Qualificazione dell'installazione delle apparecchiature di contenimento: disegni, servizi, taratura e verifiche dello stato di fatto

Approvare un pacchetto di qualificazione a freddo (IQ) solo perché le apparecchiature sono fissate, alimentate e in funzione è uno dei modi più comuni in cui un programma di qualificazione del contenimento genera un rischio differito. Il costo a valle non viene individuato durante la stessa qualificazione a freddo (IQ), ma emerge durante la qualificazione operativa (OQ) quando non è possibile giustificare la lettura di un sensore, durante un’ispezione normativa quando un disegno as-built non corrisponde alla configurazione installata, oppure durante un’indagine su un guasto quando la causa principale non può essere distinta da una modifica in campo non documentata apportata durante l’installazione. Il giudizio che risolve questa situazione non consiste in una diligenza procedurale astratta, bensì nell’applicazione di una soglia specifica: l’IQ non è approvabile finché ogni componente critico installato non sia riconducibile al progetto approvato o a una modifica formalmente accettata. Dopo aver letto questo articolo, sarete in una posizione migliore per definire cosa deve contenere il vostro pacchetto IQ prima dell’inizio dei test funzionali e dove le lacune di coordinamento causano più comunemente l’approvazione prematura dell’IQ.

Confronto tra la configurazione installata e il progetto approvato

La distinzione tra “installato” e “qualificato” non è una semplice sfumatura semantica: determina la validità dell’intera sequenza di qualificazione. Una macchina installata è fisicamente presente, collegata e in grado di produrre. Un’installazione qualificata è quella in cui la configurazione è stata verificata rispetto a una linea di base di progettazione approvata, è stata confermata la conformità delle utenze alle specifiche e sono stati verificati la presenza e il corretto posizionamento dei componenti critici per la sicurezza e la qualità. Si tratta di stati sostanzialmente diversi e confonderli nella fase di qualificazione (IQ) invalida tutto ciò che segue.

L’Allegato 15 del Volume 4 di EudraLex fonda tale principio sulle aspettative normative: le apparecchiature devono essere qualificate prima di essere utilizzate in produzione, e la qualificazione richiede prove documentate di conformità, non la semplice presenza operativa. La norma ASTM E2500-25 sostiene lo stesso principio da un punto di vista scientifico e basato sul rischio, richiedendo che i sistemi siano verificati rispetto alle specifiche approvate prima dell’uso controllato. Nessuna delle due norme accetta il funzionamento in modalità alimentata come prova di conformità.

La conseguenza pratica per le apparecchiature di contenimento è grave. Un isolatore o un involucro di contenimento in funzione ma non verificato rispetto al pacchetto di disegni approvato potrebbe presentare una configurazione delle guarnizioni, una disposizione dei filtri o un allacciamento alle utenze che si discosta da quanto descritto nell’URS. Se l’OQ procede su questa base, ogni risultato di mantenimento della pressione, ogni misurazione del flusso d’aria e ogni prova ciclica documenta le prestazioni di una configurazione non verificata — che potrebbe non corrispondere a quanto progettato, acquistato o approvato.

La tabella che segue illustra la differenza fondamentale tra ciò che si riscontra in genere al momento della consegna del sito e ciò che IQ richiede effettivamente.

Il rischio di confondere “installato” con “qualificato” non è affatto ipotetico. Significa che l'OQ potrebbe approvare un sistema la cui configurazione si è silenziosamente discostata dal progetto approvato — e tale divergenza diventa visibile solo quando si verifica un guasto e nessuno riesce a concordare su quale fosse effettivamente la baseline approvata.

Riconciliazione di disegni, materiali e numeri di serie

La verifica “as-built” è il meccanismo che colma il divario tra ciò che è stato progettato e ciò che è stato installato. L’ambito di tale verifica è più ampio di quanto la maggior parte dei team preveda all’inizio di un progetto: comprende l’identificazione delle apparecchiature, i disegni, il cablaggio, le tubazioni, i materiali a contatto con il prodotto e le finiture superficiali. La mancanza di uno qualsiasi di questi elementi non costituisce una semplice lacuna nella documentazione, ma interrompe la catena di tracciabilità che l’IQ intende stabilire.

