Documentazione di convalida di Isolator e cRABS: prove di tenuta, integrità dei filtri HEPA, cicli di VHP e protezione dell'operatore

I team di validazione che considerano la qualificazione degli isolatori come un’attività di garanzia della sterilità — e rimandano la verifica dei limiti di contenimento fino alle ultime fasi della messa in servizio — si trovano regolarmente ad affrontare un problema specifico e costoso: una logica di allarme mai collegata ai parametri di pressione, registrazioni sull’integrità dei guanti inesistenti e un ciclo VHP che ha superato il test di sfida biologica ma non è in grado di dimostrare che non produrrà risultati di sterilità falsi negativi. La conseguenza non è una semplice lacuna nella documentazione, bensì un ciclo di rielaborazione che coinvolge contemporaneamente la progettazione dell’involucro, la configurazione del sistema di controllo e la qualificazione dei mezzi di monitoraggio, spesso in condizioni di controllo normativo. Il problema di fondo è di natura strutturale: le prove relative alla sterilità e quelle relative alla protezione dell’operatore vengono prodotte da team diversi secondo tempistiche diverse e non vengono mai integrate in un unico pacchetto di dati giustificabile. La scelta che consente di evitare questa situazione consiste nel decidere, prima dell’inizio della qualificazione, quali barriere richiedono prove di accettazione indipendenti e quale soglia definisce la conformità per ciascuna di esse.

Funzioni di barriera che definiscono l'evidenza dell'isolatore

Le prove di convalida dell’isolatore devono basarsi sulle barriere fisiche, non sui risultati del prodotto. Ogni barriera fisica che separa la zona critica dall'operatore o dall'ambiente circostante richiede una propria prova di accettazione, poiché ciascuna di esse può guastarsi indipendentemente dalle altre e ogni modalità di guasto comporta un diverso tipo di rischio. Una perdita nella camera di contenimento compromette sia il prodotto che l'operatore. Una rottura del filtro compromette la sterilità del prodotto, ma potrebbe non essere rilevabile mediante il solo monitoraggio della pressione. Una porta di trasferimento che permette l'ingresso di contaminanti durante un'operazione di trasferimento di materiale crea un rischio per il prodotto che nessun inserimento post-ciclo di microrganismi biologici (BI) può risolvere retroattivamente.

L'Allegato 1 delle GMP dell'UE (2022) stabilisce che l'integrità dell'isolatore e quella dei guanti debbano essere verificate a intervalli adeguati. Tale impostazione — la verifica a intervalli — implica che il pacchetto di qualificazione non sia un evento una tantum legato alla messa in servizio; essa stabilisce infatti un requisito di documentazione ricorrente che deve essere integrato fin dall'inizio nelle procedure operative standard (SOP) relative alla manutenzione e al funzionamento. ISO 13408-6 fornisce un quadro di riferimento procedurale su ciò che costituisce una prova adeguata dell'efficacia delle barriere, ma la conseguenza pratica di tale quadro è che ogni barriera — involucro, filtrazione, interfaccia di trasferimento, ciclo di decontaminazione e accesso da parte dell'utente — richiede un metodo di prova definito, una soglia di accettazione definita e un criterio di riqualificazione definito.

Ogni barriera può fallire in modo indipendente; è proprio quando le si considera come un unico sistema di tipo “superato/non superato” che le prove presentate crollano sotto esame.

L’attrito che emerge durante gli audit non è solitamente dovuto alla mancanza di un test, bensì alla mancanza di una motivazione che spieghi perché quel test fosse sufficiente per quella specifica barriera in quella specifica condizione operativa. I team che definiscono le funzioni di barriera prima di redigere i protocolli di test sono in una posizione migliore per difendere i criteri di accettazione quando vengono messi in discussione, poiché è il criterio a seguire la funzione, e non il contrario.

Registri delle prove di tenuta e dell'integrità dei filtri HEPA

La prova di tenuta con calo di pressione e la prova di integrità del filtro HEPA riguardano diverse modalità di guasto e non devono essere confuse nella documentazione probatoria. Il superamento del test di integrità del filtro HEPA conferma che il filtro installato non presenta bypass rilevabili della sostanza di prova aerosolizzata sulla superficie del filtro. Il superamento del test di tenuta con decadimento di pressione conferma che la camera nel suo complesso — comprese guarnizioni, porte, flange per guanti e qualsiasi punto di penetrazione — non consente uno scambio d’aria incontrollato al differenziale di pressione testato. Entrambi i test sono necessari poiché una camera può superare uno e fallire l’altro.

