Rotronic RMS validieren: gültige Messdaten und rechtzeitige Reaktion

RMS-Version und reale Messkette erfassen

Das Rotronic Monitoring System verbindet Software mit Messstellen, Sensoren und Loggern. Je nach Aufbau kommen Gateways, Netzwerkdienste und externe Benachrichtigungswege hinzu. Der Hersteller beschreibt On-Premise-, Public-Cloud- und Exclusive-Cloud-Angebote. Diese Varianten verändern Aufgabenverteilung und Nachweise. Ein Cloudvertrag beantwortet beispielsweise nicht von selbst, wer die örtliche Messstelle und ihre Alarmgrenzen betreut.

Die ausgewerteten Release Notes beziehen sich auf RMS 2.9.1.26100 mit Phase-3-Freigabe vom 22. Mai 2026. Die bekannten Fehler wurden am 25. September 2026 aktualisiert. Ein späterer Historieneintrag nennt ein Kapitel für die nächste Version 2.9.2; daraus wird hier keine bereits erfolgte Produktfreigabe abgeleitet.

Erfassen Sie für Ihre Prüfung den tatsächlichen Build und die Hardware-/Firmwarekombination. Die Hersteller-Kompatibilitätstabelle unterscheidet diese Stände ausdrücklich. Ergänzen Sie die Zuordnung zwischen Sensor, Logger, Messstelle und überwachten Bereich. So können vorhandene Belege auf denselben Aufbau bezogen werden, der später die Qualitätsentscheidung unterstützt.

Quellen: [1] [2] [3] [4]

Den Überwachungszweck vor der Alarmprüfung klären

Im hier betrachteten Humanarzneimittel-GMP-Einsatz kann RMS dazu beitragen, benötigte Umgebungs- oder Lagerbedingungen zu überwachen. Kapitel 3 behandelt unter anderem geeignete Temperatur- und Feuchtebedingungen sowie deren Überwachung bei besonderen Lageranforderungen. Welche Messstelle welche Entscheidung trägt, bleibt dennoch eine fachliche Festlegung Ihres Betriebs.

Ein Monitoring-System ist nicht automatisch die Steuerung einer Anlage oder eine Sperre im Warenwirtschaftssystem. Wenn eine Grenzverletzung zu einer Materialbewertung führen soll, beschreiben Sie diesen Übergang: Wer wird informiert, welche Bestände könnten betroffen sein und welche Handlung wird erwartet? Eine technische Alarmquittierung beantwortet diese Fragen nicht vollständig.

Annex 11 bildet als GMP-Leitlinie den Rahmen für den computerisierten Anteil. Der Umfang orientiert sich an Verwendung und Risiko. Eine feste GAMP-Kategorie allein aus dem Produktnamen wird hier nicht vergeben. Bei zusätzlichem FDA-Bezug sind die einschlägigen Aufzeichnungsvorschriften und die Nutzung elektronischer Daten zu bestimmen; Herstellerwerbung entscheidet deren Anwendbarkeit nicht.

Quellen: [10] [12] [11] [14]

Lokale Loggerfunktion und Serververarbeitung unterscheiden

Der konkret dokumentierte RMS-LOG-L-D überträgt Messwerte mit Zeit- und Gerätebezug über Ethernet zum RMS-Webservice. Bei unterbrochener Kommunikation ist eine lokale Pufferung mit späterer Übertragung beschrieben. Das ist eine Funktion dieses Modells und keine pauschale Aussage für alle RMS-Geräte oder jede Stromversorgung.

Besonders relevant ist die Alarmgrenze: Der RMS-LOG-L-D übernimmt Grenzwerte und Hysterese, berücksichtigt jedoch keine in RMS eingestellten Alarmverzögerungen. Eine Person am Gerät kann daher Display oder Summer bereits wahrnehmen, während eine serverseitige Zeitbedingung noch läuft. Das Handbuch bezeichnet den Logger trotzdem nicht als eigenständiges Gerät ohne RMS.

Planen Sie getrennte Nachweise für Messwerterfassung, lokale Reaktion und Übertragung. Kalibrierung und geeignete Messstellenplatzierung beantworten andere Fragen als die Softwareprüfung. Auch eine erfolgreiche Kommunikationsprüfung beweist nicht die Richtigkeit des Sensors. Notieren Sie daher, welche Voraussetzung durch welchen Beleg getragen wird und welche Kombination im jeweiligen Prüffall tatsächlich verbunden ist.

Quellen: [5] [2] [12]

Verzögerung, Versand und Reaktion als eigene Schritte prüfen

RMS unterscheidet Alarmverzögerung und Benachrichtigungsverzögerung. Das Setup-Kapitel beschreibt, dass bei einem zuvor endenden Alarm keine Meldung versendet wird, wenn die Benachrichtigungsverzögerung noch nicht abgelaufen ist. Alarmaktionen sind davon ausdrücklich ausgenommen. Übertragen Sie deshalb eine beobachtete E-Mail-Zeit nicht ungeprüft auf lokale Signale oder andere Aktionen.

