Criteri di accettazione degli allarmi e dei dispositivi di interblocco per le apparecchiature di trasferimento BSL, OEB e VHP

Quando un test di accettazione in sito rivela che la soglia di attivazione di un allarme non è mai stata definita, il progetto subisce un arresto totale: il test non può dimostrare che l’allarme protegga alcuno stato specifico di contenimento, ma l’apparecchiatura non può essere rilasciata senza tale prova. Il team riscrive il protocollo di test, torna all’URS per ricostruire a ritroso ciò che avrebbe dovuto essere specificato e ritarda la consegna di settimane, mentre l’integrità del contenimento rimane non verificata. La decisione che determina se i criteri di accettazione degli allarmi e degli interblocchi reggono ai test consiste nel verificare se ogni condizione di allarme e ogni risposta di interblocco siano definite, prima dell’approvvigionamento, da un trigger verificabile, una risposta richiesta, una regola di ripristino e una registrazione permanente. Tale definizione deve reggere non solo durante il normale funzionamento, ma anche negli stati anomali per i quali i sistemi di contenimento sono progettati per resistere.

Condizioni di attivazione dell'allarme che gli acquirenti dovrebbero definire

Quando una specifica indica solo che verrà fornito un allarme, il team SAT si trova di fronte a un foglio bianco: nessuna soglia di attivazione, nessuna deviazione definita e nessuna certezza che l’allarme suoni quando il contenimento è realmente compromesso. L’acquirente deve definire la fonte del sensore, il valore di riferimento o il cambiamento di stato che attiva l’allarme, eventuali finestre di stabilità o ritardi temporali, nonché il livello di priorità, in modo che il protocollo di prova possa verificare l’esatta condizione. Senza tale definizione, non è possibile dimostrare sistematicamente che l’allarme rilevi la modalità di guasto da cui è destinato a proteggere.

La tabella elenca le fonti di attivazione più comuni e ciò che l’acquirente deve specificare per ciascuna di esse, insieme al motivo per cui SAT deve verificare tale condizione. I sensori di interblocco delle porte, ad esempio, richiedono non solo l’indicazione delle posizioni che attivano l’allarme, ma anche un ritardo di ingresso per il transito; in caso contrario, l’allarme rischia di attivarsi in modo intempestivo o, peggio ancora, di ritardare il rilevamento di una vera e propria violazione. I sensori di differenziale di pressione richiedono un setpoint, una finestra di stabilità e una direzione di deviazione definita, in modo che il SAT possa confermare che la soglia di allarme per il guasto a cascata corrisponda al progetto di contenimento e non trascuri un’inversione del flusso verso l’esterno. Interblocchi del ciclo VHP dipende dalle restrizioni di fase e dai segnali di stato del ciclo validi; una definizione del trigger che non impedisca il trasferimento durante uno stato non sterilizzato lascia il confine di sterilizzazione non verificato.

Un allarme che scatta al superamento di una soglia non definita non è una misura di sicurezza di contenimento; è una speranza legata alla messa in servizio.

Dal punto di vista della convalida, Allegato 11 di EudraLex prevede che le condizioni di allarme dei sistemi informatizzati siano definite e verificabili. Tale requisito non prescrive quali sensori installare, ma implica che i criteri di accettazione debbano tradurre la scelta dei sensori in una condizione di allarme specifica e verificabile. Gli acquirenti che rimandano questo aspetto alla fase di messa in servizio spesso scoprono che la logica di allarme integrata nel controllore dell’apparecchiatura non è in linea con lo scenario di rischio dell’impianto, e correggerla dopo l’installazione comporta un dispendio di tempo per l’integrazione superiore al risparmio ottenuto in termini di impegno nella definizione delle specifiche.

Risposte relative all'interblocco che richiedono prove in presenza di testimoni

Le risposte di interblocco accettate sulla base della descrizione progettuale piuttosto che dell’esecuzione verificata lasciano inalterati i modi di guasto nascosti. Un SAT standard che verifica solo il funzionamento normale non rivelerà cosa accade quando un relè si blocca, in caso di interruzione di corrente o quando una porta viene aperta a metà ciclo. Questi sono gli eventi che trasformano un sistema di contenimento da barriera protettiva a punto di rottura, e devono essere verificati in condizioni che simulino il guasto, non semplicemente descritti in una specifica funzionale.

