Quando si verifica un guasto all’interblocco di una camera di trasferimento o scatta un allarme di pressione, la domanda immediata non è come risolvere il problema, ma cosa stia effettivamente segnalando il guasto. Il ripristino del sistema di controllo prima di aver risposto a questa domanda può eliminare un segnale di falso allarme, oppure può rilasciare un carico oltre un confine la cui sicurezza non è mai stata confermata. La decisione spetta a chi è responsabile del trasferimento del materiale, non a chi arriva per primo al quadro di comando.
Fissare il carico e verificare lo stato dell'allarme prima di azionare i comandi
La prima decisione da prendere è se intervenire in seguito all’allarme o se attendere e registrarlo. I ripetuti tentativi di ripristino compromettono le prove necessarie per un'indagine successiva, poiché ogni ripristino può modificare la posizione della porta, lo stato del ciclo o la memoria del controller prima che qualcuno abbia annotato il funzionamento dell'apparecchiatura al momento del guasto. Mettere in sicurezza il carico significa lasciarlo nella camera o nella posizione attuale piuttosto che spostarlo in risposta all'allarme, poiché lo spostamento stesso può essere l'azione che trasforma un segnale ambiguo in un vero e proprio evento di contaminazione o di contenimento.
La condizione che modifica tale valutazione è ciò che la camera di trasferimento separa. Laddove il trasferimento avvenga tra due spazi con livelli di pulizia diversi, un guasto irrisolto alla porta o alla pressione solleva un problema di protezione del prodotto riguardo a ciò che ha attraversato, o avrebbe potuto attraversare, il confine mentre sussisteva la condizione di guasto. Laddove il trasferimento coinvolga un confine pericoloso o biologico, lo stesso guasto solleva invece una questione di contenimento relativa all'esposizione dell'operatore e dell'ambiente. Entrambe le situazioni richiedono lo stesso primo passo — arrestare, registrare, non ripristinare — ma il rischio da cui ci si deve proteggere è diverso, e tale differenza determinerà quali parti interessate dovranno esaminare l'evento prima che il servizio riprenda.
Registrare lo stato dell’allarme significa annotare ciò che appare sul display o nel registro al momento del guasto: a quale porta si riferisce l’allarme, se viene segnalata una deviazione di pressione o un guasto alla serratura/posizione e quale fase del ciclo era attiva. Questa registrazione costituisce il punto di partenza per ogni verifica successiva, poiché il confronto tra una lettura successiva e una condizione iniziale non registrata non fornisce alcuna informazione all’investigatore. Se la camera di passaggio è integrata con un Ciclo di decontaminazione VHP, anche lo stato del ciclo al momento del guasto è rilevante, poiché un guasto verificatosi a metà ciclo lascia in sospeso la questione se la fase di decontaminazione sia stata completata o meno, il che influisce sulle modalità di smaltimento successivo del carico.
In questa fase non si giunge ad alcuna conclusione sul fatto che il guasto sia dovuto a un errore dello strumento o a un vero e proprio superamento dei limiti. Si garantisce semplicemente che le prove necessarie per distinguere le due eventualità siano ancora intatte quando si procede alla diagnosi.
Verificare la posizione di entrambe le porte, il feedback di chiusura, lo stato del ciclo e il comando di sblocco
| Stato da verificare | Prove da registrare | Uso diagnostico |
|---|---|---|
| Posizione della porta | Posizione effettiva di ciascuna porta e posizione indicata dai comandi | Verificare il rilevamento della posizione o il feedback sullo stato delle porte in caso di discrepanza |
| Feedback sul blocco | Indicazione di chiusura per ciascuna porta rispetto allo stato osservato della porta | In caso di discrepanza, verificare la presenza di un guasto meccanico, del sensore o della logica di controllo |
| Stato del ciclo | Stato del ciclo visualizzato al momento dell'attivazione dell'allarme | Conservare il contesto del ciclo in cui si è verificato il guasto dell'interblocco o dell'allarme |
| Comando di rilascio | Comando di sblocco visualizzato o impartito rispetto alla corrispondente reazione della porta e della serratura | Verificare il percorso di comando, comunicazione, logica di controllo o risposta meccanica |
Una volta verificati il carico e lo stato degli allarmi, il passo successivo consiste nel confrontare l’effettivo funzionamento dell’apparecchiatura con quanto riportato dai sistemi di controllo. A dispositivo di interblocco del pass box È stato progettato specificatamente per impedire che entrambe le porte si aprano contemporaneamente, pertanto il presupposto di partenza in qualsiasi indagine sui guasti è che si sia verificato un malfunzionamento in uno dei quattro elementi seguenti: lo stato fisico della porta, il sensore che segnala tale stato, la logica che interpreta il segnale del sensore o il percorso di comando che agisce in base alla conclusione della logica. Si tratta di classi di guasti diverse con conseguenze diverse, e confonderle porta ad adottare misure correttive errate.
