Prove di accettazione in fabbrica per i sistemi VHP, BIBO e isolatori: la documentazione che gli acquirenti dovrebbero richiedere

Un'apparecchiatura che supera un controllo all'accensione in fabbrica e che poi rivela difetti nella sequenza delle valvole, interblocchi che non funzionano correttamente o errori nella cascata di pressione durante la messa in servizio in loco non è frutto di sfortuna: è il risultato di un ambito di verifica FAT che non ha coperto tutto ciò che l'apparecchiatura doveva effettivamente dimostrare. Il costo a valle di tale lacuna non è astratto: le rilavorazioni in loco sulle apparecchiature di contenimento richiedono condizioni controllate, procedure di decontaminazione e spesso notifiche alle autorità di regolamentazione, tutti elementi che comprimono il programma di messa in servizio e possono posticipare di settimane le date di inizio della qualificazione. La decisione che previene la maggior parte di tali danni non è un SAT più rigoroso, bensì un FAT più completo, con un protocollo approvato prima della visita e un chiaro accordo su ciò che deve essere completato prima che l’apparecchiatura lasci lo stabilimento. Comprendere dove si trova tale limite e quali prove richiedere in ogni fase è ciò che consente agli acquirenti di prendere una decisione di spedizione difendibile piuttosto che ottimistica.

Controlli in fabbrica su VHP, BIBO e gruppi isolatori

Verificare che un isolatore, un alloggiamento BIBO o un’unità di trasferimento VHP sia fisicamente completo è un punto di partenza necessario, ma non sufficiente. I controlli in fabbrica davvero significativi sono quelli che generano prove misurabili di conformità o non conformità rispetto a criteri prestabiliti — prove che consentono di eliminare una potenziale causa di guasto prima della spedizione oppure di individuarla con sufficiente anticipo per consentirne la correzione in fabbrica.

Per quanto riguarda specificatamente le apparecchiature di contenimento, quattro attività di verifica comportano le conseguenze più gravi a valle se vengono tralasciate. Una prova di prestazione di contenimento su un isolatore o su un sistema di scarico conferma che il confine di contenimento regga in condizioni rappresentative prima che l’unità venga caricata su un camion. Una prova di mantenimento della pressione o una prova di tenuta sotto vuoto applica criteri misurabili a quella che altrimenti sarebbe un’ispezione visiva: l’assieme è a tenuta d’aria oppure no, e il risultato viene registrato rispetto a un valore di accettazione concordato. Il test di integrità dei filtri HEPA, condotto nel quadro della norma ISO 14644 e in conformità con i requisiti di documentazione GMP citati nell’Allegato 15, verifica che le prestazioni di filtrazione soddisfino le specifiche prima che l’unità venga collocata in un’area controllata, dove la correzione degli errori risulta molto più complessa. L’ispezione dimensionale mediante strumenti calibrati può sembrare una procedura amministrativa, ma le discrepanze tra le dimensioni registrate in fabbrica e i disegni in cantiere creano problemi di allineamento che risultano davvero costosi da correggere una volta che gli altri lavori sono già a uno stadio avanzato.

Il profilo di rischio di ogni controllo saltato è diverso nella natura, non solo nell’entità. Una perdita non individuata su un isolatore di biosicurezza passa da una correzione in fabbrica a un rischio di esposizione per l’operatore. Una discrepanza dimensionale passa da una verifica del disegno a una modifica strutturale. Considerarle come semplici misure facoltative volte a rafforzare la fiducia significa sottovalutare la loro reale importanza: rappresentano infatti l’ultimo momento del progetto in cui correggere ciascuna classe di difetti risulta relativamente poco costoso.

Sequenza di controllo e segnalazioni di allarme che gli acquirenti dovrebbero verificare

Il test FAT che più spesso viene ridotto a causa delle pressioni legate alle scadenze è proprio quello che conta di più per la sicurezza degli operatori: l’esecuzione sotto supervisione della logica di controllo in condizioni di guasto, non solo durante il funzionamento normale. La sequenza di prova a secco conferma che il programma del PLC esiste; non conferma però che l’allarme “guanto rimosso” si attivi correttamente, che l’arresto di emergenza fermi il sistema nella sequenza corretta, né che l’apertura di una porta di protezione costringa il sistema a passare a uno stato di sicurezza definito anziché continuare il ciclo.

