URS relatif au transfert de matières : charges, limites, cycle, verrouillages et preuves

Une URS de transfert de matériel détermine si un boîte de passage, bassin d'immersion, ou le système de transfert VHP peut être évalué soit à partir d’un cas d’exploitation réel, soit uniquement à partir d’une fiche technique générique. Ce document définit la manière dont un fournisseur établit les prix, configure et certifie les équipements destinés à déplacer des charges à travers une barrière de biosécurité ou de confinement ; les lacunes qu’il comporte se traduisent par la suite par des écarts lors des essais d’acceptation en usine (FAT), des retards lors des essais d’acceptation sur site (SAT), ou critères d'acceptation contestés. C'est en définissant clairement les exigences avant de lancer un appel d'offres qu'un acheteur technique peut comparer les propositions sur un pied d'égalité.

Traduire le scénario d'utilisation en exigences utilisateur mesurables

Un URS sert à transformer un scénario d'exploitation en énoncés sur lesquels un fournisseur peut s'appuyer pour concevoir son produit et qu'une équipe de qualification peut vérifier. C'est au cours de cette étape de traduction que la plupart des ambiguïtés apparaissent dans un projet, car une description opérationnelle (“ nous transportons des échantillons du laboratoire vers le couloir ”) ne constitue pas encore une exigence tant qu'elle ne précise pas la charge, les limites, le cycle et les conditions d'acceptation associées à chacun de ces éléments.

La tâche de traduction varie en fonction de l’objectif de protection qui régit le transfert. Lorsque la barrière protège le personnel et l’environnement contre un agent dangereux ou biologique, les exigences portent principalement sur l’intégrité du confinement, l’efficacité de la décontamination et le contrôle de l’accès depuis le côté confiné. Lorsque la barrière protège un produit contre la contamination, les exigences portent principalement sur le maintien d’un environnement propre ou stérile du côté protégé et sur le contrôle de ce qui y pénètre. Un seul équipement de transfert, tel qu’un sas de transfert ou un Boîte de passage de la VHP, peut se situer de part et d'autre de l'une ou l'autre de ces limites, et un même composant physique sera soumis à une logique d'exigences différente selon le côté que le projet est censé protéger. Le fait d'énoncer cet objectif directeur dès le début du cahier des charges fonctionnel (URS) permet d'éviter toute confusion en aval lors de la spécification ultérieure des verrouillages, des alarmes ou de la logique de cycle, car une exigence qui semble raisonnable pour une limite de confinement peut s'avérer inappropriée pour une limite aseptique, et inversement.

La mesurabilité constitue la deuxième étape de la traduction. Une exigence qui énonce une intention sans condition vérifiable ne peut pas être validée lors des phases FAT, SAT, IQ ou OQ, car il n'existe aucun critère observable permettant de déterminer si elle est satisfaite ou non. Dans le cadre de la Cadre de qualification de l'annexe 15 du volume 4 d'EudraLex, l’URS reste une référence tout au long du cycle de vie de la validation, et la qualification de la conception permet de vérifier que celle-ci répond aux exigences de l’URS ; une exigence qui ne peut être vérifiée à ce stade ne peut être clôturée. Cela signifie que chaque cas d’utilisation doit être associé à une condition précise : quelle est la charge, d’où vient-elle, où va-t-elle, dans quel état du cycle, avec quelle logique de déclenchement, et quelles preuves permettront de le confirmer. Lorsque l’équipe de projet n’est pas encore en mesure de définir une condition mesurable pour une exigence, cette lacune doit figurer sur la liste des points en suspens que l’appel d’offres (RFQ) transmet, et non être intégrée dans une spécification vague qu’un fournisseur ne peut ni chiffrer ni vérifier.

Concrètement, le travail effectué dans cette section a pour conséquence que toutes les sections suivantes de l’URS en héritent la rigueur : si le cas de fonctionnement et l’objectif directeur ne sont pas définis au préalable, le programme de charge, la définition des limites et la logique de cycle qui s’ensuivent perpétueront tous cette même ambiguïté.

Décrivez chaque charge et le sens de transfert qu'elle doit suivre

Un cahier des charges de chargement n’est utile à un fournisseur que s’il décrit le matériel réel que l’équipement doit transporter, et non une catégorie générique de matériel qui lui ressemble simplement. Une exigence formulée comme “ consommables de laboratoire standard ” invite le fournisseur à concevoir son produit en fonction de sa propre interprétation de ce que cela signifie, et cette interprétation peut ne pas correspondre à l’article le plus lourd, le plus volumineux ou le moins compatible que le projet devra réellement transférer. Le cahier des charges doit plutôt préciser les dimensions maximales, la masse maximale, l’état de l’emballage à la limite de transfert, l’état de surface de cet emballage, les matériaux nécessitant une confirmation de compatibilité, ainsi que les orientations autorisées pendant le transfert.

