URS per il trasferimento di materiali: carichi, confini, ciclo, interblocchi e documentazione

Un URS di trasferimento dei materiali stabilisce se un cassetta di passaggio, vasca di immersione, oppure il sistema di trasferimento VHP può essere valutato sulla base di un caso operativo reale o solo sulla base di una scheda tecnica generica. Il documento disciplina le modalità con cui un fornitore stabilisce i prezzi, configura e qualifica le apparecchiature che movimentano carichi attraverso un confine di biosicurezza o di contenimento, e le lacune in esso contenute emergono in seguito sotto forma di scostamenti dal FAT, ritardi nel SAT o criteri di accettazione contestati. Definire correttamente i requisiti prima di pubblicare una richiesta di offerta (RFQ) è ciò che consente a un responsabile degli acquisti tecnico di confrontare le proposte a parità di condizioni.

Tradurre il caso d'uso in requisiti utente misurabili

L'URS serve a trasformare un caso operativo in affermazioni sulla base delle quali un fornitore possa progettare e un team di qualificazione possa effettuare la verifica. È proprio in questa fase di traduzione che si introduce la maggior parte delle ambiguità in un progetto, poiché una descrizione operativa (“trasportiamo campioni dal laboratorio al corridoio”) non costituisce ancora un requisito finché non specifica il carico, i limiti, il ciclo e le condizioni di accettazione ad essi associate.

Il compito di traduzione varia a seconda dell’obiettivo di protezione che regola il trasferimento. Laddove la barriera protegga il personale e l’ambiente da un agente pericoloso o biologico, i requisiti stabiliti ruotano attorno all’integrità del contenimento, all’efficacia della decontaminazione e al controllo degli accessi dal lato contenuto. Laddove la barriera protegga un prodotto dalla contaminazione, i requisiti stabiliti ruotano attorno al mantenimento di condizioni di pulizia o sterilità sul lato protetto e al controllo di ciò che vi entra. Un singolo dispositivo di trasferimento, come una camera di passaggio o un VHP pass box, può trovarsi su entrambi i tipi di confine, e lo stesso componente fisico sarà soggetto a una logica dei requisiti diversa a seconda del lato che il progetto è chiamato a proteggere. Indicare questo obiettivo guida all’inizio dell’URS evita confusione nelle fasi successive, quando vengono specificati interblocchi, allarmi o logiche di ciclo, poiché un requisito che appare ragionevole per un confine di contenimento può risultare errato per un confine asettico, e viceversa.

La misurabilità è il secondo requisito di traduzione. Un requisito che esprima un’intenzione senza una condizione verificabile non può essere considerato soddisfatto nelle fasi FAT, SAT, IQ o OQ, poiché non esiste un criterio osservabile di superamento o fallimento. Ai sensi del Quadro di qualificazione dell’Allegato 15 del Volume 4 di EudraLex, l’URS rimane un punto di riferimento per tutto il ciclo di vita della convalida, e la qualificazione del progetto verifica che il progetto soddisfi i requisiti dell’URS; un requisito che non può essere verificato in quella fase non ha alcuna possibilità di essere risolto. Ciò significa che ogni caso operativo deve essere accompagnato da una condizione specifica: cosa viene caricato, da dove, verso dove, in quale stato del ciclo, con quale logica di rilascio e quali prove lo confermeranno. Laddove il team di progetto non sia ancora in grado di definire una condizione misurabile per un requisito, tale lacuna deve essere inserita nell’elenco delle questioni in sospeso che la richiesta di offerta (RFQ) riporta, senza essere incorporata in una specifica vaga che un fornitore non può valutare economicamente né verificare.

L'effetto pratico del lavoro svolto in questa sezione è che ogni sezione successiva dell'URS ne eredita la struttura: se il caso operativo e l'obiettivo guida non vengono definiti in primo luogo, il programma di carico, la definizione dei confini e la logica di ciclo che seguono riporteranno ciascuno la stessa ambiguità.

Descrivere ogni carico e la direzione di trasferimento che deve seguire

Un programma di carico è utile per un fornitore solo se descrive il materiale effettivo che l’attrezzatura deve movimentare, non una classe generica di materiale che per caso gli assomiglia. Un requisito formulato come “materiali di consumo standard da laboratorio” induce il fornitore a basarsi su una propria interpretazione di ciò che tale termine implica, e tale interpretazione potrebbe non corrispondere all’articolo più pesante, più ingombrante o meno compatibile che il progetto dovrà effettivamente movimentare. La specifica dovrebbe invece indicare le dimensioni massime, la massa massima, le condizioni dell’imballaggio al momento della consegna, lo stato della superficie di tale imballaggio, quali materiali richiedono una conferma di compatibilità e quali orientamenti sono consentiti durante la movimentazione.

