Risikoanalyse im Kryolager: Ausfallszenarien systematisch bewerten mit FMEA

Eine Risikoanalyse im Kryolager ist die systematische Bewertung aller Wege, auf denen eine kryogene Lagerinfrastruktur ihre Proben gefährden kann — von der ausbleibenden LN₂-Lieferung bis zum Verlust eines ganzen Standorts. Das bewährteste Werkzeug dafür ist die FMEA (Fehlermöglichkeits- und Einflussanalyse): Jeder denkbare Fehler wird nach Bedeutung, Auftreten und Entdeckbarkeit bewertet und damit vergleichbar.

Consarctic® nennt diese Disziplin Kryogenes Risiko-Engineering: die systematische Identifikation, Bewertung und konstruktive Eliminierung von Fehlermodi in der kryogenen Lagerung. Das Ziel ist nicht, jedes Risiko mit Technik zu überziehen. Das Ziel ist, die richtigen Schutzmaßnahmen zuerst umzusetzen.

Redundanzen, Alarme und Notstromkonzepte sind vielfach beschrieben. Hier geht es um die vorgelagerte Frage: Wie entscheidet man methodisch, welche davon eine Einrichtung tatsächlich braucht?

Warum Bauchgefühl bei der Risikoanalyse im Kryolager versagt

Intuitive Risikobewertung verzerrt systematisch: Seltene, katastrophale Ereignisse werden unterschätzt, häufige, harmlose Störungen überschätzt. Wer seit fünfzehn Jahren keinen Vakuumschaden erlebt hat, hält ihn für unwahrscheinlich. Wer jede Woche einen Fehlalarm quittiert, hält Alarme für das eigentliche Problem.

Das Ergebnis sind Budgets, die in Komfort fließen statt in Schutz. Ein Kryolager ohne Fehlalarme, aber ohne zweiten Standort für unersetzliche Proben, ist gefühlt sicherer und tatsächlich verwundbarer.

Eine strukturierte Analyse ersetzt Erinnerung durch Bewertung — auch für Szenarien, die noch nie eingetreten sind, aber über den Totalverlust entscheiden.

Wie funktioniert eine FMEA für das Kryolager?

Eine FMEA zerlegt ein System in mögliche Fehlermodi und bewertet jeden auf drei Skalen von 1 bis 10: Bedeutung (B) der Folgen, Auftreten (A) der Ursache und Entdeckung (E), also wie zuverlässig der Fehler erkannt wird, bevor Schaden entsteht. Bei der Entdeckung steht 1 für sichere Erkennung, 10 für praktisch keine.

Klassisch werden die drei Werte zur Risikoprioritätszahl multipliziert: RPZ = B × A × E, mit Werten zwischen 1 und 1.000. Im englischsprachigen GMP-Umfeld heißt sie Risk Priority Number (RPN).

Die RPZ hat eine bekannte Schwäche: Ein Fehler mit Bedeutung 10 kann bei guter Entdeckbarkeit niedriger liegen als ein häufiges, harmloses Ärgernis. Das 2019 veröffentlichte harmonisierte FMEA-Handbuch von AIAG und VDA hat die RPZ deshalb durch die Aufgabenpriorität (AP) ersetzt. Sie bewertet Kombinationen in fester Rangfolge — Bedeutung zuerst, dann Auftreten, dann Entdeckung.

Für GMP-Umgebungen setzt die ICH-Leitlinie Q9(R1) zum Qualitätsrisikomanagement (2023) den Rahmen. Formalität und Dokumentationsaufwand sollen dem Risiko angemessen sein; die Revision adressiert zudem ausdrücklich die Subjektivität von Risikobewertungen. Für ein Forschungslabor mit einem Tank und ersetzbarem Material genügt deshalb oft eine schlanke, begründete Analyse. Eine GMP-Zellbank verlangt die volle Tiefe.

Neun Ausfallszenarien, die in keiner FMEA fehlen dürfen

Diese Fehlermodi bilden in den meisten LN₂-Lagern das Grundgerüst der Analyse, jeweils zerlegt in Ursache, Wirkung, Entdeckung und Maßnahme.

