Bei GMP-Audits festgestellte Verriegelungsfehler sind selten logische Fehler – es handelt sich vielmehr um Fehler bei der Festlegung des Anwendungsbereichs. Ein Testplan, der alle Schleusentüren als funktional gleichwertig behandelt, wird zwar alle Prüfungen der normalen Abfolge bestehen, dabei jedoch übersehen, dass die für eine BSL-2-Suite dienende Abfallschleuse eine Verriegelung der Doppeltür benötigt, die an ein Signal zum Abschluss des Desinfektionszyklus gekoppelt ist, oder dass die Personalschleuse für eine HPAPI-Suite eine Abluftkompensationsreaktion benötigt, die in Sekunden gemessen wird, nicht in Minuten. Diese Lücken treten nicht als Punkte auf der Inbetriebnahme-Checkliste auf; sie zeigen sich als kritische Mängel, wenn ein Inspektor nach routenspezifischen Nachweisen fragt und das SAT-Paket diese nicht vorlegen kann. Die Entscheidungen, die dies verhindern, werden bereits in der URS- und Layout-Phase getroffen, nicht erst bei der Testdurchführung – insbesondere, welche Wege vorhanden sind, welches Containment-Ereignis jeder Türübergang darstellt und was die Entriegelungslogik bestätigen muss, bevor die nächste Tür geöffnet werden darf.

Verknüpfung von Testfällen nach Personal und Materialweg

Der Routentyp ist das richtige Organisationsprinzip für die Planung von Verriegelungstests, wird jedoch häufig außer Acht gelassen. Eine einzelne Luftschleusenzeichnung kann zwar identische Türbeschläge für eine Personalroute und eine Materialroute zeigen, doch die Folgen eines Verriegelungsfehlers sind auf jeder Route grundlegend unterschiedlich – auf der einen besteht die Gefahr einer Kontamination der Schutzkleidung, auf der anderen die Gefahr des Eindringens von Partikeln während eines unkontrollierten Transfers. Testpläne, die alle Verriegelungen unter einer generischen “Zweitür-Sequenz”-Struktur zusammenfassen, lassen regelmäßig zonenspezifische Bedingungen außer Acht und erzeugen SAT-Protokolle, die sich nicht den routenspezifischen Risiken zuordnen lassen.

Bei Personenschleusen muss die Prüfung sicherstellen, dass die Ankleideabfolge durch die Verriegelungslogik erzwungen wird und nicht nur, dass die Türen in der richtigen Reihenfolge geöffnet werden. Eine Tür, die sich vor Abschluss des Ankleidevorgangs entriegelt, stellt ein Risiko für einen kritischen GMP-Mangel dar, und das Prüfprotokoll muss belegen, dass die Abfolgeabhängigkeit tatsächlich besteht und getestet wurde. Materialschleusen bringen eine zusätzliche Anforderung mit sich: Unabhängige Schnittstellen zur Umgebungsüberwachung müssen zum Zeitpunkt des Transfers funktionsfähig sein und Protokollierungsdaten erfassen, damit jedes Eindringen von Partikeln während des Türbetriebs erfasst und rückverfolgbar ist. Dies ist ein Koordinationspunkt bei der Testplanung – wenn die Überwachungsschnittstelle noch nicht in Betrieb genommen wurde, kann der MAL-Verriegelungstest keine vollständigen Nachweise liefern.

Bei speziellen Eindämmungskonfigurationen weichen die Abnahmekriterien erheblich von der Standardlogik für Luftschleusen ab. In HPAPI- und OEB-4–5-Zonen ist die Reaktionszeit des Abluft-Ausgleichssystems nach dem Öffnen der Tür ein Auslegungswert, der bereits in der URS definiert und während der Tests bestätigt werden sollte – ein Reaktionsfenster von 2 Sekunden ist ein häufig verwendeter Richtwert für die Eindämmung von aktivem Staub, muss jedoch als projektspezifisches Abnahmekriterium betrachtet werden und nicht als allgemein vorgeschriebener regulatorischer Schwellenwert. BSL-2/3-Abfalldurchgänge erfordern eine völlig andere Testkategorie: Es muss bestätigt werden, dass die Verriegelung an das Abschlusssignal des UV- oder chemischen Desinfektionszyklus gekoppelt ist, und das lokale Verhalten bei Stromausfall muss unabhängig getestet werden, um sicherzustellen, dass die Verriegelungslogik auch während einer Stromunterbrechung aufrechterhalten bleibt. Bei Geräteschleusen mit großen Öffnungen kommt die Druckstabilität als primäre Prüfgröße hinzu – ein Druckabfall von mehr als 30% während der Gerätebewegung deutet darauf hin, dass die Spülsequenz oder der Luftvorhang nicht ausreichend ausgleichend wirkt.

