FAT e SAT degli isolatori: quali prove dovrebbero richiedere gli acquirenti?

Prima di accettare un isolatore in sede di collaudo in fabbrica (FAT) e successivamente in sede di collaudo in loco (SAT), gli acquirenti devono ottenere una risposta chiara a una domanda: quali funzioni vengono effettivamente verificate da ciascuna prova e quali condizioni modificano tale verifica? Considerare il FAT e il SAT come un unico criterio di superamento o fallimento, anziché come due insiemi distinti di prove, lascia delle lacune che emergono solo dopo che il sistema è stato installato e messo in funzione. L’obiettivo di protezione dell’isolatore è la tutela del prodotto attraverso la separazione asettica, e la documentazione di verifica dovrebbe essere strutturata in modo da dimostrare tale obiettivo nelle condizioni in cui l’isolatore funzionerà effettivamente, non solo in condizioni di fabbrica.

Elementi probatori da presentare in sede di collaudo in fabbrica

Il collaudo in fabbrica serve a verificare ciò che il sito del fornitore è in grado di riprodurre fedelmente: la logica di controllo, il funzionamento dei componenti, la qualità costruttiva, il comportamento del software e la risposta dell’apparecchiatura in condizioni che la fabbrica è in grado di ricreare. Ciò che il FAT non può rappresentare è tutto ciò che dipende dall’ambiente finale, dagli allacciamenti alle utenze definitivi o dalle sollecitazioni meccaniche dovute al trasporto e all’installazione. Questa distinzione non è una semplice preferenza procedurale; deriva dalla natura fisica stessa di un ambiente di prova in fabbrica. Un modello di utenze realizzato in fabbrica, per quanto vicino alle specifiche di progetto, non corrisponde all’effettivo allacciamento alle utenze, e una funzione che dipende da tale allacciamento non è stata verificata nelle sue effettive condizioni operative.

Ciò significa che il compito dell’acquirente durante il FAT è quello di confermare che il pacchetto di prove dimostri ciò che è dimostrabile in quel momento, con sufficiente rigore e documentazione da poter essere considerato attendibile in seguito senza necessità di ripetizioni. Un protocollo approvato attesta che il test è stato pianificato e rivisto prima dell’esecuzione, non improvvisato in base al risultato. Criteri di accettazione predefiniti, fissati prima dell’esecuzione del test, impediscono che i criteri vengano adattati per adattarsi a qualsiasi risultato prodotto dal sistema. I risultati grezzi, non le dichiarazioni sintetiche di superamento del test, consentono all’acquirente o a un revisore successivo di giudicare in modo indipendente se il risultato soddisfa effettivamente i criteri dichiarati. Lo stato dello strumento è importante perché una misurazione è credibile solo quanto lo strumento che l’ha prodotta. Le versioni del software e dei disegni sono importanti perché le prestazioni documentate di un isolatore sono legate a una configurazione specifica; una modifica successiva invalida il collegamento tra il test e il sistema consegnato, a meno che tale modifica non venga a sua volta valutata. La chiusura delle deviazioni è importante perché una deviazione aperta lascia irrisolto il risultato associato, indipendentemente da quanto riportato nel resto del rapporto. La tracciabilità URS ricollega ciascuna di queste registrazioni a un requisito effettivamente specificato dall’acquirente, il che consente all’acquirente di valutare la copertura piuttosto che la semplice attività.

Laddove una funzione dipenda esclusivamente dalla progettazione interna dell’isolatore e dalla logica di controllo, e non dall’ambiente di installazione, le prove del FAT relative a tale funzione possono essere considerate definitive, a condizione che la documentazione confermi tale conclusione. Laddove le prestazioni di una funzione dipendano da un fattore che lo stabilimento non è in grado di riprodurre, le prove del FAT dimostrano solo che la funzione ha funzionato nelle condizioni di prova, non che funzionerà una volta installata.

Condizioni del sito che devono essere ricontrollate dopo l'installazione

Allegato 15 definisce la logica generale che regola questa sezione: il FAT eseguito presso la sede del fornitore può essere seguito dal SAT dopo la consegna, e non è necessario ripetere il FAT presso la sede dell’acquirente solo se il trasporto e l’installazione non compromettono il funzionamento e tale motivazione è documentata. Si tratta di una deroga limitata, non di una regola predefinita. In questo modo, l’onere di giustificare il trasferimento dei risultati ricade sull’acquirente e sul fornitore, anziché essere dato per scontato.

