FAT e SAT per BSL e apparecchiature di contenimento: cosa occorre testare prima della spedizione e in loco

I ritardi nelle verifiche di qualificazione nei progetti di contenimento raramente si manifestano fin dall’inizio. Si accumulano silenziosamente nel divario tra ciò che è stato approvato in fabbrica e ciò che funziona effettivamente una volta installate le apparecchiature — e quando tale divario diventa visibile, la pressione sui tempi per chiudere la fase SAT e procedere è già significativa. La versione più comune di questo errore consiste nel considerare l’approvazione del FAT come prova che le prestazioni in loco siano state risolte, quando in pratica la stabilità della cascata di pressione, la logica dei relè di allarme e l’integrazione con il BMS non sono mai state testate nell’impianto in funzione. La correzione in quella fase è costosa non solo in termini economici, ma anche per quanto riguarda la documentazione di qualificazione: ripetere i test dopo l’installazione introduce ambiguità su quali risultati appartengano a quale configurazione. Il giudizio che permette di evitare tutto ciò consiste nel sapere con precisione quali funzioni siano verificabili in fabbrica in modo significativo e quali invece dipendano da condizioni che non possono sussistere finché l’apparecchiatura non è collegata all’edificio in cui opererà.

Funzioni verificabili in fabbrica prima della spedizione

I candidati più idonei per il FAT sono le funzioni che dipendono esclusivamente dall’apparecchiatura stessa — ovvero nei casi in cui l’ambiente di fabbrica non comporti una discrepanza significativa tra le condizioni di prova e quelle operative. Le sequenze di interblocco di sicurezza rientrano in questa categoria. Un interblocco del coperchio di una centrifuga che impedisce l’avvio del motore quando il coperchio è aperto e mantiene l’interblocco fino all’arresto del rotore può essere verificato completamente in fabbrica, poiché la sua logica dipende dal sistema di controllo e dall’assemblaggio meccanico, non dalle utenze in loco o dal flusso d’aria nella stanza. Se tale interblocco fallisce durante il SAT, il guasto è quasi sempre dovuto a un problema di trasporto o di riassemblaggio, non a una lacuna nella progettazione originale del FAT — e tale distinzione è fondamentale per definire l’ambito dell’indagine.

La revisione della documentazione non dipende in alcun modo dal sito. Verificare che i certificati dei materiali, gli schemi elettrici e le targhette identificative dei componenti corrispondano alle specifiche approvate è, per definizione, un’attività di competenza dello stabilimento. Rimandarla alla fase SAT comporta uno spreco di tempo in loco e spesso fa emergere discrepanze che avrebbero dovuto impedire la spedizione. Per i progetti che prevedono assemblaggi complessi composti da più componenti — Isolatori OEB4/OEB5 ad esempio, con array di porte per guanti e pannelli di controllo integrati — l’allineamento dei documenti in fase di FAT rappresenta il momento in cui individuare gli errori a livello di componente risulta meno costoso.

I test di contenimento SMEPAC durante il FAT richiedono un’impostazione più accurata. Eseguirli in fabbrica fornisce utili dati di riferimento e consente di individuare gravi difetti di contenimento prima della spedizione delle apparecchiature. Il compromesso è che i risultati SMEPAC sono sensibili alle condizioni specifiche in cui vengono generati: il composto surrogato, la durata dell’attività, la configurazione dell’apparecchiatura e le condizioni del flusso d’aria influenzano tutti l’esito. Se una qualsiasi di queste condizioni differisce in modo sostanziale tra la configurazione di prova in fabbrica e il processo effettivo in sito, il risultato del FAT fornisce un riferimento limitato ai fini della qualificazione. Si tratta di dati di riferimento, non di prove delle prestazioni in sito.

Interfacce dipendenti dal sito che richiedono prove SAT

Alcune categorie di test assumono significato solo una volta che l'apparecchiatura è stata installata e collegata. Cercare di risolverle in fabbrica, anche solo parzialmente, produce dati che non possono essere utilizzati con certezza nel verbale di qualificazione.