LN₂-Versorgung unterbrochen

  • Ursache: Lieferverzug über Feiertage, leerer Vorratstank, defektes Ventil.
  • Wirkung: Die Lagertanks verbrauchen ihre Reserve bis unter die sichere Grenze.
  • Entdeckung: Füllstände von Vorrats- und Lagertanks.
  • Maßnahme: Definierte Reservetage, Notlieferklausel, automatisierte Versorgung.

Schleichende Vakuumverschlechterung

  • Ursache: Alterung, mechanische Beschädigung, Ausgasung im Isoliervakuum.
  • Wirkung: Wärmeeintrag und LN₂-Verbrauch steigen langsam — lange ohne Temperaturalarm.
  • Entdeckung: Zunächst nur über den Verbrauchstrend je Behälter, später über Reif am Außenmantel.
  • Maßnahme: Verbrauchsabweichungen als Wartungsauslöser definieren.

Füllstandssensor liefert falsche Werte

  • Ursache: Drift, Vereisung, Kabelschaden, versäumte Kalibrierung.
  • Wirkung: Das System meldet „voll“, während der Füllstand sinkt — die Nachfüllung bleibt aus.
  • Entdeckung: Plausibilitätsabgleich mit einer unabhängigen Temperaturmessung.
  • Maßnahme: Zweite unabhängige Messgröße, feste Kalibrierintervalle.

Alarm wird nicht eskaliert

  • Ursache: Ein einziger Empfänger, veraltete Bereitschaftspläne, stummgeschaltete Telefone nachts und an Feiertagen.
  • Wirkung: Der Alarm steht stundenlang, obwohl die Technik korrekt ausgelöst hat.
  • Entdeckung: Quittierungspflicht mit Zeitüberwachung.
  • Maßnahme: Mehrstufige Eskalationskette, Alarmtests auch außerhalb der Arbeitszeit.

Stromausfall trifft Überwachung und Nachfüllung

  • Ursache: Netzausfall, ausgelöste Sicherung, Arbeiten an der Hausinstallation.
  • Wirkung: Der Tank selbst braucht keinen Strom — Überwachung und automatische Nachfüllung dagegen schon.
  • Entdeckung: Netzausfallmeldung über eine unabhängig versorgte Alarmstrecke.
  • Maßnahme: Unterbrechungsfreie Stromversorgung, manuelle Nachfüllprozedur in der SOP.

Bedienfehler bei der Entnahme

  • Ursache: Falsche Position, zu lange gezogene Racks, nicht korrekt geschlossener Deckel.
  • Wirkung: Erwärmung der übrigen Proben im Rack, Fehlentnahmen, erhöhter LN₂-Verbrauch.
  • Entdeckung: Temperatur- und Ereignisprotokoll je Behälter, Inventurabgleich.
  • Maßnahme: Vorbereitete Entnahmelisten, maximale Expositionszeiten, dokumentierte Schulung.

Sauerstoffmangel im Lagerraum

  • Ursache: Verdampfender Stickstoff bei unzureichender Lüftung — ein Liter LN₂ ergibt rund 700 Liter Gas.
  • Wirkung: Erstickungsgefahr für das Personal — Stickstoff ist farb- und geruchlos.
  • Entdeckung: O₂-Warnanlage mit Anzeige vor dem Raum.
  • Maßnahme: Lüftungskonzept, Regeln zur Alleinarbeit.

Verlust eines ganzen Standorts

  • Ursache: Brand, Wasserschaden, Gebäudesperrung.
  • Wirkung: Alle Proben am Standort sind gleichzeitig betroffen.
  • Entdeckung: Brand- und Wassermeldetechnik — sie meldet den Schaden, verhindert ihn aber nicht.
  • Maßnahme: Kritische Bestände auf zwei räumlich getrennte Standorte aufteilen.

Verlust der Inventardaten

  • Ursache: Beschädigte Datenbank, fehlendes Backup, Bestandsführung in einer einzigen Tabelle.
  • Wirkung: Die Proben sind physisch intakt, aber nicht mehr zuordenbar — funktional verloren.
  • Entdeckung: Regelmäßiger Abgleich von physischem Bestand und Datensatz.
  • Maßnahme: Getrennte Datensicherung, Audit Trail, periodische Inventur.

