Ein berechnetes Ergebnis ist im GxP-Labor unter derselben Bedingung akzeptabel wie ein Geräteergebnis: Eine prüfende Person, die nicht dabei war, kann nachvollziehen, was mit was von wem gemacht wurde, und erkennt, ob sich danach etwas geändert hat. Beim Gerät heißt das Rohdaten, Methode, Audit-Trail und Vier-Augen-Prüfung. Beim modellbasierten Ergebnis heißt es dasselbe plus zwei Dinge, die Geräte nicht haben: die Version des Modells und die Version der Eingangsdaten, beide auf den Moment der Berechnung festgeschrieben. Alles Weitere in diesem Artikel folgt daraus.
Was in den Datensatz gehört
Ein belastbarer Datensatz zu einem berechneten Ergebnis enthält:
| Feld | Warum die Prüfung es braucht |
|---|---|
| Eingangsdaten, unverändert, mit Prüfsumme | Ohne genau diese Eingabe ist das Ergebnis nicht reproduzierbar, die Prüfsumme belegt, dass sie sich nicht geändert hat |
| Herkunft der Eingangsdaten | Aus welchem Gerät, welcher Datei, welchem System oder von wem, und wann |
| Kennung und Version von Modell oder Algorithmus | Eine andere Version ist eine andere Methode |
| Verwendete Parameter und Optionen | Dasselbe Modell mit anderen Einstellungen ist ein anderes Verfahren |
| Version der Softwareumgebung | Bibliotheksversionen verändern numerische Ergebnisse |
| Vollständige Ausgabe | Nicht nur die Hauptzahl: Intervalle, Markierungen, Warnungen, alle berechneten Endpunkte |
| Zeitstempel und Benutzer | Wer den Lauf ausgelöst hat, in nachvollziehbarer Zeitreferenz |
| Prüfungsvermerk | Wer geprüft hat, wann, mit welchem Urteil und mit welcher Begründung bei akzeptierten Abweichungen |
| Jede Neuberechnung | Jeder Wiederholungslauf mit Grund, sichtbar neben dem Original, nie an seiner Stelle |
Die letzte Zeile ist der häufigste Ausgangspunkt von Datenintegritätsfällen. Ein zweiter Lauf, der den ersten überschreibt, ohne Spur des ersten, ist das rechnerische Gegenstück zu einer verworfenen Injektion.
Versionierung: der wirklich neue Teil
Geräte driften und werden neu kalibriert, Modelle werden neu trainiert. Der Unterschied zählt, weil ein neu trainiertes Modell ein Ergebnis ändern kann, ohne dass am Verfahren etwas sichtbar anders ist.
Drei Regeln halten das im Griff:
1. Unveränderliche Versionen. Eine Modellversion, die einmal ein GxP-Ergebnis erzeugt hat, wird nie verändert. Eine Änderung erzeugt eine neue Version mit neuer Kennung. Die alte bleibt verfügbar, solange Datensätze auf sie verweisen. 2. Festschreiben, nicht mitlaufen. Ein validiertes Verfahren nennt eine bestimmte Version. Es sagt nicht "das aktuelle Modell". Der Wechsel auf eine neue Version ist eine Änderung, über die Änderungskontrolle bewertet, mit dokumentierter Entscheidung über Revalidierung oder Vergleichbarkeitsstudie. 3. Die Herkunft dokumentieren. Je Version: was sich geändert hat, auf welchen Daten sie beruht, die Qualifizierungsbelege und die Daten des Ein- und Austritts aus dem Einsatz. Danach fragt eine Prüfung oder Inspektion zuerst.
Reproduzierbarkeit und ihre Grenzen
"Gleiche Eingabe, gleiches Ergebnis" ist die Erwartung. Mehreres bricht sie legitim, und jeder Fall braucht eine Regelung statt einer Verschleierung:
- Nicht deterministische Berechnung. Parallele Summationen, GPU-Kernel und Sampling-Verfahren können zwischen Läufen minimal unterschiedliche Zahlen liefern. Setze den Zufallsstartwert, wo es einen gibt, protokolliere ihn und gib eine numerische Toleranz an, innerhalb derer Ergebnisse als gleich gelten.
- Änderungen an Bibliotheken oder Hardware. Eine andere Version einer numerischen Bibliothek verschiebt Stellen. Schreibe die Umgebung fest, zum Beispiel als Container-Abbild mit Digest, und behandle eine Umgebungsänderung als Änderung.
- Generative oder stichprobenbasierte Schritte. Wo das Verfahren von sich aus stochastisch ist, ist die Reproduzierbarkeit der exakten Ausgabe nicht erreichbar. Dann muss der Datensatz die vollständige Ausgabe des verwendeten Laufs enthalten, und das Verfahren muss festlegen, wie das Ergebnis beurteilt wird, nicht wie es neu erzeugt wird.
Lege in der Validierungsdokumentation fest, in welcher Kategorie dein Verfahren liegt. Bitgleiche Reproduzierbarkeit zu behaupten und sie in der Inspektion nicht zu liefern ist schlimmer, als vorab eine Toleranz zu definieren.
