Protocollo di convalida VHP: IQ, OQ, PQ per i sistemi a perossido di idrogeno

Gli esiti negativi nella validazione del VHP raramente sono riconducibili al generatore stesso. Sono invece dovuti a decisioni prese settimane prima — relative ai materiali di imballaggio, agli allacciamenti alle utenze e all’ambito del protocollo — che emergono come problemi solo quando una sessione di OQ si interrompe a metà ciclo o un revisore richiede un registro di test di interruzione del ciclo che non esiste. Il costo non è solo una sessione fallita; si tratta di un completo ripristino del protocollo, dell’approvvigionamento ripetuto di BI e, in ambienti regolamentati, di un evento di deviazione che richiede la revisione da parte dell’unità di qualità prima che qualsiasi attività possa riprendere. Preparare correttamente la documentazione IQ prima dell’inizio della messa in servizio e comprendere esattamente quali variabili di carico e ambientali debbano essere controllate durante l’OQ è ciò che distingue una qualificazione in tre sessioni da una in sei sessioni.

IQ: Specifiche del generatore e verifica della funzionalità

L'IQ non è una formalità che precede il vero e proprio lavoro di convalida: è il documento che rende difendibili tutti i risultati delle OQ e delle PQ a valle. Se il generatore installato in loco non corrisponde al modello e al numero di serie indicati nelle specifiche approvate, oppure se un allacciamento alla rete non rientra nei limiti di tolleranza, tutti i dati di qualificazione raccolti prima che tale discrepanza venga corretta diventano sospetti e potrebbero dover essere annullati.

Un generatore VHP richiede solo quattro input di rete per funzionare: alimentazione elettrica, aria compressa, acqua e sterilizzante. Tale semplicità rende pratica l’installazione su un unico skid, ma implica anche l’assenza di sistemi ridondanti in grado di assorbire eventuali errori di misurazione. Ciascuno di questi collegamenti deve essere documentato in base a specifici criteri di accettazione prima dell’avvio della messa in servizio. La tensione di alimentazione elettrica deve essere misurata nel punto di connessione e deve rientrare in un intervallo di ±5% rispetto alla tensione nominale. La pressione dell’aria compressa deve essere verificata all’ingresso dell’aria rispetto all’intervallo specificato dal produttore. Il materiale della linea di scarico deve essere compatibile con il perossido di idrogeno: il degrado o la corrosione a livello dello scarico costituiscono un rischio di contaminazione e di perdita che può invalidare l’installazione.

La logica alla base della verifica di queste connessioni prima dell’avvio di qualsiasi ciclo non è una semplice precauzione procedurale. Il motivo è che i dati relativi alla concentrazione ottenuti durante l’OQ sono interpretabili solo se, al momento della raccolta, il generatore funzionava entro i limiti specificati dalla rete elettrica. Un’alimentazione elettrica che durante l’OQ si discosta dalla tolleranza di ±5% crea un’ambiguità: la deviazione della concentrazione era dovuta alla configurazione del carico o alle prestazioni del generatore in presenza di un’alimentazione non conforme?

La documentazione specifica relativa alle apparecchiature nell’ambito dell’IQ costituisce inoltre un punto di riferimento per l’audit. Quando un revisore dell’unità di qualità esamina una deviazione registrata durante la PQ, la prima domanda che si pone è se il sistema sia stato installato correttamente e abbia funzionato entro i limiti di progetto per tutta la durata della qualificazione. Un pacchetto IQ completo risponde a tale domanda prima che essa diventi un’osservazione.

OQ: Tolleranza di concentrazione nelle diverse serie di prove

L’OQ deve dimostrare che il sistema VHP eroghi una concentrazione di H₂O₂ compresa entro ±10% dal setpoint in tre cicli replicati — nelle configurazioni di carico minimo, massimo e target — con le letture dei sensori registrate a intervalli non superiori a 30 secondi. Tale requisito sembra proceduralmente semplice finché non si tiene conto di quante variabili possano alterare la concentrazione erogata senza alcuna modifica ai parametri programmati del generatore.

