Siemens WinCC im GxP-Einsatz: Rezeptur, Runtime und Aufzeichnungen validieren

1. Zuerst die WinCC-Produktfamilie und den Stand bestimmen

Der Schwerpunkt liegt auf klassischem SIMATIC WinCC V8.1. Als konkreter Herstellerstand ist Update 6 mit Kennung K8.1.0.6 durch ein Readme vom Februar 2026 belegt. Ergänzend werden das Audit-Handbuch von September 2024 und das Systemhandbuch „Working with WinCC“ von Juni 2025 verwendet. Diese Ausgaben beschreiben unterschiedliche Teile des Systems; sie sind keine Behauptung über den neuesten verfügbaren Patch Ihrer Installation.

WinCC Professional im TIA Portal und WinCC Unified sind andere Produktlinien. Funktionen, Clients und Optionen lassen sich deshalb nicht allein wegen des gemeinsamen Namens übertragen. Die TIA-V20-Unterlage unterscheidet diese Produkte ausdrücklich von WinCC V7.x/V8.x und enthält eigene Installationsgrenzen. Bestehende V7-Anlagen benötigen einen erfassten Versions- und Migrationsumfang.

Halten Sie Engineering- und Runtime-Stand, Server, Clients, Betriebssystem, Datenbank, Treiber, Steuerungen und Optionen fest. Die V8.1-Bestellübersicht unterscheidet RT und RC sowie Archivumfang und Zusatzoptionen. Verwenden Sie diese Übersicht zur Orientierung; den tatsächlich erworbenen und installierten Umfang belegen Ihre eigenen Unterlagen. Auch eine einzelne fehlende Option kann den vorgesehenen Prüfweg verändern.

Quellen: [2] [4] [5] [1] [6]

2. Den Prozessbezug der SCADA-Anwendung beschreiben

WinCC visualisiert und verarbeitet projektiert Prozessinformationen. Die GMP-Bedeutung entsteht daraus, ob Bedienungen, Sollwerte oder Aufzeichnungen die Herstellung und Qualitätsbewertung beeinflussen. Ein reines Übersichtsbild ist anders zu bewerten als eine Bedienung, die kritische Parameter verändert, oder ein Archiv, dessen Verlauf eine Chargenentscheidung stützt.

Der betrachtete Regelbereich ist die Herstellung von Humanarzneimitteln unter EU-GMP. Annex 11 behandelt Computersysteme in diesem Zusammenhang risikobezogen; Kapitel 4 unterscheidet kontrollierte Vorgaben und Ausführungsaufzeichnungen. Eine Audit-Funktion bestätigt weder eine behördliche Zulassung der Software noch die Eignung jeder Kundenanlage.

Beschreiben Sie die Systemgrenze vom Sensor beziehungsweise der Datenerzeugung über Steuerung und Kommunikation bis zur Anzeige, Ablage und späteren Bewertung. Benennen Sie dabei führende Datenquellen: Wo gilt der Rezepturstand, wo läuft die Prozesslogik und welche Aufzeichnung ist für welchen Zweck maßgeblich? Grenzen zu MES, SIMATIC BATCH oder einem übergeordneten Historian müssen verständlich bleiben.

Quellen: [8] [9] [7]

3. Datenwege und Nachweisarten getrennt zuordnen

Ein plausibler Bildschirmwert zeigt zunächst einen dargestellten Zustand. Daraus folgt nicht automatisch, dass derselbe Wert richtig in der Steuerung ankam, im vorgesehenen Takt archiviert wurde oder später eindeutig einer Charge zugeordnet werden kann. Die folgende eigene Arbeitsmatrix verhindert, dass ein Nachweis unbemerkt für mehrere unterschiedliche Aussagen verwendet wird.

Erfassen Sie für jede Zeile die konkrete Komponente und den Verantwortlichen. Ergänzen Sie Schnittstellen, die außerhalb von WinCC liegen. Damit wird beispielsweise sichtbar, ob die Rezepturverwaltung selbst führend ist oder nur einen Datensatz aus einem übergeordneten System entgegennimmt.

Quellen: [5] [4] [8]

4. Rezepturänderung und Übernahme in die Steuerung prüfen

Das WinCC-Handbuch beschreibt User Archives als Datenstrukturen, über die unter anderem Rezeptur- und Produktionsparameter mit dem Automatisierungssystem ausgetauscht werden können. Datenstruktur und Kommunikation sind zu konfigurieren. Daraus ergibt sich keine automatisch vorhandene GMP-Freigabe oder garantierte chargenrichtige Übernahme in einem beliebigen Projekt.

Definieren Sie daher einen konkreten Übergang: Ein fachlich genehmigter Datensatz wird für eine bestimmte Anlage und Charge ausgewählt, übertragen und als wirksam bestätigt. Prüfen Sie unvollständige Übertragung, falsche Einheiten, unpassende Produktzuordnung und wiederholtes Auslösen. Welche Sperre oder Rückmeldung dafür verwendet wird, hängt von Ihrer Projektierung und Steuerungslogik ab.

