit liefern?

In dokumentierten Anforderungen sind es sieben Felder: Kennung der Einheit, Charge, aufgebrachter Inhalt, Verifikationsergebnis, Bild, Zeitstempel und Identität des erzeugenden Systems mit Programmstand. Diese Liste gehört in die URS, bevor ein Laser, Drucker oder Leser ausgewählt wird, weil sie die nötigen Schnittstellen bestimmt.

F Ist ein Beschriftungslaser oder ein Codeleser Part-11-konform?

Die Anforderungen aus 21 CFR Part 11 betreffen das System, das elektronische Aufzeichnungen speichert, schützt und mit Audit Trail und Benutzerverwaltung führt. Laser, Drucker, Kamera und Codeleser erzeugen und übergeben die Daten; die Konformität wird für das empfangende, validierte System nachgewiesen, nicht für das einzelne Gerät.

F Was liefert ein Gerät für IQ und OQ?

Für die IQ die Nachweise der Installation: Typ, Seriennummer, Firmware- und Softwarestand, Schnittstellen, Parametersätze und Wartungspunkte. Für die OQ die Funktionsbeschreibung, gegen die geprüft wird. Die Prüfung selbst führt der Betreiber oder sein Integrator an der installierten Station durch; qualifiziert wird die Station, nicht das Gerät.

F Wie werden Seriennummer und mehrere Chargen im Code verknüpft?

Auf das Produkt kommt eine Seriennummer aus einem globalen Zähler, der nur im System geführt wird. Die Zuordnung zu den Chargen der Vorprodukte liegt im System, die Übergabe an den Laser soll in einem dokumentierten Fall über eine CSV-Schnittstelle erfolgen, und die Rücklesung schließt den Eintrag mit derselben Nummer.

F Wer vergibt den Zeitstempel, das Gerät oder das System?

In dokumentierten Anwendungen das empfangende System beim Eingang des Ergebnisses. Eine Gerätezeit ist nur brauchbar, wenn sie aus derselben Quelle synchronisiert wird wie das System. Nachgelieferte Einträge nach einer Netzwerkunterbrechung müssen als solche gekennzeichnet sein, sonst ist die Bedingung „zeitnah" verletzt.

Weiterführende Artikel

Übergeordnete Themenseite: Qualitätssicherung und Dokumentation in der Medizin- und Pharmaproduktion: Der Überblick für QS- und Laborverantwortliche

Hauptartikel zum Thema: UDI-Direktkennzeichnung von Medizinprodukten: Instrumente, Implantatkomponenten und Kunststoffteile dauerhaft und materialschonend markieren

Weiterer Artikel im Thema: Vial, Spritze, Ampulle und Tub kennzeichnen: DMC und Klarschrift auf Glas und Kunststoff der Primärverpackung

Weiterer Artikel im Thema: Los, Verfall und DMC auf Sekundärverpackung, Folie und Tyvek: Inkjet und UV-Laser Coder in der Medizin- und Pharmaverpackung

Weiterer Artikel im Thema: Gegenlesen an der Kennzeichnungsstation: OCR, OCV und Codeprüfung für jede Einheit in der Medizin- und Pharmalinie