Il ragionamento alla base di questa tolleranza è di natura meccanica. Le prestazioni di un isolatore dipendono dalle cascate di pressione, dai modelli di flusso d’aria, dall’integrità delle porte per i guanti e dalle risposte di controllo che interagiscono con la sala in cui è installato, con le utenze che lo alimentano e con le manipolazioni fisiche a cui è stato sottoposto per arrivare a destinazione. Un circuito di controllo che ha risposto correttamente a un input simulato in fabbrica potrebbe comportarsi in modo diverso una volta collegato al sistema di gestione dell’edificio, alla qualità dell’alimentazione elettrica in loco o alla fornitura di aria compressa. Un involucro che ha mantenuto la tenuta durante le prove di tenuta in fabbrica potrebbe aver subito sollecitazioni durante il trasporto o il montaggio che il test di fabbrica non avrebbe potuto prevedere. Questo è il motivo per cui le utenze installate, le interfacce con l’ambiente circostante, le funzioni sensibili al trasporto e quelle alterate dall’installazione o dall’integrazione non possono ereditare la conformità ottenuta in fabbrica; l’oggetto fisico sottoposto a prova è cambiato.

La decisione che l’acquirente deve prendere non riguarda l’opportunità di eseguire il SAT, bensì come tracciare la linea di demarcazione tra ciò che viene trasferito e ciò che deve essere verificato nuovamente. Tale linea dovrebbe essere stabilita funzione per funzione, non per l’isolatore nel suo complesso. Una funzione che non sia stata interessata dal trasporto, dall’installazione o dall’interfaccia con l’ambiente circostante può ragionevolmente mantenere il risultato di fabbrica, purché la motivazione sia documentata e i criteri di accettazione rimangano legati ai requisiti specifici del progetto piuttosto che a uno standard generico. Una funzione che entri in contatto con uno qualsiasi di questi aspetti necessita di un proprio protocollo specifico per il sito, da eseguire nelle condizioni effettive del sito e da valutare in base a criteri stabiliti in anticipo. ISO 14644-7 definisce i dispositivi di separazione nell'ambito di questa struttura "installazione-collaudo-approvazione", ma non fornisce protocolli o limiti specifici per le apparecchiature; ciò significa che l'acquirente non può considerare uno standard di riferimento generale come sostituto di un piano SAT specifico per il progetto.

Sfide funzionali relative a interblocchi, allarmi, flusso d’aria e sistemi di controllo

Dispositivi di interblocco, allarmi, flusso d'aria e funzioni di controllo sono al centro delle prestazioni asettiche di un isolatore e ciascuna dipende da un diverso tipo di verifica. Un interblocco è una funzione logica di sicurezza e contenimento: deve essere testato forzando effettivamente la condizione a cui è destinato a rispondere, non semplicemente esaminandolo su uno schema. Un allarme deve essere attivato in presenza di una deviazione realistica, non simulata da un operatore che commuta un segnale nel software, poiché ciò che l’acquirente ha effettivamente bisogno di vedere dimostrato è il percorso che va dal sensore alla segnalazione fino alla risposta dell’operatore. Le prestazioni del flusso d’aria dipendono dall’interazione tra la geometria interna dell’isolatore e l’ambiente in cui è effettivamente installato, comprese le relazioni di pressione nella stanza e le condizioni di alimentazione che una configurazione di fabbrica può al massimo approssimare. Le funzioni di controllo regolano il modo in cui il sistema mantiene il proprio stato operativo e risponde ai disturbi, e la loro correttezza dipende dalla versione specifica del software e dal set di parametri caricati al momento del test.

Il giudizio che l’acquirente deve formulare per ciascuna di queste funzioni è lo stesso che regola in generale il confine tra FAT e SAT: questa specifica sfida dipende da qualcosa che la fabbrica non può rappresentare? Un interblocco integrato interamente nel sistema di controllo dell’isolatore stesso, indipendente dai servizi di utenza del sito o dalle condizioni ambientali della sala, è un ottimo candidato per una funzione che i test in fabbrica possono dimostrare in modo significativo. Un allarme che dipende dal modo in cui il sistema di controllo dell’isolatore si integra con il sistema di gestione dell’edificio o di monitoraggio ambientale del sito non può essere pienamente verificato finché tale integrazione non esiste, poiché la catena di allarme passa attraverso apparecchiature che la configurazione di fabbrica non include. Il flusso d’aria, quasi per definizione, è sensibile alla sala in cui è installato e alla rete di condotti, motivo per cui i risultati relativi al flusso d’aria ottenuti in ambiente di fabbrica dovrebbero essere interpretati come una caratterizzazione di riferimento delle prestazioni dell’isolatore stesso piuttosto che come una previsione del suo comportamento una volta installato.

Per ciascuna di queste funzioni, l’acquirente dovrebbe aspettarsi un protocollo definito e criteri predefiniti specifici per quella funzione, non una semplice affermazione generica secondo cui “gli interblocchi e gli allarmi sono stati testati”. Una funzione così vicina all’obiettivo fondamentale di protezione dell’isolatore merita una documentazione sufficientemente precisa da indicare esattamente quali condizioni siano state sottoposte a verifica, in quali condizioni simulate o reali, e quale risultato sia stato accettato come corretto.