Il metodo del decadimento della pressione prevede la pressurizzazione della camera, la stabilizzazione della pressione e la successiva misurazione della caduta di pressione in un periodo di tempo definito. Di seguito sono riassunti i parametri di prova e i criteri di accettazione tipici per gli isolatori di piccolo volume, insieme alla documentazione che ogni prova deve generare.

Le soglie di accettazione riportate nella tabella rappresentano criteri tipici del settore per isolatori di piccolo volume, non valori prescrittivi imposti da un unico standard. I limiti appropriati per una specifica installazione dipendono dal volume della camera, dalla pressione di esercizio e dalla sensibilità della strumentazione utilizzata. Laddove un produttore specifichi limiti diversi in base al volume o al design, tali limiti devono essere confrontati con i requisiti funzionali e non accettati automaticamente. Il dato critico non è solo il risultato numerico, ma anche l’indicazione di superamento/fallimento del test, lo stato di taratura della strumentazione di misura della pressione ed eventuali scostamenti osservati durante la stabilizzazione che potrebbero indicare una tenuta marginale nelle condizioni di prova, ma non rappresentativa del funzionamento di routine.

Per verificare l'integrità dei filtri HEPA, è necessario eseguire prove di tenuta in situ sui filtri secondo il quadro normativo applicabile (ISO 14644-3 (che fornisce i metodi pertinenti) dovrebbe generare un certificato di integrità del filtro e un verbale di collaudo specifico per ciascuna unità installata. Un certificato relativo a un filtro collaudato in fabbrica non sostituisce un collaudo in loco, poiché l'installazione può introdurre percorsi di bypass che i collaudi in fabbrica non rilevano.

Documentazione relativa al ciclo VHP per sistemi chiusi

La documentazione relativa al ciclo VHP fallisce il più delle volte non nella fase dell’indicatore biologico, bensì nei punti di intersezione tra la chimica del ciclo, le condizioni ambientali e i materiali presenti all’interno dell’isolatore durante la decontaminazione. Un indicatore biologico che raggiunge la riduzione logaritmica richiesta in condizioni controllate non conferma automaticamente che il ciclo sia robusto di fronte alle variazioni di temperatura ambiente, né che non comprometta le prove generate successivamente attraverso meccanismi di falso negativo.

I quattro elementi della documentazione che, nel loro insieme, costituiscono una base difendibile Convalida del ciclo VHP I pacchetti sono strutturati come segue.

Il carico degli indicatori biologici merita un'attenzione particolare. Per un isolatore situato in una camera bianca di classe ISO 8, un calcolo del carico biologico "overkill" indica una popolazione di indicatori biologici pari a circa 2,0 × 10⁴ Geobacillus stearothermophilus spore ritenute adeguate a dimostrare una riduzione di 6 log, corrispondente a un livello di garanzia di sterilità (Sterility Assurance Level) pari a 10⁻⁶. Questo valore è un risultato illustrativo derivante da quel calcolo specifico, non un requisito esplicito della norma ISO. La popolazione di BI per qualsiasi progetto dovrebbe derivare dai dati effettivi relativi alla carica batterica della struttura e dal calcolo di overkill ad essa applicato.

A Ciclo VHP Il fatto che un campione superi il test di sfida biologica ma risulti negativo al test di ingresso per i falsi negativi potrebbe rappresentare l'esito peggiore: i risultati del test di sterilità diventano inaffidabili senza che si riscontri un guasto visibile del sistema.

I cicli PQ a temperature estreme (18 °C, 21 °C e 24 °C per una struttura con un’oscillazione di ±4 °C) costituiscono un criterio di pianificazione volto a confermare la robustezza del ciclo, non una matrice di test universalmente obbligatoria. Il loro valore risiede nel prevenire una situazione in cui un ciclo convalidato in base a un unico insieme di condizioni subisca un calo di efficacia durante l’uso di routine semplicemente perché la temperatura ambiente si è spostata verso un valore estremo mai testato. La qualificazione relativa alla promozione della crescita dei terreni di monitoraggio ambientale è spesso considerata secondaria, ma un ciclo VHP che inibisce la crescita nei terreni di recupero trasforma un risultato ambientale pulito in un evento di contaminazione non rilevabile: un rischio per l’integrità dei dati che i revisori considerano sempre più spesso equivalente a un guasto del sistema.

