Qualification des transferts de matières : FAT, SAT, IQ, OQ et preuves de cycle

Un système de transfert de matières ayant passé avec succès les essais en usine peut tout de même présenter des défaillances sur site si l’installation, la séquence de mise à l’épreuve ou les données de cycle spécifiques à la charge ne correspondent pas au fonctionnement réel de l’équipement une fois installé. Déterminer quelle étape de qualification doit produire quelle preuve n’est pas une simple formalité administrative ; cela détermine si des lacunes dans la couverture apparaissent pendant la qualification ou après la mise en service du système. La question pratique pour une équipe de projet n’est pas de savoir si les tests FAT, SAT, IQ, OQ et les preuves de cycle sont tous requis, mais quelle exigence relève de quelle étape, et ce qui se passe lorsque cette attribution n’est pas claire.

Attribuez chaque exigence à la phase de qualification correspondante

Chaque exigence figurant dans un cahier des charges utilisateur implique un type de preuve, et ce type de preuve n’est disponible qu’à certains moments de la durée de vie de l’équipement. Une fonction pouvant être testée sur une unité assemblée avant sa sortie d’usine fournit un type de preuve ; une fonction qui dépend de la manière dont l’unité est installée à son emplacement définitif, de son raccordement aux réseaux du site ou de son interaction avec des équipements adjacents fournit un type de preuve différent. Lorsqu’une exigence est considérée comme satisfaite par le test le plus pratique, plutôt que par celui capable de fournir une preuve valable pour cette exigence, le dossier de qualification présente des lacunes qui ne sont visibles que lorsque l’on tente de remonter d’une exigence à sa preuve.

C'est pour cette raison que EudraLex Volume 4 Annexe 15 considère que la qualification d’installation, la qualification opérationnelle et la qualification de performance constituent des éléments de preuve distincts, et considère que les essais de réception en usine peuvent être complétés par des essais de réception sur site plutôt que remplacés par ceux-ci. Ce raisonnement s’applique à tout projet : si une exigence concerne une condition dépendante de l’installation, aucun essai en usine, aussi poussé soit-il, ne permet de la satisfaire, car la condition en question n’existe pas tant que l’unité n’est pas installée. Si une exigence concerne une fonction qui est identique, que l’unité se trouve en usine ou à son emplacement définitif, la répétition de cet essai sur site apporte une confirmation supplémentaire, mais ne modifie généralement pas ce que l’on sait déjà.

La tâche concrète de l’acheteur ou du responsable de la validation consiste à passer en revue la liste des exigences et à se demander, pour chaque ligne, quelle étape permet réellement de générer les preuves pertinentes. Lorsqu’une exigence recouvre plusieurs conditions, par exemple une séquence qui doit s’exécuter correctement mais qui dépend également de la manière dont elle a été câblée ou configurée lors de l’installation, il peut être nécessaire de répartir les preuves entre deux étapes, chacune ne couvrant que la partie qu’elle est réellement en mesure de tester. Laisser cette répartition implicite conduit à un document qui prétend offrir une couverture complète alors qu’il repose en réalité sur des preuves partielles.

Cette disposition a également une incidence sur la manière dont les données fournies par le fournisseur sont utilisées. L’annexe 15 autorise l’utilisation de la documentation du fournisseur pour étayer la qualification, mais sous réserve d’un examen de l’adéquation au site, ce qui signifie que les résultats d’essais du fournisseur ne peuvent se substituer à la confirmation que les mêmes conditions sont réunies une fois l’équipement installé sur site. Un acheteur travaillant à partir d’une liste d’exigences a tout intérêt à indiquer dès le début quels éléments doivent pouvoir être démontrés à partir des preuves fournies par le fournisseur, sous réserve de cet examen, et quels éléments ne peuvent être vérifiés que par des essais spécifiques au site.

Distinguer les essais en usine des contrôles sur site liés à l'installation

La distinction entre FAT et SAT Il ne s'agit pas de l'emplacement en soi, mais plutôt des conditions que l'environnement de test est réellement capable de reproduire. Un site de fabrication peut assembler l'unité, la mettre sous tension et tester ses fonctions, mais il ne peut pas reproduire les services publics, les interfaces physiques et l'historique de transport qui n'existent qu'une fois que l'équipement a atteint son site d'installation définitif. Toute exigence dépendant de ces conditions spécifiques au site ne peut être validée lors des essais FAT, quelle que soit la rigueur avec laquelle les essais en usine sont menés.

