Come stabilire l'ordine delle verifiche del sistema integrato BSL-3/4 prima della consegna

Una struttura BSL-3/4 che entra nella fase finale di collaudo pone un problema decisionale specifico: quali risultati dimostrano le prestazioni complessive e quali dimostrano semplicemente che le apparecchiature sono presenti e alimentate? Sbagliare questa sequenza non comporta solo uno spreco di tempo dovuto alla ripetizione dei controlli, ma produce anche un fascicolo di consegna in cui il team di collaudo non può affermare con certezza perché un determinato risultato rimanga valido una volta che qualcosa a monte cambi. La questione della sequenza è importante perché il contenimento di biosicurezza dipende dal funzionamento coordinato dei sistemi in condizioni di guasto, non dal fatto che ogni singolo componente superi il proprio controllo isolato.

Prerequisiti che devono essere stabili prima di procedere ai test integrati

Prima di qualsiasi risultato del test integrato Sebbene possa essere considerato una prova delle prestazioni di contenimento, il team di collaudo deve avere la certezza che le condizioni di riferimento fisiche e strumentali non subiscano variazioni nel corso della sequenza. La completezza dell’installazione è la prima condizione, non perché un’installazione incompleta renda impossibile il collaudo, ma perché un risultato dinamico registrato su un sistema ancora in fase di completamento non può essere distinto da un risultato che rifletta la configurazione definitiva. Se, dopo un controllo dinamico, vengono aggiunti condotti, ferramenta per porte o cablaggi di controllo, tale controllo non descrive più il sistema oggetto di consegna.

La presenza di strumenti calibrati va di pari passo con la completezza dell’installazione per un motivo correlato. L’affidabilità di una lettura di pressione o di portata dipende interamente dallo strumento che la produce, e uno strumento con calibrazione scaduta o non verificata trasforma un risultato apparentemente corretto in uno non verificabile. Non si tratta di una formalità; ciò modifica il significato effettivo del valore riportato nel verbale di prova. Laddove il protocollo di progetto richieda un contesto di prova specifico, secondo ISO 14644-3:2019, le apparecchiature e le procedure raccomandate per i parametri prestazionali delle camere bianche e delle zone pulite già installate producono risultati comparabili solo quando il contesto di prova applicabile è definito in anticipo, poiché l’abstract della norma sottolinea che, in assenza di tale contesto, essa non stabilisce valori di accettazione specifici per il sito.

La conseguenza pratica per la sequenza delle operazioni è che un team di progetto non può saltare direttamente dalla fase “l’apparecchiatura è installata” a quella “il sistema è pronto per le sfide trasversali”. Ogni fase deve essere completata in ordine: installazione, poi calibrazione della strumentazione, poi verifica delle utenze, poi funzionamento delle singole apparecchiature e solo allora le sfide che superano i confini del sistema. Saltare dei passaggi non fa risparmiare tempo se il passaggio saltato invalida in seguito i risultati ottenuti successivamente, poiché ogni risultato successivo eredita l’incertezza del passaggio da cui dipendeva.

Ciò che fa variare questa valutazione da progetto a progetto è il grado di interdipendenza insito nella progettazione dell’impianto. Laddove i sistemi sono più strettamente interconnessi, un prerequisito instabile si propaga ulteriormente prima di essere individuato. Laddove le apparecchiature funzionano in modo più indipendente, un prerequisito instabile rimane confinato a livello locale più a lungo. In entrambi i casi, la domanda a cui il team di collaudo deve rispondere prima di iniziare è la stessa: quale fase abbiamo effettivamente superato e quali prove la chiudono, anziché limitarsi a considerare semplicemente ciò che è stato installato o attivato.

Controlli di installazione e di funzionamento che garantiscono risultati ottimali nel tempo

Le utility fungono da presupposto silenzioso alla base di quasi tutti i test successivi; ecco perché verificarle singolarmente, prima di tentare qualsiasi prova intersistemica, garantisce l’integrità di tutto ciò che seguirà. Una utility che appare stabile in condizioni statiche può comportarsi in modo diverso quando viene chiamata a supportare un evento dinamico e intersistemico, e se tale differenza non viene individuata tempestivamente, emerge in seguito come un’anomalia che sembra un guasto dell’apparecchiatura piuttosto che una dipendenza dall’utility.