L’umidità è la variabile che più facilmente viene sottovalutata durante la pianificazione del protocollo. I dati della ricerca dimostrano che anche un modesto aumento del contenuto di umidità — da 0% a 10% — può ridurre la concentrazione massima raggiungibile di H₂O₂ da circa 2.148 mg/L a 1.805 mg/L, con un calo di circa 340 mg/L. Tale riduzione non rappresenta un limite normativo; si tratta di un dato di progettazione che quantifica il motivo per cui il controllo dell’umidità è un criterio di pianificazione piuttosto che una fase facoltativa. Se l’umidità ambientale non viene controllata rigorosamente prima e durante le prove di qualificazione operativa (OQ), le letture della concentrazione nelle prove replicate potrebbero non essere riproducibili e la tolleranza di ±10% diventa difficile da rispettare. Il precondizionamento sotto vuoto spinto rimuove l’aria residua e l’umidità dalla camera prima della fase di iniezione; l’abbreviazione o il salto di tale fase è la ragione più comune per cui gli impianti rilevano instabilità dovute all’umidità solo dopo che le prove di qualificazione operativa (OQ) sono già fallite.

La composizione del materiale caricato è la seconda variabile che contamina i set di dati dell’OQ, e la decisione che la determina spesso viene presa al di fuori del team di validazione. Liquidi, polveri e materiali a base di cellulosa assorbono H₂O₂ durante il ciclo. Gli imballaggi in cartone assorbono una quantità tale da interrompere un ciclo a metà esecuzione in determinate configurazioni di carico; ciò significa che una scelta relativa all’imballaggio effettuata in fase di approvvigionamento — preferendo il cartone standard al Tyvek — può rendere strutturalmente impossibile mantenere la concentrazione entro i limiti di tolleranza in tutte e tre le esecuzioni del carico per l’OQ. La sostituzione con il Tyvek o con un altro materiale compatibile non assorbente non è principalmente una decisione relativa alle specifiche di imballaggio, ma è un prerequisito per la riproducibilità dell’OQ. I team che la trattano come un dettaglio di approvvigionamento e la riesaminano solo dopo la prima interruzione dell’OQ perdono da due a tre settimane di tempo in ambienti di produzione regolamentati.

La conseguenza a monte di queste variabili è che lo sviluppo del protocollo OQ deve includere una checklist pre-esecuzione che confermi il metodo di controllo dell’umidità, i parametri del ciclo di precondizionamento e la compatibilità del materiale di carico prima dell’inizio della prima replica. In assenza di ciò, l’instabilità della concentrazione rilevata durante la seconda replica risulta ambigua: potrebbe riflettere un problema di prestazione del generatore che richiede un’indagine tecnica, oppure potrebbe riflettere una variabile controllata che non è mai stata effettivamente controllata.

Per le strutture che stanno valutando le configurazioni dei generatori di VHP portatili rispetto a quelle fisse, il Generatore portatile VHP di tipo II/III È opportuno riesaminare il progetto alla luce dei requisiti di documentazione relativi ai parametri del ciclo, poiché la flessibilità nella configurazione del carico nelle unità portatili può amplificare le variabili relative all’umidità e alla compatibilità dei materiali qui descritte, qualora le fasi di precondizionamento non siano esplicitamente definite nel protocollo di qualificazione operativa (OQ).

PQ: Riduzione di 6 log con indicatori biologici

Il PQ deve dimostrare una riduzione di 6 log utilizzando indicatori biologici collocati nei punti identificati come quelli con le condizioni più sfavorevoli, nel corso di tre cicli consecutivi completati con esito positivo. Per gli ambienti sanitari in cui si utilizza la disinfezione ad alta pressione (VHP) negli Stati Uniti, i requisiti della procedura 510(k) della FDA fanno riferimento a Geobacillus stearothermophilus come organismo indicatore biologico. Al di fuori delle strutture sanitarie o in altre giurisdizioni, la selezione dell’organismo indicatore biologico richiede una giustificazione interna piuttosto che un semplice riferimento a un’unica fonte normativa: l’organismo appropriato per una determinata applicazione dovrebbe essere confermato alla luce del contesto normativo specifico prima dell’avvio della qualificazione preliminare.