Chacun de ces paramètres modifie un aspect différent de la configuration proposée. Les dimensions et l’orientation autorisée déterminent si le parcours de transfert et l’ouverture de la porte peuvent accueillir la charge maximale prévue sans imposer une orientation que l’emballage ne peut tolérer. La masse influe sur les rayonnages, les supports et tout parcours de transfert mécanisé. L’emballage et l’état de surface sont importants car un cycle de décontamination, lorsqu’il fait partie du scénario d’exploitation, interagit avec la surface exposée ; un type d’emballage ou un état de surface non inclus dans le programme de charges du projet est un type d’emballage ou un état de surface que les données du cycle ne couvrent pas, quelles que soient les capacités générales de l’équipement. La compatibilité des matériaux fonctionne de la même manière : la confirmation de la compatibilité pour un matériau ne s’étend pas à un autre matériau introduit ultérieurement sans réévaluation.

Le sens de transfert constitue une exigence distincte de la description de la charge elle-même. Une barrière devant supporter des charges se déplaçant uniquement d’un côté non confiné ou non classifié vers le côté confiné ou protégé présente une logique de verrouillage et de validation différente de celle d’une barrière devant également supporter le sens inverse, ou les deux sens selon différents états du cycle. Lorsqu’un projet prévoit que l’exigence relative au sens de circulation pourrait s’étendre ultérieurement – par exemple, un transfert unidirectionnel qui pourrait par la suite devoir prendre en charge le départ de matières d’une zone confinée –, le fait de mentionner cette possibilité dans le cahier des charges (URS) permet au fournisseur d’évaluer si la configuration proposée offre une voie réaliste vers cette capacité, plutôt que d’exiger la mise en place d’un système de remplacement.

Le fait de ne pas préciser l’un de ces champs ne supprime pas cette exigence ; cela revient à laisser le fournisseur appliquer son hypothèse par défaut, ce que le projet ne découvre qu’au moment du FAT ou plus tard.

Définir les limites, les interfaces entre les pièces, les réseaux et l'accès aux services

La définition de la limite marque le moment où l’URS cesse de décrire l’équipement de manière isolée et commence à décrire son emplacement au sein d’une installation réelle. La première information dont tout réviseur a besoin est de savoir quel côté de la limite est « propre » ou « confiné », car chaque verrouillage, règle d’accès aux portes et décision relative à un état de défaillance qui s’ensuit dépend de cette désignation. Une exigence rédigée sans préciser quel côté est protégé est incomplète, même si toutes les dimensions et tous les chiffres relatifs à la masse sont corrects, car le fournisseur ne peut pas déterminer l’intégrité de quel côté la logique de contrôle doit privilégier en cas de défaillance.

L'accès aux portes découle directement de la délimitation des zones. Préciser qui est autorisé à ouvrir chaque porte, dans quelles conditions et de quel côté ne constitue pas une répétition superflue de la logique de verrouillage ; il s'agit de la politique opérationnelle que cette logique de verrouillage mettra ensuite en œuvre au niveau matériel et logiciel. Un projet qui définit cette politique d'accès de manière trop vague risque de voir un fournisseur mettre en place des systèmes de verrouillage techniquement fonctionnels, mais qui ne correspondent pas à la manière dont le site prévoit d'exploiter l'équipement au quotidien.

Les interfaces de salle décrivent les conditions auxquelles l’équipement doit se conformer de chaque côté : la classification, le régime de pression ou le statut de confinement de l’espace auquel l’équipement de transfert est raccordé. Cela diffère de la désignation des limites, car une condition d’interface de salle peut changer indépendamment du côté “ protégé ” : une salle peut être reclassée, ou une cascade de pression peut être ajustée, sans modifier le côté de l’équipement de transfert qui est propre ou confiné. L’URS doit préciser la condition d’interface à laquelle l’équipement doit être compatible, afin qu’une modification ultérieure de l’installation puisse être vérifiée par rapport à cette condition stipulée plutôt que supposée.

