Lista di controllo SAT per sistemi integrati BSL-3/4: servizi, controlli, allarmi, HEPA, VHP ed EDS

I sistemi integrati BSL-3/4 non superano il test SAT non perché i singoli componenti siano difettosi, ma perché le connessioni tra di essi — utenze, controlli, scarico HEPA, erogazione di VHP e interfacce EDS — non sono mai state testate in condizioni che rispecchino il funzionamento effettivo dell’edificio. Il risultato è spesso una pressione instabile durante il primo test di apertura delle porte, un ciclo VHP che non può essere completato perché la logica della serranda di scarico non è mai stata verificata, oppure registrazioni di allarme che non possono essere ricondotte a sensori calibrati. Tali difetti sono risolvibili prima dell’inizio della qualificazione; diventano costosi dopo l’emissione dei registri IQ/OQ. Il giudizio pratico che questa checklist supporta consiste nel sapere quali comportamenti integrati debbano dimostrare registrazioni di superamento prima dell’inizio della qualificazione e quali elementi irrisolti possano essere riportati alla fase successiva solo se accompagnati da una disposizione documentata e basata sul rischio.

Utilità installate nei controlli di preparazione del SAT

Il motivo più comune per cui i risultati dei test SAT vengono successivamente contestati è che le prove sono state avviate prima che gli impianti installati fossero sufficientemente stabili da garantire risultati ripetibili. Quando la pressione di mandata è incostante, il flusso di scarico non è bilanciato o sono ancora presenti collegamenti provvisori, un test fallito non può essere attribuito all’impianto in fase di valutazione — potrebbe semplicemente riflettere lo stato incompiuto dell’edificio. Tale ambiguità è difficile da risolvere a posteriori, in particolare quando ci si aspetta che gli stessi risultati costituiscano la base della documentazione IQ.

Prima dell’avvio del SAT, è necessario confermare, anziché dare per scontato, lo stato effettivo dell’impianto presente all’interfaccia dell’apparecchiatura. Ciò significa verificare che i volumi e le pressioni dell’aria di mandata rientrino nell’intervallo per cui i sistemi di controllo sono stati configurati, che i collegamenti di scarico siano permanenti e bilanciati, che le alimentazioni elettriche corrispondano ai requisiti di carico in base ai quali l’apparecchiatura è stata collaudata in fabbrica e che siano installati strumenti calibrati nei punti in cui verranno registrati i dati. Anche l’alimentazione di emergenza e la ridondanza del sistema di scarico devono essere effettivamente operative, non solo previste: testare il comportamento del sistema durante una simulazione di interruzione dell’alimentazione è giustificabile solo se i sistemi di backup sono effettivamente collegati.

L’integrità dell’involucro fa parte di questa verifica di preparazione. Il SAT rappresenta la prima occasione per ispezionare giunti, penetrazioni, guarnizioni delle porte, passaggi e vetrate nelle condizioni in cui sono stati installati. Individuare una penetrazione che presenta perdite o una guarnizione della porta che è stata compressa oltre i limiti specificati durante l’installazione è semplice da risolvere in questa fase. Scoprire lo stesso problema durante le prove di pressione a cascata, o peggio ancora durante una prova di qualificazione, trasforma una piccola imperfezione costruttiva in una deviazione formale che richiede la documentazione della causa principale e il recupero del programma. Il controllo di idoneità SAT non è una precondizione di facciata; è un filtro pratico che determina se i risultati delle prove successive saranno considerabili validi.

Verifica dei comandi e degli allarmi prima dell'IQ/OQ

I sistemi di controllo della pressione che funzionano in modo accettabile in condizioni statiche possono comportarsi in modo molto diverso durante i disturbi che caratterizzano il normale funzionamento dei laboratori BSL-3/4. L’apertura di una porta nell’anticamera, un filtro che ha accumulato sporcizia tra un ciclo di manutenzione e l’altro o uno squilibrio temporaneo nel sistema di scarico durante un’interruzione dell’alimentazione possono tutti mettere in luce i punti deboli della logica di controllo della pressione che un semplice controllo a setpoint singolo non rileverà mai. Quando tali punti deboli non vengono individuati durante il SAT, tendono a emergere durante le prove di qualificazione, dove un test di recupero della pressione fallito costituisce un evento formale con conseguenze in termini di tempistiche e documentazione.

