Inhaltsverzeichnis
Das Wichtigste vorab
Was müssen Sie bei testo Saveris 1 tatsächlich validieren?
Prüfen Sie den vorgesehenen Überwachungsprozess vom zugeordneten Sensor bis zur bewerteten Abweichung. Dazu gehören Grenzwerte, Übertragungswege, Alarmempfänger, Quittierungsrechte, Datenverfügbarkeit und Wiederanlauf. Eine Sensorkalibrierung belegt nicht die gesamte Alarmkette. Bei Saveris 1 mit CFR-Software V6 beziehen Sie außerdem die konkret aktivierten Genehmigungs- und Aufzeichnungsfunktionen ein. Den Umfang bestimmen Einsatz, Konfiguration und Fehlerfolgen.
- Saveris 1 mit CFR-Software V6 ist der Schwerpunkt; Saveris 2 und andere Softwarevarianten werden getrennt betrachtet.
- Eine ausgelöste Nachricht, ihre Quittierung und die fachliche Bewertung einer Temperaturabweichung sind unterschiedliche Nachweise.
- Kalibrierung, räumliches Mapping und Systemvalidierung beantworten jeweils eigene Fragen.
- Kommunikationsausfall und Wiederanlauf gehören ebenso in die Prüfung wie der normale Messbetrieb.
Welche Saveris-Variante ist gemeint?
Testo verwendet den Namen Saveris für unterschiedliche Lösungen. Die Herstellerseite zur Pharma-Lagerung nennt ausdrücklich Saveris 1 und Saveris 2. Der vorliegende Artikel fokussiert testo Saveris 1 mit der testo Saveris 1 CFR-Software V6, Produktnummer 0526 1004, zur Installation auf PC oder Server. Für diese Variante beschreibt Testo Rollenverwaltung, Audit Trail, elektronische Aufzeichnungen und Signaturen sowie Alarmeskalation.
Saveris 2 wird als WLAN-Datenloggersystem mit Testo Cloud beschrieben. Auch für Saveris 1 bietet Testo inzwischen lokale und Cloudmodelle an. Aus dem Familiennamen können Sie deshalb weder Betriebsverantwortung noch Funktionsumfang ableiten. Lassen Sie im Projekt Produktnummer, Softwareversion, Lizenz, Komponenten und Betriebsmodell verbindlich dokumentieren.
Der Schwerpunkt liegt auf der Überwachung von Lager-, Labor- oder Produktionsbedingungen für Humanarzneimittel. Temperaturregelung, Kühlanlagensteuerung und sicherheitstechnische Schutzfunktionen sind separat abzugrenzen. Das V6-Handbuch beschreibt Saveris als Überwachungssystem, nicht als Regelung.
Den vorgesehenen Einsatz vor der Testliste festlegen
Beginnen Sie mit der Entscheidung, die auf den Daten beruht: Überwachen Sie einen Lagerbereich, bewerten Sie eine Temperaturabweichung oder verwenden Sie Messreihen für eine chargenbezogene Qualitätsentscheidung? Benennen Sie Produkte, Räume, Messstellen, Verantwortliche und führende Aufzeichnungen. Dieselbe technische Installation kann unterschiedliche Nachweistiefen benötigen.
Im GMP-Scope fordert Annex 11 eine risikobasierte Betrachtung des computergestützten Systems. Im GDP-Scope adressieren die EU-Leitlinien unter anderem Umgebungsüberwachung, Alarmtests und geeignete Nachweise vor Systemeinsatz. Part 11 wird anhand der FDA-Aufzeichnungspflichten und der tatsächlich verwendeten elektronischen Aufzeichnungen beurteilt. Die Bezeichnung CFR allein legt den regulatorischen Umfang nicht fest.
Empfehlung: Formulieren Sie prüfbare Anforderungen. „Temperaturen überwachen“ ist zu unbestimmt. Beschreiben Sie stattdessen, welcher Messpunkt bei welcher Abweichung welchen Empfänger erreichen muss, welche Reaktion erwartet wird und welche Aufzeichnung entsteht. Legen Sie zulässige Unterbrechungen und Ersatzverfahren vor dem Test fest.