Per quanto riguarda in particolare le apparecchiature di contenimento, la verifica dei materiali assume un’importanza ancora maggiore. Guarnizioni, sigilli e finiture delle superfici a contatto con il prodotto all’interno di un isolatore o di un involucro ad alto contenimento fanno parte della dichiarazione di contenimento. Se il materiale della guarnizione installata non può essere ricondotto a un certificato di materiale approvato, non è possibile documentare che l’integrità del contenimento soddisfi lo scopo progettuale. Non si tratta di una preoccupazione teorica; la sostituzione dei materiali delle guarnizioni durante la produzione o l’installazione si verifica effettivamente e, in assenza di una verifica a livello di IQ, tali sostituzioni passano inosservate nel registro di qualificazione.

La verifica della corrispondenza dei numeri di serie è importante per un motivo diverso: essa conferma che l’apparecchiatura fisicamente presente sia quella che è stata sottoposta a collaudo durante il FAT, certificata e approvata per la consegna. La corrispondenza a livello di modello non è sufficiente. Se un componente è stato sostituito tra il FAT e l’installazione in loco — anche se con specifiche equivalenti — tale sostituzione deve essere documentata e valutata, senza dare per scontata l’equivalenza.

L'ambito di verifica per una tipica qualificazione a lungo termine (IQ) delle apparecchiature di contenimento si basa su una serie coerente di tipi di prove che ricoprono tutte queste categorie.

Una documentazione as-built firmata, con le deviazioni annotate, è il risultato finale che rende questa sezione dell’IQ difendibile. I disegni con le modifiche evidenziate che riflettono lo stato dell’impianto una volta installato, i rapporti di verifica del cablaggio e i certificati dei materiali allegati all’appendice dell’IQ non rappresentano un onere amministrativo, ma costituiscono le prove che rendono interpretabile ogni risultato successivo dell’OQ. Quando la documentazione as-built è mancante, incompleta o detenuta da un appaltatore che ha già concluso i lavori, l’approvazione dell’IQ viene presa in considerazione senza le prove che l’IQ è stato effettivamente eseguito.

Prove di funzionalità e calibrazione nel pacchetto IQ

Le utenze e la taratura degli strumenti sono i due ambiti in cui i pacchetti IQ presentano più frequentemente lacune silenziose che ne compromettono la validità. Entrambe sono verificabili al momento dell'installazione, entrambe sono semplici da documentare, ed entrambe vengono sistematicamente rinviate o date per scontate anziché confermate.

La verifica delle utenze consiste in un controllo strutturato rispetto alle specifiche delle apparecchiature e ai dati di qualificazione delle utenze approvati per l’impianto. I parametri rilevanti — tensione e fase, pressione dell’aria compressa, punto di rugiada, contenuto di olio, capacità di vuoto, qualità dell’acqua e condizioni ambientali dell’impianto HVAC — sono tutti verificabili tramite misurazioni in loco nel punto di allacciamento. Il rischio non è che i parametri delle utenze siano palesemente errati, bensì che siano sufficientemente vicini ai valori di riferimento da superare un’ispezione superficiale, pur risultando al di fuori dell’intervallo specificato utilizzato per definire le prestazioni dichiarate dell’apparecchiatura. Un isolatore progettato per una specifica qualità dell’aria compressa, ma alimentato da una fornitura che tecnicamente rientra nei limiti di tolleranza della struttura ma esula dalle specifiche dell’apparecchiatura stessa, rappresenta un problema di configurazione che IQ è specificamente progettato per rilevare.

Lo stato di calibrazione rappresenta un criterio più rigido. Uno strumento non calibrato non produce dati incerti, ma dati la cui accuratezza non può essere in alcun modo garantita. Se un pacchetto di qualificazione a post-installazione (IQ) include un sensore di pressione il cui certificato di calibrazione è scaduto prima del completamento dell’installazione, ogni lettura proveniente da quel sensore durante la qualificazione operativa (OQ) è tecnicamente priva di fondamento. La prova di qualificazione non è indebolita, ma è invalidata e richiederà una rielaborazione. L’Allegato 15 di EudraLex richiede che gli strumenti critici siano identificati e che il loro stato di calibrazione sia confermato come parte della qualificazione. Tale requisito esiste proprio perché lo stato di calibrazione determina se i dati di misurazione sono utilizzabili.