La verifica dei controlli e degli allarmi non dovrebbe limitarsi a confermare che i setpoint siano programmati correttamente. La logica di risposta dinamica — che comprende la sequenza delle soglie di allarme, il passaggio alla ridondanza e la capacità del sistema di ripristinare il contenimento dopo un'anomalia — deve essere dimostrata in condizioni di disturbo, non solo in condizioni di regime stazionario. Anche l'integrazione con il sistema di gestione dell'edificio (BMS) richiede attenzione in questo ambito: se i segnali di allarme non sono correttamente mappati sul livello di gestione dell'edificio, o se la gerarchia delle priorità non corrisponde al protocollo di risposta previsto per la struttura, tali lacune non saranno evidenti fino a quando non si verificherà un evento di allarme reale. La norma ASTM E2500-25, che fornisce un quadro di riferimento basato sulla scienza e sul rischio per la specifica e la verifica dei sistemi di produzione farmaceutica, sostiene il principio secondo cui l’integrazione tra i sistemi di controllo debba essere verificata in base a requisiti funzionali definiti, piuttosto che dedotta esclusivamente dalle schede tecniche delle apparecchiature.

L'implicazione pratica è che la verifica dei controlli e degli allarmi durante la fase SAT rappresenta l’ultima fase in cui la logica del fornitore può essere messa in discussione e modificata senza generare una registrazione formale di controllo delle modifiche su un sistema qualificato. Dopo l’IQ/OQ, qualsiasi modifica alle soglie di allarme, agli interblocchi o alla mappatura del BMS costituisce una modifica convalidata del sistema. I team che rimandano la verifica dei controlli alla fase di qualificazione spesso si rendono conto che il costo di una singola revisione della logica — in termini di documentazione, ripetizione dei test e tempistiche — supera quanto sarebbe costato risolvere lo stesso problema durante la fase SAT.

Record relativi alle interfacce HEPA, VHP ed EDS

HEPA, VHP ed EDS vengono spesso considerati come flussi di lavoro di messa in servizio distinti, ma le loro interfacce con lo stesso involucro edilizio creano dipendenze che il SAT deve verificare congiuntamente. Un alloggiamento HEPA installato senza aver verificato l’accessibilità per il test di integrità del filtro, ad esempio, potrebbe richiedere uno smontaggio parziale prima che sia possibile eseguire il primo test di scansione — trasformando una fase di routine della messa in servizio in una modifica meccanica che ritarda l’intera sequenza di qualificazione. Il Inserimento in saccoccia Uscita in saccoccia La configurazione dell'alloggiamento del filtro risolve questo problema già in fase di progettazione, ma l'interfaccia tra l'alloggiamento, il condotto di scarico e il sistema di controllo della pressione ambiente richiede comunque una verifica specifica in loco durante i test di accettazione sul posto (SAT).

La compatibilità con il VHP non si limita alla semplice conferma che il generatore abbia erogato la concentrazione specificata di perossido di idrogeno durante il test FAT. In loco, la verifica deve accertare che i materiali delle superfici, le guarnizioni, le guarnizioni delle porte, gli alloggiamenti dei sensori e qualsiasi raccordo di penetrazione installato durante la costruzione siano compatibili con l’esposizione ripetuta al VHP. Il degrado dei materiali causato dalla composizione chimica del VHP è cumulativo e in genere non è visibile fino a quando una guarnizione non si guasta o una superficie non diventa difficile da pulire. A Generatore di perossido di idrogeno VHP può garantire cicli costanti, ma se l'involucro della sala comprende componenti che sono stati sostituiti durante la costruzione senza una verifica di compatibilità, i risultati della distribuzione di VHP finiranno per diventare incostanti. La norma ISO 14644-3:2019, che disciplina i metodi di prova per le camere bianche, comprese le prove di tenuta dei filtri installati, fornisce un quadro di riferimento per la metodologia di prova dell'integrità dei filtri HEPA; la compatibilità con il VHP e la tracciabilità digitale EDS sono ambiti di verifica distinti che esulano dal suo campo di applicazione.