L’approccio del “half-cycle” (mezzo ciclo) è il metodo comunemente adottato nel settore per dimostrare una riduzione di 6 log: il processo viene eseguito utilizzando la metà dei parametri previsti per il ciclo completo convalidato e si conta il numero di microrganismi sopravvissuti. Se il mezzo ciclo elimina tutti i microrganismi presenti sugli indicatori con una popolazione nota, il ciclo completo garantisce il livello di sterilità richiesto con un margine di sicurezza aggiuntivo. Si tratta di una prassi del settore, non di un requisito imposto da una norma armonizzata, e tale distinzione è importante ai fini della documentazione.

La lacuna che incide più direttamente sulla qualità della documentazione relativa alla qualificazione della biotest (PQ) è l’assenza di uno standard internazionale che specifichi i requisiti prestazionali degli indicatori biologici (BI) per il VHP. Ai sensi della norma ISO 14937, i processi vengono caratterizzati utilizzando un quadro generale per la sterilizzazione con mezzi fisici e chimici, ma non esiste uno standard prestazionale specifico per i BI nel VHP equivalente a quello esistente per la sterilizzazione a vapore. Questa lacuna normativa non elimina il requisito di riduzione di 6 log, ma sposta l’onere di giustificare la scelta del BI, la motivazione del posizionamento e i criteri di accettazione sui dati di processo e sulla documentazione interna della struttura stessa, anziché su un riferimento armonizzato esterno. Quando un revisore dell’unità di qualità esamina il riepilogo della qualificazione preliminare (PQ), cerca una giustificazione interna che regga anche in assenza di uno standard citabile a cui fare riferimento. I protocolli che presuppongono l’esistenza di un riferimento armonizzato per i BI e che lo considerano un supporto sufficiente sono difendibili sulla carta, ma fragili nel corso di un colloquio di audit.

L’identificazione della posizione peggiore per il posizionamento dei BI è una determinazione specifica per il sito che deve essere documentata come parte del protocollo PQ, non giustificata a posteriori una volta completate le prove. È necessario dare priorità alle posizioni geometricamente distanti dal punto di iniezione, schermate da elementi di carico o soggette a zone morte del flusso d’aria. Se tutte e tre le prove consecutive dimostrano un'eliminazione completa in quelle posizioni, l'argomento relativo alla copertura è solido. Se una qualsiasi prova rileva la presenza di un sopravvissuto, la deviazione deve essere registrata e indagata prima che il protocollo possa essere considerato riuscito — un successo parziale in tre prove non costituisce una base per l'approvazione condizionata della PQ.

Per le strutture che intendono esaminare i requisiti dettagliati relativi alla documentazione dei parametri di ciclo, fondamentali per la creazione di una documentazione PQ attendibile, il Test di qualificazione delle prestazioni per sterilizzatori VHP: Requisiti di documentazione dei parametri del ciclo Il documento illustra gli obblighi specifici in materia di raccolta dei dati che consentono di trasformare i registri di funzionamento in prove verificabili.

Test di interruzione del ciclo per scenari di interruzione dell'alimentazione

Il test di interruzione del ciclo è l’elemento di qualificazione che risulta più frequentemente assente dai pacchetti di validazione sottoposti alla revisione dell’unità di qualità. Non è formalmente richiesto come fase di test specifica da nessuna autorità citata nella maggior parte dei protocolli VHP standard, ma la sua assenza crea un problema specifico di difendibilità: senza una dimostrazione documentata che il sistema ritorni a uno stato sicuro in caso di interruzione di alimentazione durante la fase di iniezione o di permanenza, non esiste una base probatoria sul comportamento del sistema nello scenario di guasto operativamente più probabile.

Il test in sé è semplice dal punto di vista procedurale. Durante un ciclo di qualificazione — non un ciclo di produzione effettivo — l’alimentazione viene interrotta intenzionalmente durante la fase di iniezione e poi durante la fase di mantenimento. La risposta del sistema viene osservata, documentata e confrontata con il comportamento di sicurezza specificato dal produttore. I risultati accettabili includono in genere lo sfiato controllato, l’attivazione dell’allarme e l’impedimento dell’apertura della porta o dell’accesso fino a quando le condizioni della camera non tornano a livelli di sicurezza. Qualsiasi deviazione da tale risposta prevista viene registrata, esaminata e risolta prima che il pacchetto di convalida sia considerato completo.

