Qualificazione operativa per i sistemi VHP, BIBO, Pass Box e APR Door: funzioni che richiedono documentazione comprovante

Quando i guasti alla logica di interblocco o di allarme passano inosservati durante l’OQ, tendono a manifestarsi in condizioni difficili da gestire: una sequenza di porte si interrompe a metà trasferimento, l’alloggiamento di un filtro si apre senza confermare la neutralizzazione della pressione, oppure un ciclo VHP procede nonostante un guasto al sensore. Nessuno di questi guasti si manifesta durante i test in condizioni di funzionamento normale, poiché tali test non ricreano mai la condizione che li rivela. Il costo pratico non è solo il rischio di una violazione del contenimento: si tratta di un programma di qualificazione che deve essere parzialmente riaperto, con script riscritti e nuovi test programmati in un calendario di messa in servizio già fitto di impegni. La decisione che distingue una prova di OQ difendibile da una documentazione che soddisfa i requisiti burocratici ma non gli ispettori consiste nel verificare se ogni funzione critica sia stata messa alla prova in una condizione anomala definita, e non semplicemente osservata durante i cicli di routine.

Funzioni operative che richiedono prove di verifica

L'analisi dei rischi dovrebbe guidare la scelta dell'ambito di applicazione prima ancora che venga scritto qualsiasi script di test. Un approccio strutturato consiste nell’attribuire un punteggio a ciascuna funzione operativa in base alle conseguenze e alla probabilità di verificarsi, per poi dare priorità a quelle che superano una soglia definita per i test di stress, lasciando le funzioni a basso rischio ai controlli di normale funzionamento. Indipendentemente dall’utilizzo o meno di un indice numerico di priorità del rischio, ciò che conta è la disciplina di fondo: se il guasto di una funzione potesse causare un’esposizione incontrollata, un’interruzione del ciclo non rilevata o una violazione del limite di pressione, la documentazione di qualificazione operativa (OQ) per quella funzione deve dimostrare qualcosa di più di un semplice funzionamento nominale riuscito.

La filosofia alla base di una progettazione OQ robusta consiste nell’individuare le modalità di guasto in condizioni controllate, prima che tali condizioni si verifichino durante l’uso. Ciò significa testare il comportamento di riavvio dopo un ciclo interrotto, verificare la ripetibilità su più cicli anziché accontentarsi di un singolo ciclo, e confermare che le condizioni limite — valori massimi e minimi all’interno degli intervalli operativi definiti — producano la risposta prevista. Per i sistemi VHP, BIBO, pass box e porte APR, le funzioni che in genere comportano le conseguenze più gravi in caso di guasto silenzioso includono le transizioni tra le fasi del ciclo, la sequenza di accesso alle porte, il monitoraggio della pressione differenziale dei filtri e i percorsi di comunicazione tra gli allarmi e il sistema di controllo. Ciascuna di queste funzioni può comportarsi correttamente durante un ciclo dimostrativo standard e tuttavia presentare un guasto non rilevato nella logica di ramificazione che governa gli stati anomali.

La scelta delle funzioni da sottoporre a test di verifica è di per sé una decisione verificabile. Se la motivazione alla base dell’inclusione o dell’esclusione di una funzione dai test di verifica non è documentata, un revisore non è in grado di valutare se l’ambito di applicazione sia stato sufficientemente prudente. L’ambito dell’OQ, definito durante la fase di pianificazione della validazione e formalmente collegato alla valutazione dei rischi, costituisce una base tracciabile per tale decisione, anziché lasciarla implicita nello script.

Condizioni di prova per allarmi, interblocchi e logica delle porte

I test degli allarmi e degli interblocchi non servono a confermare che il sistema visualizzi un avviso, ma a verificare che l’avviso venga attivato dalla condizione corretta, che venga registrato in forma recuperabile e che il ripristino dallo stato di allarme richieda un’azione deliberata da parte dell’operatore anziché una ripresa automatica. Ciascuno di questi tre elementi — accuratezza dell’attivazione, registrazione dell’evento e ripristino controllato — può superare o fallire il test in modo indipendente. Un sistema che visualizza l’allarme corretto ma non registra l’evento crea una lacuna di audit. Un sistema che registra l’evento ma consente il riavvio automatico senza conferma potrebbe non soddisfare i requisiti di integrità dei dati stabiliti nell’Allegato 11 del Volume 4 di EudraLex per i sistemi informatici coinvolti in processi rilevanti ai fini delle buone pratiche di fabbricazione (GMP).

