Isolatore a pressione positiva o negativa? Partiamo dall’obiettivo di protezione

La direzione della pressione di un isolatore è un parametro di progetto, non un presupposto iniziale. Sceglierla prima di aver definito l’obiettivo di protezione porta a realizzare una barriera efficace contro il rischio sbagliato. La decisione spetta a chi è responsabile della protezione del prodotto o del contenimento nel progetto e dovrebbe essere presa prima ancora che si discuta delle configurazioni dei guanti, delle interfacce di trasferimento o della strategia di monitoraggio.

Obiettivo di protezione prima della direzione della pressione

La direzione della pressione è un meccanismo che consente di controllare in quale direzione l’aria si muove attraverso il confine di una barriera. Di per sé, non descrive ciò che la barriera sta proteggendo. Due isolatori possono apparire identici per quanto riguarda il telaio, le porte per i guanti e i dispositivi di trasferimento, ma avere comunque funzioni opposte, poiché la loro funzione dipende da ciò a cui la pressione differenziale si oppone: l’ingresso di contaminanti verso un prodotto protetto o la fuoriuscita di materiali pericolosi verso un operatore o l’ambiente circostante.

Ecco perché l’obiettivo di protezione deve essere indicato per primo, in termini sufficientemente specifici da supportare una decisione progettuale. Indicare come obiettivo la “sterilità” o il “contenimento” non è sufficiente; il progetto deve identificare cosa viene protetto e da cosa. Un prodotto che deve rimanere esente da contaminazione ambientale o proveniente dall’operatore indica un percorso di valutazione. Un materiale pericoloso per le persone o per l’ambiente circostante l’isolatore ne indica un altro. Laddove un progetto coinvolga sia un prodotto che deve rimanere incontaminato sia una sostanza di per sé pericolosa, i due obiettivi possono orientare la pressione in direzioni diverse, e la soluzione dipende dalle scelte relative alla configurazione dell’isolatore — zone di pressione in cascata, percorsi di trasferimento dedicati o fasi di processo separate — piuttosto che dalla scelta di un’unica direzione da considerare come protezione universale.

Le conseguenze del tralasciare questo passaggio si manifestano in seguito, quando si redigono i criteri di accettazione. Un setpoint di pressione, una soglia di allarme o un obiettivo di recupero transitorio hanno senso solo una volta chiarito quale modalità di guasto siano destinati a rilevare. Redigere tali criteri prima che l’obiettivo sia stato definito porta spesso a ottenere valori che, se considerati isolatamente, sono difendibili ma scollegati dal rischio effettivo. Questo è anche il motivo per cui le discussioni sulla scelta degli isolatori che partono da affermazioni del tipo “abbiamo bisogno di pressione positiva” o “abbiamo bisogno di pressione negativa”, senza prima specificare il rischio che il progetto intende gestire, risultano difficili da affrontare in modo costruttivo per un fornitore: la direzione indicata è una conclusione, non un input.

Il compito del team di progetto in questa fase è quello di documentare per iscritto ciò che l’isolatore è destinato a tenere fuori e ciò che è destinato a trattenere all’interno, compresi eventuali rischi secondari che coesistono con quello primario. Tale documento diventa il punto di riferimento per ogni decisione successiva relativa alla pressione.

Rischi relativi alla protezione dei prodotti affrontati tramite un sistema a pressione positiva

Il concetto di pressione positiva viene generalmente preso in considerazione quando la preoccupazione principale è l’ingresso di contaminanti in un prodotto che deve rimanere sterile o comunque protetto dall’ambiente circostante. L’interno dell’isolatore viene mantenuto a una pressione superiore a quella dello spazio adiacente, in modo che qualsiasi percorso di perdita a livello di una guarnizione della porta, di una porta per guanti o di un’interfaccia di trasferimento spinga l’aria verso l’esterno anziché aspirare aria non filtrata verso l’interno. Il meccanismo protegge il prodotto utilizzando la pressione come barriera passiva contro l’ingresso di contaminanti, indipendentemente dalla vigilanza dell’operatore.