La conseguenza a lungo termine dell’omissione di questo test si avverte solo nel momento in cui se ne presenta la necessità. Un’effettiva perdita di alimentazione durante un ciclo di produzione in un impianto privo di una risposta documentata all’interruzione solleva immediatamente una serie di interrogativi: la camera è stata esposta a un rilascio parziale o incontrollato di VHP? È stato attivato correttamente qualche protocollo di sicurezza per il personale? Il carico è stato compromesso? In assenza di un test di qualificazione preventivo che dimostri il ritorno allo stato di sicurezza, nessuna di queste domande ha una risposta difendibile fondata su dati di validazione. Un revisore che esamini un fascicolo di qualificazione privo di questo test potrebbe accettarlo una volta sola, ma un evento di interruzione di corrente che si verifichi prima del ciclo di revisione successivo trasforma una lacuna nella documentazione in un caso di non conformità.

La raccomandazione pratica è quella di includere il test di interruzione del ciclo come sezione distinta del protocollo, con criteri di accettazione propri, indipendente dalle fasi di IQ, OQ e PQ. Tale sezione dovrebbe fare riferimento alle specifiche di sicurezza in caso di guasto documentate dal produttore come base per la determinazione di superamento o fallimento del test. Se il modello di generatore in uso non dispone di specifiche di sicurezza in caso di guasto formalmente pubblicate, tale lacuna dovrebbe essere identificata e risolta con il produttore prima della programmazione del test, non dopo.

Registro delle deviazioni e requisiti per l'approvazione da parte dell'Unità Qualità

Un rapporto di sintesi sulla convalida che non contenga un registro completo delle deviazioni, o che riporti l’approvazione da parte dell’unità di qualità senza una corrispondente revisione di ogni evento fuori specifica in tutte e tre le fasi di qualificazione, non costituisce un documento difendibile alla luce delle attuali aspettative relative agli ambienti di lavorazione asettica. L’Allegato 1 delle GMP dell’UE, che disciplina i requisiti di controllo della contaminazione e di lavorazione asettica per la produzione farmaceutica, stabilisce un’aspettativa generale in merito alla documentazione del controllo di processo e all’integrità della revisione, applicabile alla qualificazione del VHP in tali ambienti. Il registro delle deviazioni non è un elemento facoltativo della governance di processo: è la prova che la supervisione della qualità ha funzionato correttamente durante l’intero processo di qualificazione.

Ogni evento fuori specifica verificatosi durante le fasi di IQ, OQ o PQ deve essere registrato nel registro delle deviazioni nel momento stesso in cui si verifica, senza essere consolidato a posteriori in fase di reportistica. La voce del registro deve identificare l’evento, la fase di qualificazione in cui si è verificato, il parametro interessato, la causa probabile, la decisione presa in merito e se l’evento ha richiesto una modifica del protocollo o la ripetizione della prova. Gli eventi di deviazione che vengono chiusi senza una causa principale documentata e senza una chiara valutazione dell’impatto sulla validità delle prove precedenti o successive creano proprio quell’ambiguità che l’approvazione da parte dell’unità di qualità dovrebbe risolvere — e l’approvazione di una voce del registro priva di valutazione dell’impatto costituisce una corresponsabilità di tale ambiguità, non una sua risoluzione.

Il requisito di approvazione da parte dell’unità di qualità comporta un’implicazione strutturale che i team talvolta trascurano: il responsabile della convalida e il revisore dell’unità di qualità dovrebbero esaminare il registro delle deviazioni in riferimento alla stessa versione del protocollo. Se dopo il verificarsi delle deviazioni sono state apportate modifiche al protocollo — che alterano le configurazioni di carico, i criteri di accettazione o le sedi di prova — tali modifiche devono a loro volta essere documentate, sottoposte a controllo di versione e riportate nel rapporto di sintesi. Un registro delle deviazioni che fa riferimento alla versione 1.2 del protocollo, ma che viene firmato in base a un rapporto di sintesi redatto secondo la versione 1.4 del protocollo, crea una catena documentale che non può essere ricostruita durante l’audit senza una spiegazione. L’onere di tale ricostruzione ricade sul revisore dell’unità di qualità proprio nel momento in cui vorrebbe chiudere la qualificazione, non riaprirla.