L'elenco degli strumenti contenuto nel pacchetto IQ deve identificare ogni sensore critico, fare riferimento al relativo certificato di taratura, confermare la tracciabilità rispetto agli standard nazionali e verificare che nessun certificato sia scaduto al momento dell'approvazione dell'IQ. Ciò vale sia per gli strumenti installati dal fornitore sia per quelli della struttura che si interfacciano con l'apparecchiatura.

Per i sistemi di contenimento dotati di monitoraggio della pressione, i sensori di pressione differenziale rivestono un’importanza particolare. Una zona di contenimento in depressione dipende da una misurazione accurata e calibrata della pressione differenziale per dimostrare che la cascata di pressione sia mantenuta. Un sensore non calibrato o fuori range in tale configurazione non crea solo un problema di documentazione: significa che la prova della cascata di pressione che l’IQ avrebbe dovuto stabilire non esiste.

Discrepanze rispetto al progetto esecutivo che incidono sulle richieste di risarcimento relative al contenimento

Le deviazioni riscontrate durante l’esecuzione dell’IQ non sono errori del processo: sono proprio ciò che il processo è progettato per mettere in luce. La vera modalità di errore si verifica quando l’IQ viene firmato senza affrontare affatto le deviazioni: viene compilata una generica checklist del fornitore, l’apparecchiatura è presente e funzionante e l’IQ viene approvato senza alcuna verifica documentata dello stato reale dell’impianto. Questo schema è talmente comune da assumere una forma riconoscibile: un IQ firmato senza disegni con annotazioni in rosso, senza conferma dei numeri di serie, senza registrazioni dei materiali “as-built” e senza registro delle deviazioni. È difficile da giustificare in sede di ispezione e impossibile da utilizzare come base diagnostica quando si verifica un guasto durante l’OQ o successivamente durante il servizio.

L’Allegato 15 stabilisce chiaramente che i protocolli di qualificazione devono documentare eventuali scostamenti riscontrati, analizzarne il possibile impatto e registrare le azioni correttive o preventive, ove applicabile. Per le apparecchiature di contenimento, la valutazione dell’impatto non è facoltativa: la questione è se la deviazione influisca sulla dichiarazione di contenimento. Una modifica al percorso in campo di una linea dell’aria compressa può essere irrilevante in molti contesti relativi alle apparecchiature. Su un isolatore di contenimento con bilanciamento della pressione convalidato, tuttavia, potrebbe alterare la risposta alla pressione in modo tale da compromettere la validità della prova di qualificazione operativa (OQ). Il registro delle deviazioni della qualificazione di installazione (IQ) è il luogo in cui tale valutazione viene effettuata, documentata e, a seconda dei casi, chiusa o inoltrata come modifica formale.

La soglia pratica è la seguente: una deviazione che influisce su un componente critico per il contenimento — geometria della guarnizione, configurazione dell’alloggiamento del filtro, punto di rilevamento della pressione, percorso di scarico — non può essere archiviata nel registro IQ con una nota che la definisca “accettabile”. È necessaria una valutazione dell’impatto che verifichi se la base di contenimento del progetto approvato sia ancora applicabile alla configurazione installata. In caso contrario, il progetto approvato deve essere aggiornato prima dell’inizio della qualificazione operativa (OQ); in caso contrario, l’OQ testerà una configurazione priva di una base progettuale approvata.

Questa è la conseguenza a valle del considerare l’IQ come una semplice formalità burocratica. Quando l’OQ rivela un’anomalia — un test di tenuta alla pressione che fallisce, una misurazione del flusso d’aria al di fuori dell’intervallo previsto — la prima domanda nell’ambito dell’indagine è se la configurazione installata corrisponda al progetto approvato. Se l’IQ è stato completato con una checklist generica e senza una verifica “as-built”, non è possibile rispondere a tale domanda senza una nuova ispezione fisica, che potrebbe richiedere lo smontaggio, ritardi e, in alcuni casi, la ripetizione dell’IQ.

