Qualification opérationnelle des systèmes VHP, BIBO, Pass Box et APR Door : fonctions nécessitant des preuves

Lorsque des défauts de la logique d’interverrouillage ou d’alarme passent inaperçus lors de la qualification opérationnelle (OQ), ils ont tendance à se manifester dans des conditions difficiles à gérer : une séquence de porte échoue en cours de transfert, un boîtier de filtre s’ouvre sans confirmation de la neutralisation de la pression, ou un cycle VHP se poursuit malgré un défaut de capteur. Aucune de ces défaillances ne se manifeste lors des essais en fonctionnement normal, car ceux-ci ne reproduisent jamais les conditions qui les révèlent. Le coût concret ne se limite pas à un risque de brèche de confinement : il s’agit d’un programme de qualification qui doit être partiellement relancé, de scripts à réécrire et de nouveaux essais à programmer dans un calendrier de mise en service déjà chargé. Ce qui distingue des preuves d’OQ défendables d’une documentation qui satisfait les formalités administratives mais pas les inspecteurs, c’est de savoir si chaque fonction critique a été mise à l’épreuve dans une condition anormale définie, et non pas simplement observée lors de cycles de routine.

Fonctions opérationnelles nécessitant des preuves de conformité

L'analyse des risques doit guider le choix du périmètre avant la rédaction de tout scénario de test. Une approche structurée consiste à attribuer une note à chaque fonction opérationnelle en fonction de la gravité et de la probabilité, puis à hiérarchiser celles qui dépassent un seuil défini pour les essais de mise à l'épreuve, en réservant les fonctions à moindre risque aux contrôles en fonctionnement normal. Qu'un indice numérique de priorité de risque soit utilisé ou non, la rigueur sous-jacente est essentielle : si la défaillance d'une fonction peut entraîner une exposition incontrôlée, un arrêt de cycle non détecté ou une rupture de l'enveloppe de pression, les preuves de qualification opérationnelle (OQ) pour cette fonction doivent démontrer davantage qu'un simple fonctionnement nominal réussi.

La philosophie qui sous-tend la conception d’une qualification opérationnelle (OQ) robuste consiste à mettre en évidence les modes de défaillance dans des conditions contrôlées, avant que ces conditions ne se produisent en situation réelle. Cela implique de tester le comportement de redémarrage après un cycle interrompu, de vérifier la répétabilité sur plusieurs cycles plutôt que de se contenter d’un seul passage réussi, et de confirmer que les conditions limites — valeurs maximales et minimales au sein des plages de fonctionnement définies — produisent la réponse attendue. Pour les systèmes de portes VHP, BIBO, de sas de transfert et APR, les fonctions dont la défaillance silencieuse a généralement les conséquences les plus graves comprennent les transitions entre les phases du cycle, la séquence d’accès aux portes, la surveillance de la pression différentielle des filtres et les voies de communication entre les alarmes et le système de contrôle. Chacune de ces fonctions peut se comporter correctement lors d’un essai de démonstration standard tout en présentant un défaut non détecté dans la logique de branchement qui régit les états anormaux.

Le choix des fonctions à soumettre à des tests de vérification constitue en soi une décision pouvant faire l'objet d'un audit. Si la justification de l'inclusion ou de l'exclusion d'une fonction des tests de vérification n'est pas documentée, un auditeur ne peut pas évaluer si le périmètre défini était suffisamment prudent. Un périmètre de qualification opérationnelle (OQ) défini lors de la phase de planification de la validation et formellement lié à l'évaluation des risques constitue une base traçable pour cette décision, plutôt que de la laisser implicite dans le script.

Conditions de test des alarmes, des verrouillages et de la logique des portes

Les tests d’alarme et de verrouillage ne visent pas à confirmer que le système affiche un avertissement, mais à vérifier que cet avertissement est déclenché par la condition appropriée, qu’il est consigné sous une forme accessible, et que la sortie de l’état d’alarme nécessite une action délibérée de l’opérateur plutôt qu’une reprise automatique. Chacun de ces trois éléments — précision du déclenchement, consignation de l’événement et sortie contrôlée — peut être jugé conforme ou non de manière indépendante. Un système qui affiche l’alarme correcte mais ne consigne pas l’événement crée une lacune d’audit. Un système qui consigne l’événement mais autorise un redémarrage automatique sans confirmation peut ne pas satisfaire aux exigences d’intégrité des données définies dans l’annexe 11 du volume 4 d’EudraLex pour les systèmes informatisés impliqués dans des processus relevant des BPF.