Interfaccia operatore e segnalazione degli allarmi

La configurazione degli allarmi di pressione in un isolatore a pressione positiva è l’aspetto in cui la documentazione relativa alla protezione dell’operatore risulta più spesso carente. Gli allarmi hanno lo scopo di avvisare il personale quando la cascata di pressione che separa la zona critica dall’operatore o dall’ambiente circostante sta subendo un deterioramento; pertanto, nel registro di qualificazione deve essere riportata la motivazione alla base del valore di setpoint, non solo il valore stesso.

L’approccio di un professionista, basato sulle linee guida PIC/S, fissa il valore minimo per un isolatore a pressione positiva a 10 Pa. Quando si applica la tolleranza di calibrazione (in genere ±2 Pa), l’allarme “Basso-Basso” dovrebbe essere impostato a un valore non inferiore a 12 Pa per garantire che l’allarme scatti prima che la pressione effettiva scenda al di sotto del minimo funzionale. L’allarme “Basso” a ≥17 Pa fornisce un margine di sicurezza. I setpoint “Alto” e “Alto-Alto” devono essere scaglionati con incrementi di 5 Pa, con il setpoint “Alto-Alto” impostato ad almeno 10 Pa al di sotto del limite superiore di funzionamento sicuro del trasduttore. Questi valori sono obiettivi di progettazione derivati da tale logica: non si tratta di valori normativi universalmente vincolanti e i progetti che operano in regimi di pressione diversi o che utilizzano strumenti con tolleranze di calibrazione diverse dovrebbero ricalcolarli sulla base della stessa logica, anziché copiare direttamente i setpoint.

Ciò che conta ai fini del registro di qualificazione non è solo il setpoint, ma la motivazione documentata che collega ciascun setpoint al requisito di pressione funzionale, alla tolleranza di calibrazione dello strumento e alle conseguenze operative di ciascuno stato di allarme. Un FAT che verifica la segnalazione degli allarmi senza verificare la motivazione del setpoint costituisce una prova incompleta. La documentazione dovrebbe inoltre confermare che i bypass degli allarmi durante le modalità di manutenzione siano controllati, registrati e non possano rimanere attivi durante il funzionamento di routine — una lacuna che spesso emerge durante le simulazioni di richiamo o le ispezioni normative piuttosto che durante le attività di qualificazione pianificate.

Onere documentale dell’Isolator rispetto a quello del cRABS

Scegliere un isolatore anziché un cRABS non semplifica il pacchetto di convalida, ma lo sposta. La separazione fisica che rende un isolatore più difendibile dal punto di vista del controllo della contaminazione rende anche ogni violazione di tale confine, pianificata o meno, un evento di ricertificazione. Per i cRABS, la sostituzione del filtro e il controllo del flusso d’aria possono essere sufficienti per ripristinare il servizio. Per un isolatore, lo stesso evento di accesso può richiedere una ricertificazione completa della tenuta dell’involucro e un nuovo ciclo di VHP prima che lo spazio sia nuovamente disponibile.

Il confronto riportato di seguito illustra i requisiti di documentazione relativi a cinque ambiti in cui le due tecnologie presentano differenze significative.

La conseguenza pratica in termini di ciclo di vita non è che gli isolatori richiedano di per sé una maggiore documentazione, bensì che la documentazione debba essere completata prima che il sistema possa essere riutilizzato dopo qualsiasi intervento che modifichi il confine del contenimento. La documentazione relativa al sistema cRABS è più snella, ma sostituisce il confine del contenimento con un requisito documentato di tecnica asettica e una procedura di vestizione dell’operatore che deve reggere sotto la pressione della produzione di routine. Nessuno dei due approcci elimina l’onere della documentazione; entrambi lo distribuiscono in modo diverso tra messa in servizio, qualificazione, operazioni e manutenzione.