Ciascuno di questi dati modifica una parte diversa della configurazione proposta. Le dimensioni e l’orientamento consentito determinano se il percorso di trasferimento e l’apertura della porta siano in grado di accogliere il carico massimo previsto senza imporre un orientamento che l’imballaggio non possa tollerare. La massa influisce sulle scaffalature, sui supporti e su qualsiasi percorso di trasferimento meccanizzato. L’imballaggio e le condizioni della superficie sono importanti perché un ciclo di decontaminazione, qualora previsto nel caso operativo, interagisce con la superficie esposta; un tipo di imballaggio o una condizione della superficie non inclusi nel programma di carico del progetto costituiscono un tipo di imballaggio o una condizione della superficie che il ciclo non copre, indipendentemente da ciò che le capacità generali dell’apparecchiatura consentono. La compatibilità dei materiali funziona allo stesso modo: la conferma della compatibilità per un materiale non si estende a un materiale diverso introdotto in seguito senza una revisione.

La direzione di trasferimento è un requisito distinto dalla descrizione del carico stesso. Un confine che deve sostenere carichi che si spostano solo da un lato non contenuto o non classificato verso il lato contenuto o protetto presenta una logica di interblocco e di convalida diversa rispetto a uno che deve sostenere anche la direzione opposta, o entrambe le direzioni in diversi stati del ciclo. Laddove un progetto preveda che il requisito relativo alla direzione possa ampliarsi in seguito, ad esempio nel caso di un trasferimento unidirezionale che in futuro potrebbe dover supportare l’uscita di materiale da un’area contenuta, indicare tale possibilità nell’URS consente al fornitore di valutare se la configurazione proposta offra un percorso credibile verso tale capacità, anziché richiedere un sistema sostitutivo.

Lasciare uno qualsiasi di questi campi non specificato non elimina il requisito; trasferisce la decisione all’ipotesi predefinita del fornitore, che il progetto scopre solo in fase di FAT o successivamente.

Definire i confini, le interfacce tra i locali, i servizi di utenza e gli accessi ai servizi

La definizione del confine rappresenta il punto in cui l’URS smette di descrivere l’apparecchiatura in modo isolato e inizia a descrivere come essa si inserisce all’interno di una struttura reale. Il primo dato di cui ogni revisore ha bisogno è sapere quale lato del confine sia “pulito” o quale sia “contenuto”, poiché ogni successivo interblocco, regola di accesso alle porte e decisione relativa allo stato di guasto dipende da tale designazione. Un requisito redatto senza specificare quale lato sia protetto è incompleto anche se tutte le dimensioni e i valori di massa sono corretti, poiché il fornitore non può determinare a quale lato la logica di controllo debba dare la priorità in caso di guasto.

L'accesso alle porte deriva direttamente dalla definizione dei confini. Specificare chi può aprire ciascuna porta, a quali condizioni e da quale lato non costituisce una ripetizione superflua della logica di interblocco; si tratta piuttosto della politica operativa che la logica di interblocco applicherà successivamente a livello hardware e software. Un progetto che definisca questa politica di accesso in modo approssimativo rischia che un fornitore realizzi sistemi di interblocco tecnicamente funzionanti ma non in linea con il modo in cui il sito intende gestire le apparecchiature nella quotidianità.

Le interfacce con gli ambienti descrivono le condizioni che l’apparecchiatura deve soddisfare su ciascun lato: la classificazione, il regime di pressione o lo stato di contenimento dello spazio a cui si collega l’apparecchiatura di trasferimento. Ciò differisce dalla designazione dei confini poiché una condizione di interfaccia con un ambiente può variare indipendentemente da quale lato sia “protetto” — un ambiente può essere riclassificato, oppure una cascata di pressione può essere regolata, senza modificare quale lato dell’apparecchiatura di trasferimento sia pulito o contenuto. L’URS dovrebbe specificare la condizione di interfaccia con cui l’apparecchiatura deve essere compatibile, in modo che un’eventuale modifica successiva dell’impianto possa essere verificata in base a tale condizione dichiarata, anziché a ipotesi.

