Come mappare i flussi di materiali attraverso i confini di biosicurezza e asepsi

Un carico che si sposta da una zona di biosicurezza a un’area di lavorazione asettica, o viceversa, attraversa due diversi livelli di protezione i cui controlli non si riconoscono automaticamente a vicenda. La logica di contenimento serve a mantenere il materiale pericoloso all’interno di un perimetro; la logica asettica serve a impedire che la contaminazione entri in un prodotto. Un percorso del materiale che soddisfa uno dei due obiettivi non soddisfa automaticamente anche l’altro; ecco perché mappare l’intero percorso seguito da un carico — e non solo le attrezzature presenti in un singolo punto di passaggio — è il punto di partenza per decidere quali controlli applicare e dove.

Iniziare con l'inventario dei carichi e la definizione dei confini

Prima di poter valutare qualsiasi punto di passaggio, il team di progetto necessita di un inventario completo di ciò che effettivamente transita attraverso la struttura e di quali confini ogni carico attraversa. Un carico non è solo un oggetto fisico; esso comporta uno stato di imballaggio e uno stato di pulizia che cambiano man mano che si sposta. Le materie prime in entrata in una struttura, i campioni in uscita da un’area di contenimento, gli strumenti riutilizzabili che passano da uno stato pulito a uno sporco e i rifiuti destinati al trattamento o allo smaltimento sono tipi di carico diversi anche quando attraversano la stessa apertura fisica.

La definizione dei confini è importante perché i confini di biosicurezza e quelli asettici si basano su logiche opposte. Un confine di biosicurezza è progettato per impedire che ciò che si trova all’interno fuoriesca; un confine asettico è progettato per impedire che ciò che si trova all’esterno entri. Laddove una struttura contenga entrambi i tipi di confine — ad esempio, una suite di contenimento adiacente a un’area classificata GMP — un unico percorso di trasferimento dei materiali può passare da una logica all’altra, e il controllo in quel punto di passaggio deve soddisfare entrambe le direzioni contemporaneamente oppure essere suddiviso in trasferimenti separati e controllati in modo indipendente.

Ecco perché la fase di inventario deve precedere qualsiasi discussione sulle attrezzature specifiche. Elencare ogni tipo di carico e indicare da quale confine proviene, quale attraversa o in quale termina fornisce al team di progetto una base per decidere, in seguito, se un determinato attraversamento richieda decontaminazione, disinfezione, attracco chiuso o trasferimento protetto. Saltare questa fase e passare direttamente alla selezione delle attrezzature comporta il rischio di abbinare un dispositivo di trasferimento a un profilo di rischio errato, poiché il dispositivo è stato scelto in base al confine in cui è stato casualmente installato piuttosto che in base al materiale che lo attraversa effettivamente.

Le definizioni dei confini dovrebbero inoltre distinguere tra un confine che separa due diversi obiettivi di protezione e uno che separa due zone all’interno dello stesso obiettivo, come ad esempio due livelli di contenimento o due gradi di pulizia. I requisiti di controllo differiscono in ciascun caso e confonderli nella fase di inventario rende più difficile verificare ogni decisione a valle.

Origine del tracciato, tracciato, trattamento, incrocio e destinazione

Una volta stilato l’inventario, per ogni carico occorre tracciare un percorso dall’origine fino al suo ritorno o smaltimento finale, indicando esplicitamente ogni fase anziché darla per scontata. Un percorso che mostri solo l’attraversamento dei confini e tralasci le tappe intermedie o i trattamenti nasconde i punti in cui è più probabile che lo stato di un carico venga valutato in modo errato.

Le aree di smistamento meritano particolare attenzione poiché sono spesso condivise da diverse tipologie di carico che sono state inventariate separatamente. Un’area di stoccaggio utilizzata per le forniture in arrivo potrebbe anche fungere da punto di sosta temporaneo per la restituzione di attrezzi riutilizzabili, anche se i due carichi presentano diversi livelli di pulizia e profili di rischio. Tracciare il percorso per ciascun tipo di carico in modo indipendente, per poi verificare dove i percorsi si sovrappongono fisicamente, è il modo in cui un’area di stoccaggio condivisa diventa visibile come problema di pianificazione, anziché rimanere nascosta all’interno di una planimetria che non è mai stata verificata incrociando i dati carico per carico.

Il punto di trattamento — dove si prevede che avvengano la decontaminazione, la disinfezione, l’attracco a porte chiuse o il trasferimento protetto — deve essere collocato lungo il percorso esattamente nella fase in cui tale operazione ha luogo, senza presumere che avvenga genericamente “al confine”. Alcune operazioni di trattamento avvengono prima dello stazionamento, altre durante l’attraversamento stesso e altre ancora dopo che il carico ha già raggiunto il lato di destinazione. La misura di controllo selezionata in quel punto deve corrispondere sia al rischio che il carico comporta sia alla compatibilità del materiale con il metodo di trattamento; un carico che non può essere sottoposto a un determinato metodo di decontaminazione richiede un percorso alternativo o una fase alternativa nella sequenza, non un adattamento forzato.