Per i team che acquistano sistemi ad alto livello di contenimento, come gli isolatori OEB4/OEB5, la dichiarazione relativa al contenimento fa parte delle specifiche del prodotto. Un Isolatore OEB4/OEB5 viene consegnato dal produttore con una configurazione definita; l’IQ è la documentazione che attesta che l’installazione in loco ha mantenuto tale configurazione. Una deviazione dalla configurazione approvata non costituisce automaticamente un problema, ma deve essere valutata e documentata prima dell’inizio dei test funzionali.

Raccolta dei dati relativi ai fornitori e agli appaltatori dei cantieri

L'onere di coordinamento legato all'IQ viene costantemente sottovalutato nelle fasi di pianificazione del progetto. La documentazione che costituisce un pacchetto IQ completo proviene da più soggetti — fornitore delle apparecchiature, installatore in loco, fornitore dei sistemi di controllo, fornitore dei servizi di taratura e reparto di ingegneria dell'impianto — e ciascuno di essi opera secondo tempistiche diverse, utilizza formati di documento diversi e adotta pratiche di conservazione differenti. Quando ha inizio l'esecuzione dell'IQ, alcuni di questi soggetti potrebbero aver già lasciato il cantiere.

Il collegamento tra FAT e IQ rappresenta un caso specifico che merita di essere pianificato. Il FAT non sostituisce l’IQ e l’Allegato 15 non lo considera tale. Ciò che il FAT fornisce sono prove preliminari relative alla configurazione e alle prestazioni dell’apparecchiatura prima della spedizione. Se durante il FAT fossero state riscontrate delle eccezioni, queste dovrebbero figurare nel pacchetto IQ come voci chiuse con risoluzione documentata — oppure come voci aperte con una spiegazione di come sono state risolte prima o durante l’installazione. Un rapporto FAT a cui non si fa riferimento nell’IQ non è integrato nel registro di qualificazione; si tratta di un documento separato che potrebbe essere o meno individuabile durante un’ispezione.

I punti critici pratici nella raccolta dei dati non sono solitamente causati dalla riluttanza a fornire la documentazione. Si verificano perché la documentazione non è mai stata definita come risultato atteso dell’IQ nei contratti o negli ordini di acquisto, perché le revisioni “as-built” sono state trattate come documenti di lavoro dell’installatore piuttosto che come registrazioni formali, oppure perché i fornitori di servizi di calibrazione hanno emesso certificati che fanno riferimento a numeri di identificazione degli strumenti non corrispondenti all’elenco degli strumenti dell’IQ. L’individuazione di queste lacune dopo l’avvio dell’esecuzione dell’IQ — o dopo che un appaltatore ha lasciato il cantiere — impone una documentazione a posteriori che risulta più difficile da completare e meno difendibile rispetto a quella raccolta in tempo reale.

La mappa di coordinamento sopra riportata è utile come strumento di consapevolezza delle lacune nella pianificazione dell’esecuzione dell’IQ. La raccomandazione pratica è quella di definire i risultati attesi in termini di documentazione da parte di ciascuna parte, in ambito contrattuale o di gestione del progetto, prima dell’inizio dell’installazione, in modo che la raccolta dei documenti avvenga attraverso un passaggio di consegne strutturato piuttosto che con una ricerca affannosa a posteriori. Per i sistemi di contenimento con interfacce complesse — come gli alloggiamenti dei filtri BIBO con guarnizioni pneumatiche o i sistemi di decontaminazione integrati — il numero di parti coinvolte nella documentazione dell’IQ è maggiore e il rischio di coordinamento è proporzionalmente più elevato.

I team che mettono in servizio ambienti BSL-3 con più interfacce dei sistemi di contenimento potrebbero trovare la sequenza di coordinamento in Messa in funzione del laboratorio BSL-3: Guida passo-passo un utile punto di riferimento per comprendere come la raccolta dei dati relativi al quoziente intellettivo (IQ) si inserisca nel più ampio programma di appalto.

Soglia di approvazione dell'IQ prima dei test funzionali

L’approvazione IQ rappresenta un punto di controllo, non una tappa fondamentale. Considerarla come una tappa fondamentale — un obiettivo da raggiungere e superare nel programma del progetto — è il modello decisionale che porta a costose rielaborazioni una volta avviata la fase di OQ. La funzione di punto di controllo implica che l’OQ non possa ragionevolmente avere inizio finché l’IQ non raggiunge una specifica soglia di completezza: ogni componente critico installato deve essere riconducibile al progetto approvato o a una modifica formalmente documentata e valutata.