La tabella mette in relazione gli eventi di interblocco con la risposta richiesta, ciò che il test di verifica deve confermare e il rischio nel caso in cui il test venga saltato. Verificare un’interruzione dell’alimentazione elettrica, ad esempio, significa accertare che l’apparecchiatura entri in uno stato di sicurezza definito e vi rimanga fino a quando non venga eseguito un ripristino manuale, non semplicemente che si arresti. È necessario dimostrare che un guasto a un componente, come un relè bloccato, attivi la segnalazione e impedisca il riavvio tramite un monitoraggio ridondante, poiché un relè bloccato non rilevato priva il sistema di qualsiasi funzione di sicurezza. A di Interlock Un guasto durante il funzionamento deve provocare un arresto controllato immediato o il mantenimento dello stato di contenimento, e la prova deve dimostrare che tale stato rimane bloccato fino a un ripristino intenzionale; in caso contrario, un operatore potrebbe eliminare inavvertitamente il pericolo.

Una funzione di sicurezza di cui non si possa dimostrare che sia a prova di guasto su richiesta non è una funzione di sicurezza: è un'ipotesi.

ASTM E2500 fornisce un quadro di riferimento per la verifica basata sul rischio delle risposte dei dispositivi di interblocco, supportando la selezione delle modalità di guasto che richiedono prove in presenza di testimoni in base al rischio di processo. L’Allegato 11 di EudraLex richiede inoltre la dimostrazione che i sistemi informatici funzionino in modo sicuro in condizioni anomale. Nessuno dei due documenti prescrive un elenco fisso di prove; entrambi rimandano all’URS come fonte delle risposte richieste. La sfida pratica consiste nel fatto che alcune modalità, come una vera e propria violazione del contenimento durante un test, non possono essere indotte in modo sicuro. L’acquirente deve quindi distinguere tra le modalità di guasto che possono essere sottoposte a verifica completa durante i SAT e quelle che devono basarsi su test parziali combinati con una garanzia di progettazione documentata, e redigere i criteri di accettazione di conseguenza.

Reimpostare la logica e aggirare le restrizioni

Un interblocco che si ripristina automaticamente quando la condizione di attivazione viene eliminata reintroduce il rischio prima che l’operatore ne abbia valutato la causa. Se un’oscillazione di pressione innesca un allarme a cascata e il sistema si ripristina automaticamente non appena la lettura ritorna al setpoint, l’allarme potrebbe ripetersi ciclicamente senza alcuna indagine sulla causa principale, minando la fiducia dell’operatore e mascherando una condizione instabile. Una logica di blocco che richiede un ripristino manuale dopo un evento di attivazione, applicata nei casi in cui l’interblocco protegga una funzione critica per il contenimento, offre al personale operativo il controllo necessario per verificare che la situazione sia sicura prima del riavvio. Sebbene non si tratti di un requisito normativo previsto nella maggior parte dei testi sulle GMP, è un criterio di progettazione che riduce la probabilità che un evento non verificato porti a un incidente di contaminazione di maggiore entità.

Le restrizioni di bypass comportano un compromesso decisionale simile. Il personale autorizzato potrebbe dover accedere a un’area controllata senza arrestare un’intera linea, e le funzionalità di bypass consentono tale flessibilità operativa. I criteri di accettazione dovrebbero richiedere che qualsiasi bypass sia soggetto a restrizioni di accesso (ad esempio, tramite codice da tastiera o strisciata di tessera), limitato nel tempo e registrato in una traccia di audit. L’Allegato 11 di EudraLex sostiene questo approccio sottolineando l’importanza del controllo degli accessi e delle tracce di audit per le modifiche ai sistemi informatici, ma non prescrive il metodo di bypass. Se i criteri di accettazione non fanno riferimento alla registrazione dei bypass, il SAT registrerà un bypass riuscito senza acquisire la prova che esso fosse autorizzato e temporaneo, lasciando la struttura nell’impossibilità di distinguere, anni dopo durante un’ispezione, un bypass controllato da un guasto non rilevato.

Un intervento che non lascia traccia permanente trasforma un aggiramento intenzionale in un'irregolarità di audit destinata a venire alla luce.

La configurazione della logica di reset e del bypass non dovrebbe essere considerata un’impostazione predefinita, bensì una scelta deliberata che corrisponda al livello di rischio di contenimento dell’apparecchiatura. Per le apparecchiature di trasferimento BSL-3/4 o OEB4/OEB5, si dovrebbe privilegiare l’adozione di reset a scatto e di bypass rigorosamente limitati e completamente registrati. Per le utenze a rischio inferiore, un comportamento di reset più semplice può essere giustificato, ma tale giustificazione deve essere inserita nella motivazione della validazione, non in una spiegazione post-messa in servizio del motivo per cui i test hanno superato un comportamento che nessuno aveva definito.

