La maggior parte dei guasti alla messa in servizio dei sistemi BIBO non viene scoperta durante la qualifica, ma viene importata in essa. Un'unità che lascia la fabbrica senza una tenuta in pressione documentata, o che arriva in cantiere senza che sia stata esercitata la sequenza di uscita dal sacco, diventa un problema proprio quando il progetto ha meno tolleranza per questo: durante l'IQ/OQ, sotto la pressione delle scadenze, con il team di qualificazione già impegnato. Le correzioni che avrebbero richiesto mezza giornata presso l'impianto del produttore ora richiedono una disattivazione parziale, deviazioni del protocollo o un nuovo test in loco, ognuno dei quali allunga la chiusura del progetto e crea lacune nella documentazione che seguono il sistema per tutta la sua vita operativa. Il giudizio più importante è decidere quali controlli sono veramente opzionali da rinviare e quali, se saltati al FAT, trasferiscono il rischio interamente al proprietario nel momento peggiore.
Controlli FAT critici prima che l'alloggiamento BIBO lasci la fabbrica
Il FAT è il punto del progetto in cui le correzioni sono più economiche e veloci. Il problema è che la maggior parte dei team la tratta come una revisione dell'installazione meccanica - confermando che le saldature sono solide, gli ammortizzatori si muovono liberamente e l'hardware è presente - piuttosto che come una simulazione precoce degli scenari di servizio che il sistema dovrà effettivamente affrontare. Questa impostazione sembra accurata sul momento, ma rinvia i controlli a più alto rischio a una fase in cui la rielaborazione comporta conseguenze reali in termini di tempistica e di contenimento.
Il controllo specifico più spesso saltato è la verifica dell'integrità delle perdite. La pressione di prova per l'alloggiamento BIBO deve essere documentata nei dati grezzi: un valore di 2500 Pa, ad esempio, è un criterio concreto di accettazione/rifiuto, non una conferma verbale. Un'unità che supera l'ispezione visiva della saldatura, ma che non ha mantenuto la pressione fino alla soglia specificata, non è stata sottoposta a un test di tenuta, ma è stata esaminata. La distinzione è importante perché la scoperta in loco di un guasto al contenimento può richiedere che l'involucro venga rimosso dal condotto, rilavorato e testato nuovamente, il tutto mentre il programma di qualificazione dell'impianto continua a funzionare.
Il secondo controllo che viene rimandato è il test funzionale dell'hardware di installazione del sacco e della sequenza di sostituzione. I fornitori spesso descrivono questo aspetto come una pratica standard di fabbrica, ma se la sequenza non è stata effettivamente eseguita - hardware inserito, sacchetto attaccato e rimosso, tutti i passaggi registrati nel manuale - non c'è alcuna prova che funzioni come previsto con l'unità specifica che viene spedita. Il valore di questa procedura non è la formalità della documentazione, ma il fatto che i problemi riscontrati in fabbrica vengano risolti in fabbrica.
| Controllo FAT | Perché è importante | Prove/Chiarimenti |
|---|---|---|
| Test di integrità delle perdite alla pressione specificata | Evita di scoprire problemi di contenimento in loco, dove le correzioni sono lente e costose. | Verificare che la pressione di prova (ad esempio, 2500 Pa) sia documentata nei dati grezzi. |
| Test funzionale dell'hardware e della sequenza di installazione del bag-out opzionale | La simulazione di sequenze di servizio reali in anticipo identifica problemi che altrimenti verrebbero riscontrati durante la qualifica, sotto la pressione delle scadenze del progetto. | Verificare che la sequenza di test segua il manuale e sia documentata. |
Dopo aver confermato che le voci della tabella sono state rispettate, verificare che le prove per ogni controllo esistano come documento distinto piuttosto che come notazione di riga su un foglio di ispezione generale. I dati grezzi e il protocollo sono entrambi necessari per la rotazione: l'uno senza l'altro crea attriti in sede di revisione di accettazione.
Elementi SAT che confermano che l'installazione corrisponde all'intento progettuale
Il test di accettazione del sito risponde a una domanda diversa rispetto al FAT. Il FAT conferma che l'unità è stata costruita correttamente; il SAT conferma che è stata installata correttamente. Il divario tra i due è il punto in cui l'intento progettuale si rompe più spesso: non perché l'unità sia sbagliata, ma perché le connessioni di interfaccia sono state realizzate in modo diverso da quanto specificato nei documenti di progetto.