Il requisito relativo alla simulazione degli allarmi comporta una specifica disciplina di documentazione: il metodo di simulazione deve essere descritto nel modulo OQ stesso, non ricostruito a posteriori sulla base della memoria o di istruzioni verbali. Per un interblocco puramente meccanico, ciò potrebbe significare bloccare fisicamente un indicatore del sensore; per una sequenza di apertura delle porte controllata da software, potrebbe significare introdurre uno stato di segnale forzato. In entrambi i casi, il modulo dovrebbe registrare ciò che è stato fatto, non solo ciò che è stato osservato.

Laddove la logica di sequenziamento delle porte determini lo stato del confine di contenimento — come avviene nei sistemi di pass box o camere di compensazione interbloccate — il test delle azioni vietate assume particolare rilevanza. Verificare che un tentativo di aprire la porta esterna mentre quella interna è sbloccata comporti il blocco dell’azione, la registrazione dell’evento e l’avvio di una sequenza di ripristino che richiede un reset intenzionale non è una formalità. È il test che conferma che la logica di interblocco si comporti in condizioni di pressione effettive, equivalenti a quelle esercitate dall’operatore, e non solo durante un accesso normale predefinito.

Registri delle funzioni VHP, BIBO e pass box

I registri generati durante la qualificazione operativa (OQ) dei sistemi VHP, BIBO e delle camere di passaggio devono riflettere le prestazioni specifiche delle funzioni operative di ciascun sistema, non solo l’esito di un ciclo riuscito. Per i sistemi VHP a camera di passaggio, ciò significa documentare l’andamento dei parametri di ciclo in tutte le fasi — condizionamento, gassificazione, permanenza e aerazione — con riferimento agli intervalli operativi definiti per ciascuna fase, non solo il risultato finale degli indicatori biologici o chimici. Per le camere BIBO, ciò include la conferma che la sequenza bag-in/bag-out sia stata eseguita nelle condizioni di prova senza perdita di tenuta della camera a pressione, con lo stato del filtro e le letture del differenziale registrati in ogni fase.

La selezione degli indicatori per la qualificazione del ciclo di decontaminazione deve essere considerata un’attività di giustificazione progettuale specifica per l’agente, la geometria delle apparecchiature e i parametri del ciclo in uso. Gli indicatori chimici utilizzati durante l’OQ fungono da monitor in tempo reale del ciclo per la distribuzione e la penetrazione; gli indicatori biologici, ove utilizzati, valutano l’efficacia in condizioni di sfida. Il tipo di indicatore, la quantità e il piano di posizionamento devono riflettere la geometria interna dell’apparecchiatura e i punti in cui è più probabile che il contatto con il VHP sia ridotto: zone d’ombra, rientranze superficiali o aree con scarsa circolazione d’aria. La motivazione alla base di tale posizionamento deve essere riportata nella documentazione di OQ e non deve essere dedotta da una disposizione generica degli indicatori.

Per VHP pass box Per quanto riguarda i sistemi in particolare, la documentazione relativa alla qualificazione operativa (OQ) dovrebbe riportare la ripetibilità del ciclo in più esecuzioni effettuate in condizioni di carico equivalenti, non limitarsi alla dimostrazione di un singolo ciclo. Una singola esecuzione riuscita non dimostra che il sistema raggiunga e mantenga in modo affidabile i parametri richiesti nell’intero intervallo delle condizioni operative previste. I dati di ripetibilità derivanti dall’OQ forniscono inoltre un punto di riferimento rispetto al quale valutare eventuali deviazioni future dal normale andamento del ciclo, rendendolo un documento di rilevanza operativa che va oltre l’evento di qualificazione iniziale. Il Protocollo di convalida VHP: IQ, OQ, PQ per i sistemi a perossido di idrogeno illustra la struttura generale delle qualifiche in cui si inseriscono i dati relativi al ciclo OQ.