Les réseaux et les accès aux services complètent la définition des limites, car ils déterminent ce que la configuration installée exige concrètement du bâtiment et quels accès le site doit préserver par la suite. Le fait de répertorier les réseaux nécessaires à la configuration choisie permet de vérifier que l’installation est en mesure de les fournir à l’emplacement prévu ; omettre cette étape risque d’aboutir à une configuration qui fonctionne conformément aux spécifications, mais qui ne peut être installée sans travaux d’adaptation de l’installation. L'accès aux services fonctionne à l'inverse : il s'agit d'une contrainte que l'installation impose à l'équipement, précisant quels espaces libres ou quelles conditions d'accès doivent être préservés afin que la maintenance puisse être effectuée sans compromettre les limites définies. C'est là que les informations fournies par le projet — les limites applicables, les interfaces et les conditions relatives aux équipements — deviennent la base sur laquelle QUALIA s'appuie pour configurer et établir un devis pour une solution de transfert adaptée au cas précis, plutôt qu'à une description générique du produit.

Spécifier les états du cycle, les verrouillages, les alarmes, les contournements et les procédures de reprise

Les exigences relatives au cycle et aux verrouillages correspondent aux éléments de l’URS qui définissent le comportement de l’équipement en fonctionnement normal et en cas de défaillance ; ces deux aspects doivent être spécifiés avec la même rigueur. La partie relative au fonctionnement normal commence par la désignation des phases du processus que le cycle doit inclure et des points de surveillance du cycle. Cela est important car une exigence de cycle formulée sous forme de résultat (“ la charge doit être décontaminée ”) sans désigner les phases et les points de surveillance ne fournit au fournisseur aucune base pour proposer une séquence spécifique, et ne donne à l’équipe de validation aucun point de contrôle à vérifier ultérieurement. Annexe 1 des BPF de l'UE traite de ce type de structure dans le contexte de la fabrication en milieu stérile, en décrivant les contrôles de transfert et les cycles de biodécontamination validés fonctionnant selon des paramètres de cycle définis ; le principe général — selon lequel un cycle est défini par ses phases, ses points de surveillance et ses paramètres validés, et non par son seul résultat escompté — s'applique de manière générale, bien que la recette spécifique du cycle ne soit jamais universelle et reste une décision propre à chaque projet.

La configuration des charges est importante, car un cycle validé pour une disposition donnée des charges ne s'applique pas automatiquement à une autre disposition. Lorsque le programme de chargement du projet comprend des éléments de taille, de densité ou de conditionnement variables, l'URS doit préciser lesquels modèles de charge les exigences relatives au cycle doivent être suffisamment larges pour que les preuves de conformité générées ultérieurement correspondent bien à ce que les opérateurs chargeront concrètement, plutôt qu’à une configuration unique et idéalisée.

Les verrouillages de portes sont liés à la définition des limites : cette section précise qui est autorisé à ouvrir chaque porte et dans quel état du cycle, transformant ainsi la politique d'accès générale en une condition vérifiée par rapport à l'état réel de la machine à états du cycle. Exigences relatives aux alarmes et aux contournements définir ensuite l'espace d'exception : quelles conditions déclenchent une alarme, et parmi celles-ci, lesquelles permettent un contournement initié par l'opérateur, et lesquelles doivent entraîner l'arrêt complet du processus. Un contournement qui n'est pas documenté dans le cahier des charges (URS) mais qui existe dans le système de contrôle livré devient alors un constat de qualification plutôt qu'une fonctionnalité prévue.

Les exigences en matière de reprise après défaillance définissent l’état de sécurité que l’équipement doit atteindre après une défaillance d’alimentation, de pression, de capteur ou de cycle, et cet état varie selon le type de barrière : l’état de sécurité d’une barrière de confinement donne généralement la priorité au maintien de l’étanchéité du côté confiné, tandis que celui d’une barrière aseptique vise avant tout à empêcher le côté protégé d’être exposé à un environnement non contrôlé. Un même événement de défaillance peut nécessiter une réponse différente de la part de l’équipement selon l’objectif qui régit la barrière ; c’est pourquoi cette exigence ne peut pas être reprise d’un autre projet sans vérifier au préalable l’objectif applicable.

La logique de validation et les déclencheurs de requalification bouclent la boucle : la logique de validation définit la condition qui distingue un cycle incomplet d’un cycle éligible à la validation de la charge, tandis que les déclencheurs de requalification précisent quels événements — un changement de composant, un écart, un intervalle de temps — impliquent que les preuves de qualification existantes ne s’appliquent plus au cas défini. ISO 14644-7 souligne que les exigences des utilisateurs concernant les dispositifs de séparation relèvent d'un accord entre le client et le fournisseur et que la norme ne précise pas le procédé mis en œuvre à l'intérieur du dispositif ; c'est pourquoi ces paramètres de cycle et de verrouillage doivent être explicitement indiqués dans le cahier des charges fonctionnel (URS) propre au projet, plutôt que d'être déduits de la catégorie du dispositif.