Il ragionamento in questo caso è sequenziale piuttosto che additivo. Dimostrare la stabilità di un’utenza non è semplicemente un’altra voce da spuntare su una lista di controllo; è la condizione che rende interpretabili tutti i risultati successivi a livello di apparecchiatura e tra i sistemi. Se la stabilità di una dipendenza da un servizio non viene confermata, un guasto che si verifica durante una successiva prova di interblocco o di controllo della pressione diventa ambiguo: è stata l’apparecchiatura a guastarsi, oppure è stato il servizio che la supportava a guastarsi per primo? Distinguere queste due modalità di guasto a posteriori è più difficile che prevenire l’ambiguità stabilendo fin dall’inizio una sequenza corretta.

È proprio in questa fase che le singole funzioni delle apparecchiature devono essere dimostrate singolarmente, prima che venga loro richiesto di partecipare a una prova che coinvolge più sistemi. Un interblocco di porta, una serranda di scarico o un ciclo di decontaminazione hanno ciascuno una funzione che può essere verificata isolatamente. Solo una volta confermata tale funzione isolata ha senso chiedersi come si comporta l’apparecchiatura quando deve coordinarsi con la risposta di un altro sistema. Invertire questo ordine significa che non è possibile risalire con certezza all’origine di un guasto che coinvolge più sistemi.

La condizione che determina il peso attribuito a questa fase è la complessità dell’architettura delle utility stessa. Laddove le utility siano condivise tra più zone di contenimento o tipi di apparecchiature, diventa ancora più importante testarle singolarmente prima dell’integrazione, poiché un guasto a una utility condivisa ha un raggio d’azione più ampio nell’intera sequenza di test. Laddove le utility siano maggiormente segmentate per sistema, la catena di dipendenze è più breve e più facile da isolare qualora, in seguito, si verifichino comportamenti imprevisti.

Funzionalità delle apparecchiature da verificare prima delle prove intersistemiche

La regola fondamentale in questa fase è semplice da enunciare ma facile da infrangere quando si è sotto pressione per rispettare le scadenze: verificare il funzionamento di un’apparecchiatura da sola prima di coinvolgerla in un’operazione che dipende dalla corretta risposta simultanea di un altro sistema. Un interblocco di porta, una sequenza di controllo della pressione, una risposta del sistema di scarico, un ciclo di decontaminazione o una sequenza di trattamento dei rifiuti hanno ciascuno una funzione ben definita. Verificare tale funzione in modo isolato consente di stabilire un punto di riferimento noto rispetto al quale valutare qualsiasi comportamento successivo più complesso.

Il motivo per cui questo ordine è importante è di natura diagnostica, non procedurale. Quando è già stato dimostrato che le apparecchiature svolgono correttamente la propria funzione individuale, un problema che si manifesta durante una prova incrociata tra sistemi può essere attribuito all’interazione tra i sistemi piuttosto che alle apparecchiature stesse. Senza tale riferimento di base, un team di collaudo che si trovi di fronte a un risultato inaspettato durante una sequenza di interblocco o di decontaminazione non ha modo di distinguere tra “il meccanismo della porta si è guastato” e “il funzionamento del meccanismo della porta non è mai stato verificato e ora si sta guastando per la prima volta in una condizione complessa”. Il primo caso è un riscontro intersistemico; il secondo è una lacuna nella sequenza di collaudo che avrebbe dovuto essere colmata in precedenza.

Questo unico principio si applica a ogni tipo di apparecchiatura coinvolta nella sequenza, poiché il meccanismo è lo stesso indipendentemente dal confine oggetto di verifica. Che il sistema preveda interblocchi delle porte e risposta al flusso d’aria, oppure apparecchiature di decontaminazione e sequenze di trattamento dei rifiuti, la domanda fondamentale è la stessa: è stato dimostrato che questa funzione opera correttamente prima che le venga richiesto di farlo nell’ambito di un evento coordinato più ampio? A serranda di isolamento per la biosicurezza e un guarnizione pneumatica per porta APR Ciascuno svolge una funzione distinta all’interno dell’involucro di contenimento e per ciascuno è necessario che la propria funzione sia confermata prima che possa essere considerato un input noto e affidabile per una verifica intersistemica.