Per Alloggiamenti BIBO, I registri della funzione OQ dovrebbero confermare che i controlli relativi al fissaggio della sacca, al posizionamento del filtro e all'integrità della pressione avvengano tutti in sequenza e che ogni fase sia documentata con una registrazione provvista di data e ora, accessibile per la revisione.

Risposta della porta APR in condizioni anomale definite

Le porte APR con tenuta pneumatica funzionano in condizioni in cui le conseguenze in termini di contenimento di un guasto non sono equivalenti in tutte le modalità di guasto. Il guasto di una tenuta durante il normale ciclo di accesso rientra in una categoria di eventi diversa rispetto al caso in cui una tenuta non riesca a riagganciarsi a seguito di un evento di perdita di pressione, oppure a quello in cui una porta non ritorni in uno stato di chiusura di sicurezza a seguito di un’interruzione di corrente. La qualificazione operativa (OQ) deve distinguere tra queste condizioni nella progettazione delle prove, poiché un ispettore che esamina i risultati chiederà specificatamente cosa sia stato testato, non cosa potrebbe teoricamente funzionare.

Il test di interruzione di corrente non è solo una verifica dell’integrità dei dati. Si tratta di una verifica della sicurezza funzionale: il sistema ritorna a uno stato noto e definito dopo il ripristino dell’alimentazione e richiede una conferma deliberata da parte dell’operatore prima di riprendere lo stato del processo? Laddove siano coinvolti sistemi di controllo computerizzati, l’Allegato 11 del Volume 4 di EudraLex stabilisce che i dati accumulati fino al momento dell’interruzione non vadano persi e che la ripresa sia controllata anziché automatica. Per un sistema di porte APR integrato con un circuito di monitoraggio della pressione e di controllo a interblocco, ciò significa verificare che le registrazioni dello stato della pressione, i registri degli allarmi e gli stati di posizione delle porte siano conservati e presentati accuratamente al momento del ripristino.

I test relativi al sensore fuori range e alla disconnessione del sensore riguardano una modalità di guasto distinta sia dal normale funzionamento che da un’interruzione di alimentazione: il sistema continua a ricevere alimentazione ma non riceve alcun segnale valido da un punto di monitoraggio. La qualificazione operativa (OQ) deve confermare che tale condizione venga rilevata come un guasto — e non ignorata o trattata come una lettura di valore zero — e che il processo venga impedito di proseguire o messo in attesa controllata in attesa di un'indagine. Un sistema che tolleri silenziosamente un sensore di pressione scollegato e continui a funzionare crea un rischio di contenimento che non risulterà visibile nei registri dei test di funzionamento normale.

Sono necessari i dettagli dello script per una qualificazione operativa (OQ) pronta per l'audit

Il collo di bottiglia nei programmi di qualificazione operativa (OQ) per le apparecchiature di contenimento raramente è l’esecuzione, bensì lo script di prova. Istruzioni vaghe come “verificare il funzionamento dell’allarme” non sono eseguibili: non specificano quale condizione attivi l’allarme, quale sia la risposta prevista del sistema, come debba essere simulata la condizione o cosa costituisca un risultato positivo. Un revisore non può confermare che il test sia stato eseguito correttamente, e un tecnico diverso che ripeta il test potrebbe simulare una condizione completamente diversa. Nessuno dei due risultati garantisce la tracciabilità richiesta da un’ispezione.

La specificità dello script, in linea con i requisiti di audit, implica che ogni fase identifichi l’esatto metodo di simulazione, la risposta osservabile prevista e un criterio di accettazione quantificato o inequivocabile. La descrizione della simulazione è particolarmente importante per i test degli allarmi e degli interblocchi: se il modulo di qualificazione operativa (OQ) non riporta come è stato simulato il malfunzionamento, il test non può essere riprodotto né valutato in modo indipendente. Si tratta di un requisito di disciplina documentale, non di una raccomandazione su quale tecnica di simulazione utilizzare: il metodo è una scelta ingegneristica, ma la registrazione di tale metodo è un obbligo di tracciabilità.