Die Anti-Tailgating-Logik fungiert, sofern installiert, als Belegungsprüfung, die außerhalb der grundlegenden Doppeltür-Sequenz angesiedelt ist und oft separat oder gar nicht getestet wird. Verwendet die Logik Anwesenheitszähler zur Auslösung einer Anpassung der Lüfterdrehzahl, muss der Test sowohl die Alarmauslösezeit (ein Timeout von ≤5 Sekunden ist ein typisches Ziel) als auch die Reaktion des Lüfters bestätigen, da eine langsame Lüfterreaktion den Zweck zunichte macht, selbst wenn der Alarm korrekt ausgelöst wird.

Prüfungen der normalen Abfolge, des Alarms, der Übersteuerung und des Stromausfalls

Der normale Verriegelungsablauf – Tür A schließt sich, der Positionssensor bestätigt das Schließen, eine festgelegte Verzögerungszeit verstreicht, der Druckausgleich wird überprüft, Tür B wird entriegelt – sieht auf dem Papier einfach aus. In der Praxis hängt die Abfolge jedoch von vier unterschiedlichen Bestätigungsereignissen ab, und jedes einzelne davon kann zu einem Fehler führen, der wie ein Logikfehler aussieht, tatsächlich aber auf ein Problem mit dem Sensor, der Klimatechnik oder der Mechanik zurückzuführen ist. Testprotokolle, die lediglich „bestanden“ oder „nicht bestanden“ für die gesamte Abfolge erfassen, ohne die zwischengeschalteten Bestätigungsschritte zu protokollieren, erschweren die Fehlersuche und bieten Prüfern keine Grundlage, um ein validiertes System von einem zu unterscheiden, das zufällig am Testtag bestanden hat.

Die Überprüfung der Druckwiederherstellung innerhalb der Abfolge – bei der in der Regel bestätigt wird, dass sich der Differenzdruck zwischen den Zonen auf oder über einem Auslegungszielwert (≥10 Pa ist ein gängiger Wert) stabilisiert hat, bevor Tür B freigegeben wird – ist der Schritt, der am häufigsten als reine Formalität behandelt wird. Das sollte nicht der Fall sein. Wenn ΔP während des Bestätigungsfensters über eine definierte Toleranz hinaus schwankt (±1,5 Pa ist ein angemessener Auslegungsparameter), sollte das System die Verzögerung verlängern oder eine Warnung auslösen, anstatt fortzufahren. Bei Tests muss dieser Zustand gezielt simuliert werden: Es sollte eine Instabilität der HLK-Anlage oder eine nicht vollständig anliegende Türdichtung simuliert und überprüft werden, ob die Steuerung darauf mit einer Verriegelung reagiert, anstatt das Öffnen der nächsten Tür zuzulassen. Ein System, das die Freigabe von Tür B aufgrund eines vorübergehend stabilen Messwerts erteilt, der unmittelbar danach wieder abweicht, funktioniert nicht wie vorgesehen.

Das Verhalten bei Stromausfall und bei der Übersteuerung des Brandmelders erfordert einen gesonderten Test, da die Logik zwei widersprüchliche Anforderungen gleichzeitig erfüllen muss: Der Personenschutz erfordert eine „Fail-Open“-Funktion für den Fluchtweg, während die Kontaminationskontrolle eine protokollierte Endzustandserfassung verlangt. NFPA 101 und EN 16005 legen den Rahmen für die Fluchtwege fest; der Verriegelungstest muss bestätigen, dass das System bei Auslösung des Brandalarms in den „Fail-Open“-Modus wechselt und gleichzeitig eine manipulationssichere Momentaufnahme des Zustands erfasst, anhand derer rekonstruiert werden kann, was offen war, was verriegelt war und welches Personal oder Material sich zum Zeitpunkt der Übersteuerung im Durchgang befand. Ohne diese Momentaufnahme beginnt jede Untersuchung nach einem Vorfall mit einer Lücke.

