Qualificazione del trasferimento dei materiali: FAT, SAT, IQ, OQ e documentazione relativa ai cicli

Un sistema di trasferimento dei materiali che supera i test in fabbrica può comunque fallire in loco se l’installazione, la sequenza di prova o i dati relativi ai cicli specifici di carico non corrispondono al modo in cui l’apparecchiatura funziona effettivamente una volta installata. Decidere quale fase di qualificazione debba produrre quale elemento di prova non è una formalità documentale; determina se le lacune nella copertura emergono durante la qualificazione o dopo che il sistema è già in uso. La questione pratica per un team di progetto non è se siano richiesti FAT, SAT, IQ, OQ e le prove di ciclo, ma quale requisito appartenga a quale fase e cosa accada quando tale attribuzione non sia chiara.

Assegnare ciascun requisito alla fase di qualificazione corretta

Ogni requisito contenuto in una specifica dei requisiti utente implica un tipo di prova, e tale tipo di prova è disponibile solo in determinati momenti del ciclo di vita dell’apparecchiatura. Una funzione che può essere verificata su un’unità assemblata prima che lasci la fabbrica produce un tipo di prova; una funzione che dipende da come l’unità è posizionata nella sua sede definitiva, dal suo collegamento alle utenze del sito o dalla sua interazione con le apparecchiature adiacenti produce un tipo diverso. Quando un requisito viene considerato soddisfatto in base al test che risulta più conveniente, anziché in base al test in grado di fornire una prova valida per quel requisito, il registro di qualificazione presenta delle lacune che non sono visibili finché qualcuno non cerca di ricondurre un requisito alla relativa prova.

Ecco perché EudraLex Volume 4 Allegato 15 considera la qualificazione dell’installazione, la qualificazione operativa e la qualificazione delle prestazioni come elementi che riguardano prove distinte, e considera i test di accettazione in fabbrica come qualcosa che può essere integrato dai test di accettazione in loco piuttosto che sostituito da essi. Questa logica si applica a qualsiasi progetto: se un requisito riguarda una condizione che dipende dall’installazione, nessuna quantità di prove in fabbrica può risolverla, poiché la condizione rilevante non esiste finché l’unità non viene installata. Se un requisito riguarda una funzione che è identica sia che l’unità si trovi in fabbrica sia che si trovi nella sua sede definitiva, ripetere quella prova in loco aggiunge una conferma ma di solito non modifica ciò che è già noto.

Il compito pratico per l’acquirente o il responsabile della validazione è quello di esaminare l’elenco dei requisiti e chiedersi, per ogni riga, quale fase possa effettivamente generare le prove pertinenti. Laddove un requisito abbracci più di una condizione, ad esempio una sequenza che deve funzionare correttamente ma che è anche sensibile al modo in cui è stata cablata o configurata durante l’installazione, il requisito potrebbe richiedere che le prove siano suddivise tra due fasi, con ciascuna fase che copre solo la parte che può effettivamente testare. Lasciare tale suddivisione implicita porta a un documento che dichiara una copertura completa mentre in realtà si basa su prove parziali.

L’assegnazione influisce anche sulle modalità di utilizzo dei dati forniti dal fornitore. L’Allegato 15 consente di utilizzare la documentazione del fornitore ai fini della qualificazione, ma previa verifica dell’idoneità del sito; ciò significa che i risultati dei test effettuati dal fornitore non sostituiscono la conferma che le stesse condizioni sussistano una volta che l’apparecchiatura sia installata in loco. Un acquirente che opera sulla base di un elenco di requisiti trae vantaggio dall’individuare tempestivamente quali elementi debbano essere dimostrabili sulla base delle prove fornite dal fornitore, soggette a tale verifica, e quali elementi non abbiano altra fonte possibile se non una prova specifica in loco.

Distinguere i test in fabbrica dai controlli in loco, che dipendono dalle condizioni di installazione

La distinzione tra FAT e SAT Non si tratta della sede in sé, ma delle condizioni che l’ambiente di prova è effettivamente in grado di riprodurre. In fabbrica è possibile assemblare l’unità, alimentarla e verificarne il funzionamento, ma non è possibile riprodurre i servizi, le interfacce fisiche e la storia dei trasporti che esistono solo una volta che l’apparecchiatura raggiunge la sua sede definitiva. Qualsiasi requisito che dipenda da tali condizioni specifiche del sito non può essere considerato soddisfatto in sede di FAT, indipendentemente dall’accuratezza con cui viene eseguito il test in fabbrica.