Una porta che è fisicamente chiusa ma segnalata come aperta indica un problema di rilevamento della posizione o di feedback piuttosto che un guasto meccanico dell’interblocco. Una porta che si apre nonostante l’indicazione di chiusura e blocco indica invece un guasto meccanico o della logica di controllo, che è più grave poiché significa che l’interblocco stesso non ha svolto la sua funzione. La distinzione è importante perché nel primo caso è possibile continuare a utilizzare l’impianto con controlli compensativi, mentre nel secondo no, poiché un interblocco che non riesce a impedire l’apertura simultanea ha fallito nel suo scopo fondamentale, indipendentemente da ciò che mostra qualsiasi altro display.
Il feedback della serratura è un segnale distinto dalla posizione della porta, e i due dovrebbero coincidere. Laddove non coincidono, il guasto potrebbe risiedere nel meccanismo della serratura, nel sensore che segnala lo stato della serratura o nella logica di controllo che riconcilia i due segnali — ciascuno dei quali richiede un percorso correttivo diverso. Lo stato del ciclo è importante perché un guasto all’interblocco o alla pressione che si verifica durante un ciclo attivo di decontaminazione o di trasferimento ha implicazioni diverse rispetto a uno che si verifica in stato di inattività; il contesto del ciclo indica a chi effettua l’analisi quale operazione l’apparecchiatura stesse tentando di eseguire quando il guasto l’ha interrotta.
Il comando di sblocco merita un’analisi a sé stante rispetto al risultato fisico. Un comando può essere emesso correttamente dal controller e tuttavia non produrre la risposta corretta da parte della porta o della serratura, il che indica un guasto meccanico o di comunicazione a valle della logica. Oppure il comando stesso può essere errato, il che rimanda a monte, alla logica di controllo o a qualunque input lo abbia attivato. Verificare il punto in cui è stato emesso il comando rispetto a dove si è verificata o non si è verificata la risposta restringe il guasto a un segmento specifico della catena di controllo, anziché lasciare che l'indagine si basi su ipotesi relative all'intero sistema.
Verificare in sequenza il sensore di pressione, il flusso d'aria, le guarnizioni, i collegamenti e le comunicazioni
| Area di controllo | Dati da confrontare o registrare | Confine decisionale |
|---|---|---|
| Rilevamento della pressione | Indicatore locale di livello o di stato e monitor indipendente della stanza o della barriera, ove disponibile | Un singolo segnale di errore non è sufficiente a garantire che la pressione sia sicura |
| Flusso d'aria | Indicazione della portata d'aria disponibile e stato dell'allarme | Applicare i criteri del sito anziché ipotizzare un setpoint di pressione universale |
| Guarnizioni per porte | Stato della guarnizione, posizione della porta e segnale di chiusura | Inserire nell’indagine una questione relativa ai confini legata alla sigillatura fino a quando verifiche comprovate non la escludano |
| Utilità | Stato dei servizi in caso di allarme e stato del ciclo | Un’interruzione del servizio rimane una categoria di guasto ben distinta |
| Comunicazioni | Indicazione locale rispetto allo stato comunicato o allo stato del controller | Una discrepanza avvalora l'indagine sulla comunicazione, ma non garantisce la sicurezza dei confini |
Una volta verificati gli stati delle porte e delle serrature, l’indagine si sposta sui sottosistemi che potrebbero generare un allarme di pressione indipendentemente dal comportamento delle porte. Esaminarli in ordine sequenziale, anziché concentrarsi immediatamente su quello che sembra più probabile, consente di evitare l’errore comune di riparare un sensore mentre la vera causa della deviazione di pressione rimane un problema legato alle guarnizioni o alle utenze.