Registri relativi a perdite, filtrazione e decontaminazione biologica per il sistema attuale

I test di tenuta, l’integrità dei filtri e le prestazioni del ciclo di biodecontaminazione sono le tre categorie di prove più direttamente legate alla funzione di barriera asettica di un isolatore, e ciascuna di esse è specifica per l’unità così come costruita e installata, piuttosto che per il progetto dell’isolatore in generale. Una prova di tenuta dimostra l’integrità di un particolare involucro al momento del test; non fornisce alcuna indicazione su un’unità diversa dello stesso progetto, né sulla stessa unità dopo che la tenuta è stata compromessa dal trasporto, dai lavori di installazione o da un intervento successivo. La prova di integrità del filtro dimostra che il filtro specifico installato in un determinato alloggiamento soddisfaceva i criteri al momento del test, in relazione a una specifica identificazione del filtro e alla sua installazione. I registri dei cicli di decontaminazione biologica dimostrano che un ciclo specifico, eseguito nella geometria effettiva della camera con la sua configurazione di carico effettiva, ha raggiunto il risultato che il protocollo era stato progettato per confermare.

È proprio questa specificità il motivo per cui la documentazione relativa a una qualificazione progettuale, a un’unità simile o alla documentazione generale del prodotto fornita dal venditore non può sostituire la documentazione generata sull’effettivo sistema che l’acquirente sta accettando. Il compito dell’acquirente è quello di confermare che ogni documentazione relativa a perdite, filtri e decontaminazione biologica presentata sia riconducibile all’unità con numero di serie, al filtro specifico installato e al ciclo specifico eseguito in loco, e non a un risultato rappresentativo o storico. Laddove un progetto correlato relativo a un isolatore abbia già affrontato la questione di come la prova di tenuta interagisca con altri metodi di prova relativi al contenimento, tale ragionamento non è direttamente trasferibile in questo contesto, poiché l’obiettivo asettico che regola questo isolatore è distinto da un quadro di riferimento per i test di tenuta dei sistemi di contenimento progettato per garantire la protezione dell'operatore; l'acquirente non deve dare per scontato che le due logiche di accettazione siano intercambiabili.

L’elemento che dovrebbe indurre l’acquirente a prestare maggiore attenzione è se una di queste tre operazioni sia stata eseguita prima o dopo un evento in grado di alterarne il risultato: una guarnizione manomessa durante l’installazione, l’installazione di un filtro completata dopo la prova di tenuta, oppure un ciclo di decontaminazione eseguito prima che la configurazione finale del carico fosse stata definita. Qualsiasi di questi problemi di sequenza implica che la documentazione in mano potrebbe non descrivere il sistema così come funzionerà effettivamente, indipendentemente da quanto appaia in ordine la documentazione stessa.

Chiusura delle deviazioni e tracciabilità fino all'URS

Una non conformità segnalata e non risolta non è una semplice lacuna amministrativa; è una questione aperta che mette in dubbio l’affidabilità stessa del risultato del test associato. Il compito dell’acquirente è quello di confermare che ogni non conformità registrata durante il FAT o il SAT abbia una risoluzione documentata, con la motivazione di tale risoluzione disponibile per la revisione, e non solo uno stato contrassegnato come “chiuso”. Una non conformità risolta modificando a posteriori i criteri di accettazione mina l’intera struttura dei criteri predefiniti che rende credibile il resto del pacchetto di prove.

La tracciabilità fino all’URS è il meccanismo che consente all’acquirente di verificare la copertura effettiva, anziché limitarsi a verificare lo svolgimento delle attività. Ogni test eseguito, sia in fase di FAT che di SAT, dovrebbe corrispondere a un requisito specifico effettivamente specificato dall’acquirente per quell’isolatore e quel progetto. Laddove esista un test senza un requisito URS corrispondente, o un requisito URS senza un test corrispondente, il pacchetto di documentazione presenta una lacuna che la formulazione generica del protocollo non è in grado di rivelare da sola. La gravità di questa lacuna dipende da ciò che l’elemento mancante o orfano regola: un requisito legato alla funzione fondamentale di barriera asettica dell’isolatore merita un livello di attenzione diverso rispetto a un requisito legato a una caratteristica che non ha alcuna rilevanza per quell’obiettivo di protezione. La revisione da parte dell’acquirente dovrebbe procedere in avanti a partire dall’URS per confermare che ogni requisito sia stato testato, e a ritroso a partire dai registri di prova per confermare che ogni prova sia collegata a un requisito, piuttosto che affidarsi a una dichiarazione sintetica secondo cui la tracciabilità è stata raggiunta.