Questo concetto presuppone che ciò che ha origine all’interno dell’isolatore — il prodotto, l’aria di processo, eventuali materiali residui — non costituisca di per sé un pericolo che potrebbe derivare da una fuoriuscita verso l’esterno. Laddove tale presupposto sia valido, la pressione positiva rappresenta un modo diretto per difendere un confine asettico ed è in linea con le strategie di controllo della contaminazione descritte per la protezione dei prodotti sterili, comprese le aspettative relative al monitoraggio, alla registrazione e agli allarmi della pressione stabilite in GMP UE Allegato 1 per i sistemi di barriera utilizzati nella produzione sterile. Il quadro di riferimento dell’Allegato 1 è specifico per il contesto della produzione sterile e le sue linee guida relative alla pressione ambiente non si traducono direttamente in un setpoint universale per l’isolatore; la cascata e il differenziale applicabili devono comunque essere ricavati in base al processo specifico e alla configurazione della sala.

La condizione che modifica tale valutazione è ciò che viene trattato dall’isolatore. Se in seguito viene utilizzato, o se ne prevede l’utilizzo, un isolatore asettico a pressione positiva con una sostanza che comporta un rischio per l’operatore o per l’ambiente, la fuoriuscita verso l’esterno cessa di essere un effetto collaterale tollerabile e diventa proprio quella modalità di guasto che l’obiettivo di contenimento mira a prevenire. Questo è il motivo per cui la pressione positiva non può essere considerata come un principio generale predefinito del tipo “più pulito è più sicuro”. È più sicuro per il prodotto. Non è intrinsecamente più sicuro per le persone o per l’ambiente circostante l’unità.

Tra le scelte di configurazione che derivano dall’obiettivo di proteggere il prodotto mediante pressione positiva figurano interfacce di trasferimento progettate per limitare le infiltrazioni durante il movimento del materiale, sistemi di guanti e manicotti selezionati per garantire l’integrità in presenza di un differenziale di pressione positivo prolungato, nonché sistemi di monitoraggio che considerano un calo verso la pressione ambiente come la condizione di allarme primaria piuttosto che un aumento. A isolatore per test di sterilità realizzato per questo scopo è progettato per impedire l'accesso, e tale impostazione dovrebbe essere esplicitamente indicata nelle specifiche tecniche di progetto (URS), anziché essere lasciata implicita nella denominazione delle apparecchiature.

Rischi per gli operatori o per l'ambiente legati al concetto di pressione negativa

Viene valutato un sistema a pressione negativa in cui il materiale all’interno dell’isolatore costituisce il pericolo e l’obiettivo di protezione è impedire che raggiunga l’operatore o l’ambiente circostante. L’interno dell’isolatore viene mantenuto a una pressione inferiore rispetto allo spazio adiacente, in modo che qualsiasi percorso di perdita aspiri aria verso l’interno anziché spingere il materiale contenuto verso l’esterno. Il meccanismo si basa sullo stesso principio fisico del caso a pressione positiva — la pressione differenziale che determina la direzione della perdita — applicato al problema di contenimento opposto.

Questo concetto presuppone che il flusso d’aria in entrata su cui si basa non comprometta a sua volta un aspetto che il progetto deve proteggere, come la sterilità del prodotto all’interno dello stesso involucro. Laddove un progetto coinvolga un principio attivo pericoloso che richieda anche una manipolazione asettica, la sola pressione negativa garantisce il contenimento ma lascia aperta la questione dell’asepsi, e i due requisiti devono essere conciliati attraverso misure progettuali aggiuntive piuttosto che solo tramite la direzione della pressione. Ciò è coerente con l’approccio di valutazione del rischio e di progettazione a sistema chiuso o a barriera descritto in Linee guida dell’OMS sui prodotti farmaceutici contenenti sostanze pericolose, secondo cui il contenimento e la protezione dell’operatore sono considerati il risultato di una valutazione dei rischi documentata piuttosto che di un valore di pressione fisso. Tali linee guida non stabiliscono un limite di esposizione specifico per il composto né un risultato specifico in termini di contenimento; questi ultimi derivano comunque dalla valutazione dei rischi propria del progetto e dalla fascia di esposizione professionale assegnata al materiale in questione.

La condizione che in questo contesto influisce più direttamente sulla configurazione è il livello di contenimento richiesto dal rischio. La gestione di materiali ad alto rischio, come le operazioni di classe OEB4/OEB5, comporta in genere scelte più ponderate in merito ai sistemi di porte a guanto, alle interfacce di trasferimento rapido e al modo in cui il flusso di materiali in entrata e in uscita viene isolato dallo spazio circostante — considerazioni approfondite ulteriormente per Scelta dell'isolatore a pressione negativa nelle applicazioni specifiche per OEB5. Il fornitore dell’isolatore non può attribuire un risultato di contenimento senza conoscere la classificazione di pericolo del composto e le condizioni operative che il progetto deve coprire; tali informazioni devono derivare dalla valutazione dei rischi effettuata dal committente del progetto, non dalla progettazione dell’apparecchiatura.