Dienstzeiten und Zeitzonen beeinflussen zusätzlich, wer erreichbar sein soll. Die Nachrichtensammlung und ihre Anbietergrenzen verdienen eigene Prüffälle. Rotronic beschreibt etwa, dass gesammelte E-Mails keine Abweichungsberichte oder Anhänge enthalten. Außerdem gilt diese Sammlung laut Handbuch nicht für Validation Scripts. Ein erfolgreicher Scriptlauf kann damit eine produktive Versandvariante offenlassen.

Für den Offlinefall formulieren Messstellenkapitel und Ereignisüberblick die Verzögerungsmechanik unterschiedlich. Klären Sie das erwartete Verhalten für Ihre Kombination, bevor Sie eine genaue Zeitvorgabe festschreiben. Anschließend lassen sich Empfang, Quittierung und fachliche Reaktion getrennt erfassen. Eine Versandbestätigung allein belegt weder den Empfang beim zuständigen Mitarbeiter noch dessen angemessene Handlung.

Quellen: [6] [7] [8]

Timeout, Datenlücke und ungültigen Sensorwert auseinanderhalten

Ein Device timeout beschreibt ausbleibende Daten auf der Serverseite nach dem eingestellten Zeitraum. Ein Data-gap-Ereignis betrifft die fehlende Datenübernahme. Ein Sensor error kann dagegen bei bestehender Kommunikation auftreten: Das Handbuch beschreibt ungültige Platzhalter statt Messwerten, ohne dass dafür ein Data-gap-Ereignis erscheint. Diese Unterschiede sind für die Bewertung einer vermeintlich lückenlosen Anzeige wesentlich.

Beim erneuten Downloadversuch unterscheidet RMS unter anderem Timeout und No data. Die Ursache kann etwa Kommunikation, Versorgung, Zeitbezug oder nicht mehr vorhandener Speicherinhalt sein. Ein fehlender Datensatz lässt sich nicht allein durch erneutes Anstoßen zuverlässig wiederherstellen. Prüfen Sie daher neben der Kurve die zugehörigen Ereignisse und den Zustand des konkreten Geräts.

Später ausgelöste Grenzwert-Ereignisse können als Retroactive gekennzeichnet sein. Das ergänzt die rückblickende Bewertung, stellt aber eine unterbliebene zeitnahe Benachrichtigung nicht nachträglich her. Entscheiden Sie deshalb zwei Fragen getrennt: Ist der relevante Zeitraum ausreichend mit gültigen Daten belegt, und war die erforderliche Reaktion während der Störung sichergestellt?

Quellen: [8] [9]

Die Nachweiskette übersichtlich planen

Eine eigene Anforderungsübersicht sollte die fachliche Erwartung nennen, nicht nur eine aktivierte Funktion. „Alarmierung eingerichtet“ bleibt unbestimmt. „Bei der festgelegten Grenzverletzung erhält der vorgesehene Empfänger unter den definierten Betriebsbedingungen eine verständliche Meldung“ führt zu einem überprüfbaren Soll. Ergänzen Sie die zulässige Zeit anhand Ihres Prozesses und seiner Risiken.

Die folgende Tabelle ist eine Arbeitshilfe. Ordnen Sie Herstellerbelege und eigene Prüfungen den einzelnen Übergängen zu. Derselbe Nachweis darf mehrere Anforderungen stützen, wenn seine Aussage dazu passt. Ersetzen Sie den Zusammenhang nicht durch eine möglichst große Zahl ähnlicher Bildschirmaufnahmen.

Quellen: [5] [6] [7] [11]

Illustratives Beispiel mit fünf geplanten Messzeitpunkten

Das Beispiel ist frei konstruiert; es wurde kein RMS-Produkttest ausgeführt. Ausgangspunkt ist Messstelle M-17 mit RMS-LOG-L-D in einem Raum für feuchteempfindliches Material. Das eigene Test-Soll verwendet ein Raster von 60 Sekunden und eine erfundene Obergrenze von 60,0 %RH. Die vorbereitete Folge für 10:03 bis einschließlich 10:07 lautet 58,0; 59,0; 61,0; 62,0; 59,0 %RH.

Damit liegen fünf geplante Werte vor. Zwei überschreiten die Grenze: 61,0 um 1,0 und 62,0 um 2,0 Prozentpunkte. Der Maximalwert ist 62,0 %RH. Diese Rechnung prüft den Datensatzvergleich und bestimmt keine Produktschädigung. Für reale Prüfungen muss die Art der kontrollierten Wertevorgabe geeignet sein; ein simuliertes Signal belegt nicht zugleich Sensorgenauigkeit oder physische Messstellenrepräsentativität.

Jede Tabellenzeile startet erneut im dokumentierten Ausgangszustand. Bei Kommunikationsunterbrechung wird für das halboffene Zeitfenster von 10:03 bis 10:08 mit fünf geplanten Messpunkten gerechnet. Die Wiederverbindung liegt außerhalb dieser Zählung. Für die Alarmprüfung werden Hysterese, beide Verzögerungen, Empfänger und erwartete Zeitfenster zusätzlich vorab festgelegt. Aus zwei überschrittenen Messpunkten folgt noch keine allgemeine Aussage über eine durchgehende reale Überschreitungsdauer.