Cela a une conséquence directe sur la configuration. Si un système est assemblé et testé en tant qu’unité unique en usine, puis expédié tel quel, l’ensemble des éléments susceptibles de changer entre le test FAT et l’installation est relativement limité, mais inclut tout de même des aspects tels que l’intégrité des connexions, la dérive d’étalonnage pendant le transport, et la conformité des services publics de destination avec les hypothèses retenues lors du test en usine. Si un système est partiellement assemblé sur site, une plus grande partie de son comportement fonctionnel devient, par définition, sensible à l’installation, car les fonctions qui dépendent de l’assemblage complet ne peuvent être pleinement testées tant que cet assemblage n’existe pas.

Les alarmes et les verrouillages méritent une attention particulière dans ce contexte. Un test en usine permet de vérifier qu’une alarme ou un verrouillage réagit correctement selon le câblage et la configuration en vigueur à l’usine. Il ne permet toutefois pas de garantir que cette même réaction sera maintenue une fois l’unité raccordée aux systèmes de contrôle spécifiques au site, aux réseaux du site ou aux équipements adjacents, car ces connexions n’existaient pas au moment du test en usine. Tout verrouillage ou toute alarme dont le bon fonctionnement dépend d’un système externe accessible uniquement après l’installation doit faire l’objet d’un nouveau test lors de la SAT (prise en service sur site), plutôt que d’être considéré comme validé par le FAT (test en usine).

Les dommages physiques constituent une catégorie distincte de preuves liées à l’installation, différente des performances fonctionnelles. Un équipement peut fonctionner correctement tout en ayant subi des dommages liés au transport qui ne se sont pas encore traduits par une défaillance fonctionnelle. Lorsque le cahier des charges considère que l’absence de dommages est implicitement couverte par les tests fonctionnels, l’acheteur doit s’assurer qu’une inspection visuelle et physique constitue une étape distincte et consignée dans le cadre des tests d’acceptation du site (SAT), plutôt qu’une hypothèse intégrée au résultat fonctionnel “ réussi/échoué ”.

La question déterminante que l'acheteur doit soulever auprès du fournisseur est de savoir quelles fonctions spécifiques ont été démontrées lors des essais FAT dans des conditions différentes de celles de l'installation finale, et lesquelles de ces fonctions nécessitent donc un test SAT distinct plutôt qu'une répétition du même test dans les mêmes conditions.

Vérifier l'installation, les équipements auxiliaires, la documentation et les instruments étalonnés lors de l'inspection de qualité (IQ)

La qualification d'installation permet de vérifier ce qui a effectivement été installé, et non les capacités de l'équipement. Cette distinction est importante, car un système correctement installé et un système fonctionnant correctement sont deux choses différentes, chacune nécessitant ses propres preuves. La qualification d'installation comble l'écart entre ce qui a été spécifié ou commandé et ce qui existe physiquement sur site, y compris la configuration, les raccordements aux réseaux et la documentation qui décrit ces deux éléments.

Une vérification de configuration lors de la réception en usine (IQ) n'a de sens que s'il existe une configuration approuvée à laquelle la comparer. Lorsque la configuration approuvée n'est pas clairement définie avant l'installation, par exemple parce que les décisions relatives à la configuration étaient encore en cours de finalisation pendant le déroulement de l'installation, le rapport d'IQ risque de comparer l'état installé à une cible mouvante plutôt qu'à une référence fixe. Il s'agit d'une situation que l'acheteur doit résoudre avant le début de l'installation, et non pendant l'examen IQ lui-même, car y remédier a posteriori implique généralement de rouvrir des dossiers qui auraient déjà dû être clos.

Les raccordements aux réseaux et les interfaces posent un problème connexe. Un raccordement aux réseaux peut sembler complet sans pour autant avoir été vérifié au regard des paramètres dont l’équipement a réellement besoin pour fonctionner comme prévu. Lorsqu’un raccordement est partagé avec d’autres équipements ou passe par une infrastructure intermédiaire, s’assurer que ce raccordement répond aux exigences de l’équipement devient une vérification spécifique au site qui ne peut être déduite du simple fait qu’un raccordement existe physiquement.

L’exhaustivité de la documentation chez IQ n’est pas un simple ajout bureaucratique ; c’est le mécanisme grâce auquel les étapes ultérieures peuvent s’appuyer sur l’état d’installation sans avoir à le revérifier à partir de zéro. Lorsque la documentation du fournisseur existe pour l’équipement installé, celle-ci doit tout de même faire l’objet d’un examen d’adéquation au site, conformément à la manière dont l’annexe 15 considère les données du fournisseur comme informatives plutôt que automatiquement suffisantes. Le dossier IQ doit indiquer non seulement que les documents existent, mais aussi qu’une personne a confirmé leur conformité avec ce qui a été effectivement installé, car les divergences entre l’état réel et la documentation ont tendance à apparaître au moment le moins opportun si elles ne sont pas détectées à ce stade.