L'integrazione dei servizi è l'esempio più evidente. Un'interfaccia di controllo tra un sezionatore o Laboratorio con moduli BSL-3/BSL-4 e un sistema SCADA, PLC o DCS in loco non può essere testato completamente finché le apparecchiature di fabbrica non vengono collegate alla rete operativa del sito. La compatibilità dei protocolli, lo scambio di segnali, l’instradamento dei relè di allarme e le sequenze di conferma degli interblocchi dipendono tutti dall’effettiva architettura di controllo del sito. Una simulazione in fabbrica che utilizzi un PLC rappresentativo può individuare errori grossolani di configurazione, ma non può confermare che il sistema installato si comporti correttamente nelle condizioni operative del sito, in scenari di failover o in presenza di carico simultaneo proveniente da altre risorse collegate. Il SAT è l’unico punto di verifica valido per tali comportamenti.

Le prestazioni ambientali — stabilità della pressione differenziale, tassi di ricambio d’aria, conteggio delle particelle, integrità dei filtri e distribuzione di temperatura e umidità — dipendono dall’impianto HVAC installato e dalla geometria effettiva dell’ambiente. La classificazione delle camere bianche secondo la norma ISO 14644 dipende dall’ambiente installato, non dalla camera di prova in fabbrica. Queste misurazioni devono essere effettuate durante il SAT (Test di Accettazione in Sito), con riferimento alle URS (Requisiti di Progettazione) specifici del sito, e non devono essere riportate dalle condizioni di fabbrica, che possono differire in modo significativo per quanto riguarda il volume dell’aria di mandata, la resistenza di scarico o la strategia di pressurizzazione dell’ambiente.

I test SMEPAC condotti in condizioni di processo reali comportano rischi specifici se vengono rinviati partendo dal presupposto che i dati del FAT siano sufficienti. Il tipo di API, la durata dell’attività e la configurazione delle apparecchiature utilizzate in produzione potrebbero non corrispondere a quanto simulato in fabbrica. In caso di discrepanze, il risultato del FAT non costituisce un riferimento valido per il futuro e basarsi su di esso crea una lacuna nel sistema di contenimento che potrebbe non emergere fino al verificarsi di un evento di esposizione o a seguito di una verifica di audit.

Esami che non dovrebbero essere ripetuti senza una motivazione valida

Il principio è semplice e trova riscontro nel quadro normativo EudraLex, volume 4 Allegato 15 stabilisce quanto segue in merito all'utilizzo di dati precedentemente verificati: se una funzione è stata sottoposta a test rigorosi in fase di FAT e il trasporto o l'installazione non hanno alterato le condizioni in cui è stata testata, ripetere il test in fase di IQ/OQ comporta un onere procedurale aggiuntivo senza aumentare l'affidabilità della qualificazione. La difficoltà risiede nel fatto che tale autorizzazione richiede una base documentata, non una semplice ipotesi.

Spetta al team di qualificazione dimostrare che le condizioni verificate durante il FAT rimangano inalterate dopo la spedizione e l’installazione. Per la logica di controllo, le sequenze di interblocco e le configurazioni degli allarmi, che sono definite dal software e non subiscono l’influenza del trasporto fisico, tale dimostrazione è relativamente semplice da fornire, a condizione che il protocollo e i risultati del FAT siano completi e che la versione del software non sia cambiata. Per le misurazioni fisiche — integrità dei filtri, continuità delle guarnizioni, allineamento meccanico — è necessaria un’ispezione post-installazione che confermi che le condizioni sono rimaste invariate o identifichi dove è necessario ripetere i test.

L’errore in questo caso non consiste nell’effettuare un numero eccessivo di ripetizioni dei test, bensì nell’utilizzare il principio di efficienza dell’Allegato 15 come motivazione predefinita per saltare i controlli in loco senza verificare le ipotesi relative al trasporto e all’installazione. I team di qualificazione, sotto pressione a causa delle scadenze, tendono a considerare la documentazione relativa al FAT come un archivio di risultati a cui attingere liberamente, mentre in pratica ogni utilizzo richiede una motivazione documentata che attesti che le condizioni di prova siano state mantenute. Laddove tale motivazione non possa essere fornita, la ripetizione dei test rappresenta l’unica posizione difendibile.

Ipotesi relative al trasporto e all'installazione che incidono sull'IQ/OQ

Il trasporto comporta un rischio fisico per le apparecchiature che hanno superato il test FAT in un ambiente di fabbrica controllato e statico. Il rischio non è sempre visibile. Le vibrazioni durante il trasporto su strada o aereo possono spostare le cassette dei filtri HEPA, spostare le guarnizioni o allentare i collegamenti filettati: nessuna di queste situazioni produce danni esterni evidenti, ma tutte possono alterare l’integrità del contenimento o le prestazioni di pressione in modi rilevabili solo tramite test.