I controlli che confermano più direttamente l'integrità dell'installazione sono quelli che verificano le interfacce funzionali piuttosto che la presenza fisica. Le linee dell'aria compressa, le serrande di scarico e i componenti opzionali come i filtri HEPA devono essere verificati non solo per il corretto collegamento, ma anche per il corretto orientamento, il percorso e l'accessibilità. Una serranda installata ma non accessibile per la manutenzione, o una linea d'aria collegata alla porta sbagliata, rappresentano un difetto di conformità progettuale che un'ispezione visiva potrebbe non cogliere se il revisore non sta lavorando sui disegni di progetto.
Questa è anche la fase in cui l'Allegato 15 di EudraLex è più direttamente rilevante come riferimento di processo: la qualificazione dell'installazione deve confermare che la configurazione installata corrisponde a quanto progettato e approvato. Questo principio non prescrive quali connessioni controllare specificamente su un sistema BIBO, ma stabilisce l'aspettativa che le condizioni di installazione siano verificate rispetto all'intento progettuale, piuttosto che presumere che corrispondano ad esso. Il protocollo SAT dovrebbe essere strutturato in base a questo confronto - disegno di progetto contro condizione installata, linea per linea - in modo che qualsiasi deviazione sia catturata prima dell'inizio dell'OQ piuttosto che scoperta durante i test operativi.
Un modello di fallimento da tenere d'occhio: Il SAT viene talvolta condotto dall'appaltatore dell'installazione piuttosto che dal team di messa in servizio del proprietario, e i registri indicano che l'appaltatore ha confermato il proprio lavoro. Tali registrazioni possono essere accurate, ma non sono indipendenti e potrebbero non fare riferimento ai documenti di progetto effettivamente approvati dal proprietario. Se il protocollo SAT è stato scritto dal fornitore o dall'installatore e rivisto solo internamente, la sua difendibilità durante un audit è limitata.
Prove di QI per materiali, strumenti e documentazione approvata.
La qualificazione dell'installazione produce le basi documentali per tutto ciò che segue. Se queste basi sono incomplete, i risultati dell'OQ sono difficili da difendere e la chiusura si blocca mentre i team lavorano a ritroso per ricostruire le prove che avrebbero dovuto essere acquisite al momento dell'installazione.
La lacuna più comune nella documentazione IQ non è la mancanza di dati di prova, ma la mancanza del contesto intorno ai dati di prova. Un certificato di taratura senza tracciabilità dello strumento specifico utilizzato durante il test, uno schema elettrico che riflette il progetto originale ma non l'installazione realizzata, o una lista di controllo dell'installazione firmata ma non datata: ognuno di questi elementi crea una domanda in sede di revisione di accettazione a cui il team di progetto deve rispondere, di solito sotto pressione e senza che le persone che hanno svolto il lavoro originale siano ancora in loco.
IQ deve verificare che sia stato consegnato il pacchetto completo di documentazione e che ogni documento sia la versione approvata che corrisponde al sistema costruito. Ciò include le liste di controllo dell'installazione, le registrazioni dei test, gli schemi elettrici e qualsiasi certificato associato ai materiali o agli strumenti utilizzati nell'installazione. L'Allegato 15 di EudraLex stabilisce il principio secondo cui la qualificazione dell'installazione deve produrre prove documentate: non è sufficiente aver eseguito il lavoro, ma deve esistere ed essere rintracciabile la prova di averlo eseguito correttamente. L'implicazione pratica è che la conferma verbale di un fornitore che qualcosa è stato testato secondo la prassi standard non soddisfa i requisiti IQ. Ciò che soddisfa l'IQ è un protocollo firmato, i dati della strumentazione calibrata e una registrazione che colleghi il risultato all'unità specifica.
Per i sistemi BIBO, in particolare, è particolarmente importante avere a disposizione i registri di calibrazione degli strumenti per i manometri utilizzati durante i test di pressione prima della chiusura dell'IQ. Se il manometro utilizzato durante la prova di tenuta in fabbrica non è stato calibrato, o se il suo certificato di calibrazione non è stato incluso nel pacchetto di vendita, è difficile difendere il risultato della prova come prova valida piuttosto che come controllo direzionale.