Mettre en correspondance chaque exigence avec les documents fournis par les fournisseurs et les justificatifs de qualification

Une exigence sans référence à une preuve est une déclaration d'intention, et non une spécification vérifiable. Chaque ligne de l’URS — entrée du programme de charge, condition aux limites, phase de cycle, règle de verrouillage, condition d’alarme, critère de déblocage — doit être associée à un point précis de la chaîne de documentation du projet où un fournisseur ou un utilisateur démontre que l’exigence a été satisfaite. Cette destination correspond généralement à l’un des documents de test du fournisseur, à un test de réception en usine, à un test de réception sur site, à une qualification d’installation, à une qualification opérationnelle ou à des preuves issues des processus sur site générées une fois que l’équipement est en service régulier.

Le choix de la destination n’est pas arbitraire et dépend de ce que l’exigence vérifie réellement. Une exigence dimensionnelle ou de masse peut souvent être validée à l’aide de la documentation du fournisseur et d’un essai en usine, car la caractéristique physique ne dépend pas de l’environnement d’installation. Une exigence liée à l’interface avec la pièce ou à un raccordement aux réseaux ne peut généralement pas être validée tant que l’équipement n’est pas installé sur site, car le comportement à vérifier n’existe qu’une fois que l’équipement interagit avec l’installation réelle. Une exigence de performance cyclique peut nécessiter des preuves issues de plusieurs étapes : un essai en usine confirmant que la séquence de commande s’exécute conformément à la conception, un essai sur site confirmant qu’elle s’exécute correctement une fois l’équipement installé, et une phase de qualification confirmant que le cycle se déroule selon les paramètres définis dans les conditions du site. Dans le cadre de l’annexe 15, la qualification de la conception est l’étape qui vérifie la conformité de la conception par rapport aux spécifications fonctionnelles (URS), ce qui fait de ce travail de mise en correspondance une condition préalable à cette vérification plutôt qu’une activité parallèle — une exigence à laquelle aucune source de preuve n’a jamais été attribuée ne peut être vérifiée de manière significative lors de la qualification de la conception, car il n’y a rien à quoi se référer.

Lorsque la destination des preuves relatives à une exigence n’est pas précisée, la décision quant au lieu et à la manière de la vérifier revient par défaut à la partie qui contrôle le protocole de test à ce stade, ce qui peut ne pas correspondre aux attentes réelles du projet. Une équipe de projet qui laisse cette mise en correspondance incomplète au moment de lancer un appel d’offres demande en réalité à chaque fournisseur de décider de manière indépendante où commence et où finit son champ d’application de la preuve, ce qui rend plus difficile la comparaison des réponses des fournisseurs sur un pied d’égalité. Rendre cette mise en correspondance explicite, même à titre provisoire, permet au fournisseur et à l’utilisateur de s’accorder sur les éléments de conformité à démontrer avant la signature des contrats.

Geler les responsabilités en matière d'acceptation avant de lancer l'appel d'offres

Avant de lancer un appel d'offres, le projet doit déterminer qui effectue chaque tâche de vérification et qui en valide le résultat, indépendamment de la définition de l'exigence elle-même. Une exigence peut être spécifiée de manière exhaustive et claire tout en donnant lieu à un litige lors de la livraison si le projet n’a jamais déterminé si le test en usine du fournisseur est suffisant pour une exigence donnée ou si un test sur site réalisé par l’utilisateur doit venir le confirmer de manière indépendante. Il s’agit d’une décision distincte du travail de mise en correspondance des preuves, car cette dernière identifie où une exigence sera vérifiée, tandis que la responsabilité de l’acceptation détermine qui effectue cette vérification et qui a le pouvoir de la valider.

Cela revêt une importance particulière aux jonctions entre les différentes étapes de réception. Un test de réception en usine, réalisé dans les locaux du fournisseur, démontre que l’équipement fonctionne tel qu’il a été construit, dans des conditions contrôlées par le fournisseur. Un test de réception sur site démontre les mêmes fonctionnalités une fois l’équipement installé, dans le cadre des raccordements aux réseaux et des interfaces avec les locaux propres au projet. C’est pourquoi les exigences liées aux interfaces avec les locaux ou aux conditions de raccordement aux réseaux ne peuvent souvent pas être validées au stade de l’usine, quelle que soit la rigueur des tests effectués au préalable par le fournisseur. Si le projet n’a pas précisé à l’avance quelles exigences doivent être validées à chaque étape, la proposition du fournisseur peut prévoir une répartition des vérifications différente de celle prévue par le projet, et ce décalage n’apparaît qu’une fois l’équipement livré, lorsque quelqu’un demande pourquoi une exigence n’a pas été testée là où il s’y attendait.