L’Allegato 15 è chiaro riguardo ai requisiti di sequenza: le apparecchiature devono essere qualificate prima di essere utilizzate in un contesto di produzione o di convalida, e ciò significa che la qualificazione di immunità (IQ) deve essere approvata prima di procedere con la qualificazione operativa (OQ). La conseguenza pratica è che una qualificazione di immunità parzialmente completata — in cui i certificati di calibrazione sono in sospeso, i disegni as-built sono contrassegnati come “in corso” o le eccezioni del FAT non sono state risolte — non soddisfa i requisiti per l’approvazione. Procedere con l’OQ su questa base significa che i risultati dell’OQ si basano su una configurazione non verificata e, se l’IQ viene successivamente completato e rivela una deviazione, tali risultati dell’OQ potrebbero dover essere annullati.

La soglia di approvazione prevede sei elementi verificabili per la qualificazione a funzione (IQ) delle apparecchiature di contenimento. Nessuno di essi può essere ridotto a una semplice lista di controllo firmata in assenza di prove a sostegno.

Il criterio della matrice di tracciabilità merita un’attenzione particolare. Per le apparecchiature di contenimento, l’URS specificherà in genere le prestazioni della cascata di pressione, gli obiettivi di integrità del contenimento, le specifiche dei filtri e le configurazioni delle guarnizioni. La matrice di tracciabilità dell’IQ dovrebbe essere in grado di indicare, per ciascuna di queste voci dell’URS, quale componente installato la soddisfa, quale disegno o specifica definisce la configurazione approvata e se lo stato di installazione corrisponde a tale configurazione. Se una voce dell’URS non può essere ricondotta a un componente installato e a un disegno approvato, si verifica una delle due seguenti condizioni: il componente è mancante oppure la documentazione è incompleta. Entrambe le condizioni dovrebbero impedire l’approvazione dell’IQ.

Per i sistemi di porte e guarnizioni che fanno parte del perimetro di contenimento — come le porte APR con guarnizione pneumatica utilizzate in ambienti BSL-3 o in ambienti farmaceutici ad alto contenimento — il guarnizione pneumatica per porta APR La configurazione al momento dell'installazione deve essere verificabile rispetto al progetto approvato della tenuta e alle specifiche relative alla cascata di pressione dell'impianto. L'IQ è il documento che stabilisce tale stato di riferimento prima dell'inizio delle prove di integrità della tenuta (OQ).

Il valore pratico di un IQ ben eseguito non risiede nel documento in sé, bensì nella linea di riferimento difendibile che crea per ogni test, indagine e ispezione successiva. Quando i risultati dell’OQ sono anomali, quando un audit mette in dubbio che il sistema installato corrisponda al progetto approvato, o quando un intervento di manutenzione solleva dubbi sulla configurazione originale, il pacchetto IQ costituisce il riferimento primario. Se contiene checklist generiche prive di prove as-built, la linea di riferimento non esiste in una forma utilizzabile.

Prima di approvare un pacchetto IQ, i team che hanno più da perdere in caso di discrepanze — QA, biosicurezza e responsabile della validazione — dovrebbero essere in grado di rispondere a tre domande senza uscire dal documento: ogni componente critico installato è riconducibile al progetto approvato o a una modifica accettata? Tutti i certificati di taratura sono aggiornati e tracciabili? Tutte le deviazioni sono documentate con una valutazione d’impatto che tenga conto della dichiarazione di contenimento? Se una qualsiasi di queste risposte richiede ipotesi o conoscenze esterne non riportate nel verbale dell’IQ, il pacchetto non è pronto per l’approvazione.