Ciò che determina l’importanza pratica di questa fase è il numero di sistemi con cui una determinata apparecchiatura interagisce. Un’apparecchiatura che interagisce solo con un altro sistema presenta un problema diagnostico più circoscritto qualora in seguito si verifichi un malfunzionamento. Un’apparecchiatura che si trova all’intersezione di diversi sistemi, come ad esempio una porta che influisce sia sul bilanciamento del flusso d’aria che sul controllo degli accessi, comporta conseguenze più gravi se la sua funzione specifica non è stata verificata in precedenza, poiché un guasto trasversale che la coinvolge presenta un numero maggiore di possibili cause da escludere.

Scenari di guasto relativi al flusso d'aria, agli allarmi, agli interblocchi e all'alimentazione

Una volta verificate le funzioni delle singole apparecchiature e dei servizi, la sequenza passa a mettere deliberatamente alla prova il sistema in condizioni di guasto plausibili. Si tratta di un tipo di test diverso da qualsiasi altro eseguito in precedenza, poiché non si tratta di verificare se le apparecchiature funzionano in condizioni normali, ma se il sistema risponde in modo sicuro quando si verifica un guasto. La perdita di alimentazione, la perdita di scarico, il conflitto delle porte, la conferma dell’allarme e il ripristino rappresentano ciascuno uno stato di guasto distinto e per ciascuno di essi è necessario concordare e documentare la risposta di sicurezza prevista prima dell’esecuzione della simulazione, anziché interpretarla a posteriori in base a ciò che è effettivamente accaduto.

Questo requisito di sequenza esiste perché test delle modalità di guasto L'assenza di una risposta prevista predefinita trasforma ogni risultato in una valutazione a posteriori, che è proprio il tipo di ambiguità che un pacchetto di passaggio di consegne deve evitare. Se la risposta prevista a una perdita di scarico non è stata stabilita in anticipo, qualsiasi azione intrapresa dal sistema durante la simulazione della perdita diventa lo standard di fatto, anziché essere valutata in base a un criterio concordato. Il CDC/NIH BMBL, 6ª edizione affronta direttamente questo aspetto per quanto riguarda il monitoraggio del flusso d’aria nei laboratori BSL-3 e i sistemi di interblocco della ventilazione nei laboratori BSL-4, gli allarmi di deviazione, l’accesso e le funzioni di decontaminazione; tuttavia, in linea con le migliori pratiche raccomandate dagli Stati Uniti, i dettagli specifici della struttura continuano a seguire la valutazione dei rischi applicabile e le norme locali che regolano quel particolare progetto.

Gli stati di guasto non sono intercambiabili in termini di ciò che verificano. Un test di interruzione dell’alimentazione verifica come si comporta il sistema quando viene rimossa la sua fonte primaria di energia, il che ha implicazioni simultanee per ogni funzione alimentata all’interno dell’involucro di contenimento. Un test di perdita di scarico isola una specifica funzione del flusso d’aria e verifica se la sua perdita viene rilevata e gestita correttamente. Un test di conflitto delle porte verifica se la logica di interblocco risolve uno specifico stato di conflitto nel modo previsto dal progetto. Il test di conferma dell’allarme verifica se il sistema registra correttamente che un operatore ha risposto a un allarme, il che è una questione distinta dal fatto che la condizione sottostante sia stata effettivamente risolta. Il test di ripristino verifica se il sistema ritorna a uno stato sicuro e noto una volta che la condizione di prova è terminata, e ciò deve essere valutato in base agli stessi criteri concordati per la risposta iniziale al guasto, senza dare per scontato che la risposta al guasto stessa fosse accettabile.

La condizione che determina quali scenari di guasto siano più rilevanti per un determinato progetto è la valutazione specifica dei rischi della struttura e la progettazione del sistema di contenimento. Una struttura con una particolare configurazione di scarico condiviso tra più zone subisce conseguenze diverse in caso di perdita di scarico rispetto a una con un’architettura di scarico più segmentata. Questo è esattamente il motivo per cui la risposta prevista deve essere definita dal protocollo di progetto piuttosto che dedotta da un principio generale: la risposta corretta e sicura dipende dalla struttura specifica, non è una risposta fissa applicabile in modo uniforme.