Ciò ha una conseguenza diretta sulla configurazione. Se un sistema viene assemblato e testato come singola unità in fabbrica e poi spedito intatto, l’insieme degli elementi che possono variare tra il FAT e l’installazione è relativamente limitato, ma include comunque aspetti quali l’integrità delle connessioni, la deriva di calibrazione durante il trasporto e la corrispondenza tra le utility di destinazione e quanto ipotizzato durante il test in fabbrica. Se un sistema viene parzialmente assemblato in loco, per definizione una parte maggiore del suo comportamento funzionale diventa sensibile all’installazione, poiché le funzioni che dipendono dall’assemblaggio completo non possono essere esercitate appieno finché tale assemblaggio non è presente.

Gli allarmi e gli interblocchi meritano particolare attenzione in questa fase. Un test di fabbrica può confermare che un allarme o un interblocco risponda correttamente in base al cablaggio e alla configurazione presenti in fabbrica. Non può però confermare che la stessa risposta sia valida una volta che l’unità sia collegata a sistemi di controllo specifici del sito, alle utenze del sito o ad apparecchiature adiacenti, poiché tali collegamenti non esistevano al momento del test di fabbrica. Qualsiasi interblocco o allarme il cui corretto funzionamento dipenda da un sistema esterno accessibile solo dopo l’installazione deve essere sottoposto a un nuovo collaudo in sede (SAT), anziché presumere che i risultati del collaudo in fabbrica (FAT) siano validi anche in questo caso.

I danni fisici costituiscono una categoria a sé stante di prove legate all’installazione, distinta dalle prestazioni funzionali. Un’unità può funzionare correttamente pur avendo subito danni durante il trasporto che non si sono ancora manifestati come guasti funzionali. Laddove l’elenco dei requisiti consideri l’assenza di danni come implicitamente coperta dai test funzionali, l’acquirente dovrebbe confermare che l’ispezione visiva e fisica sia una fase distinta e documentata nell’ambito della SAT, piuttosto che un presupposto incluso nel risultato funzionale di superamento o fallimento del test.

La questione fondamentale che l'acquirente deve sollevare con il fornitore è quali funzioni specifiche siano state dimostrate durante il FAT in condizioni diverse da quelle dell'installazione finale e quali di tali funzioni richiedano quindi una verifica SAT distinta, anziché una ripetizione dello stesso test nelle stesse condizioni.

Verificare l'installazione, i servizi, la documentazione e gli strumenti calibrati presso l'IQ

La qualificazione dell'installazione conferma ciò che è stato effettivamente installato, non ciò che l'apparecchiatura è in grado di fare. Questa distinzione è importante perché un sistema installato correttamente e un sistema che funziona correttamente sono due aspetti distinti, ciascuno dei quali richiede prove specifiche. L'IQ colma il divario tra ciò che è stato specificato o ordinato e ciò che esiste fisicamente in loco, compresa la configurazione, le utenze collegate e la documentazione che descrive entrambi.

Una verifica della configurazione durante l’IQ ha senso solo se esiste una configurazione approvata con cui confrontarla. Laddove la configurazione approvata non sia stata chiaramente definita prima dell’installazione, ad esempio perché le decisioni relative alla configurazione erano ancora in fase di definizione mentre l’installazione procedeva, il verbale dell’IQ rischia di confrontare lo stato installato con un obiettivo mutevole anziché con un riferimento fisso. Si tratta di una situazione che l’acquirente dovrebbe risolvere prima dell’inizio dell’installazione, non durante la revisione dell’IQ stessa, poiché risolverla in un secondo momento comporta solitamente la riapertura di decisioni che avrebbero già dovuto essere definite.

Le utenze e le interfacce presentano un problema correlato. Un allacciamento alle utenze può sembrare completo senza che sia stato verificato in base ai parametri effettivamente richiesti dall’apparecchiatura per funzionare come previsto. Laddove un’utenza sia condivisa con altre apparecchiature o sia convogliata attraverso un’infrastruttura intermedia, confermare che l’allacciamento soddisfi i requisiti dell’apparecchiatura diventa una verifica specifica del sito che non può essere dedotta dal semplice fatto che l’allacciamento esista fisicamente.

La completezza della documentazione in fase di IQ non è un’aggiunta burocratica; è il meccanismo grazie al quale le fasi successive possono fare affidamento sullo stato di installazione senza doverlo verificare nuovamente da zero. Laddove esista documentazione del fornitore relativa alle apparecchiature installate, tale documentazione richiede comunque una verifica di idoneità in loco, in linea con il modo in cui l’Allegato 15 considera i dati del fornitore come informativi piuttosto che automaticamente sufficienti. Il registro IQ dovrebbe indicare non solo l’esistenza dei documenti, ma anche che qualcuno ha confermato la loro corrispondenza con quanto effettivamente installato, poiché le discrepanze tra lo stato reale dell’opera e la documentazione tendono a emergere nella fase meno opportuna se non vengono individuate in questa fase.