Il ruolo del responsabile della convalida nel processo di approvazione non si limita alla semplice attestazione tecnica. Si tratta piuttosto della conferma che il registro delle deviazioni riporti accuratamente ogni evento verificatosi e che nessun risultato fuori specifica sia stato escluso dalla documentazione. Se l’unità di qualità non è in grado di verificare autonomamente la completezza — poiché i registri grezzi delle analisi non sono allegati né citati — l’approvazione ha un valore probatorio inferiore a quanto sembri.

La validità di un pacchetto completo di validazione VHP dipende dalla decisione documentata più debole in esso contenuta. L’IQ attesta che il sistema sia stato installato correttamente prima della raccolta di qualsiasi dato di ciclo. L’OQ dimostra la riproducibilità della concentrazione in condizioni ambientali e di carico controllate. Il PQ conferma l’efficacia biologica nelle posizioni più sfavorevoli. Il test di interruzione del ciclo documenta il comportamento del sistema nello scenario di guasto più rilevante dal punto di vista operativo. E il registro delle deviazioni, con l’approvazione dell’unità di qualità, è il filo conduttore che collega tutti e quattro gli elementi in una documentazione in grado di reggere al vaglio delle autorità di regolamentazione.

La revisione di prequalificazione più efficace non consiste nel seguire meccanicamente una lista di controllo in sequenza per ogni fase, bensì in una valutazione lungimirante volta a individuare quali variabili siano più suscettibili di generare un evento di deviazione e se tali variabili siano state controllate nel protocollo prima dell’inizio delle prove. Il metodo di controllo dell’umidità, la compatibilità dei materiali di carico, la logica di posizionamento dei BI e l’ambito dei test di interruzione sono le quattro decisioni di pianificazione in cui i team scoprono più comunemente, a metà della qualificazione, che il protocollo non ha tenuto conto di una condizione operativa reale. Risolverle prima della firma del primo controllo di qualificazione in servizio (IQ) è più veloce e meno costoso che risolverle dopo la prima interruzione della qualificazione operativa (OQ).

Domande frequenti

D: Questo approccio di convalida è applicabile nel caso in cui il sistema VHP venga utilizzato per la decontaminazione di stanze o suite anziché per il trattamento in camera?
R: Si applica il quadro di riferimento IQ-OQ-PQ, ma le condizioni al contorno cambiano in modo significativo. La validazione basata su camera presuppone un volume controllato e chiuso con punti di iniezione fissi e una gestione misurabile dell’umidità; la decontaminazione dell’ambiente introduce tassi di ricambio d’aria variabili, geometrie irregolari e modelli di contaminazione dipendenti dall’occupazione che rendono più difficile stabilire e giustificare il posizionamento della BI nel caso peggiore e la riproducibilità della concentrazione. La tolleranza di concentrazione di ±10% e i requisiti di riduzione di 6 log rimangono le aspettative normative, ma la progettazione del protocollo deve tenere esplicitamente conto delle zone morte del flusso d’aria specifiche della sala e dei controlli di accesso all’area di decontaminazione, che non sono fattori rilevanti nella qualificazione di una camera fissa. Considerare un protocollo di decontaminazione di una sala come un trasferimento diretto di un protocollo basato su camera senza tali adeguamenti è una causa comune di fallimenti della PQ nelle applicazioni su scala di struttura.

D: Una volta completata la qualificazione in tre fasi e firmato il rapporto di sintesi, quali sono i requisiti da soddisfare prima che il ciclo convalidato possa essere utilizzato nelle operazioni di routine?
R: Il passo immediatamente successivo consiste nello stabilire un quadro di riferimento per il controllo delle modifiche e i criteri di riqualificazione prima dell’avvio del primo ciclo di produzione. Un pacchetto di convalida completato e firmato definisce una linea di base, ma non regola automaticamente la gestione delle successive modifiche alla configurazione del carico, ai materiali di imballaggio, ai componenti del generatore o alle condizioni dell’impianto. Qualsiasi modifica a una variabile che è stata controllata durante l’OQ o il PQ, come l’introduzione di un nuovo elemento di carico o la regolazione dei parametri di precondizionamento, richiede una valutazione documentata dell’impatto per determinare se sia necessaria una riqualificazione. Senza tale quadro di riferimento in atto prima dell’inizio dell’uso di routine, la prima modifica non controllata invalida silenziosamente la linea di base di qualificazione senza generare un evento di deviazione che la segnali.