Messstelle, Kalibrierung und Systemprüfung verbinden
Eine Kalibrierung liefert einen messtechnischen Nachweis für die geprüfte Messkette unter festgelegten Bedingungen. Mapping untersucht die räumliche Temperaturverteilung. Systemvalidierung betrachtet den vorgesehenen Gesamtprozess. Die EU-GDP-Leitlinien behandeln Messstellenplatzierung anhand des Mappings, risikobasierte Kalibrierintervalle und computergestützte Systeme entsprechend als eigene Prüffelder.
Empfehlung: Verknüpfen Sie jede relevante Messstelle mit Ort, Sensoridentität, Logger, Kanal, Einheit, Kalibrierstatus und Grenzwertbegründung. Ein vertauschter Kanal kann einen plausiblen Messwert am falschen Ort anzeigen. Prüfen Sie deshalb die Zuordnung auch physisch. Eine gleiche Gerätebezeichnung reicht nach einem Austausch nicht als Identitätsnachweis.
Die folgende Tabelle ist eine eigene Planungshilfe. Sie beschreibt benötigte Nachweise, keine pauschal mitgelieferten Herstellerleistungen.
| Prüffeld | Leitfrage | Geeigneter Nachweis |
|---|---|---|
| Kalibrierung | Wie verhält sich die Messkette gegenüber einer Referenz? | Zertifikat mit Identität, Messpunkten, Ergebnissen und bewerteter Eignung |
| Mapping | Welche Positionen repräsentieren die kritischen Lagerbedingungen? | Begründete Messstellenwahl aus der räumlichen Untersuchung |
| Konfiguration | Ist der richtige Kanal mit passender Alarmregel verbunden? | Freigegebene Messstellen- und Alarmmatrix mit Abgleich |
| Gesamtprozess | Erreicht eine relevante Abweichung den zuständigen Mitarbeiter? | Prüfung von Auslösung, Zustellung, Quittierung und Folgebearbeitung |
Quellen: [9]
Die ganze Alarmkette prüfen
Das V6-Handbuch unterscheidet Serveralarme, Alarme der Base und Alarmgruppen. Testo beschreibt für die Base optische Meldungen, E-Mail, SMS und optionale Signalgeber. Welche Wege tatsächlich eingerichtet sind, muss aus Ihrer Konfiguration hervorgehen.
Empfehlung: Verfolgen Sie einen Alarm durch alle beteiligten Stationen. Halten Sie Messzeitpunkt, erkannte Grenzwertverletzung, versendete Meldung, Eingang beim Empfänger und erste Bearbeitung auseinander. Prüfen Sie auch eine Abweichung außerhalb der besetzten Arbeitszeit. Ein erfolgreicher Versand an ein unbeaufsichtigtes Postfach erfüllt keine Anforderung an eine verfügbare Reaktion.
Grenzwerte, Verzögerungen, Empfänger und Eskalationsregeln brauchen fachliche Eigentümer. Testen Sie kurzzeitige und anhaltende Überschreitungen entsprechend Ihrem Sollprozess. Prüfen Sie zudem, was bei deaktivierten Alarmgruppen, Vertretungen und veralteten Kontaktdaten geschieht. Diese Situationen sind Testvorschläge; sie behaupten keine bestimmte Standardkonfiguration.
Nach einem Alarm entscheidet der fachlich Verantwortliche über betroffene Produkte und weitere Maßnahmen. Eine zurückgekehrte Temperatur sagt allein nichts darüber aus, ob das zwischenzeitlich gelagerte Material noch verwendet werden darf.
Kommunikationsausfall als eigenen Zustand behandeln
Der Notfallakku der Base und die beschriebenen Übertragungswege sind Komponentenmerkmale. Daraus folgt keine unbegrenzte Überbrückung aller Störungen. Trennen Sie mindestens Sensor- oder Loggerausfall, fehlende Verbindung zur Base, Unterbrechung zum Server und Ausfall des Benachrichtigungswegs.