Per quanto riguarda in particolare i dati relativi al contenimento SMEPAC, le vibrazioni durante il trasporto e il rimontaggio dei componenti modulari sono i due meccanismi che più probabilmente possono invalidare i risultati del FAT senza che vi siano segni visibili. Un filtro HEPA che in fabbrica era stato montato correttamente e sottoposto a prova di tenuta potrebbe arrivare a destinazione con la tenuta compromessa a causa del trasporto. A VHP pass box oppure l'isolatore di trasferimento, una volta rimontato in loco dopo la spedizione, potrebbe presentare una geometria della guarnizione dello sportello che si è spostata rispetto alla posizione certificata in fabbrica. In entrambi i casi, un'ispezione visiva non consente di individuare il problema in modo affidabile. La risposta appropriata consiste nell'effettuare nuovi test funzionali e di tenuta presso il SAT, anziché dare per scontato che il risultato ottenuto in fabbrica sia ancora valido.

Ciò implica, ai fini dell’IQ/OQ, che la valutazione dei danni da trasporto presso il SAT non sia una mera formalità. Qualora venissero riscontrati danni — o qualora l’ispezione non potesse confermare che il sistema sia giunto nelle stesse condizioni in cui era partito — i risultati funzionali del FAT relativi ai sistemi interessati dovrebbero essere considerati condizionati anziché confermati, e le nuove prove dovrebbero essere pianificate di conseguenza.

Chiusura dell'elenco delle attività residue tra FAT e SAT

Le non conformità individuate durante il FAT che non vengono risolte prima della spedizione non scompaiono, ma si trasformano in controversie. Una volta che le apparecchiature sono in cantiere, il potere contrattuale dell’appaltatore di richiedere una correzione da parte del produttore si riduce, la tolleranza del cliente nei confronti dei ritardi rispetto alla tabella di marcia è minore e la tendenza naturale di entrambe le parti è quella di accettare la voce in sospeso con una deviazione piuttosto che risolverla correttamente. È proprio in questa dinamica che i registri di qualità accumulano voci difficili da giustificare in sede di ispezione.

Il meccanismo per evitare che ciò accada è semplice ma richiede disciplina: ogni non conformità individuata durante il FAT deve essere registrata, assegnata e chiusa con prove documentate oppure formalmente rinviata con una motivazione scritta prima che l’apparecchiatura venga rilasciata per la spedizione. Il pacchetto di consegna — che in genere include un riepilogo delle carenze e delle voci in sospeso — costituisce il punto di riferimento condiviso tra il produttore e il cliente. Quando tale documento è assente o incompleto, ciò che costituisce una voce chiusa diventa una questione di interpretazione in loco, che è esattamente l’ambiente in cui prendono piede le controversie relative alla lista delle carenze.

L'implicazione pratica per i team addetti agli appalti e al controllo qualità è che l'approvazione del FAT non deve essere considerata come il momento in cui il cliente accetta incondizionatamente l'apparecchiatura. Si tratta piuttosto del momento in cui entrambe le parti concordano su ciò che è stato verificato, su ciò che rimane in sospeso e sulle condizioni alle quali è opportuno procedere alla spedizione. I progetti che confondono l'approvazione del FAT con l'accettazione finale si trovano costantemente ad affrontare chiusure del SAT più contestate. Per indicazioni su come questi punti di controllo della messa in servizio interagiscono nei sistemi BIBO, il Lista di controllo per la messa in servizio di BIBO tratta gli aspetti specifici relativi all’IQ e all’OQ che vengono più spesso trascurati.

Regola di passaggio di consegne per le questioni relative all'accettazione del sito ancora irrisolte

La chiusura del SAT rappresenta il punto di transizione, sia dal punto di vista giuridico che tecnico, tra la fase di messa in servizio e il periodo di garanzia per i difetti. Finché il certificato SAT non viene firmato congiuntamente dal tecnico del committente e dall’appaltatore, tale transizione non è avvenuta — e senza di esso, la responsabilità per eventuali difetti o malfunzionamenti che dovessero emergere è effettivamente ambigua. Il certificato firmato non è una formalità aggiunta alla fine di un processo che è altrimenti completo. È il meccanismo che definisce il completamento.

