Sicherheit bis ins Detail

Andreas Strauß

Auf der Abfüllanlage für Mehrfachentnahmeflaschen (MFE) bei Aventis Pharma werden die Flaschenformate 20, 30, 50, 70 und 100 ml verwendet. Die Materialfluss-Steuerung LogOS-MFS von MLR steuert und überwacht den Abfüllprozess. Die Verwaltung der Accu-Boxen gehört ebenfalls zu den Aufgaben der Materialfluss-Steuerung. Der Bediener hat beispielsweise die Möglichkeit, jederzeit eine Kontrollfahrt eines fahrerlosen Fahrzeugs (FTF) zu aktivieren, um die tatsächlichen Belegungen der Stellplätze mit dem Datenbestand des LogOS-MFS abzugleichen. Eine Kontrollfahrt lässt sich entweder über alle oder nur über die zuvor an der Bedienoberfläche des LogOS-MFS ausgewählten Stellplätze durchführen. Über eine Schnittstelle zum MFS übernimmt das Transportleitsystem LogOS-FTS zusammen mit den beiden fahrerlosen Unterfahrschleppern den Transport des Materials zwischen den einzelnen Stationen.

Die Materialfluss-Steuerung MFS und das FTS-Leitsystem sind auf einem PC unter einer gemeinsamen grafischen Oberfläche zusammengefasst. Die Oberfläche präsentiert sich dem Bediener klar gegliedert in die beiden Funktionsbereiche. Der Zugang zu den einzelnen Funktionen ist durch eine Benutzer- und Passwortverwaltung reglementiert. Die Kommunikation zwischen dem Leitstand und den Maschinen erfolgt auf zwei unterschiedlichen Ebenen. Auf der unteren Ebene, der Signalebene, werden nur binäre Signale ausgetauscht. Damit lassen sich Bereiche für die Transportfahrzeuge freigeben oder sperren. Die zweite Ebene ist die Telegrammebene, auf der Datentelegramme zwischen dem Leitstand und den Maschinen ausgetauscht werden. Diese Kommunikationsebene wird verwendet, um die Produktion beziehungsweise die Maschinen zu steuern.

Zu Beginn einer Abfüllung wird von einem autorisierten Bediener ein Produktionsauftrag angelegt. Dabei werden im LogOS-MFS die Material- und Chargennummern der verwendeten Einsatzstoffe für den Produktionsauftrag definiert. Einsatzstoffe sind Flaschen, Stopfen, Kappen und das abzufüllende Produkt. Nach Freigabe der Einsatzstoffe durch den Mitarbeiter beginnt zunächst der Vorlauf für den Produktionsprozess. Dazu werden die auf Paletten angelieferten Flaschen von einem Depalettierer einem Entpacker zugeführt. Dieser befreit die eingeschweißten Flaschen aus der umgebenden Folie und setzt sie auf ein Laufband ab, das die Flaschen zu einer Spülmaschine fördert. Der Spülvorgang lässt sich erst dann starten, wenn die Materialfluss-Steuerung die Materialfreigabe für die Flaschen erteilt hat. Nach dem Waschen werden die Flaschen durch einen Sterilisationstunnel geschleust und gelangen anschließend zur Abfüllstation. Die Abfüllung startet, sobald LogOS-MFS den Start für diese Produktionscharge an die Steuerung der Abfüllstation erteilt. Abfüllen und Verschließen der Flaschen mit einem Gummistopfen erfolgen in einem Isolator. Hinter der Abfüllstation werden die Flaschen mit Metallschutzkappen versehen. Auf einem Förderband gelangen die Flaschen dann zur Beladestation. Hier werden sie reihenweise in die Fachböden einer bereitstehenden Accu-Box geschoben.

Der Abtransport der Accu-Boxen zum Zwischenlager wird vom fahrerlosen Transportsystem (FTS) durchgeführt. Dazu informiert die Beladestation den Leitstand über die abholbereite und gefüllte Box. Das Materialfluss-System beauftragt das LogOS-FTS, die Box abzuholen, und gibt gleichzeitig vor, welches Zwischenlager zu beschicken ist, damit es nicht zu einer Vermischung der Abfüllchargen kommt. Das nächste Ziel der Flaschen in den Accu-Boxen ist der befahrbare Großraum-Dampfsterilisator, in dem die gefüllten Flaschen je nach Produkt unterschiedlich behandelt werden können. Die Beladung des Sterilisators mit vier Boxen übernehmen wiederum die fahrerlosen Fahrzeuge. Ist der Beladevorgang abgeschlossen und hat das letzte Fahrzeug den Sicherheitsbereich verlassen, beauftragt LogOS-MFS den Sterilisator, den Behandlungsprozess zu starten. Verläuft die Behandlung fehlerfrei, erhält anschließend jede Box der Produktcharge die gleiche Sterilisations-Chargennummer. Sobald die Temperatur im Innenraum des Sterilisators auf ca. 80 °C abgekühlt ist, öffnen sich die Türen, sodass die FTF einfahren können, um den Sterilisator zu leeren. Die Erlaubnis zur Einfahrt in den Sterilisator wird dem FTS-Leitsystem von der Sterilisatorsteuerung auf der Signalebene erteilt. Zur weiteren Abkühlung bringen die beiden Fahrzeuge die Boxen in die Abkühlzone. Auch für diesen Bereich stellt LogOS-MFS sicher, dass es zu keiner Chargenuntermischung kommt. Die Boxen bleiben zum Auskühlen über Nacht in der Abkühlzone. Am nächsten Tag wird eine Behandlungscharge ausgewählt und mit dem FTF zur Entladestation gebracht.