Gli strumenti calibrati completano l’ambito di questa sezione. Qualsiasi strumento utilizzato per generare prove di qualificazione, sia durante la stessa qualificazione strumentale (IQ) sia in fasi successive, deve essere corredato di prove di calibrazione antecedenti al suo utilizzo. Una conclusione della qualificazione strumentale (IQ) basata su misurazioni effettuate con uno strumento non attualmente calibrato non è una conclusione affidabile, indipendentemente dal valore indicato dalla misurazione stessa.

Sequenze di verifica, interblocchi, allarmi e limiti operativi durante la qualificazione operativa (OQ)

La qualificazione operativa consiste nel sottoporre l'apparecchiatura a condizioni che ne mettono alla prova i criteri operativi approvati, anziché limitarsi a osservarne il funzionamento in condizioni favorevoli. La caratteristica distintiva della documentazione relativa alla qualificazione operativa è che essa registra ciò che accade effettivamente quando viene messa alla prova una condizione specifica, confrontandolo con quanto previsto dal criterio approvato, anziché limitarsi a documentare che l'apparecchiatura ha funzionato senza incidenti.

Sequenze, interblocchi, allarmi e limiti operativi sono diverse categorie di verifica, e un risultato ottenuto in una categoria non sostituisce un risultato ottenuto in un’altra. Una sequenza può completarsi con successo anche se un interblocco all’interno di quella sequenza non è mai stato effettivamente attivato durante il test, poiché la sequenza è stata eseguita in condizioni che non hanno mai determinato il verificarsi della condizione di interblocco. Laddove i test di qualificazione operativa (OQ) siano progettati esclusivamente in base al completamento della sequenza lungo il percorso normale, senza forzare deliberatamente le condizioni che attivano interblocchi e allarmi, la documentazione risultante dimostra che l’apparecchiatura funziona quando non si verificano anomalie, il che rappresenta un’affermazione più limitata rispetto alla dimostrazione che l’apparecchiatura risponde correttamente quando si verifica un’anomalia.

Ciò è particolarmente rilevante per i sistemi dotati di interblocchi o allarmi rilevanti per la sicurezza legati al trasferimento di materiale, nei quali la condizione da cui l’interblocco protegge potrebbe non verificarsi naturalmente durante un normale ciclo operativo. La procedura di qualificazione operativa (OQ) deve creare deliberatamente la condizione di attivazione, osservare la risposta effettiva e confrontarla con il criterio approvato, anziché basarsi sull’assenza di un allarme durante il normale funzionamento come prova del corretto funzionamento dell’allarme stesso.

I limiti operativi richiedono un diverso tipo di valutazione. Una prova di limite deve verificare il comportamento al limite approvato o in prossimità di esso, non limitarsi a confermare che l’apparecchiatura funzioni correttamente ben al di dentro di tale limite. Laddove un limite sia stato fissato per una ragione specifica legata al processo o alla funzione di protezione dell’apparecchiatura, effettuare prove ben al di dentro di tale limite non fornisce indicazioni su ciò che accade quando il sistema si avvicina ad esso.

I test in condizioni di guasto estendono ulteriormente questa logica: non si limitano a verificare se l’apparecchiatura funzioni correttamente in condizioni normali e al limite, ma indagano su cosa accada quando si verifica un guasto e se tale guasto produca la risposta prevista anziché una risposta imprevedibile. Qualsiasi discrepanza tra la risposta osservata in caso di guasto e il criterio previsto costituisce una deviazione, non una semplice nota a margine, e deve essere registrata e valutata come tale, anziché essere risolta in modo informale durante la fase di collaudo. Il relativo considerazioni relative alla qualificazione operativa per le apparecchiature di trasferimento e di contenimento, che si estendono alle modalità di funzionamento di funzioni specifiche, quali quelle presenti in VHP, BIBO, cassetta di passaggio, ovvero i sistemi di porte APR, sono progettati per fornire prove durante la qualificazione operativa (OQ), poiché i dispositivi di interblocco e gli allarmi relativi al trasferimento di materiale si trovano spesso all’interfaccia tra questi sistemi e il processo circostante.