Quellen: [5] [8] [9] [11]

Messstellenhistorie und aufbewahrte Daten verständlich halten

Ein Messstellenname ist für Menschen hilfreich, kann sich aber ändern. Laut Setup-Kapitel ersetzt eine Umbenennung den angezeigten Namen auch für vergangene Ereignisse. Prüfen Sie daher, wie Messstellenidentität, Ort und Gerätewechsel über die Nutzungszeit nachvollziehbar bleiben. Die Herstellerempfehlung zum Archivieren statt Umbenennen muss zu Ihrem tatsächlichen Wechselprozess passen.

Definieren Sie die Aufzeichnungen, mit denen Sie eine relevante Abweichung später beurteilen: Messwerte, Zeitbezug, Konfiguration, Ereignisse und dokumentierte Reaktion können dazugehören. Eine hübsche Kurve allein zeigt möglicherweise nicht, welche Werte ungültig waren oder wann eine Nachricht tatsächlich versendet wurde. Eine kontrollierte Korrektur muss die erforderliche Vorgeschichte erhalten.

Für die Wiederherstellung braucht es einen praktischen Nachweis am vorgesehenen Datenbestand. Untersuchen Sie einen festgelegten Zeitraum einschließlich zugehöriger Informationen. Im Cloudbetrieb klären Sie, was der Anbieter wiederherstellt und was Ihre Organisation anschließend prüft. Ein Vertrag oder eine Sicherungsmeldung allein beantwortet nicht, ob der benötigte fachliche Zusammenhang danach wieder lesbar ist.

Quellen: [6] [8] [13] [11]

Versionen und bekannte Fehler gezielt bewerten

Nutzen Sie passende Herstellerbelege für die tatsächlich eingesetzte Kombination. Prüfen Sie, welche Anforderungen, Einstellungen und Bedingungen abgedeckt wurden und ob Abweichungen die Übernahme begrenzen. Ein bereitgestelltes Paket kann wertvolle Prüfungen enthalten. Daraus folgt weder, dass Sie alles wiederholen müssen, noch dass Ihre örtlichen Alarm- und Reaktionswege vollständig belegt sind.

Die Release Notes 2.9.1 dokumentieren unter anderem Korrekturen an Datenlückendarstellung und Speicherung. Die bekannte Fehlerliste nennt weitere Einschränkungen bei nachträglich gefüllten künstlichen Lücken sowie bestimmten Benachrichtigungsvarianten. Verwenden Sie solche Hinweise für eine konkrete Betroffenheitsentscheidung. Eine Anbieter-Risikoklasse ist noch keine Beurteilung der Folgen für Ihren überwachten Prozess.

Nach einem Release, Loggerwechsel oder geänderten Alarmplan bestimmen Sie die betroffenen Anforderungen. Die passenden Ergänzungsprüfungen richten sich danach. Prüfen Sie zugleich, ob Dokumentation, Bereitschaft und Ersatzverfahren noch zum Betrieb passen. Eine Änderung am Versanddienst kann beispielsweise wichtiger für die Reaktionsfähigkeit sein als eine sichtbare Änderung des Diagrammlayouts.

Quellen: [3] [2] [7] [11]

Checkliste für QA, Messstellenverantwortliche und IT

Der Prozessverantwortliche legt fest, welche Bedingungen und Reaktionen benötigt werden. QA bewertet Nachweise und offene Auswirkungen. IT beziehungsweise der Betreiber klärt Netzwerk, Systemstand und Datenhaltung; Messstellenverantwortliche liefern Sensor- und Kalibrierinformationen. Auch außerhalb regulärer Arbeitszeit braucht die gewählte Organisation einen verständlichen Ablauf.

Der Aufwand hängt stark von Gerätevarianten, Standorten, Alarmplänen, Versanddiensten und Qualität vorhandener Belege ab. Ein kleiner Bestand kann anspruchsvoll sein, wenn die Datenwege unklar sind. Eine umfangreichere Installation kann von wiederverwendbaren, passend belegten Konfigurationen profitieren. Erheben Sie diese Faktoren vor einer Terminplanung, statt eine allgemeine Anzahl von Tests oder Projekttagen anzusetzen.

• Softwarebuild, Betriebsform, Logger, Firmware und Sensoren inventarisieren.
• Messstellenzweck, Grenzwerte, Hysterese und Zeitbedingungen bestimmen.
• Arbeitszeiten, Empfänger, Eskalation und tatsächlichen Versanddienst erfassen.
• Kommunikationsausfall, Versorgung und Sensorfehler getrennt planen.
• Nachlieferung anhand unabhängig gezählter Zeitpunkte prüfen.
• Ungültige Werte, rückwirkende Ereignisse und offene Lücken bewerten.
• Rechte, Änderungen, Aufbewahrung und Wiederherstellung nachweisen.
• Herstellerbelege und verbleibende Aufgaben vor Betriebsfreigabe zuordnen.

Quellen: [11] [12] [1]