SIMATIC WinCC V6.0. GMP-Engineering Handbuch. Leitfaden zur Durchführung von Automatisierungsprojekten im GMP Umfeld

Transkript

1 s SIMATIC WinCC V6.0 GMP-Engineering Handbuch Leitfaden zur Durchführung von Automatisierungsprojekten im GMP Umfeld Einleitung Inhaltsverzeichnis Voraussetzung für die Projektierung von Automatisierten Systemen im GMP-Umfeld Anforderungen an Automatisierte Systeme im GMP-Umfeld 1 2 Systemspezifikation 3 Leitfaden für die Implementierung von SIMATIC WinCC im 4 GMP-Umfeld Unterstützende Funktionen bei der Qualifizierung 5 Index 04/2007 A5E

2 Sicherheitshinweise Hinweise, die Sie zu Ihrer persönlichen Sicherheit sowie zur Vermeidung von Sachschäden beachten müssen sind in den jeweiligen technische Handbücher zu finden. Die im Fokus des Pharmazeuten liegende Sicherheit der pharmazeutischen Produkte muss durch das Pharmaunternehmen selbst bewertet werden. Das vorliegende Dokument gibt hierfür Hinweise. Qualifiziertes Personal Inbetriebsetzung und Betrieb eines Gerätes dürfen nur von qualifiziertem Personal vorgenommen werden. Qualifiziertes Personal im Sinne der sicherheitstechnischen Hinweise dieses Handbuchs sind Personen, die Berechtigung haben, Geräte, Systeme und Stromkreise gemäß den Standards der Sicherheitstechnik in Betrieb zu nehmen, zu erden und zu kennzeichnen. Siemens AG Bereich Automation and Drives Competence Center Pharma (A&D CC P) D KARLSRUHE DEUTSCHLAND A5E /2007 Copyright Siemens AG 2007 Änderungen vorbehalten

3 Einleitung Zielsetzung des Handbuchs Das vorliegende Handbuch beschreibt die Anforderungen aus pharmazeutisch regulatorischer Sicht (kurz: GMP-Sicht) an ein Automatisierungssystem, die Software, sowie die Vorgehensweise für die Projektierung von SIMATIC WinCC. Der Zusammenhang zwischen Anforderungen und der Umsetzung wird anhand von praktischen Beispielen erläutert. Zielgruppen Das Handbuch richtet sich an alle Anlagenbetreiber, Verantwortliche für branchenspezifische Leitsystemkonzepte, Projektleiter und Programmierer, Wartungs- und Instandsetzungspersonal, die Prozessleittechnik im GMP-Umfeld einsetzten. Es zeigt Lösungswege für die Umsetzung von Automatisierungsvorhaben mit SIMATIC WinCC im GMP-pflichtigen Umfeld auf Erforderliche Grundkenntnisse Zum Verständnis dieses Handbuches sind Grundkenntnisse von SIMATIC WinCC erforderlich. Ebenfalls von Vorteil sind GMP-Kenntnisse aus dem Bereich der pharmazeutischen Industrie. Haftungsausschluss Dieses Handbuch ist eine Anleitung für Systembetreiber und Programmierer zur Integration von SIMATIC WinCC SCADA-System in das GMP Umfeld in Bezug auf die Validierung auch unter Berücksichtigung besonderer Aspekte wie der des 21 CFR Part 11. Wir haben den Inhalt der Druckschrift auf Übereinstimmung mit der beschriebenen Hard- und Software geprüft. Dennoch können Abweichungen nicht ausgeschlossen werden, so dass wir für die vollständige Übereinstimmung keine Gewähr übernehmen. Die Angaben in dieser Druckschrift werden regelmäßig auf Systemänderungen bzw. Änderungen regulatorischer Grundlagen der verschiedenen Behörden und Organisationen überprüft, und notwendige Korrekturen werden in Neuauflagen integriert. Für Verbesserungsvorschläge, die an das Competence Center Pharma in Karlsruhe (Deutschland) gerichtet werden können, sind wir dankbar. A5E iii

4 Einleitung Gültigkeitsbereich des Handbuchs Die Informationen die in diesem Handbuch beschrieben sind, sind für SIMATIC WinCC V6.0 inkl. SP4 gültig. Die untersuchten Komponenten sind SIMATIC WinCC (CS/RT) in Kombination mit den Optionen WinCC Langzeit Archiv Server, SIMATIC Logon V1.3, SIMATIC Version Trail und die WinCC Premium Add-ons PM-CONTROL und PM-QUALITY. Informationen bzgl. der genauen Kompatibilität zwischen den einzelnen Komponenten mit WinCC V6.0 SP4 sind aus dem CD-ROM-Katalog CA01 zu entnehmen oder für Premium Add-ons direkt beim Lieferanten Tel.: (+49) zu erfragen. Der CD-ROM Katalog ist im Internet unter: zu finden. Einordnung in die Informationslandschaft Die Systemdokumentation des Bedien- und Beobachtungssystems SIMATIC WinCC V6.0 ist integraler Bestandteil der SIMATIC WinCC Systemsoftware. Sie steht jedem Anwender als Online-Hilfe (HTML Help) bzw. als elektronische Dokumentation im Acrobat Reader Format (PDF) zur Verfügung: Elektronische Handbücher SIMATIC WinCC V6.0 - Die Elektronischen Handbücher finden Sie auf CD-ROM als "SIMATIC HMI Document Collection". Aufbau des Leitfadens Das vorliegende Handbuch ist eine Ergänzung zu den bestehenden SIMATIC WinCC Handbüchern. Der Leitfaden hilft nicht nur bei der Projektierung, vielmehr soll er einen Überblick über Voraussetzungen für die Projektierung sowie die Anforderungen an Automatisierungssysteme im GMP-Umfeld geben. Es werden Gesetze und Richtlinien, Empfehlungen sowie notwendige Spezifikationen erläutert, die die Grundlagen für die Projektierung von Automatisierungssystemen darstellen. Zusätzlich werden alle notwendigen Funktionen und Anforderungen an Hardwareund Softwarekomponenten beschrieben, wodurch die Auswahl an einzusetzenden Komponenten erleichtert werden soll. Beispielhaft wird erläutert wie Hardware und Software in Bezug auf die Anforderungen angewandt und konfiguriert bzw. programmiert werden. Darüber hinausgehende Erläuterungen können der Standarddokumentation entnommen werden. Im Anhang des Handbuches finden Sie ein Indexverzeichnis in das alle wichtigen Begriffe aufgelistet sind. Konventionen Folgende Festlegungen wurden in diesem Handbuch getroffen. Handlungsanweisungen, die mehrere Schritte mit einer bestimmten Reihenfolge umfassen, sind nummeriert. Handlungsanweisungen, die wenige Schritte umfassen, sind mit einem Punkt ( ) dargestellt. iv A5E

5 Einleitung Verweise auf weiterführende Handbücher sind kursiv und fett dargestellt. Menübefehle sind fett dargestellt. Weitere Unterstützung Bei Fragen zur Nutzung der im Handbuch beschriebenen Produkte, die Sie hier nicht beantwortet finden, wenden Sie sich bitte an Ihren Siemens-Ansprechpartner in den für Sie zuständigen Vertretungen und Geschäftsstellen. Ihren Ansprechpartner finden Sie unter: Den Wegweiser zum Angebot an technischen Dokumentationen für die einzelnen SIMATIC Produkte und Systeme finden Sie unter: Den Online-Katalog und das Online-Bestellsystem finden Sie unter: Bei Fragen zum Handbuch, wenden Sie sich bitte an das Competence Center Pharma: Fax: Weitere Information über das Angebot von Siemens für die Pharmaindustrie, finden Sie unter: Trainingscenter Um Ihnen den Einstieg in das Bedien- und Beobachtungssystem SIMATIC WinCC zu erleichtern, bieten wir entsprechende Kurse an. Wenden Sie sich bitte an Ihr regionales Trainingscenter oder an das zentrale Trainingscenter in D Nürnberg. Telefon: +49 (911) Internet: Technical Support Sie erreichen den Technical Support für alle A&D-Produkte Über das Web-Formular für den Support Request Telefon: Fax: Weitere Informationen zu unserem Technical Support finden Sie im Internet unter A5E v

6 Einleitung Service & Support im Internet Zusätzlich zu unserem Dokumentations-Angebot bieten wir Ihnen im Internet unser Know-how an. Dort finden Sie: den Newsletter, der Sie ständig mit den aktuellsten Informationen zu Ihren Produkten versorgt. die für Sie richtigen Dokumente über unsere Suche in Service & Support. ein Forum, in welchem Anwender und Spezialisten weltweit Erfahrungen austauschen. Ihren Ansprechpartner für Automation & Drives vor Ort. Informationen über Vor-Ort Service, Reparaturen, Ersatzteile. Vieles mehr steht für Sie unter dem Begriff "Leistungen" bereit. vi A5E

7 Inhaltsverzeichnis Einleitung Inhaltsverzeichnis 1 Voraussetzung für die Projektierung von Automatisierten Systemen im GMP- Umfeld Lebenszyklusmodell Gesetze und Richtlinien Verantwortlichkeiten Genehmigung und Änderungsverfahren Software-Kategorisierung von Leitsystemen Anforderungen an automatisierte Systeme im GMP-Umfeld Hardware-Kategorisierung Software-Kategorisierung Konfigurationsmanagement Konfigurationskennzeichnung Konfigurationskontrolle Versionskontrolle Änderungslenkung (Change control) Software-Erstellung Verwendung von Typicals zur Programmierung Kennung von Software-Modulen / Typicals Änderung von Software-Modulen / Typicals Zugriffsschutz und Benutzerverwaltung Anwendung des Zugriffsschutzes auf ein System Anforderungen an die Benutzer-ID und Passwort Chipkarten und biometrische Systeme Elektronische Unterschriften Konventionelle elektronische Unterschriften Elektronische Unterschriften auf biometrischer Basis Sicherheitsmassnahmen zu Benutzer-IDs/Passwörtern Audit-Trail Uhrzeitsynchronisation Archivierung von Daten Protokollierung von Chargendaten Bestandteile der Chargendokumentation Bestandteile des Herstellprotokolls Nutzungsmöglichkeiten elektronischer Chargendaten Anforderungen an elektronische Aufzeichnungen Datensicherung (Backup) Anwendersoftware Prozessdaten Rücklesen von ausgelagerten Daten Einsatz von Fremdkomponenten Systemspezifikation Systemaufbau Auswahlkriterien an Hardware Erforderliche / optionale Software-Pakete iii vii A5E vii

8 Inhaltsverzeichnis Basis-Software Zugriffschutz und Benutzerverwaltung Basis-Software Elektronische Unterschrift Zusatz-Software SIMATIC PC/PG Image & Partition Creator Basis-Software Engineering Variablenhaushalt mit Totally Integrated Automation (TIA) WinCC ConfigurationTool Basis-Software Runtime Alarm Logging Tag Logging Basis-Software Protokollierung Zusatz-Software Pakete Audit Trail Konfigurationsmanagement: Änderungslenkung (Change Control) Konfigurationsmanagement: Versionskontrolle (Versionierung) Parameter Control Langzeitarchivierung Chargenorientierte Protokollierung Schnittstellen zu Prozessdaten WinCC Connectivity Pack Basis-Software übergeordnete Systeme (MES) Anwender-Lastenheft (User Requirements Specification) Pflichtenheft (Functional Specification) Leitfaden für die Implementierung von SIMATIC WinCC im GMP Umfeld Einleitung Software-Kategorisierung von SIMATIC WinCC Software-Installation Betriebssystem SIMATIC WinCC-Software Installation von Hilfsprogrammen und Treibern Installation von SIMATIC WinCC Optionen SIMATIC NET Grundlagen zur Projektierung Objektorientierte Projektierung Erstellung von Prozessbildern Symbolbibliothek Projektbibliothek Projektfunktionen in Form von VB- / C-Skripten Erstellung von Übersichtsbildern Bedienmeldungen Konfigurationsmanagement Änderungen der System-Software Versionskontrolle der Anwendersoftware Allgemeines zur Versionskontrolle (Versionierung) Versionskontrolle von Bildern im Graphics Designer Versionskontrolle von VB- / C-Skripten Versionskontrolle von Protokollen Versionskontrolle von Projekten Änderung der Anwendersoftware Einrichten des Zugriffsschutzes Funktionsweise des Zugriffsschutzes Benutzerverwaltung in Windows Konfiguration der Benutzerverwaltung in Windows Konfiguration von SIMATIC Logon viii A5E

9 Inhaltsverzeichnis Konfiguration des User Administrators Sperrung der Windows-Ebene im Prozessbetrieb (Runtime) Sperrung der Benutzeroberfläche Verhinderung des Zugriffs auf die Windows-Ebene Sicherung durch Konfigurationseinstellung in WINDOWS Elektronische Unterschrift Audit Trail WinCC Audit Audit Trail über WinCC Alarm Logging Uhrzeitsynchronisation Konzepte zur Uhrzeitsynchronisation Exemplarische Projektierung in WinCC Client / Server Über Ethernet / Anlagenbus Über Profibus / MPI Zeitstempelung Archivierung von Daten: Einrichten von Prozesswertarchiven Langzeitarchivierung Langzeitarchivierung in SIMATIC WinCC Chargenorientierte Langzeitarchivierung mit PM-QUALITY Protokollierung Basis Protokollierung mit SIMATIC WinCC Report Designer Chargenorientierte Protokollierung mit PM-QUALITY Sicherung der Anwendersoftware Sicherung des Betriebssystems und SIMATIC WinCC Lifebeat Monitoring Datenaustausch zur Betriebsleitebene Datenaustausch mit Connectivity Pack Datenaustausch mit IndustrialDataBridge Datenaustausch mit ODK Unterbrechungsfreie Stromversorgung Konfiguration von unterbrechungsfreien Stromversorgungen USV Konfiguration über Digitale Eingänge Erstellung von C-, VB-Skripten Anbindung an Web Client Anbindung von SIMATIC WinCC flexible Anbindung von SIMATIC S Anbindung von Fremdkomponenten Unterstützende Funktionen bei der Qualifizierung 5-1 Index 5.1 Einleitung Qualifizierung der Visualisierungs-Hardware Qualifizierung der Visualisierungs-Software Qualifizierung von Standard Software Systemprogramme von SIMATIC WinCC Installierte Lizenzen von SIMATIC WinCC Qualifizierung der Applikations-Software Index-1 A5E ix

10 Inhaltsverzeichnis x A5E

11 1 Voraussetzung für die Projektierung von Automatisierten Systemen im GMP-Umfeld Als Voraussetzungen für die Projektierung von Automatisierte Systemen im GMP-Umfeld müssen genehmigte Spezifikationen wie Lasten- und Pflichtenheft vorliegen. Bei der Erstellung dieser Spezifikationen sollten Vorgaben aus Normen, Empfehlungen und Richtlinien beachtet werden. In diesem Kapitel werden die wichtigsten dieser Regularien sowie verschiedene Spezifikationen (URS, FS, DS) aufgeführt. A5E

12 Voraussetzung für die Projektierung von Automatisierten Systemen im GMP-Umfeld 1.1 Lebenszyklusmodell Die Good Engineering Practice (GEP) ist definiert als die Anwendung einer anerkannten Engineeringmethodik im Rahmen eines definierten Lebenszyklus. Das Ziel liegt in der Bereitstellung einer den Anforderungen angemessenen sowie kostengünstigen Lösung. Die folgende Abbildung zeigt das im vorliegenden Handbuch verwendete Lebenszyklusmodell. Es orientiert sich an den Empfehlungen des aktuellen GAMP -Leitfadens zur Validierung computergestützter Systeme. Es beginnt mit der Planungsphase eines Projektes und endet mit der Aufnahme der pharmazeutischen Produktion nach Abschluss von Qualifizierung und Validierung 1-2 A5E

13 Voraussetzung für die Projektierung von Automatisierten Systemen im GMP-Umfeld Legende für das Lebenszyklusmodell Abkürzung Beschreibung VP Validierungsplan (Validation Plan 1 ) QP QPP URS FS DS FAT SAT IQ OQ PQ VR QR Qualifizierungsplan (Qualification Plan) Qualitäts- und Projektplan (Quality and Project Plan) 2 / Anwender-Lastenheft (User Requirement Specification; auch: Anwender- Anforderungsspezifikation) Pflichtenheft (Functional Specification; auch: Anwendungsspezifikation) Designspezifikation / Entwurfsspezifikation (Design Specification) Factory Acceptance Test Site Acceptance Test Installation Qualification Operational Qualification Performance Qualification Validierungsbericht (Validation Report) Qualifizierungsbericht (Qualification Report) 1 2 Im Sinne einer verbesserten Lesbarkeit und Wiedererkennung geprägter Begriffe wurde in der deutschen Ausgabe auf die konsequente Übersetzung aller Begriffe und Abkürzungen ins Deutsche teilweise verzichtet. Die in GAMP 4 verwendeten Begriffe "User Requirement Specification / Anwender-Lastenheft" bzw. "Functional Specification / Pflichtenheft entsprechen in Ihrer Begriffdefinition nicht der Bedeutung der deutschsprachigen Begriffe "Lastenheft" bzw. "Pflichtenheft" wie sie z.b. VDI 3694 und VDI 2519 verwendet werden. A5E

14 Voraussetzung für die Projektierung von Automatisierten Systemen im GMP-Umfeld Validierungsplan Im Validierungsplan (Validation Plan VP) werden die übergeordnete Strategie sowie die für die Validierung eines Systems in seiner betrieblichen Umgebung verantwortlichen Parteien festgelegt [PDA, GAMP 4]. Im Falle komplexer Anlagen (bspw. Produktionslinie mit mehreren verfahrenstechnischen Anlagen und Automatisierungssystemen) kann zusätzlich zwischen einem übergeordneten Masterdokument (Validierungsmasterplan, auch VMP oder MVP) und einem für Einzelanlagen und Systeme gültigen VP unterschieden werden. Siehe auch GAMP 4, Anhang M1 "Richtlinie für Validierungsplanung". Qualitäts- und Projektplan Der Qualitäts- und Projektplan (Quality and Project Plan QPP) definiert den Rahmen und Vorgehensweisen für das Projekt- und Qualitätsmanagement. Es werden z.b. Verfahren zur Dokumentenkontrolle, Änderungskontrollverfahren etc. festgelegt. Im QPP wird der Lebenszyklus dergestalt definiert, dass er nicht nur validierungsrelevante Projektphasen sondern auch andere organisatorische Zusammenhänge (bspw. unterschiedliche Zeitpläne der verschiedenen Gewerke) integriert. Eine Kombination des QPP mit dem QP ist wegen der ähnlichen Struktur und Inhalte möglich. Siehe auch GAMP 4, Anhang M6 "Richtlinie für Qualitäts- und Projektplanung". Qualifizierungsplan Ein Qualifizierungsplan (Qualification Plan QP) beschreibt im Gegensatz zum Validierungsplan die durchzuführenden Qualifizierungsmaßnahmen im Detail. Er definiert die durchzuführenden Tests und zeigt Abhängigkeiten auf. Der Qualifizierungsplan ist einem Validierungsplan nachgeschaltet. Auf Grund der ähnlichen Inhalte beider Dokumente ist die Kombination von QP mit dem QPP möglich. Spezifikation: Die Spezifikationsphase beginnt mit der Erstellung des Anwender-Lastenheftes. Das Anwender-Lastenheft wird in der Regel vom Betreiber erstellt und beschreibt die Anforderungen, die das System erfüllen soll. Im Anschluss an das Anwender- Lastenheft wird ein Pflichtenheft, im Regelfall durch den Lieferanten, erstellt. Im Pflichtenheft (auch Funktionsspezifikation FS) werden die durch die URS definierten Anforderungen auf funktionaler Ebene präzisiert. Anschließend erfolgt in der Designspezifikation (DS) die detaillierte Vorgabe für die Implementierung. 1-4 A5E

15 Voraussetzung für die Projektierung von Automatisierten Systemen im GMP-Umfeld Die Funktions - und Designspezifikationen bilden gleichzeitig die Grundlage für spätere Tests im Rahmen der Qualifizierung bzw. Validierung. In den Funktionsund Designspezifikationsphasen müssen auch folgende Punkte festgelegt werden: Softwarestruktur Programmierstandards Namenskonvention Dateibenennungskonvention Anwender-Lastenheft (URS) Das Anwender-Lastenheft beschreibt die Anforderungen die das System aus Sicht des Betreibers erfüllen soll. Das Anwender-Lastenheft wird in der Regel vom Systembetreiber erstellt, die Erstellung kann allerdings auch durch den Systemlieferanten unterstützt werden. Es stellt die Grundlage für alle folgenden Spezifikationen dar. Siehe auch GAMP 4, Anhang D1 "Beispiel-Vorgehensweise für die Erstellung eines Anwender-Lastenheftes (Anwender-Anforderungsspezifikation)". A5E

16 Voraussetzung für die Projektierung von Automatisierten Systemen im GMP-Umfeld Pflichtenheft (FS) Das Pflichtenheft wird in der Regel vom Systemlieferanten, teilweise in Kooperation mit dem Endkunden, erstellt. Es beschreibt in Anlehnung an das Anwender-Lastenheft detailliert die Funktionen des Systems. Das genehmigte Pflichtenheft ist als Basis für die Erstellung der Detailspezifikationen. Siehe auch GAMP 4, Anhang D2 "Beispiel-Vorgehensweise für die Erstellung eines Pflichtenhefts (Anwendungsspezifikation)". Entwurfsspezifikation (DS) Die Entwurfspezifikation (Design Specification DS) wird i.d.r. vom Systemlieferanten erstellt. Sie basiert auf dem Pflichtenheft und ergänzt dieses durch detaillierte Beschreibungen von z.b. einzusetzender Hardware, einzusetzender Software, Messstellenlisten usw. Siehe auch GAMP 4, Anhang D3 "Beispiel-Vorgehensweise für die Erstellung einer Hardware-Entwurfsspezifikation" und GAMP 4, Anhang D4 "Beispiel- Vorgehensweise für die Erstellung von Software-Entwurfsspezifikationen und Softwaremodul-Entwurfsspezifikationen". Implementierung In der Implementierungsphase wird das System entsprechend der Designspezifikation realisiert. Neben den im QPP definierten Vorgehensweisen und zusätzlichen Richtlinen (bspw. Coding Standards, Naming Conventions, Backup von Daten) nimmt das Änderungsmanagement mit dem Ziel Änderungen und Abweichungen von ursprünglichen Spezifikationen nachvollziehbar zu machen, einen großen Stellenwert ein. Siehe auch GAMP 4, Anhang M8 "Richtlinie für Projekt-Änderungslenkung (Projekt-Change-Control)"; GAMP 4, Anhang M10 "Richtlinie für Dokumenten- Management". FAT Nach Beendigung der Implementierungsmaßnahmen wird häufig ein Factory Acceptance Test (FAT) bei dem Lieferanten dokumentiert durchgeführt. Dadurch können eventuelle Fehler in der Programmierung noch vor der Auslieferung entdeckt und behoben werden. Ziel des FAT ist die Freigabe (Akzeptanz) des Kunden zur Systemauslieferung im jeweils getesteten Zustand. SAT Der Site Acceptance Test (SAT) zeigt, dass ein automatisiertes System innerhalb seiner Ziel-Betriebsumgebung mit Schnittstellen zu Instrumentierung und Anlagen spezifikationsgerecht arbeitet. Der SAT kann projektspezifisch mit der Inbetriebnahme (und damit der IQ bzw. OQ kombiniert werden. 1-6 A5E

17 Voraussetzung für die Projektierung von Automatisierten Systemen im GMP-Umfeld Testphase / Qualifizierung Nach dem FAT folgt die technische Inbetriebnahme (Inbetriebsetzungsphase). Hier wird das System mit dem erstellten Anwenderprogramm beim Systembetreiber installiert, technisch in Betrieb genommen, getestet und qualifiziert. Inbetriebnahmephase und Qualifizierungsphasen können nacheinander oder kombiniert erfolgen. Um Zeit und Kosten zu sparen ist es empfehlenswert, die Aktivitäten der Inbetriebnahme und der Qualifizierung aufeinander abzustimmen. So sollte die Testplanung frühzeitig erstellt werden, um prüfen zu können, ob im Verlauf der Qualifizierung auf die Wiederholung von Tests, die bereits im FAT oder SAT durchgeführt wurden, verzichtet werden kann. In diesem Fall sind werden die dokumentierten FAT / SAT-Tests zu Bestandteilen der Qualifizierungsdokumentation. Beim Erstellen der Testunterlagen sind Tests und Akzeptanzkriterien verständlich zu beschreiben. Qualifizierungsbericht Der Qualifizierungsbericht (Qualification Report QR) fasst in Anlehnung an den Qualifizierungsplan die Testergebnisse der durchgeführten Tests zusammen und bestätigt den erfolgreichen Ablauf der Qualifizierungsphasen. Validierungsbericht Der Validierungsbericht (Validation Report VR) fasst die Ergebnisse der einzelnen Validierungsschritte zusammen und bestätigt den validierten Zustand des Systems. Die Erstellung sowohl des Validierungsplans als auch des Berichts liegt in der Verantwortung des Kunden. Betrieb Nach der erfolgreichen Qualifizierung und dem anschließenden Betrieb (Beginn der Produktion) des Systems ist die Anlage vom Betreiber instand zu halten bzw. zu warten. Dabei sind die Wartungs- und Instandhaltungszyklen sowie die Verfahren zum Betrieblichen Change Control zu definieren und einzuhalten. A5E

18 Voraussetzung für die Projektierung von Automatisierten Systemen im GMP-Umfeld 1.2 Gesetze und Richtlinien Zur Projektierung von validierungspflichtigen Automatisierten Systemen im GMP- Umfeld sollten die Empfehlungen und Richtlinien verschiedener Organisationen beachtet werden. Diese basieren in der Regel auf allgemeinen Richtlinien wie z.b. dem Title 21 Code of Federal Regulations (21 CFR) der amerikanischen Food and Drug Administration (FDA) oder dem EU-GMP-Leitfaden Annex 11. Gesetz / Richtlinie Ersteller / Organisation Titel Gesetz / Empfehlung Geltungsbereich 21 CFR Part 11 US FDA Electronic records, electronic signature 21 CFR Part 210 US FDA Current good manufacturing practice in manufacturing, processing, packing, or holding of drugs; General 21 CFR Part 211 US FDA Current good manufacturing practice for finished pharmaceuticals Gesetz Hersteller und Importeure von Arzneimitteln für den USamerikansichen Markt Annex 11 zum EU-GMP- Leitfaden European Commission Directorate General III Computer-aided systems Richtlinie Europa Annex 18 zum EU-GMP- Leitfaden European Commission Directorate General III Good Manufacturing Practice for Active Pharmaceutical Ingredients Richtlinie Europa GAMP 4 ISPE GAMP 4 Leitfaden zur Validierung automatisierter Systeme Richtlinie Weltweit NAMUR Empfehlung NE 58 NAMUR Abwicklung von qualifizierungspflichtigen PLT-Projekten Empfehlung Europa NAMUR Empfehlung NE 71 NAMUR Betreiben und Betreuen validierter Anlagen Empfehlung Europa NAMUR Empfehlung NE 72 NAMUR Validierungsunterstützung bei Einsatz von Leitsystemen Empfehlung Europa Hinweis Basis für die Grundlage dieses Handbuches sind die Anforderung der GAMP 4 und US 21 CFR Part A5E

19 Voraussetzung für die Projektierung von Automatisierten Systemen im GMP-Umfeld Code of Federal Regulations Title 21 (21 CFR), Food and Drugs Zu dem Code of Federal Regulations, Title 21 gehören Artikel (Parts), wie z.b. die Parts 11, 210 und 211. Von besonders großer Bedeutung für die Computerisierte Systeme ist Part 11 (kurz: 21 CFR Part 11). Er beschäftigt sich mit elektronischen Aufzeichnungen (Electronic Records) und elektronischen Unterschriften (Electronic Signatures). Annex 11 zum EU-GMP-Leitfaden Der Annex 11 zum EU-GMP-Leitfaden beschreibt in 19 Punkten die Anforderungen an die Projektierung, den Betrieb bis hin zu Änderungskontrollen von Computersystemen im GMP-Umfeld. Eine Interpretation des Annex 11 ist in Form einer APV-Richtlinie im GAMP 4-Leitfaden zur Validierung automatisierter Systeme zu finden. Annex 18 zum EU-GMP-Leitfaden Der Annex 18 zum EU-GMP-Leitfaden beschäftigt sich mit der guten Herstellungspraxis (GMP) für Wirkstoffe. Er soll als GMP-Anleitung bei der Herstellung von Wirkstoffen im Rahmen eines geeigneten Qualitätsmanagementsystems dienen. Kapitel 5 des Annexes 18 beschäftigt sich mit der Prozessausrüstung und deren Einsatz. GAMP -Leitfaden zur Validierung automatisierter Systeme "GAMP 4" Der GAMP (Good Automated Manufacturing Practice) Leitfaden zur Validierung automatisierter Systeme wurde als eine Empfehlung für die Lieferanten sowie Anleitungen für die Betreiber automatisierter Systeme in der produzierenden pharmazeutischen Industrie zusammengestellt. Die aktuelle Version "GAMP 4" wurde im Dezember 2001 veröffentlicht. NAMUR Empfehlungen Die NAMUR Empfehlungen sind Erfahrungsberichte, die von der "Interessengemeinschaft Prozessleittechnik der chemischen und pharmazeutischen Industrie" für ihre Mitglieder zur wahlfreien Benutzung erarbeitet wurden. Sie sind nicht als Normen oder Richtlinien anzusehen. Folgende NAMUR Empfehlungen sind für die Projektierung und den Einsatz von Automatisierte Systeme im GMP-Umfeld besonders interessant: NE 58 "Abwicklung von qualifizierungspflichtigen PLT-Projekten" NE 71 "Betreiben und Betreuen validierter Anlagen" NE 72 "Validierungsunterstützung bei Einsatz von Leitsystemen" A5E