Bei einer Änderung zwischen zwei Chargen muss erkennbar bleiben, welcher Stand tatsächlich galt. Eine neue Rezeptversion darf die frühere Ausführung nicht nachträglich umdeuten. Legen Sie außerdem fest, wie eine bewusst zulässige Änderung während einer laufenden Charge behandelt und dokumentiert wird. Ein pauschales Verbot jeder Online-Änderung wäre ebenso wenig hilfreich wie eine unbegrenzte Änderungsmöglichkeit.

Quellen: [5] [9] [8]

5. Prozesswertarchive anhand ihres Verfahrens bewerten

Erfassung, Archivierung und Bildschirmaktualisierung sind im WinCC-Handbuch getrennte Zyklen. Für eine belastbare Prüfung reicht deshalb die Aktualisierungsrate des Prozessbilds nicht aus. Benennen Sie Messgröße, Einheit, Datentyp, Zeitquelle, Archivierungsverfahren und relevante Qualitätsinformation. Prüfen Sie den tatsächlich gespeicherten Bestand.

Das Handbuch beschreibt auch verdichtende Verfahren wie den Swinging-Door-Algorithmus, bei dem nicht jeder Wert gespeichert wird. Eine einfache Sollanzahl von Messpunkten passt daher nur zu einem entsprechend definierten zyklischen Verfahren. Legen Sie die erwartete Aussage des Archivs fest: etwa Erkennen einer relevanten Grenzverletzung oder nachvollziehbarer Verlauf eines Prozessabschnitts.

Für Audit-GMP-Tags nennt das kumulative Update-6-Readme im Abschnitt zu Audit Update 3 eine konkrete Grenze: Bei Erfassungszyklen unter einer Sekunde können Werte verloren gehen. Das betrifft die dort beschriebene Audit-Erfassung. Es ist weder eine generelle Geschwindigkeitsschranke aller WinCC-Prozesswertarchive noch der Beweis, dass ein Einsekundenzyklus für jede Anwendung genügt.

Quellen: [5] [2] [8]

6. Alarmzustand, Quittierung und Reaktion auseinanderhalten

Eine Quittierung beantwortet eine andere Frage als die Rückkehr des Prozesses in den vorgesehenen Bereich. Legen Sie für relevante Alarme fest, was das Ereignis bedeutet, wer es wahrnimmt, welche Reaktion erwartet wird und wie das Ende des Ereignisses erkannt wird. Der Nachweis sollte auch zeigen, dass eine Quittierung keine weiterhin bestehende Störung unsichtbar macht.

Die WinCC-Meldesystemdokumentation beschreibt konfigurierbare Meldeklassen, Meldearten und Quittierverhalten. Prüfen Sie daher die tatsächlich gewählte Konfiguration mit den vorgesehenen Clients. Ein fachlich relevanter Alarm muss am richtigen Bedienplatz mit verständlicher Information ankommen. Ein Kommunikationsproblem benötigt gegebenenfalls eine andere Reaktion als eine echte Grenzverletzung des Prozesses.

Für das Prüfprotokoll sind Eingangsereignis, Zeitpunkt, sichtbarer Zustand, Quittierung und anschließender Befund hilfreiche getrennte Felder. Ergänzen Sie Ausfall eines Bedienplatzes und den geregelten Wechsel zum Ersatzarbeitsplatz. Die fachliche Bewertung möglicher Chargenauswirkungen richtet sich nach dem konkreten Ereignis, seinen Daten und dem eigenen Qualitätssystem.

Quellen: [5] [8]

7. Rechte und Audit-Umfang am tatsächlichen Ereignis testen

WinCC/Audit unterscheidet unter anderem Komponenten für Konfigurationsänderungen, User Archives, Bedienhandlungen, GMP-Tags und Signaturereignisse. Diese werden gezielt aktiviert. Eine vorhandene Lizenz bedeutet deshalb noch nicht, dass jede relevante Änderung Ihres Projekts erfasst wird. Formulieren Sie zunächst, welche Handlungen nachvollziehbar sein sollen.

Prüfen Sie beispielsweise eine berechtigte Rezepturänderung, einen abgewiesenen Änderungsversuch, eine administrative Konfigurationsänderung und eine Handlung über ein projektspezifisches Skript. Vergleichen Sie das ausgelöste Ereignis mit dem gespeicherten Kontext. Untersuchen Sie auch den Ausfall der Erfassung und die Wiederaufnahme, soweit diese Wege für Ihre Systemgrenze relevant sind.

Das Audit-Handbuch beschreibt elektronische Signaturen als konfigurationsabhängige Funktionen und unterscheidet auch unmittelbare und nachträgliche Bestätigungen. Bestimmen Sie, wann die betreffende Handlung erfolgen darf und welche Bedeutung eine Bestätigung besitzt. Eine normale Anmeldung, eine Alarmquittierung und eine qualitätsrelevante Genehmigung sind nicht ohne Weiteres dieselbe Entscheidung. Der jeweilige Verwendungszweck bestimmt die erforderliche Bewertung.