Sottovalutare la riqualificazione post-manutenzione degli isolatori rappresenta un rischio in termini di pianificazione, non solo una lacuna nella documentazione: gli interventi programmati devono essere integrati nelle tempistiche di produzione.

È proprio nella lacuna relativa alla documentazione sulla decontaminazione che le due tecnologie divergono in modo più netto. cRABS non utilizza una decontaminazione automatizzata in fase vapore convalidata, il che significa che il pacchetto di prove relative al ciclo VHP descritto nella sezione precedente è in gran parte assente. Tale assenza riduce la complessità della qualificazione iniziale, ma elimina un livello di documentazione che viene sempre più richiesto dalle autorità di regolamentazione incaricate di valutare il rischio legato ai processi asettici. La scelta tra le due tecnologie dovrebbe includere un confronto esplicito su come ciascun approccio documenti la protezione degli operatori, non solo quella del prodotto.

Soglia di accettazione per ciascuna barriera critica

Non esiste un’unica soglia di accettabilità che regoli la convalida degli isolatori. La fondatezza del pacchetto di prove dipende dal fatto che ogni barriera abbia una propria soglia, un proprio metodo di prova e una propria base di riferimento — e dal fatto che tale base sia stata scelta specificamente per quel sistema, anziché essere stata copiata da un progetto precedente.

Di seguito sono riassunte le soglie relative a ciascuna barriera critica, insieme alla loro base o al loro riferimento.

Queste soglie sono valori di progetto e criteri tipici del settore. Considerarle come limiti normativi universalmente vincolanti è l’errore che crea vulnerabilità in sede di audit: un ispettore che chiede perché sia stato scelto ≤15 Pa per una camera di grande volume, quando il volume è un fattore che influisce sulla sensibilità al calo di pressione, si aspetta una risposta fondata sul sistema specifico. Se una soglia è ricavata da una norma, citatela. Se si basa su un calcolo “eccessivo”, mostrate il calcolo. Se riflette la logica della tolleranza di calibrazione, documentate tale logica.

La riduzione di 6 log (SAL 10⁻⁶) è il concetto consolidato di garanzia di sterilità su cui si basa l’approccio “overkill”; non si tratta di una regola specifica per gli isolatori inventata per questo contesto. La sua applicazione alla convalida del ciclo con VHP implica che il test di sfida con microrganismi di riferimento (BI) e la progettazione del ciclo debbano dimostrare congiuntamente che il ciclo garantisce una letalità coerente con tale SAL nelle condizioni di scenario peggiore, e non solo in base ai parametri nominali del ciclo testati in condizioni ambientali ideali.

L'intervallo di integrità dei guanti è la soglia che più comunemente manca nelle prove relative alla protezione degli operatori. L'Allegato 1 delle GMP dell'UE richiede una verifica a intervalli appropriati, ma il termine “appropriato” deve essere definito nel pacchetto di convalida in relazione al materiale dei guanti, alla frequenza degli interventi e al profilo di esposizione chimica dell'operazione specifica. Un progetto che non definisca questo aspetto presenta una soglia di accettazione incompleta per la barriera che con maggiore probabilità verrà violata durante l'uso di routine.

Prima dell’inizio della qualificazione, l’esercizio più utile consiste nell’associare ogni barriera fisica al relativo metodo di prova, alla soglia di accettazione, al criterio di riqualificazione e al team responsabile della redazione della documentazione. Tale associazione metterà immediatamente in evidenza i casi in cui le soglie non sono definite, i metodi di prova sono in conflitto con le condizioni operative e le prove relative alla protezione degli operatori sono state silenziosamente rinviate a una fase successiva, che potrebbe verificarsi in un momento di pressione legata al programma di messa in servizio.

Il pacchetto di prove del ciclo VHP, la motivazione del setpoint dell’allarme e l’intervallo di integrità dei guanti sono le tre aree che con maggiore probabilità risultano incomplete al momento della presentazione alla autorità di regolamentazione. Sono anche le tre aree in cui è più difficile correggere una documentazione incompleta dopo l’installazione, poiché ciascuna dipende da condizioni specifiche del sistema — dati sulla temperatura ambiente, registrazioni di calibrazione degli strumenti e documentazione sulla compatibilità dei materiali — che devono essere raccolti durante le stesse prove di qualificazione. Verificare che la struttura della documentazione sia completa prima del FAT e che ogni soglia di accettazione abbia una base documentata è la decisione che determina se il fascicolo di qualificazione sia difendibile in sede di ispezione.