Le utenze e l’accesso ai servizi completano la definizione dei confini poiché determinano ciò che la configurazione installata richiede effettivamente dall’edificio e quali accessi il sito debba preservare in seguito. Elencare le utenze necessarie per la configurazione selezionata consente al progetto di confermare che la struttura sia in grado di fornirle nella posizione prevista; ometterlo comporta il rischio di una configurazione che funzioni come specificato ma che non possa essere installata senza interventi di modifica alla struttura. L’accesso ai servizi funziona in senso opposto: si tratta di un vincolo che la struttura impone alle apparecchiature, specificando quali spazi liberi o condizioni di accesso devono essere preservati affinché la manutenzione possa avvenire senza compromettere i confini. Questo è uno dei punti in cui le informazioni fornite dal progetto — i confini di riferimento, le interfacce e le condizioni relative alle utenze — diventano la base che QUALIA utilizza per configurare e preventivare una soluzione di trasferimento in base al caso specifico, piuttosto che a una descrizione generica del prodotto.

Specificare gli stati del ciclo, i blocchi, gli allarmi, i bypass e il ripristino

I requisiti relativi al ciclo e agli interblocchi sono gli aspetti in cui l’URS definisce il comportamento dell’apparecchiatura durante il funzionamento normale e in caso di malfunzionamento, ed entrambe le parti devono essere specificate con lo stesso rigore. La parte relativa al funzionamento normale inizia con l’indicazione delle fasi di processo che il ciclo deve includere e dei punti in cui il ciclo viene monitorato. Ciò è importante perché un requisito di ciclo espresso come risultato finale (“il carico deve essere decontaminato”) senza specificare le fasi e i punti di monitoraggio non fornisce al fornitore alcuna base per proporre una sequenza specifica, né offre al team di validazione alcun punto di controllo su cui effettuare verifiche in seguito. GMP UE Allegato 1 affronta questo tipo di struttura nel contesto della produzione in ambiente sterile, descrivendo i controlli di trasferimento e i cicli di biodecontaminazione convalidati che operano entro parametri di ciclo definiti; il principio generale — secondo cui un ciclo è definito dalle sue fasi, dai punti di monitoraggio e dai parametri convalidati, e non solo dal risultato previsto — trova ampia applicazione, sebbene la ricetta specifica del ciclo non sia mai universale e rimanga una scelta specifica per ogni progetto.

La configurazione del carico è importante perché un ciclo convalidato per una determinata disposizione dei carichi non è automaticamente applicabile a una disposizione diversa. Laddove il programma di carico del progetto includa articoli di dimensioni, densità o imballaggio variabili, l’URS dovrebbe specificare quali modelli di carico I requisiti relativi al ciclo devono essere tali che le prove di qualificazione generate in seguito corrispondano effettivamente a ciò che gli operatori caricheranno nella pratica, piuttosto che a un'unica configurazione idealizzata.

I blocchi di sicurezza delle porte sono legati alla definizione dei confini: questa sezione specifica chi può aprire ciascuna porta e in quale stato del ciclo, traducendo la politica di accesso generale in una condizione da verificare rispetto all’effettiva macchina a stati del ciclo. Requisiti relativi agli allarmi e al bypass definire quindi lo spazio delle eccezioni — quali condizioni attivano un allarme e quali di queste consentono un bypass avviato dall’operatore rispetto a quelle che richiedono l’arresto completo del processo. Un bypass non documentato nell’URS ma presente nel sistema di controllo fornito diventa un riscontro emerso durante la qualificazione piuttosto che una funzionalità prevista.

I requisiti di ripristino in caso di guasto definiscono lo stato di sicurezza che l’apparecchiatura deve raggiungere a seguito di un’interruzione di alimentazione, di pressione, di un sensore o di un ciclo, e ciò varia a seconda del tipo di barriera: lo stato di sicurezza di una barriera di contenimento dà generalmente priorità al mantenimento della tenuta del lato contenuto, mentre lo stato di sicurezza di una barriera asettica dà priorità al mantenimento del lato protetto dall’esposizione a un ambiente non controllato. Lo stesso evento di guasto può richiedere una risposta diversa da parte dell’apparecchiatura a seconda dell’obiettivo che regola il confine; per questo motivo tale requisito non può essere copiato da un altro progetto senza aver prima verificato l’obiettivo di riferimento.

La logica di rilascio e i trigger di riqualificazione chiudono il ciclo: la logica di rilascio definisce la condizione che distingue un ciclo incompleto da uno idoneo al rilascio del carico, mentre i trigger di riqualificazione indicano quali eventi — una modifica di un componente, una deviazione, un intervallo di tempo — comportano che le prove di qualificazione esistenti non siano più applicabili al caso definito. ISO 14644-7 osserva che i requisiti degli utenti relativi ai dispositivi di separazione sono oggetto di accordo tra cliente e fornitore e che la norma non specifica il processo installato all’interno del dispositivo; per questo motivo, tali parametri relativi al ciclo e all’interblocco devono essere indicati esplicitamente nelle specifiche di requisiti di progetto (URS) piuttosto che essere dedotti dalla categoria del dispositivo.