Empfehlung: Legen Sie für jeden Fall fest, was weiter gemessen wird, wo Daten verbleiben, wie die Störung sichtbar wird und wer handelt. Ein zuletzt angezeigter plausibler Wert darf in Ihrem Betriebsverfahren nicht mit einer frischen Messung verwechselt werden. Prüfen Sie Zeitstempel und die Kennzeichnung fehlender Werte ebenso wie spätere Datenübernahmen.
Für den Wiederanlauf vergleichen Sie den erwarteten Zeitraum mit den vorhandenen Messpunkten. Prüfen Sie Lücken, doppelte Einträge, Zeitreihenfolge und verbliebene Alarme. Ein wieder erreichbarer Server ist erst der Beginn der fachlichen Kontrolle. Dokumentieren Sie, wie während des Ausfalls über Produkte entschieden wurde und ob nachträgliche Daten diese Entscheidung verändern.
Bei externen Alarmwegen gehört deren Betriebsverantwortlicher in den Test. Stimmen Sie den Versuch mit IT und Lagerleitung ab; verwenden Sie ein beherrschtes Testszenario ohne Gefährdung gelagerter Ware.
Quittierung, Signatur und Abweichungsbewertung unterscheiden
Im beschriebenen CFR-Betrieb erlaubt das V6-Handbuch die Quittierung über berechtigte Nutzer in der Software, nicht an der Base oder per SMS beziehungsweise E-Mail. Es unterscheidet außerdem die Anmeldung von einer optional aktivierten CFR-Genehmigung für Alarmquittierungen. Eine erneute Authentifizierung bei jeder einfachen Quittierung darf deshalb nicht pauschal vorausgesetzt werden.
Empfehlung: Prüfen Sie mit getrennten Rollen, wer einen Alarm sehen, quittieren, genehmigen und seine Konfiguration ändern darf. Halten Sie die Bedeutung jeder Bestätigung fest. „Kenntnis genommen“, „Ursache untersucht“ und „Produkt freigegeben“ dürfen fachlich nicht ineinanderlaufen. Welche elektronische Signatur benötigt wird, ergibt sich aus Ihrer Aufzeichnungspflicht und Ihrem Verfahren.
Die dokumentierte REST-Schnittstelle dient dem lesenden Datenabruf. Ein angeschlossenes Fremdsystem ist deshalb nicht automatisch ein zulässiger Quittierungsweg. Für Berichte oder Übernahmen in andere Anwendungen prüfen Sie Kanalidentität, Zeitraum, Einheiten und Vollständigkeit. Benennen Sie, welche Datenquelle bei einer Abweichung maßgeblich bleibt.
Illustratives Beispiel: Kühlraum mit gestörter Benachrichtigung
Beispiel, keine ausgeführte Kundenprüfung: Ein Betrieb überwacht einen Kühlraum. Für eine ausgewählte Messstelle sind Bereich, zulässige Alarmverzögerung, Bereitschaftsdienst und Ersatzkontakt bereits fachlich festgelegt. Die Prüfung soll zeigen, dass eine relevante Überschreitung auch bei gestörtem primärem Nachrichtenweg bearbeitet wird.
Nutzen Sie eine geeignete Testumgebung oder eine sicher abgegrenzte Messstelle. Protokollieren Sie Ausgangskonfiguration, unabhängige Zeitreferenz, eingesetzte Messsimulation und erwartete Reaktion. Die folgenden Fälle sind eigene Solltests; ein alternativer Alarmweg wird nur erwartet, wenn er in Ihrer freigegebenen Architektur vorgesehen ist.