La conseguenza diretta di criteri di accettazione vaghi è che i risultati dipendono dal giudizio di chi effettua la revisione. Se il criterio è “il sistema risponde correttamente”, due revisori potrebbero giungere a conclusioni diverse partendo da osservazioni di test identiche. I criteri quantificati — tra cui limiti di tempo di risposta definiti, requisiti specifici relativi agli stati di blocco/sblocco o soglie esplicite di attivazione degli allarmi — eliminano tale ambiguità e consentono alle prove di valere indipendentemente dall’interpretazione del revisore. Ciò è particolarmente importante al momento della chiusura della qualificazione operativa (OQ), quando la decisione di approvazione deve essere difendibile nei confronti di una terza parte che non era presente durante i test.

Chiusura OQ basata sui dati di risposta osservati

La chiusura dell’OQ è subordinata alla risoluzione delle non conformità, non semplicemente al completamento delle prove. Una prova completata che abbia prodotto un risultato fuori specifica, una mancata risposta dell’interblocco o un evento non registrato non costituisce una prova chiusa, ma una non conformità aperta. L’Allegato 15 del Volume 4 di EudraLex stabilisce che le non conformità individuate durante la qualificazione devono essere documentate indicando le azioni correttive, i soggetti responsabili e le scadenze definite, e che qualsiasi modifica apportata di conseguenza deve essere valutata nell’ambito del controllo delle modifiche prima che la qualificazione possa essere considerata completata. Considerare l’elenco delle non conformità come un’attività di sistemazione post-OQ piuttosto che come un prerequisito per la chiusura è un modello ricorrente che ritarda l’approvazione finale quando gli ispettori individuano punti in sospeso durante la revisione.

Il fascicolo di documentazione a sostegno della chiusura dell’OQ deve consentire al revisore di tracciare ogni funzione critica, dalla condizione di prova fino al risultato registrato e allo stato di approvazione. Ciò significa che i test di prova, i test degli allarmi e degli interblocchi e le prove di ripetibilità devono essere presenti come registrazioni distinte, senza essere raggruppati in una dichiarazione sintetica che attesti semplicemente l’esecuzione di una serie di test. Lista di controllo per l'audit della documentazione GMP di convalida VHP Passbox illustra gli elementi della documentazione che attestano la prontezza all’ispezione specificamente per questi sistemi.

Qualora una deviazione richieda una modifica hardware o software, è necessario completare la valutazione del controllo delle modifiche e sottoporre a nuovo collaudo le funzioni interessate prima di confermare la chiusura. Una qualificazione operativa (OQ) che registri un’azione correttiva come “completata” ma non includa la documentazione relativa al nuovo collaudo della funzione interessata lascia una lacuna tracciabile che non può essere colmata a posteriori senza riaprire il protocollo. La decisione di chiusura dovrebbe essere presa sulla base di tutti i registri delle deviazioni, non solo del registro di completamento dei test.

Il modello ricorrente di fallimento nei programmi di qualificazione operativa (OQ) delle apparecchiature di contenimento non è dovuto a una mancanza di impegno nelle prove, bensì al fatto che tale impegno è rivolto alla conferma del funzionamento normale piuttosto che alle condizioni di stress che metterebbero in luce difetti nascosti nella logica degli allarmi, nella sequenza di funzionamento delle porte o nella gestione dei guasti dei sensori. Una volta che un sistema di contenimento è stato consegnato ed è in uso, identificare e correggere tali difetti richiede un arresto controllato, una nuova qualificazione e una spiegazione plausibile del motivo per cui tale lacuna non è stata rilevata durante la qualificazione operativa (OQ) originale. Si tratta di un problema significativamente più complesso rispetto all’integrazione di test di stress nel protocollo prima dell’inizio dell’esecuzione.

Prima di finalizzare qualsiasi script di OQ per i sistemi VHP, BIBO, pass box o porte APR, il team deve verificare che ogni funzione critica identificata nella valutazione dei rischi abbia una corrispondente condizione di prova, un metodo di simulazione descritto, un criterio di accettazione quantificato e una procedura di ripristino definita — e che nessuno di questi elementi sia lasciato all’interpretazione del tecnico incaricato dell’esecuzione. Eventuali scostamenti da tale standard devono essere risolti in base a una linea di base soggetta a controllo delle modifiche, non documentati come osservazioni accettabili. È proprio questa disciplina a distinguere un verbale di qualificazione in grado di superare l’ispezione da uno che richiede spiegazioni in sede di verifica.