Verificare i cicli di carico rappresentativi e documentare eventuali scostamenti prima del rilascio

I dati relativi ai cicli specifici di carico rispondono a una domanda a cui la qualificazione operativa (OQ) non può rispondere da sola: il sistema funziona come richiesto nelle condizioni di carico e di processo che incontrerà effettivamente durante l’uso, piuttosto che nelle condizioni idealizzate o minime utilizzate per testare le singole funzioni? Un ciclo che supera con successo un carico leggero o non rappresentativo non garantisce che lo stesso ciclo funzioni correttamente sotto il carico effettivamente generato dal processo, poiché le caratteristiche del carico possono modificare il modo in cui il materiale si muove, come un ciclo distribuisce il proprio effetto o dove occorrerebbe posizionare i dispositivi di monitoraggio per rilevare un guasto.

Questa è la fase in cui GMP UE Allegato 1‘L’approccio adottato in merito al controllo dei trasferimenti e alle prove relative ai cicli di decontaminazione assume rilevanza diretta: i cicli devono essere convalidati e controllati sulla base di prove adeguate al contesto di produzione sterile in cui operano, tenendo conto che l’Allegato 1 non fornisce parametri universali per i cicli né un piano fisso di indicatori applicabile a tutti i progetti. I parametri specifici, i punti di monitoraggio e l’approccio relativo agli indicatori devono essere stabiliti in base al carico e al processo effettivamente in uso, senza basarsi su un modello generico.

La rappresentatività è il concetto fondamentale in questo contesto. Un modello di carico utilizzato per la qualificazione del ciclo deve riflettere il carico che l’apparecchiatura dovrà gestire in produzione, in termini di disposizione del materiale, percentuale di capacità disponibile utilizzata e ubicazione dei punti di maggiore resistenza all’interno di tale carico. Laddove i modelli di carico di produzione variano a seconda dei diversi prodotti o delle configurazioni dei lotti, un unico modello rappresentativo potrebbe non coprire ogni caso, e il progetto deve decidere se un unico modello qualificato sia in grado di coprire l’intervallo dei carichi previsti o se siano necessari più modelli con prove di ciclo separate.

La scelta della posizione di monitoraggio deriva direttamente dalla rappresentatività del carico. Un punto di monitoraggio ben posizionato per una determinata configurazione di carico potrebbe non essere il punto più suscettibile di presentare un guasto in presenza di una configurazione diversa. Non esiste un piano di monitoraggio o un indicatore universale applicabile indipendentemente dal carico; la scelta della posizione deve essere motivata in base al punto in cui si prevede che il ciclo sia meno efficace, tenuto conto dello specifico andamento del carico oggetto di qualificazione.

Le deviazioni registrate durante le prove cicliche devono essere valutate singolarmente alla luce dei criteri approvati applicabili a quel ciclo, anziché essere considerate risolte semplicemente perché il risultato complessivo del ciclo appariva accettabile. Una decisione di approvazione basata sui risultati delle prove cicliche deve tenere conto del significato che ciascuna deviazione assume in relazione al carico specifico e alle condizioni di processo sottoposti a prova; tale decisione si applica a quel carico e a quelle condizioni, anziché stabilire una conclusione generale sulle prestazioni dell’apparecchiatura in condizioni diverse.

Tracciabilità dettagliata, voci in sospeso e responsabilità relative al passaggio di consegne

Un pacchetto di qualificazione è utile solo nella misura in cui è in grado di dimostrare, su richiesta, quale requisito sia coperto da quale elemento di prova e perché. Una matrice di tracciabilità serve proprio a rispondere direttamente a questa domanda: per ogni requisito contenuto nell’URS, quale fase ha prodotto la prova pertinente e, nel caso in cui ci si affidi a un test del fornitore senza ripetere la verifica in loco, cosa giustifica tale affidamento. Laddove questa mappatura rimanga implicita, un revisore non ha alcun modo efficace per confermare che ogni requisito disponga effettivamente di prove a sostegno, anziché di prove che semplicemente esistono da qualche parte nel pacchetto senza un chiaro collegamento al requisito che dovevano soddisfare.

Il riutilizzo dei test del fornitore rappresenta un punto ricorrente di ambiguità in questo processo di chiusura. Accettare il risultato di prova in fabbrica fornito dal fornitore senza ripetere la prova in loco può essere ragionevole, ma solo laddove la verifica dell’idoneità del sito sia stata effettivamente eseguita e documentata, in linea con il modo in cui l’Allegato 15 considera la documentazione del fornitore come informativa piuttosto che automaticamente accettabile. Senza tale verifica documentata, la matrice di tracciabilità non può affermare in modo veritiero che il requisito sia stato chiuso; può solo affermare che esistono prove provenienti da un contesto la cui corrispondenza con il sito non è stata confermata.