20 Voraussetzung für die Projektierung von Automatisierten Systemen im GMP-Umfeld 1.3 Verantwortlichkeiten Beim Projektieren von Automatisierten Systemen im GMP-Umfeld und der Erstellung der entsprechenden Spezifikationen sind die Verantwortlichkeiten für die Aktivitäten der einzelnen Lebenszyklusphasen festzulegen. Da diese Festlegung meist kunden- und projektspezifisch erfolgt und der vertraglichen Vereinbarung bedarf, wird deren Festlegung im Qualitäts- und Projektplan empfohlen. Siehe auch GAMP 4, Anhang M A5E

21 Voraussetzung für die Projektierung von Automatisierten Systemen im GMP-Umfeld 1.4 Genehmigung und Änderungsverfahren Bei der Errichtung neuer validierungspflichtiger Systeme oder der Änderung von im Betrieb befindlichen validierungspflichtigen Systemen gilt oberste Priorität der Erreichung bzw. dem Erhalt des validierten Zustands. Neuerrichtung von Systemen Im Fall der Neuerrichtung eines Systems wird die Genehmigung von Dokumenten sowie der Übergang zwischen Lebenszyklusphasen vor Projektbeginn festgelegt. Dies geschieht meist gemeinsam mit der Definition der Verantwortlichkeiten im Qualitäts- und Projektplan. Es wird ein Lebenszyklus angewendet wie in Kapitel 1.1 "Lebenszyklusmodell" beschrieben angewendet. Veränderung validierter Systeme Veränderungen eines existierenden und im validierten Status befindlichen Systems sind durch das betriebliche Change Control geregelt. Änderungen sind vor der Durchführung zu beschreiben, potentielle Auswirkungen zu identifizieren und begleitende Maßnahmen (bspw. Durchführung von Tests, Aktualisierung der As- Built-Dokumentation) zu definieren. Nach anschließender Genehmigung werden sowohl die geplante Änderung als auch die definierten Maßnahmen durchgeführt. Bei umfangreichen Änderungen kann bei Bedarf auch ein Lebenszyklus analog dem in diesem Handbuch gezeigten, angewendet werden. A5E

22 Voraussetzung für die Projektierung von Automatisierten Systemen im GMP-Umfeld 1.5 Software-Kategorisierung von Leitsystemen Wie in Kapitel 2.2 "Software-Kategorisierung" und Kapitel 4.2 "Software- Kategorisierung von SIMATIC WinCC" beschrieben kann die Software eines Systems nach dem GAMP 4-Leitfaden zur Validierung automatisierter Systeme in fünf Software-Kategorien eingestuft werden. Die Software-Kategorien beeinflussen den Aufwand während der Test und Qualifizierungsphase erheblich und sollten während der Spezifikationsphase für die eingesetzte Software ermittelt werden A5E

23 2 Anforderungen an automatisierte Systeme im GMP-Umfeld In Bezug auf den Einsatz von automatisierten Systemen in diesem Kaptitel sind die wesentlichen Anforderungen, die ein automatisiertes System im GMP-Umfeld erfüllen muss, aufgeführt. Diese Anforderungen sind in der Spezifikation festzuhalten und während der Projektierung umzusetzen. Im Allgemeinen ist immer festzuhalten, dass zu jeder Zeit der sichere Nachweis erbracht werden muss, wer, zu welchem Zeitpunkt, was geändert bzw. durchgeführt hat (das "Warum" ist optional). Die Anforderungen an diese Aufgabe werden in verschiedenen Funktionen umgesetzt und sind in den nachfolgenden Kapiteln beschrieben. Die folgende Grafik zeigt das Lebenszyklusmodell. Die Anforderungen, die in diesem Kapitel im Fokus stehen, werden dem Bereich Spezifikation in der Grafik zugeordnet. A5E

24 Anforderungen an automatisierte Systeme im GMP-Umfeld 2.1 Hardware-Kategorisierung Nach dem GAMP 4 Leitfaden, Anhang M4, werden Hardware-Komponenten eines Systems in zwei Hardware-Kategorien unterschieden. Nachfolgend werden die Hardware-Kategorien aufgeführt: Kategorie 1, Standard-Hardware Unter die Kategorie 1 Standard-Hardware fallen etablierte, kommerziell verfügbare Hardware-Komponenten. Auch diese Hardware muss einschlägigen Qualitäts- und Prüfungsmechanismen unterliegen. Die Hardware wird durch IQ-Test aufgenommen und dokumentiert. Kategorie 2, Anwendungsspezifische (zugeschnittene) Hardware Ihre Funktionalität muss spezifiziert und im Einzelnen durch geeignete, dokumentierte Tests überprüft und dokumentiert werden. 2-2 A5E

25 Anforderungen an automatisierte Systeme im GMP-Umfeld 2.2 Software-Kategorisierung Nach dem GAMP -Leitfaden zur Validierung automatisierter Systeme werden die Software-Komponenten eines Systems in 5 Software-Kategorien eingestuft. Nachfolgend aufgeführt sind die fünf GAMP -Software-Kategorien: Kategorie 1, Betriebssysteme Unter die Kategorie 1 Betriebssysteme fallen etablierte, kommerziell verfügbare Betriebssysteme. Diese unterliegen selber keiner eigenen Validierung, der Name und die Version des Betriebssystems sind allerdings zu dokumentieren und im Rahmen der Installationsqualifizierung (IQ) zu überprüfen. Kategorie 2, Firmware Zur Kategorie 2 zählt die Firmware in bspw. Fedlinstrumenten oder Kompaktsteuerungen, deren Konfiguration z.b. den Vorortbedingungen angepasst wurde. Auch hier ist wieder der Name und die Version der Firmware sowie deren Konfiguration zu dokumentieren und im Rahmen einer Installationsqualifizierung (IQ) zu überprüfen. Die Funktionalität des Gerätes ist in einer Funktionsqualifizierung (OQ) zu überprüfen. Kategorie 3, Standard-Softwarepakete Zur Kategorie 3 gehören kommerziell verfügbare Standard-Softwarepakete, sowie Standardlösungen für bestimmte Prozesse. Die Konfiguration dieser Softwarepakete sollte auf die Anpassung der Laufzeitumgebung (z.b. Netz- und Druckeranbindungen) sowie die Konfiguration der Prozessparameter beschränkt werden. Es ist der Name und die Version des Standard-Softwarepaketes zu dokumentieren und in einer Installationsqualifizierung (IQ) zu überprüfen. Anwenderanforderungen (wie z.b. Zugriffsschutz, Alarme, Meldungen oder Berechnungen) sind zu dokumentieren und im Rahmen der Funktionsqualifizierung (OQ) zu überprüfen. Kategorie 4, Konfigurierbare Softwarepakete Zur Kategorie 4 gehören konfigurierbare Softwarepakete, die spezielle Geschäftsund Herstellungsprozesse ermöglichen. Hierzu sind vorkonfektionierte Software- Module zu konfigurieren. Diese Softwarepakete sollten nur als Kategorie 4 betrachtet werden, wenn sie gut bekannt und ausgereift sind, ansonsten ist Kategorie 5 besser geeignet. Im Falle kritischer und / oder komplexer Anwendungen ist ein Lieferantenaudit üblich Der Name, die Version und die Konfiguration sind zu dokumentieren und in einer Installationsqualifizierung (IQ) zu überprüfen. Die Funktionen der Softwarepakete sind gegen die Anwenderanforderungen in einer Funktionsqualifizierung (OQ) zu überprüfen. Der Validierungsplan sollte das Lebenszyklus-Modell sowie eine Bewertung von Lieferanten und Softwarepaketen berücksichtigen. A5E

26 Anforderungen an automatisierte Systeme im GMP-Umfeld Kategorie 5 Anwenderspezifische (zugeschnittene) Software Zur Kategorie 5 zählt anwenderspezifische Software, die für spezielle Bedürfnisse der Anwenderfirma entwickelt wurde. Als Nachweis geeigneter Qualitätssysteme zur Kontrolle der Entwicklung und der nachfolgenden Pflege ist normalerweise ein Lieferantenaudit erforderlich. Anderenfalls sollten die Lieferanten den GAMP 4 Leitfaden als Grundlage für einen eigenen Entwicklungslebenszyklus verwenden. Wiederum sind der Name, die Version und die Konfiguration zu dokumentieren und in einer Installationsqualifizierung (IQ) zu überprüfen. Es ist eine detaillierte Software-Spezifikation zu erstellen und die Funktion der Software ist in einer Funktionsqualifizierung (OQ) zu überprüfen. Der Validierungsplan sollte einen vollständigen Lebenszyklusansatz für die Validierung festlegen. Der Testaufwand ist bei Einsatz von Software hoher Kategorien wesentlich höher als bei Software niederer Kategorien. Den Aufwand für die Validierung und das Testen kann durch möglichst umfangreichen Einsatz standardisierter Software reduziert werden. Aufwand an Validierung Und Qualifizierung Software Kategorie 2-4 A5E

27 Anforderungen an automatisierte Systeme im GMP-Umfeld 2.3 Konfigurationsmanagement Nach dem GAMP 4-Leitfaden, ist das Konfigurationsmanagement definiert als die Tätigkeit, die notwendig ist, um ein automatisiertes System an jedem Punkt seines Lebenszyklus, von den ersten Schritten der Entwicklung bis zur Außerbetriebsetzung exakt zu definieren. Das Konfigurationsmanagement besteht aus der Anwendung administrativer und technischer Vorgehensweisen um: Systemkomponenten zu kennzeichnen, zu definieren und grundsätzlich zu spezifizieren Änderungen und Freigaben von Elementen zu kontrollieren Den Status und Modifikationen der Elemente aufzuzeichnen und zu berichten Vollständigkeit, Konsistenz und Korrektheit der Elemente sicherzustellen Lagerung, Behandlung und Lieferung der Elemente zu kontrollieren. Das Konfigurationsmanagement besteht aus folgenden Tätigkeiten: Konfigurationskennzeichnung (WAS unter Kontrolle zu halten ist) Konfigurationskontrolle (wie die Kontrolle durchgeführt wird) Konfigurationsstatusbericht (wie die Kontrolle dokumentiert wird) Konfigurationsbeurteilung (wie die Kontrolle verifiziert wird). In diesem Kapitel, werden die Tätigkeiten Konfigurationskennzeichnung und Konfigurationskontrolle behandelt. A5E

28 Anforderungen an automatisierte Systeme im GMP-Umfeld Konfigurationskennzeichnung Versions- und Änderungsmanagement ist nur mit einer angemessenen Projektierungsumgebung sinnvoll. Jedes Software- und Hardware-Paket ist deshalb mit einer eindeutigen Produktbezeichnung (MLFB-Nummer) und einer Versionsnummer gekennzeichnet. Für die Anwendersoftware sollte eindeutig festgelegt werden welche Teile eines automatisierten Systems dem Konfigurationsmanagement unterliegen. Zu diesem Zweck sollte das System in Konfigurationselemente untergliedert werden. Diese sollten in einer frühen Phase der Implementierung so definiert werden, dass eine komplette Liste von Konfigurationselementen erstellt und gepflegt werden kann. Die applikationsspezifischen Elemente sollen eine eindeutige Kennzeichnung (Name oder Identifizierungsnummer) haben. Die Detailtiefe für die Festlegung der Elemente sollte durch den Bedarf des Systems und des Lieferanten, der die Applikation entwickelt, bestimmt werden Konfigurationskontrolle Die Pflege der Konfigurationselemente ist in regelmäßigen Abständen z.b. durch Reviews zu überprüfen. Hierbei ist insbesondere die Änderungskontrolle und damit verbunden die Versionskontrolle zu beachten. Des Weiteren sollte die Archivierung sowie die Freigabe der einzelnen Konfigurationselemente beachtet werden Versionskontrolle Zur Gewährleistung eines korrekten Änderungsmanagements sind die Konfigurationselemente zu versionieren. Die Version ist bei jeder Änderung zu aktualisieren Änderungslenkung (Change control) Während der Projektierung müssen geeignete Kontrollmechanismen greifen, die Änderungen dokumentieren um Transparenz herzustellen. Die Kontrollmechanismen können durch SOPs beschrieben werden und sollten im Einzelnen folgende Punkte beinhalten. Software-Versionierung Vorgaben wie Programmierrichtlinien, Namenskonventionen etc. Gewährleistung der Nachvollziehbarkeit von Programmcode-Änderungen Eindeutige Kennzeichnung der Software und aller darin enthaltenen Komponenten 2-6 A5E

29 Anforderungen an automatisierte Systeme im GMP-Umfeld 2.4 Software-Erstellung Im Rahmen der Software-Erstellung sollten Richtlinien eingehalten werden, die im Qualitäts- und Projektplan zu dokumentieren sind (GEP-Gedanke). Richtlinien zur Software-Erstellung können dem GAMP 4-Leitfaden zur Validierung automatisierter Systeme und einschlägigen Normen und Empfehlungen entnommen werden Verwendung von Typicals zur Programmierung Wie in Kapitel 2.2 "Software-Kategorisierung" zu sehen ist, steigt der Validierungsaufwand mit den einzelnen GAMP -Software-Kategorien enorm an. Während sich der Validierungsaufwand bei Software der Kategorie 1 lediglich auf die Überprüfung von Software-Namen und Version beschränkt, beläuft sich der Aufwand für die Validierung von Software der Kategorie 5 auf die Überprüfung des kompletten Funktionsumfanges sowie ein Lieferantenaudit. Um den Validierungsaufwand so gering wie möglich zu halten, sind aus diesem Grund bei der Projektierung standardisierte Funktionsbausteine zu verwenden (Produkte, Hausstandards, Projektstandards). Aus Standardfunktionsbausteinen werden anwendergerechte Typicals nach Designvorgaben erstellt und getestet Kennung von Software-Modulen / Typicals Bei der Software-Erstellung sollten die einzelnen Software-Module eindeutig mit Name, Version und einer Kurzbeschreibung des entsprechenden Bausteins versehen werden. Die Änderung von Software-Modulen sollte bei der Kennung berücksichtigt werden Änderung von Software-Modulen / Typicals Die Änderungen an Software-Modulen sollte in der Kennung des entsprechenden Moduls vermerkt werden. Neben der Erhöhung der Versionskennung sollten auch das Datum und der Name des Ändernden in die Kennung der Software-Module mit aufgenommen werden. Die zu ändernden Softwaremodulen sind ggf. durch Kommentare mit Verweis auf den zugehörigen Änderungsantrag / -auftrag kenntlich zu machen. Siehe hierzu auch Kapitel "Änderung der Anwendersoftware". A5E

30 Anforderungen an automatisierte Systeme im GMP-Umfeld 2.5 Zugriffsschutz und Benutzerverwaltung Um die Sicherheit automatisierter Systeme im GMP-Umfeld gewährleisten zu können, sollten diese Systeme mit einem Zugriffskontrollsystem ausgestattet sein. Zugriffskontrollsysteme bieten zusätzlich zur räumlichen Zugangskontrolle die Möglichkeit Systeme vor unberechtigtem Zugriff zu schützen. Die Benutzer sollten hierbei in Benutzergruppen zusammengefasst werden, über die die Verwaltung der Benutzerrechte erfolgt. Die Zugriffsberechtigung der einzelnen Benutzer kann über verschiedene Möglichkeiten realisiert werden: Kombination aus eindeutiger Benutzer-ID und Passwort Projektierungsbeschreibung ist im Kapitel "Anforderungen an die Benutzer-ID und Passwort" beschrieben. Chipkarten gemeinsam mit Passwort Biometrische Systeme Um den Zugriffsschutz gewährleisten zu können, ist die Vergabe und Verwaltung der Zugriffsrechte von dem Systemeigner bzw. von einem durch den Betreiber benannten Mitarbeiter (Administrator) zu kontrollieren Anwendung des Zugriffsschutzes auf ein System Generell sollten Aktionen, die an einem automatisierten System ausgeführt werden können, geschützt werden. Je nach Aufgabenbereich können dem Benutzer verschiedene Rechte zugewiesen werden. Der Zugriff auf die Benutzeradministration sollte nur dem Systemeigner bzw. einem von ihm bestimmten Mitarbeiter gewährt werden. Weiterhin ist der Zugriff Unberechtigter auf die Aufzeichnung elektronischer Daten unbedingt zu schützen. Am System sollte eine automatische Logout-Funktion installiert sein. Die Logout-Zeit sollte in Abstimmung mit dem Betreiber definiert und im Pflichtenheft festgehalten werden.! Hinweis Es ist darauf zu achten, dass der Zugang zu PCs nur für berechtigte Personen möglich ist. Dies kann durch geeignete Mechanismen wie Remote-Kits erzielt werden. 2-8 A5E

31 Anforderungen an automatisierte Systeme im GMP-Umfeld Anforderungen an die Benutzer-ID und Passwort Benutzer-ID: Die Benutzer-ID eines Systems sollte eine mit dem Kunden festgelegte Mindestlänge besitzen und für das System eindeutig sein. Passwort: Ein Passwort sollte generell aus einer Kombination von numerischen und alphanumerischen Zeichen bestehen. Beim Anlegen von Passwörtern sollte eine Mindestanzahl von Zeichen sowie ein Zeitraum bis zum Ablaufen eines Passwortes festgelegt werden. Der Aufbau des Passwortes wird in der Regel kundenspezifisch festgelegt. Projektierungsbeschreibungen werden unter Kapitel 4.6 "Einrichten des Zugriffsschutzes" beschrieben. Kriterien beim Aufbau eines Passwortes sind: Mindestlänge des Passwortes Verwendung von numerischen und alphanumerischen Zeichen Verwendung von Groß- und Kleinbuchstaben Chipkarten und biometrische Systeme Neben der herkömmlichen Methode der Identifikation über Benutzer-ID und Passwort können sich Benutzer auch mit Chipkarten oder über biometrische Systeme, wie z.b. dem Scannen des Fingerabdruckes, identifizieren. A5E

32 Anforderungen an automatisierte Systeme im GMP-Umfeld 2.6 Elektronische Unterschriften Elektronische Unterschriften sind computergenerierte Zeichenfolgen, die als rechtlich verbindliches Äquivalent zur handschriftlichen Unterschrift gelten. Die Vorschriften zum Einsatz von elektronischen Unterschriften sind im 21 CFR Part 11 der FDA festgehalten. Jede elektronische Unterschrift muss einer Person eindeutig zugeordnet sein und darf von keiner anderen Person verwendet werden. Einer Behörde muss bestätigt werden können, dass eine elektronische Unterschrift das rechtlich verbindliche Äquivalent zur handschriftlichen Unterschrift des Unterschreibenden darstellt. Elektronische Unterschriften können sowohl auf biometrischer Basis, als auch ohne biometrische Merkmale aufgebaut sein.! Hinweis Beim Export von Pharmazeutika in die USA müssen die Vorschriften gemäß 21 CFR Part 11 der FDA beachtet werden Konventionelle elektronische Unterschriften Werden elektronische Unterschriften eingesetzt, die nicht auf Biometrie basieren, so sind diese so anzulegen, dass sich der Unterschreibende über mindestens zwei Identifikationskomponenten identifizieren muss. Dies gilt ebenfalls in all den Fällen, in denen eine Chipkarte eine der beiden Identifikationskomponenten ersetzt. Diese Identifikationskomponenten können z.b. aus einer Benutzer-ID und einem Passwort bestehen. Die Identifikationskomponenten sind eindeutig zu vergeben und dürfen nur vom eigentlichen Benutzer verwendet werden. Wendet der Unterschreibende die elektronische Unterschrift an, so muss er sich mindestens über zwei Identifikationskomponenten identifizieren. Eine Ausnahme ist die mehrfache elektronische Unterschrift während einer ununterbrochenen Sitzung. In diesem Fall muss sich der Unterschreibende nur bei der ersten Unterschrift mit beiden Identifikationskomponenten identifizieren. Ab der zweiten Unterschrift ist es dann ausreichend sich mit mindestens einer eindeutigen Identifikationskomponente (Passwort) zu identifizieren A5E

33 Anforderungen an automatisierte Systeme im GMP-Umfeld Elektronische Unterschriften auf biometrischer Basis Eine auf Biometrie basierende elektronische Unterschrift muss so angelegt sein, dass sie nur von einem Benutzer verwendet werden kann. Wendet der Unterschreibende die elektronische Unterschrift auf biometrischer Basis an, so reicht eine Identifikationskomponente aus. Mögliche biometrische Erkennungssysteme sind Systeme zur Abtastung eines Fingerabdruckes oder der Iris des Auges. Hinweis Der Einsatz von biometrischen Systemen gilt derzeit als sichere Identifikationsmethode. Dennoch stehen dem Einsatz biometrischer Identifikationsmerkmale in der pharmazeutischen Industrie auch Hemmnisse entgegen (bspw. schlechte Gesichtserkennung bedingt durch gesichtsverhüllende Reinraumkleidung, keine Fingerabdruckscans mit Handschuhen, Aufwand und Reaktionszeit von Iris- oder Retinascans) Sicherheitsmassnahmen zu Benutzer-IDs/Passwörtern Um die Sicherheit der elektronischen Unterschrift bei Verwendung von Benutzer-ID und Passwort gewährleisten zu können, sollten folgende Punkte beachtet werden: Einzigartigkeit von Benutzer-ID und Passwort Kontrollierte Ausgabe von Benutzer-IDs Berechtigungsentzug bei Verlust bzw. bei unsicheren Benutzer-IDs oder kompromittierten Passwörtern Über Sicherheitsvorkehrungen den unbefugten Einsatz von Benutzer-IDs / Passwörtern verhindern bzw. diesen bei Missbrauch melden Schulungen des Personals mit dokumentiertem Schulungsnachweis A5E

34 Anforderungen an automatisierte Systeme im GMP-Umfeld 2.7 Audit-Trail Das Audit-Trail ist ein systemseitiger Kontrollmechanismus, der die Nachvollziehbarkeit von Dateneingaben bzw. Datenänderungen sicherstellt. Ein sicheres Audit-Trail ist besonders in Zusammenhang mit der Erstellung, Änderung oder Löschung von GMP-relevanten Electronic Records erforderlich. Das Audit-Trail muss in diesem Fall sämtliche vorgenommenen Änderungen bzw. Aktionen mit Datum und Uhrzeit archivieren bzw. dokumentieren. Typische Inhalte eines Audit-Trails müssen festgehalten werden und beschreiben die Vorgänge Wer, hat Wann, Was geändert (alter Wert/neuer Wert). Der Archivierungszeitraum muss dem in der Spezifikation festgelegten entsprechen. Es ist ausreichende Festplattenkapazität einzurichten, um das komplette Audit- Trail bis zur nächsten Auslagerung auf einen externen Datenträger speichern zu können. Es sind Systeme einzusetzen, die eine ausreichende Datensicherheit gewährleisten (z. B. redundante Systeme, Standby-Systeme, RAID5) A5E

35 Anforderungen an automatisierte Systeme im GMP-Umfeld 2.8 Uhrzeitsynchronisation Innerhalb eines Systems muss eine einheitliche Zeitreferenz gewährleistet sein, um die Archivierung von Meldungen, Alarmen etc. mit eindeutigen Zeitstempeln versehen zu können. Eine Uhrzeitsynchronisation auf ein Zeitnormal ist zwar wünschenswert, jedoch nicht zwingend erforderlich. Besonders empfehlenswert ist eine Zeitsynchronisation bei der Archivierung von Daten und die Analyse von Störungen einer Anlage. A5E

36 Anforderungen an automatisierte Systeme im GMP-Umfeld 2.9 Archivierung von Daten Unter Archivierung versteht man eine dauerhafte Aufbewahrung von elektronischen Daten und Aufzeichnungen eines Computersystems in einem Langzeitspeicher. 3 Der Kunde ist verantwortlich für die Definition von Verfahren und Kontrollen zur Aufbewahrung elektronische Daten. Basierend auf gesetzlichen Bestimmungen ( predicate rules ) muss entschieden werden, wie elektronische Daten aufbewahrt werden und vor allem welche Daten hiervon betroffen sind. Dieser Entscheidung sollte eine begründete und dokumentierte Risikobetrachtung zugrunde liegen, die auch die Aussagekraft der elektronischen Daten über den zu archivierenden Zeitraum berücksichtigt. Der Kunde sollte die folgenden Anforderungen definieren 4 : Ob eine Archivierung für die betreffende Anwendung überhaupt erforderlich ist (Backup-/Wiederherstellungsfunktionalität könnte sich von der Archivierungsfunktionalität unterscheiden) Erforderliche Aufzeichnungsdauer für die jeweiligen Datentypen, basierend auf gesetzlichen und geschäftlichen Erfordernissen Ein Archivierungsverfahren, welches Rücklesbarkeit, Datenformat, Durchführbarkeit, Langlebigkeit der Medien und der Plattform Wenn die elektronische Aufzeichnung gewählt wird, können die elektronischen Daten in einem Standardformat gespeichert werden, wie z.b. PDF, XML, SGML, etc. Ein Verfahren zur Aufzeichnung der Metadaten zur korrekten Deutung der gespeicherten Daten Aufzeigen der dauerhaften Kontrolle über die lückenlose Aufzeichnung von elektronischen Daten und die Authentizität der elektronischen Unterschriften Für die SIMATIC-Systeme können Prozesswerte (häufig in Form von Trends), Meldungen (Alarme, Warnungen etc.), Audit Trails sowie u.u. weitere Chargendaten archiviert werden. Der Speicherplatz auf den Datenträgern eines Systems ist begrenzt. Zur Entlastung dieser Datenträger können Daten regelmäßig auf externe Datenträger ausgelagert werden. Für den Fall einer Migration oder Konvertierung der archivierten Daten muss die Integrität der Daten über den gesamten Konvertierungsprozess gewährleistet sein. 5 3 "Good Practice and Compliance for Electronic Records and Signatures. Part 1, Good electronic records management". ISPE/PDA "Good Practice and Compliance for Electronic Records and Signatures. Part 3, Models for Systems Implementation and Evolution". PDA "Good Practice and Compliance for Electronic Records and Signatures. Part 3, Models for Systems Implementation and Evolution". PDA A5E

37 Anforderungen an automatisierte Systeme im GMP-Umfeld 2.10 Protokollierung von Chargendaten Bei der Herstellung von Arzneimitteln und Medizingeräten kommt der Chargendokumentation besondere Bedeutung zu. Für den pharmazeutischen Hersteller stellt die ordnungsgemäß erstellte Chargendokumentation im Rahmen der Produkthaftung oftmals die einzige dokumentierte Basis für eine Beweisführung dar Bestandteile der Chargendokumentation Bestandteile der Chargendokumentation sind: Herstellanweisung und Herstellprotokoll Verpackungsanweisung und Verpackungsprotokoll (die Verpackung des fertigen Arzneimittels ist aus pharmazeutischer Sicht Teil des Herstellprozesses Prüfanweisung und Prüfprotokoll (hinsichtlich aller Qualitätsprüfungen, bspw. in der Analytik) Zentrale Bedeutung kommt hierbei dem Begriff des Herstellprotokolls (bzw. Verpackungsprotokolls) zu, welcher wie folgt definiert ist: das Herstellprotokoll ist immer produkt- und chargenbezogen es basiert immer auf den entsprechenden Teilen der gültigen Herstellanweisung es zeichnet alle prozessrelevanten Mess-, Regel- und Steuervorgänge als Ist- Werte auf und vergleicht diese mit den festgelegten Soll-Werten Bestandteile des Herstellprotokolls Zwingende Bestandteile des Herstellprotokolls sind: Name des Produktes und die Nummer der hergestellten Charge Datum und Uhrzeit von Verarbeitungsbeginn, von wichtigen Zwischenstufen und Verarbeitungsende Name der für die jeweilige Verarbeitungsstufe verantwortlichen Person für alle signifikanten Verarbeitungsschritte das Namenszeichen des Bearbeiters und ggf. der Person welche diese Arbeitsgänge protokolliert (z. B. Doppelvisum bei Verwiegen von Materialien) die Chargennummer und / oder die Analysenkontrollnummer sowie die tatsächlich eingesetzten Mengen aller Ausgangsstoffe alle relevanten Verarbeitungsvorgänge, besondere Vorkommnisse und die wichtigste eingesetzte Ausrüstung Aufzeichnungen über Inprozesskontrollen, inkl. den Namenszeichen der Durchführenden und den erhaltenen Ergebnissen die in den relevanten Zwischenstufen erzielten Ausbeuten A5E

