Un ciclo di contenimento che produce un risultato di non conformità non costituisce, di per sé, una richiesta di ripetere il test. È una richiesta di approfondimento. I team che passano direttamente da un risultato di non conformità a un protocollo di ripetizione del test — senza chiarire cosa sia cambiato, quale sia stata la causa della perdita o cosa il test stesse effettivamente misurando — spesso riproducono la stessa non conformità a pieno costo, per poi trovarsi ad affrontare una discussione più complessa sul fatto che il problema risieda nell’attrezzatura o nel programma. Il giudizio fondamentale è più semplice di quanto sembri a prima vista: prima che venga autorizzato qualsiasi nuovo test, il team deve essere in grado di descrivere cosa ha causato il fallimento, cosa è stato modificato in risposta e perché tale modifica impedisce il ripetersi del problema in condizioni analoghe.
Analisi delle cause alla radice prima di ripetere il test
L’errore principale che la maggior parte dei team commette dopo l’esito negativo di una prova SMEPAC è quello di considerarlo una conferma a livello hardware anziché una questione ancora aperta. Un risultato negativo indica che, nelle condizioni di quella prova, il contenimento è stato superato. Non indica, invece, se la causa sia da ricercarsi nell’attrezzatura, nell’operatore, nella progettazione del protocollo o nel divario tra l’ambiente di prova in laboratorio e il processo reale che si sta simulando.
Un aspetto che vale la pena verificare immediatamente è se il risultato di una prova di tenuta statica e quello dello SMEPAC concordino. Spesso non è così. Una macchina può risultare non conforme a una prova di tenuta statica per un margine di pressione minimo, pur rimanendo in depressione funzionale e producendo dati SMEPAC accettabili. È possibile anche il contrario: un isolatore che supera una prova di tenuta statica può comunque emettere surrogato rilevabile durante un'esecuzione dinamica, se il guasto ha origine in una fase dipendente dall'operatore piuttosto che in un'interfaccia strutturale. L'analisi congiunta dei due set di dati — anziché considerare uno dei due come definitivo — costituisce una base più affidabile per individuare la causa principale.
Un test statico di tenuta fallito non conferma un guasto del SMEPAC; i due set di dati devono essere interpretati congiuntamente prima di poter individuare la causa principale.
Una seconda condizione al contorno è la mancanza di coordinamento tra il laboratorio e la produzione. Test SMEPAC misura le prestazioni del dispositivo di contenimento in condizioni di laboratorio, con sequenze operative specifiche, flusso d’aria definito e movimenti controllati dell’operatore. Se il processo simulato non rispecchia ciò che accade effettivamente sull’apparecchiatura durante la produzione — diverse velocità di trasferimento, ulteriori punti di penetrazione in uso, tecniche operative variabili — allora il fallimento potrebbe riflettere tale discrepanza piuttosto che una carenza fondamentale dell’apparecchiatura. Prima di attribuire un risultato fallito all’hardware, la revisione dovrebbe confermare che le condizioni di prova fossero rappresentative del processo previsto e che eventuali differenze siano state esaminate come potenziali fattori contributivi.
Il trasferimento dei materiali rimane il momento di maggior rischio nel funzionamento dell’isolatore, ed è proprio in questa fase che le prestazioni di contenimento tendono a deteriorarsi più spesso. Un’analisi delle cause profonde che non esamini in modo specifico ciò che è accaduto in ciascuna fase del trasferimento — ingresso, uscita e trasferimenti intermedi — rischia di trascurare l’evento effettivo che ha causato l’emissione.
Cause di guasto legate al protocollo, all'operatore e all'hardware
Una volta presa la decisione di indagare anziché ripetere il test, l’analisi richiede un approccio strutturato per classificare le possibili cause prima di impegnarsi in un’azione correttiva. I guasti rientrano in genere in tre categorie che si sovrappongono: problemi di progettazione del protocollo, problemi di esecuzione da parte dell’operatore e problemi di integrità dell’hardware. La sovrapposizione è importante perché un punto di perdita nell’hardware potrebbe attivarsi solo in seguito a un movimento specifico dell’operatore o a una sequenza di operazioni, il che significa che una singola causa principale potrebbe non spiegare da sola il risultato.