D: A che punto una deviazione durante la fase PQ richiede l'annullamento dell'intera qualificazione anziché la semplice ripetizione della serie interessata?
A: Una singola esecuzione non riuscita, pienamente spiegabile da una causa documentata e correggibile — come un malfunzionamento confermato dell’apparecchiatura di precondizionamento o un BI con danni da movimentazione documentati — giustifica in genere una ripetizione dell’esecuzione piuttosto che un ripristino completo del protocollo, a condizione che la deviazione sia registrata, che ne venga individuata la causa principale e che sia esaminata dall’unità di qualità prima della ripresa del lavoro. La soglia per un ripristino completo del protocollo viene raggiunta quando la deviazione compromette la validità dei dati già raccolti nelle fasi precedenti: ad esempio, se una deviazione della qualificazione prestazionale (PQ) rivela che l’umidità non era controllata in modo tale da mettere in discussione anche i dati di concentrazione della qualificazione operativa (OQ), il problema non è più limitato alla PQ. Analogamente, tre cicli consecutivi con la presenza di un campione sopravvissuto nelle posizioni BI del caso peggiore, in assenza di una causa attribuibile, correggibile e documentata, indicano un problema di capacità di processo che la sola ripetizione dei cicli non è in grado di risolvere.

D: In che modo l'assenza di uno standard relativo agli indicatori biologici specifici per il VHP influisce sulla scelta tra l'utilizzo di una striscia reattiva commerciale e la preparazione in loco di un indicatore?
R: L’assenza di uno standard armonizzato di prestazione per gli indicatori biologici (BI) relativi al VHP implica che nessuna delle due opzioni sia accompagnata da un punto di riferimento normativo pre-convalidato; pertanto, la scelta dipende interamente dalla capacità della struttura di documentare internamente la propria giustificazione. Le strisce BI commerciali prodotte per applicazioni VHP riportano in genere i dati relativi alla conta della popolazione e alla caratterizzazione del valore D forniti dal produttore, il che offre alla struttura un punto di partenza documentato per dimostrare che l’indicatore sia adeguatamente esigente per il processo di riferimento. Gli indicatori preparati in sede comportano un onere di documentazione interna maggiore, poiché la conta batterica, la vitalità degli organismi e la compatibilità con il vettore richiedono tutte una verifica interna senza alcuno standard di riferimento esterno a cui fare riferimento. In un contesto regolamentato in cui l’approvazione dell’unità di qualità deve reggersi senza uno standard armonizzato citabile, le strisce BI commerciali con dati tracciabili forniti dal produttore producono generalmente una documentazione di qualificazione della prestazione (PQ) più difendibile a parità di rigore scientifico.

D: Un generatore VHP portatile è soggetto agli stessi requisiti completi di IQ, OQ e PQ ogni volta che viene spostato in una nuova sede, oppure la qualificazione originale rimane valida?
R: Un generatore portatile richiede una nuova qualificazione IQ in ogni sede di impiego e, a seconda di quanto differiscano la geometria della camera o la configurazione del carico, in genere sono necessarie anche le riqualificazioni OQ e PQ. La qualificazione originale stabilisce le prestazioni in una specifica installazione con specifici allacciamenti alle utenze, una specifica camera e specifiche condizioni di carico — nessuno di questi elementi si trasferisce automaticamente quando l’unità viene spostata. Come minimo, gli allacciamenti alla rete devono essere nuovamente verificati in base ai criteri di accettazione dell’IQ prima che qualsiasi dato di ciclo possa essere utilizzato a livello operativo. Se la nuova sede comporta un volume della camera diverso, un tipo di carico diverso o condizioni di umidità ambientale sostanzialmente diverse, l’esecuzione di una OQ e di una PQ complete rappresenta la scelta più giustificabile. Affidarsi al registro di qualificazione originale per coprire una nuova installazione senza prove di collegamento documentate è un riscontro comune durante gli audit per gli utenti di unità portatili.