L'exigence relative à la simulation des alarmes s'accompagne d'une règle de documentation spécifique : la méthode de simulation doit être décrite dans le formulaire de qualification opérationnelle (OQ) lui-même, et non reconstituée a posteriori à partir de souvenirs ou d'instructions verbales. Pour un verrouillage purement mécanique, cela peut impliquer de bloquer physiquement le drapeau d'un capteur ; pour une séquence d'ouverture de porte pilotée par logiciel, cela peut impliquer d'imposer un état de signal forcé. Dans les deux cas, le formulaire doit consigner ce qui a été fait, et pas seulement ce qui a été observé.

Lorsque la logique de séquencement des portes détermine l'état de la barrière de confinement — comme c'est le cas dans les systèmes de sas ou de passe-objets à verrouillage interconnecté —, le test des actions interdites revêt une importance particulière. Vérifier qu’une tentative d’ouverture de la porte extérieure alors que la porte intérieure n’est pas scellée entraîne un blocage de l’action, l’enregistrement de l’événement et le déclenchement d’une séquence de rétablissement nécessitant une réinitialisation délibérée n’est pas une simple formalité. C’est le test qui confirme que la logique de verrouillage se comporte sous une pression réelle équivalente à celle exercée par un opérateur, et pas seulement lors d’un accès normal scénarisé.

Enregistrements relatifs aux fonctions VHP, BIBO et « pass box »

Les rapports générés lors de la qualification opérationnelle (OQ) des systèmes VHP, BIBO et des sas doivent refléter les performances spécifiques des fonctions opérationnelles de chaque système, et pas seulement le résultat d’un cycle réussi. Pour les systèmes de sas VHP, cela implique de documenter le comportement des paramètres du cycle au cours des différentes phases — conditionnement, gazage, maintien et aération — en se référant aux plages de fonctionnement définies pour chaque phase, et pas seulement au résultat final des indicateurs biologiques ou chimiques. Pour les enceintes BIBO, cela implique de confirmer que la séquence « bag-in/bag-out » s’est déroulée dans les conditions d’essai sans perte d’étanchéité, l’état du filtre et les mesures de pression différentielle étant consignés à chaque étape.

Le choix des indicateurs pour la qualification du cycle de décontamination doit être considéré comme une activité de justification de la conception spécifique à l’agent, à la géométrie de l’équipement et aux paramètres du cycle utilisés. Les indicateurs chimiques utilisés lors de la qualification opérationnelle (OQ) servent de moniteurs en temps réel du cycle pour évaluer la répartition et la pénétration ; les indicateurs biologiques, lorsqu’ils sont utilisés, évaluent l’efficacité dans des conditions de mise à l’épreuve. Le type d’indicateur, sa quantité et le plan de positionnement doivent refléter la géométrie interne de l’équipement et les emplacements les plus susceptibles de bénéficier d’un contact réduit avec le VHP : zones d’ombre, renfoncements de surface ou zones à faible circulation d’air. Cette justification du positionnement doit figurer dans la documentation de la qualification opérationnelle (OQ) et ne doit pas être déduite d’un schéma de disposition générique des indicateurs.

Pour Boîte de passage de la VHP En ce qui concerne plus particulièrement les systèmes, les rapports de qualification opérationnelle (OQ) doivent rendre compte de la répétabilité des cycles sur plusieurs séries d’essais réalisés dans des conditions de charge équivalentes, et non pas se limiter à la démonstration d’un seul cycle. Un seul essai réussi ne suffit pas à démontrer que le système atteint et maintient de manière fiable les paramètres requis dans l’ensemble des conditions de fonctionnement prévues. Les données de répétabilité issues de la qualification opérationnelle (OQ) constituent également une référence permettant d’évaluer tout écart futur par rapport au comportement normal du cycle, ce qui en fait un document présentant une pertinence opérationnelle au-delà de l’événement de qualification initial. Le Protocole de validation VHP : IQ, OQ et PQ pour les systèmes à base de peroxyde d'hydrogène présente la structure globale des certifications dans laquelle s'inscrivent les dossiers du cycle OQ.