La rilevazione della pressione non dovrebbe mai essere valutata sulla base di una singola indicazione. Laddove la camera di trasferimento o la stanza circostante dispongano di un monitor indipendente, separato dal manometro o dal display locale, il confronto tra i due indica al ricercatore se la lettura locale è attendibile. Un sensore locale può guastarsi mentre il monitor indipendente continua a fornire indicazioni corrette, e viceversa. Considerare una delle due fonti come prova sufficiente della sicurezza della pressione, senza effettuare il confronto, comporta il rischio di rilasciare un carico basandosi su uno strumento difettoso.
La verifica della portata d’aria dipende dalle indicazioni effettivamente fornite dall’impianto; non tutte le camere di trasferimento dispongono di strumentazione per la misurazione della portata d’aria separata da quella per il rilevamento della pressione, pertanto sono i dati disponibili — e i criteri definiti dal sito per una portata d’aria accettabile — a determinare la conclusione che si può trarre in questo caso, piuttosto che un valore universale ipotetico.
Le guarnizioni delle porte interagiscono direttamente con il comportamento della pressione. Una guarnizione che si comprime in modo non uniforme, è contaminata o è fuori posto può produrre un andamento della pressione che a prima vista risulta indistinguibile da un guasto del sensore; ecco perché lo stato della guarnizione dovrebbe essere verificato insieme alla posizione della porta e al feedback della serratura, anziché essere considerato come un aspetto separato da valutare in un secondo momento. Una causa legata alla guarnizione dovrebbe rimanere tra le ipotesi da prendere in considerazione fino a quando i controlli dei sensori e della logica non l’abbiano esclusa con certezza, e non semplicemente perché nessuno l’ha verificata.
Lo stato dei servizi di supporto — ovvero qualsiasi servizio da cui dipenda la camera di passaggio per la sua funzione di decontaminazione o ventilazione — può causare un errore di pressione o di ciclo che non ha assolutamente nulla a che vedere con i dispositivi di interblocco. Un’interruzione nel momento esatto del ciclo può apparire sul display esattamente come un errore del sensore; pertanto, è opportuno registrare lo stato dei servizi di supporto al momento dell’allarme, anche quando il sospetto immediato punta altrove.
I controlli delle comunicazioni completano la sequenza: qualora il display locale non corrisponda a quanto segnalato da un sistema di gestione o monitoraggio dell'edificio collegato, tale discrepanza costituisce di per sé un'informazione diagnostica che indica un guasto di comunicazione, distinto da — e che richiede una risoluzione separata rispetto a — qualsiasi problema meccanico o di rilevamento sopra menzionato.
Distinguere un guasto dello strumento da un vero e proprio superamento dei limiti
| Modello probatorio | Interpretazione assistita | Limite di sicurezza per le decisioni |
|---|---|---|
| L'indicazione della pressione locale è in conflitto con quella del monitor indipendente della stanza o della barriera | Potrebbe esserci un guasto a uno strumento, a un segnale o al sistema di comunicazione | Il disaccordo non dimostra che la pressione sia sicura |
| Sia i dati locali che quelli indipendenti indicano una condizione che non rientra nei criteri definiti dal centro | I dati a disposizione indicano che è opportuno considerare un vero e proprio sconvolgimento dei confini come una possibilità | Utilizzare i criteri e la procedura di ripristino previsti dal sito, anziché un valore di riferimento universale |
| Non sono disponibili indicazioni indipendenti oppure le prove non sono conclusive | Non è ancora possibile distinguere tra un guasto dello strumento e un superamento dei limiti | La mancanza di prove non giustifica il ripristino, il bypass o lo sblocco manuale |
I controlli sopra indicati servono a rispondere a una domanda: il confine ha effettivamente fallito, oppure sono state solo le prove relative ad esso a rivelarsi errate? Si tratta di esiti diversi che richiedono risposte diverse, e la differenza dipende interamente da ciò che emerge dal confronto tra le indicazioni locali e quelle indipendenti.