La tabella che segue illustra le cause di guasto più comuni in ciascuna di queste categorie e indica su quali aspetti l'ispezione dovrebbe concentrarsi.
| Categoria di errore | Fonti comuni | Cosa controllare |
|---|---|---|
| Protocollo | Sequenza delle operazioni, configurazione del campionamento, gestione dei surrogati, impostazioni del flusso d’aria | Confronta il protocollo con l'esecuzione effettiva; verifica che i parametri siano stati rispettati |
| Operatore | Movimenti dell'operatore, tecniche di trasferimento dei materiali, utilizzo del glovebox | Verificare che le azioni dell'operatore siano conformi alla procedura prevista; controllare la coerenza delle operazioni |
| Hardware | Raccordi in Rilsan senza cono terminale, passanti a parete, guarnizioni integrate negli strumenti, giunti con guarnizioni gonfiabili, valvole con particelle residue, prese di misurazione della pressione, valvole elettropneumatiche, vani tecnici esterni | Controllare ogni punto di penetrazione per individuare eventuali microperdite; verificare l'integrità dei raccordi e lo stato delle guarnizioni |
Le fonti di microperdite a livello hardware meritano un’attenzione particolare poiché possono facilmente sfuggire durante una revisione post-esecuzione incentrata sulla procedura piuttosto che sul sistema fisico. Sulla base dell’esperienza sul campo con gli isolatori, i punti comuni di microperdita includono raccordi in Rilsan installati senza coni di raccordo, passanti attraverso le pareti, guarnizioni incorporate nella strumentazione, giunti su guarnizioni gonfiabili, valvole che trattengono particelle residue impedendone la chiusura completa, porte di misurazione della pressione, alloggiamenti di valvole elettropneumatiche e compartimenti esterni all’involucro di contenimento principale ma che condividono passanti con esso. Questo elenco riflette i modelli di guasto osservati durante il funzionamento degli isolatori, non un albero dei guasti esaustivo per ogni sistema di contenimento, ma fornisce una sequenza di ispezione pratica quando si sospetta una microperdita e non è presente alcuna macroperdita evidente.
Le fonti di microperdite in corrispondenza dei punti di penetrazione della strumentazione e degli alloggiamenti delle valvole spesso sfuggono alle analisi condotte al termine delle operazioni, che si concentrano esclusivamente sull’esecuzione delle procedure.
Il rischio in questa fase è quello di restringere troppo rapidamente l’ambito dell’indagine. In uno stesso ciclo di prova fallito possono coesistere sia una lacuna nel protocollo che un difetto hardware. Se durante la revisione si risolve il problema legato al protocollo senza verificare le interfacce fisiche e il nuovo test viene successivamente eseguito secondo una procedura corretta, qualsiasi microperdita residua produrrà la stessa emissione — questa volta in condizioni migliori — rendendo più difficile spiegare il successivo fallimento.
Modifica della procedura contro riprogettazione dell'interfaccia
La scelta tra una correzione procedurale e una riprogettazione dell’interfaccia non è una decisione legata alle risorse; è una decisione che riguarda la causa alla radice. L’implementazione di una modifica procedurale, quando la fonte dell’emissione è un’interfaccia fisica, produce un risultato che potrebbe superare i test in condizioni controllate, pur rimanendo vulnerabile alle normali variazioni operative. La distinzione è importante perché una correzione procedurale dipende dall’esecuzione coerente da parte dell’operatore in ogni ciclo successivo, mentre una modifica dell’interfaccia elimina il meccanismo di errore indipendentemente dalle prestazioni dell’operatore.