Assistere a questi test è importante perché le modalità di guasto che individuano non sono visibili nei disegni o nelle revisioni della documentazione. Una condizione di “guanto rimosso” che non viene segnalata correttamente, un interblocco che rileva una protezione aperta ma non interrompe la sequenza, o un arresto di emergenza che ferma i motori ma lascia aperta una linea pressurizzata: nessuno di questi difetti compare nella documentazione tecnica as-built. Essi emergono solo quando viene eseguito il test. Gli acquirenti che partecipano al FAT ma non assistono alle transizioni dei dispositivi di interblocco e alle risposte degli allarmi, in pratica, accettano tali elementi sulla fiducia.

Il compromesso è reale: assistere a un maggior numero di fasi di collaudo allunga la durata della visita allo stabilimento e richiede più tempo da parte del personale dell’acquirente. Tale prolungamento è gestibile solo se il protocollo di collaudo è stato finalizzato e concordato prima della visita, in modo che il team dello stabilimento non debba attendere l’approvazione mentre il tempo scorre. Laddove sia prevista la misurazione dei tempi di risposta dei sistemi di sicurezza — applicabile nei casi in cui nelle specifiche di sicurezza sia definito un livello prestazionale specifico — tale prova richiede strumentazione e metodologia di cronometraggio concordate in anticipo, che non possono essere improvvisate il giorno stesso.

I difetti nella logica di controllo che vengono rilevati in loco non richiedono semplicemente una correzione software. Sulle apparecchiature di contenimento, la diagnosi di un guasto all’interblocco richiede spesso lo sgombero dell’area, il rispetto delle procedure di accesso e la ridocumentazione di qualsiasi correzione nell’ambito del controllo delle modifiche. Il costo, rispetto alla rielaborazione in fabbrica, è raramente inferiore a tre a uno, e tale stima non include l’impatto sul programma di qualificazione.

Revisione della documentazione prima che le apparecchiature lascino lo stabilimento

Le carenze nella documentazione riscontrate durante le fasi SAT o IQ non sono semplici correzioni amministrative di minore entità. Quando l’apparecchiatura fisica non corrisponde ai disegni sottoposti a controllo di revisione forniti in dotazione, oppure quando nel manuale tecnico di produzione mancano le certificazioni dei materiali per i componenti a contatto con il prodotto o con l’aria di processo, il team di qualificazione non può procedere senza risolvere tali lacune — il che comporta il dover ricontattare il fornitore dopo l’installazione dell’apparecchiatura, sotto pressione in termini di tempo e spesso con un margine di manovra limitato.

Il principio dell’Allegato 15, secondo cui la documentazione deve riflettere lo stato “as-built” prima che si proceda alla qualificazione, costituisce il quadro di riferimento in questo contesto: ciò che esce dalla fabbrica rappresenta la linea di base rispetto alla quale viene valutata ogni fase successiva della qualificazione. Se tale linea di base è incompleta o non conforme al momento della spedizione, la carenza non scompare: o ritarda la qualificazione iniziale (IQ) oppure diventa un’irregolarità.

La verifica della documentazione di maggiore importanza durante il FAT è la riconciliazione delle modifiche evidenziate in rosso: si tratta di confermare che le deviazioni individuate e corrette durante lo stesso FAT siano riportate in una revisione aggiornata del disegno, e non registrate solo nel rapporto del FAT come nota. Un rapporto FAT che descriva una valvola riposizionata durante le prove, senza un corrispondente aggiornamento del P&ID, crea una situazione documentale che darà luogo a una non conformità durante l’IQ. Individuare tale problema in fabbrica, mentre il team di progettazione originale è ancora presente, è sostanzialmente più efficiente che individuarlo durante l’IQ, quando l’apparecchiatura è già installata e il team in loco sta lavorando sulla base del disegno non corretto.

Per ulteriori dettagli sui requisiti documentali da soddisfare prima di partecipare al FAT, il Guida alle migliori pratiche per la documentazione degli isolatori OEB4/OEB5 illustra i documenti che dovrebbero essere disponibili prima dell'inizio della qualificazione.