Le fait de définir ces responsabilités avant l'appel d'offres permet également de garantir la comparabilité des réponses des fournisseurs. Lorsqu'un fournisseur propose de satisfaire une exigence donnée lors des essais de réception en usine (FAT) et qu'un autre propose de la reporter aux essais de réception sur site (SAT) ou à la qualification opérationnelle (OQ), leurs devis ne sont pas directement comparables, à moins que le projet n'ait déjà précisé à quelle étape il s'attend à ce que cette exigence soit satisfaite. Le fait d'expliciter cette attente dans le cahier des charges fonctionnel (URS), même sous la forme d'une préférence exprimée sur laquelle le projet est ouvert à la discussion, offre à chaque soumissionnaire une base de référence identique pour établir son prix.

Les exigences régies par cette section sont celles qui dépendent le plus souvent des priorités propres à chaque projet : la nécessité pour l’équipe de qualification de l’utilisateur d’assister à certains essais, la responsabilité de la fourniture des bio-indicateurs ou des indicateurs chimiques pour un cycle (incombe-t-elle au fournisseur ou à l’utilisateur ?), et la partie chargée de la requalification une fois l’équipement mis en service. Ces répartitions ne sont pas implicites dans l’exigence technique elle-même et doivent être précisées sous forme de postes distincts avant l’envoi d’un appel d’offres, afin que les réponses fournies par QUALIA ou tout autre fournisseur puissent être évaluées au regard d’une répartition commune et préalablement convenue des tâches de réception, plutôt que d’être harmonisées a posteriori.

Questions fréquemment posées

Q : Quels éléments faut-il régler avant que les fournisseurs puissent fixer le prix de cette boîte de transfert ?
A : Définissez les charges réelles, le sens de transfert, le périmètre protégé, les interfaces avec les locaux, les équipements techniques requis, les accès de service et les accès autorisés par les portes. Précisez également les conditions de cycle, de verrouillage, d'alarme, de rétablissement et de déverrouillage propres au cas faisant l'objet de l'estimation, afin que les écarts entre les devis reflètent la solution proposée plutôt que des hypothèses différentes.

Q : Une seule description de charge maximale peut-elle couvrir tous les transferts de matériaux ?
A : Uniquement si toutes les charges envisagées présentent les mêmes conditions pertinentes. Distinguez les différents profils de charge lorsque les dimensions, la masse, l'emballage, l'état de surface, la compatibilité des matériaux, l'orientation autorisée ou le sens de transfert diffèrent, et identifiez les profils que la configuration proposée et les justifications qui l'accompagnent doivent couvrir.

Q : Dans quelle mesure les spécifications relatives au cycle doivent-elles être précises lorsque la recette d'exploitation définitive n'est pas encore validée ?
A : Précisez les phases de processus requises, les points de surveillance, les profils de charge couverts, la logique de validation et les déclencheurs de requalification sans définir de valeurs de cycle fixes. Les paramètres spécifiques au projet et les critères d'acceptation peuvent ensuite être validés par rapport à la configuration et à l'approche de qualification sélectionnées.

Q : Quelles mesures l'URS doit-il exiger en cas de panne d'alimentation, de pression, de capteur ou de cycle ?
A : Précisez les conditions de sécurité requises pour la charge et les deux portes, qui peuvent être actionnées de chaque côté, et indiquez si une procédure de contournement ou de récupération est autorisée. Définissez les éléments de vérification nécessaires avant que la séquence puisse reprendre ou que la charge puisse être libérée, plutôt que de laisser le comportement de récupération à une hypothèse non précisée du fournisseur.

Q : Comment identifier les écarts au niveau de l'acceptation avant la publication de l'appel d'offres ?
A : Associez chaque exigence au document ou à l'étape de test au cours de laquelle la conformité sera démontrée, par exemple la documentation du fournisseur, les essais FAT, SAT, IQ, OQ ou les preuves relatives aux processus sur site. Attribuez la responsabilité de fournir et d'approuver ces preuves, tout en précisant l'étape exacte et les critères d'acceptation spécifiques au projet.