ProChem: Den Kreis zwischen Messung und Steuerung schließen

Eine Messung ist noch keine Regelaktion

Der PAT-Leitfaden der FDA beschreibt die prozessanalytische Technologie als System zur Auslegung, Analyse und Steuerung der Herstellung durch zeitnahe Messungen kritischer Qualitäts- und Leistungsmerkmale, die während der Verarbeitung statt im Nachhinein erfolgen [1]. Das entscheidende Wort ist Steuerung: Ein Nahinfrarot-Analysator, der in jedem Messzyklus die Zusammensetzung meldet, hat erst das erste Glied einer Kette geliefert. ICH Q8(R2) und ICH Q10 definieren eine Kontrollstrategie als geplanten, aus Produkt- und Prozessverständnis abgeleiteten Satz von Kontrollen, der Inprozesskontrollen samt den zugehörigen Methoden und der Häufigkeit von Überwachung und Steuerung umfasst [2][3]. In diesem Rahmen ist der Analysator ein Element; die Gültigkeitsprüfungen seines Ergebnisses, die Grenzwerte, die ausgelöste Maßnahme und deren Aufzeichnung bilden den Rest. Dieser Artikel folgt der Kette vom Spektrum bis zum Stellglied und fragt, was jedes Glied braucht, um vertrauenswürdig zu sein. Das Vokabular stammt aus der Regulierung der Chemie- und Pharmaindustrie, doch die Technik ist in einem Mischfutterwerk oder einer Molkereilinie dieselbe.

Vom Spektrum zu einem Ergebnis, auf das man handeln darf

Die erste Anforderung ist, dass der Wert, der den Analysator verlässt, gültig ist. ASTM D6122 stellt dies für multivariate Infrarot-Analysatoren ausdrücklich klar: Es muss nachgewiesen werden, dass das Spektrum einer Probe in die Population fällt, mit der das Kalibriermodell erstellt wurde, denn die Anwendbarkeit kann nicht vorausgesetzt werden, und ein aus einem Ausreißerspektrum berechnetes Ergebnis ist ungültig [4]. Die Norm trennt außerdem die Prüfung, ob das Gerät ordnungsgemäß arbeitet, von der Prüfung, ob das Modell auf die Probe anwendbar ist, und behandelt beide als fortlaufende Kontrollen statt als einmalige Validierung [4]. Vargas et al. beschreiben, wie dies auf einer kommerziellen kontinuierlichen Tablettenlinie aussieht: Ein Diagnosetest bestätigt, dass bei der Spektrenaufnahme tatsächlich Pulver am Sondenfenster anliegt, ein PCA-Modell prüft, ob die Mischung den Kalibriermischungen ähnelt, und erst dann meldet das PLS-Modell eine Konzentration; die drei Schritte waren in einer Softwareplattform integriert, die Spektren erfasste und die Modelle in Echtzeit anwendete, und während eines 28-stündigen Laufs mit 12.633 Spektren erkannte die PCA-Prüfung eine Gerätestörung, die ein Konzentrationswert allein nicht offengelegt hätte [5].

Kourti argumentiert, dass sich der volle Nutzen eines Echtzeit-Analysators erst zeigt, wenn seine Ausgabe in einem multivariaten Überwachungskonzept mit den gewöhnlichen Prozessmessungen — Temperatur, Durchfluss, Druck — kombiniert wird, was sowohl die Erkennung anomaler Zustände als auch das Prozessverständnis verbessert [6]. Das Leitsystem sollte daher nicht nur einen Zusammensetzungswert erhalten, sondern auch einen Status dazu: gültig oder nicht, und falls nicht, warum.

Rückführung, Störgrößenaufschaltung und die überlagerte Ebene

Liegt ein gültiges Ergebnis vor, stellt sich die Frage, welche Struktur darauf reagiert. Åström und Murray treffen die grundlegende Unterscheidung: Die Rückführung (Feedback) misst die Ausgangsgröße und korrigiert, nachdem eine Abweichung aufgetreten ist, was sie robust gegenüber Unsicherheiten im Prozessmodell macht, während die Störgrößenaufschaltung (Feedforward) eine Störung misst und eingreift, bevor diese die Ausgangsgröße erreicht, was ein Modell ihrer Ausbreitung voraussetzt [7]. Seborg et al. behandeln beide als komplementär und beschreiben die übliche Kombination aus Störgrößenaufschaltung einer gemessenen vorgelagerten Störung und Rückführungskorrektur an der Regelgröße, zusammen mit Verhältnis- und Kaskadenschaltungen [8]. Ein NIR-Analysator in der Rohstoffannahme ist ein Feedforward-Sensor für den nachgelagerten Misch- oder Dosierschritt; derselbe Analysator am Produktstrom ist ein Feedback-Sensor.

In der Praxis steuert der Analysator selten direkt ein Ventil. Lehrbücher der Prozessregelung beschreiben eine Hierarchie, in der schnelle Basisregelkreise in der SPS oder dem Prozessleitsystem (DCS) Durchflüsse, Füllstände und Temperaturen halten, während eine langsamere überlagerte Ebene deren Sollwerte anpasst [8]. Ein Zusammensetzungsergebnis, das einmal pro Messzyklus eintrifft und zusätzlich mit der Totzeit von Probenahme und Analyse behaftet ist, gehört in diese äußere Ebene: Die Kaskadenregelung, bei der der Analysatorregelkreis den Sollwert eines inneren Durchflussregelkreises vorgibt, ist die natürliche Anordnung, und die dadurch entstehende Verzögerung muss bei Auslegung und Einstellung des äußeren Regelkreises berücksichtigt werden [8]. Singh et al. zeigen in einer Fließbildsimulation einer kontinuierlichen Granulationslinie, wie verschachtelte PID-Regelkreise in Kaskaden- und Verhältnisschaltungen für Zusammensetzungs-, Granulat- und Tablettenmerkmale angeordnet werden können [9]. Der PAT-Leitfaden fügt eine Konsequenz für den Chargenbetrieb hinzu: In seinem Rahmen ist der Endpunkt eines Prozesses das Erreichen des gewünschten Materialmerkmals, nicht eine feste Zeit [1]. Wie die Sollwertänderung zum Regler übertragen und wie der innere Regelkreis eingestellt wird, behandeln die begleitenden Artikel zur SPS- und SCADA-Integration und zu geregelten Dosierventilen.