Le tratte di andata e di ritorno completano il percorso. Un percorso mappato solo fino al punto di utilizzo tralascia il percorso di uscita, dove un carico usato o contaminato potrebbe richiedere un punto di attraversamento, un punto di trattamento o un’area di stoccaggio temporaneo diversi da quelli attraverso cui è arrivato. Mappare entrambe le tratte mantiene visibile l’asimmetria tra il materiale in entrata e quello in uscita, il che è importante perché le due direzioni comportano spesso presupposti diversi in termini di rischio o pulizia, anche quando condividono lo stesso ingresso fisico.

Stoccare separatamente le forniture in arrivo, i campioni, gli strumenti riutilizzabili e i rifiuti

Un unico diagramma di flusso combinato tende a nascondere più di quanto riveli, poiché le persone, le forniture sterili, i campioni, gli strumenti riutilizzabili e i rifiuti comportano ciascuno una logica di rischio e aspettative di gestione diverse, anche quando si muovono nello stesso spazio fisico. Rappresentarli come livelli separati sulla stessa planimetria, anziché come un unico diagramma combinato, è ciò che rende visibili i conflitti.

L'importanza della separazione emerge con maggiore chiarezza nel caso delle infrastrutture condivise. Una porta, un corridoio o un'area di stoccaggio che sembrano adeguati quando vi transita un solo tipo di carico possono rivelare un conflitto di programmazione o di controllo una volta aggiunto un secondo livello — ad esempio, se lo stesso punto di stoccaggio viene utilizzato sia per le forniture pulite in entrata che per i rifiuti in uscita, presupponendo che solo una fase di pulizia o di sequenziamento li separi nel tempo. Tale presupposto è una decisione progettuale, non un fatto stabilito dalla disposizione fisica, e dovrebbe essere indicato esplicitamente piuttosto che lasciato implicito in un unico diagramma unificato.

Anche il movimento delle persone merita un proprio livello per lo stesso motivo. I percorsi del personale interagiscono con quelli delle merci in corrispondenza di porte, dispositivi di interblocco e aree di smistamento, e un flusso che funziona per le sole merci può comunque creare un conflitto una volta sovrapposto il transito del personale, in particolare laddove le sequenze di vestizione o svestizione si intersecano con un punto di attraversamento delle merci.

Gli strumenti riutilizzabili costituiscono un livello spesso trascurato perché, a prima vista, sembrano semplici materiali di consumo in entrata e semplici rifiuti in uscita. In realtà seguono un ciclo: entrano in stato pulito, escono in stato contaminato o usato, e poi subiscono una fase di trattamento oppure seguono un percorso di ritorno allo stato pulito per essere riutilizzati. Laddove tale ciclo non sia rappresentato come un livello a sé stante, lo stato dell’attrezzo in un dato punto della pianta condivisa risulta ambiguo, e proprio l’ambiguità in corrispondenza di una porta condivisa è il punto in cui è più probabile che una lacuna di controllo passi inosservata fino a quando non si verifica un’eccezione.

Contrassegnare gli stati delle porte, i dispositivi di interblocco, le interfacce di pressione e i punti di arresto

Una volta definiti i percorsi a più livelli, il compito successivo consiste nell’individuare gli elementi fisici e procedurali che garantiscono la separazione in corrispondenza di ciascun punto di incrocio: stato delle porte, interblocchi, interfacce di pressione e punti di arresto. Ciascuno di questi elementi risponde a una domanda diversa e considerarli intercambiabili compromette l’utilità della mappa.

Lo stato di una porta — aperta, chiusa, bloccata o interbloccata con una porta gemella — descrive la condizione in un determinato istante in un determinato punto di passaggio. Segnalarlo sulla mappa indica ciò che deve essere verificato in quel punto, ma il segno in sé non dimostra che il controllo sia adeguato al rischio o ai requisiti di pulizia in quel punto di passaggio; tale determinazione dipende da una valutazione dei rischi specifica per il sito, in linea con il Manuale di biosicurezza dei laboratori dell'OMS‘la posizione secondo cui la valutazione dei rischi dovrebbe essere alla base di misure di biosicurezza proporzionate.

I sistemi di interblocco sollevano una questione correlata ma distinta: in quali casi è previsto un controllo delle porte accoppiate o un accesso sequenziale, e quali regole impone in ciascuna direzione? GMP UE Allegato 1 supporta le camere di compensazione di grado A/B con interblocco e i portelli di passaggio, ma tale supporto si applica nell’ambito della produzione sterile; non stabilisce una regola universale per il controllo delle porte di biosicurezza, e un passaggio di biosicurezza necessita di una propria base di riferimento per stabilire se sia richiesto un interblocco e a cosa debba garantire l’interblocco.