38 Anforderungen an automatisierte Systeme im GMP-Umfeld Angaben zu speziellen Problemen, inkl. Details zu jeder Abweichung von der Herstellungsanweisung, mit Unterschrift der Person welche die Abweichung gebilligt hat Nutzungsmöglichkeiten elektronischer Chargendaten Da der Begriff "Electronic Batch Record" (kurz: EBR) in diesem Zusammenhang nicht eindeutig definiert ist, ergeben sich zwei Möglichkeiten der Nutzung elektronischer Aufzeichnungen bei der Dokumentation der pharmazeutischen Herstellung: die elektronischen Aufzeichnungen bilden einen Teil der Chargendokumentation oder das Herstellprotokoll wird vollständig elektronisch erstellt. Da im Falle eines elektronischen Herstellprotokolls alle oben genannten Anforderungen vollständig erfüllt sein müssen und oft Daten mehrerer Systeme (bspw. PLS, Labordaten, Anmerkungen der Bearbeiter) zu integrieren sind, liegt häufig Fall 1 vor. D.h. die Daten werden als Teil der Chargendokumentation verwendet, häufig gemeinsam mit Daten anderer Systeme und Papieraufzeichnungen Anforderungen an elektronische Aufzeichnungen Bei der Nutzung von elektronischen Aufzeichnungen als Teil der Chargendokumentation oder sogar als Herstellprotokoll gelten die folgenden zusätzlichen Anforderungen (s.a. EU GMP Leitfaden Kapitel 4.9; 21 CFR Part 11 Electronic Records, Electronic Signatures): Durch Regulationen geforderte Namenszeichen und Unterschriften sind als elektronische Unterschriften zu implementieren "Relevante" Verarbeitungsschritte / -vorgänge, "wichtige" Zwischenstufen sowie "wichtige" Ausrüstung sind vorher durch den pharmazeutisch Verantwortlichen zu definieren, diese Definition ist häufig prozessspezifisch Das System muss validiert sein Die Eingabe oder Änderung von Daten darf nur autorisierten Personen möglich sein (Zugriffschutz) Die Änderung oder Löschung von Daten ist aufzuzeichnen (Audit Trail) Die elektronischen Aufzeichnungen sind durch Sicherungskopien zu sichern Im Falle eines elektronischen Herstellprotokolls muss dessen Aufbau und Inhalte zusätzlich mit dem Aufbau und den Inhalten der Herstellanweisung übereinstimmen. Alternativ können Herstellanweisung und -protokoll auch in einem Dokument zusammengefasst werden 2-16 A5E

39 Anforderungen an automatisierte Systeme im GMP-Umfeld 2.11 Datensicherung (Backup) Im Gegensatz zur Archivierung von elektronischen Daten dienen Datensicherungen der Erstellung von Sicherungskopien, welche die Wiederherstellung des Systems im Falle eines Verlusts der Originaldaten oder des ganzen Systems sicherstellen. 6 Das Backup Verfahren muss die periodische Sicherung von nicht beständiger Information abdecken, um den Totalverlust der Daten durch Defekt von Systemkomponenten oder versehentliches Löschen der Daten zu vermeiden. Backup Verfahren müssen geprüft werden, um die ordnungsgemäße Speicherung der Daten sicherzustellen. Backup Aufzeichnungen sollten klar und verständlich bezeichnet und mit Datum versehen werden. 7 Datensicherungen werden auf externen Datenträgern erstellt. Hierbei sollten Datenträger verwendet werden, die den Empfehlungen der Gerätehersteller entsprechen. Bei der Sicherung von elektronischen Daten wird unterschieden in Software- Sicherungen (z. B. Anwendersoftware, Partitionsimage) und Archivdatensicherungen. Ein besonderes Augenmerk liegt hierbei auch auf der Aufbewahrung von Datensicherungsmedien (räumliche Trennung der Kopie vom Original, Schutz vor Magnetfeldern und Elementarschäden). 6 "Good Practice and Compliance for Electronic Records and Signatures. Part 1, Good electronic records management". ISPE/PDA "Electronic records and electronic signatures assessment". Chris Ride & Barbara Mullendore, PDA A5E

40 Anforderungen an automatisierte Systeme im GMP-Umfeld Anwendersoftware Software-Sicherungen sollten nach jeder Software-Änderung an einem System erstellt werden. Sie müssen den zuletzt gültigen Software-Stand eines Systems dokumentieren. Bei der Modifikation von Software-Teilen ist es ausreichend, wenn der geänderte Teil der Anwendersoftware gesichert wird. Es sollten jedoch in regelmäßigem Abstand komplette Software-Sicherungen erstellt werden. Sind Software-Sicherungen im Zuge einer Software-Änderung an einem vorhandenen System bzw. einer Neuinstallation eines Systems zu erzeugen, so sind diese nach der Installation zu erstellen. Im Projektverlauf sollte der Software-Stand in Verbindung mit definierten Meilensteinen gesichert und dokumentiert werden, so z.b. am Ende des FAT (d.h. vor Auslieferung des Systems), nach Beendigung der Installationsqualifizierung (IQ), als Grundlage für die Tests der Funktionsqualifizierung (OQ) und natürlich bei Übergabe des Systems an den Betreiber. Software-Stände sollten auch während der Erstellung neuer Software-Versionen in regelmäßigen Abständen in Form von Software-Sicherungen festgehalten werden. Software-Sicherungen sind von der Applikationssoftware sowie von Konfigurationsparametern zu erstellen. Beschriftung von Software-Sicherungen Nach dem GAMP 4-Leitfaden zur Validierung automatisierter Systeme sollten Software-Sicherungen sowohl auf dem Etikett des Sicherungsmediums, als auch in einem separaten Protokoll mit folgenden Informationen dokumentiert sein: Erstelldatum Systembezeichnung Software-Bezeichnung Software- oder Versionsbezeichnung Laufende Nummer der Sicherung Grund für die Software-Sicherung Datum der Erstnutzung Datum der Sicherung Datum und Unterschrift des Ausführenden Identität des Bedieners Aufbewahrung von Software-Sicherungen Es sollten mindestens die letzten beiden Software-Sicherungen archiviert werden. Diese sollte aus Sicherheitsgründen räumlich vom System getrennt (entsprechend der Empfehlungen des BSI bspw. in einem vom System getrennten Brandabschnitt) aufbewahrt werden. Eine geeignete Sicherungsstrategie ist abhängig von der Häufigkeit von Änderungen zu definieren A5E

41 Anforderungen an automatisierte Systeme im GMP-Umfeld Der Haltbarkeitszeitraum des Datenträgers sollte definiert werden (bspw. aus Herstellerangaben oder den Schriften des Bundesamt für Sicherheit in der Informationstechnologie, BSI) und vor dessen Ablauf ist die Software-Sicherung in geeigneter Weise zu migrieren, bspw. auf einen neuen Datenträger zu kopieren Prozessdaten Die im System gespeicherten Daten, wie z.b. Trends, Messwerte oder Alarme, sollen in periodischen Abständen auf externen Datenträgern gesichert werden. Durch diese Maßnahme kann ein möglicher Datenverlust bei eventuellen Störungen minimiert werden. Beschriftung von Datensicherungen Nach dem GAMP 4-Leitfaden zur Validierung automatisierter Systeme sollten Datensicherungen entweder auf dem Etikett der Sicherung oder in einem separaten Protokoll mit folgenden Informationen dokumentiert sein: Systembezeichnungen Software-/ Datenbezeichnung Version und / oder Software-/ Firmware-Generierungsnummer, falls verfügbar Erstelldatum Datum der Erstbenutzung Laufende Nummer Datum der Datensicherung Grund der Datensicherung Identität des Bedieners Aufbewahrung von Datensicherungen Es gelten die gleichen Richtlinien wie im gleichnamigen Abschnitt des Kapitels "Anwendersoftware". Da Prozessdaten im Gegensatz zu Software üblicherweise nicht überlappend gespeichert werden ist auf geeignete Maßnahmen zur Sicherstellung der Datenintegrität zu achten. A5E

42 Anforderungen an automatisierte Systeme im GMP-Umfeld 2.12 Rücklesen von ausgelagerten Daten Es muss gewährleistet werden, dass die archivierten Daten zu jedem Zeitpunkt rücklesbar sind. Nach Systemaktualisierungen ist auf eine Kompatibilität der vor der Aktualisierung ausgelagerten Daten zu achten A5E

43 Anforderungen an automatisierte Systeme im GMP-Umfeld 2.13 Einsatz von Fremdkomponenten Bei dem Einsatz von zugeschnittenen Fremdkomponenten (Hardware und Software) sollte auf jeden Fall ein Lieferantenaudit durchgeführt werden um den Lieferanten und dessen Qualitätsmanagementsystem zu überprüfen. Die Kompatibilität der Hardware-Komponenten muss bestätigt werden. Auch beim Einsatz von Standard Hardware- und Softwarekomponenten anderer Hersteller muss die Kompatibilität bestätigt werden. Hinweis Hinsichtlich der Auditierung eines Produktlieferanten bietet die NAMUR Empfehlung 72 zahlreiche Hinweise. Ansätze zur Auditierung eines Dienstleisters bzw. Lösungsanbieters finden sich u.a. auch im GAMP 4-Leitfaden, Anhang M2. A5E

44 Anforderungen an automatisierte Systeme im GMP-Umfeld 2-22 A5E

45 3 Systemspezifikation In diesem Kapitel stehen die Auswahlkriterien für Hardware und Software im Fokus. Die Aktivitäten zur Auswahl von Produkten, Produktvarianten und Systemkonstellationen finden in der Spezifikationsphase eines automatisierten Systems statt. Dies wird im nachfolgend dargestellten Lebenszyklusmodell durch die Markierung im linken Bereich veranschaulicht. A5E

46 Systemspezifikation 3.1 Systemaufbau Das branchenneutrale Bedien- und Beobachtungssystem SIMATIC WinCC lässt sich flexibel an die kundenspezifischen Anforderungen einer Produktionsanlage anpassen. Mit SIMATIC WinCC können unterschiedliche Systemkonfigurationen, vom Einzelplatzsystem bis hin zum Mehrplatzsystem mit Server/Client-Struktur in unterschiedlichen Ausprägungen realisiert werden. Mit einem Einzelplatzsystem kann die komplette Bedienung und Beobachtung eines Automatisierungssystems über einen PC erfolgen. Ein Mehrplatzsystem besteht aus den Bedienplätzen (WinCC-Clients) und einem oder mehreren WinCC-Servern, die die WinCC-Clients mit Daten versorgen. Zur Erhöhung der Verfügbarkeit können redundante Systeme aufgebaut werden. Zum Anschluss an die unterlagerte Automatisierungsebene z.b. SIMATIC S7-300 / S7-400 oder Systeme anderer Hersteller stehen z. B. die Bussysteme MPI, Profibus oder Industrial Ethernet zur Verfügung. Die Auswahl des Bussystems richtet sich nach der Anzahl der Koppelpartner und den Umgebungsbedingungen für die Datenkommunikation. Hinweis Zugeschnitten auf die Spezifikation der Produktionsanlage können die einzelnen Komponenten aus dem aktuellen SIMATIC HMI Katalog ST 80 ausgewählt werden. 3-2 A5E

47 Systemspezifikation 3.2 Auswahlkriterien an Hardware Die Software SIMATIC WinCC kann auf jedem Standard-PC installiert werden, der die Mindestanforderung bezüglich Hardware- und Software-Ausbau erfüllt. Für Produktionsanlagen im GMP-Umfeld (z. B. für die Nahrungs- und Genussmittelindustrie oder die pharmazeutische Industrie) hat Siemens besonders robuste Panel-PCs mit Touchscreen und Edelstahlfront speziell für den maschinennahen Einbau entwickelt. Die Software SIMATIC WinCC wird in Verbindung mit einem Panel-PC als HMI Komplettsystem angeboten. Alternativ zum Panel PC kann der Einsatz von LCD-Monitoren vom Typ SIMATIC Flat Panel empfohlen werden. Die Monitore sind in robuster Industrieausführung gefertigt und für den Einsatz direkt an der Maschine, abgesetzt vom PC, vorgesehen. Sie sind sowohl mit als auch ohne Bedienelemente lieferbar. Einzelheiten zur Mindestanforderung bezüglich Hardware- und Software-Ausbau für die Software SIMATIC WinCC sowie zur Industrietauglichkeit der empfohlenen Hardware enthält der aktuelle SIMATIC HMI Katalog ST 80. Hinweis Es wird empfohlen, freigegebene Hardware aus dem aktuellen SIMATIC HMI Katalog ST80 zu verwenden, da diese im Systemtest von Siemens überprüft worden ist. Bei der Auslagerung von PCs in Schaltschränke ist darauf zu achten, dass entsprechende Hardware-Komponenten wie z.b. Remote-Kits genutzt werden. SIMATIC PCs sind mit den für WinCC freigegebenen Betriebssystemen lieferbar. A5E

48 Systemspezifikation 3.3 Erforderliche / optionale Software-Pakete In diesem Kapitel werden Basisfunktionen von SIMATIC WinCC sowie zusätzliche Softwarepakete vorgestellt, die zur Erfüllung der "Anforderungen an automatisierte Systeme im GMP-Umfeld" wie im Kapitel 2 beschrieben, beitragen Basis-Software Zugriffschutz und Benutzerverwaltung Die Zugriffskontrolle zu den SIMATIC WinCC Systemkomponenten sowie zu den WinCC Premium Add-ons wird mit der Software SIMATIC Logon realisiert. SIMATIC Logon ist eine auf Windows-Mechanismen basierende Benutzerverwaltung, die sowohl in einer Arbeitsgruppe als auch in einer Windows Domäne eingesetzt werden kann. Mit SIMATIC Logon werden die Anforderungen der FDA Vorschrift 21 CFR Part 11 zu "Elektronische Datenaufzeichnungen und Elektronische Signaturen" hinsichtlich der Zugriffskontrolle erfüllt. SIMATIC Logon Mit SIMATIC Logon meldet sich der Benutzer im System an. Weiterhin stehen einem angemeldeten Benutzer die Funktionen Logoff, Benutzerwechsel und Passwort-Änderung zur Verfügung. Der SIMATIC Logon ist auf allen Bedien- und Beobachtungssystemen zu installieren. Hinweis Der Einsatz von SIMATIC Logon ist in Mehrplatzsystemen mit Clients ohne lokales Projekt nicht freigegeben. User Administrator Die Berechtigung zur Prozessbedienung wird im WinCC User Administrator konfiguriert. Die Prozessbedienung ist in einzelne Bedienfunktionen aufgeteilt, die jeweils für ausgewählte Benutzergruppen freigegeben werden. Für die Bedienberechtigung muss der Benutzer ein Mitglied in der entsprechenden Benutzergruppe sein. Der User Administrator prüft zur Runtime die Bedienberechtigung in WinCC und SIMATIC Logon die Authentifizierung des Benutzers Basis-Software Elektronische Unterschrift Eine Basis-Software zur Elektronischen Unterschrift wird in SIMATIC WinCC nur in Verbindung mit der Software SIMATIC Logon zur Verfügung gestellt. Im Lieferumfang von SIMATIC Logon ist das Paket Electronic Signature enthalten. Dieses Paket stellt eine Schnittstelle bereit, die in WinCC über Skriptfunktionen zur Überprüfung von Benutzer-ID und Passwort angesprochen werden kann Zusatz-Software SIMATIC PC/PG Image & Partition Creator Die optionale Zusatz-Software "SIMATIC PC/PG Image & Partition Creator" ermöglicht das Erstellen von Datensicherungen von Festplatteninhalten. Mit der so 3-4 A5E

49 Systemspezifikation gesicherten System- und Anwendersoftware ist eine schnelle Systemwiederherstellung möglich. Gesicherte Festplatteninhalte können auch auf baugleiche Geräte aufgespielt werden. Somit wird der Austausch von Rechnern bzw. auch die Erweiterung von Systemen erleichtert. Neben der Erstellung von Festplatten-Images können mit dem Image & Partition Creator auch Festplattenpartitionen angelegt, verändert und gelöscht werden Basis-Software Engineering SIMATIC WinCC ist ein modulares Software-System. Seine grundlegenden Bestandteile sind die Configuration-Software (CS) und die Runtime-Software (RT). In einem WinCC Komplettpaket (RC) sind beide Software-Bestandteile enthalten. Die Auswahl des Komplettpakets richtet sich nach der Anzahl der Power Tags (externe Variablen), die für die Anbindung an die Automatisierungsebene erforderlich sind. Die Configuration Software (CS) enthält alle Grundfunktionen zum Engineering von SIMATIC WinCC. Im Mittelpunkt steht der WinCC Explorer, in dem Editoren zur Projektierung der unterschiedlichen Funktionen geöffnet werden. Nachfolgend wird auf einige Funktionen hingewiesen, die für die Projektierung im GMP-Umfeld empfohlen werden Variablenhaushalt mit Totally Integrated Automation (TIA) In einer vollständigen Automatisierungslösung von Siemens (HMI-System und Automatisierungssystem SIMATIC S7) können die Variablen aus dem SIMATIC Manager in den Variablenhaushalt von WinCC importiert werden. Die Variablen werden zentral im SIMATIC Manager angelegt und gepflegt. Dadurch wird die Konsistenz im Projekt gewährleistet. Dies reduziert den Aufwand für die Validierung der Software WinCC ConfigurationTool Das ConfigurationTool bietet die Möglichkeit, Massendaten mit der Standardsoftware Microsoft Excel zu projektieren. Dabei können die Vorteile der Editiermöglichkeiten (z. B. Autoausfüllen) von Microsoft Excel genutzt werden. Die Daten werden über einen Ladevorgang in das aktive WinCC-Projekt transferiert. Mit dem ConfigurationTool können die Daten des Variablenhaushalts, des Alarm Loggings, des Tag Loggings und der Text Library projektiert werden. Außerdem können Daten aus z. B. bereits validierten Projekten weiterverwendet werden. Die WinCC Konfiguration kann als Übersicht ausgegeben und für Qualifizierungstests verwendet werden. Die Verwendung des Configuration Tools reduziert damit den Aufwand für Engineering und Validierung der Software. A5E

50 Systemspezifikation Basis-Software Runtime Mit der Runtime-Software (RT) wird der Automatisierungsprozess bedient und beobachtet. Dies kann in den Systemkonfigurationen Einzelplatzsystem oder Mehrplatzsystem (Client-Server-Struktur) erfolgen. Zur Erhöhung der Verfügbarkeit werden die Systeme redundant aufgebaut. Nachfolgend wird auf Basisfunktionen der Runtime-Software zur Aufzeichnung und Darstellung der Runtime-Daten eingegangen Alarm Logging Im Alarm Logging wird das komplette Meldesystem projektiert. Dazu gehören Aufbereitung, Darstellung, Quittierung und Archivierung der Meldungen. Im Meldesystem können Meldeereignisse vom Prozess, vom Automatisierungssystem und vom WinCC System verarbeitet werden. Für Produktionsanlagen im GMP-Umfeld wird das Alarm Logging zusätzlich genutzt, um einen Audit Trail zu führen. Bedienungen in den Prozessbildern (z. B. das Verändern eines E-/A-Wertes oder das Betätigen einer Schaltfläche) lösen bei entsprechender Projektierung eine Bedienmeldung aus, die mit Zeitstempel und Benutzer-ID sowie Altwert und Neuwert in das Alarm Logging eingetragen wird. Zur Darstellung der Meldungen in Runtime wird das ActiveX Alarm Control in ein Prozessbild eingebunden. Dabei wird die Meldeansicht konfiguriert. Die Anzeige von unterschiedlichen Meldeansichten wird durch mehrfaches Einbinden des Alarm Controls und Setzen entsprechender Meldefilter erreicht. Die Protokollierung der Meldungen erfolgt manuell oder automatisch. Druckaufträge, die im Report Designer angelegt sind, steuern die Protokollierung Tag Logging Die Archivierung von Prozesswerten wird in dem Editor Tag Logging konfiguriert. Ausgewählte Prozesswerte werden in definierbaren Erfassungszyklen aufgezeichnet und in Prozesswert- oder Verdichtungsarchiven abgelegt. Die aufgezeichneten Prozesswerte werden in der Archivdatenbank gespeichert. Mit dem Erreichen einer definierten Datenbankgröße oder eines festgelegten Zeitraums wird die Archivdatenbank ausgelagert. Weiterhin besteht die Option zur Langzeitarchivierung. (siehe Kapitel 4.11 "Langzeitarchivierung" ) In Runtime können aktuelle oder bereits archivierte Prozessdaten in Kurven- oder Tabellenform angezeigt werden. Dazu wird das entsprechende ActiveX Control (Online Trend Control, Online Table Control) in ein Prozessbild eingebunden. Die Protokollausgabe der archivierten Prozesswerte wird im Report Designer projektiert. Vorgefertigte Seitenlayouts werden mit den projektspezifischen Daten versorgt oder neue Seitenlayouts definiert. Druckaufträge, die im Report Designer angelegt sind, steuern die Protokollierung. 3-6 A5E

51 Systemspezifikation Basis-Software Protokollierung Report Designer Der SIMATIC WinCC Report Designer dient sowohl zur Dokumentation der WinCC Konfiguration, als auch zur Protokollierung der Runtime-Daten. Die Dokumentation der Konfigurationsdaten kann für den WinCC Explorer und jeden projektierten Editor durchgeführt werden, z.b. Tag Logging, Alarm Logging, etc. Dazu sind jeweils vorgefertigte Druckaufträge und Protokoll-Layouts im Lieferumfang von SIMATIC WinCC enthalten. Die vorgefertigten Protokoll-Layouts können mit dem Seitenlayout-Editor des Report Designers geöffnet und wunschgemäß modifiziert werden. Für die Dokumentation im GMP-Umfeld kann z.b. die Angabe einer Versionsnummer eingefügt werden. Für die Runtime-Protokollierung (z. B. Meldungen aus dem Alarm Logging oder Prozesswerte aus dem Tag Logging) sind ebenso vorgefertigte Protokoll-Layouts und Druckaufträge im Lieferumfang enthalten. In den vorgefertigten Layouts muss noch definiert werden, welche Runtime-Daten zu protokollieren sind. Dazu wird das Layout im Seitenlayout-Editor des Report Designers geöffnet und entsprechend bearbeitet. Von den WinCC Runtime-Komponenten, z. B. dem Alarm Logging, werden vorgefertigte Druckaufträge genutzt. Die Druckaufträge können hinsichtlich Ausgabeoptionen, Umfang und Layout modifiziert werden. Ebenso ist die Erstellung anwenderspezifischer Druckaufträge möglich Zusatz-Software Pakete Um die Funktionalität von SIMATIC WinCC abzurunden, werden als ergänzende Software-Produkte WinCC Optionen und WinCC Premium Add-ons angeboten. Nachfolgend werden die Zusatz-Softwarepakete vorgestellt, die besonders für die Prozessvisualisierung /-automatisierung im GMP-Umfeld relevant sind. A5E

52 Systemspezifikation Audit Trail WinCC Audit Für Produktionsanlagen, die im GMP-Umfeld betrieben werden, schreibt die FDA in 21 CFR Part 11 die Aufzeichnung von Änderungen an GMP-relevanten Daten mit Zeitstempel, Benutzername sowie Altwert und Neuwert in Form eines Audit Trails vor. Zur Ergänzung dieser Funktionalität in SIMATIC WinCC wurde die Option WinCC Audit entwickelt. WinCC Audit ist gegliedert in die Software-Pakete WinCC Audit RC zur Konfiguration des Audit Trails und in WinCC Audit RT, das für die Aufzeichnung des Audit-Trails pro Station (Server oder Client) ist. Aufgezeichnet werden: im Runtime-Betrieb alle Art von Bedienungen wie z.b. Login/Logoff, Veränderungen von E/A-Felder, Ziehen von Slidern, etc. Im Runtime-Betrieb alle Änderungen in den User Archives. Alle Arten von Konfigurationsänderungen in der Engineering-Phase. Änderungen an Dokumenten, wie z.b. Scripte, Reports, Anlagenbilder und Dokumente des Anwenders. Veränderungen in der Konfiguration des Audit-Trails Die Projektierung des Audit-Trail ist einfach vorzunehmen und jede der oben angebotenen Funktionen kann selektiv zum Aufzeichnen angewählt bzw. auch abgewählt werden. Zusätzlich besteht die Möglichkeit an jedem Objekt von WinCC über die Funktion InsertAuditEntry zusätzliche Einträge mit freiwählbaren Texten in den Audit-Trail ein zu bringen. Damit lassen sich zum Beispiel Bildumschläge oder Schaltspiele beliebiger Art ganz gezielt als Audit-Trail Information einbringen und damit die Aussagekraft des Audit-Trail steigern. Der Audit-Trail ist über einen Audit Viewer visualisierbar. Im Audit-Viewer können eine Vielzahl von Standard- und kundenspezifischer Filter gesetzt werden, um ganz gezielt die entsprechenden Audit-Trail Informationen schnell zu selektieren bzw. darzustellen. Diese können dann über eine Exportfunktion in eine Excel- Sheet versorgt werden. Der Audit-Trail wird in einer SQL Datenbank abgelegt. WinCC Audit-Trail Datenbank kann so konfiguriert werden, dass entweder Audit-Trail Informationen von einem WinCC-Projekt oder von mehreren WinCC-Projekten in dieser aufgezeichnet wird. Es besteht die Möglichkeit die Audit Trail-Datenbank auf einem lokalen Rechner oder auf einem Rechner im Netzwerk abzulegen. Hinsichtlich Zugriffskontrolle arbeitet WinCC Audit mit der Software SIMATIC Logon (siehe auch Kapitel "Basis-Software Zugriffschutz und Benutzerverwaltung") zusammen. 3-8 A5E

53 Systemspezifikation Konfigurationsmanagement: Änderungslenkung (Change Control) WinCC Audit WinCC-Projekte, die bereits einen abgeschlossenen und vom Kunden abgenommenen Projektierungsstand erreicht haben, können auf nachträgliche Engineering Änderungen von WinCC Audit überwacht werden. Es kann lückenlos nachvollzogen werden welche Engineering Änderungen nach dem abgenommen Projektstand vorgenommen worden sind und damit Anlagenstillstandszeiten minimiert werden. Dabei unterscheidet WinCC Audit zwischen Änderungen, die über den WinCC Explorer ausgeführt und Änderungen in der WinCC Datenbank nach sich ziehen, und Korrekturen, die an Dateien im WinCC Projektbaum durchgeführt werden. Konfigurationsänderungen über den WinCC Explorer, sind z. B. Anpassungen im Variablenhaushalt, in Alarm Logging, in Tag Logging etc. Dagegen werden Korrekturen in Dokumenten bzw. Dateien wie z.b. Anlagenbildern, Reports, Skripten oder auch Dokumente des Anwenders, über die Dokumentenkontrolle von WinCC Audit erfasst. Über die Dokumentenkontrolle werden alle Dokumente eines WinCC Projektes mit einem Schreibschutz versehen. Zur Änderung eines einzelnen Dokumentes in WinCC Audit muss dieses ausgecheckt, geändert und anschließend wieder eingecheckt werden. Dabei ist jeweils die Eingabe eines Kommentars zur Dokumentation der Änderungen vorteilhaft. Im Audit Trail wird das Aus- / Einchecken der Dateien mit Zeitstempel, WinCC-Projektbezeichnung, Dateibezeichung, Benutzer-ID, u. a., und dem eingetragenen Kommentar aufgezeichnet. Zusätzlich bietet die Dokumentenkontrolle die Möglichkeit die entsprechenden Dokumente zu archivieren, um damit reproduzierbare Versionsstände der Dokumente zu erzeugen. Hinweis Im Falle von Änderungen an Dokumenten ist mittels der Dokumentenkontrolle nachvollziehbar, dass ein Dokument geändert wurde, Details zur Änderung werden jedoch nicht erfasst und sollten in Kommentaren beschrieben werden. Es ist sicherzustellen, dass Dateizugriffsrechte nicht manuell verändert werden. In einer Historienansicht können die unterschiedlichen Versionen der Dokumente dargestellt werden. A5E