Tempistiche per l'approvazione del protocollo prima della partecipazione al FAT

Il motivo più comune per cui gli elenchi delle attività da completare per il FAT si allungano più del dovuto non è la scarsa qualità di produzione, bensì l’approvazione tardiva del protocollo. Quando i commenti del controllo qualità sul protocollo FAT arrivano dopo che l’apparecchiatura è già stata assemblata, si verificano contemporaneamente due cose: i criteri di accettazione potrebbero dover essere rivisti per riflettere ciò che è stato effettivamente realizzato, e qualsiasi criterio di accettazione che richieda modifiche fisiche comporta l’obbligo di ripetere i test, riducendo così il tempo a disposizione tra il completamento del FAT e la data di spedizione prevista.

Pianificare il FAT da due a quattro settimane prima della data di spedizione prevista è un criterio pratico di pianificazione che serve a creare un margine di tempo per eventuali correzioni. Tale margine è efficace solo se il protocollo viene approvato prima dell’inizio del FAT — e non se viene esaminato durante lo stesso. In pratica, ciò significa che il fornitore deve presentare la bozza del protocollo con sufficiente anticipo per consentire un ciclo di commenti significativo, mentre l’acquirente deve considerare la revisione del protocollo come un’attività del progetto con una scadenza precisa, non come un’attività secondaria.

Nel caso del FAT virtuale, i requisiti di coordinamento sono più elevati, non inferiori. I ruoli, i canali di comunicazione, le modalità di condivisione dello schermo e le procedure di passaggio delle fasi di test devono essere definiti prima dell’inizio della sessione, poiché la possibilità di mettere in pausa e chiarire eventuali dubbi è più limitata rispetto a un incontro di persona, e l’esecuzione ripetuta delle fasi di test in fusi orari diversi è davvero dirompente. L’approvazione preventiva del protocollo e il congelamento del progetto dell’apparecchiatura prima della sessione virtuale non sono semplici preferenze amministrative: sono le condizioni necessarie affinché un FAT virtuale possa generare prove affidabili.

Il momento in cui i criteri di accettazione devono essere concordati è prima del completamento della realizzazione, non dopo. Una volta assemblata l’apparecchiatura, adattare i criteri di accettazione per farli corrispondere a ciò che è stato realizzato può soddisfare il protocollo, ma vanifica lo scopo stesso di aver stabilito dei criteri in primo luogo. Concordare i criteri in una fase precoce — nella fase URS o durante la revisione del progetto — significa che gli obiettivi di produzione in fabbrica sono noti e che il protocollo FAT riflette i requisiti prestazionali effettivi anziché una registrazione a posteriori di ciò che è stato osservato.

Voci dell'elenco delle cose da sistemare che dovrebbero impedire la spedizione

Non tutti gli elementi FAT in sospeso comportano le stesse conseguenze al momento della spedizione. La distinzione pratica riguarda gli elementi che possono essere verificati solo in loco — allacciamenti alle utenze, bilanciamento della cascata di pressione, integrazione con i sistemi di gestione dell’edificio — e quelli che riflettono difetti di fabbrica non risolti, che lo stabilimento è nella posizione migliore per correggere. Confondere queste due categorie, sia spedendo con elementi critici non risolti, sia ritardando la spedizione in attesa di veri e propri punti di messa in servizio dipendenti dal sito, crea attriti inutili in entrambe le direzioni.

Una lista delle attività da completare ben gestita assegna a ciascuna voce una categoria, un responsabile e una data obiettivo di chiusura oppure un accordo documentato che preveda il trasferimento della voce al SAT con criteri di accettazione definiti. La funzione di attribuzione delle responsabilità è importante tanto quanto quella di monitoraggio. Una voce della lista delle attività da completare ancora aperta, senza un responsabile assegnato né un percorso di risoluzione concordato, non diventa la priorità di nessuno — si trasforma in una controversia quando il team in cantiere la incontra durante la messa in servizio.

Gli elementi che dovrebbero impedire la spedizione sono quelli in cui il difetto è di origine di fabbrica, per la cui risoluzione sono necessarie risorse di fabbrica e in cui il rischio di spedizione senza risoluzione comporta rischi per la sicurezza degli operatori, l’integrità del contenimento o la validità della linea di base di qualificazione. Gli errori di sequenziamento delle valvole, i guasti alla logica degli allarmi, le non conformità strutturali e le discrepanze nello stato della documentazione rientrano in questa categoria. Gli articoli che rappresentano attività di messa in servizio dipendenti dall’interfaccia — portate delle utenze, bilanciamento dei filtri finali, integrazione di rete — non impediscono la spedizione, ma devono essere formalmente registrati come parte dell’ambito SAT con criteri concordati.