Controlli basati sull’ambiente rispetto a quelli basati esclusivamente sulle apparecchiature

Un interblocco che non tiene conto dello stato della pressione nell'ambiente può proteggere l'apparecchiatura ma non la cascata di pressione dell'impianto, e la scelta dei segnali su cui si basa l'interblocco determina l'intero progetto dell'interfaccia SAT.

La tabella distingue i blocchi di sicurezza relativi esclusivamente alle apparecchiature, alimentati dagli I/O del controllore locale, dai blocchi di sicurezza a livello di locale che si basano su sensori di pressione o sul controllo degli accessi, e dai blocchi di sicurezza integrati nel sistema di gestione dell'edificio (BMS) che attivano arresti generali. Un blocco di sicurezza della porta relativo esclusivamente alle apparecchiature, collegato direttamente a un portello di trasferimento Il controller è più semplice da verificare poiché il suo funzionamento non dipende dalle condizioni esterne della stanza. Un interblocco a livello di locale che mantiene chiuso lo stesso portello quando la pressione negativa del locale cala, tuttavia, deve coordinarsi con i sensori di pressione dell’edificio e lo stato di certificazione del locale. Un interblocco integrato nel BMS che si attiva in seguito a un allarme antincendio aggiunge complessità al passaggio di controllo tra sistemi e richiede un comportamento a prova di guasto che deve essere definito nella fase di contratto di interfaccia, non scoperto durante il SAT quando la mappatura del segnale non riesce a chiudere il circuito previsto dal PLC dell’apparecchiatura.

La scelta rappresenta un compromesso ingegneristico, non una gerarchia di conformità. Il controllo basato esclusivamente sulle apparecchiature isola la logica di interblocco e riduce l’ambito di convalida, ma può lasciare una lacuna nel contenimento se la valutazione dei rischi dell’impianto dimostra che la condizione di pericolo non può essere rilevata localmente. L’integrazione a livello di locale colma tale lacuna, ma introduce dipendenze dalla calibrazione dei sensori, dall’integrità della rete BMS e dalla sequenza di avvio e spegnimento tra più sottosistemi. Manuale di biosicurezza dei laboratori dell'OMS Le linee guida sottolineano che, a determinati livelli di biosicurezza, la progettazione del sistema di contenimento può richiedere l’adozione di interblocchi a livello di locale; tuttavia, si tratta di una raccomandazione legata a specifici profili di rischio, non di un requisito generale applicabile a tutte le apparecchiature di trasferimento. La decisione si complica quando il SAT rivela la mancanza di scambi di segnali tra il controller dell’apparecchiatura e i sistemi dell’edificio, costringendo a un ricablaggio in fase avanzata, alla riscrittura dei protocolli e a una nuova convalida che avrebbero potuto essere evitati se l’architettura degli interblocchi fosse stata concordata durante la revisione dell’URS e vincolata a chiari criteri di accettazione dell’interfaccia.

L'architettura di interblocco scelta in fase di progettazione determina il numero di handshake SAT che possono fallire nelle fasi finali della messa in servizio.

Condizioni di sfida SAT per stati anomali

Durante i test SAT è difficile indurre condizioni anomale sicure, eppure queste rappresentano l’unico modo per verificare che i sistemi di interblocco funzionino correttamente proprio quando il contenimento è più vulnerabile. Simulare un'improvvisa perdita di pressione differenziale mantenendo l'effettivo contenimento biologico o chimico è raramente fattibile; le condizioni di prova devono creare una sfida sufficiente per mettere alla prova la logica degli allarmi e degli interblocchi senza causare un'effettiva fuoriuscita pericolosa. I criteri di accettazione devono quindi definire quali stati anomali devono essere messi alla prova, come possono essere simulati in modo sicuro e cosa costituisce una risposta accettabile.