Le interfacce di pressione costituiscono un terzo elemento distinto. Un percorso del materiale può attraversare un confine di pressione senza attraversare affatto una porta, se è la direzione del flusso d’aria, anziché una barriera fisica, a svolgere la funzione di separazione. Contrassegnare ogni interfaccia di pressione attraversata da un percorso — non solo quelle che coincidono con una porta visibile — impedisce che sulla mappa venga tralasciato un punto di controllo che non dispone di una porta fisica che ne attiri l’attenzione.

I punti di stoccaggio devono essere indicati sulla mappa. Ogni luogo in cui viene stoccato un carico, sia che si attenda il rilascio in condizioni normali sia che sia stato bloccato a seguito di un trasferimento fallito, deve essere riportato sulla mappa, poiché un punto di stoccaggio non segnalato rappresenta un luogo in cui lo stato del carico diventa incerto e a nessuno è stato affidato il compito di risolvere la situazione.

Assegnare le decisioni relative al rilascio normale e al trasferimento non riuscito a ruoli specifici

Una mappa dei flussi di materiale che mostri percorsi e controlli, ma non indichi chi detiene l’autorità decisionale, lascia aperta la questione di chi autorizzi effettivamente lo spostamento, il fermo o la deviazione di un carico. Ogni punto di rilascio, punto di fermo e ramo di errore deve essere associato a un ruolo specifico, non a un riferimento generico a “operazioni” o “controllo qualità” intesi come gruppo indifferenziato.

Il rilascio normale è il caso più semplice: un ruolo autorizza il carico a proseguire lungo il percorso mappato una volta soddisfatta la condizione prevista — trattamento completato, documentazione corrispondente, stato confermato. È qui che la mappa dimostra il proprio valore durante le operazioni di routine, poiché il ruolo addetto al rilascio può verificare la mappa confrontandola con il carico effettivo che ha davanti, anziché affidarsi alla memoria di come il processo “dovrebbe” funzionare.

Anche i punti di blocco richiedono un ruolo, che spesso è diverso da quello di rilascio. Un carico posto in stato di blocco richiede una persona responsabile che decida come procedere, sia che si tratti di sbloccarlo una volta soddisfatta una condizione, sia di inoltrarlo a un livello superiore. Quando a un punto di blocco non è assegnato alcun ruolo, il carico smette di fatto di essere responsabilità di qualcuno, il che vanifica lo scopo stesso per cui era stato contrassegnato come punto controllato.

Il ramo relativo al trasferimento fallito o al ciclo fallito è quello che più spesso viene lasciato senza assegnazione, poiché rappresenta l’eccezione piuttosto che il percorso di routine. Un ciclo di decontaminazione fallito, un passaggio rifiutato o un carico danneggiato necessitano di un proprio ruolo ben definito e di un proprio percorso esplicito — un percorso che devii il carico dal percorso normale anziché farlo avanzare per impostazione predefinita. Un percorso di eccezione non assegnato costituisce una lacuna strutturale: la mappa può sembrare completa in condizioni normali, ma fallire nel momento in cui un trasferimento non va come previsto, poiché nulla nella progettazione indica a chi deve agire o chi deve decidere. Laddove la struttura separi gli obiettivi di asepsi e di biosicurezza lungo lo stesso percorso, il ruolo relativo al trasferimento fallito potrebbe dover variare a seconda della direzione, poiché un errore durante l’ingresso in un’area pulita comporta conseguenze diverse rispetto a un errore durante l’uscita da un’area di contenimento: il primo mette a rischio il prodotto, il secondo comporta il rischio di esposizione, e l’azione correttiva appropriata varia di conseguenza.

Verificare il funzionamento della mappa in condizioni di picco di carico, durante le operazioni di pulizia e in caso di ripristino di emergenza

Una mappa dei flussi di materiale convalidata solo in condizioni di carico singolo e di routine non è stata testata nelle condizioni che con maggiore probabilità potrebbero far emergere delle lacune. Il carico di picco, la pulizia e il ripristino di emergenza mettono alla prova la mappa in modi diversi, e ciascuna di queste situazioni merita una verifica separata piuttosto che un unico controllo combinato.

Il test di carico di picco verifica se la mappa rimane valida quando più carichi transitano contemporaneamente attraverso aree di smistamento condivise o punti di attraversamento condivisi, anziché uno alla volta in sequenza. Un punto di sosta dimensionato o programmato per un singolo carico può diventare un collo di bottiglia o, peggio ancora, un punto in cui due tipi di carico che avrebbero dovuto rimanere separati finiscono per trovarsi nello stesso luogo, se la mappa è stata percorsa tenendo conto solo di un unico carico.