Il fattore che determina quale approccio sia più appropriato è se la fonte della perdita dipenda dall’operatore o sia di natura fisica. Se l’analisi del guasto indica come causa la tecnica di trasferimento, la sequenza di utilizzo della camera di compensazione o il metodo di campionamento, una correzione procedurale è più rapida da attuare e può effettivamente risolvere la causa alla radice. Se l’analisi del guasto indica come causa un giunto di tenuta, un collegamento dell’alloggiamento del filtro, un interfaccia della porta di trasferimento, o qualsiasi altro limite meccanico, una soluzione procedurale potrebbe ridurre l'emissione, ma è improbabile che la elimini del tutto.
| Approccio | Quando opportuno | Considerazione |
|---|---|---|
| Correzione procedurale | Gli errori derivano da fasi che dipendono dall'operatore, dalle sequenze operative, dal protocollo relativo alla camera di compensazione o dal metodo di campionamento | Più veloce da implementare; potrebbe non eliminare la causa principale in caso di perdite nell'interfaccia fisica |
| Riprogettazione dell'interfaccia | Le perdite hanno origine nelle interfacce delle apparecchiature, nelle guarnizioni, nelle porte di trasferimento o negli alloggiamenti dei filtri | Soluzioni più efficaci nel lungo termine; tra le misure tipiche figurano i sistemi di trasferimento chiusi, i filtri con sostituzione sicura e una progettazione migliorata degli isolatori, anziché fare affidamento su DPI pesanti |
A questo proposito è utile citare un caso concreto tratto dagli impianti di produzione di forme farmaceutiche solide orali dell’HPAPI: laddove le valutazioni dei rischi condotte con il supporto dello SMEPAC hanno individuato perdite in specifiche interfacce delle apparecchiature, la risposta ha dato priorità alle misure ingegneristiche—sistemi di trasferimento chiusi, sistemi di filtraggio per la sostituzione in sicurezza, interfacce degli isolatori riprogettate — anziché fare affidamento su requisiti aggiuntivi in materia di DPI. La logica è semplice: l’uso di DPI pesanti sposta il controllo dell’esposizione sull’operatore anziché eliminare il meccanismo di esposizione stesso. L’adeguatezza di tale scelta prioritaria per un progetto specifico dipende dall’esito della valutazione dei rischi relativa a quel processo, ma riflette una solida gerarchia ingegneristica difficile da contestare quando i dati sul contenimento indicano un punto di perdita fisica.
C’è inoltre una considerazione più specifica per quanto riguarda il test statico di tenuta. Se una macchina non supera il test di tenuta giornaliero per un margine di pressione minimo ma produce risultati SMEPAC accettabili, la raccomandazione del produttore è che i parametri del ciclo automatico di test di tenuta e i criteri di accettazione possano essere oggetto di ottimizzazione — non che il sistema di contenimento sia compromesso. Considerare una deviazione marginale nell’autotest come un guasto che comporta l’esclusione, senza esaminare ciò che essa effettivamente indica riguardo alle prestazioni SMEPAC, può causare tempi di inattività non necessari. Si tratta di una decisione a livello di produttore che dovrebbe essere presa di concerto con il fornitore, e non si deve presumere che rientri nell’autorità dell’utente modificarla unilateralmente.
Responsabilità dei fornitori e degli utenti in caso di risultati insoddisfacenti
Prima di assegnare un’azione correttiva, i team devono determinare a chi spetta la responsabilità di quale parte del guasto — ed è proprio qui che il processo di ripristino si blocca sistematicamente. Il risultato del test statico di tenuta dipende principalmente dalla progettazione e dalla costruzione: integrità delle guarnizioni, qualità delle saldature, progettazione delle interfacce meccaniche e scelte strutturali effettuate dal fornitore dell’apparecchiatura. Il risultato SMEPAC dipende principalmente dal modo in cui la macchina viene utilizzata: tecnica dell’operatore, esecuzione del trasferimento, rispetto delle procedure e condizioni ambientali durante il test. Questa distinzione costituisce un utile approccio euristico per la risoluzione dei problemi, non un’attribuzione fissa delle responsabilità. Alcuni guasti si collocano effettivamente al confine tra le due categorie, mentre alcuni guasti hardware si manifestano solo in specifiche condizioni operative.