Pour Boîtiers BIBO, les enregistrements de la fonction OQ doivent confirmer que les contrôles de fixation du sac, de mise en place du filtre et d'étanchéité à la pression s'effectuent tous dans l'ordre et que chaque étape est consignée dans un enregistrement horodaté pouvant être consulté.

Réponse de la porte APR dans des conditions anormales définies

Les portes APR à joint pneumatique fonctionnent dans des conditions où les conséquences d'une défaillance sur le confinement ne sont pas équivalentes pour tous les modes de défaillance. La défaillance d’un joint lors d’un cycle d’accès normal relève d’une catégorie d’événement différente de celle d’un joint qui ne se réenclenche pas à la suite d’une perte de pression, ou d’une porte qui ne revient pas à un état verrouillé sûr après une coupure de courant. La qualification opérationnelle (OQ) doit établir une distinction entre ces conditions dans sa conception d’essai, car un inspecteur chargé d’examiner les données demandera spécifiquement ce qui a été testé, et non ce qui pourrait théoriquement fonctionner.

Les essais de coupure de courant ne constituent pas seulement un contrôle de l’intégrité des données. Il s’agit d’une vérification de la sécurité fonctionnelle : le système revient-il à un état connu et défini après le rétablissement de l’alimentation, et nécessite-t-il une confirmation délibérée de l’opérateur avant de reprendre l’état du processus ? Lorsqu’il s’agit de systèmes de contrôle informatisés, l’annexe 11 du volume 4 de l’EudraLex précise que les données accumulées jusqu’au moment de la défaillance ne doivent pas être perdues, et que la reprise doit être contrôlée plutôt qu’automatique. Pour un système de porte APR intégré à une boucle de contrôle de surveillance de la pression et de verrouillage, cela implique de vérifier que les enregistrements relatifs à la pression, les journaux d’alarmes et les états de position des portes sont conservés et présentés avec exactitude lors de la reprise du fonctionnement.

Les tests de sortie de plage et de déconnexion des capteurs traitent d’un mode de défaillance distinct à la fois du fonctionnement normal et d’une coupure d’alimentation : le système continue d’être alimenté mais ne reçoit aucun signal valide provenant d’un point de surveillance. La qualification opérationnelle (OQ) doit confirmer que cette condition est détectée comme un défaut — et non ignorée ou traitée comme une valeur nulle — et que le processus est soit interrompu, soit mis en attente contrôlée en attendant une investigation. Un système qui tolère silencieusement la déconnexion d’un capteur de pression et continue de fonctionner présente un risque de confinement qui ne sera pas visible dans les rapports d’essais en fonctionnement normal.

Détails du script requis pour une qualification opérationnelle (OQ) prête pour l'audit

Dans les programmes de qualification opérationnelle (OQ) des équipements de confinement, le goulot d’étranglement réside rarement dans l’exécution, mais bien dans le protocole de test. Des instructions vagues telles que “ vérifier le fonctionnement de l’alarme ” ne sont pas applicables : elles ne précisent pas quelle condition déclenche l’alarme, quelle est la réponse attendue du système, comment la condition doit être simulée, ni ce qui constitue un résultat satisfaisant. Un vérificateur ne peut pas confirmer que le test a été effectué correctement, et un autre technicien qui répète le test risque de simuler une condition totalement différente. Aucun de ces deux résultats ne permet d’assurer la traçabilité requise par une inspection.

La précision d'un script prêt pour l'audit signifie que chaque étape identifie la méthode de simulation exacte, la réponse observable attendue et un critère d'acceptation quantifié ou sans ambiguïté. La description de la simulation revêt une importance particulière pour les tests d’alarme et de verrouillage : si le formulaire de qualification opérationnelle (OQ) ne précise pas comment le dysfonctionnement a été simulé, le test ne peut être ni reproduit ni évalué de manière indépendante. Il s’agit d’une exigence en matière de discipline de documentation, et non d’une recommandation concernant la technique de simulation à utiliser : le choix de la méthode relève de l’ingénierie, mais la consignation de cette méthode constitue une obligation de traçabilité.