I registri dell'interfaccia EDS svolgono una specifica funzione di audit che viene spesso sottovalutata durante il SAT. I registri degli eventi, la continuità del monitoraggio integrato e i dati di tendenza provenienti dall'EDS vengono solitamente esaminati durante le ispezioni normative come prova del corretto funzionamento del processo di decontaminazione dei rifiuti liquidi per tutto il periodo di qualificazione. Se tali registri non sono strutturati in modo da garantire la tracciabilità digitale a partire dall'inizio del SAT, è difficile colmare retroattivamente questa lacuna.

La conseguenza della mancanza di documentazione relativa alle interfacce non è principalmente un ritardo nella qualificazione, bensì un problema di giustificabilità. Un ispettore che richieda la documentazione di messa in servizio relativa al risultato di una scansione di integrità HEPA, a una mappa di distribuzione del VHP o a un registro degli eventi EDS risalente alle prime fasi del periodo di qualificazione sta chiedendo prove che avrebbero dovuto essere acquisite durante la fase SAT. Se tali documenti non fossero stati strutturati in modo da supportare tale richiesta, tale lacuna richiederà una spiegazione formale.

Elenco delle attività da completare condiviso tra il fornitore e i team della struttura

Quando i team dei fornitori e delle strutture operano sulla base di elenchi di lavori da completare separati, le voci assegnate a una parte spesso non sono note all’altra fino a quando non emerge un conflitto di tempistiche. Il risultato è che le tappe fondamentali per la convalida — il completamento delle prove di pressione, il passaggio di consegne dei sistemi di controllo, l’approvazione della qualificazione dei servizi di utenza — vengono trattate come la chiusura di flussi di lavoro interni anziché come tappe condivise. Quando entrambi i team cercano di allineare i propri registri prima dell’IQ, la risoluzione delle discrepanze relative ai criteri di accettazione, ai soggetti responsabili e allo stato delle voci può richiedere più tempo rispetto alla risoluzione delle voci stesse.

La fase di appalto è il momento giusto per definire una struttura di responsabilità condivisa. Richiedere agli offerenti di identificare le voci con tempi di approvvigionamento lunghi, le dipendenze dal sito e le tappe fondamentali per la validazione durante l’esame delle proposte — prima dell’aggiudicazione del contratto — rende esplicite, anziché implicite, le ipotesi relative alla tempistica. Una matrice delle responsabilità che assegni le competenze relative alla progettazione, alla fabbricazione, all’installazione, ai controlli e alla messa in servizio a soggetti specifici fornisce a entrambi i team un punto di riferimento da utilizzare per risolvere le controversie senza dover rinegoziare l’ambito di lavoro. Per i sistemi integrati complessi, questa struttura non è una formalità amministrativa, ma il meccanismo che determina se il SAT possa essere eseguito come attività congiunta con documentazione condivisa e difendibile. Maggiori dettagli su come sono tipicamente strutturati questi punti di consegna per la messa in servizio sono disponibili nel Guida passo passo alla messa in funzione del vostro laboratorio BSL-3.

I documenti di messa in servizio pre-SAT dovrebbero definire criteri di accettazione che entrambi i team possano utilizzare per valutare lo stesso risultato. Formulazioni generiche — come “il sistema funziona come specificato” o “i controlli sono operativi” — non possono supportare una decisione definitiva quando un risultato è al limite. Le uniche voci della lista di controllo che possono essere riportate come voci aperte controllate sono quelle per le quali entrambi i team hanno concordato il criterio, registrato il risultato effettivo e documentato la motivazione di rischio alla base del rinvio. Le voci per le quali il criterio non è mai stato definito non possono essere chiuse, rinviate o classificate; possono solo essere oggetto di discussione.