| Area di responsabilità | Fonte di guasto associata | Aspetto del test | Cosa confermare |
|---|---|---|---|
| Progettazione del fornitore | Aspetti costruttivi (tenuta della struttura, progettazione delle guarnizioni, interfacce meccaniche) | Prova di tenuta statica | Specifiche progettuali, qualità costruttiva, saldature e integrità delle guarnizioni |
| Funzionamento da parte dell'utente | Utilizzo delle macchine, tecnica dell’operatore, esecuzione del trasferimento dei materiali | Monitoraggio SMEPAC | Documentazione relativa alla formazione degli operatori, rispetto delle procedure, condizioni ambientali durante i test |
| Ipotesi relative al protocollo/alle specifiche | Requisiti ambigui come “vano portaoggetti OEB5” senza allineamento delle fasce | Entrambe le prove | Chiarire il sistema di classificazione dell’OEB; specificare le prestazioni di contenimento esatte necessarie per evitare discrepanze |
Un rischio che si presenta in fase di appalto e che in seguito crea confusione in materia di responsabilità consiste nello specificare le prestazioni di contenimento in base alla fascia di esposizione professionale senza definire quale sistema di classificazione in fasce sia applicabile. I sistemi di classificazione in fasce variano notevolmente da un’azienda all’altra — sono in uso sistemi a quattro, cinque e sei livelli — pertanto una specifica che richieda un “Vano portaoggetti OEB5” non ha un unico significato tecnico. Se il fornitore progetta sulla base di una determinata interpretazione delle fasce e l’utente o il suo tossicologo si basano su un’altra, le prestazioni di contenimento per cui il sistema è stato realizzato potrebbero non corrispondere a quelle che il protocollo SMEPAC è stato concepito per verificare. Questa discrepanza può determinare un esito negativo del test di cui nessuna delle due parti si assume la piena responsabilità, poiché la specifica era ambigua fin dall’inizio. L’azione correttiva in questo caso non riguarda l’hardware o la procedura, ma consiste nell’allineamento dell’obiettivo numerico di esposizione verso cui entrambe le parti stanno lavorando, espresso in termini assoluti indipendenti da qualsiasi convenzione di classificazione specifica dell’azienda.
Specificare il contenimento tramite Livello OEB La mancata definizione del sistema di classificazione crea una lacuna nella verifica che nessuna modifica hardware né alcun aggiornamento delle procedure può colmare.
Quando un risultato fallito si colloca al confine tra la responsabilità del fornitore e quella dell’utente, l’approccio pratico consiste nel verificare separatamente il contributo di ciascuna parte prima di trarre conclusioni. Ciò significa verificare che l’apparecchiatura sia stata consegnata e installata in conformità con le specifiche di progettazione, che eventuali modifiche apportate sul campo siano documentate e che sia possibile confermare la formazione degli operatori e il rispetto delle procedure relative al ciclo fallito. Una revisione delle responsabilità che tralasci una delle due parti perché il modello di guasto sembra favorire una sola spiegazione tende a produrre un’azione correttiva incompleta.
Verifica della prontezza al nuovo test dopo l'azione correttiva
L'autorizzazione a ripetere il test rappresenta un punto decisionale, non una fase di pianificazione. È necessario comprendere le condizioni in cui il test originale ha dato esito negativo; l'azione correttiva deve affrontare la causa principale individuata piuttosto che limitarsi a risolvere il sintomo; inoltre, le condizioni di ripetizione del test devono essere dimostrabilmente comparabili al protocollo originale, in modo che il nuovo risultato costituisca un confronto valido.
La sequenza di preparazione fisica prima di qualsiasi nuova prova dovrebbe iniziare con le perdite macroscopiche: serrare le flange e i raccordi ai valori di coppia specificati e verificare che non permangano perdite evidenti. Questa fase è fondamentale e dovrebbe essere documentata con i valori di coppia e i verbali delle ispezioni visive prima di dare inizio alla ricerca delle microperdite, più delicata. La ricerca delle microperdite copre quindi tutti i potenziali punti di penetrazione — raccordi, guarnizioni, valvole, porte di strumentazione — utilizzando metodi di rilevamento delle perdite adeguati al sistema. Questa sequenza riflette la prassi sul campo in qualificazione degli isolatori; considerarla una scorciatoia per ripetere il test piuttosto che un prerequisito tende a portare a un risultato negativo del test di verifica per lo stesso motivo del test originale.