La conséquence directe de critères d’acceptation vagues est que les résultats dépendent de l’appréciation subjective de la personne chargée de la révision. Si le critère est “ le système répond correctement ”, deux réviseurs peuvent parvenir à des conclusions différentes à partir d’observations de test identiques. Des critères quantifiés — notamment des limites de temps de réponse définies, des exigences spécifiques concernant les états verrouillé/déverrouillé ou des seuils explicites de déclenchement des alarmes — éliminent cette ambiguïté et permettent aux preuves de s’imposer indépendamment de l’interprétation de la personne chargée de l’examen. Cela revêt une importance capitale lors de la clôture de la qualification opérationnelle (OQ), lorsque la décision d’approbation doit pouvoir être justifiée auprès d’un tiers qui n’était pas présent lors des essais.

Clôture de l'OQ sur la base des enregistrements de réponse observés

La clôture d’un test de qualification (OQ) est subordonnée à la résolution des écarts, et non pas simplement à la réalisation des séries de tests. Une série de tests achevée qui a donné lieu à un résultat hors spécifications, à une réponse d’interverrouillage manquée ou à un événement non consigné ne constitue pas un test clôturé : il s’agit d’un écart non résolu. L’annexe 15 du volume 4 d’EudraLex stipule que les écarts identifiés au cours de la qualification doivent être documentés en précisant les actions correctives, les responsables et les délais fixés, et que toute modification apportée en conséquence doit être évaluée dans le cadre du contrôle des modifications avant que la qualification ne soit considérée comme achevée. Considérer la liste des écarts comme une activité de mise en conformité postérieure à la qualification opérationnelle plutôt que comme une condition préalable à la clôture est une pratique récurrente qui retarde l’approbation finale lorsque les inspecteurs identifient des points en suspens lors de leur examen.

Le dossier de preuves justifiant la clôture de la qualification opérationnelle (OQ) doit permettre à un évaluateur de retracer chaque fonction critique, depuis la condition de test jusqu'au résultat enregistré et au statut d'approbation. Cela signifie que les tests de mise en situation, les tests d'alarme et de verrouillage, ainsi que les essais de répétabilité doivent figurer sous forme d'enregistrements distincts — et non pas regroupés dans une simple déclaration indiquant qu'une série de tests a été effectuée. Liste de contrôle pour l'audit de la documentation BPF de VHP Passbox Validation présente les éléments de documentation qui permettent de s'assurer que ces systèmes, en particulier, sont prêts pour l'inspection.

Lorsqu’un écart nécessite une modification matérielle ou logicielle, l’évaluation du contrôle des modifications doit être effectuée et les fonctions concernées doivent faire l’objet de nouveaux essais avant que la clôture ne soit confirmée. Une qualification opérationnelle (OQ) qui consigne une action corrective comme “ terminée ” mais qui ne comprend pas de preuve de nouveaux essais pour la fonction concernée laisse une lacune traçable qui ne peut être comblée rétrospectivement sans rouvrir le protocole. La décision de clôture doit être prise en fonction de l’ensemble des enregistrements d’écarts, et non pas uniquement sur la base de l’enregistrement de l’achèvement des essais.

Le problème récurrent dans les programmes de qualification opérationnelle (OQ) des équipements de confinement n’est pas un manque d’efforts lors des essais, mais le fait que ces efforts se concentrent sur la confirmation du fonctionnement normal plutôt que sur les conditions de test extrêmes qui permettraient de mettre au jour les défauts cachés dans la logique des alarmes, la séquence d’ouverture des portes ou la gestion des défaillances des capteurs. Une fois qu’un système de confinement a été mis en service et est utilisé, l’identification et la correction de ces défauts nécessitent un arrêt contrôlé, une nouvelle qualification et une explication défendable expliquant comment cette lacune a pu passer inaperçue lors de la qualification opérationnelle initiale. Il s’agit là d’un problème nettement plus difficile à résoudre que l’intégration d’essais de mise à l’épreuve dans le protocole avant le début de l’exécution.

Avant de finaliser tout script de qualification opérationnelle (OQ) pour les systèmes VHP, BIBO, les sas ou les portes APR, l’équipe doit s’assurer que chaque fonction critique identifiée dans l’évaluation des risques dispose d’une condition de test correspondante, d’une méthode de simulation décrite, d’un critère d’acceptation quantifié et d’une procédure de reprise définie — et qu’aucun de ces éléments n’est laissé à l’interprétation du technicien chargé de l’exécution. Tout écart par rapport à cette norme doit être résolu par rapport à une base de référence soumise à un contrôle des modifications, et non documenté comme une observation acceptable. C’est cette rigueur qui distingue un dossier de qualification capable de résister à une inspection de celui qui nécessite des explications.