La norma ASTM E2500 fornisce il quadro di riferimento per questa definizione, richiedendo che le condizioni di prova derivino da valutazioni dei rischi di processo piuttosto che da una checklist fissa. L’URS dovrebbe identificare gli scenari di guasto critici, e il protocollo SAT traduce tali scenari in sequenze di test che potrebbero includere la simulazione di un guasto del sensore, l’interruzione di un segnale di comunicazione o l’induzione di una deviazione di pressione controllata entro limiti di sicurezza. L’Allegato 11 di EudraLex aggiunge che il SAT dei sistemi informatizzati deve includere prove in condizioni anomale e che i risultati devono essere documentati. La lacuna che molti progetti devono affrontare non è la mancanza di standard, ma la mancanza di una motivazione documentata del rischio che colleghi le condizioni anomale selezionate alle specifiche sequenze di guasto del contenimento che l’apparecchiatura è stata progettata per prevenire. Quando tale motivazione manca, il team SAT o va sul sicuro con test di verifica deboli che dimostrano ben poco, oppure si avventura in un territorio rischioso senza un chiaro caso di sicurezza, e nessuno dei due esiti supporta una decisione di rilascio solida.

Un test che non si spinge mai oltre le condizioni di funzionamento normale non può dimostrare la risposta di sicurezza che conta di più.

Il limite pratico è dato dalle risorse e dalla sicurezza: alcune modalità di guasto, come ad esempio un guasto simultaneo dell’interblocco delle doppie porte in un BSL-4 camera di trasferimento, potrebbe risultare impossibile effettuare prove fisiche senza incorrere in rischi inaccettabili. In tali casi, i criteri di accettazione dovrebbero riconoscere esplicitamente che determinate risposte sono verificate tramite una combinazione di prove di stress parziali e revisione del progetto, in modo che la documentazione rifletta fedelmente ciò che è stato dimostrato e ciò che è stato accettato sulla base della garanzia tecnica. Questo approccio, se documentato fin dall’inizio, evita successive accuse di incompletezza delle prove.

Soglia di accettazione per i registri relativi agli allarmi e agli interblocchi

Un’indicazione di allarme in tempo reale che scompare senza lasciare una registrazione attribuibile e provvista di data e ora priva la struttura di qualsiasi prova oggettiva che si sia verificato un evento di contenimento. La soglia di accettazione per allarmi e interblocchi deve quindi andare oltre la dimostrazione funzionale per includere la completezza, l’integrità e la permanenza della registrazione generata. Se il test SAT verifica solo che il LED di allarme si sia acceso, il registro degli eventi risulterà privo delle prove necessarie per un’ispezione normativa tre anni dopo.

I criteri di accettazione dovrebbero definire cosa costituisce una registrazione completa: marcatura temporale con la risoluzione richiesta, descrizione dell’evento, priorità dell’allarme, conferma da parte dell’operatore, azione di ripristino ed eventuali eventi di bypass associati. L’Allegato 11 di EudraLex sostiene questo approccio richiedendo registrazioni elettroniche accurate, complete e conservate per i sistemi computerizzati. La norma ASTM E2500 supporta una determinazione basata sul rischio di quali registrazioni siano critiche, consentendo al progetto di concentrare le soglie rigorose di revisione delle registrazioni sugli allarmi critici per il contenimento piuttosto che su ogni singola notifica di sistema. La soglia dovrebbe essere fissata durante la pianificazione della convalida, non imposta retroattivamente dopo la consegna, poiché una volta che l’apparecchiatura è in funzione, raramente si presenta un’opportunità controllata per riesaminare l’architettura dei dati e garantire che vengano acquisiti i parametri corretti.

La documentazione è l'unica testimonianza che sopravvive all'evento; una documentazione incompleta genera un debito di conformità che si accumula con ogni ciclo di revisione.

Se il protocollo SAT accetta una risposta funzionale all’allarme senza verificare che il relativo record figuri nel file storico con tutti i campi obbligatori, l’impianto accetta un sistema di contenimento che oggi funziona ma che domani non potrà essere difeso. Una soglia di accettazione che richieda la verifica dei record degli eventi durante il SAT e che colleghi il contenuto del record alla definizione dell’allarme e alla risposta dell’interblocco specificate nell’URS garantisce che lo stato convalidato includa la catena di prove, non solo la reazione dell’apparecchiatura.

La definizione dei criteri di accettazione degli allarmi e degli interblocchi non consiste semplicemente nell’aggiungere dettagli a una specifica; è il filtro che determina se il SAT può dimostrare che l’apparecchiatura garantisce lo stato di contenimento previsto. La condizione di attivazione, la risposta, la logica di ripristino, le restrizioni di bypass, le dipendenze di interfaccia, le verifiche degli stati anomali e la completezza delle registrazioni formano una catena interconnessa che o regge durante il test o si spezza nel punto di definizione più debole. Prima dell’approvvigionamento, verificare che l’URS descriva ciascuno di questi elementi in termini verificabili e, prima del SAT, confermare che il protocollo sia in grado di metterli alla prova senza mettere a rischio l’impianto. Quando tutti gli anelli sono definiti e dimostrabili, la decisione di accettazione si basa su prove oggettive piuttosto che sul presupposto che il progettista abbia agito correttamente.