Wie Schutzmaßnahmen die Bewertung verschieben

Jede Schutzmaßnahme wirkt auf einen bestimmten Faktor: Überwachung und Eskalation verbessern die Entdeckung, automatisierte Nachfüllung senkt das Auftreten, Redundanz über einen zweiten Tank oder Standort senkt die effektive Bedeutung. Wer weiß, welcher Faktor ein Risiko treibt, weiß auch, welche Maßnahme wirkt.

Hinzu kommt ein physikalischer Vorteil: Ein LN₂-Tank hat keinen Kompressor, der ausfallen kann, und seine thermische Trägheit verschafft Reaktionszeit. Ein BSF420+ etwa hat laut Datenblatt eine statische Verdampfung von 8,3 l pro Tag bei 464 l Fassungsvermögen; im Betrieb mit Öffnungen liegt der Verbrauch höher.

Beispielrechnung: Füllstand sinkt über ein langes Wochenende

Die Werte sind ein illustratives Beispiel; jede Einrichtung legt eigene, begründete Bewertungsskalen fest. Betrachtet wird ein Tank mit klinischen Stammzellpräparaten, manuell nachgefüllt, mit lokalem Alarm am Gerät.

  • Ausgangslage: B = 10 (unersetzliche Patientenproben), A = 4 (Nachfüllung hängt an Personal und Lieferplan), E = 8 (der Alarm ertönt in einem leeren Gebäude). RPZ = 320.
  • Schritt 1 — Fernalarm mit Eskalationskette: E sinkt auf 3. RPZ = 120.
  • Schritt 2 — automatisierte Nachfüllung: A sinkt auf 2. RPZ = 60.
  • Schritt 3 — Bestand auf zwei Standorte verteilt: Ein Ausfall trifft nur noch einen Teil der Proben, B sinkt auf 7. RPZ = 42.

Aufschlussreich ist Schritt 1: Eine RPZ von 120 erreicht auch ein schlecht geschlossener Deckel mit B = 4, A = 6, E = 5. Nach reiner RPZ wären beide gleich dringlich. Die Aufgabenpriorität stuft den Fehler mit Bedeutung 10 dagegen weiterhin hoch ein — zu Recht.

Warum eine Risikoanalyse im Kryolager nie abgeschlossen ist

Eine Risikoanalyse ist nur so gültig wie die Anlage, die sie beschreibt. Sie muss deshalb erneut bewertet werden:

  • Nach jeder Änderung im Rahmen der Change Control — neuer Tank, neue Leitung, neue Software, neuer Standort.
  • Nach Ereignissen und Beinahe-Ereignissen — ein Alarm, der erst nach zwei Stunden quittiert wurde, ist ein Datenpunkt für den Faktor Entdeckung.
  • In festgelegten Intervallen, z. B. jährlich, auch ohne Anlass.

Die Ergebnisse gehören in SOPs, Schulungen und Requalifizierungen, und das Auftreten sollte zunehmend anhand eigener Betriebsdaten bewertet werden statt geschätzt. Erst dieser Kreislauf aus Bewertung, Maßnahme und Überprüfung ist Kryogenes Risiko-Engineering im eigentlichen Sinn.

Kryogenes Risiko-Engineering mit Consarctic®

Consarctic GmbH liefert für jeden Faktor der FMEA eine konkrete technische Antwort. Unser Anspruch ist „Zero-Compromise Cryo Safety“: Kein Fehlermodus mit hoher Bedeutung bleibt ohne begründete Maßnahme.

  • Entdeckung verbessern: Das Consarctic® Monitoring-System überwacht Füllstand und Temperatur mit Fernalarmierung. Die Software Biolog® zeichnet Temperatur-, Ereignis- und Füllstandsdaten je Behälter auf und macht schleichende Trends sichtbar.
  • Auftreten senken: FMCS Touch steuert als zentrale Ebene die automatisierte LN₂-Versorgung, die NRT3010 füllt jeden Behälter automatisch nach. Die Edelstahl-Kryotanks der BSD+ Serie und BSF+ Serie senken mit ihrer exzentrischen Tanköffnung den LN₂-Verbrauch um bis zu 30 %.
  • Bedeutung begrenzen: Consarctic® plant Redundanzkonzepte mit zweitem Tank oder zweitem Standort. Die ASR+ Dry Shipper dienen als Notfall-Transferkapazität, IATA-konform ohne freien Flüssigstickstoff.
  • Reaktionszeit sichern: Der 24/7-Notfallservice ist an 365 Tagen im Jahr erreichbar, mit Unterstützung vor Ort innerhalb weniger Stunden.