Mappare ciascun requisito ai documenti dei fornitori e alle prove di qualificazione

Un requisito privo di una destinazione probatoria è una dichiarazione di intenti, non una specifica verificabile. Ogni riga dell’URS — voce del programma di carico, condizione al contorno, fase del ciclo, regola di interblocco, condizione di allarme, criterio di rilascio — deve avere un punto di riferimento nella catena documentale del progetto in cui un fornitore o un utente dimostri che il requisito è stato soddisfatto. Tale punto di riferimento è in genere uno dei documenti di collaudo del fornitore stesso, un collaudo di accettazione in fabbrica, un collaudo di accettazione in loco, una qualificazione dell’installazione, una qualificazione operativa o una prova del processo in loco generata una volta che l’apparecchiatura è entrata in uso regolare.

La scelta della destinazione non è arbitraria e dipende da ciò che il requisito verifica effettivamente. Un requisito dimensionale o di massa è spesso verificabile tramite la documentazione del fornitore e un test in fabbrica, poiché la caratteristica fisica non dipende dall’ambiente di installazione. Un requisito legato all’interfaccia con l’ambiente o a un allacciamento alle utenze generalmente non può essere verificato fino a quando l’apparecchiatura non è installata in loco, poiché il comportamento da verificare esiste solo una volta che l’apparecchiatura interagisce con la struttura reale. Un requisito relativo alle prestazioni di ciclo può richiedere prove provenienti da più fasi: un test in fabbrica che confermi che la sequenza di controllo si esegue come progettata, un test in loco che confermi che si esegue correttamente una volta installata e una fase di qualificazione che confermi che il ciclo si svolga secondo i parametri definiti nelle condizioni del sito. Nel quadro dell’Allegato 15, la qualificazione di progetto è la fase in cui si verifica la conformità del progetto rispetto all’URS; ciò rende questo lavoro di mappatura un prerequisito per tale verifica piuttosto che un’attività parallela: un requisito a cui non è mai stata assegnata una destinazione delle prove non può essere verificato in modo significativo durante la qualificazione di progetto, poiché non vi è nulla a cui fare riferimento.

Laddove la destinazione delle prove relative a un requisito non sia specificata, la decisione su dove e come verificarle spetta, per impostazione predefinita, alla parte che controlla il protocollo di prova in quella fase, il che potrebbe non corrispondere alle effettive aspettative del progetto. Un team di progetto che lascia questa mappatura incompleta al momento di presentare una richiesta di offerta (RFQ) sta di fatto chiedendo a ciascun fornitore di decidere autonomamente dove inizia e dove finisce il proprio ambito di prova, il che rende più difficile confrontare le risposte dei fornitori a parità di condizioni. Rendere esplicita questa mappatura, anche in via provvisoria, offre sia al fornitore che all’utente una visione condivisa di dove verrà dimostrata la conformità prima della firma dei contratti.

Definire le responsabilità relative all’accettazione prima di emettere la richiesta di preventivo

Prima di inviare una richiesta di offerta, il progetto deve stabilire chi esegue ciascuna attività di verifica e chi ne accetta il risultato, indipendentemente dalla definizione dei requisiti stessi. Un requisito può essere specificato in modo completo e chiaro e tuttavia generare una controversia al momento della consegna se il progetto non ha mai stabilito se il test di fabbrica del fornitore sia sufficiente per un determinato requisito o se sia necessario che il test in loco effettuato dall’utente stesso lo confermi in modo indipendente. Si tratta di una decisione distinta dal lavoro di mappatura delle prove, poiché la mappatura identifica dove verrà verificato un requisito, mentre la responsabilità di accettazione stabilisce chi esegue tale verifica e chi ha l’autorità di approvarla.

Questo aspetto assume particolare rilevanza nei punti di transizione tra le diverse fasi di collaudo. Un collaudo di accettazione in fabbrica, eseguito presso la sede del fornitore, dimostra che l’apparecchiatura funziona come prevista, in condizioni controllate dal fornitore stesso. Un collaudo di accettazione in loco dimostra le stesse funzionalità una volta effettuata l’installazione, in presenza delle effettive utenze e interfacce ambientali del progetto; ecco perché i requisiti legati alle condizioni delle interfacce ambientali o delle utenze spesso non possono essere chiusi in fase di collaudo in fabbrica, indipendentemente da quanto accuratamente il fornitore abbia testato l’apparecchiatura in precedenza. Se il progetto non ha specificato in anticipo quali requisiti si prevede vengano soddisfatti in ciascuna fase, la proposta del fornitore potrebbe organizzare la verifica in modo diverso da quanto ipotizzato dal progetto, e tale discrepanza diventa visibile solo quando l’apparecchiatura arriva e qualcuno chiede perché un requisito non sia stato testato dove ci si aspettava.