La pulizia introduce una complicazione a sé stante, poiché l’attività di pulizia costituisce di per sé un flusso di materiali e personale che non era necessariamente incluso nell’inventario originale. Il personale addetto alle pulizie, le attrezzature e i rifiuti prodotti dalla pulizia transitano attraverso le stesse porte, le stesse aree di stoccaggio temporaneo e, talvolta, gli stessi punti di passaggio dei carichi su cui è stata costruita la mappa. Laddove i percorsi di pulizia non siano stati tracciati come livello a sé stante e verificati rispetto ai controlli esistenti, un ciclo di pulizia può inavvertitamente attraversare un confine che il resto della mappa considera controllato.

Il recupero di emergenza è la situazione in cui le decisioni relative ai ruoli designati assumono la massima importanza, poiché il recupero dopo un incidente richiede spesso di discostarsi completamente dal percorso normale — invertendo il senso di un incrocio che normalmente è a senso unico, trattenendo un carico che normalmente procederebbe, o instradando il materiale attraverso un percorso che esiste solo a fini di recupero. Verificare la mappa in uno scenario di emergenza permette di accertare se i punti di attesa, i ruoli specificati e i rami di trasferimento in caso di errore stabiliti in precedenza funzionino effettivamente quando la sequenza normale viene interrotta, anziché dare per scontato che passino automaticamente dal funzionamento di routine alle condizioni di ripristino.

Laddove la mappa completata individui specifici punti di attraversamento che richiedono un dispositivo di trasferimento ben definito — un cassetta di passaggio, un vasca di immersione, oppure un Punto di trasferimento basato su VHP, tra gli altri — che scelta del dispositivo diventa una discussione a sé stante nell'ambito del progetto. La mappa stessa definisce quali requisiti funzionali deve soddisfare ciascun varco; una volta definiti i requisiti riportati nella mappa, il passo successivo consiste nel verificare quali apparecchiature soddisfano tali requisiti e in che modo si interfacciano con il resto dell'impianto.

Domande frequenti

Q: Quali informazioni occorre preparare per ogni carico prima di iniziare la mappatura?
A: Registrare l'origine, i punti di transito, i valichi di frontiera, la destinazione e il percorso di ritorno o di smaltimento. Annotare inoltre ogni variazione relativa all'imballaggio o allo stato di pulizia, indicare dove è previsto un trattamento di trasferimento o un trasferimento protetto e specificare chi è responsabile delle decisioni relative al rilascio, alla trattenuta e al rifiuto.

Q: È possibile utilizzare lo stesso approccio di controllo dei confini sia per la biosicurezza che per i trasferimenti asettici?
A: Non dare per scontato che un unico approccio sia valido in entrambi i casi. Scegliere e valutare la misura di controllo in base al rischio specifico, alla compatibilità dei materiali, al contesto di processo e alla valutazione dei rischi del sito; le linee guida sulla produzione sterile relative alle camere di compensazione interbloccate o agli sportelli di passaggio non devono essere considerate una regola universale di biosicurezza.

Q: Come va rappresentata una porta comune o un’area di attesa sulla mappa dei flussi?
A: Inserire le forniture, i campioni, gli strumenti riutilizzabili e i rifiuti in livelli separati del percorso, quindi contrassegnare il punto in comune su ogni livello interessato. Verificare lo stato delle porte, l’interfaccia con i confini, le condizioni di blocco e il comportamento durante i picchi di carico e le operazioni di pulizia, in modo che la posizione in comune non nasconda un conflitto di percorso.

Q: Cosa dovrebbe mostrare la mappa quando un trasferimento o un ciclo di trattamento fallisce?
A: Mostrare esplicitamente un percorso di sospensione e di eccezione, anziché consentire al carico di proseguire lungo il percorso normale. Indicare il ruolo responsabile della decisione successiva e mantenere visibile il ramo risultante (ritorno, ripristino o smaltimento) per consentire una conferma specifica per il progetto.

Q: Quando una mappa dei flussi di materiali è pronta per la revisione della disposizione delle attrezzature?
A: È pronta per la revisione quando ogni carico presenta un percorso completo, dal ricevimento fino all’utilizzo, alla restituzione o allo smaltimento; quando i cambiamenti di stato e gli elementi di delimitazione sono visibili; e quando le decisioni relative al rilascio, alla sospensione e al fallimento hanno responsabili designati. La mappa dovrebbe inoltre essere testata in relazione ai picchi di carico, alle operazioni di pulizia e al ripristino in caso di emergenza, tenendo presente che la mappatura di un controllo non dimostra di per sé che tale controllo sia adeguato.