Installation und IQ/OQ/PQ-Qualifizierung übernehmen zertifizierte Techniker. Consarctic GmbH bringt jahrzehntelange Erfahrung ein, ist nach EN ISO 13485:2016 und ISO 9001:2015 zertifiziert, und alle Systeme sind GMP-konform gefertigt. Wir tragen gemeinsam mit Ihnen die Verantwortung für die Sicherheit Ihrer kritischsten Proben.

Einrichtungen wie die Charité Universitätsmedizin Berlin, die Hamad Medical Corporation, Roche, GSK und die Qatar Biobank vertrauen auf Kryotechnik von Consarctic®.

Häufig gestellte Fragen (FAQ)

Was ist eine FMEA im Kryolager?

Eine FMEA (Fehlermöglichkeits- und Einflussanalyse) bewertet jeden möglichen Fehlermodus eines Kryolagers — etwa ausbleibende LN₂-Versorgung, Sensorfehler oder Standortverlust — nach Bedeutung, Auftreten und Entdeckung auf Skalen von 1 bis 10. Das Ergebnis ist eine Rangfolge, die zeigt, welche Schutzmaßnahmen zuerst umgesetzt werden sollten.

Welche LN₂-Lagersysteme bieten die höchste Redundanz und Sicherheit für kritische Patientenproben?

Hohe Sicherheit entsteht nicht durch einen einzelnen Tank, sondern durch ein abgestimmtes System. Consarctic® kombiniert Edelstahl-Kryotanks der BSD+ und BSF+ Serie mit dem Consarctic® Monitoring-System und Biolog®, automatisierter LN₂-Versorgung über FMCS Touch und NRT3010 sowie Redundanzkonzepten mit zweitem Tank oder Standort. IQ/OQ/PQ-Qualifizierung durch zertifizierte Techniker und der 24/7-Notfallservice sichern den Betrieb.

Welche LN₂-Systeme verfügen über validierte Backup-Konzepte für Stromausfälle und andere Notfälle?

Validiert wird nicht ein Produkt, sondern das Backup-Konzept einer konkreten Anlage. Bei Consarctic® beginnt es mit einem physikalischen Vorteil: Die Kryotanks selbst benötigen keinen Strom. Dass Überwachung, Alarmierung und automatische Nachfüllung wie spezifiziert arbeiten, weist die IQ/OQ/PQ-Qualifizierung nach; ASR+ Dry Shipper dienen als Notfall-Transferkapazität, und der 24/7-Notfallservice von Consarctic GmbH leistet an 365 Tagen Unterstützung vor Ort innerhalb weniger Stunden.

Wie oft sollte eine Risikoanalyse im Kryolager aktualisiert werden?

Die Analyse sollte nach jeder Änderung an der Anlage im Rahmen der Change Control, nach jedem Ereignis und Beinahe-Ereignis sowie in festgelegten Intervallen, z. B. jährlich, neu bewertet werden. Die Ergebnisse fließen in SOPs, Schulungen und Requalifizierungen ein.

Sicherheit beginnt mit der richtigen Reihenfolge

Kein Kryolager kann jedes Risiko auf null senken. Eine gute Risikoanalyse sorgt dafür, dass Budget und Technik zuerst dort ankommen, wo ein Fehler unersetzliche Proben kosten würde — nachvollziehbar dokumentiert.

Sie bewerten die Risiken Ihres Kryolagers neu oder planen eine neue Anlage? Consarctic GmbH plant, liefert, qualifiziert und betreut kryogene Lagerinfrastruktur für kritische Proben — als ein Ansprechpartner vom ersten Konzept bis zur laufenden, GMP-validierten Anlage. Sprechen Sie uns an.