Domande frequenti

D: Il nostro isolatore di contenimento funziona in depressione per i composti potenti. La logica di impostazione del punto di allarme descritta in questo articolo è comunque applicabile?
R: No, la motivazione alla base del setpoint dell’allarme descritta è specifica per gli isolatori asettici a pressione positiva. Nel caso del contenimento a pressione negativa, la direzione della cascata di pressione è invertita e il minimo funzionale deve essere derivato dal requisito di contenimento — in genere il mantenimento di un differenziale negativo definito per impedire la fuoriuscita di materiali pericolosi. Il principio di documentare la motivazione alla base del setpoint in base alle esigenze funzionali, alla tolleranza di calibrazione e alle conseguenze dell’allarme rimane essenziale, ma i valori numerici di riferimento saranno completamente diversi.

D: Dopo aver letto questo articolo, qual è la lacuna più urgente da colmare in termini di documentazione prima di un’ispezione normativa?
A: Verificare che gli intervalli di verifica dell’integrità dei guanti siano definiti sulla base di criteri operativi documentati. Si tratta della barriera che viene violata più frequentemente durante l’uso di routine e quella per cui più spesso manca una motivazione nel fascicolo di qualificazione. L’Allegato 1 delle GMP dell’UE richiede una verifica a intervalli “appropriati” e, se tale frequenza non è giustificata dal materiale dei guanti, dal tasso di intervento e dall’esposizione chimica, la documentazione relativa alla protezione dell’operatore risulta incompleta e difficile da correggere dopo l’installazione.

D: A partire da quale volume della camera non si applicano più le soglie di accettabilità relative alla caduta di pressione pari a ≤10–15 Pa nell'arco di 10 minuti?
A: Queste soglie sono tipiche degli isolatori di piccolo volume, come le unità da banco o a camera singola. Per gli isolatori di produzione di grandi dimensioni con volumi di diversi metri cubi, la caduta di pressione accettabile deve essere ricalcolata in base al criterio del tasso di perdita equivalente (tipicamente ≤0,5% di perdita di volume all’ora) anziché a un valore di pressione fisso, poiché la maggiore superficie interna attenua il segnale di pressione generato da una data dimensione della perdita. Sono quindi la sensibilità dello strumento e la geometria della camera a determinare il limite, non un valore universale.

D: Per una struttura in cui si effettuano interventi mensili di sgombero delle linee, con conseguente riduzione dei costi di documentazione nell’arco del ciclo di vita, è preferibile un isolatore o un cRABS?
A: Il sistema cRABS comporta solitamente una minore documentazione di riqualificazione per ogni intervento, poiché possono essere sufficienti la sostituzione del filtro e il controllo del flusso d’aria, mentre un isolatore richiede in genere una prova di tenuta dell’involucro e un nuovo ciclo di VHP dopo ogni violazione del confine di contenimento. Tuttavia, il sistema cRABS sposta l’onere sul mantenimento della tecnica asettica documentata e sulla qualificazione del cambio d’abito; se tali controlli falliscono sotto pressione di routine, la documentazione correttiva accumulata può superare i costi di riqualificazione dell’isolatore. La decisione dovrebbe mettere a confronto la frequenza degli interventi con la disciplina operativa raggiungibile nella vostra struttura.

D: Un isolatore per attività di ricerca e sviluppo su scala di sviluppo richiede il pacchetto completo di documentazione relativo al ciclo VHP, compresi i test di ingresso per i falsi negativi?
R: Solo se l’isolatore supporta test di sterilità o monitoraggio ambientale finalizzati alla generazione di dati per le domande di autorizzazione. I test di ingresso con falsi negativi sono fondamentali per confermare che il ciclo VHP non comprometta l’affidabilità di tali risultati. Per le attività di ricerca e sviluppo nelle fasi iniziali non destinate a domande di autorizzazione GMP, è possibile concentrarsi sui registri degli indicatori biologici e dei parametri di ciclo; tuttavia, occorre tenere presente che qualsiasi dato successivamente utilizzato in una domanda di autorizzazione sarà contestato se il rischio di falsi negativi non è stato affrontato durante la qualificazione.