Domande frequenti

D: Le nostre apparecchiature di trasferimento sono già in loco, ma l’URS riporta solo la dicitura “allarme in dotazione”. È comunque possibile procedere con il collaudo senza causare un ritardo significativo al progetto?
A: Sì, ma non senza una variazione basata sul rischio. Il team di progetto deve riunirsi immediatamente per definire le condizioni di attivazione, le risposte, la logica di ripristino e i requisiti di registrazione attualmente mancanti, per poi integrare formalmente il protocollo SAT. Il passaggio di consegne sarà sospeso fino all’approvazione di tale documentazione e alla riscrittura dei test; il ritardo dipenderà dalla rapidità con cui si riuscirà a concordare i criteri mancanti e dalla capacità dell’hardware di eseguirli.

D: Dopo aver definito tutti i criteri relativi agli allarmi e agli interblocchi nell’URS, qual è il passo immediatamente successivo prima che il team SAT rediga il protocollo di collaudo?
A: Associare ciascun criterio a un metodo di prova sicuro e al punto di osservazione richiesto. Per ogni trigger, documentare l’approccio di simulazione (ad esempio, indurre una deviazione controllata della pressione, interrompere un circuito di sensori, simulare un relè bloccato tramite la diagnostica), la risposta prevista del sistema e i campi di registrazione esatti che devono essere acquisiti. Questa matrice costituisce lo scheletro del protocollo SAT ed evita che il team di collaudo debba ricostruire a ritroso l’intento durante la messa in servizio.

D: A che punto questi rigorosi criteri di accettazione relativi agli allarmi e ai sistemi di interblocco diventano eccessivi? È possibile ridurre gli oneri per i portelli di trasferimento OEB2 o BSL-2?
R: Il rigore varia in base al rischio di dispersione, non a un livello fisso di biosicurezza. Se una valutazione formale dei rischi di processo dimostra che una violazione non comporterebbe in modo plausibile la perdita del prodotto, danni al personale o il rilascio nell’ambiente, è possibile semplificare le procedure — ad esempio, accettando la garanzia di progettazione con test ridotti in presenza di testimoni sulle modalità di guasto per determinati interblocchi. Tuttavia, le soglie di attivazione definite e le registrazioni verificabili degli eventi rimangono un requisito previsto dalle GMP anche per le applicazioni a basso rischio, poiché l’assenza di registrazioni non lascia alcuna traccia probatoria difendibile.

D: Come si decide se mantenere un dispositivo di interblocco autonomo oppure collegarlo alla pressione dell'ambiente o ai segnali del sistema di gestione dell'edificio (BMS)?
A: Scegliere il controllo basato esclusivamente sull’apparecchiatura quando i sensori integrati nell’apparecchiatura stessa sono in grado di rilevare in modo diretto e affidabile il pericolo di contenimento — ad esempio, un interblocco per porta aperta su un portello di trasferimento in cui il pericolo è limitato ai confini dell’apparecchiatura. Integrare i segnali relativi alla pressione dell’ambiente o provenienti dal sistema di gestione dell’edificio (BMS) solo quando il pericolo che fa scattare l’interblocco non può essere rilevato localmente, come nel caso di una perdita di pressione a cascata che deve impedire l’apertura del portello per proteggere la suite. La decisione deve essere guidata dagli scenari di guasto che l’interblocco è destinato a prevenire, non da una preferenza generica per la semplicità o l’integrazione.

D: Vale la pena dedicare tempo e risorse alla definizione di test di verifica dettagliati e alla registrazione delle soglie per una cabina di passaggio VHP standard, o si tratta di un eccesso di ingegnerizzazione?
R: Nel caso di una camera di passaggio VHP che protegge un’area sterile, sì: un singolo bypass dell’interblocco non registrato o un allarme non rilevato durante un’interruzione del ciclo può compromettere un intero lotto, e il costo dell’indagine supera di gran lunga quello del lavoro iniziale di definizione delle specifiche. L’eccezione è rappresentata da un passaggio di materiale non critico in cui la valutazione dei rischi classifica il fallimento del contenimento come trascurabile; in tal caso, è possibile ridurre i test in presenza di personale su stati anomali, ma è comunque necessario definire soglie di completezza della documentazione per mantenere la conformità alle GMP in vista di un audit.