54 Systemspezifikation Die Rollback-Funktion gestattet das Wiederherstellen einer älteren Dokumentenversion. Als Anhaltspunkt zur Unterscheidung der Versionen dienen Zeitstempel und eingegebener Kommentar, der beim Einloggen des Dokuments angegeben wurde Konfigurationsmanagement: Versionskontrolle (Versionierung) Version Trail SIMATIC Version Trail ist eine für das Engineering von SIMATIC PCS 7 entwickelte Software-Option zum Versionieren von Bibliotheken, Projekten und Multiprojekten, die im Kontext von Totally Integrated Automation mit SIMATIC universell eingesetzt werden kann. Mit Version Trail können Projektdaten, d.h. vollständige Multiprojekte, Einzelprojekte oder Bibliotheken an einem gewählten Zeitpunkt archiviert und den Daten dabei eine Versionskennung (Versionierung) gegeben werden. Des Weiteren können bereits versionierte Projektdaten wieder dearchiviert und erneut eingesetzt werden. SIMATIC Version Trail übernimmt auch die vollständige Verwaltung der Versionshistorie. Das bedeutet z.b., dass eine einmal abgeschlossene Version nicht mehr verändert werden kann. Die Versionierung nach Validierungsgesichtspunkten wird automatisch vom System nach bestimmten einstellbaren Richtlinien vorgenommen. Es wird z.b. immer nur (lückenlos) um eine Stelle hochgezählt und außerdem sichergestellt, dass es nur eine gültige Version eines Projektes mit der gleichen Bezeichnung in der Versionshistorie gibt. Hinweis Aufgrund der engen Verknüpfung mit SIMATIC Logon ist SIMATIC Version Trail nur in Kombination mit dieser separat beziehbaren zentralen Benutzerverwaltung betreibbar A5E

55 Systemspezifikation Parameter Control PM-CONTROL PM-CONTROL ist eine komfortable chargenorientierte Parametersteuerung zur Rezept-/Produktdatenverwaltung. Die integrierte Auftragssteuerung erlaubt eine flexible Gestaltung der Produktionsaufträge, in denen das Rezept, der Produktionsort, die skalierbare Produktionsmenge und der Produktionszeitpunkt festgelegt werden. Das Softwarepaket ist in drei Applikationen gegliedert: Topologie-Manager, zur Abbildung der Anlagentopologie, Anlegen der erforderlichen Parameter und Projektierung der Anbindung an die Automatisierungsebene Rezeptsystem, zum Erstellen und Verwalten der Rezepte / Produkte Auftragssteuerung, Disponieren und Verwalten der Produktionsaufträge Zur wirtschaftlichen Lösung sowohl einfacher als auch komplexer Aufgabenstellungen steht PM-CONTROL in den Varianten "Compact", "Standard" und "Professional" zur Verfügung. PM-CONTROL unterstützt die Erfüllung der Anforderungen der FDA Vorschrift 21 CFR Part 11. Im Topologie Manager werden für bestimmte Benutzergruppen Bedienberechtigungen festgelegt. Der Benutzerzugriff wird über SIMATIC Logon geprüft. A5E

56 Systemspezifikation Im Rezeptsystem werden die Rezepte nach der Erstellung mit einer elektronischen Unterschrift signiert. Nach jeder Rezeptänderung ist eine neue Unterschrift erforderlich. Im Topologie Manager kann konfiguriert werden, ob die vollständige Signatur eines Rezepts mit einer elektronischen Unterschrift oder mit zwei elektronischen Unterschriften von verschiedenen Benutzern erreicht wird. Die Rezeptdaten werden ab dem Zeitpunkt der Erstellung in einem internen Audit Trail aufgezeichnet. Jede Rezeptänderung wird u. a. mit Zeitstempel, Benutzer-ID, Altwert und Neuwert festgehalten. Die implementierte Rollback-Funktion ermöglicht das Wiederherstellen einer älteren Rezeptversion. Der Audit Trail kann ausgedruckt oder in eine XML-Datei exportiert werden. In der Auftragssteuerung können nur vollständig signierte Rezepte in einem Auftrag disponiert werden. Jeder disponierte Auftrag erhält wiederum eine elektronische Signatur. Für die Bearbeitung können lediglich Daten von signierten Aufträgen in das Automatisierungssystem geladen werden. Die Bearbeitung der Aufträge wird entweder automatisch durch Anforderung von der Automatisierungsebene oder manuell mit der erforderlichen Bedienberechtigung gestartet. Rezepte und abgearbeitete Aufträge bleiben in der Datenbank erhalten, bis eine konfigurierbare Aufbewahrungsfrist abgelaufen ist. Rezepte und Aufträge können ausgedruckt oder in eine CSV-Datei exportiert werden. Rezeptsystem und Auftragssteuerung können auch ohne elektronische Signatur, jedoch mit der Funktion Audit Trail betrieben werden. PM-CONTROL ist sowohl in einem WinCC Einzelplatzsystem als auch in einem WinCC Mehrplatzsystem einsatzfähig A5E

57 Systemspezifikation User Archive Mit der Option User Archive können Rezeptdaten oder Maschinendatensätze in Form von Datenbank-Tabellen erstellt werden. Diese Option ist nur für eine kleine Anzahl an Rezepten bzw. Datensätzen empfehlenswert, da im Gegensatz zu PM- CONTROL keine Rezeptdatenverwaltung und Auftragssteuerung integriert ist. Im Editor User Archive werden Datenbank-Tabellen (Archive) angelegt, die mehrere Datensätze zur Aufnahme der Parameterdaten (Rezeptdaten / Maschinendaten) enthalten. Damit die FDA-Anforderungen bezüglich des Audit Trails eingehalten werden, sind die Parameterdaten eines Datensatzes durch E/A-Felder in die Datenbank-Tabelle einzupflegen. Dazu werden E/A-Felder in einem WinCC-Bild angelegt und mit den jeweiligen Datenfeldern verbunden. Bei entsprechender Projektierung löst eine Werteingabe in einem der E/A-Felder eine Bedienmeldung aus, die mit Zeitstempel, Benutzer-ID sowie Altwert und Neuwert aufgezeichnet wird. Dazu wird das WinCC Alarm Logging verwendet. Die Schnittstelle zum Automatisierungssystem für das Laden und Empfangen der Datensätze erfolgt über Steuervariablen, die ebenfalls mit WinCC-Bedienelementen zur Auslösung einer Bedienmeldung verknüpft werden können. Um einen Überblick über die angelegten Datensätze in einem Archiv zu erhalten, wird das ActiveX WinCC User Archive Table Element mit lesendem Zugriff in ein WinCC-Bild eingefügt. Eine automatische Versionierung der Datensätze wird mit der Option User Archive nicht unterstützt. Eine Versionierung muss vom Programmierer selbst erstellt werden. Die User Archive können manuell im CSV-Format exportiert werden. A5E

58 Systemspezifikation Langzeitarchivierung WinCC Langzeit Archiv Server Sowohl im WinCC Tag Logging als auch im WinCC Alarm Logging bestehen Konfigurationsmöglichkeiten für eine Langzeitarchivierung. Dazu wird neben Archivgröße und Segmentwechsel auch eine Konfiguration zur Auslagerung eingestellt. Für die Langzeitarchivierung im GMP-Umfeld wird die Option Signierung aktiv angewählt. Dadurch erhalten die ausgelagerten Archive eine Prüfsumme. Nachträgliche Änderungen in den Archivdateien werden beim Lesen erkannt. Weiterhin wird in der Backup-Konfiguration für die Ablage der Archivbackupdateien ein Zielpfad, der auf einem beliebigen Rechner im Netzwerk liegen kann, angegeben. Für eine sichere Datenhaltung wird ein zweiter Zielpfad eingestellt und die Option Backup auf beide Pfade angewählt. Als Langzeitarchivierungskonzept wird empfohlen, einen separaten Langzeitarchivserver im Netzwerk einzurichten. Dazu wird auf einem Rechner das Fileserver Setup von WinCC durchgeführt und der MS SQL Server installiert. Auf diesem Rechner werden alle Archivbackupdateien (aus Tag Logging und Alarm Logging) abgelegt. Zur Ansicht werden die Archive mit dem WinCC-System temporär verbunden. Weitere Möglichkeiten zur Ansicht bieten die OLE-DB Schnittstelle oder das Analysewerkzeug von der WinCC Option Chargenorientierte Langzeitarchivierung mit PM-QUALITY PM-QUALITY ist ein leistungsfähiges Softwarepaket für die chargenorientierte Erfassung von produktionsrelevanten Daten wie Prozesswerte und Meldungen. Die Prozesswerte können entweder aus dem WinCC Tag Logging übernommen oder in einem eigenen Tag Logging, gestaffelt nach unterschiedlichen Erfassungszyklen, aufgezeichnet werden. Ereignisgesteuerte oder von einem Trigger abhängige Prozesswerte (z.b. Soll- / Istwerte) werden als Snap Shot eingelesen. Meldeereignisse und Audit Trail Einträge werden aus dem WinCC Alarm Logging übernommen. Für jede beendete Charge kann ein automatischer Export der Chargendaten konfiguriert werden. Dieser ist im Datenbankformat, im HTML-Format und/oder im XML-Format ausführbar. Jedes Exportformat kann separat aktiviert werden. Dabei wird der Exportzyklus in Anzahl Minuten eingestellt und das Ziel für die Datenablage (z.b. ein beliebiger Rechner im Netzwerk) bestimmt. Zur Ansicht der im Datenbankformat exportierten Chargendaten wird die PM- QUALITY Applikation Export View genutzt A5E

59 Systemspezifikation Chargenorientierte Protokollierung PM-QUALITY Die in PM-QUALITY aufgezeichneten Daten können in Kurvenverläufen (Prozesswerte) dargestellt, in Form von Protokollen auf einem Drucker ausgegeben oder per HTML-Datei, XML-Datei bzw. im Datenbankformat exportiert werden. Auch der Export der Chargendaten zur Langzeitarchivierung auf einem anderen Rechner ist konfigurierbar. (siehe Kapitel "Chargenorientierte Langzeitarchivierung mit PM-QUALITY") Das Softwarepaket umfasst folgende Applikationen: Topologie Manager, zur Abbildung der Anlagentopologie und Festlegung der zu erfassenden Produktionsdaten Report Editor, für die Erzeugung von Protokoll-Layouts zur Darstellung der erfassten Daten und Anzeige der Chargenprotokolle am Bildschirm Data Logging, Laufzeitkomponente zur Erfassung der Daten Data View / Export View, und verschiedene ActiveX Controls zur Darstellung der Chargendaten Neben der automatischen Erfassung der konfigurierten Chargendaten können auch Handeingabewerte, z.b. Laborwerte, nachträglich einem Chargenprotokoll hinzugefügt werden. Wurde das Chargenprotokoll aufgrund der eingestellten Exportoption automatisch ausgelagert, sind bei Anwahl der Option Automatisch abschließen Änderungen im Protokoll nicht mehr möglich. Weiterhin kann durch ein Skript in WinCC eine elektronische Signatur der Chargenprotokolle durch den angemeldeten Benutzer und damit verbunden die manuelle Vergabe des Chargenstatus (freigegeben / gesperrt) konfiguriert werden. PM-QUALITY ist sowohl in einem WinCC Einzelplatzsystem, als auch in einem WinCC Mehrplatzsystem einsatzfähig. Für den Einsatz in redundanten Systemen kann PM-QUALITY mit der PM- QUALITY Option Data Center geliefert werden. Diese Applikation führt die aufgezeichneten Chargendaten aus zwei Runtime-Datenbanken in einer Export- Datenbank zusammen. Das Data Center kann abgesetzt von PM-QUALITY auf einem beliebigen Rechner im Netzwerk installiert werden. A5E

60 Systemspezifikation Schnittstellen zu Prozessdaten WinCC WinCC ist ein reines Anzeige- und Auswertungssystem für Prozesswerte aus WinCC oder Daten aus dem WinCC Langzeitarchiv-Server. Für die interaktive Datenanzeige sowie zur Analyse von aktuellen Prozesswerten und historischen Daten stellt WinCC eine Reihe von Analysewerkzeugen zur Verfügung: ermöglicht die Integration von Meldungen, Archivdaten und aktuellen Prozesswerten aus WinCC in MS Excel und unterstützt damit Online- Analysen. wird zur Anzeige und Analyse von historischen Daten aus dem WinCC Runtime / zentralen Archivserver oder von WinCC Langzeitarchiv- Servern genutzt. Die Daten können in Tabellen und Kurven dargestellt werden. Dat@Symphony dient zum reinen Beobachten und Navigieren über WinCC- Prozessbilder mit dem MS Internet Explorer (View Only Client) Connectivity Pack Durch das Connectivity Pack werden Schnittstellen für den Zugriff auf Archivdaten und Meldungen in WinCC bereitgestellt. WinCC bietet einen Zugriff auf folgende Prozessdaten: Alarme und Events (Meldungen), OPC A&E, lesender und schreibender (nur Quittierungen) Zugriff Prozesswertarchive (Trends), OPC HDA, nur lesender Zugriff Prozessvariablen (Zustände), OPC DA, lesender und schreibender Zugriff, bereits im Lieferumfang der WinCC Systemsoftware enthalten Alle Archivdaten, WinCC OLE DB, nur lesender Zugriff Das Connectivity Pack bietet einen standardisierten Zugriff mit OPC und OLE DB von Rechnersystemen der Betriebs- und Unternehmensleitebene auf Rechnersysteme der Prozessebene A5E

61 Systemspezifikation Basis-Software übergeordnete Systeme (MES) SIMATIC IT SIMATIC IT bildet mit seinen zahlreichen Komponenten ein MES (Manufacturing Execution System), welches dem Standard ISA 95 folgt. SIMATIC IT dient der Optimierung des Zusammenspiels von Planung, Entwicklung und Beschaffung im Rahmen von Herstell- und Geschäftsprozessen. Hauptelemente von SIMATIC IT sind: SIMATIC IT Framework (plant modelling) SIMATIC IT Components (specific functionality) SIMATIC IT Framework verbindet die Automatisierungsebene mit der Betriebs- und Produktionsleitebene sowie der Unternehmensleitebene und -planungsebene. SIMATIC IT Framework ist die industrieübergreifend einsetzbare Integrations- und Koordinationsplattform für Betriebsprozesse, Daten und Funktionalitäten, die neben Basisfunktionen zu internen Abläufen, Benutzerverwaltung etc. auch die Fähigkeit zur Anlagen- und Produktionsmodellierung besitzt. SIMATIC IT Framework ist in der Lage SIMATIC IT Components sowie bestehende und herstellerneutrale IT-Produkte zu integrieren. Beispiele für SIMATIC IT Components sind unter anderem: Production Suite (MES-Basisfunktionalität wie Material Management, Production Order Management etc.), SIMATIC IT Historian (Plant Performance Analysis und Langzeitarchivierung), SIMATIC IT Unilab (LIMS - Laboratory Information Management System), SIMATIC IT Interspec (Product Specification Management System). A5E

62 Systemspezifikation 3.4 Anwender-Lastenheft (User Requirements Specification) Das Anwender-Lastenheft (engl. User Requirements Specification URS) beschreibt die Anforderungen, die ein System erfüllen soll. Die Anwender- Lastenhefterstellung liegt in der Verantwortung des Betreibers. Das Anwender-Lastenheft ist die Grundlage zur Erstellung eines Pflichtenheftes (Analogie im Englischen: Functional Specification FS) und sollte daher keine Entwurfslösungen enthalten. Folgende Punkte könnten in einem Anwender- Lastenheft enthalten sein: Einleitung - Zweck des Anwender-Lastenheftes - Ersteller - Referenzen Übersicht - Beschreibung des Prozesses / Systems - Ziel des Projektes - Anzuwendende Vorschriften Anforderungen - Systemfunktionen - Schnittstellen - detaillierte Prozessbeschreibung Hinweis Weitergehende Informationen bzgl. der inhaltlichen Anforderungen können aus dem GAMP 4, Anhang D1, entnommen werden A5E

63 Systemspezifikation 3.5 Pflichtenheft (Functional Specification) Im Pflichtenheft sind die Umsetzung sowie die Funktionen des im Anwender- Lastenheft geforderten Systems beschrieben. Im Anwender-Lastenheft geforderte Leistungen, welche nicht umgesetzt werden, sind im Pflichtenheft zu benennen. Das Pflichtenheft wird in der Regel vom Lieferanten erstellt. In einem Pflichtenheft sollten folgende Punkte enthalten sein: Einleitung - Zweck des Pflichtenheftes - Ersteller - Referenzen Übersicht - Ziele und Nutzen des Systems - Systemschnittstellen - Abweichungen vom Anwender-Lastenheft Funktionen - Angaben zur Leistung des Systems - Zugriffschutz - Verhalten bei Ausfällen - Anlaufverhalten nach Ausfall - Desaster recovery - Analogie zum Anwender-Lastenheft Daten - Definition von Daten / kritische Parameter - Zugriffsschutz auf Daten - Datenarchivierung Schnittstellen - Schnittstellen zu anderen Systemen - Schnittstellen zur Systemausrüstung - Anwenderschnittstellen Service - Verfügbarkeit - Wartung Hinweis Weitergehende Informationen bzgl. der inhaltlichen Anforderungen können aus dem GAMP 4, Anhang D2, entnommen werden. A5E

64 Systemspezifikation 3-20 A5E

65 4 Leitfaden für die Implementierung von SIMATIC WinCC im GMP-Umfeld 4.1 Einleitung In einer kompletten Automatisierungslösung übernimmt das SCADA-System SIMATIC WinCC die Funktionen Bedienung, Beobachtung und Datenarchivierung. Die Anbindung an die Automatisierungsebene erfolgt über leistungsfähige Prozesskopplungen. Das Kapitel 1 " A5E

66

67 ei t f aden für die Implementierung von SIMATIC WinCC im GMP-Umfeld" erläutert beispielhaft die Projektierung von SIMATIC WinCC im GMP-pflichtigen Umfeld. Auf die Projektierung der Automatisierungsebene im GMP-pflichtigen Umfeld wird in diesem Kapitel nicht eingegangen. Die folgende Grafik zeigt das Lebenszyklusmodell. Die Projektierung, die in diesem Kapitel im Fokus steht, wird dem Bereich Implementierung in der Grafik zugeordnet. A5E

68 4.2 Software-Kategorisierung von SIMATIC WinCC Nach dem GAMP 4 Leitfaden werden zur Validierung automatisierter System die Software-Komponenten eines Systems in fünf Software-Kategorien eingeteilt. Nachfolgend wird exemplarisch dargestellt wie diese Kategorisierung in Bezug auf SIMATIC WinCC zu übertragen ist. 4-2 A5E

69 4.3 Software-Installation Die WinCC System-Software ist als Komplettpaket (Engineering- und Runtime Software) oder als Runtimepaket auf CD-Rom lieferbar. Die Lizenzierung der Software erfolgt über Lizenz-Keys, die gestaffelt nach Anzahl Power Tags (externe Variablen) zur Anbindung an die Automatisierungsebene erhältlich sind. In einem Mehrplatzsystem mit Server- / Client-Struktur wird auf dem WinCC Server die System-Software mit der erforderlichen Anzahl Power Tags und die Option Server installiert. Für die Clients ist im Grundausbau die kleinste RT-Lizenz ausreichend. Vor der Installation auf einem PC sind die vorgeschriebenen Hardware- Anforderungen und zulässigen Betriebssysteme, die unter Technische Daten im aktuellen HMI-Katalog ST80 aufgelistet sind, zu beachten Betriebssystem Detaillierte Informationen zu den Hardware-Anforderungen und den Windows- Betriebssystemen stehen im WinCC Information System, der Dokumentation zur System-Software SIMATIC WinCC. Im Startmenü der WinCC-CD wird mit Anwahl des Eintrags "Zuerst Lesen" das WinCC Information System geöffnet. Hinweise zu den Betriebssystemen, Sprachvarianten, Service Packs, Einstellungen, Sicherheitsrichtlinien, Netzwerken, redundanten Systemen u. a. befinden sich in den Kapiteln "Release Notes" und "Installation Notes" SIMATIC WinCC-Software Die Vorgehensweise bei der Installation der WinCC System-Software ist im WinCC Information System im Kapitel "Installation Notes" detailliert beschrieben. Zusätzlich ist das Kapitel "Release Notes" mit wichtigen aktuellen Hinweisen zu beachten.! Hinweis WinCC ist grundsätzlich für den Betrieb in einer Domäne oder Arbeitsgruppe freigegeben. Domänen-Gruppenrichtlinien und Einschränkungen der Domäne können jedoch die Installation behindern. In diesem Fall ist vor der Installation der Rechner aus der Domäne zu entfernen. Nach der Installation kann der Rechner wieder in die Domäne aufgenommen werden, wenn die Gruppenrichtlinien und Einschränkung den Betrieb der WinCC-Software nicht behindern. Bevor die WinCC System-Software auf dem PC installiert wird, kontrolliert das Setup, ob bestimmte Systemanforderungen erfüllt sind: Betriebssystem Benutzerrechte Sicherheitsrichtlinien A5E

70 Grafik-Auflösung Internet Explorer Für die Installation erforderlich ist: MS Message Queuing, das als Option in der Betriebssystem-Software enthalten ist. SQL Server 2000, das auf einer eigenen CD mit der System-Software SIMATIC WinCC geliefert wird. Erst nach Erfüllung sämtlicher Anforderungen wird das Rahmensetup für die Installation von SIMATIC WinCC gestartet. Den Anweisungen des Setups ist zu folgen. Als Setup Typ stehen typische Installation, minimale Installation und benutzerdefinierte Installation zur Auswahl. Bei einer benutzerdefinierten Installation können gegenüber der typischen Installation zusätzliche WinCC Funktionen zur Installation an-/abgewählt werden. Die Funktion Basic Process Control und AS/OS Engineering Mapper muss separat angewählt werden. Die WinCC Optionen Server, Redundancy und User Archives sind ebenfalls auf der WinCC-CD, erfordern jedoch jeweils eine eigene Lizenz. WinCC Funktionen / Optionen können jederzeit nachinstalliert werden. In einem Mehrplatzsystem oder redundanten System wird auf jedem Rechner die Installation der WinCC System-Software durchgeführt. Hinweise zum Aufbau von Mehrplatzsystemen und redundanten Systemen sind im WinCC Information System dokumentiert. Hinweis Für reine Bedien- und Beobachtungsstationen ist nur RT (Runtime), nicht RC (Configuration System) zu installieren Installation von Hilfsprogrammen und Treibern Druckertreiber Es wird empfohlen, die im Betriebssystem integrierten und somit freigegebenen Druckertreiber zu nutzen. Bei Verwendung von externen Treibern wird keine Gewährleistung für den einwandfreien Betrieb des Systems übernommen. Virenscanner Der Einsatz von Virenscannern ist im Prozessbetrieb (Runtime) zulässig. Weitere Informationen zur Verwendung von Virenscannern befinden sich im WinCC Information System im Kapitel "Release Notes" unter Hinweise zum Betrieb. 4-4 A5E

71 4.3.4 Installation von SIMATIC WinCC Optionen Die Installation zusätzlicher WinCC Optionen und WinCC Premium Add-ons wird erst durchgeführt, wenn die WinCC System-Software bereits installiert ist. Hinweis Dabei ist darauf zu achten, dass die Versionen der Software-Produkte aufeinander abgestimmt sind. Informationen dazu sind in den Release Notes der jeweiligen Dokumentation enthalten SIMATIC NET SIMATIC NET wird für die industrielle Kommunikation eingesetzt. SIMATIC NET liefert die Kommunikations-Treiber zur Anbindung von WinCC an die Automatisierungsebene über PROFIBUS oder Industrial Ethernet. Weitere Informationen sind im WinCC Information System > Installation Notes > Lieferumfang enthalten. A5E

72 4.4 Grundlagen zur Projektierung Mit der System-Software SIMATIC WinCC lässt sich eine Prozessbedienung und beobachtung völlig flexibel gestalten. Die Konfiguration erfolgt rein kundenspezifisch. In WinCC kann ein großer Anteil an Software konfiguriert werden. Zusätzliche Funktionalität kann mit Skripten programmiert werden. Diese programmierte Software bedeutet einen höheren Validierungsaufwand, da sie gemäß der Software-Kategorisierung nach dem GAMP 4 Leitfaden in Stufe 5 einzuordnen ist. In diesem Kapitel werden Vorschläge und Empfehlungen zur Konfiguration eines WinCC- Projekts im GMP-Umfeld unterbreitet, die dazu beitragen, die GMP- Anforderungen zu erfüllen und den Aufwand für die Validierung einer Anlage zu reduzieren. Bevor auf Einzelheiten zur Konfiguration eingegangen wird, werden einige allgemeine Themen zum Prozessbetrieb (Runtime) der WinCC Software behandelt. Anlaufverhalten Nach der benutzerdefinierten Konfiguration eines WinCC-Projekts wird zum Bedienen und Beobachten einer Anlage sowie zur Datenarchivierung nur noch die Runtime-Komponente von WinCC genutzt. Damit unbefugte Eingriffe in das System verhindert werden, kann der Rechneranlauf so gestaltet werden, dass beim Hochfahren automatisch WinCC Runtime aktiviert wird. Beim Start des Betriebssystems muss ein Benutzer, der Mitglied in der Benutzergruppe SIMATIC HMI ist, automatisch eingeloggt werden. Die Vorgehensweise kann auf der Customer Support Internetseite unter der Beitrags- ID (156Hhttp://support.automation.siemens.com/) nachgelesen werden. In dem WinCC Tool "AutoStart Konfigurierung" wird das WinCC-Projekt, das beim Hochfahren des Rechners geöffnet werden soll, angegeben. Ein Alternatives / Redundantes Projekt kann ebenfalls eingetragen werden. Bei Aktivierung des Kontrollkästchens "Projekt aktiv hochfahren" wird das WinCC-Projekt direkt in Runtime aktiviert. Über die Schaltfläche "in Autostart einhängen" werden die Einstellungen in den Rechner Autostart übernommen und beim nächsten Start des Rechners wirksam. 4-6 A5E

73 Das Fenster "AutoStart Konfigurierung" wird unter Start >Programme > SIMATIC > WinCC > Autostart geöffnet. A5E

74 Weitere Einstellungen zum Anlaufverhalten werden im WinCC-Projekt vorgenommen. Dazu wird im Kontextmenü zum Objekt Rechner der Eintrag Eigenschaften angewählt. Im Register "Anlauf" werden diejenigen WinCC-Komponenten eingetragen, die konfiguriert wurden und daher in Runtime aktiv sein müssen (z.b. Tag Logging, Alarm Logging u. a.). Unter Zusätzliche Applikationen wird die EXE-Datei der WinCC Option SIMATIC Logon hinzugefügt. Damit wird nach dem Start von Runtime der Benutzerzugriff auf den Prozessbetrieb durch SIMATIC Logon kontrolliert. Weitere Applikationen, die während des Prozessbetriebs am Rechner aktiv sein sollen, werden über die Schaltfläche Hinzufügen in die Liste aufgenommen, wie im Dialog Eigenschaften Rechner im Feld zusätzliche Tasks/Applikationen zu sehen ist. 4-8 A5E

75 Mehrsprachige Projekte WinCC unterstützt die Erstellung mehrsprachiger Projekte. Prinzipiell können Projekte mit jeder Sprache, die auf dem Betriebssystem installiert ist, konfiguriert werden. Der größte Anteil an Texten wird zentral in der Textbibliothek Text Library abgelegt. Mit Hilfe der komfortablen Export- und Importfunktion können die Texte zum Übersetzen ausgelagert und nach dem Übersetzen wieder eingelesen werden. Konfigurierte Textelemente des Graphics Designers (statischer Text, Tooltips, Buttonbeschriftungen) werden nicht in die Text Library aufgenommen, sondern im Bild gespeichert. Mit Hilfe des WinCC Tools Easy Language können diese Texte zur Übersetzung exportiert und anschließend wieder importiert werden. Die Sprachumschaltung während des Prozessbetriebs wird z.b. über eine Schaltfläche ausgeführt. Weitere Informationen zur Mehrsprachigkeit von WinCC-Projekten enthält das WinCC Information System. Diagnose von Kommunikationsverbindungen Für die Überwachung der Kommunikationsverbindungen zu den unterlagerten Steuerungen stellt WinCC das Tool Channel Diagnosis zur Verfügung. Das Tool kann als ActiveX Control in ein WinCC Bild (z.b. Diagnosebild) eingebunden werden. In einem Fenster wird der Status der Kanäle, die die Diagnose unterstützen, angezeigt. In einer Log-Datei werden die Informationen zu Start / Ende der Verbindung, Versionsnummer und Fehlermeldungen mit Datum/ Uhrzeit Stempel automatisch aufgezeichnet. So wird systemseitig ein Nachweis über die Qualität der Kommunikationsverbindungen erbracht. A5E