| Fase di preparazione | Cosa verificare | Prove necessarie |
|---|---|---|
| Correggere le perdite su larga scala | Serrare le flange e i raccordi con chiavi dinamometriche | Valori di coppia, ispezione visiva, assenza di perdite evidenti |
| Ricerca di microperdite | Controllo delle perdite in tutti i potenziali punti di penetrazione (raccordi, guarnizioni, valvole, punti di misurazione) | Dati relativi alle prove di tenuta, registro delle microperdite rilevate |
| Documentare le azioni correttive | Annotare cosa è stato modificato e perché; verificare che ciò risolva la causa principale individuata | Registro di controllo delle modifiche, aggiornamento tecnico o procedurale |
| Mantenere le condizioni di confronto | Assicurarsi che la configurazione del test, il surrogato, il flusso d’aria e l’operatore rimangano invariati rispetto al protocollo originale | Conferma del protocollo, dichiarazione dell'operatore, registro ambientale |
| Verifica nelle fasi del processo | Valutazione completa dei rischi per ciascuna fase in cui è possibile un’esposizione in condizioni reali | Documento di valutazione dei rischi, risultati della verifica dell'esposizione |
Il criterio di idoneità alla ripetizione del test più comunemente trascurato è il mantenimento delle condizioni di confronto. Se il surrogato, le impostazioni del flusso d’aria, la sequenza delle operazioni, l’operatore o il metodo di campionamento sono cambiati tra l’esecuzione originale e la ripetizione del test, i risultati non sono direttamente comparabili. Un risultato positivo ottenuto in condizioni modificate non dimostra che l’azione correttiva abbia risolto il problema originario; dimostra invece che le nuove condizioni hanno prodotto un risultato accettabile. Questa distinzione è importante durante gli audit e le ispezioni normative, in cui i revisori possono verificare se il nuovo test sia stato progettato per confermare una correzione o per ottenere un risultato positivo.
In linea con le aspettative in materia di gestione della qualità basata sul rischio, coerenti con quadri di riferimento quali Allegato 15 di EudraLex e ICH Q9(R1), l’azione correttiva deve essere documentata nella procedura di controllo delle modifiche prima di procedere alla ripetizione del test, e il protocollo di ripetizione del test deve fare riferimento sia all’individuazione della causa principale sia all’azione correttiva adottata. Laddove il processo reale comporti più fasi a rischio di esposizione — e non solo quella in cui è stato rilevato il guasto originale — la verifica della preparazione alla ripetizione del test deve confermare che l’azione correttiva copra l’intero percorso del processo, non solo l’attività che ha generato l’emissione durante l’esecuzione del test.
Un risultato negativo del test SMEPAC dà luogo a una sequenza decisionale, non a un programma di ripetizione del test. La sequenza si svolge nel seguente ordine: determinare se il fallimento sia imputabile all’apparecchiatura, all’operatore, al protocollo o alle specifiche; attribuire la responsabilità con sufficiente precisione da orientare l’azione correttiva; attuare una modifica che affronti la causa fisica o procedurale piuttosto che il risultato del test; e documentare il tutto in modo tale che la ripetizione del test possa fungere da vero e proprio confronto, anziché da un secondo tentativo in condizioni meno rigorose.
Il rischio più ricorrente in tutte e cinque le fasi è quello di procedere troppo rapidamente. I team che tralasciano il controllo di transizione dal laboratorio alla produzione, non individuano le fonti di microperdite nei punti di penetrazione della strumentazione, confondono i risultati delle prove di tenuta statiche con le conclusioni dello SMEPAC o dispongono una nuova prova prima che le condizioni di confronto siano state definite, tendono a ottenere un risultato positivo che non riflette le prestazioni di contenimento a lungo termine. Prima di ripetere il test, la domanda rilevante non è se l’apparecchiatura sia pronta per funzionare, bensì se il team sia in grado di indicare, in modo specifico e per iscritto, cosa sia cambiato e perché tale cambiamento impedisca il ripetersi dello stesso risultato.