Chiusura delle voci aperte prima dell'inizio della qualificazione

La decisione di classificazione — che determina quali voci SAT irrisolte costituiscano un vero e proprio ostacolo e quali possano essere trasferite come voci aperte controllate — è il punto in cui la qualificazione integrata del sistema più spesso si blocca inutilmente o procede con rischi nascosti. I team che applicano un blocco generalizzato fino alla risoluzione di tutto perdono tempo su voci che non hanno alcuna possibilità plausibile di influenzare i risultati della qualificazione. I team che riportano le voci senza una risoluzione documentata creano un registro di qualificazione che non può reggere a una revisione documentale volta a chiarire come ogni voce aperta sia stata valutata prima dell’inizio dell’IQ.

La base per le decisioni relative alla risoluzione delle questioni in sospeso è il pacchetto di documentazione di progettazione. Se i documenti di base di progettazione definiscono chiaramente lo scopo operativo, la filosofia di controllo e i presupposti di configurazione, e se il pacchetto “as-built” riflette le modifiche approvate con elenchi tracciabili dei componenti, allora ogni questione in sospeso può essere valutata rispetto a una linea di riferimento nota. Una voce è bloccante se la sua risoluzione influisce su un comportamento del sistema che sarà sottoposto a test durante l’IQ o l’OQ. È trasferibile come voce in sospeso controllata se può essere circoscritta, assegnata, programmata e se si conferma che non influisce sull’ambito di prova per la fase di qualificazione successiva. Tale valutazione richiede l’esistenza di documentazione; non può essere effettuata in modo affidabile in sua assenza. L’Allegato 15 del Volume 4 di EudraLex, che tratta i principi di qualificazione e convalida, compresa la documentazione di progettazione e la tracciabilità delle modifiche, sostiene il principio più ampio secondo cui l’intento progettuale e i registri “as-built” devono essere sufficientemente completi per supportare le successive attività di qualificazione — sebbene il flusso di lavoro specifico per la risoluzione delle voci aperte relative ai livelli di sicurezza biologica (BSL) 3/4 sia una decisione di natura ingegneristica piuttosto che una procedura definita in modo prescrittivo.

La rigorosità nella documentazione da parte dei fornitori è un indicatore precoce affidabile delle prestazioni di questa fase. Un fornitore che ha consegnato in ritardo i documenti di base di progettazione, che ha registrato le non conformità del FAT in modo informale o che ha trattato la gestione delle modifiche come una semplice funzione amministrativa interna durante la fabbricazione, presenterà probabilmente gli stessi schemi ricorrenti nella documentazione SAT. Questo aspetto è rilevante perché i registri SAT incompleti o ambigui non rappresentano semplicemente un inconveniente al momento della valutazione: diventano infatti la base formale su cui vengono prese le decisioni di qualificazione, e le lacune in essi contenute non possono essere colmate a posteriori senza generare nuovi registri che gli auditor esamineranno attentamente.

Soglia SAT per l'accettazione del sistema integrato

L’assenza di standard nazionali uniformi per la progettazione, la messa in servizio e il funzionamento dei laboratori ad alto contenimento — una lacuna rilevata in una revisione del GAO del 2013 — è una ragione pratica per cui i criteri di accettazione nel SAT devono essere definiti esplicitamente dal team di progetto, anziché essere importati da modelli generici di conformità. Quando sia il fornitore che la struttura operano sulla base di interpretazioni internamente coerenti ma reciprocamente diverse di ciò che costituisce una “prestazione accettabile”, il verbale del SAT riflette un accordo che in realtà non è mai stato raggiunto. Tale problema documentale si trasforma in un problema di qualificazione quando un ispettore chiede in base a quale criterio il sistema sia stato accettato ed entrambi i team forniscono risposte diverse.