Quando un'indicazione di pressione locale è in contrasto con quella fornita da un monitor indipendente di locale o di barriera, il contrasto stesso è indicativo — segnala che potrebbe esserci un guasto a uno strumento, a un segnale o alla comunicazione in qualche punto della catena — ma non chiarisce quale delle due indicazioni sia corretta. Considerare il monitor indipendente automaticamente attendibile, senza ulteriori approfondimenti, presuppone un livello di affidabilità che il contrasto stesso mette in discussione. La discrepanza va risolta, non si deve semplicemente scegliere la lettura più conveniente.
Laddove sia le indicazioni locali che quelle indipendenti concordino sul fatto che le condizioni non rientrino nei criteri di accettazione definiti dal sito, i dati suggeriscono di considerare tale situazione come un vero e proprio superamento dei limiti piuttosto che come un artefatto strumentale. È in questa condizione che le misure di ripristino, anziché la semplice risoluzione dei problemi relativi ai sensori, diventano la risposta appropriata. I criteri che definiscono il “fuori dall’intervallo accettabile” sono quelli propri del sito, stabiliti per quella specifica apparecchiatura e applicazione; non esiste un setpoint di pressione universale applicabile sia in contesti asettici che di contenimento, poiché i due obiettivi mirano a proteggere da conseguenze diverse.
La situazione più complessa si verifica quando non è disponibile un monitor indipendente, oppure quando il confronto rimane inconcludente anche dopo i controlli del sottosistema. In questo caso, le prove non consentono di concludere né che il guasto sia puramente strumentale, né che si sia verificato un vero e proprio superamento del limite. Si tratta di uno stato effettivamente aperto, e la risposta corretta a uno stato aperto non è quella di procedere come se l’interpretazione più conveniente fosse già stata stabilita. L’assenza o l’inconcludenza delle prove non giustifica il reset, il bypass o lo sblocco manuale; giustifica invece il trattamento del superamento del limite come non confermato fino a quando ulteriori prove — che si tratti di un controllo secondario, di uno strumento diverso o di una valutazione tecnica — non risolvano l’ambiguità. I progetti che configurano le pass box con un monitoraggio indipendente oltre all’indicazione locale riducono la frequenza con cui si verifica questa condizione ambigua, il che costituisce di per sé una decisione di configurazione che vale la pena sollevare durante la revisione del progetto piuttosto che scoprirla durante un guasto.
Autorizzare il bypass o lo sblocco manuale tramite la procedura di deroga del sito
| Elemento obbligatorio | Decisione di documentare | Controllo prima della messa in commercio |
|---|---|---|
| Decisione autorizzata in materia di rischio | Se il bypass o lo sblocco manuale siano giustificati nell'ambito della procedura di deroga del sito | Registrare la decisione autorizzata prima di procedere |
| Destinazione del carico | Come verrà gestito il carico fissato | Documentare la situazione piuttosto che dare per scontato che il carico rimanga accettabile |
| Recupero dei confini | Quali fasi definite dal sito consentiranno di ripristinare il confine dopo il rilascio? | Definire le fasi di ripristino prima del rilascio manuale |
| Prova di rimessa in servizio | Quali controlli funzionali e quali criteri di accettazione predefiniti regoleranno il ripristino? | Documentare il test e i criteri prima del ripristino del servizio |
Una volta che l’indagine ha individuato la causa del guasto, la questione è se rilasciare il carico senza che l’interblocco o l’allarme si siano disattivati normalmente. Non si tratta solo di una decisione tecnica, ma di una decisione relativa al rischio che rientra nel processo di deroga del sito, poiché comporta l’accettazione di un rischio definito in cambio del recupero del carico o del ripristino della disponibilità delle apparecchiature.
La decisione di autorizzazione dovrebbe essere presa e documentata separatamente dalla diagnosi tecnica, anche se quest’ultima ne costituisce la base. La conclusione che il guasto sia legato alla strumentazione, raggiunta attraverso i confronti sopra descritti, sostiene — ma non costituisce di per sé — l’autorizzazione al bypass. La fase di autorizzazione richiede che una persona con l’adeguata responsabilità valuti tale conclusione tecnica alla luce delle conseguenze specifiche di un eventuale errore e che documenti esplicitamente tale valutazione.