| Testfall | Auslösung | Erwartung aus dem festgelegten Sollprozess |
|---|---|---|
| Grenzwertverletzung | Definierte Überschreitung am zugeordneten Sensor erzeugen | Richtiger Kanal, Alarmzeit und zuständiger Empfänger sind nachweisbar |
| Primärer Nachrichtenweg gestört | Versandweg kontrolliert unterbrechen | Störung wird erkannt; vorgesehener Ersatzweg oder organisatorisches Ersatzverfahren greift |
| Unberechtigte Quittierung | Mitarbeiter ohne Quittierungsrecht versucht Bestätigung | Bestätigung wird nicht wirksam; Beobachtung wird dokumentiert |
| Keine Reaktion | Alarm bleibt im festgelegten Eskalationsfall unbearbeitet | Vorgesehene Folgestufe erreicht den zuständigen Ersatzkontakt |
| Datenübertragung unterbrochen | Verbindung gezielt trennen und wiederherstellen | Fehlender Zeitraum wird bewertet; wieder übernommene Daten bleiben zeitlich richtig zugeordnet |
| Rückgabe an Betrieb | Testzustand beenden und Konfiguration abgleichen | Messstelle, Alarmregeln und Empfänger entsprechen wieder dem genehmigten Betriebsstand |
Was der Betrieb vor dem Projekt vorbereiten sollte
Für ein KMU empfiehlt sich eine gemeinsame Bestandsaufnahme durch Lager- oder Prozessverantwortlichen, QA, IT und den Verantwortlichen für Messtechnik. Eine Person entscheidet die fachlichen Grenzwerte; eine andere erklärt die technische Konfiguration. Legen Sie fest, wer Abweichungen bewertet und wer die Nutzung freigibt.
Bereiten Sie Raum- und Messstellenliste, vorhandenes Mapping, Kalibrierunterlagen, Systemübersicht, Alarmmatrix und Benutzerkonzept vor. Ergänzen Sie vorhandene Herstellerprüfungen, Installationsergebnisse, Störungsdaten und Verträge. Prüfen Sie bei jedem gelieferten Nachweis, welchen Softwarestand und welche Komponenten er tatsächlich abdeckt.
Der Aufwand hängt besonders von Standorten, Kommunikationswegen, Alarmvarianten, Schnittstellen und Qualität des Altbestands ab. Zusätzliche Arbeit entsteht häufig durch ungeklärte Zuständigkeiten oder nicht mehr nachvollziehbare Konfigurationen. Eine belastbare Planung benennt offene Entscheidungen und verfügbare Mitarbeiter, bevor sie Termine festlegt. Eine Produktbroschüre oder ein Zertifikat ersetzt diese Bestandsaufnahme nicht.
Quellen: [8]
Den nachgewiesenen Zustand im Betrieb erhalten
Empfehlung: Behandeln Sie Sensorwechsel, neue Messstellen, Firmware, Softwareupdates und Änderungen an Empfängern als bewertbare Ereignisse. Ein neuer Mailserver kann die Alarmkette betreffen, obwohl Saveris unverändert bleibt. Legen Sie je Änderung fest, welche bestehende Prüfung noch aussagekräftig ist und was erneut nachgewiesen wird.
Für Daten und Konfiguration braucht der lokale Betrieb festgelegte Sicherungs- und Wiederherstellungsverfahren. Prüfen Sie die Wiederherstellung eines bekannten Zeitraums einschließlich zugehöriger Alarm- und Bewertungsnachweise. Vereinbaren Sie außerdem, wie historische Daten bei Versionswechsel oder Stilllegung lesbar bleiben.
Cloudvarianten verlagern Betriebsaufgaben, aber ersetzen nicht Ihre fachliche Verantwortung. Testo beschreibt unterschiedliche Updatevarianten einschließlich Version Freeze. Die konkrete Laufzeit, Ausnahmen, Vorabinformationen und angebotenen Nachweise sind vertraglich zu klären. Der hier beschriebene lokale V6-Prüfumfang darf nicht ungeprüft auf einen Cloudvertrag übertragen werden.
Checkliste vor der Freigabe
Diese Empfehlung bündelt die Entscheidungen für die Übergabe. Jeder Punkt benötigt einen benannten Verantwortlichen und einen auffindbaren Nachweis.