Die Prüfung von Summeralarmen wird oft eher als Funktionskontrolle – ertönt der Alarm? – denn als diagnostische Maßnahme betrachtet. Häufige Fehlerquellen (Ausfall der magnetischen Erkennung aufgrund einer Fehlausrichtung der Sperrplatte, Drahtbruch, klemmender Notfallknopf) erzeugen jeweils unterschiedliche Alarmmuster und erfordern jeweils unterschiedliche Abhilfemaßnahmen. Ein Testprotokoll, das lediglich die Auslösung des Alarms bestätigt, hat keinen diagnostischen Wert, wenn der Alarm während des Betriebs nur sporadisch ausgelöst wird. Die Erfassung des Fehlerzustands, der den jeweiligen Testalarm ausgelöst hat – und nicht nur der Alarmreaktion selbst – liefert Aufzeichnungen, die eine spätere Fehlersuche erleichtern, ohne dass eine vollständige Wiederholung des Tests erforderlich ist.

Interaktionen zwischen Luftdusche und Durchreiche mit der Türlogik

Eine in einen Personenzugang integrierte Luftdusche ändert die Verriegelungslogik von einer Zweitür-Sequenz zu einer Dreistufen-Sequenz: Die Außentür schließt sich, der Luftduschzyklus wird vollständig durchgeführt, und erst danach wird die Innentür freigegeben. Der Test muss bestätigen, dass die Innentür nicht vor Abschluss des Zyklus freigegeben werden kann, selbst wenn der Positionssensor der Außentür bereits das Schließen bestätigt hat. Das klingt selbstverständlich, ist jedoch ein Koordinationspunkt zwischen der Luftschleusen-Steuerung und der Verriegelungs-SPS, der oft nur angenommen, aber nicht überprüft wird. Wenn die beiden Systeme über ein Relais mit potentialfreiem Kontakt statt über einen digitalen Protokoll-Handshake kommunizieren, ist eine Zeitabweichung ein realistischer Fehlerfall, der über mehrere Zyklen hinweg getestet werden sollte und nicht nur durch eine einmalige Überprüfung.

Luftdusche für Reinräume von Youth Filter Zu den Konfigurationen gehören Verriegelungsausgangssignale, die auf die Abstimmung mit der Türsteuerungslogik ausgelegt sind – vergewissern Sie sich bei der Beschaffung, dass das Kommunikationsprotokoll den Anforderungen des Gebäudemanagementsystems oder der Verriegelungssteuerung entspricht, da nicht übereinstimmende Schnittstellenspezifikationen eine häufige Ursache für Verzögerungen bei der Inbetriebnahme in der Endphase sind.

Bei dynamischen Durchreichen auf Materialtransportrouten bildet die Verriegelung, bei der jeweils nur eine Tür geöffnet werden kann, die grundlegende Sicherheitslogik, und durch Tests muss bestätigt werden, dass sie unter denselben Belastungsbedingungen funktioniert, die auch für Personenschleusen gelten: gleichzeitige Versuche, Türen zu betätigen, Stromausfall während des Zyklus und Alarmverhalten, wenn eine Tür über die Zeitüberschreitung hinaus offen gehalten wird. Belüftet Dynamische Durchgabeboxen eine zusätzliche Koordinierungsanforderung einführen: Die Überprüfung der Integrität des HEPA-Filters und des internen Luftstroms sollte als Teil desselben Testdurchlaufs wie der Verriegelungstest behandelt werden und nicht als separate Inbetriebnahmemaßnahme. Eine Passbox, die den Verriegelungstest besteht, bei der jedoch der HEPA-Filter beeinträchtigt ist, fungiert nicht als Kontaminationsbarriere, unabhängig davon, wie korrekt die Türsequenz abläuft. Die künstliche Trennung dieser Tests führt zu einem Validierungsprotokoll, das nicht nachweisen kann, dass das System als Einheit wirksam ist.