Test OQ per flusso d'aria, allarmi, integrità delle perdite e funzioni di servizio
La qualifica operativa è quella in cui il sistema deve dimostrare di funzionare correttamente nelle condizioni di servizio previste - non che sia installato correttamente, ma che funzioni. La distinzione è importante perché un sistema può essere perfettamente installato e non superare la OQ se i suoi parametri operativi non sono stati verificati durante l'uso effettivo.
I controlli più comunemente non specificati nei protocolli OQ per i sistemi BIBO rientrano in quattro aree. La verifica del flusso d'aria deve confermare che i profili di velocità e il flusso direzionale attraverso la faccia del filtro corrispondono alle specifiche di progetto, non solo che il flusso d'aria esiste. La verifica degli allarmi deve confermare che ogni condizione di allarme attiva la risposta corretta e che l'allarme è rilevabile dalla posizione di lavoro dell'operatore, non solo che il circuito di allarme è cablato. La verifica dell'integrità delle perdite all'OQ è una ripetizione del test di fabbrica in condizioni di installazione e dovrebbe produrre un proprio record di dati grezzi piuttosto che basarsi sul risultato FAT come prova sufficiente. La verifica della funzione di servizio deve comprendere l'esecuzione completa delle sequenze di avvio e spegnimento definite, nelle stesse condizioni che il sistema dovrà affrontare durante il normale funzionamento.
L'ASTM E2500-22 è utile in questo caso come riferimento per il quadro di prova: sostiene il principio che le attività di verifica devono essere definite in anticipo con criteri di accettazione e che i risultati devono essere documentati rispetto a tali criteri. Questo quadro non prescrive valori di pass/fail specifici per il BIBO, ma stabilisce l'aspettativa che l'OQ sia un esercizio definito e documentato piuttosto che una passeggiata informale. Quando i protocolli OQ sono vaghi sui criteri di accettazione - affermando che il flusso d'aria deve essere “adeguato” piuttosto che specificare un intervallo - creano esattamente il tipo di ambiguità che diventa un problema al momento della revisione di accettazione.
Una conseguenza a valle che è facile da ignorare: I risultati dell'OQ che si basano sull'osservazione manuale senza misurazioni calibrate creano un problema di documentazione in seguito. Se il flusso d'aria è stato confermato dal tatto o da uno strumento non calibrato, la registrazione OQ può soddisfare il team locale ma non l'autorità di revisione. Inserite la misurazione calibrata nel protocollo OQ prima dell'esecuzione, non dopo.
I punti di prova dell'operatore spesso non vengono rispettati prima del passaggio di consegne
La procedura di bag-out è l'operazione di routine più importante in un sistema BIBO e quasi sempre è la meno provata prima della consegna. Nella maggior parte delle sequenze di messa in servizio, il protocollo viene rivisto, la sequenza viene dimostrata dal tecnico di messa in servizio e agli operatori viene mostrato dove si trova l'hardware. Questa non è una prova, ma un'osservazione.
La differenza è importante perché la sequenza di estrazione dei sacchi richiede la coordinazione tra fasi fisiche, uso degli strumenti, gestione dei DPI e tempistica, tutti elementi che interagiscono in modo diverso nell'ambiente reale dell'impianto rispetto a una dimostrazione. Gli operatori che lavorano con i DPI specifici del sito, che possono limitare la presa, la visibilità o la gamma di movimenti in modo diverso rispetto alle attrezzature utilizzate durante i test in fabbrica, possono scoprire che la sequenza è fisicamente più difficile di quanto sembrasse, che un utensile specificato nella SOP non si adatta comodamente alla posizione di lavoro o che le ipotesi di temporizzazione inserite nella SOP non sono valide in condizioni reali.
Non si tratta di rischi ipotetici. Lo schema che si ripete nella pratica è che la prima modifica del filtro in funzione rivela lacune procedurali che non sono state colte durante la messa in servizio perché gli operatori non hanno mai eseguito la sequenza in prima persona. A quel punto, il sistema è in servizio, il team di messa in servizio non c'è più e le correzioni richiedono una revisione delle SOP, una nuova formazione e talvolta un rapporto di deviazione se la lacuna riguardava una modifica già completata.