Verifica della logica dopo scostamenti o modifiche alla configurazione

Una deviazione o una modifica alla configurazione rilevata nel corso della sequenza di test solleva una questione che è facile sottovalutare: quali risultati precedenti sono ancora validi e quali devono ora essere ripetuti? Non si tratta automaticamente di “ripetere tutti i test”, né di “ripetere solo il test relativo all’elemento che è cambiato”. L’ambito corretto dipende dalla comprensione della catena di dipendenze stabilita dalle sezioni precedenti della sequenza.

Se una modifica alla configurazione influisce su un’utilità da cui dipendono diverse funzioni dell’apparecchiatura, allora ogni risultato che si basava sulla stabilità di tale utilità è ora messo in discussione, anche se l’apparecchiatura stessa non è stata modificata direttamente. Questa è la conseguenza diretta della logica di sequenziamento utilizzata in precedenza: poiché i risultati successivi dipendono dalla chiusura dei gate precedenti, una modifica a un gate precedente rimette in discussione la validità di tutto ciò che è stato costruito su di esso. Il compito del team di test è quello di tracciare quella catena di dipendenze a partire dal punto in cui si è verificata la deviazione o la modifica, non semplicemente di rieseguire il controllo specifico in cui la deviazione è stata osservata per la prima volta.

EudraLex Volume 4 Allegato 15 descrive il quadro di qualificazione pertinente a tale ragionamento, che comprende il rapporto tra FAT e SAT, le fasi IQ/OQ/PQ, i criteri predefiniti, le deviazioni e le conclusioni riportate. In quanto quadro di qualificazione GMP, stabilisce che i protocolli di progetto definiscano le fasi e i limiti specifici per ciascuna apparecchiatura e che la documentazione fornita dal fornitore debba comunque essere sottoposta a una verifica di idoneità rispetto a tali criteri specifici del progetto. La logica di ripetizione dei test qui descritta opera all’interno di quella stessa struttura: viene registrata una deviazione, viene chiarita la sua relazione con la sequenza di test, viene deciso l’ambito della ripetizione del test in base ai criteri di accettazione approvati e il risultato della ripetizione viene quindi valutato per confermare se la conclusione originale sia valida o necessiti di revisione.

Ciò che distingue una deviazione da una modifica di configurazione è l’orientamento della domanda. Una deviazione chiede quale risultato o dipendenza sia stato influenzato da un evento che non si è verificato come previsto durante i test. Una modifica di configurazione chiede quali risultati precedenti rimangano validi dopo che qualcosa è stato deliberatamente alterato. Entrambe richiedono la stessa disciplina di fondo: identificare la dipendenza, decidere l’ambito del nuovo test in base a criteri concordati e documentare perché il nuovo risultato soddisfa o meno tali criteri. Laddove la modifica sia limitata a un singolo componente senza dipendenze condivise, l’ambito del nuovo test può rimanere ristretto. Laddove la modifica riguardi un’utilità o una funzione da cui dipendono altri sistemi, l’ambito del nuovo test deve seguire tale dipendenza verso l’esterno, indipendentemente da quanto circoscritta potesse sembrare la modifica originale.

Documentazione di consegna che garantisce la conservazione della sequenza dei test e la tracciabilità

Il pacchetto di passaggio di consegne è il momento in cui ogni decisione precedente relativa alla sequenza viene confermata o smentita da un’analisi approfondita. Un responsabile della biosicurezza o un tecnico della struttura che esamina il fascicolo a posteriori non è presente durante lo svolgimento effettivo dei test; si affida interamente alla documentazione per rispondere a una domanda specifica per ciascun risultato: perché questo risultato è ancora valido e da cosa dipende? Se la documentazione non preserva tale catena, il risultato è un fascicolo pieno di esiti dei test singolarmente plausibili ma senza alcuna relazione dimostrata tra loro.

Ecco perché nel verbale di consegna deve risultare chiaro l’ordine in cui sono state effettuate le prove, non solo i risultati. Un revisore deve poter verificare che la completezza dell’installazione e la calibrazione degli strumenti siano state accertate prima della generazione dei risultati dinamici, che il funzionamento dei servizi di supporto e delle singole apparecchiature sia stato verificato prima di tentare prove intersistemiche e che gli scenari di guasto siano stati simulati confrontandoli con le risposte attese predefinite, anziché essere valutati a posteriori. Senza tale sequenza visibile, il pacchetto non è in grado di distinguere un programma di test correttamente sequenziato da uno in cui le fasi sono state eseguite in ordine errato e hanno comunque prodotto, per caso, risultati apparentemente accettabili.