La conferma della cascata di pressione è l’esempio più chiaro di come dati specifici abbiano più peso rispetto ad affermazioni generiche. Definire che una stanza debba mantenere un differenziale nominale, con una banda di tolleranza specificata, e che debba tornare entro tale banda entro un tempo definito dopo un’interruzione della porta, produce un criterio verificabile. Affermare che il sistema debba “mantenere una pressione negativa” non lo fa. La stessa logica si applica al comportamento in modalità di guasto: il verbale di accettazione dovrebbe dimostrare che, quando si è verificato un guasto al ventilatore di mandata, la sequenza di allarme si è attivata nell’ordine corretto, il percorso ridondante si è attivato entro un intervallo definito e la pressione della camera è rimasta nell’intervallo di contenimento per tutta la durata della transizione. Se tale prova non è stata eseguita, il comportamento in modalità di guasto rimane sconosciuto — e il verbale di qualificazione che ne consegue si basa su un’ipotesi, non su una dimostrazione.

La lista di controllo per la messa in servizio di BIBO che comprende Aspetti relativi a FAT, SAT, IQ e OQ che spesso vengono trascurati individua diverse lacune nei criteri di accettazione che si ripetono in modo specifico nella transizione da SAT a IQ, il che è in linea con il quadro generale: la formulazione generica dei criteri di accettazione tende a superare la revisione interna ma a non superare l’ispezione esterna, poiché i revisori interni conoscono l’intento dell’autore, mentre gli ispettori possono solo valutare ciò che è stato scritto.

Le decisioni che determinano se un sistema integrato BSL-3/4 superi senza intoppi la fase di qualificazione non vengono prese durante l’IQ o l’OQ, ma durante il SAT, e la maggior parte di esse dipende da quanto accuratamente siano stati definiti i criteri di accettazione prima dell’inizio dei test. Una checklist che copra la prontezza dei servizi ausiliari, la risposta dinamica alla pressione, i registri relativi alle interfacce HEPA e VHP, la tracciabilità EDS e l’integrazione degli allarmi fornisce sia al fornitore che ai team della struttura un riferimento comune. Tuttavia, una checklist funge da criterio decisionale solo se ogni voce in essa contenuta è accompagnata da un criterio misurabile e dall’indicazione di un responsabile.

Prima di procedere alla qualificazione, la verifica pratica è semplice: ogni elemento critico del SAT presenta o un record di superamento rispetto a un criterio definito, oppure una decisione scritta basata sul rischio approvata da entrambi i team. Gli elementi per i quali il criterio non è mai stato definito non possono essere oggetto di una decisione; possono solo essere rinviati al periodo di qualificazione, dove risolverli comporterà costi maggiori in termini di documentazione, nuovi test e tempistiche rispetto a risolverli ora.

Domande frequenti

D: È possibile procedere con il SAT se solo alcune utenze sono stabili mentre altre sono ancora in fase di completamento in loco?
R: No — una preparazione parziale degli impianti genera risultati di prova che non possono essere attribuiti in modo affidabile al sistema in fase di valutazione. Se l’aria di mandata, il bilanciamento dell’aria di scarico o le alimentazioni elettriche non si trovano nella loro configurazione definitiva e stabile all’inizio della prova, un risultato negativo potrebbe riflettere lo stato incompleto dell’edificio piuttosto che una carenza del sistema. Tale ambiguità è difficile da risolvere una volta che il documento è stato redatto, in particolare quando si prevede che la stessa documentazione sia alla base dell’IQ. Tutte le interfacce delle utenze devono essere verificate presso il punto di collegamento delle apparecchiature prima dell’inizio dell’esecuzione dei test SAT.