Fissare tali responsabilità prima della richiesta di offerta (RFQ) garantisce inoltre la comparabilità delle risposte dei fornitori. Se un fornitore propone di soddisfare un determinato requisito in fase di FAT (Fat Test) e un altro propone di rinviarlo alla fase di SAT (System Acceptance Test) o OQ (Operational Qualification), i loro preventivi non sono direttamente comparabili a meno che il progetto non abbia già specificato in quale fase si prevede che tale requisito venga soddisfatto. Rendere esplicita questa aspettativa nell’URS (User Requirements Specification), anche solo come preferenza dichiarata su cui il progetto è disposto a discutere, offre a ogni offerente la stessa base di riferimento su cui basare il proprio preventivo.

I requisiti disciplinati da questa sezione sono quelli che con maggiore probabilità dipendono dalle priorità specifiche del progetto: se il team di qualificazione dell’utente debba assistere a determinati test, se la fornitura di bioindicatori o indicatori chimici per un ciclo sia responsabilità del fornitore o dell’utente e quale parte sia responsabile della riqualificazione una volta che l’apparecchiatura sia in servizio. Tali attribuzioni non sono implicite nel requisito tecnico stesso e devono essere indicate come voci a sé stanti prima dell’invio della richiesta di offerta, in modo che le risposte fornite da QUALIA o da qualsiasi altro fornitore possano essere valutate in base a una ripartizione condivisa e concordata preventivamente delle attività di accettazione, anziché essere riconciliate a posteriori.

Domande frequenti

Q: Cosa occorre sistemare prima che i fornitori possano stabilire il prezzo dello stesso ripartitore di coppia?
A: Definire i carichi effettivi, la direzione di trasferimento, i confini protetti, le interfacce con gli ambienti adiacenti, i servizi necessari, gli accessi di servizio e gli accessi consentiti tramite porte. Specificare inoltre le condizioni relative a ciclo, interblocco, allarme, ripristino e sblocco relative alla soluzione oggetto di preventivazione, in modo che le differenze tra i preventivi riflettano la soluzione proposta piuttosto che ipotesi diverse.

Q: È possibile che un’unica descrizione del carico massimo copra ogni tipo di trasferimento di materiale?
A: Solo se ogni carico previsto presenta le stesse condizioni rilevanti. Distinguere i modelli di carico qualora differiscano dimensioni, massa, imballaggio, condizioni della superficie, compatibilità dei materiali, orientamento consentito o direzione di trasferimento, e identificare quali modelli debbano essere coperti dalla configurazione proposta e dalla relativa documentazione.

Q: Quanto devono essere specifici i requisiti relativi al ciclo quando la ricetta operativa definitiva non è ancora stata confermata?
A: Specificare le fasi di processo richieste, i punti di monitoraggio, i modelli di carico coperti, la logica di rilascio e i fattori scatenanti della riqualificazione senza definire valori fissi per i cicli. I parametri specifici del progetto e i criteri di accettazione possono quindi essere verificati in base alla configurazione e all’approccio di qualificazione selezionati.

Q: Quali misure dovrebbe prevedere l'URS in caso di guasto all'alimentazione, alla pressione, a un sensore o al ciclo?
A: Indicare le condizioni di sicurezza relative al carico e a entrambe le porte, che possono agire da entrambi i lati, e specificare se è consentita una procedura di bypass o di ripristino. Definire i requisiti necessari affinché la sequenza possa riprendere o il carico possa essere rilasciato, anziché lasciare che il comportamento di ripristino dipenda da un’ipotesi non specificata del fornitore.

Q: Come è possibile individuare eventuali discrepanze nell’accettazione prima dell’emissione della richiesta di offerta?
A: Collegare ciascun requisito al documento o alla fase di collaudo in cui ne verrà dimostrata la conformità, ad esempio la documentazione del fornitore, FAT, SAT, IQ, OQ o le prove relative ai processi in loco. Assegnare la responsabilità di fornire e approvare tali prove, specificando al contempo la fase esatta e i criteri di accettazione specifici del progetto.