Le dipendenze sono importanti in questo contesto per lo stesso motivo per cui lo erano nella logica di ripetizione del test: ogni risultato integrato si basa sulla stabilità di specifiche utilità o funzioni delle apparecchiature, e il verbale di consegna deve indicare quali fossero tali dipendenze. È questo che consente a un revisore successivo, o a chi dovrà decidere in merito a un’eventuale ripetizione del test, di risalire da un dato risultato alle condizioni che si presumevano vere in quel momento. Il ruolo di Qualia Bio in un progetto di questo tipo è direttamente collegato a questo requisito di tracciabilità, poiché i dettagli di configurazione forniti per un Laboratorio con moduli BSL-3/4, le serrande di isolamento o le porte APR, una volta esaminate nell'ambito del progetto, entrano a far parte del quadro delle dipendenze a cui la documentazione relativa ai test e al collaudo dovrà fare riferimento con precisione in seguito.

Le deviazioni e le ripetizioni dei test devono essere trattate nel verbale di consegna allo stesso modo in cui sono state gestite durante lo svolgimento del test stesso: cosa si è discostato dal risultato atteso, su quali dati ha influito, cosa è stato ripetuto e in base a quali criteri approvati. Un fascicolo di passaggio di consegne che omette una deviazione perché alla fine è stata risolta priva il futuro revisore delle informazioni necessarie per comprendere perché il risultato finale sia attendibile e non semplicemente conveniente. La conclusione riportata per ciascun risultato dovrebbe indicare chiaramente perché rimane valida nonostante le modifiche e le ripetizioni dei test avvenute nel corso del processo; questo è l’unico modo in cui il fascicolo può supportare decisioni di rimessa in servizio con sicurezza, senza richiedere la consultazione del team di prova originale ogni volta che in seguito sorga una domanda.

Domande frequenti

Q: In che modo il team dovrebbe trasformare la sequenza di test integrata in un programma concreto?
A: Definire il programma in base alle dipendenze: innanzitutto la completezza dell’installazione e la calibrazione degli strumenti, poi i servizi di supporto, le funzioni delle singole apparecchiature, i controlli intersistemici e scenari plausibili di guasto e ripristino. Ogni test dovrebbe identificare gli elementi precedenti su cui si basa, in modo che un prerequisito non soddisfatto possa essere ricondotto a ogni risultato a valle interessato.

Q: È possibile utilizzare i risultati dei test effettuati in fabbrica o dal fornitore al posto dei risultati ottenuti sul luogo di installazione?
A: Solo quando il protocollo di progetto conferma che la documentazione relativa alla fase in questione e alla sua idoneità alla configurazione installata e alle dipendenze è stata esaminata. Se tale documentazione non dimostra l'effettiva utilità, il controllo, l'interblocco o il contesto dello scenario, mantenere aperto il controllo relativo all'installazione anziché presumere che la documentazione sia equivalente.

Q: È sufficiente confermare l'allarme per chiudere un test in modalità di guasto?
A: No. La conferma dell'allarme e il ripristino del sistema sono parti distinte della documentazione. Definire la risposta di sicurezza prevista, il comportamento di conferma e la risposta di ripristino prima dell'esecuzione, quindi valutare ciascuno di essi in base ai criteri concordati per il progetto.

Q: Cosa dovrebbe fare il team di collaudo quando una norma citata non prevede un limite di superamento specifico per il sito?
A: Approvare i criteri di accettazione specifici per il progetto prima dell’inizio dei test. Definirli in base al contesto di prova applicabile, alla progettazione dell’impianto, alla valutazione dei rischi e ai requisiti locali, anziché considerare un quadro di riferimento generale o un metodo di prova come valore di accettazione dell’impianto.

Q: I risultati dei test precedenti possono rimanere validi dopo una modifica alla configurazione?
A: Sì, ma solo se una valutazione documentata delle dipendenze evidenzia quali risultati sono stati influenzati e perché gli altri rimangono validi. Ripetere i controlli interessati e registrare nell’archivio di passaggio di consegne l’ambito della nuova verifica, il risultato, i criteri applicabili e la conclusione.