- Variante, Build, Lizenz, Base, Logger und Datenwege sind eindeutig beschrieben.
- Messstellen, räumliche Eignung, Kalibrierstatus und Grenzwerte passen zum vorgesehenen Einsatz.
- Alarmempfänger, Vertretung, Eskalation und Reaktionsverfahren sind abgestimmt und praktisch geprüft.
- Kommunikationsausfall, fehlende Nachrichten und Wiederanlauf sind kontrolliert erprobt.
- Quittierung, optionale Genehmigung und Produktbewertung sind fachlich getrennt.
- Teständerungen sind zurückgenommen; die Alarmfunktion im Betriebszustand ist nachgewiesen.
- Aufzeichnungen, Sicherung, Wiederherstellung, Änderungen und periodische Bewertung haben Verantwortliche.
Häufige Fragen zu testo Saveris
Bezieht sich dieser Leitfaden auf jedes Produkt mit dem Namen Saveris?
Nein. Der Schwerpunkt ist testo Saveris 1 mit CFR-Software V6 im lokalen Betrieb. Saveris 2, frühere PRO/CFR-Versionen und Saveris-1-Cloudmodelle brauchen einen eigenen Abgleich. Dokumentieren Sie daher zuerst Produktnummer, Build, Komponenten und Vertrag. Ähnlich benannte Funktionen sind kein Beleg für identisches Verhalten.
Ist Saveris 1 durch die CFR-Lizenz bereits für meinen Betrieb validiert?
Die Lizenz beschreibt einen angebotenen Funktionsumfang. Ob Ihr Überwachungsprozess geeignet arbeitet, hängt zusätzlich von Installation, Messstellen, Konfiguration und Organisation ab. Ordnen Sie die Lieferantennachweise Ihren Anforderungen zu. Offene Punkte werden durch passende eigene Prüfungen oder weitere belastbare Belege geschlossen.
Ersetzt ein Kalibrierschein die Systemvalidierung?
Nein. Der Kalibrierschein betrifft die geprüfte Messtechnik. Er zeigt nicht, ob die korrekte Messstelle alarmiert, der Empfänger erreichbar ist oder Daten nach einem Ausfall richtig übernommen werden. Verknüpfen Sie messtechnische Nachweise mit den eigenen Prüfungen des Überwachungsprozesses; behandeln Sie räumliches Mapping ebenfalls gesondert.
Quellen: [9]
Welche Alarmwege sollten getestet werden?
Prüfen Sie alle für den vorgesehenen Einsatz verwendeten Wege einschließlich ihrer Abhängigkeiten. Dazu gehört die Reaktion außerhalb der normalen Arbeitszeit und bei Ausfall des primären Wegs. Der Prüfplan folgt Ihrer Alarmmatrix. Ein Versandprotokoll allein bestätigt noch nicht die Handlungsfähigkeit des zuständigen Empfängers.
Kann eine SMS den Alarm im CFR-Betrieb quittieren?
Das V6-Handbuch schließt die Quittierung per SMS oder E-Mail sowie an der Base für den CFR-Betrieb aus. Bestätigung und Berechtigungen sind in der Software zu betrachten. Eine zugestellte Nachricht und eine wirksame Quittierung sollten deshalb im Testprotokoll als getrennte Ereignisse erscheinen.
Quellen: [3]
Ist jede Alarmquittierung automatisch eine erneute elektronische Unterschrift?
Das sollten Sie nicht annehmen. Maßgeblich sind aktivierte Genehmigungsregeln, Rollen und der konkret eingesetzte Softwarestand. Prüfen Sie, welche Bestätigung tatsächlich verlangt und aufgezeichnet wird. Legen Sie außerdem fest, ob sie Kenntnisnahme, Prüfung oder eine andere fachliche Entscheidung bedeutet.
Was bedeutet eine Kommunikationsstörung für die Produktentscheidung?