Les instruments étalonnés viennent compléter le champ d'application de cette section. Tout instrument utilisé pour générer des preuves de qualification, que ce soit pendant la qualification de l'instrument elle-même ou lors d'étapes ultérieures, doit être accompagné de preuves d'étalonnage antérieures à son utilisation. Une conclusion de qualification de l'instrument qui repose sur des mesures effectuées à l'aide d'un instrument dont l'étalonnage n'est pas à jour n'est pas fiable, quelle que soit la valeur indiquée par la mesure elle-même.

Séquences de test, verrouillages, alarmes et limites de fonctionnement pendant la qualification opérationnelle (OQ)

La qualification opérationnelle consiste à soumettre l'équipement à des conditions d'exploitation qui le poussent à ses limites par rapport aux critères d'exploitation approuvés, plutôt que de se contenter d'observer son fonctionnement dans des conditions favorables. La particularité des données issues de la qualification opérationnelle réside dans le fait qu'elles consignent ce qui se passe réellement lorsqu'une condition spécifique est mise à l'épreuve, en comparant ces résultats à ce que le critère approuvé prévoit, plutôt que de simplement indiquer que l'équipement a fonctionné sans incident.

Les séquences, les verrouillages, les alarmes et les limites de fonctionnement constituent différentes catégories de tests, et un résultat obtenu dans une catégorie ne remplace pas un résultat obtenu dans une autre. Une séquence peut s’exécuter avec succès alors qu’un verrouillage au sein de cette séquence n’a jamais été déclenché pendant le test, car la séquence s’est déroulée dans des conditions qui n’ont jamais provoqué la survenue de la condition de verrouillage. Lorsque les essais de qualification opérationnelle (OQ) sont conçus uniquement autour de l’exécution de la séquence selon le chemin normal, sans forcer délibérément les conditions qui déclenchent les verrouillages et les alarmes, le rapport qui en résulte démontre que l’équipement fonctionne lorsque tout se passe bien, ce qui est une affirmation plus restrictive que de démontrer que l’équipement réagit correctement lorsqu’un problème survient.

Cela s'applique tout particulièrement aux systèmes dotés de verrouillages ou d'alarmes liés à la sécurité et associés au transfert de matière, dans lesquels la situation contre laquelle le verrouillage protège peut ne pas se produire naturellement au cours d'un cycle de fonctionnement normal. La qualification opérationnelle (OQ) doit donc créer délibérément la condition de déclenchement, observer la réponse réelle et la comparer au critère approuvé, plutôt que de se fonder sur l'absence d'alarme pendant le fonctionnement normal pour prouver que l'alarme fonctionne.

Les limites de fonctionnement impliquent un autre type de jugement. Un test de limite doit évaluer le comportement à la limite approuvée ou à proximité de celle-ci, et non pas simplement confirmer que l’équipement fonctionne correctement bien en deçà de cette limite. Lorsqu’une limite est fixée pour une raison spécifique liée au processus ou à la fonction de protection de l’équipement, effectuer des essais bien en deçà de cette limite ne permet pas de déterminer ce qui se passe lorsque le système s’en approche.

Les essais en conditions de défaillance poussent cette logique encore plus loin : ils ne se contentent pas de vérifier si l'équipement fonctionne correctement dans des conditions normales et limites, mais cherchent également à déterminer ce qui se passe en cas de défaillance, et si cette défaillance entraîne la réponse prévue plutôt qu'une réaction imprévisible. Tout écart entre la réponse observée en cas de défaillance et le critère approuvé constitue un écart, et non une simple note de bas de page ; il doit donc être consigné et évalué en tant que tel, plutôt que d'être résolu de manière informelle au cours des essais. Les considérations relatives à la qualification opérationnelle pour les équipements de transfert et de confinement connexes, cela concerne la manière dont certaines fonctions spécifiques, telles que celles de VHP, BIBO, boîte de passage, ou les systèmes de portes APR, sont conçus pour servir de référence lors de la qualification opérationnelle (OQ), car les verrouillages et les alarmes liés au transfert de matière se situent souvent à l'interface entre ces systèmes et le processus environnant.