In der Entladestation werden die Flaschen von den Fachböden auf ein Förderband geschoben. Das Förderband führt sie über eine Serpentine der Kontrollstation zu. Hier wird geprüft, ob die Flaschen korrekt verschlossen und dicht sind und ob sich Partikel oder Risse in den Flaschen befinden. Fehlerhafte Flaschen werden ausgeschleust, die anderen gelangen über ein weiteres Förderband zur Verpackung. Wichtig ist, dass sich in einem Aluminiumbehälter nur Flaschen einer Behandlungscharge befinden dürfen. Ist der Behälter voll oder die letzte Flasche einer Charge verpackt, wird er ausgeschleust und von einem Stapler abgeholt. Der leeren Accu-Box wird ihre Zuordnung zum Produkt wieder entzogen. Damit ist sie für eine erneute Beladung bereit. Die Fertigmeldung der Verpackungsmaschine quittiert LogOS-MFS mit einem Chargenende-Telegramm und stößt den Druck des Behandlungschargenprotokolls für diese Charge an. Nachdem alle Flaschen einer Abfüllcharge durch die Anlage geschleust wurden, muss der zugehörige Produktauftrag von einem Bediener am LogOS-MFS geschlossen werden. Das Chargenprotokoll ist ein wichtiger Bestandteil der Produktionsdokumentation. Dort sind neben Produktbezeichnung und Abfüllchargennummer auch die Daten der verwendeten Einsatzstoffe enthalten.

Der Leitstand stützt sich bei seinen Aufgaben auf ein umfangreiches, rationales Datenbank-Managementsystem. Die hier enthaltenen Daten repräsentieren den Anlagenzustand und sämtliche Abläufe darin. So werden beispielsweise der komplette Telegrammverkehr, Zustands-, und Signaländerungen festgehalten. Auch kann zu jedem Produktauftrag der Weg jeder Accu-Box von der Beladung bis zur Entladung verfolgt werden. Jeder Eingriff des Leitstandpersonals über die Bedienoberfläche wird zur Dokumentation des Zustandes vor und nach dem Eingriff ebenfalls protokolliert.

An die Qualität und Zuverlässigkeit des Leitstandes werden in diesem sensiblen Bereich außerordentlich hohe Anforderungen gestellt. Fehler oder widersprüchliche Anlagenzustände müssen vom Leitstand nicht nur erkannt und protokolliert werden, sondern auch Aktionen auslösen, die kritische Situationen verhindern. Falls beispielsweise ein Barcode einer Accu-Box vom Fahrzeugscanner nicht gelesen werden kann, wird die Abarbeitung des Transportes gestoppt und eine Störmeldung am Leitstand ausgelöst. Ein Bediener muss zuerst den Barcode über das Fahrzeugterminal eingeben und anschließend die Störung am Leitstand quittieren. Der Quittierungsdialog verlangt vom Bediener die Angabe einer Beschreibung der Situation und der ergriffenen Maßnahmen. Diese Informationen werden vom Leitstand gespeichert. Sowohl die Belade- als auch die Entladestation sind ebenfalls mit Barcodescannern ausgerüstet, um die Accu-Boxen zu identifizieren. Bei der Anlieferung der Accu-Boxen an die Stationen übergibt der Leitstand in einem Telegramm den Barcode der Accu-Box an die Station.

Um die hohe Verfügbarkeit der Anlage sicherzustellen, wurde die Kommunikation auf Telegrammebene zwischen Leitstand und Maschinen auf Wiederanlauffähigkeit ausgelegt. Das bedeutet: Wenn es zu einer Unterbrechung der Kommunikationsverbindung kommt, muss der Leitstand mit Hilfe der von den Maschinen gelieferten Informationen ohne Bedienerhilfe wieder nahtlos die Steuerung des Produktionsprozesses übernehmen können.

In Betrieben der pharmazeutischen Industrie stellt die Validierung der Anlagen und Prozesse eine wesentliche und unabdingbare Voraussetzung zur Herstellung von Arzneimitteln dar. Es gilt nachzuweisen, dass sämtliche Prozesse sicher ablaufen und im Fehlerfall eine vorgegebene Reaktion anzeigen, die keine fehlerhaften Produkte zulässt. Bereits die Inbetriebnahme der Anlage erfolgte unter erhöhten Qualitätsanforderungen an das Leitsystem. Dazu wurden in Zusammenarbeit mit einer auf Software-Validierung in der Pharmaindustrie spezialisierten Unternehmensberatung spezielle Testpläne ausgearbeitet. Jede einzelne Leitstandfunktion wurde über einen separaten Testablauf überprüft und validiert. Auch die Software selbst wurde über ein Sourcecode Review überprüft. Der Leitstand wurde nach den strengen Richtlinien der CFR, Title 21, Part 210/211, EU GMP, Annex 11 und GAMP validiert und abgenommen.

Ebenfalls im Vorfeld führte die Unternehmensberatung im Auftrag von Aventis ein Lieferanten-Audit im Hause MLR durch. MLR erstellte in enger Zusammenarbeit mit Aventis das Pflichtenheft und sämtliche Spezifikationen.