Review by Exception für berechnete Ergebnisse
Jedes berechnete Ergebnis Zeile für Zeile zu prüfen skaliert nicht und ist nicht, was Datenintegritätsleitlinien verlangen. Das praktikable Muster entspricht der Review by Exception in der Chromatographie:
- Lege vorab fest, welche Bedingungen menschliche Aufmerksamkeit erfordern: eine Markierung, dass die Eingabe außerhalb des qualifizierten Bereichs liegt, ein Intervall über einer definierten Schwelle, eine Neuberechnung, ein Ergebnis an oder über einer Spezifikations- oder Aktionsgrenze.
- Lass das System alles erfassen und die Ausnahmen hervorheben.
- Prüfe alle Ausnahmen, dokumentiere die Begründung und halte eine periodische Stichprobenprüfung der übrigen Fälle, um zu zeigen, dass die Ausnahmelogik funktioniert.
Das trägt nur, wenn die Markierungen selbst qualifiziert sind. Eine Domänen- oder Konfidenzmarkierung, die Teil der Prüflogik ist, ist Teil des validierten Verfahrens und braucht eigene Belege.
Wo das regulatorisch steht
Die Grundanforderungen sind nicht neu: EU-GMP-Annex 11 für computergestützte Systeme, 21 CFR Part 11 für elektronische Aufzeichnungen und Signaturen, die Datenintegritätsleitlinien von MHRA und PIC/S für die ALCOA+-Merkmale und GAMP 5 in zweiter Ausgabe für den risikobasierten Ansatz, ergänzt 2025 durch die FDA-Leitlinie zu Computer Software Assurance. Für KI im Besonderen behandelt EU-GMP-Annex 22 den Einsatz künstlicher Intelligenz im GMP-Umfeld, und ICH Q14 deckt die Entwicklung analytischer Verfahren einschließlich rechnerischer Anteile ab. Prüfe Stand und Text jeder Quelle, bevor du dein Vorgehen festlegst; die Richtung ist bei allen dieselbe, nämlich dass die Beweislast beim Anwender des Modells liegt, nicht beim Lieferanten.
Praktisch heißt das: Ein Lieferantenaudit und ein Zertifikat übertragen keine Validierung. Der Anwender qualifiziert das Verfahren für den vorgesehenen Zweck, auf seinen Daten, gegen seine Akzeptanzkriterien.
Grenzen der Aussage
- Ein Audit-Trail belegt, was gemacht wurde, nicht dass das Ergebnis richtig ist. Die fachliche Qualifizierung der Methode ist eine eigene Aufgabe.
- Die Aufbewahrungsfrist für Modellversionen kann die Lebensdauer der Software überschreiten, die sie ausgeführt hat. Plane, wie ein Ergebnis in zehn Jahren nachvollziehbar bleibt, was meist heißt: die Umgebung archivieren, nicht nur den Code.
- Anforderungen an die Datenintegrität unterscheiden sich nach Rechtsraum und Anwendung. Die Tabelle oben ist eine Arbeitsgrundlage, kein Ersatz für die geltenden Vorschriften und das eigene Qualitätssystem.
Häufige Fragen
Was muss ein GxP-Audit-Trail für ein berechnetes Ergebnis enthalten?
Eingangsdaten mit Prüfsumme und Herkunft, Modell oder Algorithmus mit Version, die Parameter, die Version der Softwareumgebung, die vollständige Ausgabe einschließlich Intervallen und Markierungen, Zeitstempel und Benutzer, den Prüfungsvermerk und jede Neuberechnung mit Grund.
Darf ein Modell während der Laufzeit eines validierten Verfahrens aktualisiert werden?
Ja, über die Änderungskontrolle. Das Verfahren schreibt eine Version fest; der Wechsel wird auf Auswirkungen bewertet, mit dokumentierter Entscheidung über Revalidierung oder Vergleichbarkeitsstudie, und die alte Version bleibt verfügbar, solange Datensätze auf sie verweisen.
Wie gehst du mit einer Methode um, die nicht bitgleich reproduzierbar ist?
Lege sie in der Validierungsdokumentation als solche fest: Startwert protokollieren, wo es einen gibt, Umgebung festschreiben, eine numerische Toleranz angeben, innerhalb derer zwei Läufe als gleich gelten, und die vollständige Ausgabe des verwendeten Laufs aufbewahren.
Ersetzt ein Lieferantenzertifikat die Validierung?
Nein. Lieferantenbelege können den Aufwand des Anwenders senken, die Qualifizierung für den vorgesehenen Zweck auf den eigenen Daten und gegen die eigenen Akzeptanzkriterien bleibt beim Anwender.
Ist Review by Exception für berechnete Ergebnisse zulässig?
Ja, wenn die Ausnahmebedingungen vorab definiert sind, die auslösenden Markierungen selbst qualifiziert sind, alle Ausnahmen geprüft und dokumentiert werden und eine periodische Stichprobenprüfung der übrigen Fälle zeigt, dass die Logik funktioniert.