Das gleiche Koordinationsprinzip gilt für den physikalischen Zusammenhang zwischen den Entscheidungen zur Gestaltung der Luftschleuse und den Zeitparametern der Verriegelung. Bei einer Durchgangs- oder Luftschleuse, die für einen bestimmten Materialtransfer-Arbeitsablauf dimensioniert ist, ist in ihren Abmessungen eine implizite Durchlaufzeit berücksichtigt. Wird die Verzögerung bei der Freigabe der Verriegelung ohne Berücksichtigung der tatsächlichen VAV-Reaktionszeit für diese Zone eingestellt, wird sich die zeitliche Diskrepanz als Betriebsproblem bemerkbar machen, auch wenn der Verriegelungstest bestanden wurde. Weitere Informationen darüber, wie die Dimensionierung der Durchgangsstelle mit Entscheidungen zur Luftströmung und zur Konfiguration der Verriegelung zusammenhängt, finden Sie im Durchlasskammern und Luftschleusen für modulare Reinräume: Leitfaden zur Dimensionierung und Konfiguration behandelt diese Wechselbeziehungen ausführlich.

Usability-Risiken, die dazu führen, dass Bediener Sicherheitsvorkehrungen umgehen

Eine Verriegelung, die den Routinebetrieb behindert, wird früher oder später umgangen. Der Mechanismus ist in der Regel informeller Natur – eine Magnetverriegelung, die deaktiviert bleibt, ein Notknopf, der teilweise gedrückt gehalten wird, eine offen gehaltene Tür – und wird selten als Abweichung dokumentiert, da die Bediener dies als Notlösung für ein defektes System und nicht als Versagen der Kontaminationskontrolle wahrnehmen. Bis diese Vorgehensweise entdeckt wird, hat sich die Umgehung bereits normalisiert, und die ursprüngliche Verriegelungszeit hat bereits zu einer Reihe von „OOS“-Vorfällen geführt.

Die häufigste technische Ursache für dieses Problem ist eine zeitliche Diskrepanz zwischen der Verzögerung bei der Entriegelung der Verriegelung und der Reaktionszeit des VAV-Systems bei vollem Hub. Wenn die Türentriegelung ausgelöst wird, bevor die Zu- und Abluftklappen ihre Sollwerte für den nächsten Zonenstatus erreicht haben, ist der Druckunterschied noch nicht stabil, wenn sich die Innentür öffnet. Die Folge ist eine kurzzeitige Kaskadenstörung, die als Druckschwankung registriert wird. Betriebsbeobachtungen deuten darauf hin, dass diese Nichtübereinstimmung einen erheblichen Anteil der Druckabweichungen in verriegelungsgesteuerten Zonen ausmachen könnte – ein in der technischen Praxis häufig genannter Wert liegt bei etwa 78%, wobei dies jedoch eher als Richtwert denn als validierte Branchenstatistik zu betrachten ist. Die Auswirkung auf die Auslegung ist dennoch konkret: Die Freigabeverzögerung sollte auf mindestens die VAV-Vollhubzeit multipliziert mit einem Sicherheitsfaktor (1,5× ist ein häufig verwendeter Richtwert) eingestellt werden, um tatsächliche Druckstabilität – und nicht nur die verstrichene Zeit – vor der Türfreigabe sicherzustellen.

Der zweite Fehlerfall bei der Benutzerfreundlichkeit ist mechanischer, nicht logischer Natur. Ein Durchhängen der Tür oder eine Verformung des Türrahmens kann dazu führen, dass die Verriegelungszunge mechanisch einrastet, während sich die Tür tatsächlich nicht öffnen lässt – die Verriegelung signalisiert “entriegelt”, der Bediener drückt gegen die Tür, nichts bewegt sich, und der Bediener kommt zunächst zu dem Schluss, dass das System eine Fehlfunktion aufweist. Bei wiederholtem Auftreten verlagert sich die Reaktion von der Meldung des Fehlers hin zur Vermeidung desselben durch Deaktivierung der Verriegelung. Dieses Fehlermuster tritt besonders häufig in aus Paneelen gebauten Reinräumen auf, bei denen die Steifigkeit des Türrahmens von der korrekten Montage der Trennwände abhängt, und es ist bei der Abnahmeprüfung schwer zu erkennen, da sich die Durchbiegung oft erst unter anhaltender Betriebsbelastung entwickelt und nicht bereits während des anfänglichen Inbetriebnahmezyklus. Die Einbeziehung einer Überprüfung der Türbetätigungskraft und der Rahmenausrichtung in den Umfang der Einweisung (IQ) – anstatt diese als Punkte auf einer Mängelliste zu behandeln – verringert die Wahrscheinlichkeit, dass mechanische Abweichungen sechs Monate nach der Übergabe ein Umgehungsverhalten auslösen.