76 Systeminfokanal Der Systeminfokanal dient zur Auswertung von Systeminformationen wie Laufwerkskapazität, CPU-Auslastung, Server-Überwachung durch einen Client, Datum, Uhrzeit u.v.m. Der Systeminfokanal wird als eigene Verbindung konfiguriert. Die entsprechende Systemfunktion wird zur Darstellung / Auswertung an eine Systemvariable gebunden. Im GMP-Umfeld ist es häufig erforderlich, große Datenmengen zu archivieren. Mit der Konfiguration des Systeminfokanals kann die Kapazität der Festplatte überwacht werden. Bei Überschreitung eines definierbaren Grenzwertes kann eine Reaktion projektiert werden, z. B. eine Meldung in Alarm Logging. Das Beispiel zeigt das Einrichten einer Systemvariable für die Auswertung der Festplattenkapazität. Die Anzeige der relevanten Systemvariablen könnte beispielsweise in einem Diagnosebild gemeinsam mit dem ActiveX-Control Channel Diagnosis konfiguriert werden A5E

77 4.4.1 Objektorientierte Projektierung In WinCC kann durch die Verwendung von Bildfenstern (z.b. zur Bedienung von Prozesseinheiten wie Ventile, Antriebe u. a.) und Anwender-Objekten (z.b. zur einheitlichen Visualisierung von Objekten) die Projektierung objektorientiert durchgeführt werden. Die Objekte (Bildfenster, Anwenderbausteine) werden für die unterschiedlichen Anwendungsfälle einmal erstellt. Gestaltung und Bedienphilosophie sind mit dem Kunden abzusprechen, in einer Spezifikation zu beschreiben und vom Kunden zu genehmigen. Anschließend werden die einzelnen Objekte einem Funktionstest unterzogen und qualifiziert. Bei der Konfiguration der Prozessbilder werden Kopien (Anwenderobjekte) oder Instanzen (Bildfenster) der qualifizierten Objekte verwendet. Anwenderobjekte Ein Anwenderobjekt ist ein Objekt, das hinsichtlich grafischer Darstellung und Dynamisierung speziell auf die Anforderungen der Anlage zugeschnitten ist. In einem Konfigurationsdialog werden die Objekt-Eigenschaften und -Ereignisse, die zur Dynamisierung des Objekts verwendet werden, individuell festgelegt. Für die Dynamisierung der Anwenderobjekte werden Strukturvariablen empfohlen (siehe Strukurvariable weiter unten). Anwenderobjekte werden entweder in die Projekt Bibliothek eingepflegt oder in einem Standardbild zusammengefasst. Die Vorgehensweise zur Erstellung von Anwenderobjekten ist im WinCC Information System ausführlich beschrieben. Hinweis Bei der Vervielfältigung eines Anwenderobjekts handelt es sich jeweils um eine Kopie. Wird ein Anwenderobjekt geändert, z. B. durch Hinzufügen einer Objekteigenschaft, so müssen alle eingebundenen Anwenderobjekte manuell aktualisiert werden. A5E

78 Bildfenster Das Smart-Objekt Bildfenster erlaubt den Aufruf eines Bildes in einem Bild. Diese Funktionalität wird beispielsweise dazu genutzt, um ein Fenster zur Bedienung einer Prozesseinheit (Ventil, Antrieb) aufzurufen. Ein solches Bedienbild wird für eine bestimmte Funktion einmal konfiguriert und anschließend als Instanz in einem Bildfenster geöffnet. Beim Bildaufruf wird ein Variablen-Präfix übergeben (siehe Strukturvariable weiter unten). Das Beispiel zeigt die Eigenschaften eines Bildfensters. Die Eigenschaften Bildname, Variablen-Präfix und Überschrift wurden konfiguriert A5E

79 Strukturvariable Strukturvariablen werden zur Dynamisierung von Bildfenstern und Anwenderobjekten eingesetzt. Für eine Prozesseinheit, z.b. einen Motor, wird ein Strukturtyp definiert, der als Strukturelemente alle Variablentypen zum Motor enthält. Das Beispiel zeigt eine vereinfachte Form. A5E

80 Im WinCC Variablenhaushalt wird bei der entsprechenden Kommunikationsverbindung eine neue Variable vom Datentyp "Motor" angelegt. Die Adressierung wird entsprechend projektiert. Bezogen auf das Beispiel werden folgende Variablen bei der Kommunikationsverbindung angelegt: Der Variablenname wird zusammengesetzt aus der Strukturinstanz, z.b. der Motorbezeichnung, und den durch einen Punkt getrennten Strukturelementen des Strukturtyps. Die Strukturinstanz wird als Eigenschaft Variablen-Präfix dem Bildfenster übergeben (siehe Beispiel zum Bildfenster weiter oben) A5E

81 Die einzelnen Strukturelemente werden in dem Bild, das zur Bedienung des Motors in einem Bildfenster aufgerufen wird, für die Dynamisierung an die entsprechenden Objekteigenschaften gebunden. Durch die Anbindung der Strukturelemente wird das Bild einmal dynamisiert. Beim Bildaufruf wird lediglich der Variablen-Präfix übergeben. Ähnlich ist die Vorgehensweise bei Anwender-Objekten. Die Strukturelemente werden an die benutzerdefiniert konfigurierten Objekteigenschaften gehängt. Zur Anbindung an die Variableninstanz wird der im WinCC Graphics Designer integrierte Dynamic-Wizard Anwenderobjekt-Verschaltung tauschen verwendet. A5E

82 4.4.2 Erstellung von Prozessbildern Der WinCC Editor Graphics Designer ist eine Kombination aus Grafikprogramm und Werkzeug zur Prozessdarstellung. Eine Reihe von Hilfsmitteln unterstützen sowohl bei der grafischen Erstellung als auch bei der Dynamisierung der Anlagenfließbilder. Für eine flexible, grafische Gestaltung werden in einer Objektpalette Standard- Objekte (grafische Elemente, statischer Text), Smart-Objekte (Balken, Fenster u. a.) und Windows-Objekte (Button, Checkbox, Slider u. a.) angeboten A5E

83 Im Folgenden wird auf einige Hilfsmittel und Funktionalitäten hingewiesen, deren Anwendung zur Reduzierung des Validierungsaufwands eines automatisierten Systems im GMP-Umfeld beitragen Symbolbibliothek Eine Vielzahl von vorgefertigten grafischen Objekten enthält die integrierte Globale Bibliothek. Thematisch gegliedert werden beispielsweise grafische Darstellungen von Maschinen- und Anlagenteilen, Messgeräten, Bedienelementen und Gebäuden zur Verfügung gestellt. Die Bibliotheksobjekte können einfach per Drag & Drop in ein Bild eingefügt und nach Bedarf angepasst werden. Hinweis Um den Aufwand zur Qualifizierung der Prozessbilder gering zu halten, wird empfohlen Standardsymbole aus der Symbolbibliothek zu verwenden. A5E

84 Projektbibliothek Zur Ablage von benutzerdefiniert entwickelten Objekten, die mehrfach in die Prozessbilder eingebunden werden, kann die Projektbibliothek verwendet werden. Benutzerdefinierte Objekte, die im Einzelnen getestet und qualifiziert wurden, werden in die Projektbibliothek eingepflegt und stehen damit als Projektstandard für eine mehrfache Anwendung zur Verfügung. Hinweis Die Projektbibliothek ist Bestandteil des WinCC Projekts und liegt im Unterverzeichnis "\library". Für eine Verwendung in anderen WinCC Projekten muss die Datei library.pxl in das entsprechende Verzeichnis des Zielprojekts kopiert werden Projektfunktionen in Form von VB- / C-Skripten Funktionen, die im WinCC Projekt mehrfach erforderlich sind, sollten im Global Skript Editor projektiert werden. Der Funktionscode wird entweder im VB-Skript oder C-Skript einmal erstellt, anschließend getestet und qualifiziert. Die Funktion steht dann projektweit zur Verfügung. In der Eigenschaft zum Bildobjekt wird lediglich der Aufruf der Funktion programmiert Erstellung von Übersichtsbildern Für die Abbildung eines komplexen Prozesses zum Bedienen und Beobachten wird eine Reihe von Prozessbildern erstellt. Das erfordert wiederum ein System zur Bildanwahl bzw. Bildnavigation während des Prozessbetriebs. Ein standardisiertes System für die Prozessbedienung wird in SIMATIC WinCC mit der Option Basic Process Control bereitgestellt. Hinweis Die Option ist auf der WinCC System-Software-CD enthalten, die Installation muss jedoch zusätzlich angewählt werden. Durch die Installation der WinCC Option Basic Process Control wird der WinCC Explorer um folgende Editoren ergänzt: Mit dem OS-Projekteditor wird das WinCC Projekt für die standardisierte Prozessbedienung konfiguriert. Dabei werden Bildschirmaufteilung, Bildschirmauflösung, Bedienphilosophie der Schaltflächen, Meldungsdarstellung u. a. konfiguriert A5E

85 Die Bedienoberfläche wird in drei Bereiche, den Übersichtsbereich, den Arbeitsbereich und den Tastenbereich, aufgeteilt. Detaillierte Informationen zur Konfiguration sind im WinCC Information System im Kapitel Optionen > Options for Process Control dokumentiert. Sowohl Übersichtsgrafiken als auch Bedienphilosophie sind in der Spezifikation (z.b. URS, FS und R&I) zu beschreiben und entsprechend zu erstellen. Anschließend sollten diese dem Kunden zur Genehmigung in Form von Screenshots vorgelegt werden. Hinweis Der OS-Projekteditor sollte vor Beginn der Prozessbilderstellung konfiguriert werden, da auf Grund der Bildschirmauflösung und Bildaufteilung die Größe der einzelnen Prozessbilder bestimmt wird. Weitere in der WinCC Option Basic Process Control enthaltene Editoren sind: Time Synchronization (siehe Kapitel 331H4.9 "332HUhrzeitsynchronisation") Hörmelder, zur akustischen Meldung von Alarmen Lifebeat Monitoring (siehe Kapitel 333H4.13 "334HLifebeat Monitoring") A5E

86 4.4.4 Bedienmeldungen Die FDA-Vorschrift 21 CFR Part 11 fordert für Anlagen, die im GMP-Umfeld betrieben werden, eine Nachvollziehbarkeit von Prozessbedienungen, die Einfluss auf GMP-relevante Daten nehmen. GMP-relevante Prozessbedienungen, die über Ein- / Ausgabefelder oder Buttons vorgenommen werden, müssen im WinCC Graphics Designer so konfiguriert werden, dass eine Bedienmeldung erzeugt wird. Diese Bedienmeldung wird im WinCC Alarm Logging mit Zeitstempel, Benutzer-ID, Altwert und Neuwert aufgezeichnet. Die systemseitige Nachvollziehbarkeit ist damit gegeben. Die Bedienmeldung ist eine Systemmeldung, die im WinCC Alarm Logging angezeigt wird. Dazu wird das WinCC Alarm Logging entsprechend konfiguriert (siehe dazu das Kapitel 335H4.8 "336HAudit Trail"). Ein- / Ausgabefeld Zum Erzeugen einer Bedienmeldung bei einem Objekt EA-Feld wird die Eigenschaft Bedienmeldung auf ja eingestellt. Wenn zusätzlich die Eigenschaft Bedienprotokoll mit ja konfiguriert wird, öffnet das System nach der Wertübernahme ein Fenster für eine Kommentareingabe. Weiterhin erhält das EA-Feld einen Zugriffsschutz. Für die Eigenschaft Bedienberechtigung wird eine Funktion ausgewählt, die zuvor im WinCC User Administrator (siehe Kapitel 337H4.6.5 "338HKonfiguration des User Administrators") projektiert wurde. Nur Personen, die berechtigt sind die Funktion zu bedienen, können Änderungen in dem EA-Feld vornehmen. Die Abbildung zeigt die Eigenschaften > Sonstige zu einem EA-Feld im WinCC Graphics Designer A5E

87 Button Schaltflächen erzeugen in WinCC standardmäßig nur dann eine Bedienmeldung, wenn eine Direktverbindung zu einer Variablen projektiert wird. Das bedeutet, mit dem Ereignis Mausklick auf dem Button wird in der Direktverbindung der bei Konstante angegebene Wert in die definierte Variable geschrieben. Bei Aktivierung des Kontrollkästchen Bedienmeldung wird systemseitig eine Meldung erzeugt. Die Eingabe eines Bedienkommentars ist hier nicht möglich. Darüber hinaus gehende Funktionalitäten, z. B. Kommentareingabe, können über Skript-Funktionen programmiert werden. Diese Funktionen sind Software-Klasse 5 und bedeuten einen höheren Validierungsaufwand. A5E

88 Skriptfunktionen zur Wertänderung Reichen die beschriebenen Möglichkeiten zur Erstellung einer Bedienmeldung bei EA-Feldern und Buttons nicht aus, kann über C-Skripte eine Bedienmeldung erzeugt werden. Dazu wurde folgende Projektfunktion entwickelt: ISALG_OperationLog int ISALG_OperationLog( char* pszsource, char* pszarea, char* pszevent, char* pszbatch, char* pszunit, double fold, double fnew, char* pszcomment ) Die im Funktionsaufruf enthaltenen Übergabeparameter haben folgende Bedeutung: pszsource pszarea pszevent pszbatch pszunit fold fnew pszcomment Herkunft (z.b. Variablenname bzw. Messstellenname) Bereich (z.b. Anlagenbereich oder Teilanlage) Ereignistext (z.b. Sollwertvorgabe oder Motor EIN ) Lot- bzw. Chargenname Maßeinheit Altwert Neuwert Kommentar Diese Projektfunktione steht kostenlos zum Download vom Customer Support unter der Beitrags-ID ( zur Verfügung A5E

89 4.5 Konfigurationsmanagement SIMATIC WinCC ist ein branchenneutrales Bedien- und Beobachtungssystem. Standards werden in Form einer globalen Bibliothek angeboten, die eine reichhaltige Anzahl an grafischen Symbolen enthält, und in Form von ActiveX Controls, die beispielsweise zur grafischen Darstellung von Messwerten genutzt werden. Die Konfiguration erfolgt anwenderspezifisch, ausgerichtet auf die Anforderungen der zu visualisierenden Produktionsanlage. Ohne Versions- und Änderungsmanagement ist die Konfiguration nur schwer nachvollziehbar. Daher ist bereits zu Beginn der Konfiguration ein professionelles Konfigurationsmanagement einzusetzen. Das Konfigurationsmanagement sollte in einer SOP beschrieben werden. Alle am Projekt beteiligten Personen müssen in der Anwendung dieser SOP geschult werden, hierdurch wird eine gemeinsame Basis zur Konfiguration geschaffen. Die nachfolgenden Kapitel liefern ein Beispiel zur Software-Versionierung und zur Änderungslenkung. Hinweis Die Vorgehensweise im Falle von Änderungen an einer in Betrieb befindlichen Anlage sollte grundsätzlich mit dem Anlagenbetreiber abgestimmt werden Änderungen der System-Software Updates, Service Packs und Hotfixes Updates, Service Packs und Hotfixes werden zur Funktionserweiterung bzw. Fehlerbeseitigung in der WinCC System-Software bereitgestellt. Ein WinCC Update ist eine Aktualisierung innerhalb einer WinCC-Version. Eine Konvertierung der Projektdaten kann erforderlich sein. Ein Service Pack ist eine Fehlerbeseitigung, die mehrere Hotfixes beinhaltet. Ein Hotfix ist eine kurzfristige Fehlerbeseitigung. Hotfixes werden nur in speziellen Fällen bereitgestellt. Der Validierungsaufwand bezüglich Änderungen wird im Rahmen einer Risikobewertung festgelegt. A5E

90 Upgrade (Migration) Mit einem Upgrade wird die WinCC System-Software hochgerüstet, das bedeutet, dass der Funktionsumfang erweitert bzw. verbessert wird. Bei einer Versionserhöhung (z.b. von Version 5.x auf Version 6.0) oder einem Software-Update der WinCC System-Software kann es erforderlich sein, dass die Daten des Projekts, das mit der älteren Version erstellt wurde, migriert oder konvertiert werden müssen.! Hinweis In welchem Fall eine Migration oder Konvertierung der Projektdaten durchgeführt wird, steht im WinCC Information System zur neuen WinCC-Version im Kapitel Hochrüsten von WinCC > Hinweise zur Migration von Projekten. Für die Migration steht die Anwendung Project Migrator zur Verfügung. Die Migration der Projektdaten wird im Offline-Betrieb durchgeführt, die WinCC System-Software muss komplett geschlossen sein. Den Anweisungen des Project Migrators ist zu folgen. Falls Anpassungen in dem Projekt vorgenommen werden, sind diese validierungspflichtig. Der Validierungsaufwand ist in Abstimmung mit dem Anlagenbetreiber festzulegen. Mögliche Prüfpunkte sind die neuen in WinCC verfügbaren Funktionen sowie die vorschriftsmäßige Installation der zur Migration erforderlichen Software- Komponenten. Hinweis Die Vorgehensweise zur Migration ist im WinCC Information System im Kapitel "Migration" ausführlich beschrieben. Vorgehensweise bei der Aktualisierung der System-Software Bei der Aktualisierung der WinCC System-Software sind bestimmte Maßnahmen erforderlich, um den validierten Zustand der Anlage zu erhalten: Grundlage für eine Änderung ist stets der Änderungsantrag des Betreibers Beschreibung der Ursachen für die Aktualisierung der System-Software Beschreibung der neuen Funktionen Angaben zur Kompatibilität der Vorgängerversion Aktualisierung der technischen Dokumentation Installation nach Herstellerangaben (z.b. Standard Dokumentation, Projekt Migrator) Es wird empfohlen im Vorfeld eine Risikobewertung durchzuführen und die Prüfschwerpunkte für die Qualifizierung festzulegen. Qualifizierung 4-24 A5E

91 Hinweis Unterstützung bei der Software-Aktualisierung und der Projektmigration leistet der SIMATIC Customer Support unter 157Hhttp://support.automation.siemens.com Versionskontrolle der Anwendersoftware Allgemeines zur Versionskontrolle (Versionierung) Die Software-Version gibt Aufschluss über den aktuellen Versionsstand der System- und Anwendersoftware. Zur Versionierung der Anwendersoftware werden folgende Daten angegeben: Name Datum Versionsnummer Kommentar zur Änderung Hinweis Eine automatische Versionierung ist für die Software-Konfiguration in WinCC nicht implementiert. Die Versionierung muss manuell in den einzelnen SW-Elementen ergänzt und gepflegt werden. Die Vorgehensweise bei der Versionierung ist Teil des Konfigurationsmanagements und in einer SOP, die für alle am Projekt beteiligten Personen bindend ist, zu beschreiben. A5E

92 Im Folgenden werden Beispiele und Möglichkeiten zur Durchführung einer Versionierung in WinCC aufgezeigt: Versionskontrolle von Bildern im Graphics Designer Im WinCC Explorer werden bei Selektion des Editors Graphics Designer im rechten Fensterbereich alle vorhandenen Prozessbilder aufgelistet. Zu jedem Prozessbild können über das Kontextmenü die Eigenschaften angezeigt werden. Die darin enthaltenen Daten werden automatisch vom WinCC System erzeugt A5E

93 Weitere Daten zur Versionierung, z.b. Versionsnummer, Änderungsdatum und Name, können in einem statischen Textfeld hinterlegt werden. Praktischerweise werden die Textfelder zur Versionierung in eine eigene Bild-Ebene, die ab- und zuschaltbar ist, gelegt. Die Anzeige des statischen Textfeldes während des Prozessbetriebs wird über die Objekteigenschaft Anzeige gesteuert. Hinweis Details zur Änderung können z. B. in den relevanten Validierungsdokumenten beschrieben werden Versionskontrolle von VB- / C-Skripten VB-Skripte oder C-Skripte werden erstellt, um während des Prozessbetriebs (Runtime) auf Variablen und grafische Bildobjekte zuzugreifen und bildunabhängige Aktionen auszulösen. Weiterhin werden Skripte dazu genutzt, Funktionen, die im Prozessbetrieb ausgelöst werden, an einzelne Objekteigenschaften im Graphics Designer zu binden (z.b. bei der Bedienung mit der Maus). In WinCC wird bei der Skripterstellung zwischen zwei Varianten differenziert: Bildabhängige VB- / C-Skripte, die im WinCC Editor Graphics Designer an die Eigenschaft eines Objekts gebunden werden. Diese Skripte sind Teil des Bildes und werden mit dem Bild gespeichert. Die Versionierung wird im Bild durchgeführt. Bildunabhängige VB- / C-Skripte, die im WinCC Editor Global Script erstellt werden. A5E

94 VB- / C-Skripte, die mit dem Global Script Editor erstellt werden, bieten im Dialog Eigenschaften Felder zum Eintrag der Daten Bearbeiter, geändert durch, Versionsnummer und Kommentar an. Erstell- und Änderungsdatum werden automatisch vom WinCC-System eingetragen. Optional kann ein Passwort vergeben werden. Hinweis Bei dem Passwort findet keine Prüfung gegen den eingeloggten Benutzer statt. Die alleinige Kenntnis des Passworts berechtigt zur Öffnung / Bearbeitung des Skripts. Wird das Passwort vergessen, ist der Zugang zum Skript für immer gesperrt A5E

95 Empfohlen wird, in den Skripten eine Historie zu pflegen, die Aufschluss über die vorgenommenen Änderungen gibt. Die Historie wird als Kommentar vor Beginn des Codes eingegeben. Alternativ kann auch das Kommentarfeld des Dialogs Eigenschaften (siehe oben) zur Pflege der Historie genutzt werden. Beispiel zur Angabe der Historie in einem C-Skript Beispiel zur Angabe der Historie in einem VB-Skript A5E

96 Versionskontrolle von Protokollen Die automatische Vergabe einer Versionsnummer in den Protokoll-Layouts wird nicht unterstützt. Für eine manuelle Versionierung unterschiedlicher Ausgabestände kann in dem Protokoll-Layout ein statisches Feld zum Eintrag einer Versionsnummer eingefügt werden. Die Versionsnummer ist entsprechend der Festlegung in der SOP zum Konfigurationsmanagement manuell zu pflegen. Nachfolgende Abbildung zeigt beispielsweise die Fußzeile eines Protokoll-Layouts mit den Ergänzungen zur Version Versionskontrolle von Projekten Das Konzept zur Versionskontrolle (Versionierung) der WinCC Projekte ist Teil des Konfigurationsmanagements. Dort muss detailliert beschrieben werden, auf welche Art und Weise die Versionskontrolle durchzuführen ist und wie die Versionsnummern zu vergeben sind. Varianten zur Versionskontrolle: Speichern des Projektverzeichnisses als gepackte Datei z. B. durch die im SIMATIC Manager implementierte Funktion Archivieren, wenn das Projekt in STEP 7 integriert ist. Siemens Software Produkt "Version Trail" bei in STEP 7 integrierten Projekten In einem Speicherkonzept wird z. B. festgelegt, dass nach einer Änderung das Projekt gesichert wird. Die Sicherung wird durch Speichern des WinCC Projekts als gepackte Datei auf einem anderen Laufwerk (z.b. externes Laufwerk, Netzlaufwerk) oder Brennen auf CD / DVD durchgeführt. Eine Versionsnummerierung kann beispielsweise im Dateinamen der gepackten Datei integriert werden. Beim Packen des WinCC Projekts ist darauf zu achten, dass die Ordnerhierarchie erhalten bleibt, damit das Projekt wieder lesbar ist. Im Rahmen von Totally Integrated Automation (TIA) wird das HMI-System WinCC in den SIMATIC Manager integriert. Das WinCC-Projekt ist in das STEP 7-Projekt eingebunden. In diesem Fall wird zur Versionierung das Software Produkt Version Trail eingesetzt. Version Trail unterstützt eine Archivierung der Projekte mit Vergabe einer Versionsnummer. Die Versionsnummer wird in einem Dialog eingegeben und entsprechend kommentiert. Dabei kann zwischen Haupt- und Nebenversion unterschieden werden. Ältere Versionsstände können problemlos wieder dearchiviert werden. In einer Versionshistorie werden die Aktionen wie Anlegen, Ändern, alte Versionsstände löschen etc. mit Archivnamen, Datum und Kommentar aufgezeichnet. Damit wird eine lückenlose Dokumentation der verschiedenen Ausgabestände systemseitig erstellt. Weitere Informationen sind aus dem "SIMATIC S7 GMP-Engineering Handbuch: Leitfaden zur Durchführung von Automatisierungsprojekten im GMP Umfeld" A5E

97 Hinweis Um eine nachvollziehbare Versionierung mit einer Versionshistorie zu gewährleisten, wird empfohlen die Variante 2 einzusetzen. Durch die im SIMATIC Manager implementierte Funktion Archivieren wird für ein integriertes WinCC-Projekt das Packen automatisch durchgeführt. A5E

98 4.5.3 Änderung der Anwendersoftware Bei Änderung der Anwendersoftware muss eine Versionierung inklusive Änderungsbeschreibung erfolgen. Bei der Umsetzung der Änderung sind die Vorgaben des Betreibers zu beachten. Nachfolgend wird die Vorgehensweise bei der Änderung eines WinCC Projekts beschrieben: 1. Initiative und Freigabe der Änderungsspezifikation durch den Anlagenbetreiber 2. Beschreibung der Software-Änderung (z.b. FS) 3. Sicherung des aktuellen WinCC Projekts 4. Durchführung der Software-Änderung inkl. Dokumentation auf Basis der aktuellen Version Mit WinCC Audit werden Änderungen in der Konfiguration in einem Audit- Trail aufgezeichnet 5. Test der Änderung inkl. Dokumentation (z.b. FAT) 6. Sicherung des geänderten WinCC Projekts mit Versionierung Änderungen im WinCC-Projekt sollten generell nicht in Runtime mit laufendem Prozess durchgeführt werden. Die Wirkung der Änderungen auf andere Teile einer WinCC Applikation und die daraus resultierenden Tests sind auf Basis einer Risikoanalyse festzulegen und zu dokumentieren A5E

99 4.6 Einrichten des Zugriffsschutzes Eine wesentliche Anforderung im Pharmaumfeld ist der Zugriffschutz auf das System (siehe "21 CFR Part 11" und "Annex 11 zum EU-GMP-Leitfaden" in Kapitel 339H1 sowie Kapitel 340H2 ). Dazu gehört das Einrichten von Benutzergruppen. SIMATIC Logon bietet die Möglichkeit einer granularen Aufteilung von Prozessbedienungen innerhalb des Systems SIMATIC WinCC inkl. PM-CONTROL, PM-QUALITY und anderer Optionen / Add-ons. Die WinCC Option SIMATIC Logon ist auf Basis der Windows Benutzerverwaltung aufgebaut. SIMATIC WinCC, ebenso wie die WinCC Premium Add-ons, arbeiten hinsichtlich des Zugriffsschutzes mit SIMATIC Logon zusammen. Hinweis Die Einrichtung der Struktur des Zugriffschutzes muss bereits zu Beginn der Projektierung festgelegt werden. Alle Berechtigungen zur Bedienung der Visualisierungsoberfläche (Bildbausteine, Eingabefelder, Bedienbuttons, etc.) sind gemäß den Spezifikationen in der URS und der FS einzurichten.! Hinweis Die Zugriffsicherheit der Überwachungsmechanismen (Kennwortalter, Kennwortlänge, Kennwortgeneration, Kennwortsperrungsschwelle etc.) müssen in Windows konfiguriert und eingestellt werden. Zusätzlich sollte der Betriebssystem- Benutzer nur Hauptbenutzer- oder Benutzerrechte besitzen, jedoch keine Administratorrechte. Hierdurch wird sichergestellt, dass lediglich WinCC einen Zugriff auf die Datenbank hat. Zugriffe vom Betriebssystem auf die SQL-Datenbank sind somit nicht möglich. A5E

100 Folgende Reihenfolge ist einzuhalten: Einrichten des Zugriffschutzes unter Windows (Einrichten der Benutzergruppen und Benutzer) Installation und Einrichtung der WinCC Option SIMATIC Logon Einrichten des Zugriffschutzes in SIMATIC WinCC > User Administrator Anschließend können die einzelne Applikationen in einer beliebigen Reihenfolge konfiguriert werden: Vergabe der Berechtigungen in der Visualisierungsoberfläche (Bildfenster, Eingabefelder, Bedienbuttons) Einrichten des Zugriffschutzes in PM-CONTROL bzw. PM-QUALITY, falls die WinCC Premium Add-ons eingesetzt werden Funktionsweise des Zugriffsschutzes Die Mechanismen der Windows Benutzerverwaltung werden genutzt, um Betriebssystembenutzer und WinCC-Prozessbetrieb (Runtime) zu administrieren. In einem Produktivsystem von SIMATIC WinCC sind in der Regel mindestens zwei Benutzer angelegt. Zum einen ist es der Betriebssystembenutzer, welcher die Koordination der SIMATIC WinCC Runtime-Software lenkt, und zum anderen der SIMATIC WinCC Runtime Benutzer, welcher den Prozess bedient und beobachtet. Betriebssystembenutzer Tätigkeiten und Rechte von Betriebssystembenutzern: Applikations-Software unter SIMATIC WinCC (Server, Clients) in einen aktiven (Prozessbetrieb) Zustand fahren. In diesem Zustand müssen die Applikationen mindestens Hauptbenutzerrechte unter Windows besitzen, so dass den Applikationen Lese- und Schreibrechte auf Laufwerke, Verzeichnisse, Datenbanken etc. zur Verfügung stehen. Änderungen am Engineering System durchführen, WinCC Runtime (Prozessbetrieb) herunterfahren, Zugriffe auf alle Laufwerke, Verzeichnisse anlegen, ändern, löschen und neue Benutzer einrichten A5E