Il rischio operativo di una chiusura prematura è a valle, non immediato. Se il SAT viene firmato prima che tutti i servizi, gli interblocchi, gli allarmi e le interfacce installate abbiano superato i test o presentino una deroga formalmente approvata, le questioni irrisolte vengono inserite nel registro di qualificazione senza un chiaro percorso di risoluzione. Quando tali questioni emergono — durante l’OQ, il PQ o il funzionamento di routine — il progetto non dispone di una struttura di responsabilità chiara che indichi chi debba risolverle o a spese di chi. Per le apparecchiature critiche per il contenimento, dove un interblocco di pressione difettoso o un relè di allarme BMS non verificato possono compromettere la sicurezza dell’operatore o la conformità normativa, tale ambiguità non rappresenta un problema amministrativo di secondaria importanza.

Il criterio per la chiusura dovrebbe essere che il rapporto di sintesi del SAT elenchi ogni prova richiesta con il relativo esito e che, per ogni voce non superata, vi sia una deroga formalmente approvata, corredata di una motivazione documentata e di un piano di correzione. Una deroga approvata costituisce un meccanismo di chiusura legittimo. Una voce che semplicemente non è elencata, o che è indicata come “in sospeso” senza una deroga firmata, è una voce in sospeso — e una voce in sospeso al momento della chiusura del SAT rappresenta un futuro riscontro di ispezione in attesa di una data.

Il confine tra FAT e SAT è il punto in cui i presupposti di qualificazione vengono verificati oppure accantonati. Un FAT ben strutturato svolge un lavoro concreto: conferma le funzioni predefinite in fabbrica, colma le lacune nella documentazione e crea una base di riferimento credibile su cui SAT e IQ/OQ possono basarsi anziché duplicare il lavoro. Il problema non è il FAT, bensì la tendenza a estendere la sua autorità in un ambito che non può coprire, trattando l’approvazione in ambiente di fabbrica come prova delle prestazioni in una struttura in cui l’apparecchiatura non è ancora stata installata.

Prima di fissare la data del SAT, il team di qualificazione dovrebbe essere in grado di rispondere a tre domande fornendo prove documentate: quali risultati del FAT vengono riportati e su quale base; quali interfacce dipendenti dal sito non sono ancora state verificate; e qual è lo stato della lista delle carenze per ogni non conformità individuata durante il FAT. Se una qualsiasi di queste risposte è poco chiara o basata su supposizioni anziché su prove documentate, la pianificazione del SAT è partita da basi incomplete — e le lacune diventeranno visibili nel momento peggiore possibile della tempistica del progetto.

Domande frequenti

D: È possibile combinare le fasi FAT e SAT in un unico evento di collaudo in loco per ridurre i tempi di realizzazione del progetto?
R: La loro combinazione è giustificabile solo per una ristretta sottocategoria di apparecchiature in cui non sussiste alcun divario tra le condizioni di fabbrica e quelle in loco — cosa che raramente si verifica per i sistemi di contenimento. La stabilità della cascata di pressione, l’instradamento dei relè di allarme del BMS e le prestazioni ambientali dipendenti dall’impianto HVAC non possono produrre dati di qualificazione validi finché l’apparecchiatura non è collegata all’impianto in funzione. Accorpare il FAT al SAT non elimina tali dipendenze; elimina invece la prima opportunità di individuare i difetti di fabbricazione prima che si trasformino in problemi di bonifica in loco e lascia il verbale di qualificazione senza una chiara distinzione tra ciò che è stato verificato in condizioni controllate di fabbrica e ciò che è stato verificato in condizioni di installazione. Per gli isolatori, i moduli BSL o qualsiasi sistema con interfacce di utenze, il risparmio di tempo previsto raramente resiste alla prima controversia irrisolta relativa alla lista delle criticità del SAT.