Risposte alle domande più frequenti

D: Il nostro isolatore di contenimento è stato installato due anni fa ed è stato utilizzato senza una procedura formale di qualificazione a funzione (IQ). È ancora possibile eseguire una procedura di qualificazione a funzione (IQ) valida adesso?
R: Sì, è possibile effettuare una verifica di qualificazione (IQ) retrospettiva, ma è significativamente più difficile rispetto a una nuova installazione. È necessario verificare fisicamente la configurazione effettiva — materiali di tenuta, alloggiamenti dei filtri, posizioni dei sensori — confrontandola con il progetto originale approvato, e raccogliere tutta la documentazione ancora disponibile dal fornitore e dagli appaltatori incaricati dell’installazione. È probabile che alcuni elementi di prova non siano disponibili, pertanto sarà necessario documentare le ipotesi formulate ed eventualmente integrarle con una nuova verifica mirata (ad esempio, certificazione dei materiali, calibrazione dei sensori in situ). L’obiettivo rimane lo stesso: accertare che il sistema installato corrisponda alle specifiche approvate prima di intraprendere ulteriori fasi di qualificazione.

D: Una volta approvato il pacchetto IQ, cosa deve avvenire immediatamente prima dell'inizio delle prove OQ?
R: La linea di base della configurazione installata deve essere formalmente bloccata e il sistema deve essere rilasciato per l’OQ con una dichiarazione documentata che attesti che tutte le deviazioni dell’IQ che potrebbero influenzare le condizioni di prova dell’OQ sono state risolte o accettate con relative valutazioni d’impatto. Senza questo passaggio, i team di OQ potrebbero iniziare a eseguire le prove su una configurazione ancora in evoluzione, rendendo impossibile l’interpretazione di eventuali risultati anomali. Questo rilascio garantisce inoltre che i disegni as-built, i registri di calibrazione e i certificati dei materiali siano congelati come punto di riferimento per le imminenti prove dinamiche.

D: In quali casi, se ve ne sono, è accettabile unificare l’IQ e l’OQ in un unico protocollo integrato per le apparecchiature di contenimento?
R: La fusione tra IQ e OQ è accettabile solo per sistemi di utilità semplici e non critici, nei quali una valutazione dei rischi dimostri che la configurazione installata non possa influenzare autonomamente i risultati delle prove. Per le apparecchiature di contenimento, lo stato di installazione determina direttamente la validità delle dichiarazioni di contenimento; pertanto, l’aspettativa normativa — riflessa nell’Allegato 15 di EudraLex e nella norma ASTM E2500 — è che l’IQ debba essere completata e approvata prima dell’inizio dell’OQ. La loro combinazione offusca la prova che il sistema sia stato verificato per corrispondere al progetto approvato prima delle prove dinamiche, il che compromette l’intera sequenza di qualificazione.

D: Come faccio a stabilire se una discrepanza rispetto al progetto riscontrata durante l'IQ sia sufficientemente grave da giustificare un rinvio dell'OQ, anziché limitarmi a documentarla e proseguire?
R: La decisione dipende dal fatto che la discrepanza riguardi o meno un componente critico per il contenimento — come la geometria di una guarnizione, l’alloggiamento di un filtro, un punto di rilevamento della pressione o il percorso di scarico. In tal caso, la qualificazione operativa (OQ) deve essere rinviata fino a quando la configurazione non sarà stata risolta o la linea di base di progettazione non sarà stata formalmente aggiornata, poiché i risultati dell’OQ verranno registrati rispetto a una linea di base che non corrisponde più a quanto installato. Una discrepanza non critica (ad esempio, una lieve incongruenza nell’etichettatura che non altera il funzionamento) può essere accettata con una dichiarazione documentata dell’impatto e non richiede l’interruzione della qualificazione operativa (OQ), a condizione che la dichiarazione di contenimento non ne risulti compromessa.

D: È giustificato un controllo completo da parte dell’IQ per un sistema di contenimento che verrà utilizzato solo per una breve campagna di ricerca, oppure possiamo fare affidamento sui registri di installazione forniti dal fornitore?
A: L’impegno profuso per l’IQ è giustificato a prescindere dalla durata prevista dell’utilizzo. La stessa dichiarazione di contenimento — ovvero la protezione degli operatori da composti potenti — dipende dal fatto che la configurazione installata corrisponda al progetto approvato sin dal primo utilizzo del sistema, non dalla durata del suo servizio. I registri di installazione del fornitore non costituiscono una verifica indipendente e non saranno accettati dalle autorità di regolamentazione in sostituzione di un IQ documentato che confermi lo stato di fatto, la tracciabilità dei componenti critici ed eventuali deviazioni emerse durante l’installazione.