D: Una volta chiusa la fase SAT, qual è il passo successivo da compiere prima di poter avviare la procedura di documentazione dell’IQ?
R: Il passo immediatamente successivo è la risoluzione formale delle questioni in sospeso: ogni elemento SAT deve riportare o un esito positivo rispetto a un criterio definito, oppure una risoluzione scritta, basata sul rischio, approvata sia dal team del fornitore che da quello della struttura. La documentazione relativa alla qualificazione a caldo (IQ) non può avere inizio finché tale revisione non sia completata, poiché la documentazione di progetto e quella as-built utilizzate per valutare le questioni in sospeso sono le stesse su cui l’IQ farà riferimento per stabilire la linea di base della qualificazione. Tentare di avviare l’IQ mentre la classificazione delle voci bloccanti rispetto a quelle trasferibili è ancora in sospeso introduce un’ambiguità nel registro di qualificazione che risulta difficile da correggere a posteriori.

D: In quali circostanze i consigli contenuti in questa lista di controllo non sono più applicabili — ad esempio, nel caso di una struttura BSL-3 modulare o prefabbricata anziché costruita in loco?
R: La logica della checklist rimane valida, ma le condizioni limite cambiano. Nel caso di un sistema BSL-3 modulare o prefabbricato, è possibile che una parte più consistente dei test di integrazione sia stata condotta in fabbrica, il che può ridurre alcuni flussi di lavoro del SAT. Tuttavia, le interfacce che vengono stabilite solo in loco — collegamenti alle utenze, bilanciamento degli scarichi con l’infrastruttura dell’edificio, mappatura degli allarmi del sistema di gestione dell’edificio (BMS) e integrazione dell’EDS — non possono essere verificate durante il FAT (Fat Test) e rimangono nell’ambito del SAT indipendentemente dal grado di pre-integrazione. La soglia del SAT non si riduce; si ricalca invece sulle interfacce che sono effettivamente nuove al momento dell’installazione.

D: È necessario ricorrere a un agente di collaudo di terze parti per il SAT su un sistema integrato BSL-3/4, oppure i team del fornitore e della struttura possono procedere all’autocertificazione?
R: L’autocertificazione è possibile, ma comporta un rischio specifico: quando lo stesso team che ha configurato un sistema ne accetta anche i propri registri SAT, l’elenco delle attività da completare e le decisioni relative alla loro risoluzione potrebbero non essere sottoposti a un esame indipendente. In pratica, ciò comporta che i criteri di accettazione tendano ad allinearsi a ciò che il sistema è in grado di dimostrare, anziché a quanto richiesto dalle basi di progettazione. La necessità di ricorrere a un agente di messa in servizio di terze parti dipende dall’esposizione normativa dell’impianto e dalla complessità del sistema di gestione dell’edificio (BMS) e delle interfacce di interblocco; tuttavia, come minimo, i criteri di accettazione e le decisioni relative alla risoluzione delle criticità dovrebbero essere esaminati da una figura che non abbia un incentivo temporale a chiudere rapidamente le voci in sospeso.

D: In che modo i team dovrebbero valutare il costo della risoluzione di tutte le voci del SAT prima dell’IQ rispetto alla pressione imposta dal calendario per iniziare la qualificazione prima?
R: Il confronto non è simmetrico. Risolvere una lacuna nella logica di controllo o un errore di mappatura degli allarmi durante la fase SAT comporta un dispendio di tempo da parte dei tecnici e la necessità di redigere un verbale di collaudo aggiornato. Risolvere lo stesso problema dopo la fase IQ genera un evento formale di controllo delle modifiche, richiede una nuova serie di test rispetto alla baseline qualificata e produce un verbale di deviazione che risulterà visibile durante l’ispezione normativa. Per gli elementi che influenzano qualsiasi comportamento testato durante l’IQ o l’OQ — risposta della cascata di pressione, sequenza degli allarmi in modalità di guasto, logica di completamento del ciclo VHP — la risoluzione tempestiva rappresenta sempre la soluzione meno costosa. La giustificazione tempistica per rinviare tali elementi è valida solo se una decisione documentata e basata sul rischio può dimostrare in modo credibile che l’elemento irrisolto non può influire sull’ambito delle prove di qualificazione.