Questions fréquemment posées

Q : Que se passerait-il si la simulation d'une alarme ou d'un dysfonctionnement de capteur pendant la qualification opérationnelle (OQ) venait à endommager l'équipement ou à provoquer un incident de sécurité ?
R : Le protocole de qualification opérationnelle (OQ) doit définir des méthodes de simulation et des procédures de reprise sûres avant la réalisation de tout test de mise en charge. Une analyse des risques préalable au test permet d’identifier les dangers potentiels liés au test lui-même ; des approches alternatives — telles que l’injection d’un signal à l’entrée d’un contrôleur ou la désactivation logicielle d’un capteur — peuvent être utilisées lorsque la manipulation physique directe présente un risque. L’accord sur les états de test sûrs, déjà requis par la planification de base de l’OQ, s’étend à la protection des personnes et des équipements pendant le test.

Q : Une fois la qualification opérationnelle (OQ) terminée et tous les écarts résolus, quelle est la prochaine étape immédiate de la qualification ?
R : L'étape logique suivante est la qualification de performance (PQ), au cours de laquelle le système démontre des performances constantes dans des conditions d'exploitation réelles avec des charges représentatives. La clôture de l'OQ confirme que les fonctions critiques fonctionnent dans leurs plages prévues ; la PQ prouve ensuite que le processus intégré satisfait de manière répétée aux critères d'acceptation définis lors d'une utilisation courante. Cette transition nécessite un protocole de PQ approuvé et est généralement subordonnée à la validation formelle du rapport d'OQ.

Q : Une application de confinement à faible risque, telle qu’un sas de transfert de niveau BSL-2, nécessite-t-elle des essais de vérification des alarmes et des verrouillages de sécurité aussi approfondis ?
R : Le niveau de détail doit être proportionnel au risque. Une évaluation des risques documentée permet de déterminer quelles fonctions opérationnelles sont critiques ; les fonctions dont le score est inférieur au seuil de risque convenu peuvent être vérifiées par des essais en fonctionnement normal, sans recourir à des conditions de mise à l’épreuve complètes. L’exigence principale est que toute décision visant à réduire la portée des essais soit justifiée de manière traçable dans le plan de validation, afin qu’un réviseur puisse comprendre pourquoi la logique des limites de confinement n’a pas nécessité le même niveau de vérification en état anormal qu’un équivalent BSL-3/4.

Q : Quel est le lien entre l'approche de qualification opérationnelle (OQ) décrite ici et les essais de réception en usine (FAT) ainsi que les essais de réception sur site (SAT) ? Les résultats des FAT peuvent-ils réduire la charge de travail liée à l'OQ sur site ?
R : Les essais de mise en service (OQ) doivent être effectués sur site, dans la configuration finale installée, car les essais FAT et SAT sont réalisés dans des conditions différentes en termes d'alimentation, d'environnement et de système de contrôle. Si les vérifications des fonctions non critiques, qui restent inchangées par rapport aux essais FAT, peuvent être reprises pour éviter les doublons, les essais de validation critiques — notamment les simulations d'alarmes, la logique de verrouillage et les réponses en cas d'état anormal — doivent être répétés sur site afin de confirmer qu'ils se déroulent correctement avec l'infrastructure installée et la boucle de contrôle finale.

Q : Le temps et les coûts supplémentaires liés à la réalisation d'essais de mise en charge complets dans le cadre de la qualification opérationnelle (OQ) sont-ils justifiés lorsque l'équipement fonctionne correctement en conditions normales d'exploitation ?
R : Oui, car les défauts non détectés dans la logique d’alarme, la séquence d’ouverture des portes ou la gestion des défaillances des capteurs qui apparaissent après la remise des clés imposent un arrêt contrôlé, une requalification partielle et une explication défendable sur la manière dont cette lacune a pu passer inaperçue lors de la qualification opérationnelle initiale. L’investissement initial dans une qualification opérationnelle basée sur des tests de mise en situation constitue une mesure d’atténuation des risques qui protège le calendrier de mise en service contre le coût bien plus élevé des défaillances de la logique de confinement survenant après la remise des clés et contre un examen minutieux des autorités réglementaires.