La gestione del carico è una decisione distinta dall’autorizzazione al bypass stessa. Un carico che è stato messo in sicurezza durante un guasto non risolto potrebbe dover essere respinto, rielaborato, sottoposto a nuovi test o rilasciato, a seconda di quanto stabilito dall’indagine sul guasto riguardo al mantenimento o meno del limite durante la finestra di guasto. Questa decisione non deriva automaticamente dall’autorizzazione a bypassare l’interblocco; bypassare il sistema di controllo per recuperare il carico è una questione diversa da ciò che dovrebbe poi accadere a quel carico, e trattarle come se fossero la stessa decisione rischia di tralasciare completamente la questione della disposizione.
Le fasi di ripristino dei limiti devono essere definite prima che si verifichi il rilascio, non improvvisate in seguito. È necessario conoscere e documentare, nell’ambito dell’autorizzazione, quali azioni specifiche ripristinano i limiti — ovvero quelle che il sito ha definito applicabili alla categoria di guasto identificata —, in modo che l’aggiramento non si limiti a sostituire un allarme irrisolto con un ripristino irrisolto.
Infine, il collaudo di rimessa in servizio e i relativi criteri di accettazione dovrebbero essere definiti al momento dell'autorizzazione, senza rimandarli a un momento successivo. Allegato 15 di EudraLex definisce criteri di accettazione predefiniti e un’analisi documentata delle anomalie come base per stabilire se un sistema possa tornare in servizio; applicare tale logica in questo contesto significa che i criteri per il ripristino funzionale vengono stabiliti prima che avvenga il ripristino manuale, e non ricavati a posteriori per adattarsi a qualunque comportamento assuma l’apparecchiatura. Una registrazione delle anomalie che documenti insieme la decisione relativa al rischio, la gestione del carico, le fasi di ripristino e i criteri di collaudo — anziché limitarsi a segnalare il semplice fatto che si sia verificato un bypass — fornisce alla fase successiva un punto di riferimento su cui basare la verifica.
Ripristinare il servizio solo dopo aver effettuato i controlli funzionali e aver documentato la distribuzione del carico
| Valvola di scarico | Prove a sostegno | Cosa stabilisce il cancello |
|---|---|---|
| Indagine sui guasti | Categoria del guasto esaminata e conclusione | Il guasto è stato oggetto di indagine, anziché essere risolto semplicemente con ripetuti tentativi di riavvio |
| Controlli funzionali | Risultati dei controlli di interblocco e degli allarmi di pressione rispetto ai criteri di accettazione predefiniti | Le funzioni testate soddisfano i criteri definiti dal sito |
| Recupero dei confini | Completamento delle fasi di recupero autorizzate | È stato effettuato il ripristino dei confini previsto |
| Destinazione del carico | Decisione documentata relativa al carico assicurato | Il carico è oggetto di una disposizione esplicita, distinta dal rilascio delle attrezzature |
| Conclusione sulla deviazione | Scostamento rilevato, esito dell'indagine e conclusione rispetto ai criteri | La decisione relativa alla rimessa in servizio è supportata da documentazione |
Il ripristino del normale funzionamento del pass box è un passo ben distinto dall'autorizzazione al bypass, e confondere le due cose comporta il rischio di considerare l'autorizzazione ad agire come equivalente alla conferma che il sistema sia idoneo a un uso continuativo. Il processo di ripristino del servizio dovrebbe richiedere prove concrete, non semplicemente il trascorrere del tempo dal verificarsi del guasto.
L'indagine sul guasto richiede una conclusione esplicita, non solo l'azzeramento dell'allarme. Un guasto all'interblocco o alla pressione che scompare dopo un reset, senza che ne sia stata identificata la causa, non è stato oggetto di indagine, ma è stato semplicemente mascherato. Laddove la causa rimanga non identificata, il rischio che ha causato il guasto originario rimane presente e può ripresentarsi nelle stesse condizioni; ecco perché una categoria di guasto documentata e oggetto di indagine, anche se provvisoria, è parte integrante di ciò che giustifica il ritorno in servizio.
Controlli funzionali del sistema di interblocco e dell'allarme di pressione rispetto alle specifiche del sito criteri di accettazione predefiniti verificare che la funzione specifica che ha dato errore ora funzioni correttamente, anziché limitarsi a verificare che l’allarme sia silenziato. Questi controlli dovrebbero verificare il corretto funzionamento della funzione che ha dato errore — interblocco delle porte, allarme di pressione o entrambi — anziché un controllo generale di funzionamento che potrebbe risultare positivo pur se la specifica condizione di guasto rimane latente.