Beiden Fehlermodi liegt dieselbe vorgelagerte Lösung zugrunde: Das zulässige Verzögerungsfenster und die VAV-Hubzeit müssen bereits in der URS-Phase definiert und vereinbart werden, und die Anforderungen an die Rahmensteifigkeit müssen in die Gerätespezifikation aufgenommen werden und dürfen nicht dem Ermessen des Installateurs überlassen bleiben. Der Versuch, beides nach der Installation neu zu verhandeln, bedeutet eine erneute Durchführung der OQ und die Neuerstellung der SAT-Nachweise, was unverhältnismäßige Kosten für einen Parameter verursacht, der in einem einzigen URS-Prüfzyklus hätte festgelegt werden können.

Beweismaterial zum Alkohol-Wegfahrsperrsystem ist zusammen mit den SAT-Unterlagen aufzubewahren

Die SAT-Dokumentation für Verriegelungssysteme wird häufig eher als Sammlung einzelner Testblätter denn als zusammenhängendes Nachweispaket zusammengestellt. Dieser Unterschied ist bei einem Audit von Bedeutung: Eine Sammlung von „Bestanden“- oder „Nicht bestanden“-Ergebnissen bestätigt zwar, dass die Tests durchgeführt wurden, ermöglicht es einem Prüfer jedoch nicht, nachzuvollziehen, welche Leistung vom System erwartet wurde, ob die Abnahmekriterien innerhalb der Toleranzgrenzen erfüllt wurden und ob Abweichungen während der Tests ordnungsgemäß behoben wurden, bevor das System abgenommen wurde. Die IQ/OQ/PQ-Struktur bietet den Rahmen, um dieses vollständige Bild zu erstellen.

Die IQ-Nachweise sollten den physischen und logischen Installationszustand bestätigen: Sensorpositionen, Firmware-Versionen sowie die Handshakes der Kommunikationsprotokolle zwischen der Verriegelungssteuerung, der Türbeschlagtechnik, dem BMS und etwaigen Überwachungsschnittstellen. Dies sind keine Formalitäten – ein Sensor, der relativ zur Türanschlagplatte an der falschen Position installiert ist, oder eine Firmware-Version, die nicht mit der validierten Konfiguration übereinstimmt, führt zu einer Qualifizierungslücke, die behoben werden muss, bevor die OQ fortgesetzt werden kann. Die OQ-Prüfung unterliegt den spezifischsten quantitativen Abnahmekriterien: Zeitgenauigkeit von ±0,2 Sekunden, Überprüfung der Druckschwelle auf ±0,5 Pa, Bestätigung der Einhaltung der Fluchtwegvorschriften gemäß NFPA 101 und EN 16005 sowie Bewertung von Fehlauslösungen durch „Anti-Tailgating“ unter realistischen Verkehrsbedingungen. Diese Werte sollten in der URS definiert und als projektspezifische Abnahmekriterien in das Prüfprotokoll übernommen werden – sie stellen die Präzision dar, die das System nachweisen muss, und sind keine regulatorischen Vorgaben aus einer einzelnen benannten Norm. Bei der Leistungsprüfung (PQ) geht der Schwerpunkt von der Überprüfung einzelner Funktionen hin zur Überprüfung des Systemverhaltens unter realistischen Betriebsbedingungen: Simulation von Spitzenauslastungen, Druckwiederherstellung innerhalb eines definierten Zeitfensters (≤3 Sekunden ist ein gängiges Auslegungsziel) sowie Tests zur Zugangsunterbrechung unter Last.