Il Lista di controllo per la messa in servizio di BIBO tratta in modo più approfondito la transizione tra la chiusura della lista di controllo FAT e l'ambito SAT, con particolare riferimento ai sistemi "bag-in bag-out".

Decisione relativa alla spedizione basata sulla chiusura critica del FAT

La decisione relativa alla spedizione rappresenta l’ultimo momento del progetto in cui l’acquirente detiene un potere contrattuale significativo nei confronti del fornitore. Una volta che le apparecchiature lasciano lo stabilimento, la capacità del fornitore di correggere i difetti fisici richiede o un sopralluogo in condizioni controllate o una spedizione di ritorno — entrambe opzioni sostanzialmente più costose rispetto alla riparazione in fabbrica, e per nessuna delle quali il fornitore ha un incentivo contrattuale a dare priorità a una rapida risoluzione una volta soddisfatti i termini di pagamento.

L'autorizzazione alla spedizione di lotti con elementi critici ancora in sospeso, partendo dal presupposto che la messa in servizio in loco li risolverà, è una prassi spesso incoraggiata dai programmi di approvvigionamento e successivamente ereditata dai team di validazione. La conseguenza pratica è una fase di messa in servizio che inizia con difetti noti, un team in loco che impiega tempo di progetto per diagnosticare problemi già visibili durante il FAT e un avvio della qualificazione che dipende dalla risoluzione di tali problemi nell'ambito del controllo delle modifiche piuttosto che tramite correzioni in fabbrica.

La prassi giustificabile di rilascio della spedizione — sostenuta in linea di principio dal requisito dell’Allegato 15 secondo cui le voci irrisolte devono essere formalmente monitorate prima di procedere alla fase di qualificazione successiva — consiste nel richiedere una delle due condizioni seguenti prima di rilasciare l’unità: o una prova documentata della chiusura per ogni voce critica della lista di controllo, oppure un accordo scritto che classifichi esplicitamente la voce come parte dell’ambito SAT dipendente dal sito, definisca i criteri di accettazione e assegni la responsabilità. La parola chiave è ’scritto». Un accordo verbale secondo cui il team del sito se ne occuperà non crea responsabilità; crea invece un divario di aspettative che emerge proprio nel momento meno opportuno.

Per VHP pass box e bag-in bag-out Nelle unità in cui le prestazioni del ciclo di decontaminazione e l’integrità dell’alloggiamento del filtro sono fondamentali per la funzione di contenimento, l’autorizzazione alla spedizione di apparecchiature con problemi irrisolti relativi all’integrità della pressione o alla logica del ciclo trasferisce di fatto il rischio di mancata qualificazione del contenimento al sito — dove risolverlo risulta più complesso, più costoso e più evidente alle autorità di regolamentazione.

È proprio nella decisione relativa alla spedizione che si determina se le prove del FAT siano sufficienti o meno. Un FAT che abbia verificato la risposta agli allarmi, confermato le transizioni degli interblocchi, verificato l’integrità della pressione e prodotto un pacchetto documentale completo genera un’autorizzazione alla spedizione che il team di controllo qualità può approvare con fiducia. Un FAT che abbia confermato lo stato di accensione e la completezza visiva genera un’autorizzazione alla spedizione che, in pratica, equivale a un trasferimento del rischio irrisolto al team del sito.

Prima di partecipare al FAT, la mossa più produttiva che un acquirente possa compiere è verificare che il protocollo sia stato approvato, che i criteri di accettazione siano stati definiti prima del completamento della costruzione e che il quadro di classificazione della lista delle carenze distingua le voci risolvibili in fabbrica da quelle che rientrano effettivamente nell’ambito dei test di accettazione sul posto (SAT). Queste tre condizioni determinano se la visita FAT produca prove concrete o si riduca a un semplice evento in calendario — e tale distinzione è ben più importante per la messa in servizio e la qualificazione rispetto al numero di giorni richiesti dalla visita.