101 SIMATIC WinCC Runtime-Benutzer Tätigkeiten und Rechte von SIMATIC WinCC Runtime-.Benutzern: im Produktivsystem (Runtime) den Prozess bedienen, Prozesse überprüfen, Rezepte schreiben, verändern, Chargen anlegen etc. lediglich "Gast" Rechte unter Windows im Betriebssystem, keine Möglichkeit, WinCC Runtime zu beenden. Hinweis Bei der Aktivierung des Windows Audit Trails (siehe Kapitel 341H4.6.2 "342HBenutzerverwaltung in Windows") werden alle Änderungen aufgezeichnet, die ein Betriebssystembenutzer durchgeführt hat. SIMATIC WinCC Runtime-Benutzer mit Windows "Gast" Rechten können keine SIMATIC WinCC Applikationen starten, Verzeichnisse löschen oder PCs herunterfahren Benutzerverwaltung in Windows Da die Benutzerverwaltung von SIMATIC Logon auf den Mechanismen des Windows-Betriebssystems aufbaut, stehen zwei Möglichkeiten der Benutzerverwaltung unter Windows zur Verfügung: in einer Domäne in einer Arbeitsgruppe Windows Domäne Innerhalb einer Domäne wird die von Microsoft empfohlene AGLP Strategie (Access Global Local Permission, Grundprinzip bei der Verwaltung von Ressourcenzugriffen über Vertrauensstellungen bei Windows) verwendet, d.h. werden Benutzer einer Domäne mit gleichen Aufgaben einer globalen Gruppe hinzugefügt, so werden diese auch einer lokalen Gruppe hinzugefügt und übernehmen dann die notwendigen Berechtigungen. Wenn ein Domänen-Server im Arbeitsumfeld eingesetzt wird, können die Vorzüge der Gruppen- und Benutzer- Verwaltung in Verbindung mit dem SIMATIC Logon genutzt werden. Die einmalige Administration der Gruppen und Benutzer am Domänen-Server ermöglicht allen Rechnern, die der Domäne angehören, den Zugang auf die Gruppen und Benutzer. Zur Erhöhung der Verfügbarkeit, können Domänen mit mehreren Domänen-Servern aufgebaut werden. A5E

102 Windows Arbeitsgruppe Innerhalb einer Arbeitsgruppe sollten lokale Benutzer mit gleichen Aufgaben einer lokalen Gruppe hinzugefügt und diesen dann die notwendigen Berechtigungen erteilt werden. Wenn ein Rechner Mitglied einer Windows Arbeitsgruppe ist, so muss angegeben werden, welcher Rechner der Server der Arbeitsgruppe ist. Auf diesem Server werden alle Benutzerdaten angelegt und verwaltet. Sie werden von hier aus den anderen Rechnern des Systems zur Verfügung gestellt. Bei der Auswahl des Servers kann der WinCC-Server berücksichtigt werden, wegen der Leistung werden hier allerdings oft separate Rechner gewählt, die nur für die Verwaltung der Benutzer eingesetzt werden. Im Login-Auswahlfeld kann der lokale Rechner oder eine Domäne angewählt werden. Damit werden alle Gruppen dieses Servers angezeigt. Eine Administration der Gruppen und Benutzer der zugehörigen Rechner entfällt. Eine redundante Auslegung ist hier nicht möglich. Ein Notbetrieb ist über die lokale Benutzerverwaltung möglich. SIMATIC WinCC unterstützt das Windows Berechtigungsmodell. Bereits bei der Installation von SIMATIC WinCC werden die folgenden lokalen Gruppen eingerichtet: SIMATIC HMI SIMATIC HMI CS SIMATIC HMI VIEWER SIMATIC WinCC verwaltet die Sicherheitseinstellungen und Freigabeberechtigungen automatisch. Zum Anlegen und Starten eines WinCC- Projekts benötigt ein Benutzer den Status Administrator oder Hauptnutzer und muss in der Benutzergruppe SIMATIC HMI angelegt sein. Die Zugriffsrechte innerhalb des WinCC Projekts werden vom User Administrator geprüft.! Hinweis Die Windows Domäne muss bei dem Einsatz von mehreren Servern bzw. bei redundanten Servern genutzt werden, um sicherzustellen, dass beim Ausfall eines Domänen-Servers die Bedienung bzw. Anmeldung von Benutzern auch weiterhin gewährleistet werden kann A5E

103 4.6.3 Konfiguration der Benutzerverwaltung in Windows In der Benutzerverwaltung von Windows werden Benutzer und Gruppen wie in der URS bzw. FS spezifiziert konfiguriert. Durch die den jeweiligen Aufgaben zugeordnete Anmeldung an WinCC-PCs wird folgendes erreicht: Bei der Anmeldung in Windows erhält der Benutzer genau die Berechtigungen, die er für die Bearbeitung der jeweiligen Aufgabe benötigt, z.b. muss er für die Bearbeitung des WinCC-Projektes Mitglied in der lokalen Gruppe Hauptbenutzer und SIMATIC HMI sein. Mit dem Login im Prozessbetrieb erhält der Bediener die Berechtigung zur Bedienung der Anlage entsprechend seines Gruppenrechtes. Das folgende Bild zeigt das Dialogfeld "Lokale Benutzer und Gruppen", in dem die Benutzer und Benutzergruppen definiert werden. Die Computerverwaltung wird über Startmenü > Systemsteuerung > Verwaltung (beim Betriebssystem Windows XP) geöffnet. Nach Auswahl Computerverwaltung > Gruppen werden alle im Betriebssystem angelegten Benutzergruppen gezeigt. Weitere Informationen WinCC Information System im Kapitel Arbeiten mit WinCC > Aufbau einer Benutzerverwaltung >WinCC Optionen für den User Administrator > Option SIMATIC Logon Rechteverwaltung in Windows: SIMATIC HMI, Prozessvisualisierungssystem WinCC V6.0 SP4, Sicherheitskonzept WinCC, Kapitel 4 "Benutzer- und Zugriffsrechteverwaltung in WinCC und Integration in die Windows- Verwaltung". A5E

104 Sicherheitseinstellungen von Kennwortrichtlinien Für die Überwachungsmechanismen der Kennwortrichtlinien von Windows müssen die zuvor spezifizierten Einstellungen (URS, FS oder DS) vorgenommen werden. Folgende Sicherheitseinstellungen der Kennwortrichtlinien sind im Betriebssystem zu beachten und zu konfigurieren. Richtlinie Kennwortchronik erzwingen Kennwörter müssen den Komplexitätsanforderungen entsprechen Minimale Kennwortlänge Maximales Kennwortalter Minimales Kennwortalter Beschreibung der Sicherheitseinstellung Gibt die Anzahl eindeutig neuer Kennwörter an, die vor erneuter Verwendung eines alten Kennworts zum Benutzerkonto zu verwenden sind. Bei Aktivierung muss das Kennwort sich aus mindestens drei der vier folgenden Kategorien zusammensetzen: 1. A-Z Großbuchstaben 2. a-z Kleinbuchstaben Numerikzeichen 4.!,$,% etc. Sonderzeichen Gibt an, wie viele Zeichen in einem Kennwort mindestens enthalten sein müssen. Gibt an, wie lange ein Kennwort maximal unverändert verwendet werden darf. Gibt an, wie lange ein Kennwort minimal verwendet werden muss. Das folgende Bild zeigt das Dialogfeld "Kennwortrichtlinien". Die Einstellungen sind exemplarisch. Das Öffnen der Computerverwaltung erfolgt über den folgenden Menübefehl: Start > Einstellungen > Systemsteuerung > Verwaltung > Sicherheitseinstellungen A5E

105 Sicherheitsmechanismen für Kontosperrungsrichtlinien Für die Überwachungsmechanismen der Kontosperrungsrichtlinien von Windows müssen die spezifizierten Einstellungen, wie im Lasten- oder Pflichtenheft gefordert, vorgenommen werden. Folgende Sicherheitseinstelllungen sind in den Kontosperrungsrichtlinien zu beachten und zu konfigurieren. Richtlinie Kontosperrungsschwelle Kontosperrdauer Kontosperrungszähler zurücksetzen nach Beschreibung der Sicherheitseinstellung Gibt die Anzahl fehlgeschlagener Anmeldeversuchen an, die zur Sperrung eines Benutzerkontos führen. Gibt an, wie lange ein Konto gesperrt bleibt, bevor die Sperrung automatisch aufgehoben wird. Bei einer Festlegung auf den Wert 0 bleibt das Konto gesperrt, bis es ein Administrator explizit freigibt. Dies ist die empfohlene Einstellung. Gibt an, wie viele Minuten nach fehlgeschlagenen Anmeldeversuchen verstreichen müssen, bevor der Kontosperrungszähler wieder zurückgesetzt wird. Das folgende Bild zeigt das Dialogfeld Kennwortsperrungsrichtlinien. A5E

106 Sicherheitseinstellungen für Überwachungsrichtlinien Für die Überwachungsrichtlinien von Windows müssen folgende Einstellungen vorgenommen werden, um eine Aufzeichnung (Audit Trail) von Anmeldeversuchen zu erzeugen. Die überwachten Ereignisse werden in der Ereignisanzeige in dem Sicherheitsprotokoll gespeichert und stehen zu Recherchen zur Verfügung. Richtlinie Anmeldeversuche überwachen Kontoverwaltung überwachen Anmeldeereignisse überwachen Richtlinienänderung überwachen Beschreibung der Sicherheitseinstellung Gibt an, ob die Instanz eines Benutzers, der sich an einem Computer anmeldet, überwacht wird Gibt an, ob die einzelnen Ereignisse der Kontoverwaltung überwacht werden sollen (Benutzerkonto anlegen, ändern, Kennwörter ändern oder festlegen) Gibt an, ob jede Instanz eines Benutzers überwacht wird, der sich an einem Computer an- oder abmeldet,. Gibt an, ob die Vorkommen von Änderungen an Zuweisungsrichtlinien für Benutzerrechte, Überwachungsrichtlinien oder Richtlinien für Vertrauensstellung überwacht werden sollen Die Computerverwaltung wird über den folgenden Menübefehl geöffnet: Start > Einstellungen > Systemsteuerung > Verwaltung > Lokale Sicherheitseinstellungen. Hinweis Für die Überwachung der Logon-Vorgänge müssen die gewünschten Einstellungen in den Überwachungsrichtlinien der lokalen Sicherheitsrichtlinien von Windows vorgenommen werden A5E

107 ! Hinweis Nach der Installation von Windows sind bei den Kennwortrichtlinien, Kontosperrungsrichtlinien und den Überwachungsrichtlinien Default-Parameter eingestellt. Diese Einstellungen müssen überprüft und entsprechend den geltenden Projektanforderungen angepasst werden. Weitere Informationen Weitere Informationen zur Einrichtung von Windows Arbeitsgruppen und der Windows Domäne sind unter der Betriebssystem Hilfe von Microsoft Windows bzw. im entsprechenden Windows Handbuch enthalten. zum "Aufbau einer Benutzerverwaltung" befinden sich im WinCC Information System im Kapitel "Arbeiten mit WinCC". Zur Rechteverwaltung in Windows: SIMATIC HMI, Prozessvisualisierungssystem WinCC V6.0 SP6, Sicherheitskonzept WinCC, Kapitel 4 "Benutzer- und Zugriffsrechteverwaltung in WinCC und Integration in die Windows-Verwaltung". A5E

108 4.6.4 Konfiguration von SIMATIC Logon SIMATIC Logon benötigt für einen einwandfreien Betrieb zwingend folgende Einstellungen: Für die Konfiguration des SIMATIC Logon muss eine Windows-Gruppe mit dem Namen "Logon_Administrator" angelegt werden. Alle Benutzer, die dieser Gruppe zugeordnet sind, haben die Rechte, SIMATIC Logon zu konfigurieren. In der Windows-Computerverwaltung ist für jeden Benutzer unter "Lokale Benutzer und Gruppen" der vollständige Name einzutragen. Dieser Name wird nach dem Einloggen von der Applikation zur Anzeige in SIMATIC WinCC benutzt. Die Grundeinstellungen der Konfiguration von SIMATIC Logon werden mit dem Tool "SIMATIC Logon konfigurieren" durchgeführt. Beim Starten des Tools wird folgender Dialog geöffnet. Im Register "Allgemein", ist die jeweilige Sprache festgelegt. Zusätzlich kann definiert werden, ob nach der Benutzerabmeldung (durch den Benutzer, oder automatisch durch das System) ein Default User angemeldet werden soll. Des weiteren kann in Tagen eingestellt werden, ab wann der Benutzer erinnert werden soll, dass ein Passwortwechsel erforderlich wird.! Hinweis Der Benutzer "Default User" darf im Gegensatz zu allen anderen Benutzern nicht als Windows-Benutzer angelegt sein. Der "Default User" ist Mitglied der Gruppe "DefaultGroup" und "Emergency_Operator". Welche Rechte diese Gruppen haben, wird jeweils im WinCC User Administrator (Server/Client) festgelegt A5E

109 Im Register "Arbeitsumgebung" ist festgelegt, ob die Vorgabe der Gruppen und Benutzer sich auf eine Windows Domäne oder auf einen Windows Arbeitsgruppenserver beziehen. Zusätzlich ist der Name des Domänen- bzw. Arbeitsgruppenservers einzutragen. Im Register "Anmelde-Gerät" ist festgelegt, ob das Anmelden über Tastatur, Chipkarte oder andere Verfahren, wie die biometrische Benutzeridentifikation z.b. über Fingerabdruck, durchgeführt wird. Im Register "Automatisches Abmelden", wird festgelegt, ob ein automatisches Abmelden verwendet wird. Wenn dies der Fall ist, muss zusätzlich die Wartezeit bis zum automatischen Abmelden angegeben werden. A5E

110 Ist das automatische Abmelden aktiviert, wird der Benutzer nach Ablauf der Zeit und keiner Aktivität automatisch abgemeldet. Vor dem Abmelden weist ein Dialog auf die Automatische Abmeldung hin. Damit wird ein unbeabsichtigtes Abmelden vermieden.! Hinweis In Verbindung mit SIMATIC Logon ist die Aktivierung eines Bildschirmschoners nicht zulässig. Anbindung SIMATIC WinCC Nach der Konfiguration von SIMATIC Logon, müssen in WinCC folgende Anpassungen durchgeführt werden. Hierzu wird das Tool "WinCC Adapter" verwendet. Vorgehensweise: Öffnen des "WinCC-Servers" (Startmenü > Programme > SIMATIC > WinCC > WinCC V6.0) Öffnen des "User Administrators" und Aktivieren des Kontrollkästchens SIMATIC Logon Öffnen des "WinCC Adapter" (Startmenü > Programme > SIMATIC > SIMATIC Logon > WinCC Adapter) Anschließend werden die Anpassungen automatisch durchgeführt (siehe Dialogfeld) 4-44 A5E

111 Hinweis Damit eine Bedienung im Prozessbetrieb möglich ist, werden im WinCC User Administrator Benutzergruppen projektiert Konfiguration des User Administrators Die Zuordnung von Windows-Gruppen zu WinCC Benutzergruppen erfolgt über die Namensgleichheit. Z. B. wird die Windows-Gruppe "Operator" einer im WinCC User Administrator angelegten, gleichnamigen Gruppe "Operator" zugeordnet. Der Gruppe Operator werden die entsprechenden Rechte zur Bedienung im WinCC- System zugeteilt. Folgende Vorgehensweise ist dabei einzuhalten: WinCC-Projekt öffnen User Administrator über WinCC Explorer öffnen Gruppe(n) anlegen Rechte pro Gruppe vergeben Zusätzlich muss im User Administrator des WinCC-Projekts das Kontrollkästchen für die Aktivierung von SIMATIC Logon aktiviert werden.! Hinweis In Verbindung mit SIMATIC Logon darf keine Zeitangabe für einen automatischen Logout im User Administrator projektiert werden. Ein automatischer Logout wird nur im SIMATIC Logon konfiguriert. Siehe Kapitel 343H4.6.4 "344HKonfiguration von SIMATIC Logon" A5E

112 Hinweis Die Konfiguration und Vergabe der Benutzerrechte ist im WinCC Information System im Kapitel Arbeiten mit WinCC > Aufbau einer Benutzerverwaltung ausführlich dokumentiert Sperrung der Windows-Ebene im Prozessbetrieb (Runtime) Da Zugriffe auf die Windows Betriebssystemebene aus Sicherheitsgründen zu vermeiden sind, müssen zusätzliche Konfigurationseinstellungen durchgeführt werden. Diese Einstellungen vermeiden einen unerlaubten Zugriff aus dem Prozessbetrieb von SIMATIC WinCC auf sensible Daten des Betriebssystems.! Hinweis Zugriff auf die Betriebssystemebene sollte ausschließlich den Administratoren oder technischem Wartungspersonal vorbehalten werden Sperrung der Benutzeroberfläche Der Zugriff auf das Betriebssystem während des Prozessbetriebs wird im WinCC- Projekt in den Eigenschaften zum Rechner konfiguriert. Dazu werden alle Tastenkombinationen gesperrt, wie die nachfolgende Abbildung zeigt A5E

113 Zusätzlich muss in Windows die Einstellung Taskleiste immer im Vordergrund halten deaktiviert werden. Es ist sicherzustellen, dass die Deaktivierung des Prozessbetriebs nur mit entsprechender Bedienberechtigung möglich ist. Nach der Deaktivierung und einem Restart kann auf das Betriebssystem zugegriffen werden. Weitere Hinweise zur Sicherheit von Daten und System stehen im WinCC Information System unter Installation Notes Verhinderung des Zugriffs auf die Windows-Ebene Es ist darauf zu achten, dass keine OLE-Objekte projektiert sind, welche z. B. den Windows Internet Explorer aufrufen. Mit Windows OLE-Objekten besteht die Möglichkeit eines unerlaubten Zugriffs auf Ordner, Dateien und Programme. A5E

114 Sicherung durch Konfigurationseinstellung in WINDOWS Zusätzlich muss darauf geachtet werden, dass eventuelle HOT-KEY Tastenbelegungen deaktiviert sind. Üblicherweise werden die HOT-KEY Tasten genutzt um z.b. die Eigenschaften der Grafikkarte zu beeinflussen. Durch die Beeinflussung der Grafikkarteneigenschaften besteht die Möglichkeit auf die Betriebssystemoberfläche zu gelangen A5E

115 4.7 Elektronische Unterschrift Bedienhandlungen in WinCC, z. B. Eingaben über E/A-Felder oder Buttonbedienungen, können so konfiguriert werden, dass von dem eingeloggten Benutzer eine elektronische Unterschrift erforderlich ist. Welche Bedienhandlungen im Prozessbetrieb eine elektronische Unterschrift erfordern, ist in der Spezifikation (URS, FS) festzulegen. Nachfolgend wird exemplarisch ein Konfigurationsbeispiel für eine Buttonbedienung mit elektronischer Unterschrift dargestellt. In dem Beispiel wird über die Schaltflächen Start / Stop die Klimatisierung (Air condition) ein- bzw. ausgeschaltet. Mit dem Betätigen einer Schaltfläche wird ein Bildfenster eingeblendet, in dem das Passwort des eingeloggten Benutzers abgefragt wird. Erst mit Eingabe des korrekten Passworts wird die Schalthandlung ausgeführt. Vorgehensweise: 1. In einem Prozessbild wurden zwei Schaltflächen für Start und Stop projektiert. In den Objekteigenschaften > Sonstiges wurde die Bedienfreigabe für jeden Button mit Nein vorbesetzt. Der Zustand der Bedienfreigabe Ja / Nein wird abhängig von der Variablen AirCond_Active gesteuert. Dies wird über die Anbindung der Variable bzw. über einen Dynamik-Dialog erreicht. 2. Bei der Eigenschaft Berechtigung wurde für jeden Button die Funktion Aircondition zugewiesen. Dadurch ist die Bedienberechtigung des Buttons auf diejenigen Benutzer eingeschränkt, die Mitglieder einer Benutzergruppe sind, der die Funktion Aircondition zugeordnet wurde. Dies wird im User Administrator (siehe Kapitel 345H4.6.5 "346HKonfiguration des User Administrators") projektiert. A5E

116 4-50 A5E

117 3. In den Objekteigenschaften im Register Ereignis wird die Eigenschaft Mausklick mit einer Direktverbindung verknüpft. Darin wird der Eigenschaft Anzeige dem Objekt AC_Signature (in diesem Beispiel der Name des Bildfensters) die Konstante 1 zugewiesen. Diese Projektierung bewirkt, dass bei Mausklick auf den Button das Objekt AC_Signature angezeigt wird. In diesem Projektierungsbeispiel ist AC_Signature der Name des Bildfensters, das bei Betätigung des Buttons für die Signatur eingeblendet werden soll. A5E

118 4. In den Objekteigenschaften zum Bildfenster AC_Signature wird die Eigenschaft Anzeige mit Nein vorbesetzt. Bei der Eigenschaft Bildname wird der Name des Bildes, das in dem Bildfenster angezeigt werden soll, angegeben. (hier: ElectronicSignature.pdl) 4-52 A5E

119 Das Bild ElectronicSignature.pdl wurde für das Projektierungsbeispiel folgendermaßen konfiguriert. Neben den statischen Feldern Benutzer-ID / Name werden über einen statischen Text die Inhalte der anzeigt. Neben dem statischen Feld Passwort wird ein E/A-Feld für eine String-Eingabe, die zur Angabe des Passworts dient, projektiert. Die Schaltfläche Sign ist bei der Eigenschaft Mausklick mit einem Skript verbunden. In dem Skript wird bei Betätigung des Buttons Sign geprüft, ob das eingetragene Passwort zum eingeloggten Benutzer passt. Falls das Passwort falsch ist, wird eine Meldung ausgegeben. Dieses Skript steht kostenlos zum Download als FAQ mit Beitrags-ID A5E

120 Im Prozessbetrieb sieht die Bedienung folgendermaßen aus: 4-54 A5E

121 4.8 Audit Trail Zur Aufzeichnung eines Audit Trails für Benutzeraktionen an GMP-relevanten Daten wird die Verwendung der Option WinCC Audit empfohlen, es kann aber auch das Alarm Logging von WinCC verwendet werden. Nachfolgend werden beide Varianten vorgestellt WinCC Audit Im Konfigurationsdialog der Option WinCC Audit werden die Runtime- Komponenten zur Überwachung aktiviert. Mit Runtime Data / Archives werden Einträge sowohl in den Melde- / Prozesswertarchiven, als auch in User Archiven überwacht. Die Aktivierung von Benutzeraktionen zeichnet Bedienungen während Runtime im Audit Trail auf. Weiterhin werden die Logvorgänge (Ein- / Ausloggen) während Runtime im Audit Trail gespeichert. Im WinCC Audit Trail kann die Bedienung von Standardobjekten wie EA-Felder, Schiebeleisten, Kontrollkästchen, Optionsfelder und Textlisten aufgezeichnet werden. Die Aufzeichnung der Bedienelemente wird für jedes einzelne Objekt in jedem Prozessbild aktiviert. Zusätzlich kann für EA-Felder, Textlisten und Schiebeleisten die Anzeige von Benutzerkommentaren freigegeben werden. A5E

122 Für WinCC-Variablen, die über eine Direktverbindung in WinCC beschrieben werden, wird das Erzeugen einer Bedienmeldung aktiviert. (siehe auch Kapitel 347H4.4.4 "348HBedienmeldungen") Nachfolgend ein einfaches Beispiel für einen Audit-Trail mit WinCC Audit Zur Erzeugung von Audit Trail Einträgen dient auch die Funktion InsertAuditEntry. Diese Funktion kann sowohl in C-Skript, als auch VB-Skript eingebunden werden. Damit lassen sich benutzerspezifische Audit Trail Einträge z. B. auf Grund von Ereignissen oder Änderungen in Objekteigenschaften generieren. Hinweis Weitere Informationen zur Konfiguration von WinCC Audit, finden Sie in der Dokumentation dieser WinCC Option. Der Zeitstempel der Audit Trail-Einträge entspricht der lokalen Rechnerzeit des Rechners, auf dem der Audit Trail aufgezeichnet wird. In einem WinCC- Mehrplatzsystem ist eine regelmäßige Zeitsynchronisation erforderlich um eine korrekte Reihenfolge der Audit Trail-Aufzeichnungen zu gewährleisten. Die Option WinCC Audit legt der Audit Trail in einer eigenen Datenbank ab. Zur Anzeige des Audit Trails dient die Applikation Audit Viewer, der Bestandteil von WinCC Audit ist. Im Audit Viewer kann jeder der WinCC Audit Datenbank ausgewählt und zur Anzeige gebracht werden A5E

123 Im Audit Viewer wird der Inhalt der Audit Trail-Datenbank dargestellt. Filterfunktionen zur Anzeige der Änderungen der WinCC-Konfiguration (Lascher Konfiguration), der Bedienungen (Lasche Runtime), der Dokumentenkontrolle(Lasche DocumentControl) und von WinCC Audit (Lasche WinCC Audit) selber sind integriert. Auch eine Filterung nach Datum/Uhrzeit wird angeboten. Auch besteht die Möglichkeit benutzerdefinierte Filter zu erstellen und abzuspeichern(lasche Custom). Zur Ansicht des Audit-Trails in Anlagenbilder während WinCC Runtime kann die Applikation Audit Viewer auch als OCX in ein WinCC Bild eingebunden werden. A5E

124 Hinweis Im Audit Viewer werden die Daten nur angezeigt, daher besteht keine Möglichkeit zur Manipulation der Einträge. Alternativ kann die Audit Trail-Datenbank auch über andere Datenbankanwendungen z.b. MS-SQL Enterprise Manager von jedem Rechner im Netzwerk eingesehen werden. Zum Schutz der Audit Trail-Datenbank wird diese Ansicht nur über das Benutzerkonto WinCCAuditViewer, dem nur lesende Rechte zugewiesen sind, freigegeben. Für weitere Anwendungszwecke kann der erzeugte Audit Trail in eine MS-Excel Datei exportiert werden. Voraussetzung dafür ist die Installation von MS-Excel Version >= 10 auf dem Rechner. Weiterhin besteht die Möglichkeit, die Daten auf einem Drucker zu dokumentierten. Falls ein PDF-Writer auf dem Rechner installiert ist, können die Daten als PDF-File abgelegt werden A5E

125 4.8.2 Audit Trail über WinCC Alarm Logging Bedienungen über Ein- / Ausgabefelder oder Schaltflächen (Buttons) können im WinCC Graphics Designer so konfiguriert werden, dass vom System eine Bedienmeldung erzeugt wird. (Zur Konfiguration siehe das Kapitel 349H4.4.1 "350HObjektorientierte Projektierung") Zur Anzeige der Login- und Logoff-Vorgänge im WinCC-System wird im WinCC Alarm Logging generell das Anzeigen der Systemmeldungen eingerichtet. Dazu wird im Menü Extras der Eintrag WinCC Systemmeldungen angewählt. Folgender Dialog in Alarm Logging wird geöffnet: Die Bedienmeldung ist eine Systemmeldung, die nicht benutzerdefiniert konfiguriert werden kann. Werte, die auf Grund der Bedienung verändert werden, trägt das System automatisch in den Prozesswert 2 (alter Wert) und in den Prozesswert 3 (neuer Wert) ein. Daher wird empfohlen, die Prozesswertblöcke 2 und 3 entsprechend umzubenennen. A5E

126 Für die Anzeige der Bedienmeldungen in einem Prozessbild wird im Graphics Designer aus der Objektpalette das Control WinCC Alarm Control in ein Bild gezogen. Mit Doppelklick auf das Control wird der Dialog Eigenschaften geöffnet. Damit nur Bedienmeldungen angezeigt werden, ist eine Selektion festzulegen. Dazu wird über die Schaltfläche Selektion der Konfigurationsdialog geöffnet. Unter Systemblöcke > Meldeklassen wird der Block Systemmeldung, ohne Quittierung angewählt. Rechts im Datenfenster reicht die Anwahl der Bedienmeldung A5E

127 A5E

128 Damit auch Einträge für Login / Logoff eines Benutzers im Audit Trail angezeigt werden, ist im WinCC Alarm Logging für die Meldungsnummern bis in der Spalte Art (Type) per Doppelklick von Leittechnik auf Bedienmeldungen umzustellen. Im Register Meldeliste wird auch die Anzeige der Meldeblöcke konfiguriert. Die Anzeige des Audit Trails sieht im Prozessbild folgendermaßen aus: 4-62 A5E