Die Datenintegritätsschicht erstreckt sich über alle drei Phasen und ist der Bereich, in dem die Anforderungen des EU-GMP-Anhangs 1 an elektronische Aufzeichnungen und Prüfpfade unmittelbar zur Anwendung kommen. Türereignisse, ΔP-Kurven, Änderungen der Bedienerberechtigungen und Alarmquittierungen müssen in einem manipulationssicheren Format protokolliert, per NTP-Synchronisation mit einem Zeitstempel versehen und für einen in der URS-Phase festgelegten Zeitraum aufbewahrt werden – ein Zeitraum von mindestens 10 Jahren ist ein häufig festgelegtes Ziel für GMP-Anwendungen. Die Integration in ein LIMS oder MES stellt sicher, dass die Protokolle der Verriegelungsereignisse bei Abweichungsuntersuchungen als Belege zur Verfügung stehen, ohne dass eine manuelle Datenextraktion erforderlich ist. Ein System, das während der Validierung konforme Protokolle erstellt, diese aber bei einer Abweichungsuntersuchung nicht auf Abruf bereitstellen kann, erfüllt zwar den Wortlaut der Anforderung, nicht jedoch deren Zweck. Sowohl die einmalige Archivierungsmethode als auch die rollenbasierte Berechtigungsstruktur sollten vor der Installation des Systems definiert werden, da die nachträgliche Nachrüstung von Zugriffskontrollen und Funktionen zur Protokollintegrität nach der Inbetriebnahme technisch komplex ist und eine erneute Qualifizierung der betroffenen Funktionen erfordert.

Der Praxistest für jeden Interlock-Prüfplan besteht darin, ob er für jeden Übergangsweg in der Einrichtung routenspezifische Nachweise liefern kann – und nicht nur die Bestätigung, dass die Türen isoliert betrachtet in der richtigen Reihenfolge funktionieren. Ein PAL-Testprotokoll, das die Einhaltung der Ankleidungsreihenfolge nicht nachweist, ein MAL-Test, der die Funktion der Überwachungsschnittstelle nicht bestätigt, und ein Test der Abfalldurchleitung, der die Anbindung an den Desinfektionszyklus nicht nachweisen kann, sind alle unvollständig, unabhängig davon, wie viele Testblätter sie enthalten.

Bevor Sie den Umfang des Testplans endgültig festlegen, vergewissern Sie sich, dass die Toleranzen für Freigabeverzögerungen und die VAV-Hubzeiten bereits in der Protokollphase vereinbart und dokumentiert wurden und nicht auf die Inbetriebnahme verschoben wurden. Stellen Sie sicher, dass die Struktur des SAT-Pakets – einschließlich der Frage, welche Daten das System protokollieren muss, wie lange die Aufzeichnungen aufbewahrt werden müssen und welche Integration die Protokolle unterstützen müssen – in der URS definiert ist. Diese im Vorfeld getroffenen Entscheidungen liefern Testnachweise, die einer behördlichen Überprüfung standhalten; Entscheidungen, die auf die Phase vor Ort verschoben werden, führen zu Inbetriebnahmeprotokollen, die zur Rechtfertigung Nachbesserungen erfordern.

Häufig gestellte Fragen

F: In unserer Anlage kommt ein BMS eines Drittanbieters zum Einsatz, das zum Zeitpunkt der geplanten Verriegelungsprüfung noch nicht in Betrieb genommen war – können wir dennoch ein gültiges MAL-Prüfprotokoll erstellen?
A: Nein – ein MAL-Test (Material Airlock Interlock) ist unvollständig, wenn die Schnittstelle zur Umgebungsüberwachung während des Tests nicht aktiv ist und keine Protokollierung erfolgt. Ist das BMS noch nicht in Betrieb genommen, kann der MAL-Test nicht nachweisen, dass das Eindringen von Partikeln während des Türbetriebs erfasst und nachvollziehbar ist, was eine zentrale Anforderung für den nachweisbaren Ablauf darstellt. Die richtige Vorgehensweise besteht darin, den MAL-Test so lange zu verschieben, bis die Überwachungsschnittstelle funktionsfähig ist, oder den Test offiziell als Teilqualifizierung zu definieren, mit einem dokumentierten offenen Punkt, der eine Wiederholung des Tests vor der Freigabe der PQ erfordert.