Quellen: [4] [8]

8. Illustratives Beispiel: Rezeptwechsel und zwölf fehlende Archivpunkte

Die folgende Sollprüfung ist frei konstruiert. Es wurde keine Anlage betrieben und kein Kundenergebnis verwendet. Eine Anlage verarbeitet Charge A mit Rezept R1 und 60,0 °C als Sollwert. Rezept R2 mit 65,0 °C ist ausschließlich für die nächste Charge B vorgesehen. Diese Temperaturen sind Beispielparameter und keine pharmazeutischen Akzeptanzgrenzen.

Zusätzlich wird für genau einen Temperaturkanal ein Archivtest definiert: jede Sekunde ein gespeicherter Wert, ohne Totzone, Kompression oder Aggregation. Das Zeitfenster reicht von 10:00:00 bis 10:10:00 einschließlich beider Randpunkte. Die gewählte Testkonfiguration muss diese Voraussetzungen tatsächlich erfüllen.

• Den fehlenden Zeitraum anhand der Zeitstempel bestimmen, nicht nur eine Gesamtzahl vergleichen.
• Prüfen, ob die Störung nur die Aufzeichnung oder auch Bedienung und Prozessführung betroffen hat.
• Fehlende Werte nicht durch eine gezeichnete Verbindungslinie als gemessen darstellen.
• Erst nach Bewertung der Befunde über die vorgesehene weitere Nutzung und erforderliche Maßnahmen entscheiden.

Quellen: [5] [2] [8] [9]

9. Betrieb, Wiederherstellung und KMU-Mitwirkung vorbereiten

Planen Sie die Zusammenarbeit von Produktion, Automatisierung, IT und QA anhand konkreter Entscheidungen. Produktion beschreibt kritische Vorgaben und Reaktionen, Automatisierung erklärt Steuerungslogik und Datenwege, IT bearbeitet Infrastruktur und Sicherung. Fachliche Befugnisse und erforderliche Prüfungen werden im eigenen Qualitätssystem festgelegt. Hersteller und Integrator liefern dazu passende technische Unterlagen und Projektinformationen.

Der Aufwand wächst mit gewachsenen Skripten, vielen Steuerungen, unterschiedlichen Clientwegen, unklaren Rezeptzuständigkeiten und historischen Datenbeständen. Ein erster vollständiger Datenweg ist für die Planung aussagekräftiger als eine pauschale Zahl von Bildschirmbildern. Prüfen Sie Leistung unter einer repräsentativen Last; dokumentierte Systemhöchstwerte sind keine Zusage für Ihre Kombination von Hardware und Projektierung.

Die Sicherung muss die benötigten Bestände tatsächlich umfassen. Das Audit-Handbuch weist darauf hin, dass ein manuelles Backup nur das aktive Segment erfasst und frühere Segmente über die konfigurierte automatische Sicherung berücksichtigt werden. Auch Migrationen unterscheiden zwischen Datenarten. Beziehen Sie deshalb historische Lesbarkeit, Projektstand, Runtime und Wiederanlauf in die Änderungsplanung ein. Redundanz allein ersetzt diesen Nachweis nicht.

Quellen: [3] [4] [8]

10. Checkliste für den konkreten WinCC-Nachweis

Diese eigene Arbeitshilfe dient dazu, den Prüfplan auf entscheidende Datenwege zu konzentrieren. Verknüpfen Sie jeden Punkt mit einer Anforderung, einem Verantwortlichen und einem nachvollziehbaren Ergebnis. Eine unerklärte Abweichung wird nicht durch eine insgesamt plausible Visualisierung aufgehoben.

• Produktfamilie, Version, Updates, RT/RC und verwendete Optionen eindeutig erfasst.
• Steuerung, Kommunikation, Server und sämtliche relevanten Bedienwege abgegrenzt.
• Führender Rezeptstand, Auswahl, Übernahme und Chargenzuordnung festgelegt.
• Rollen für Rezepturänderung, Bedienung, Konfiguration und Administration praktisch geprüft.
• Erfassungs-, Archivierungs- und Anzeigeverfahren samt Einheiten und Zeitbezug verstanden.
• Alarmzustand, Quittierung, Reaktion und Rückkehr in den Normalzustand unterschieden.
• Relevante Audit-Ereignisse anhand ausgelöster Handlungen geprüft.
• Kommunikationsfehler, falsche Rückmeldung und Wiederholung gezielt abgedeckt.
• Benötigte Archiv-/Auditsegmente sowie Projektstände in Sicherung und Wiederherstellung berücksichtigt.
• Änderungen, historische Daten und erforderliche erneute Prüfungen im Betrieb geregelt.

Quellen: [8] [9]