Le deviazioni e le voci aperte sono categorie correlate ma distinte, e confonderle crea problemi di chiusura. Una deviazione registra uno scostamento da un criterio approvato insieme alla relativa valutazione e alla decisione che ne deriva; la chiusura della fase di test in cui si è verificata la deviazione non comporta automaticamente la chiusura della deviazione stessa, in particolare se la valutazione ha concluso che sono necessarie ulteriori azioni. Una voce in sospeso registra le azioni rimanenti e il loro stato attuale e deve rimanere visibile, con un effetto documentato sull’accettazione o sul rilascio, fino a quando una decisione non la chiuda esplicitamente o la trasferisca in un’altra fase o nelle operazioni di routine.

La responsabilità del passaggio di consegne è il momento in cui questo lavoro di chiusura diventa operativo anziché puramente documentale. Ogni voce rimanente, che si tratti di un’azione in sospeso o di una deviazione ancora monitorata, necessita di un soggetto specifico responsabile dell’azione richiesta, poiché la responsabilità assegnata in modo generico tende a ricadere su nessuno in particolare una volta che il progetto entra nella fase di utilizzo di routine. È anche in questa fase che le informazioni di progetto fornite dal cliente stesso, inclusi i requisiti e i criteri di accettazione stabiliti in precedenza, influenzano l’approccio di Qualia alla configurazione e alla revisione dei preventivi per le apparecchiature che il cliente sta acquistando, poiché le aspettative di tracciabilità definite in questa fase determinano quali prove venga richiesto al fornitore di fornire in occasione dei test FAT, SAT e OQ. Dove documentazione di passaggio di consegne Poiché il progetto più ampio, che comprende URS, FAT, SAT e la sequenza IQ/OQ/PQ, è già stato strutturato per un progetto correlato relativo al contenimento o al livello BSL, allineare il pacchetto di qualificazione del trasferimento dei materiali alla stessa logica di tracciabilità riduce il rischio che un requisito sfugga alla verifica tra ciò che è stato testato dal fornitore e ciò che è stato confermato dal sito.

Domande frequenti

Q: In quali casi è possibile riutilizzare i risultati dei test di accettazione in fabbrica, invece di ripetere lo stesso test in loco?
A: Riutilizzarlo solo quando una verifica di idoneità in loco conferma che il test del fornitore soddisfa il requisito URS applicabile e la documentazione di tracciabilità spiega perché non è necessaria una ripetizione. Per quanto riguarda le utenze, le interfacce, gli allarmi, i dispositivi di interblocco, i danni da trasporto e altre condizioni sensibili all’installazione, è comunque necessario disporre di prove adeguate raccolte in loco.

Q: Cosa deve preparare il team di progetto prima dell’inizio della qualificazione del trasferimento dei materiali?
A: Preparare l’URS approvato e i criteri di accettazione, le sequenze operative previste e le condizioni di prova, le informazioni relative alla configurazione installata e ai servizi di supporto, la documentazione applicabile relativa alla calibrazione e alle apparecchiature, nonché le condizioni rappresentative di carico e di processo. Ciò consente di assegnare ciascun requisito alla fase in grado di fornire le prove pertinenti.

Q: Come vanno gestite le modifiche relative al trasporto o all’installazione successive al FAT?
A: Conservare il registro FAT, quindi individuare quali utilità, interfacce, funzioni, allarmi, interblocchi o condizioni delle apparecchiature potrebbero essere cambiati dopo la spedizione o l’installazione. Gli elementi interessati devono essere controllati nella fase appropriata del progetto, registrando eventuali danni e discrepanze irrisolte come punti in sospeso evidenti.

Q: Una qualificazione operativa (OQ) superata con esito positivo giustifica il rilascio di una cabina di trasferimento, di una vasca di immersione o di una cabina di trasferimento VHP per il carico previsto?
A: La sola OQ non costituisce una prova del ciclo specifica per il carico. L'autorizzazione per un carico previsto deve essere correlata al modello di carico rappresentato, alle condizioni di processo applicabili, ai punti di monitoraggio, alle deviazioni registrate e ai criteri specifici del progetto approvati.

Q: In che modo una non conformità alle specifiche dovrebbe influire sulla decisione relativa al rilascio o alla consegna?
A: Valutarlo in base al criterio specifico approvato a cui si riferisce e documentare la decisione risultante. La documentazione deve indicare se la questione è stata chiusa o rinviata, il suo effetto sull’accettazione o sul rilascio, le azioni residue e il soggetto del progetto responsabile di tali azioni.