Grenzwerte, Alarme und das nicht konforme Ergebnis

Ein Ergebnis mit einem Spezifikationsgrenzwert zu vergleichen ist einfach; zu entscheiden, was der Vergleich auslösen soll, ist es nicht. ANSI/ISA-18,2 definiert einen Alarm als hörbare oder sichtbare Anzeige an den Bediener, die auf eine Gerätestörung, eine Prozessabweichung oder einen anomalen Zustand hinweist, der eine zeitnahe Reaktion erfordert, und verlangt eine dokumentierte Alarmphilosophie, anhand derer jeder vorgeschlagene Alarm rationalisiert wird: begründet, mit Grenzwert, Ursache, Folge und Bedienerhandlung dokumentiert, dann priorisiert und klassifiziert [10]. Seborg et al. ordnen das Alarmmanagement in die Schutzebenen einer Anlage ein und behandeln es getrennt von der Erkennung anomaler Ereignisse [8]. Für einen Analysator bedeutet dies, dass ein spezifikationswidriges Ergebnis, ein Kennzeichen für ein ungültiges Spektrum und ein Gerätefehler drei verschiedene Ereignisse mit drei verschiedenen Reaktionen sind und dass nur diejenigen zu Alarmen werden sollten, die eine Bedienerhandlung erfordern.

Die regulatorischen Leitlinien zur Echtzeitfreigabeprüfung (RTRT) sind auch außerhalb der Pharmazie aufschlussreich. Die Leitlinie der EMA besagt, dass bei RTRT-Ergebnissen, die nicht konform sind oder zur Nichtkonformität tendieren, die Abweichung untersucht und die Freigabeentscheidung auf Grundlage dieser Untersuchung getroffen werden muss, statt auf eine Endproduktprüfung auszuweichen; sie hält zudem fest, dass die Strategie auf Prozessparametern, Produktmerkmalen oder beidem beruhen kann und auf einem Verständnis ihrer Zusammenhänge gründen muss [11]. Daraus ergeben sich drei Praktiken:

• Erst prüfen, dann handeln. Ein Ergebnis erreicht den Regler nur mit angehängtem Gültigkeitsstatus; was mit einem ungültigen Ergebnis geschieht — letzten gültigen Wert halten oder den Regelkreis an den Bediener zurückgeben — wird im Voraus entschieden und schriftlich festgelegt [4][5].
• Grenzwerte rationalisieren. Spezifikationsgrenzen, Regelgrenzen und Alarmgrenzwerte sind nicht dieselbe Zahl; jede wird gesondert begründet, und Alarme folgen der ISA-18,2-Philosophie, damit die Bediener nicht überflutet werden [10].
• Den inneren Regelkreis eigenständig sicher halten. Der Basisregelkreis in der SPS muss sich sinnvoll verhalten, wenn der überlagerte Sollwert nicht mehr aktualisiert wird; genau das ist der Zweck der Schichtenstruktur [8].

Die Aufzeichnung: Audit-Trail und Wissen

Jeder Schritt der Kette sollte sich im Nachhinein rekonstruieren lassen. Die Leitlinie der FDA zur Datenintegrität definiert einen Audit-Trail als sichere, computergenerierte, mit Zeitstempel versehene elektronische Aufzeichnung, mit der sich der Ablauf der Ereignisse rund um Erstellung, Änderung oder Löschung eines Datensatzes rekonstruieren lässt, und betont, dass ein Datenwert ohne seine Metadaten — Zeitstempel, Benutzer, Gerät, Einheiten, verwendetes Modell — bedeutungslos ist [12]. Für einen analysatorgeführten Regelkreis heißt das: Spektrum, Modellversion, Gültigkeitskennzeichen, gemeldeter Wert, geltender Grenzwert und gesendeter Sollwert werden gemeinsam gespeichert, nicht in getrennten Systemen, die sich später nicht zusammenführen lassen. ICH Q10 behandelt die systematische Erfassung und Auswertung solcher Prozessdaten als Wissensmanagement, das in die kontinuierliche Verbesserung einfließt [3], und der PAT-Leitfaden beschreibt kontinuierliches Lernen durch Datenerhebung über den Produktlebenszyklus als Teil seines Rahmens [1].

Wie USTECH vorgeht

Die Software ProChem von USTECH verbindet die NIR-Analysatoren des Unternehmens — die Inline-Geräte ProLine2550 und ProLine17EC — mit der SPS oder dem SCADA-System der Anlage, stellt die Ergebnisse in Live-Dashboards dar, löst Alarme anhand konfigurierter Grenzwerte aus und kann Sollwerte automatisch aus den Messwerten nachführen; die verwendeten Kalibriermodelle werden in caliX erstellt. Welche Parameter eine Regelaktion tragen können, wie Gültigkeitsprüfungen und Grenzwerte konfiguriert werden und wo der Analysator in der Regelungshierarchie sitzt, wird in einer Machbarkeitsstudie mit Ihren eigenen Proben und Ihrem eigenen Prozess festgelegt.