Zunächst muss erkennbar sein, welcher Zeitraum und welche Messstelle nicht zuverlässig beurteilt werden können. Wenden Sie das festgelegte Ersatzverfahren an und dokumentieren Sie die vorläufige Bewertung. Nach Wiederanlauf gleichen Sie fehlende oder nachgelieferte Daten ab. Die technische Wiederverbindung allein entscheidet nicht über die Verwendbarkeit des Produkts.
Kann ein angebundenes LIMS Alarme automatisch quittieren?
Aus der beschriebenen lesenden REST-API lässt sich eine solche Funktion nicht ableiten. Prüfen Sie den konkret vereinbarten Schnittstellenumfang und den zulässigen Bearbeitungsweg. Bei reiner Datenübernahme bleiben Alarmbearbeitung und ihre Nachweise in der festgelegten führenden Anwendung beziehungsweise im ergänzenden Verfahren.
Quellen: [6]
Welche Änderungen lösen neue Prüfungen aus?
Bewerten Sie Auswirkungen auf Messung, Datenzuordnung und Reaktion. Ein Sensorwechsel, geänderte Grenzwerte oder neue Nachrichtenwege können unterschiedliche Prüfungen erfordern. Dokumentieren Sie die Begründung und die Rückkehr zum genehmigten Betrieb. Der Umfang folgt den betroffenen Funktionen und Risiken, nicht allein der Bezeichnung als Wartung oder Update.
Quellen: [8]
Was bestimmt Kosten und Dauer eines Saveris-Projekts?
Entscheidend sind Systemumfang, Messstellenqualität, Kommunikationsarchitektur, Alarmvarianten und vorhandene Nachweise. Ebenso wichtig ist, ob QA, IT und Betrieb Entscheidungen rechtzeitig treffen können. Beginnen Sie mit einer überprüfbaren Bestandsliste und offenen Punkten. Daraus lässt sich der Arbeitsumfang ableiten; eine pauschale Zeit- oder Preiszusage wäre ohne diese Grundlage nicht belastbar.
Quellen: [8]
Quellen & fachlicher Stand
Quellenstand: 6. Oktober 2026. Schwerpunkt ist testo Saveris 1 mit CFR-Software V6 im lokalen Betrieb. Herstellerunterlagen beschreiben Funktionen und Grenzen; ihre Anwendbarkeit ist mit dem installierten Stand abzugleichen. Die Prüfbeispiele sind eigene illustrative Empfehlungen. Annex 11 wird in der von der Kommission gelisteten Fassung Januar 2011 verwendet.
- Testo: Pharma-Lagerung – testo Saveris 1 und 2
- Testo: testo Saveris 1 CFR software, Version 6
- Testo: testo Saveris V6 – Instruction manual
- Testo: testo Saveris Base V3.0
- Testo: Automated Monitoring System testo Saveris 1
- Testo: testo Saveris 1 – REST API und Komponenten
- Testo: testo Saveris 2 Advanced Cloud licence
- Europäische Kommission: EU-GMP Annex 11
- Europäische Kommission: GDP-Leitlinien 2013/C 343/01
- FDA: Part 11 – Electronic Records; Electronic Signatures, Scope and Application
- Europäische Kommission: EudraLex Volume 4
Zuletzt fachlich geprüft am 06.10.2026.
Daniel Herrmann Consulting
Den eigenen Saveris-Prüfumfang klären
Daniel Herrmann ist Ihr Ansprechpartner für die Abgrenzung von Überwachungsprozess, Lieferantennachweisen und eigenen Prüfungen. Wir unterstützen Sie dabei, offene Entscheidungen und benötigte Nachweise in einen vereinbarten Arbeitsumfang zu übersetzen. Grenzwerte, Produktbewertung und Freigabe bleiben bei Ihren zuständigen Verantwortlichen.
- IT-GxP-Audit →
Vorhandene Alarmkette und Nachweise bewerten und Handlungsbedarf priorisieren.
- IT-GxP-Consulting →
Die vereinbarte Anforderungs-, Dokumentations- und Testarbeit umsetzen.