129 Das Kreuz in der Spalte Comment zeigt an, dass ein Kommentar vorhanden ist. Dieser kann über die im Bild markierte Schaltfläche folgendermaßen angezeigt werden: A5E

130 4.9 Uhrzeitsynchronisation In SIMATIC WinCC entspricht die gesendete Uhrzeit auf dem Bus standardmäßig der normierten Weltuhrzeit UTC (Universal Time Coordinated). Dies entspricht der Greenwich Winterzeit. Die Zeitstempel werden in UTC erzeugt und im Archiv des WinCC-Servers abgelegt. Im Anlagenbetrieb (Runtime) werden die im Archiv abgelegten Prozessdaten (Meldungen und Trends) in der Zeitbasis angezeigt, die im Dialog Eigenschaften des ActiveX Controls konfiguriert wurde. Dies ermöglicht WinCC eine zeitzonenübergreifende Systemkonfiguration. Das Aktivieren der Uhrzeitsynchronisation in WinCC bedeutet, dass ein aktiver Uhrzeit-Master die Synchronisation aller Server, Bedienstationen, Automatisierungssysteme (AS) und der Engineering Station übernimmt. Für die zeitliche Übereinstimmung müssen alle zum WinCC System gehörenden Stationen synchronisiert werden, so dass anlagenweit eine zeitfolgerichtige Verarbeitung (Archivierung von Trends, Meldungen, Redundanzabgleich von Servern) ermöglicht werden kann. Hinweis Das Aktivieren der Uhrzeitsynchronisation ist in GMP-pflichtigen Anlagen unbedingt notwendig.! Hinweis Das Aktivieren der Uhrzeitsynchronisation muss auch auf den Engineering Stationen erfolgen, da es sonst zu Problemen während des Änderungsladens kommen könnte A5E

131 4.9.1 Konzepte zur Uhrzeitsynchronisation Der Aufbau der Uhrzeitsynchronisation muss sorgfältig geplant werden. Jede Uhrzeitsynchronisation im Projekt ist von den Anforderungen abhängig. Die Anforderung einer Zeitsynchronisation ist in der Funktionsspezifikation zu beschreiben. Nachfolgend werden Konzepte zur Uhrzeitsynchronisation vorgestellt. Uhrzeitsynchronisation in einer Windows Arbeitsgruppe Die Uhrzeitsynchronisation in einer Arbeitsgruppe sollte über den OS-Server erfolgen. Zusätzlich kann die Uhrzeitsynchronisation des OS-Servers über einen Uhrzeit-Master realisiert werden, z. B. den DCF77 Dienst bzw. GPS-Dienst. Uhrzeitsynchronisation in einer Windows Domäne Wird die Automatisierungsanlage in einer Windows Domäne betrieben, so muss als Uhrzeit-Master die Domäne dienen. Zusätzlich kann die Uhrzeitsynchronisation des Domäne-Servers über einen Uhrzeit-Master realisiert werden, z. B. den DCF77 Dienst bzw. GPS-Dienst. Bei einer ungenauen Uhrzeit kann es zur Abweisung von Clients in der Domäne kommen. Das hat zur Folge, dass keine Bedienungen im Prozessbetrieb über diese Clients mehr möglich sind. Wird zwischen Domäne und Clients eine Zeitdifferenz von 5 Minuten überschritten, so geht das Betriebssystem davon aus, dass ein Angreifer die Anmeldung entschlüsselt hat und versucht die Sitzung zu übernehmen. Das wird verhindert, indem die Anmeldung des Clients an der Domäne verweigert wird. Hinweis Die Uhrzeitsynchronisation der Clients in der Domäne erfolgt über Microsoft Systemdienste. Weitere Informationen Vorgehensweisen zur Projektierung der Uhrzeitsynchronisation können in den folgenden Dokumenten gefunden werden: WinCC Information System > Optionen > Options for Process Control >Time Synchronization WinCC Information System > Release Notes > Leittechnik Optionen > Time Synchronization Handbuch SIMATIC HMI, Prozessvisualisierungssystem WinCC V6.0 SP4, Sicherheitskonzept WinCC, Kapitel 5 "Planung der Uhrzeitsynchronisation". A5E

132 4.9.2 Exemplarische Projektierung in WinCC Zur Konfiguration der Uhrzeitsynchronisation wird der Editor Time Synchronization im WinCC Explorer geöffnet Client / Server 1. Uhrzeitsynchronisation über Anlagenbus (WinCC-Server ist Uhrzeit-Master). Durch Aktivieren des Optionskästchens "Synchronisation über Anlagenbus (Master, Slave)" kann der Zugangspunkt der Uhrzeitsynchronisation definiert werden. Zusätzlich wird der WinCC-Server als Uhrzeit-Master deklariert A5E

133 2. Uhrzeitsynchronisation der Clients Durch Aktivieren des Optionskästchens "Synchronisation über Terminalbus (Slave)" wird festgelegt, dass z.b. der Client über den Terminalbus/Local Area Network synchronisiert wird. Als Bezugspartner kann festgelegt werden, ob die Uhrzeit von einem angebundenen WinCC-Server oder von einem fest definierten Rechner übernommen wird (in diesem Fall vom Rechner mit dem Namen "Server1"). A5E

134 Über Ethernet / Anlagenbus Die Uhrzeitsynchronisation über den Anlagenbus/Industrial Ethernet Bus ist nur auf WinCC-Serverprojekten verfügbar. Wenn der zu konfigurierende Computer ein WinCC-Client ist, sind keine Einstellungen möglich und die Auswahlfelder sind nicht bedienbar Über Profibus / MPI Eine direkte Uhrzeitsynchronisation am Anlagenbus über PROFIBUS / MPI ist in WinCC nicht verfügbar. Stattdessen kann die Uhrzeit im Automatisierungssystem gestellt werden. Das Uhrzeit stellen hat allerdings nicht dieselbe Genauigkeit wie die Uhrzeitsynchronisation, da Telegramm- und Skriptlaufzeiten einfließen. Die Vorgehensweise zum Stellen der Uhrzeit ist in der FAQ mit Beitrags-ID (158Hhttp://support.automation.siemens.com/WW/view/de/ ) ausführlich dokumentiert Zeitstempelung WinCC Alarm Logging Meldungen, die aus dem Automatisierungssystem im WinCC Alarm Logging archiviert werden, erhalten den Zeitstempel entweder vom WinCC-System oder vom Automatisierungssystem SIMATIC S7-300/400. Beim Bitmeldeverfahren wird die Meldung auf Grund einer Bitänderung in der Meldevariable erkannt. Das Alarm Logging vergibt den Zeitstempel des WinCC- Systems. Die Zeitstempelangabe wird durch den Erfassungszyklus, Buslaufzeit und den Zeitaufwand für die Meldungsverarbeitung ungenau. Meldungen, die kürzer anstehen als der Erfassungszyklus, gehen verloren. Bei der Grenzwertüberwachung von Variablen in WinCC wird bei Überschreitung und / oder Unterschreitung des definierten Grenzwertes eine Meldung im Alarm Logging erzeugt. Die Vergabe des Zeitstempels verhält sich wie beim Bitmeldeverfahren. Beim zeitfolgerichtigen Melden sendet das Automatisierungsgerät ein Telegramm mit den Daten der Meldung. Der Zeitstempel der Meldung wird von der Steuerung vergeben. Für die Erzeugung der Meldetelegramme wird im Automatisierungssystem eine Standardfunktion / -funktionsbaustein eingesetzt. Das Alarm Logging wertet die Telegramme aus. Datum und Uhrzeit werden entsprechend dem Zeitpunkt, zu dem die Meldung im Automatisierungssystem erkannt wurde, gesetzt. Hinweis Siehe zur Auswahl des Meldeverfahrens die STEP 7 Hilfe > Projektieren von Meldungen > Grundlage des Meldekonzepts > Auswahl des Meldeverfahrens A5E

135 Hinweis Das Bitmeldeverfahren und die Grenzwertüberwachung kann im WinCC Einzelplatzsystem angewandt werden. In redundanten Systemen oder WinCC- Systemen mit mehreren Bedienstationen wird für koordiniertes Quittieren und Senden das zeitfolgerichtige Melden eingesetzt. Für das zeitfolgerichtige Melden werden die SFCs/SFBs Alarm, Alarm_S/SQ, Alarm_D/DQ, Alarm_8/8P in der SIMATIC S7 verwendet. Einschränkungen hinsichtlich der Systemressourcen für gleichzeitig anstehende Meldungen sind aus den jeweiligen CPU-Handbüchern und den Bausteinbeschreibungen der SIMATIC STEP 7 Hilfe zu entnehmen. Für den Einsatz der Funktion zeitfolgerichtiges Melden wird die SIMATIC S7-400 in Verbindung mit den Bausteinen Alarm und Alarm 8/8P empfohlen. WinCC Tag Logging Prozesswerte, die im WinCC Tag Logging erfasst und ausgewertet werden, erhalten den Zeitstempel entweder zum Zeitpunkt der Erfassung in WinCC oder mit dem Wert aus dem Automatisierungssystem. Zum zyklischen Einlesen der Prozesswerte werden Erfassungszyklen definiert. Der kleinste Erfassungszyklus beträgt 500ms. Ein Zeitstempel, der beim Erfassen des Prozesswertes zugeordnet wird, enthält die Ungenauigkeit des konfigurierten Erfassungszyklus. Prozesswerte, die den Zeitstempel aus dem Automatisierungssystem erhalten sollen, werden in Form eines Telegramms im Automatisierungssystem aufbereitet und als Rohdatenvariable übergeben. Der Telegrammaufbau ist im WinCC Information System unter Arbeiten mit WinCC > Archivieren von Prozesswerten > Grundlagen zur Prozesswertarchivierung > Prozesswerte und Variablen > Aufbau eines Telegramms mit Rohdatenvariablen dokumentiert. Die Telegramme werden in Tag Logging über Normierungs-DLL ausgewertet und in das Archiv aufgenommen. Datum und Uhrzeit entsprechend dem Zeitpunkt, zu dem der Prozesswert im Automatisierungssystem gespeichert wurde. In der Spezifikation (URS, FS) einer GMP-pflichtigen Anlage muss beschrieben werden, auf welche Art und Weise die Zeitstempelung durchzuführen ist. Dabei ist zu prüfen, welche Genauigkeit in der Meldungs- und Prozessdatenerfassung im Einzelnen erforderlich ist. Die zuvor genannten Methoden zur Zeitstempelung sind parallel anwendbar. A5E

136 4.10 Archivierung von Daten: Einrichten von Prozesswertarchiven Besonders für Produktionsanlagen, die im GMP-Umfeld betrieben werden, ist es von großer Bedeutung einen lückenlosen Qualitätsnachweis hinsichtlich der Produktionsdaten zu erbringen. Dazu trägt die Archivierung der produktionsrelevanten Daten bei. In SIMATIC WinCC wird zur Datenarchivierung der Editor Tag Logging benutzt. Das Tag Logging ist Bestandteil der WinCC System-Software. Zur Konfiguration wird der Editor im WinCC Explorer geöffnet. Die Projektierung des Prozesswertarchivs gliedert sich in folgende Schritte: Erstellen eines Prozesswertarchivs und Auswahl der Variablen, die im Umlaufarchiv gespeichert werden sollen Konfiguration des Prozesswertarchivs mit Angaben zur Archivgröße, Segmentwechsel und Speicherort zur Auslagerung (Backup) Über das Prozesswertarchiv werden messstellenbezogene Daten (Analog- und Binärwerte) in einer Datenbank gespeichert. Ein Prozesswertarchiv wird als Umlaufarchiv angelegt, die Größe wird in der Spezifikation (URS, FS, DS) vorgegeben. Prinzipielle Funktionsweise Von einem Aufnehmer werden die Prozesswerte über E/A-Baugruppen in das Automatisierungssystem übernommen und von dort über die Kommunikationsverbindung in den Variablenhaushalt von SIMATIC WinCC transferiert. Das Tag Logging sorgt für die Archivierung der Werte mit Datum und Uhrzeit in dem projektierten Prozesswertarchiv. Zur Langzeitarchivierung können die archivierten Werte durch die Backupkonfiguration an einen Archivserver übergeben werden. (siehe auch Kapitel 351H4.11 "352HLangzeitarchivierung") Besonderheiten bei der Konfiguration Das Einrichten und Konfigurieren eines Prozesswertarchivs ist im WinCC Information System ausführlich dokumentiert. Für Prozesswertarchive, die Daten aus dem GMP-Umfeld archivieren, wird bei der Archivkonfiguration (Tag Logging Fast und Tag Logging Slow) die Einstellung Signierung aktiviert angewählt. Ein interner Algorithmus bildet beim Auslagern eine Prüfsumme. Dadurch werden nachträgliche Manipulationen vom System erkannt, wenn eine ausgelagerte Prozessarchivdatenbank wieder mit dem WinCC System verbunden wird. Beim Verbinden mit einer manipulierten Datenbank zeigt WinCC folgende Meldung A5E

137 4.11 Langzeitarchivierung Im Archivierungskonzept von WinCC, wird unterschieden zwischen der Online- Archivierung (kurzfristig) und der Offline-Archivierung (Langzeitarchivierung). Die Online-Archivierung wird mit WinCC Alarm Logging und dem WinCC Tag Logging ausgeführt Langzeitarchivierung in SIMATIC WinCC Für die Langzeitarchivierung in WinCC wird empfohlen einen eigenen Server im Netzwerk einzusetzen. Im Langzeitarchivserver werden die ausgelagerten Datenbanksegmente aus dem WinCC Alarm Logging und dem WinCC Tag Logging gesichert. Der Langzeitarchivserver ist ein Server ohne Prozessanschluss. Auf dem Server wird eine Minimalinstallation von WinCC (Fileserver-Setup) installiert. Zur Ansicht der ausgelagerten Daten bestehen verschiedene Varianten: Auslagerungsdateien auf den Projektierungsrechner kopieren, auf dem auch Runtime läuft. In Alarm Logging oder Tag Logging werden die Auslagerungsdateien mit dem Projekt verbunden, damit können die archivierten Werte in Runtime angezeigt werden. Zugriff über OLE-DB (Dazu ist der MS SQL Server zu installieren) Zugriff über (siehe Kapitel 353H4.17 "354HAnbindung an Web Client") A5E

138 Backup-Konfiguration in Alarm Logging In den Eigenschaften zum Meldearchiv wird im Register Backupkonfiguration beim Zielpfad ein Ordner, der auf dem Langzeitarchivserver eingerichtet ist, eingetragen. Um einem Ausfall des Langzeitarchivservers vorzubeugen, kann alternativ ein zweiter Zielpfad angegeben werden. Die Aktivierung des Kontrollkästchens Signierung aktiviert kennzeichnet die ausgelagerten Datenbanken mit einer Prüfsumme. Werden die ausgelagerten Datenbanken wieder mit dem Alarm Logging verbunden, kann anhand der Prüfsumme festgestellt werden, ob eine Datenmanipulation vorliegt. Backup-Konfiguration in Tag Logging 4-72 A5E

139 In Tag Logging werden jeweils für die Archive Tag Logging Fast und Tag Logging Slow die Einstellungen für die Backupkonfiguration vorgenommen. Weiteres siehe oben Alarm Logging. Backup-Konfiguration WinCC Audit - Audit Trails Eine konfigurierbare, zyklische Backup-Funktion ist in der Option WinCC Audit nicht implementiert. Zum Backup der Audit Trail Datenbank kann der Enterprise Manager des Microsoft SQL Servers verwendet werden. Der Enterprise Manager bietet weiterhin Funktionalitäten zum Export, Import, Restore u. a. an. Zur Durchführung dieser Funktionalitäten ist ein Benutzer mit Administratorrechten im Windows Betriebssystem berechtigt. Falls der Microsoft SQL Server mit Passwortschutz installiert wurde, ist die Kenntnis des Passworts erforderlich. Wird der Audit Trail auf einem Netzlaufwerk abgelegt, erfolgt erst eine Aufzeichnung auf dem lokalen Rechner mit dem WinCC-Projekt und anschließend wird ein Transfer auf den Remote-Rechner durchgeführt. Sollte die Verbindung zwischen Remote- und Lokalen Rechner ausfallen, werden alle einlaufenden Audit-Trail Informationen solange zwischengespeichert, bis die Verbindung wieder hergestellt ist. Die zwischengespeicherten Audit-Trail Informationen werden dann automatisch in den vom lokalen- zum remoten Rechner transferiert. Auf diese Weise können Netzwerkprobleme aufgefangen und Datenverlust ausgeschlossen werden Chargenorientierte Langzeitarchivierung mit PM-QUALITY PM-QUALITY bietet verschiedene Varianten zum Archivieren der erfassten Chargendaten. Exportieren im Datenbank-Format Exportieren in HTML-Format Exportieren in XML-Format A5E

140 Nur abgeschlossene Chargen können archiviert werden. Eine Charge erhält den Status abgeschlossen, wenn: Die Charge manuell oder automatisch beendet wurde Die Charge abgebrochen, gesperrt oder fertig gemeldet wurde. Der automatische Export einer Charge wird nur einmal durchgeführt. Die Aktivierung des Kontrollkästchens Automatisch abschließen im Dialog Projekteinstellungen > Voreinstellungen bewirkt, dass nach dem automatischen Export Änderungen / Ergänzungen in den Chargendaten nicht mehr möglich sind. Für den Export im HTML-Format bzw. XML-Format kann die nachträgliche Manipulation der Daten durch entsprechende Rechte auf dem Laufwerk (nur Lesen) verhindert werden. In dem eingestellten Erfassungszyklus prüft PM-QUALITY, ob eine abgeschlossene Charge zum Export bereitsteht. Die Daten müssen zunächst auf eine lokale Festplatte exportiert werden. Das Auslagern der Chargendaten auf ein externes Laufwerk, z. B. den Langzeitarchivserver, kann über die Aktion nachher konfiguriert werden A5E

141 Zur Ansicht der Chargendaten im Datenbankformat wird das Tool Export View, das im Lieferumfang von PM-QUALITY enthalten ist, genutzt. Über den Chargenauswahldialog wird die Charge ausgewählt, die Ansicht auf dem Bildschirm über eine Schaltfläche in der Symbolleiste gestartet. A5E

142 Weitere Informationen zum WinCC Premium Add-on PM-QUALITY sind in der Online-Hilfe zum Produkt enthalten. Hinweis Es wird empfohlen, zur Langzeitarchivierung und Protokollierung bei Großanlagen, SIMATIC IT Historian und SIMATIC IT Report Manager einzusetzen. Weitere Informationen dazu, finden Sie im SIMATIC PCS 7 GMP-Engineering Handbuch: Leitfaden zur Durchführung von Automatisierungsprojekten im GMP Umfeld A5E

143 4.12 Protokollierung Basis Protokollierung mit SIMATIC WinCC Report Designer Zur Dokumentation der Konfigurations-Daten und der Runtime-Daten ist in der WinCC System-Software der Report Designer integriert. Folgende Runtime-Daten können protokolliert werden: Meldefolgeprotokoll Chronologische Auflistung aller aufgetretenen Meldungen Meldeprotokoll Meldungen der aktuellen Meldeliste Archivprotokoll Meldungen aus dem Meldearchiv Variablentabelle Variableninhalte aus Prozesswert- / Verdichtungsarchiven in Tabellenform Variablenkurve / Bild Variableninhalte aus Prozesswert- / Verdichtungsarchiven in Kurvenform Hinweis WinCC Report Designer unterstützt die Protokollierung von kontinuierlichen Prozessen. Hinweis Die Einbindung des Audit Trails von WinCC Audit in die Protokollierung mit dem Report Designer wird von der WinCC Version V 6.0 SP4 nicht unterstützt. Auch die Inhalte von Anwenderarchiven (User Archives) können in Tabellenform dokumentiert werden. In Form von Seitenlayouts werden Gestaltung und Ausgabe der Runtime-Daten definiert. Druckaufträge steuern die Druckausgabe. Außerdem werden im Druckauftrag Ausgabebereich und optionen festgelegt. Eine Reihe von Systemlayouts und Systemdruckaufträgen sind für unterschiedliche Dokumentationsanforderungen bereits im Lieferumfang enthalten. Diese können als Basis für die Erstellung neuer Layouts / Druckaufträge genutzt werden, sie sollten aber nicht verändert werden. Eine Änderung der Systemlayouts bedeutet aus GMP-Sicht einen zusätzlichen Testaufwand. Wird die Systemsoftware hochgerüstet werden die Systemlayouts durch die Installation überschrieben. Hinweis Im WinCC Information System sind unter Arbeiten mit WinCC > Dokumentation von Projektierungs- und Runtimedaten > Anhang vorhandene Systemlayouts und Systemdruckaufträge für die Runtime-Dokumentation aufgelistet. A5E

144 Seitenlayouteditor Der Seitenlayouteditor des Report Designers dient zum anwenderspezifischen Modifizieren von Systemlayouts oder zum Erstellen neuer Layouts. Systemlayouts werden im Seitenlayouteditor geöffnet und zum Anpassen unter einem anderen Namen gespeichert. Die Layouts sind gegliedert in einen statischen Teil und einen dynamischen Teil. Zur Gestaltung stehen statische, dynamische und Systemobjekte in Form einer Objektpalette zur Verfügung. Weiterhin kann für jedes Protokoll ein Deckblatt z.b. mit Firmen-Logo und eine Schluss-Seite angelegt werden. Kopf- und Fußzeile werden im statischen Teil konfiguriert. In der Fußzeile kann beispielsweise eine Versionsnummer, die manuell in einer Variablen verändert wird, projektiert werden. Im dynamischen Teil werden die Runtime-Daten für die Ausgabe projektiert. Das entsprechende Objekt wird aus der Objektpalette > Runtime Dokumentation ausgewählt und per Drag&Drop in den Arbeitsbereich (dynamischen Teil) des Protokoll-Layouts eingefügt. In folgendem Beispiel wurde das Objekt Archivprotokoll unter Alarm Logging RT zur Anzeige der Audit Trail Einträge (Bedienmeldungen) in das Protokoll eingebunden. In den Eigenschaften wird die Spaltendarstellung konfiguriert A5E

145 Als Filterkriterium wird im Selektionsdialog entweder die Nummer der Bedienmeldung angegeben (die Meldenummer ist vom WinCC-System fest vorgegeben) oder unter Meldeklasse > System, ohne Quittierung das Kontrollkästchen Bedienungen aktiviert. A5E

146 Druckaufträge WinCC Report Designer dokumentiert Daten aus kontinuierlichen Prozessen über einen definierten Zeitbereich. Der Zeitbereich wird neben anderen Einstellungen im Druckauftrag festgelegt. Darüber hinaus besteht die Möglichkeit während des Prozessbetriebs vor dem Protokollstart einen Parametrierdialog zu öffnen, in dem Ausgabeselektionen, Zeitbasis und für die Ausgabe von Archivvariablen auch der Zeitbereich für das auszugebende Protokoll geändert werden können. Hinweis Weitere Informationen zum WinCC Report Designer sind im WinCC Information System unter Arbeiten mit WinCC > Dokumentation von Projektierungs- und Runtimedaten dokumentiert. Die Ausgabe der Audit Trail Einträge wird im Protokoll folgendermaßen dargestellt: Hinweis Das Kreuz in der Spalte C weist auf einen vorhandenen Kommentar hin. Der Kommentar selbst kann im Protokoll nicht ausgegeben werden A5E

147 Chargenorientierte Protokollierung mit PM-QUALITY Das WinCC Premium Add-on PM-QUALITY wird zur chargenorientierten Erfassung und Protokollierung von Chargendaten eingesetzt. Mit dem Signal Chargenstart beginnt die Aufzeichnung der produktionsrelevanten Daten und endet mit dem Signal Chargenende. Die Daten werden einer bestimmten Charge, deren Bezeichnung konfigurierbar ist, zugeordnet und können unter dem Chargennamen wieder abgerufen werden. In der Applikation Report Editor werden die Protokoll-Layouts zur Ausgabe der Chargendaten benutzerdefiniert konfiguriert. Im markierten Bereich links unten werden statische Objekte für die Protokollgestaltung und dynamische Objekte zur Anzeige der Chargendaten aufgelistet. Die dynamischen Objekte wurden zuvor in der Applikation Topologie Manager anlagenspezifisch konfiguriert. Zu den dynamischen Objekten zählen Chargenkopfdaten, Phasenabschnitte, Snap Shots, Meldeereignisse, Audit Trail Einträge, Tag Logging Werte etc. Die Darstellungsweise ist wählbar zwischen tabellarisch nebeneinander oder untereinander. A5E

148 Tag Logging Werte werden in Kurvenform abgebildet. Dazu werden Kurventemplates definiert, in denen die darzustellenden Werte sowie die Gestaltung des Kurvenbildes spezifiziert werden. Auch die Darstellung vergleichender Kurven mit Werten aus unterschiedlichen Chargen ist möglich. Im Folgenden wird exemplarisch die Vorgehensweise zur Darstellung von Audit Trail Einträgen (Bedienmeldungen) in einem Chargenprotokoll erläutert. Als Schnittstelle zwischen der WinCC System-Software und PM-QUALITY fungiert die Applikation PM-SERVER, die im Lieferumfang von PM-QUALITY enthalten ist. Im PM-SERVER wird für den WinCC-Server eine Station konfiguriert, in die die Daten aus dem WinCC-Projekt importiert werden (Variablen, Meldeblöcke, Berechtigungen, Archivdaten). Dabei kann der PM-SERVER nicht nur Daten von einem, sondern von mehreren WinCC-Servern mit unterschiedlichen Projekten aufnehmen. Anhand der importierten Meldeblöcke wird ein Meldespaltenaufbau konfiguriert, in dem die von den WinCC-Projekten auflaufenden Meldungen an PM- QUALITY weitergereicht werden. Die Bedienmeldungen werden im WinCC Alarm Logging als Audit Trail aufgezeichnet (siehe auch Kapitel 355H4.8.2 "356HAudit Trail über WinCC Alarm Logging"). Zur Übernahme der Bedienmeldungen wird im Topologie Manager unterhalb der betreffenden Produktionseinheit ein Objekt Meldungen und eine Meldegruppe, hier mit dem Namen Audit Trail, angelegt A5E

149 In den Eigenschaften der Meldegruppe Audit Trail werden die im Chargenprotokoll darzustellenden Meldeblöcke selektiert. Weiterhin wird im Meldefilter Dialog die Meldenummer für die Bedienmeldung, die im WinCC System fest definiert ist, eingetragen. Im Report Layout Editor wird im Bereich der zur Verfügung stehenden Objekte die Meldegruppe Audit Trail angezeigt. Per Drag&Drop wird die Meldegruppe Audit Trail nach rechts zur Darstellung in einem Protokoll-Layout gezogen. Die Darstellung eines Audit Trails in einem Chargenprotokoll kann folgendermaßen aussehen: Änderungskommentare können im Audit Trail protokolliert werden. Hinweis Weitere Informationen zum WinCC Premium Add-on PM-QUALITY sind in der Online-Hilfe zum Produkt dokumentiert. A5E

150 Sicherung der Anwendersoftware Sicherung der Anwendersoftware im Engineering System Es wird empfohlen nach Änderungen ein Backup von den Projektdaten zu erstellen. Dazu wird der WinCC Project Duplicator empfohlen. Das Tool wird unter Start > Programme > SIMATIC > WinCC > Tools > Project Duplicator geöffnet. Die Projektdaten des ausgewählten WinCC-Projekts können auf einem beliebigen Rechner im Netzwerk kopiert werden.! Hinweis Vor dem Kopieren muss das WinCC-Projekt geschlossen sein. Sicherung der Daten von WinCC Optionen / WinCC Premium Add-ons Falls im WinCC-Projekt WinCC Optionen bzw. WinCC Premium Add-ons wie z. B. PM-CONTROL / PM-QUALITY eingesetzt werden, ist darauf zu achten, dass die entsprechenden Datenbanken auch gesichert werden. Vor der Datensicherung muss kontrolliert werden, ob mit dem Beenden des WinCC-Projekts die Datenbanken der Add-ons vom MS SQL Server getrennt wurden. Falls die Datenbanken nicht automatisch getrennt wurden, erscheint beim Sichern der Daten eine Fehlermeldung. Die Trennung kann entweder mit der Applikation detachdb.exe (im Verzeichnis Programme/Siemens/PMCOMMON) oder mit dem MS SQL Enterprise Manager durchgeführt werden. WinCC Optionen und WinCC Premium Add-ons legen ihre Daten bei der Installation automatisch in einem eigenen Ordner unterhalb des WinCC-Projekts ab. In diesem Fall werden die Daten über den Project Duplicator mitgesichert. Falls bei der Installation ein benutzerdefinierter Ablagepfad angegeben wurde, ist für eine entsprechende Sicherung zu sorgen. Sicherung der Daten mit Version Trail Falls das WinCC-Projekt im Rahmen von Totally Integrated Automation (TIA) in ein STEP 7-Projekt eingebunden ist, kann das Software-Produkt Version Trail zur Datensicherung eingesetzt werden. Mit Version Trail werden die Daten des STEP 7-Projektordners gesichert. Ein integriertes WinCC-Projekt wird in einem Ordner unterhalb des STEP 7-Projekts abgelegt. Hinzugefügte Premium Add-ons wie z. B. PM-QUALITY liegen wiederum in einem Ordner unter dem WinCC-Projekt. Mit Version Trail werden alle Projektdaten in einer Haupt- oder Nebenversion archiviert (siehe auch das Kapitel 357H4.5.2 "358HVersionskontrolle der Anwendersoftware"). Vor der Archivierung der Daten sollte geprüft werden, ob die Datenbanken vom MS SQL Server getrennt wurden (siehe auch den Absatz "Sicherung der Daten von WinCC Optionen / WinCC Premium Add-ons"). Eine archivierte Version kann mit Version Trail jederzeit wieder dearchiviert werden. Weitere Informationen sind im "SIMATIC S7 GMP-Engineering Handbuch: " zu entnehmen A5E