Anche la strategia di monitoraggio di un isolatore a pressione negativa è l’opposto rispetto al caso della pressione positiva: è un aumento verso la pressione ambiente, e non una diminuzione, la condizione che il sistema di allarme è progettato per rilevare, poiché è proprio l’aumento a segnalare la perdita della forza di aspirazione verso l’interno che impedisce la fuoriuscita di materiale pericoloso.

Risposte in caso di guasti dovuti a perdite, rotture dei guanti e allarmi di pressione

Gli eventi transitori — una rottura del guanto, l’apertura di una porta, un guasto al ventilatore o un’oscillazione di pressione che fa scattare un allarme — sono il momento in cui un sistema di pressione viene effettivamente messo alla prova, poiché le prestazioni in condizioni stazionarie dicono ben poco su ciò che accade quando la barriera viene momentaneamente compromessa. La risposta richiesta da un progetto non è la stessa per un isolatore a pressione positiva, destinato alla protezione del prodotto, e per un isolatore a pressione negativa, destinato al contenimento, poiché il rischio generato da ciascuna modalità di guasto va in direzioni opposte.

In un sistema a pressione positiva, la rottura di un guanto o l’apertura di una porta comporta il rischio di una via di contaminazione verso l’interno; la questione rilevante è quanto rapidamente e in modo affidabile il sistema sia in grado di ristabilire il flusso d’aria verso l’esterno e come il processo all’interno debba reagire mentre è in corso il ripristino. In un sistema a pressione negativa, lo stesso evento fisico comporta il rischio di una via di rilascio verso l’esterno, e la risposta accettabile può includere comportamenti di isolamento o interblocco diversi, poiché il progetto mira proprio a impedire che il pericolo si diffonda nella direzione sbagliata.

Ecco perché una formulazione generica relativa agli allarmi in una specifica non è sufficiente. Un URS (Specifica dei Requisiti di Utente) efficace indica cosa deve fare l’isolatore, in ogni stato operativo, per ciascuna condizione transitoria specificata: rottura del guanto durante la manipolazione attiva, apertura della porta durante il trasferimento di materiale, guasto del ventilatore durante l’arresto inattivo e persistenza dell’allarme oltre una durata definita. Laddove il progetto definisca anche dei sistemi di interblocco — arresto del processo, blocco del trasferimento o notifica all’operatore — tali comportamenti devono essere collegati all’evento transitorio specifico a cui rispondono, non indicati come una singola reazione generica.

La condizione che determina la risposta richiesta è la reversibilità del pericolo. Laddove la conseguenza di un breve evento di ingresso sia la necessità di rilavorazione o un rischio per il lotto, la risposta può ragionevolmente dare priorità alla minimizzazione dell’interruzione. Laddove la conseguenza di un breve evento di uscita sia l’esposizione dell’operatore, la risposta deve dare priorità all’interruzione del percorso anche se ciò comporta l’arresto del processo. Nessuna delle due risposte è universalmente più conservativa dell’altra; ciascuna è corretta per il pericolo contro cui è stata concepita. Un team di progetto che passa dalla definizione degli obiettivi alla stesura delle specifiche dovrebbe verificare che a ogni condizione transitoria identificata sia assegnata una risposta, un comportamento di ripristino definito e una motivazione chiara del perché tale risposta sia adeguata all’obiettivo di protezione di riferimento.

Test di accettazione che dimostrano il funzionamento del concetto scelto

Per dimostrare che un sistema di pressione funziona, è necessario testarlo nelle condizioni operative effettivamente previste dal progetto, non solo in regime stazionario a vuoto. Una differenza di pressione che si mantiene durante il funzionamento normale non dice molto su ciò che accade in caso di rottura di un guanto, di un evento di trasferimento o di un guasto al ventilatore; ecco perché le condizioni operative indicate nell’URS devono essere quelle effettivamente testate durante le prove di collaudo, e non un sottoinsieme semplificato di esse.