Vérifier les cycles de charge représentatifs et consigner les écarts avant la mise en service

Les données issues de cycles de charge spécifiques apportent une réponse à une question à laquelle la qualification opérationnelle (OQ) ne peut répondre à elle seule : le système fonctionne-t-il conformément aux exigences dans les conditions de charge et de processus auxquelles il sera réellement soumis en service, plutôt que dans les conditions idéalisées ou minimales utilisées pour tester les fonctions individuelles ? Un cycle qui se déroule sans encombre sous une charge légère ou non représentative ne garantit pas que ce même cycle se déroulera correctement sous la charge réellement générée par le processus, car les caractéristiques de la charge peuvent modifier la façon dont le matériau se déplace, la manière dont un cycle répartit ses effets, ou encore l’emplacement où il faudrait placer les dispositifs de surveillance pour détecter une défaillance.

C'est à ce stade que Annexe 1 des BPF de l'UE‘L’approche adoptée par […], concernant le contrôle des transferts et les données relatives aux cycles de décontamination, revêt une importance directe : les cycles doivent être validés et contrôlés sur la base de données adaptées au contexte de fabrication stérile dans lequel ils s’inscrivent, en tenant compte du fait que l’annexe 1 ne fournit pas de paramètres de cycle universels ni de plan d’indicateurs fixe applicable à l’ensemble des projets. Les paramètres spécifiques, les points de surveillance et l’approche relative aux indicateurs doivent être définis en fonction de la charge et du procédé effectivement utilisés, et non déduits d’un modèle générique.

La représentativité est ici le concept directeur. Un profil de charge utilisé pour la qualification des cycles doit refléter la charge que l’équipement devra supporter en production, en termes de disposition du matériel, de pourcentage de la capacité disponible utilisé et d’emplacement probable des points les plus résistants de cette charge. Lorsque les profils de charge de production varient selon les produits ou les configurations de lots, un seul profil représentatif peut ne pas couvrir tous les cas, et le projet doit déterminer si un profil qualifié couvre l’ensemble des charges attendues ou si plusieurs profils nécessitent des preuves de cycles distinctes.

Le choix de l'emplacement des points de surveillance découle directement de la représentativité de la charge. Un point de surveillance bien placé pour une configuration de charge donnée n'est pas nécessairement celui qui est le plus susceptible de révéler une défaillance dans le cadre d'une configuration différente. Il n'existe pas de plan universel de surveillance ou d'indicateurs applicable quelle que soit la charge ; l'emplacement doit être déterminé en fonction de l'endroit où le cycle devrait être le moins efficace, compte tenu du profil de charge spécifique faisant l'objet de la qualification.

Les écarts constatés lors des essais cycliques doivent faire l'objet d'une évaluation au cas par cas au regard des critères approuvés applicables à ce cycle, plutôt que d'être considérés comme résolus simplement parce que le résultat global du cycle semblait acceptable. Une décision de mise en service fondée sur les résultats des essais cycliques doit tenir compte de la signification de chaque écart au regard de la charge et des conditions de processus spécifiques testées ; cette décision s'applique à cette charge et à ces conditions, sans pour autant établir de conclusion générale quant aux performances de l'équipement dans des conditions différentes.

Traçabilité rigoureuse, postes en suspens et responsabilités en matière de passation de service

L'utilité d'un dossier de qualification dépend de sa capacité à montrer, à la demande, quelle exigence est couverte par quel élément de preuve et pourquoi. Une matrice de traçabilité a pour but de répondre directement à cette question : pour chaque exigence de l’URS, quelle étape a permis d’obtenir le justificatif correspondant, et lorsqu’on s’appuie sur un essai réalisé par un fournisseur sans le répéter sur site, qu’est-ce qui justifie cette confiance ? Lorsque cette mise en correspondance reste implicite, un évaluateur n’a aucun moyen efficace de confirmer que chaque exigence dispose bel et bien d’un justificatif, par opposition à un justificatif qui existe simplement quelque part dans le dossier sans lien clair avec l’exigence qu’il était censé satisfaire.

La réutilisation des essais réalisés par le fournisseur constitue un point d’ambiguïté récurrent dans ce processus de clôture. Accepter les résultats d’essais en usine d’un fournisseur sans les répéter sur site peut être raisonnable, mais uniquement lorsque l’évaluation de l’adéquation du site a effectivement été réalisée et documentée, conformément à la manière dont l’annexe 15 traite la documentation du fournisseur comme informative plutôt que comme automatiquement acceptable. En l’absence d’un tel rapport d’évaluation, la matrice de traçabilité ne peut pas affirmer en toute honnêteté que l’exigence est clôturée ; elle peut seulement indiquer qu’il existe des preuves issues d’un contexte dont la correspondance avec le site n’a pas été confirmée.