La raccomandazione pratica è di programmare almeno una prova completa, utilizzando i DPI effettivi del sito, gli strumenti specificati nel POS e le ipotesi di tempistica locale, prima della firma della consegna. La prova dovrebbe essere osservata e le eventuali deviazioni dalla procedura scritta dovrebbero essere rilevate mentre il team di messa in servizio è ancora presente per valutare se la SOP deve essere rivista o la procedura deve essere adattata. Questa non è una fase di qualifica formale per impostazione predefinita, ma è il controllo più direttamente collegato alla prevenzione di errori durante il primo utilizzo dal vivo.
Il Procedure di installazione e linee guida per la messa in servizio di BIBO forniscono un utile riferimento per strutturare la sequenza di prove rispetto alla procedura documentata, in particolare per le squadre che sviluppano le SOP del sito a partire dal manuale operativo dell'unità.
Pacchetto di chiusura della messa in servizio richiesto per l'accettazione
La revisione di accettazione è il momento in cui le prove di commissionamento vengono valutate rispetto allo standard che si supponeva dovessero soddisfare. Se il pacchetto contiene conclusioni senza dati di supporto, sarà messo in discussione. Se contiene dati senza registrazioni di calibrazione, i dati saranno messi in discussione. Se contiene protocolli firmati che fanno riferimento a criteri di accettazione non soddisfatti nei numeri grezzi, l'intera chiusura potrebbe bloccarsi mentre il team di progetto ricostruisce ciò che è realmente accaduto.
La distinzione tra un pacchetto completo e uno incompleto non riguarda di solito i risultati di prova mancanti, ma la qualità delle prove. La dichiarazione del venditore che l'unità ha superato il test di tenuta in fabbrica non è la stessa cosa di un protocollo firmato con la pressione di prova documentata, il tempo di mantenimento registrato e il certificato di calibrazione del manometro allegato. La prima è un'affermazione; la seconda è una prova difendibile. Quando la revisione di accettazione coinvolge un team di qualità, un ente normativo o un cliente che non ha assistito ai test, solo la seconda sopravvive all'esame.
| Articolo da includere | Rischio se mancante | Cosa confermare nel pacchetto |
|---|---|---|
| Prove grezze e dati calibrati di tutti i test (ad es., prova di tenuta) | L'accettazione viene ritardata o contestata sulla base di affermazioni di “prassi standard” invece che di prove documentate. | I dati provengono da strumenti calibrati e da protocolli di prova firmati (ad esempio, prova di tenuta a 2500 Pa). |
| Liste di controllo dell'installazione, registri di prova e schemi di cablaggio | Durante il turnover si verificano attriti dovuti all'incompletezza della documentazione per le esigenze operative e di conformità. | Tutti i documenti sono le versioni approvate e corrispondono al sistema as-built. |
I documenti del pacchetto devono avere un riferimento incrociato al sistema costruito, non solo al progetto originale. Schemi elettrici che mostrano la configurazione progettata ma non quella installata, o liste di controllo che coprono l'ambito pianificato ma non le modifiche apportate durante l'installazione, creano un disallineamento che i revisori probabilmente noteranno. Lo standard in base al quale EudraLex Annex 15 valuta la documentazione di qualifica è la completezza e la tracciabilità delle prove: non si tratta di verificare se il lavoro è stato svolto, ma se si può dimostrare che è stato fatto correttamente.
Per i team che costruiscono il loro piano di commissionamento fin dall'inizio, Servizi di commissionamento di Qualia Bio sono strutturati in modo da produrre il tipo di prove documentate e calibrate che supportano un fatturato difendibile, il che è molto importante quando il team di qualità del cliente e la definizione di “completo” del fornitore non coincidono.
La decisione più importante nella messa in servizio di BIBO non è quali test eseguire, ma quando eseguirli e quali prove richiedere. I controlli rinviati dalla FAT all'installazione in loco diventano rischi di qualificazione. I test eseguiti senza strumenti calibrati o protocolli firmati diventano controversie di accettazione. Le prove dell'operatore rinviate dopo il passaggio di consegne diventano un fallimento operativo. Ognuno di questi è un modello noto e prevenibile, e ognuno deriva dal trattare la messa in servizio come una sequenza di caselle da spuntare piuttosto che come un processo controllato di accumulo di prove.