Il ripristino dei confini, come previsto in fase di autorizzazione, richiede la conferma che sia stato effettivamente completato, non solo programmato. Inoltre, la destinazione del carico richiede una decisione esplicita e documentata a sé stante, distinta dal ritorno in servizio dell’attrezzatura; un carico può richiedere una destinazione diversa rispetto all’attrezzatura attraverso cui è transitato, e trattare i due aspetti come un’unica approvazione comporta il rischio di perdere di vista quale decisione copra quale rischio.
Il registro delle anomalie che mette in relazione questi elementi — conclusioni dell’indagine, risultati dei controlli funzionali, completamento del ripristino e gestione del carico, ciascuno valutato in base ai criteri definiti dal sito per questo guasto — è ciò che conferisce alla decisione di rimessa in servizio una base documentata anziché presuntiva. Laddove il pass box è un cassetta di sicurezza per la biosicurezza proteggere un confine di contenimento o un VHP pass box In quanto legati a un ciclo di decontaminazione, i criteri di accettazione specifici e le fasi di ripristino variano a seconda dell’obiettivo a cui è destinata quella specifica attrezzatura; per questo motivo tali criteri devono essere definiti per la singola unità e applicazione durante la configurazione del progetto, senza essere applicati in modo generico a tutte le tipologie di pass box.
Domande frequenti
Q: Un operatore dovrebbe continuare a resettare un interblocco o un allarme di pressione per verificare se il problema si risolve?
A: No. Fissare il carico e interrompere i ripetuti tentativi di ripristino fino a quando non siano stati registrati lo stato dell’allarme, le posizioni effettive delle porte, le indicazioni di pressione e lo stato del ciclo. Il semplice ripristino dell’allarme non sostituisce l’analisi del guasto né attesta che il confine di trasferimento sia pronto per l’uso.
Q: Cosa si deve fare quando i dati visualizzati sul display del pass box non corrispondono a quelli di un monitor indipendente, situato in un locale separato o dietro una barriera?
A: Considerare la condizione al contorno come non risolta. Registrare entrambe le letture, quindi verificare lo strumento, il segnale e i percorsi di comunicazione; nessuna delle due indicazioni, presa singolarmente, deve essere considerata prova che la pressione sia nella norma.
Q: È possibile ricorrere a un rilascio manuale quando il trasferimento è urgente?
A: Solo previa decisione autorizzata in materia di rischio nell'ambito della procedura di deroga del sito. La decisione dovrà definire la gestione del carico, le fasi di ripristino dei limiti, nonché i controlli funzionali e i criteri di accettazione predefiniti richiesti prima del ritorno in servizio.
Q: La riparazione del guasto all'apparecchiatura comporta automaticamente il rilascio del materiale contenuto nella camera di trasferimento?
A: No. Il rilascio delle attrezzature e la gestione del carico sono decisioni distinte. Documentare le modalità di gestione del carico utilizzando lo stato del ciclo registrato, le prove relative ai limiti e la procedura di deroga applicabile del sito.
Q: Quali informazioni occorre preparare prima di segnalare il guasto al personale addetto alla manutenzione o al controllo qualità?
A: Fornire lo stato originale dell'allarme, le posizioni effettive e visualizzate della porta, il feedback della serratura, lo stato del ciclo, la risposta al comando di sblocco, le indicazioni di pressione locali e indipendenti, nonché lo stato del flusso d'aria, dei servizi, delle guarnizioni e delle comunicazioni. Ciò fornisce all'indagine un punto di partenza ben definito e aiuta a identificare i punti in cui gli stati osservati e quelli segnalati non coincidono più.
Q: Esiste un unico valore di pressione o di allarme che possa essere utilizzato per ogni decisione relativa al recupero?
A: Non esiste un valore universale valido per tutte le applicazioni relative alla biosicurezza o all'asepsi. È necessario applicare i criteri predefiniti della struttura per la sala, la barriera, il processo e il contesto di qualificazione in questione, e documentare la conclusione in base a tali criteri.