Les écarts et les points en suspens constituent des catégories liées mais distinctes, et les confondre engendre des problèmes de clôture. Un écart consigne un écart par rapport à un critère approuvé, ainsi que son évaluation et la décision qui en découle ; la clôture de la phase de test au cours de laquelle l’écart s’est produit ne clôt pas automatiquement l’écart lui-même, en particulier si l’évaluation a conclu que des mesures supplémentaires sont nécessaires. Un point en suspens consigne les actions restantes et leur état actuel ; il doit rester visible, avec un impact documenté sur l’acceptation ou la mise en production, jusqu’à ce qu’une décision le clôture explicitement ou le reporte vers une autre phase ou vers l’exploitation courante.

La désignation des responsables marque le moment où ce travail de clôture passe du stade documentaire à celui de la mise en œuvre. Chaque élément restant, qu’il s’agisse d’une action en cours ou d’un écart toujours suivi, doit être attribué à une personne désignée chargée de prendre les mesures nécessaires ; en effet, une responsabilité attribuée de manière générique a tendance à ne revenir à personne en particulier une fois que le projet entre en phase d’exploitation courante. C’est également à ce stade que les informations propres au projet du client, notamment les exigences et les critères d’acceptation définis plus tôt dans le projet, influencent la manière dont Qualia aborde la configuration et l’examen des devis pour les équipements que le client s’apprête à acquérir, puisque les attentes en matière de traçabilité fixées à ce stade déterminent les justificatifs qu’un fournisseur est tenu de fournir lors des tests FAT, SAT et OQ. Où dossier de passation de pouvoir Étant donné que le projet global, comprenant l'URS, le FAT, le SAT et la séquence IQ/OQ/PQ, a déjà été structuré pour un projet connexe de confinement ou de niveau de sécurité biologique (BSL), l'alignement du dossier de qualification des transferts de matériel sur cette même logique de traçabilité réduit le risque qu'une exigence passe entre les mailles du filet, c'est-à-dire qu'elle ne soit pas prise en compte ni par les tests effectués par le fournisseur ni par les vérifications réalisées sur site.

Questions fréquemment posées

Q : Dans quels cas peut-on réutiliser les résultats des essais de réception en usine plutôt que de refaire les mêmes essais sur site ?
A : Ne le réutilisez que si une évaluation de l'adéquation au site confirme que le test du fournisseur répond à l'exigence URS applicable et que le dossier de traçabilité explique pourquoi une répétition n'est pas nécessaire. Les équipements, les interfaces, les alarmes, les verrouillages, les dommages liés au transport et autres conditions dépendantes de l'installation nécessitent toujours des preuves appropriées sur site.

Q : Que doit préparer l'équipe de projet avant le début de la qualification du transfert de matière ?
A : Préparez l'URS approuvé et les critères d'acceptation, les séquences de fonctionnement prévues et les conditions de test, les informations relatives à la configuration installée et aux services, les documents applicables concernant l'étalonnage et les équipements, ainsi que les conditions représentatives de charge et de processus. Cela permet d'attribuer chaque exigence à l'étape susceptible de fournir les preuves pertinentes.

Q : Comment gérer les modifications apportées au transport ou à l'installation après le FAT ?
A : Conservez le dossier FAT, puis identifiez les utilitaires, interfaces, fonctions, alarmes, verrouillages ou états des équipements susceptibles d'avoir changé après l'expédition ou l'installation. Les éléments concernés doivent être vérifiés à l'étape appropriée du chantier, les dommages et les divergences non résolues devant être consignés en tant que points en suspens visibles.

Q : Une qualification opérationnelle (OQ) réussie permet-elle la mise en service d'un caisson de transfert, d'un réservoir d'immersion ou d'un caisson de transfert VHP pour la charge prévue ?
A : L'OQ ne suffit pas à elle seule à établir la validité d'un cycle pour une charge spécifique. L'autorisation d'exploitation pour une charge prévue doit être liée au profil de charge représenté, aux conditions de processus applicables, aux points de surveillance, aux écarts enregistrés et aux critères spécifiques au projet qui ont été approuvés.

Q : Dans quelle mesure un écart par rapport aux spécifications doit-il influencer la décision de mise en service ou de remise au client ?
A : Évaluez-le au regard du critère spécifique approuvé auquel il se rapporte et consignez la décision qui en résulte. Le compte rendu doit indiquer si le problème est clos ou reporté, son incidence sur l'acceptation ou la mise en production, les actions restantes à mener, ainsi que la partie du projet responsable de ces actions.