151 Sicherung des Betriebssystems und SIMATIC WinCC Die Sicherung des Betriebssystems und der WinCC-Installation sollte mit Festplatten-Images durchgeführt werden. Mit diesen Images kann ohne größeren Aufwand der Ursprungszustand der PCs wieder hergestellt werden. Welche Images sind notwendig Erstellung eines Images der Betriebssysteminstallation mit allen Treibern sowie sämtlichen Einstellungen bzgl. Netzwerk, Benutzerverwaltung etc. ohne SIMATIC WinCC. Erstellung eines Images der installierten PCs mit SIMATIC WinCC, WinCC Optionen und WinCC Premium Add-ons. Erstellung eines Images der installierten PCs mit SIMATIC WinCC einschließlich aller Projekte. Vorgehensweise bei der Erstellung eines Image Zur Erstellung eines Images stehen verschiedene Anwendungen zur Verfügung, z. B. SIMATIC PC/PG Image & Partition Creator. Hierbei ist darauf zu achten, dass das Image auf eine freie Partition geschrieben wird. Hinweis Die Sicherungen der Anwendersoftware und die Sicherung des Betriebssystems mit und ohne SIMATIC WinCC sollten auf externen Speichermedien aufbewahrt werden (z. B. MOD, CD, DVD, Netzwerksicherung).! Hinweis Ein Image kann immer nur auf einem PC mit identischer Hardware eingespielt werden. Aus diesem Grund ist die hardwareseitige Konfiguration der PC ausreichend zu dokumentieren. Images von einzelnen Partitionen können nicht zwischen den PCs getauscht werden, da sich verschiedene Einstellungen, z.b. in der Registry, auf den PCs unterscheiden. A5E

152 4.13 Lifebeat Monitoring Der Lifebeat-Monitor überwacht alle Server, Clients und die Automatisierungsgeräte, welche über PC-Netze und Industrie-Netze (Industrial Ethernet, PROFIBUS oder OPC) erreichbar sind. Zur Konfiguration der zu überwachenden Teilnehmer wird im WinCC Explorer der Editor Lifebeat Monitoring geöffnet. Hier können alle zu überwachenden Teilnehmer sowie der Überwachungszyklus, in der die Lebenszeichenüberwachung durchgeführt werden soll, eingerichtet werden. Hinweis Das Lifebeat Monitoring zu Fremdsystemen muss manuell konfiguriert werden. Es ist jeweils abhängig vom Kommunikationspartner des Fremdsystems. Stellt das Fremdsystem eine wichtige Schnittstelle zu SIMATIC WinCC dar, so ist ein Lifebeat Monitoring zwingend erforderlich. Weitere Informationen sind im WinCC Information System > Optionen > Options for Process Control > Lifebeat Monitoring dokumentiert A5E

153 4.14 Datenaustausch zur Betriebsleitebene Der Datenaustausch zur Betriebsleitebene oder zu anderen Systemen muss über Systemfunktionalitäten abgedeckt werden. Hierzu stehen unterschiedliche Möglichkeiten zur Verfügung, angefangen von der integrierten OPC-Verbindung (OPC Data Access) über die Verbindungen OPC A&E und OPC Historcial Data Access bis hin zur Verbindung WinCC OLE DB Datenaustausch mit Connectivity Pack Das Connectivity Pack von SIMATIC WinCC ermöglicht einen standardisierten Zugriff von der Betriebsleitebene auf das Prozessleitsystem. Hierzu werden folgende Mechanismen genutzt: OPC Historical Data Access (Zugriff auf das Prozesswertarchiv) OPC HDA. Es können alle oder nur einige Prozesswertarchive ausgelesen werden. Der Zeitpunkt der auszulesenden Prozesswertarchive kann zyklisch oder benutzergesteuert zu gewünschten Ereignissen oder Zeitpunkten erfolgen. Das Schreiben auf Prozesswertarchive ist nicht möglich. OPC Alarm and Events (Zugriff auf das Meldearchiv) OPC A&E. Es können alle oder nur einige Meldungen ausgelesen werden. Der Zeitpunkt des auszulesenden Meldearchivs kann zyklisch erfolgen oder benutzergesteuert zu gewünschten Ereignissen oder Zeitpunkten erfolgen. Das Schreiben auf das Meldungsarchiv ist bis auf Quittierungen nicht möglich. WinCC OLE DB erlaubt einen lesenden Direktzugriff auf die Tag Logging und Alarm Logging Archivdatenbanken. Der Datenaustausch erfolgt dabei wie in der folgenden Abbildung: A5E

154 Prozesswerte und Steuerzustände werden Online aufgenommen. Je nach Vorgabe durch die Spezifikationen werden die Online Prozesswerte und Meldungen (Alarm, Warnung, Systemmeldung, Bedienmeldungen etc.) im Umlaufarchiv Tag Logging und Alarm Logging für die definierte Umlaufarchivzeit gespeichert und stehen zum Lesen der Betriebsleitebene zur Verfügung. Konfiguration des Connectivity Packs Die Konfiguration des Connectivity Packs bei SIMATIC WinCC ist nicht erforderlich A5E

155 Datenaustausch mit IndustrialDataBridge Die Applikation IndustrialDataBrigde wird eingesetzt, um Daten zwischen unterschiedlichen Applikationen, z.b. WinCC und Oracle-Datenbank, zu kopieren. Während des Kopiervorgangs sind Benutzereingriffe an den Daten nicht möglich Datenaustausch mit ODK Die Option Open Development Kit (ODK) beschreibt die offengelegten Programmierschnittstellen, mit deren Hilfe der Zugriff auf Daten und Funktionen der WinCC Projektierung und des WinCC Runtimesystems möglich ist. Die Schnittstellen sind als C-Application Programming Interface (C-API) ausgelegt. Hinweis Aufgrund des sehr hohen Validierungsaufwandes sollte die ODK-Schnittstelle nur genutzt werden, wenn keine anderen Möglichkeiten zur Realisierung bestimmter Funktionalitäten bestehen. A5E

156 4.15 Unterbrechungsfreie Stromversorgung Eine unterbrechungsfreie Stromversorgung (USV) ist ein System zur Pufferung der Netzspannung. Bei einem Ausfall der Stromversorgung übernimmt die Batterie der USV die Energieversorgung. Bei Spannungswiederkehr wird die Energieversorgung durch die USV-Batterie eingestellt und die Batterie wird wieder neu geladen. Einige USV-Systeme bieten neben der Netzspannungspufferung auch die Möglichkeit der Netzspannungsüberwachung. Sie gewährleisten zu jedem Zeitpunkt eine Ausgangsspannung ohne Störspannungen. USV-Systeme sind notwendig, um bei Stromausfällen z.b. Prozess- und Audit Trail-Daten weiter aufzeichnen zu können. Die Auslegung der USV ist mit dem Systembetreiber abzustimmen und ist in der URS, FS, oder DS zu spezifizieren. Hierbei sind folgende Punkte zu beachten: Energieverbrauch der zu versorgenden Systeme Leistungsfähigkeit der USV Gewünschte Dauer der USV-Pufferung Der Energieverbrauch der zu puffernden Systeme bestimmt die Größe der USV. Ein weiteres Auswahlkriterium ist die Priorität der Systeme. Systeme mit hoher Priorität sind: Automatisierungssystem (AS) Archivierungsserver WinCC Server WinCC Clients Feldgeräte, die in der Regel einen relativ hohen Energieverbrauch haben, können je nach Leistungsfähigkeit der USV in die Pufferung mit einbezogen werden. Dies ist in Abstimmung mit dem Systembetreiber und bezogen auf die Einstufung des Prozesses festzulegen. In jedem Fall ist es wichtig, die Systeme zur Protokollierung von Daten in die Pufferung mit einzubeziehen. In die Protokollierung sollte auch der Zeitpunkt des Spannungsausfalls mit aufgenommen werden. Der Einsatz von USV-Systemen ist mit der Installation von Software verbunden. Diese ist auf den zu puffernden, PC-basierenden Rechnern des Visualisierungssystems zu installieren und zu konfigurieren. Konfiguration der Alarmierung über den Stromausfall Festlegung des Zeitraumes bis zum Herunterfahren des PCs Festlegung des Zeitraumes der USV-Pufferung Die Automatisierungssysteme (AS) sind so zu programmieren, dass das Prozessleitsystem bei einem Spannungsausfall nach einer einstellbaren Pufferzeit in einen sicheren Zustand gebracht wird. Aufgrund unterschiedlicher Anforderungen der einzelnen Geräte haben sich drei Klassen im USV-Bereich etabliert, die das International Engineering Consortium (IEC) unter der Produktnorm IEC und die Europäische Union unter EN festgelegt haben: 4-90 A5E

157 Standby- oder Offline-USV Eingang Filter Schalter Ausgang Gleichrichter Ladung Batterie Wechselrichter Die einfachsten und günstigsten USV-Systeme (nach IEC der USV-Klasse 3) sind Standby- bzw. Offline-USV-Systeme. Sie schützen nur gegen Netzausfälle und kurzzeitige Spannungsschwankungen und -spitzen. Unter- und Überspannungen werden nicht ausgeglichen. Offline-USV-Systeme schalten automatisch bei Über- oder Unterspannung auf Batterie-Betrieb um. Netzinteraktive USV Eingang Filter Elektronischer Umschalter Spannungsregulierer Ausgang Batterie Ladung Wechselrichter / Ladekontrolle Wechselrichter Netzinteraktive USV-Systeme (nach IEC der Klasse 2) funktionieren ähnlich wie Standby-USV-Systeme. Sie schützen vor Netzausfall und kurzzeitigen Spannungsspitzen und können über Filter Spannungsschwankungen kontinuierlich ausgleichen. Online-USV Eingang Filter Bypass Ausgang Gleichrichter Ladung Batterie Wechselrichter Dauerwandler- bzw. Online-USV Systeme (nach IEC der Klasse 1) gelten als echte Stromgeneratoren, die ständig eine eigene Netzspannung erzeugen. Damit werden angeschlossene Verbraucher dauerhaft ohne Einschränkungen mit Netzspannung versorgt. Zeitgleich wird die Batterie aufgeladen. A5E

158 Konfiguration von unterbrechungsfreien Stromversorgungen Die Konfiguration von unterbrechungsfreien Stromversorgungen (USV) muss fallspezifisch durchgeführt und in der URS, DS, oder FS beschrieben werden. Die beiden nachfolgenden Bilder zeigen beispielhaft die Konfiguration einer USV unter Windows 2000/2003/XP A5E

159 Die nachfolgende Tabelle beschreibt ein Beispiel für die Konfiguration einer unterbrechungsfreien Stromversorgung für eine Operator Station eines Prozessleitsystems. Analog kann mit den Automatisierungssystemen (AS) verfahren werden. Fall Aktion Reaktion 1 Spannungsausfall <10 Sekunden 2 Spannungsausfall >20 Minuten. Nach 25 Minuten kehrt die Energie zurück 3 Spannungsausfall > 1 Stunde Die WinCC Rechner werden durch die USV gepuffert. Ein Alarm unter Verwendung eines digitalen Eingangs in WinCC dokumentiert den Spannungsausfall. Die WinCC Rechner werden durch die USV z.b. 20 Minuten gepuffert. Ein Alarm im PLS dokumentiert den Spannungsausfall und das Herunterfahren der WinCC Rechner nach 20 Minuten. Die USV wird nach einer definierten Haltezeit (z.b. 25 Minuten) die Spannungsversorgung beenden, so dass ein eigenständiger Wiederanlauf der WinCC Rechner nach Wiederherstellung der Versorgungsspannung gewährleistet werden kann. Die WinCC Rechner werden durch die USV z.b. 20 Minuten gepuffert. Ein Alarm im PLS dokumentiert den Energieausfall und das Herunterfahren der WinCC Rechner nach 20 Minuten. Die USV beendet nach einer definierten Haltezeit die Spannungsversorgung, so dass ein eigenständiger Wiederanlauf der WinCC Rechner nach Spannungsrückkehr gewährleistet werden kann. A5E

160 USV Konfiguration über Digitale Eingänge Zusätzlich zur Standardabsicherung durch USV-Geräte sollte die Möglichkeit der Überwachung der Versorgungsenergie genutzt werden. Hierbei wird über einen oder mehrere Digitaleingänge die Phase überwacht, wodurch der Vorteil besteht, dass Energieausfälle registriert, gemeldet und archiviert werden können. L1 L2 L3 N Phasenüberwachungsmodul USV-Modul 24V Phasenüberwachung 24V / Faild Safe Eingang USV-Modul 220V PS-Baugruppe 24V AS CPU 41x Ethernet CP Digital Eingangskarte OS-Server USV-Pufferung 24V (Lastspannung) Die Automatisierungssystem-CPU wird durch das USV-Modul 24V sowohl während Spannungsschwankungen als auch bei längeren Spannungsausfällen mit Energie versorgt. Durch das Phasenüberwachungsmodul wird die Zustandsänderung während eines Energieausfalls von einem digitalen Eingang, welcher als Failsafe Eingangssignal ausgelegt sein sollte, überwacht. Tritt ein Energieausfall auf, so kann zusätzlich eine Alarmierung erfolgen, wodurch der Bediener über den Energieausfall informiert wird (Alarmmeldung). Durch die Protokollierung im Meldesystem kann dieser Energieausfall zu späteren Recherchen genutzt werden. Zusätzlich können Sicherheitszustände durch Energieausfallkonzepte sofort oder nach Ablauf von Zeitgliedern realisiert werden (z.b. Equipment Phasen Halt, Herstellen des sicheren Anlagenzustands auch nach Rückkehr der Energie etc.) 4-94 A5E

161 USV Pufferung 110V / 220V (Netzspannung) Parallel zur Phasenüberwachung wird der WinCC-Server über Standard USV- Module 110V /220V gepuffert. Hierdurch wird sichergestellt, dass der Server auch nach Energieausfall weiter in Betrieb ist. Der Bediener wird durch die USV Pufferung auf den Energieausfall z.b. durch Alarmmeldungen hingewiesen. Sicherheitszustände können durch den Bediener oder durch automatisierte Konzepte eingeleitet werden. Das sichere Herunterfahren des WinCC-Servers kann durch WinCC Alarmmeldungen angekündigt und ausgeführt werden, sofern die Energie nicht innerhalb einer spezifizierten Zeit zurückkommt. Durch diese Funktionalität wird die Verfügbarkeit des Systems nach Rückkehr der Energie erhöht. Hinweis Bezüglich der Qualität der Ausgangsspannung sollte FAQ-Nr ( beachtet werden. A5E

162 4.16 Erstellung von C-, VB-Skripten Bei C- und VB-Skripten handelt es sich um selbst geschriebene Programme, die in der Software-Kategorisierung zur Klasse 5 zählen. Diese Art von Software wird entwickelt, um kundenspezifische Anforderungen zu erfüllen, welche durch die Standard Bibliothek nicht abgedeckt werden. Bei Kategorie 5 Software sollten die Rahmenbedingungen für die Erstellung der Software nach ISO 9001:2000 eingehalten werden. Sollte Software der Kategorie 5 zum Einsatz kommen, muss die Entwicklung und die Implementierung nach den Vorgaben des GAMP 4 erfolgen. Ablauf bei der Erstellung von Software der Kategorie 5: 1. Erstellung einer Funktionsbeschreibung für die Software 2. Festlegung der verwendeten Funktionsbausteine 3. Festlegung der verwendeten Ein- und Ausgänge 4. Festlegung der Baustein Bedien- & Beobachtbarkeit! Achtung Die Erstellung von Software der Kategorie 5 sollte vermieden werden, da sich der Test- und Validierungsaufwand erheblich erhöht A5E

163 4.17 Anbindung an Web Client Zur Anzeige und Auswertung der archivierten Daten entweder aus WinCC oder aus dem Langzeitarchiv-Server wird die Applikation der WinCC-Option eingesetzt. gestattet einen nur lesenden Zugriff auf archivierte Daten. Unter Nutzung des Internet-Explorers können die Archivdaten auf jedem Rechner im Netzwerk dargestellt werden. Zum Einrichten der Funktionalität wird der beim WinCC-Server installiert und lizenziert. Zur Ansicht der Daten auf den weiteren Rechnern wird das Werkzeug des installiert. Eine Lizenz zum Betrieb ist auf diesen Rechnern nicht erforderlich, sondern in der Serverlizenz integriert. Die detaillierte Vorgehensweise bei der Installation, erforderliche Benutzerrechte, Anpassung der Sicherheitsrichtlinien im Netzwerk etc. sind in der Online-Hilfe Information System im Kapitel Funktionsübersicht WinCC beschrieben. Weiterhin ist das Kapitel "Wichtige Informationen" zu berücksichtigen. Mit dem Werkzeug Archive Connector werden die archivierten Datenbanken mit dem MS SQL Server verbunden bzw. getrennt. Die Datenbanken werden unter einem symbolischen Namen gruppiert. Die Anzeige der Daten erfolgt über den Internet-Explorer. A5E

164 4-98 A5E

165 Die Anzeige der gewünschten Daten wird über das entsprechende Menü eingeleitet. Zur Anzeige im wird in dem Menüpunkt Archiv-Datenbanktabellen zuweisen / trennen ein symbolischer Name mit den zugeordneten Archiven ausgewählt. Der symbolische Name wurde im Archive Connector vergeben. Weitere Anzeige- und Auswerteoptionen sind einstellbar: A5E

166 Darstellung einer Kurvenansicht über den A5E

167 4.18 Anbindung von SIMATIC WinCC flexible Eine Verbindung zwischen SIMATIC WinCC und SIMATIC WinCC flexible kann über den OPC DA - Kanal hergestellt werden. Über diese Verbindung können Variableninhalte ausgetauscht werden. Variablenarchive, Meldearchive und Audit Trail werden in WinCC flexible als Umlaufarchive im CSV-Format erzeugt. Diese CSV-Dateien können mit der Applikation PM-OPEN IMPORT ausgewertet und die Inhalte in WinCC-Archive übernommen werden. Dabei werden Daten aus den Variablenarchiven in WinCC Tag Logging Archive eingetragen und Inhalte aus den Meldearchiven in WinCC Alarm Logging übernommen. Die Einträge des Audit Trails werden hinsichtlich Bedienmeldungen und Systemmeldungen ausgewertet und als Bedienmeldung mit der Meldenummer der WinCC Standard Bedienmeldung ebenfalls in WinCC Alarm Logging eingetragen. Für den Import der verschiedenen CSV-Dateien werden in PM-OPEN IMPORT Importaufträge definiert, die in einer einstellbaren Zykluszeit abgearbeitet werden. Die Audit Trail CSV-Datei von WinCC flexible kann auch über den Audit Viewer von WinCC Audit visualisiert werden. Weitere Informationen zur Konfiguration von PM-OPEN IMPORT sind in der Online-Hilfe des WinCC Premium Add-ons enthalten. zum Einsatz von SIMATIC WinCC flexible im GMP-Umfeld, stehen im SIMATIC WinCC flexible GMP-Engineering Handbuch: Leitfaden zur Durchführung von Automatisierungsprojekten im GMP-Umfeld. A5E

168 4.19 Anbindung von SIMATIC S7 Verbindung über definierte Kanäle Für den Datenaustausch zwischen WinCC und den Automatisierungssystemen ist zunächst eine physikalische Verbindung erforderlich. Passend zur eingesetzten Hardware wird in SIMATIC WinCC eine Kommunikationsverbindung konfiguriert. Dazu sind im Lieferumfang der WinCC System-Software eine Reihe von Kommunikationstreibern enthalten. Die Automatisierungssysteme S7-300 und SIMATIC S7-400 werden beispielsweise über den Kommunikationstreiber (Kommunikationskanal) "WinCC SIMATIC S7 Protocol Suite" angekoppelt. Abhängig von der eingesetzten Kommunikations- Hardware werden zum Kanal verschiedene Kanal-Units angeboten. Die Kanal-Unit bildet die Schnittstelle zu genau einem unterlagerten Hardware-Treiber und somit zu genau einem Kommunikationsprozessor im PC. Eine detaillierte Auflistung der vorhandenen Kanal-Units ist im WinCC Information System im Kapitel Kommunikation > SIMATIC S7 Protocol Suite enthalten. Im Variablenhaushalt wird bei der ausgewählten Kanal-Unit eine Verbindung projektiert, in der die Variablen mit Name und Datentyp angelegt werden. Diese Variablen werden auch als externen Variablen bezeichnet. Der Variablenhaushalt bildet die Datenschnittstelle zwischen Automatisierungssystem und WinCC-System. Alle in WinCC integrierten Editoren lesen / schreiben Daten in den Variablenhaushalt. Eine Unterbrechung der Kommunikationsverbindung wird bei aktivierten Systemmeldungen im WinCC Alarm Logging angezeigt. Auswertung Variablenstatus und Quality Status Zur Überwachung werden für jede Variable ein Statuswert und ein Quality Code gebildet. Im Variablenstatus werden u. a. projektierte Grenzwertverletzungen sowie der Kopplungsstatus zwischen WinCC und der Automatisierungsebene angezeigt. Der Quality Code trifft eine Aussage über die Qualität der Wertübertragung und der Wertverarbeitung. In den Eigenschaften eines Graphic-Objekts kann z.b. im Dynamikdialog die Auswertung des Variablenstatus oder des Quality Codes projektiert werden A5E

169 Die Auswertung des Variablenstatus wird in diesem Beispiel durch eine Farbe wiedergegeben. Tritt der beschriebene Zustand ein, ändert sich die Farbe entsprechend der Konfiguration. Ähnlich wird der Quality Code konfiguriert. Die Prüfung von Quality Code und Variablenstatus kann auch in VB- / C-Skripten durchgeführt und mit einer benutzerdefinierten Aktion verknüpft werden. Hinweis Weitere Informationen zum Einsatz von SIMATIC S7 im GMP-Umfeld, finden Sie im SIMATIC S7 GMP-Engineering Handbuch: Leitfaden zur Durchführung von Automatisierungsprojekten im GMP-Umfeld. A5E

170 4.20 Anbindung von Fremdkomponenten Verbindung über definierte Kanäle Als Kommunikationsverbindung zwischen WinCC und Automatisierungsgeräten anderer Hersteller wird der OPC-Kanal empfohlen. Der Kommunikationstreiber für OPC (OLE for Process control) ist durch die OPC-Foundation zertifiziert. Der Treiber ist im Lieferumfang der WinCC System-Software enthalten. Für den OPC-Client ist über einen OPC-Server die Anbindung an Steuerungssysteme anderer Hersteller möglich. Im Variablenhaushalt (Datenmanager) wird für den OPC-Kanal eine Kommunikationsverbindung konfiguriert, in der Variablen mit Name und Typ angelegt werden. Diese Variablen bilden die Schnittstelle zwischen Automatisierungsgerät und WinCC. Die WinCC System-Software nutzt für die konfigurierten Funktionalitäten die Inhalte des Datenmanagers. WinCC arbeitet auch als OPC DA-Server und leitet Prozessdaten an andere OPC- Clients weiter A5E

171 5 Unterstützende Funktionen bei der Qualifizierung 5.1 Einleitung Die folgende Grafik zeigt das Lebenszyklusmodell. Die Qualifizierung, die in diesem Kapitel im Fokus steht, wird dem Bereich Test / Qualifizierung in der Grafik zugeordnet. Das Ziel der Qualifizierung ist der dokumentierte Nachweis, dass das System gemäß den Spezifikationen errichtet wurde und alle spezifizierten Anforderungen erfüllt. In der Qualifizierung werden die dafür erforderlichen Aktivitäten beschrieben, durchgeführt und abschließend bewertet. Verschiedene Standardfunktionalitäten von SIMATIC WinCC können unterstützend bei der Qualifizierung während IQ und OQ genutzt werden. A5E

172 Unterstützende Funktionen bei der Qualifizierung 5.2 Qualifizierung der Visualisierungs-Hardware Die Designspezifikation der eingesetzten Hardware dient der Errichtung des Systems nach detaillierten Vorgaben, deren Einhaltung im Verlauf der späteren Systemtests geprüft wird. In der Designspezifikation wird die gesamte eingesetzte Hardware mit Angaben wie Bestellnummer, Firmware- / Ausgabestand, Einbauort, Seriennummer etc. beschrieben. Ebenso werden die Komponenten der eingesetzten Server und Clients, Schnittstellen zu den Automatisierungssystemen etc. aufgelistet. Spezifikation der eingesetzten PC-Hardware Bei der Qualifizierung der eingesetzten PC-Hardware muss darauf geachtet werden, dass die Vorgaben der Hardware-Designspezifikation umgesetzt wurden. Nützlich bei der Qualifizierung ist der so genannte PC-Pass. Im PC-Pass sollten alle installierten Hardware- und Software-Komponenten aufgeführt werden. Hierzu zählen: Bestellnummer der eingesetzten PC-Hardware Zusätzlich installierte Hardware-Komponenten (zusätzliche Netzwerkkarte, Drucker etc.) Überprüfung der konfigurierten Netzwerk-Adressen, Bildschirmauflösung etc. Hinweis Der PC-Pass wird in der Regel manuell erstellt. Manche PC-Hersteller stellen ein Tool zum automatischen Erfassen der Hardware-Daten zur Verfügung. Der PC-Pass kann ausgedruckt und als Qualifizierungsnachweis (IQ/OQ) der eingesetzten PC-Hardware genutzt werden. Eine visuelle Überprüfung kann parallel erfolgen. 5-2 A5E

173 Unterstützende Funktionen bei der Qualifizierung 5.3 Qualifizierung der Visualisierungs-Software Qualifizierung von Standard Software Bei der Qualifizierung der eingesetzten Standard-Software muss darauf geachtet werden, dass die Vorgaben der Software-Designspezifikation umgesetzt wurden. Hierzu zählen: Betriebssystem SIMATIC WinCC System-Software SIMATIC Standard Optionen (Audit, SIMATIC Logon, UserArchive, etc.) SIMATIC WinCC Premium Add-ons (PM-CONTROL, PM-QUALITY) Standardbibliotheken Hinweis (Betriebssystem) Die Überprüfung der installierten Software kann durch Betriebssystem - Funktionen erfolgen. Die Informationen findet man in der Systemsteuerung > Software). Hier werden alle installierten Software-Komponenten angezeigt. Ein Screenshot kann ausgedruckt und für die Qualifizierung (IQ/OQ) genutzt werden Systemprogramme von SIMATIC WinCC Im GMP-pflichtigen Umfeld ist für jeden installierten PC eine Dokumentation der installierten Softwarepakete (Betriebssystem, SIMATIC Produkte, weitere Applikationen) mit Version und Lizenz anzufertigen. Die installierte SIMATIC Software wird unter Programme > SIMATIC > Produkt-Hinweise > installierte Software ausführlich dokumentiert. Hinweis Die installierten Komponenten können ausgedruckt und für die Qualifizierung (IQ/OQ) genutzt werden. A5E

174 Unterstützende Funktionen bei der Qualifizierung Installierte Lizenzen von SIMATIC WinCC Das Programm Automation License Manager gibt Auskunft über die installierten Lizenzen auf dem jeweiligen WinCC-Rechner. Hierzu ist der Automation License Manager zu öffnen und in der Explorerleiste auf der linken Seite ist die Partition des PCs anzuwählen, auf der die Lizenzen installiert sind. In der rechten Seite des Fensters werden jetzt alle verfügbaren Lizenzen des Systems angezeigt. Hinweis Die installierten Lizenzen müssen den in der Spezifikation definierten Vorgaben entsprechen. Die installierten Lizenzen können ausgedruckt und als Nachweis für die Qualifizierung (IQ/OQ) genutzt werden. 5-4 A5E