Criteri di rilascio prima dell'IQ, dell'OQ o dell'uso operativo

La decisione in questa fase consiste nel valutare se le prove accumulate durante il FAT e il SAT siano sufficienti per procedere alla qualificazione formale, e tale decisione dipende dal fatto che ogni funzione che regola le prestazioni asettiche dell’isolatore disponga di una documentazione completa, chiusa e tracciabile nella fase appropriata. Una funzione adeguatamente dimostrata durante il FAT, con una motivazione documentata e giustificata per non ripeterla durante il SAT, può essere considerata definita al momento di passare alla fase di IQ. Una funzione che dipende dalle condizioni di installazione e che non è stata ancora verificata in tali condizioni non è considerata definita, indipendentemente da quanto appaia ineccepibile la relativa documentazione di fabbrica, poiché tale documentazione non ha mai costituito una prova per quella specifica condizione.

Ciò significa che la decisione di rilascio non consiste nel semplice spuntare una casella, ma in un esercizio di verifica: per ogni requisito presente nell’URS, esiste un verbale di test chiuso, eseguito nelle condizioni appropriate, con le non conformità risolte, collegato alla versione corretta del software e del disegno, e rivisto in base a criteri predefiniti stabiliti prima che il risultato fosse noto? Laddove tale verifica contabile risulti incompleta, la lacuna dovrebbe essere indicata in modo specifico; un’affermazione generica del tipo “FAT e SAT sono stati completati” non indica al team di qualificazione quali funzioni siano state verificate nelle condizioni di installazione e quali no.

Per un acquirente che si appresta ad avviare le fasi di IQ e OQ, la mossa più pratica è quella di predisporre questa documentazione contabile prima dell’inizio della qualificazione, non durante. Quando QUALIA Quando si supporta un progetto in questa fase, la configurazione e i test di accettazione specificati dall’acquirente per quel particolare isolatore determinano l’ambito dei protocolli FAT e SAT e il tipo di documentazione da produrre in ciascuna fase; per questo motivo, le specifiche URS e i criteri di accettazione dell’acquirente devono essere definiti e completati prima dell’inizio dei test, anziché essere considerati una formalità da sistemare in un secondo momento.

Domande frequenti

Q: In che modo gli acquirenti dovrebbero confrontare i pacchetti di documentazione relativi a FAT e SAT forniti da diversi fornitori di isolatori?
A: È opportuno valutare la tracciabilità e la completezza piuttosto che il numero di test elencati. Ogni requisito URS applicabile dovrebbe essere collegato a un protocollo approvato, a un criterio di accettazione predefinito specifico per il progetto, al risultato grezzo, alla versione del software o del disegno sottoposta a test e a qualsiasi chiusura di deviazione correlata, con una chiara distinzione tra prove di fabbrica e verifica in loco.

Q: Una funzione che ha superato il test FAT può essere omessa dal test SAT?
A: Sì, qualora una motivazione documentata dimostri che il trasporto e l’installazione non incidono su tale funzione. Se le utenze installate, le interfacce dei locali, le condizioni del sito, il trasporto o l’integrazione del sistema possono influire su di essa, è necessario includere una verifica in loco secondo un protocollo approvato e i criteri di accettazione specifici del progetto applicabili.

Q: Cosa dovrebbe accadere se il software dell'isolatore o i disegni subissero modifiche dopo il FAT?
A: Considerare la documentazione FAT come riferita alla versione effettivamente testata. Individuare quali requisiti URS e quali test registrati sono interessati dalla modifica, quindi decidere quali documenti devono essere aggiornati o quali funzioni devono essere sottoposte a nuovi test prima di accettare la versione modificata.

Q: Quali informazioni relative al progetto devono essere disponibili prima che il protocollo SAT venga definito in via definitiva?
A: Definire le condizioni effettive di utilizzo, le interfacce tra gli ambienti, i punti di integrazione, le condizioni del sito rilevanti, le funzioni sensibili al trasporto, i requisiti URS applicabili e i criteri di accettazione specifici del progetto. Queste informazioni consentono all’ambito del SAT di prendere in considerazione condizioni che la configurazione del sito del fornitore non è in grado di riprodurre.

Q: Il fatto che i test FAT e SAT abbiano dato esito positivo significa che l’isolatore è pronto per l’uso operativo?
A: No. I test FAT e SAT forniscono prove relative agli ambiti di prova approvati, ma la prontezza per le fasi IQ, OQ, PQ o per l’uso operativo dipende dai criteri di rilascio del progetto. Prima di procedere, verificare che siano presenti i registri richiesti, che i requisiti URS applicabili siano tracciabili e che le deviazioni che incidono sulla decisione di rilascio abbiano una chiusura documentata.