Domande frequenti

D: Cosa succederebbe se la simulazione di un allarme o di un guasto a un sensore durante la qualificazione operativa (OQ) potesse danneggiare l'apparecchiatura o causare un incidente di sicurezza?
R: Il protocollo di qualificazione operativa (OQ) deve definire metodi di simulazione sicuri e procedure di ripristino prima dell’esecuzione di qualsiasi test di stress. Una valutazione dei rischi preliminare al test identifica i potenziali pericoli del test stesso; laddove la manipolazione fisica diretta risulti pericolosa, è possibile ricorrere ad approcci alternativi, quali l’iniezione di segnali all’ingresso di un controllore o la disattivazione dei sensori tramite software. L’accordo sugli stati di test sicuri, già richiesto dalla pianificazione di base dell’OQ, si estende alla protezione delle persone e delle apparecchiature durante il test.

D: Una volta conclusa la fase di qualificazione operativa (OQ) e risolte tutte le non conformità, qual è la fase di qualificazione immediatamente successiva?
A: Il passo logico successivo è la Qualificazione delle Prestazioni (PQ), in cui il sistema dimostra prestazioni costanti in condizioni operative reali con carichi rappresentativi. La chiusura dell’OQ conferma che le funzioni critiche operano entro gli intervalli previsti; la PQ dimostra successivamente che il processo integrato soddisfa ripetutamente i criteri di accettazione definiti durante l’uso di routine. Il passaggio richiede un protocollo PQ approvato ed è in genere subordinato all’approvazione formale del rapporto OQ.

D: Un’applicazione di contenimento a basso rischio, come una camera di trasferimento BSL-2, richiede lo stesso livello di approfondimento nei test di verifica degli allarmi e degli interblocchi?
R: L’approfondimento dovrebbe essere proporzionale al rischio. Una valutazione del rischio documentata determina quali funzioni operative siano critiche; le funzioni che ottengono un punteggio inferiore alla soglia di rischio concordata possono essere verificate tramite test in condizioni di funzionamento normale, senza ricorrere a condizioni di stress complete. Il requisito fondamentale è che qualsiasi decisione di ridurre l’ambito dei test sia giustificata in modo tracciabile nel piano di convalida, in modo che un revisore possa comprendere perché la logica dei confini di contenimento non abbia richiesto lo stesso livello di verifica in condizioni anomale previsto per un equivalente BSL-3/4.

D: In che modo l’approccio all’OQ qui descritto si collega ai test di accettazione in fabbrica (FAT) e ai test di accettazione in loco (SAT)? La documentazione relativa ai FAT può ridurre il carico di lavoro legato all’OQ in loco?
R: L’OQ deve essere eseguito in loco nella configurazione finale installata, poiché il FAT e il SAT vengono condotti in condizioni diverse per quanto riguarda le utenze, l’ambiente e il sistema di controllo. Sebbene sia possibile fare riferimento ai controlli delle funzioni non critiche, che rimangono invariati rispetto al FAT, per evitare duplicazioni, i test di verifica critici — in particolare le simulazioni di allarme, la logica di interblocco e le risposte agli stati anomali — dovrebbero essere ripetuti in loco per confermare che funzionino correttamente con l’infrastruttura installata e il circuito di controllo finale.

D: Il tempo e i costi aggiuntivi legati alle prove di verifica OQ complete sono giustificati quando l’apparecchiatura funziona correttamente in condizioni di esercizio normale?
A: Sì, perché eventuali difetti non individuati nella logica degli allarmi, nella sequenza di funzionamento delle porte o nella gestione dei guasti dei sensori, che emergono dopo la consegna, costringono a un arresto controllato, a una riqualificazione parziale e a fornire una spiegazione plausibile di come tale lacuna sia sfuggita alla qualificazione operativa (OQ) iniziale. L’investimento iniziale in una qualificazione operativa (OQ) basata su test di verifica costituisce una misura di mitigazione del rischio che protegge il programma di messa in servizio dai costi di gran lunga superiori derivanti da guasti alla logica di contenimento successivi alla consegna e dal controllo normativo.