Prima di concludere qualsiasi fase di messa in servizio, occorre chiedersi se il pacchetto in vostro possesso sopravvivrebbe alla revisione da parte di qualcuno che non era presente durante il lavoro. Se la risposta dipende dal contesto, dall'anamnesi verbale o dalla fiducia nelle pratiche standard del fornitore, il pacchetto non è completo. Ciò che sopravvive alla revisione sono i dati calibrati, i protocolli firmati, la documentazione approvata che corrisponde al sistema costruito e la prova che gli operatori hanno eseguito la sequenza di servizio critica in condizioni realistiche.
Domande frequenti
D: Cosa succede se il fornitore insiste che il test di tenuta in fabbrica è stato completato, ma non è in grado di produrre un protocollo firmato o un certificato di calibrazione del calibro?
R: Rifiutarla in quanto prova insufficiente del QI. Una conferma verbale o informale di un test di tenuta non soddisfa lo standard di documentazione richiesto per un fatturato difendibile. È necessario un protocollo firmato con la registrazione della pressione di prova e del tempo di mantenimento e un certificato di calibrazione legato allo strumento specifico utilizzato, non una dichiarazione generica che il test è stato eseguito secondo la prassi standard. Se il fornitore non è in grado di fornirlo, il test deve essere ripetuto in condizioni documentate, idealmente prima che l'unità lasci la fabbrica.
D: A che punto il rinvio del SAT all'appaltatore dell'installazione piuttosto che al team del proprietario diventa un rischio di audit?
R: Diventa un rischio nel momento in cui le registrazioni SAT non fanno riferimento ai documenti di progettazione approvati dal proprietario. Le registrazioni SAT generate dall'appaltatore possono riflettere accuratamente ciò che è stato installato, ma se sono state redatte in base alla lista di controllo interna dell'appaltatore piuttosto che ai disegni di progetto del proprietario, non possono dimostrare la conformità all'intento progettuale, che è il requisito specifico stabilito dall'Allegato 15 di EudraLex. Se il SAT è già stato completato in questo modo, il team del proprietario dovrebbe condurre una verifica indipendente rispetto ai documenti di progetto approvati e documentarla separatamente prima dell'inizio dell'OQ.
D: Il superamento del test di tenuta FAT a 2500 Pa significa che il test di integrità della tenuta può essere saltato durante l'OQ?
R: No. Il risultato FAT documenta le condizioni di fabbrica; il test di integrità delle perdite OQ documenta le condizioni installate dopo la movimentazione, il trasporto e l'integrazione nel sistema di condotti. Si tratta di stati distinti che richiedono prove separate. Un protocollo OQ che faccia riferimento al risultato FAT come sufficiente senza generare un proprio record di dati grezzi sarà messo in discussione in sede di revisione di accettazione, in particolare se sono state effettuate o modificate connessioni di interfaccia dopo la spedizione.
D: Come deve comportarsi un gruppo di lavoro con un protocollo OQ che indica che il flusso d'aria deve essere “adeguato” piuttosto che specificare un intervallo numerico di accettazione?
R: Rivedere il criterio di accettazione prima dell'esecuzione, non dopo. Un qualificatore vago come “adeguato” non può essere né superato né fallito, ma solo interpretato, il che significa che la registrazione OQ non sopravviverà all'esame di un revisore della qualità che non era presente. Risalite alle specifiche di progetto per identificare i valori del profilo di velocità e del flusso direzionale che il sistema è stato progettato per soddisfare, documentateli come criteri di accettazione nel protocollo e confermate di disporre di apparecchiature di misura calibrate in grado di produrre risultati tracciabili rispetto a tali valori.
D: La prova dell'operatore con i DPI del sito è considerata una fase di qualificazione formale che deve comparire nel pacchetto di chiusura?
R: Non di default, ma la decisione di escluderla dal pacchetto comporta un rischio in avanti. Se la prova rivela che la SOP scritta non può essere seguita come documentato in condizioni reali, a causa di restrizioni dei DPI, dell'adattamento dell'utensile o di ipotesi di tempistica, questa scoperta deve andare da qualche parte. Se non viene rilevata durante la presenza del team di messa in servizio, il primo cambio di filtro dal vivo diventa il test di fatto e qualsiasi rapporto di deviazione risultante farà riferimento a una lacuna osservabile durante la messa in servizio ma non registrata. Come minimo, l'osservazione della prova e le eventuali modifiche alla SOP apportate di conseguenza devono essere documentate e incrociate nel verbale di consegna.