Domande frequenti
D: Cosa succede se il nostro team non dispone delle competenze interne necessarie per eseguire un’analisi strutturata delle cause alla radice a seguito di un guasto del SMEPAC?
A: Rivolgersi immediatamente al fornitore delle apparecchiature o a uno specialista esterno qualificato in materia di contenimento. La procedura di indagine descritta nell’articolo si basa sull’interpretazione tecnica dei dati dei test di tenuta, sull’ispezione delle microperdite e sulla valutazione delle responsabilità, attività che potrebbero andare oltre le competenze interne. Ritardare il coinvolgimento di esperti nel tentativo di effettuare nuovi test per tentativi ed errori può aggravare l’impatto sul budget e creare una traccia di audit più difficile da spiegare rispetto a un singolo evento di guasto.
D: Dopo un'esecuzione fallita di SMEPAC, qual è la prima cosa da fare prima di qualsiasi riunione di gruppo?
A: Conservare lo stato attuale della configurazione di prova e dei dati. Bloccare la configurazione delle apparecchiature, conservare tutti i campioni sostitutivi e i supporti di campionamento, mettere al sicuro i registri degli operatori e impedire qualsiasi modifica fisica all’hardware. L’articolo delinea il percorso investigativo, ma il prerequisito immediato è impedire alterazioni che potrebbero oscurare la causa principale. Una volta conservate le prove, è possibile avviare la revisione strutturata sulla base di una documentazione fattuale affidabile.
D: A che punto un risultato negativo dello SMEPAC indica che è il progetto stesso delle apparecchiature di contenimento a essere inadeguato, piuttosto che un problema legato alle procedure o all’operatore?
A: Quando il guasto si ripresenta con più operatori indipendenti che seguono un protocollo verificato e non viene individuata alcuna fonte di microperdita dopo un’ispezione fisica approfondita. L’articolo sottolinea che i guasti hardware possono manifestarsi solo in specifiche condizioni operative, pertanto si sospetta un’inadeguatezza progettuale solo dopo aver sistematicamente eliminato le lacune nel protocollo, la variabilità operatoria e le perdite dovute a problemi di integrità fisica. Se le emissioni persistono nonostante tali eliminazioni e l’apparecchiatura supera i controlli statici di tenuta, è possibile che l’interfaccia o la progettazione del sistema siano fondamentalmente inadeguate al processo.
D: Come si possono confrontare i costi e i rischi a lungo termine di una soluzione procedurale rispetto a una riprogettazione dell'interfaccia a seguito di un guasto del SMEPAC?
A: Una soluzione procedurale ha un costo iniziale inferiore, ma trasferisce il rischio di contenimento continuo alla coerenza dell’operatore, mentre una riprogettazione dell’interfaccia elimina il pericolo alla fonte e si rivela in genere più conveniente nel corso del ciclo di vita dell’apparecchiatura. La gerarchia ingegneristica dell’articolo privilegia le soluzioni hardware, ma il compromesso finanziario non viene illustrato. Occorre considerare il costo dei ripetuti test di verifica, le potenziali perdite di lotti, i costi generali di formazione degli operatori e il controllo normativo: una soluzione puramente procedurale può superare un singolo test di verifica, ma diventa costosa da mantenere a fronte delle reali variabilità della produzione.
D: Se il guasto al nostro SMEPAC è stato di entità marginale e il test di tenuta statico ha dato esito positivo, vale davvero la pena dedicare tempo e risorse a un’indagine approfondita sulle cause alla radice?
R: Sì, perché un guasto marginale rivela comunque una variabile non controllata che persisterà finché non ne verrà compresa la causa. Un nuovo test che dia esito positivo in condizioni identiche senza alcuna spiegazione contribuisce a creare una documentazione di conformità secondo cui il sistema di contenimento è inaffidabile in modo incostante. L’articolo dimostra che i dati relativi alle perdite statiche e quelli SMEPAC non sono sempre correlati, quindi ignorare una piccola deviazione lascia irrisolta la causa principale. Documentare la causa del risultato marginale è di gran lunga meno costoso che dover giustificare un guasto passato inspiegabile durante una revisione normativa.