F: Welche operative Maßnahme sollte als Erstes erfolgen, nachdem das Interlock-SAT-Paket abgenommen wurde, bevor der Reinraum in Betrieb genommen wird?
A: Vergewissern Sie sich, dass die während der OQ vereinbarten Toleranzen für die VAV-Auslöseverzögerung in den Live-Sollwerten des BMS berücksichtigt sind, und überprüfen Sie, ob die Betätigungskraft der Türen und die Ausrichtung der Türrahmen innerhalb der Spezifikationen liegen, bevor das Personal den Routinetransit aufnimmt. Diese beiden Punkte – die zeitliche Konfiguration und der mechanische Zustand – sind die häufigsten Ursachen für ein vorzeitiges Bypass-Verhalten. Werden Abweichungen zwischen validierten Parametern und den aktuellen Sollwerten bereits bei der Übergabe erkannt, lässt sich das schwierigere Problem vermeiden, die OQ-Nachweise nachträglich rekonstruieren zu müssen, nachdem im Produktionsbetrieb bereits ein Druck-OOS-Ereignis aufgetreten ist.

F: Ab welchem Punkt führt eine Verlängerung der Verzögerung beim Lösen der Verriegelung nicht mehr zu einer Verbesserung der Druckstabilität, sondern zu einem Problem bei der Benutzerfreundlichkeit?
A: Die sinnvolle Obergrenze ist der Punkt, an dem die Verzögerung die Durchlaufzeit im Vergleich zu den Erwartungen der Bediener für die Strecke spürbar verlängert. In der Praxis sorgt eine Freigabeverzögerung, die auf das 1,5-Fache der VAV-Vollhubzeit festgelegt ist, in den meisten Konfigurationen für Druckstabilität, ohne dass eine wahrnehmbare Wartezeit entsteht – Verzögerungen, die darüber hinausgehen, sollten durch eine spezifische HLK-Eigenschaft begründet sein und nicht als konservativer Standardwert angewendet werden. Verzögerungen, die den Bedienern willkürlich erscheinen, sind die Bedingungen, die am ehesten zu informellen Umgehungen führen; daher sollte jede Verzögerung, die den Zielwert von 1,5× überschreitet, anhand der tatsächlichen VAV-Ansprechdaten überprüft werden, anstatt sie vorsorglich beizubehalten.

F: Ist eine statische Prüfung der Verriegelung einer Durchreichbox gleichbedeutend mit einer dynamischen Prüfung der Verriegelung einer Durchreichbox, oder sind hierfür unterschiedliche Prüfverfahren erforderlich?
A: Sie erfordern unterschiedliche Protokolle. Bei einem statischen Verriegelungstest für eine Durchgabebox müssen lediglich die Abfolge der einzelnen Türöffnungen, das Verhalten des Zeitüberschreitungsalarms und die Reaktion auf einen Stromausfall überprüft werden. Bei einer dynamischen Durchgabebox kommt eine weitere Koordinationsanforderung hinzu: Die Überprüfung der HEPA-Filterintegrität und des internen Luftstroms muss als Teil desselben Testvorgangs behandelt werden und darf nicht als separate Inbetriebnahmeaktivität erfolgen. Eine Trennung dieser Schritte führt zu einem Validierungsprotokoll, das zwar die korrekte Türsequenz bestätigt, jedoch nicht nachweisen kann, dass das Gerät als Kontaminationsbarriere fungiert, da ein defekter HEPA-Filter den Eindämmungszweck der Verriegelung untergräbt – unabhängig davon, wie korrekt die Türen nacheinander betätigt werden.

F: Erfüllt die Interlock-Prüfung die Anforderung an die Druckkaskadenprüfung für einen Reinraum, oder handelt es sich dabei um zwei getrennte Qualifizierungsmaßnahmen?
A: Es handelt sich um getrennte Aktivitäten, von denen keine die andere ersetzt. Die Verriegelungsprüfung bestätigt, dass die Türübergangslogik, das Alarmverhalten und die Übersteuerungsreaktionen korrekt funktionieren – sie charakterisiert jedoch nicht das anhaltende Differenzdruckprofil über die Zonen hinweg unter Betriebsbedingungen, was hingegen durch die Druckkaskadenprüfung ermittelt wird. Eine Anlage kann über ein vollständig validiertes Verriegelungssystem verfügen und dennoch einen Druckkaskadentest nicht bestehen, wenn die Dimensionierung der HLK-Anlage, die Raumleckage oder das Ansprechen der Klappen unzureichend ist. Beide Tests müssen durchgeführt und ihre Protokolle im Qualifizierungsdossier miteinander abgeglichen werden, doch sie befassen sich mit unterschiedlichen Fehlermodi und unterliegen unterschiedlichen Abnahmekriterien.