Laddove l’obiettivo del progetto sia la protezione del prodotto, i criteri di accettazione sono in linea con la strategia di controllo della contaminazione, il monitoraggio della pressione, la registrazione e i requisiti relativi agli allarmi descritti nell’Allegato 1 delle GMP dell’UE — testati specificatamente nelle condizioni operative definite dall’URS, poiché il contesto di produzione sterile dell’Allegato 1 non fornisce di per sé un setpoint di pressione universale né un risultato relativo al contenimento occupazionale. Laddove l’obiettivo sia la ritenzione di materiali pericolosi e la protezione dell’operatore, le prove di accettazione si allineano invece alla valutazione dei rischi e all’approccio basato su sistemi chiusi o sulla progettazione di barriere descritto nelle linee guida dell’OMS per i prodotti farmaceutici pericolosi, anch’esse applicate in tutte le condizioni operative specificate dall’URS, poiché tali linee guida non assegnano un limite di esposizione specifico per ciascun composto né un risultato di contenimento specifico per il progetto. Un progetto che persegua entrambi gli obiettivi necessita di prove di accettazione per ciascuno di essi, piuttosto che di un’unica campagna di test che si presuma copra entrambi.

Per quanto riguarda il dispositivo di separazione in sé — la struttura dell’isolatore, le sue interfacce e la sua installazione — ISO 14644-7 fornisce il quadro di riferimento per la progettazione, l'installazione, le prove e l'omologazione dei dispositivi di separazione in generale. Non fornisce valori di pressione o parametri di processo specifici per determinate applicazioni e l'edizione stessa è contrassegnata come soggetta a revisione; pertanto, un team di progetto che la citi dovrebbe considerarla come un quadro di riferimento per le prove strutturali da integrare con i criteri di accettazione specifici del progetto, non come una fonte di valori fissi.

Questa è la fase in cui le informazioni sul progetto fornite dall’acquirente diventano direttamente utilizzabili: un URS che definisca l’obiettivo di protezione, gli stati operativi da testare e le condizioni transitorie da simulare offre al fornitore un punto di riferimento concreto su cui basare il proprio preventivo e la revisione della configurazione, anziché richiedere ipotesi su quali modalità di guasto siano rilevanti. I test di accettazione che derivano da questa documentazione — siano essi strutturati come FAT, SAT o come fase di qualificazione — dimostrano che la configurazione specifica fornita soddisfa i criteri definiti dal progetto, non che la direzione della pressione scelta fosse genericamente corretta. Laddove l’URS sia vago riguardo agli stati operativi o alle condizioni transitorie, tale lacuna emerge durante i test di accettazione sotto forma di ambiguità sul significato di “superamento del test”, il che rappresenta un problema più costoso da risolvere rispetto a quanto lo sarebbe durante la fase iniziale di definizione delle specifiche.

Domande frequenti

Q: E se il progetto richiedesse sia la protezione del prodotto sia il contenimento delle sostanze pericolose?
A: Non scegliere la direzione della pressione basandosi esclusivamente su uno dei due obiettivi. Documentare i rischi legati al prodotto, all’operatore e all’ambiente, stabilire quali conseguenze di un guasto il progetto debba controllare e definire criteri di accettazione specifici per il progetto in relazione al concetto risultante.

Q: Quali informazioni devono essere definite nell'URS prima di valutare un progetto di pressione dell'isolatore?
A: Indicare l’obiettivo di protezione, i pericoli rilevanti, le operazioni di monitoraggio e gli allarmi richiesti, nonché gli stati operativi in cui il concetto deve essere dimostrato. Includere il funzionamento normale e i transitori prevedibili, quali l’apertura delle porte, le rotture dei guanti, i guasti ai ventilatori e le condizioni di allarme di pressione.

Q: In che modo le perdite nei guanti e altri eventi transitori dovrebbero influire sui test di accettazione?
A: Considerarle come condizioni operative specificate, con criteri di risposta e di accettazione predefiniti. Il piano di prova dovrebbe verificare il concetto selezionato in ciascuna delle condizioni applicabili, anziché basarsi esclusivamente sulla lettura della pressione in condizioni di funzionamento normale.

Q: La conformità all'Allegato 1 delle GMP dell'UE, alle GMP dell'OMS o alla norma ISO 14644-7 dimostra che la direzione di pressione scelta è adeguata?
A: No. Questi quadri di riferimento possono fornire indicazioni sulle prove relative al controllo della contaminazione, al contenimento, alla progettazione, al monitoraggio e alle prove, ma non forniscono un valore di riferimento universale per gli isolatori, un limite di esposizione specifico per un determinato composto né un risultato di contenimento specifico per un determinato progetto. L’idoneità deve comunque essere dimostrata in relazione ai rischi definiti dal progetto, alle condizioni operative e ai criteri di accettazione.