D: Se i test SMEPAC sono stati completati durante il FAT e il composto surrogato e la durata dell'attività erano rappresentativi, è comunque necessario ripeterli durante il SAT?
R: Sì, a meno che il team di qualificazione non sia in grado di documentare che ogni condizione rilevante — tipo di API, configurazione delle apparecchiature, condizioni del flusso d’aria e durata dell’attività — sia confermata come identica nel sito di installazione e che il trasporto e il rimontaggio non abbiano compromesso l’integrità delle guarnizioni o dei filtri. In pratica, tale conferma richiede prove derivanti da ispezioni post-installazione, non una semplice supposizione. Le vibrazioni dovute al trasporto possono spostare le cassette HEPA o alterare la geometria della guarnizione dello sportello senza produrre danni visibili, e entrambi questi cambiamenti invalidano i dati di contenimento del FAT senza un indicatore chiaro. Laddove tale ispezione non riesca a escludere in modo definitivo gli effetti del trasporto, i test SAT SMEPAC rappresentano l’unica posizione difendibile nel verbale di qualificazione.

D: A che punto una deroga formalmente approvata diventa un sostituto inaccettabile di un risultato positivo al test SAT?
R: Una deroga è un meccanismo di chiusura legittimo solo quando è accompagnata da una motivazione documentata e da un piano di correzione definito, con un responsabile designato e una scadenza. Cessa di essere accettabile quando viene utilizzata per includere elementi che non sono mai stati testati — anziché elementi che sono stati testati e hanno prodotto una non conformità gestita — oppure quando il piano di correzione non prevede un percorso realistico di completamento prima che l’apparecchiatura entri in uso operativo. Per le funzioni critiche per il contenimento, quali i blocchi di pressione, i relè di allarme del sistema di gestione degli edifici (BMS) o l’integrità dei filtri HEPA installati, una deroga che rinvia la verifica a tempo indeterminato è di fatto una voce in sospeso; una voce in sospeso alla chiusura della SAT apparirà come un riscontro negativo quando il registro di qualificazione verrà esaminato in base ai criteri dell’Allegato 15 o della norma ASTM E2500-25.

D: Chi ha l'onere della prova quando un guasto post-SAT viene ricondotto a una funzione che era stata approvata in fase di FAT: il produttore o il team di qualificazione del proprietario?
R: La responsabilità viene ripartita in base alle modalità con cui è stato documentato il passaggio di consegne da FAT a SAT. Se il protocollo FAT copre chiaramente la funzione, i risultati indicano il superamento del test e la valutazione dei danni da trasporto SAT conferma che il sistema è arrivato intatto, il guasto è molto probabilmente un problema di installazione in loco o di integrazione con i servizi di utenza — e la responsabilità ricade sull’appaltatore incaricato della messa in servizio o sul team della struttura. Se la valutazione del trasporto è stata superficiale, le ipotesi relative all’installazione non sono state documentate o il risultato del FAT è stato riportato senza una motivazione scritta che confermasse il mantenimento delle condizioni testate, il team di qualificazione non può separare nettamente la responsabilità del produttore da quella dell’installatore. È proprio questa ambiguità che un pacchetto di consegna completo e un’ispezione post-installazione rigorosa sono specificamente progettati per evitare.

D: Esiste una soglia di complessità delle attrezzature al di sotto della quale la distinzione tra FAT e SAT diventa un onere superfluo piuttosto che una vera e propria gestione del rischio?
R: Per le apparecchiature autonome e indipendenti, prive di interfacce con le utenze del sito, senza integrazione con il sistema di gestione degli edifici (BMS) e senza requisiti di prestazione ambientale classificati secondo la norma ISO 14644, è giustificabile l’adozione di un protocollo di collaudo monofase semplificato — a condizione che la motivazione della qualificazione documenti il motivo per cui le variabili dipendenti dal sito sono assenti. Tale soglia non viene quasi mai soddisfatta dagli isolatori di contenimento, dai laboratori modulari BSL o dai sistemi pass-through integrati, che per loro stessa progettazione presentano interfacce di pressione, scarico, HVAC e controllo risolvibili solo in loco. L’onere di mantenere la struttura FAT-SAT varia in base alla complessità delle interfacce, non alle dimensioni delle apparecchiature. Un sistema compatto VHP pass box Se installata come stazione di trasferimento autonoma, potrebbe richiedere un ambito di applicazione SAT inferiore rispetto a una linea di isolamento completa; tuttavia, l’integrità della guarnizione dello sportello e le prestazioni del ciclo VHP dopo l’installazione richiedono comunque una verifica in loco che i test di fabbrica non possono sostituire.