Domande frequenti

D: Cosa succede se il protocollo FAT non è stato formalmente approvato prima della visita in fabbrica?
R: La visita per il FAT genererà un evento in programma piuttosto che prove giustificabili. In assenza di un protocollo pre-approvato, i criteri di accettazione potrebbero essere rivisti per allinearsi a quanto effettivamente realizzato anziché a quanto specificato; le fasi di collaudo potrebbero essere contestate il giorno stesso; inoltre, eventuali osservazioni relative al controllo qualità che richiedano correzioni fisiche ridurranno il margine di tempo tra il completamento del FAT e la data di spedizione prevista — costringendo potenzialmente a scegliere tra il rinvio della spedizione e l’invio con punti in sospeso.

D: È sufficiente un FAT virtuale per le apparecchiature di contenimento, quali isolatori e sistemi BIBO, oppure è necessaria la presenza fisica di un testimone?
A: Un FAT virtuale può fornire prove attendibili, ma solo a condizione che siano rispettati requisiti preliminari più rigorosi rispetto a una visita in presenza. I ruoli, i canali di comunicazione, le modalità di condivisione dello schermo e le procedure di passaggio tra le fasi di test devono essere definiti prima dell’inizio della sessione, e il protocollo deve essere approvato integralmente in anticipo. La possibilità di mettere in pausa, chiarire e ripetere una fase è più limitata a causa dei fusi orari e delle configurazioni remote, pertanto qualsiasi ambiguità nel protocollo o nella progettazione delle apparecchiature, che verrebbe risolta rapidamente di persona, richiederà probabilmente una sessione separata — il che comporta un costo effettivo in termini di tempistiche.

D: In quale fase del progetto dovrebbero essere definiti i criteri di accettazione per il FAT?
A: I criteri di accettazione dovrebbero essere concordati prima del completamento della realizzazione dell’apparecchiatura, idealmente nella fase URS o durante la revisione del progetto. Una volta assemblata l’unità, stabilire i criteri a posteriori per adattarli a ciò che è stato realizzato soddisfa il protocollo sulla carta, ma vanifica lo scopo stesso dell’esistenza dei criteri. Un accordo tempestivo garantisce che la realizzazione in fabbrica abbia obiettivi prestazionali definiti e che il protocollo FAT rifletta i reali requisiti di qualificazione, anziché costituire una semplice registrazione dei risultati osservati.

D: In che modo un acquirente dovrebbe decidere se sospendere la spedizione o accettare una voce in sospeso dell'elenco delle attività da completare come parte dell'ambito del SAT (Test di accettazione sul posto) dipendente dal sito?
R: Il fattore determinante è se per risolvere il difetto siano necessarie risorse di fabbrica. Gli articoli in cui il difetto è di origine di fabbrica — errori di sequenziamento delle valvole, malfunzionamenti della logica di allarme, non conformità relative all’integrità della pressione, discrepanze nella documentazione — dovrebbero bloccare la spedizione fino a quando non vi siano prove della risoluzione del problema. Gli articoli che dipendono effettivamente dall’interfaccia, come il bilanciamento della portata delle utenze o l’integrazione con il sistema di gestione dell’edificio, possono essere trasferiti al SAT a condizione che vi sia un accordo scritto che definisca i criteri di accettazione e attribuisca le responsabilità. Un accordo verbale non è sufficiente; senza una classificazione scritta, l’articolo non ha un responsabile né un percorso di risoluzione in loco.

D: Un FAT approfondito riduce l'ambito di applicazione del SAT, oppure entrambi devono rimanere completamente indipendenti?
R: Un FAT approfondito non sostituisce il SAT, ma modifica in modo sostanziale ciò che il SAT sta verificando. Il FAT risolve i modi di guasto risolvibili in fabbrica — integrità del contenimento, risposta agli allarmi, logica di controllo, stato della documentazione — in modo che il SAT possa concentrarsi sulle prestazioni specifiche del sito: collegamenti alle utenze, bilanciamento della cascata di pressione, instradamento integrato degli allarmi e prestazioni dei filtri installati in condizioni operative reali. Quando l’ambito del FAT viene ridotto, il SAT eredita sia il proprio ambito legittimo sia i difetti di fabbrica non risolti; ciò significa che il team in loco si trova a diagnosticare i problemi nell’ambito del controllo delle modifiche anziché nell’ambito della correzione in fabbrica, con un costo che raramente è inferiore a tre a uno.