Quando il contenimento a pressione negativa incontra la protezione asettica del prodotto

Quando un sistema di barriera opera in depressione per proteggere gli operatori da sostanze pericolose, quello stesso stato di pressione continua a proteggere il prodotto al suo interno dall’ambiente circostante? Le due domande sembrano correlate, ma si basano su principi fisici e prove diverse, e un progetto che risponda solo a una di esse non ha ancora definito completamente la propria strategia di protezione.

I due obiettivi di protezione e i casi in cui possono entrare in conflitto

A barriera a pressione negativa stabilisce una direzione di dispersione: l’aria si sposta dallo spazio circostante verso il volume controllato, in modo che il materiale pericoloso presente all’interno non raggiunga gli operatori né l’ambiente esterno. Questo è un obiettivo di contenimento, che viene soddisfatto quando il flusso d’aria verso l’interno è costante e la direzione di dispersione rimane coerente nelle condizioni definite dal progetto. La protezione asettica del prodotto pone una questione diversa: se l’ambiente immediatamente circostante al prodotto esposto rimanga sufficientemente pulito, indipendentemente dalla direzione delle perdite d’aria rispetto alla stanza. Questi due obiettivi possono condividere una barriera e tuttavia puntare in direzioni diverse. Uno stato di pressione che aspiri in modo affidabile l’aria verso l’interno per proteggere gli operatori non dice di per sé nulla sul fatto che quell’aria in entrata sia essa stessa pulita, né se il modello di flusso d’aria interno alla barriera protegga la zona del prodotto dall’aria che aspira.

Laddove un processo coinvolga materiale che sia al tempo stesso pericoloso per l’operatore e destinato a rimanere sterile, il progetto deve stabilire in che modo una singola barriera, o una combinazione di barriera e camera, soddisfi entrambi gli obiettivi contemporaneamente, anziché dare per scontato che la risoluzione del problema del contenimento risolva automaticamente, come effetto collaterale, anche la protezione del prodotto. Non si tratta di una questione di grado, ma di cosa comporti effettivamente ciascun rapporto di pressione. Una camera in depressione rispetto all’ambiente circostante indica al lettore il rapporto della camera con l’esterno. Non dice nulla, invece, sul rapporto tra l’interno della barriera e la zona di contatto con il prodotto al suo interno, che è il luogo in cui la protezione asettica deve effettivamente essere garantita.

La conseguenza pratica è che una specifica redatta esclusivamente in termini di contenimento, o esclusivamente in termini di asepsi, lascia indefinito l’altro obiettivo. Un acquirente che valuti un sistema di barriera per un processo che presenta sia un profilo di rischio sia un requisito di sterilità dovrebbe aspettarsi che la documentazione di progetto indichi esplicitamente entrambi gli obiettivi e illustri in che modo la progettazione della pressione e del flusso d’aria dell’apparecchiatura risponda a ciascuno di essi, anziché considerare uno come sostitutivo dell’altro.

Definire le zone di pressione all’interno della sala, la barriera, l’interfaccia di trasferimento e lo scarico

Il differenziale di una singola stanza non può descrivere un sistema che deve soddisfare sia gli obiettivi di contenimento che quelli di asepsi, poiché la stanza è solo uno dei numerosi luoghi in cui è necessario definire intenzionalmente un rapporto di pressione. La stanza stabilisce il rapporto tra il confine di contenimento e la struttura circostante. La barriera stabilisce un secondo rapporto: come lo spazio immediatamente circostante il prodotto si rapporta alla stanza in cui si trova, e se tale rapporto supporta sia l’ambiente pulito di cui il prodotto ha bisogno, sia la direzione di contenimento richiesta dal rischio. L’interfaccia di trasferimento costituisce una terza zona, probabilmente quella più spesso trascurata nelle specifiche, poiché il suo comportamento in termini di pressione è rilevante solo nel momento in cui è aperta, una condizione diversa dal comportamento della barriera quando è chiusa. Il percorso di scarico rappresenta la quarta zona: il percorso di scarico HEPA presenta un proprio rapporto di pressione e deve rafforzare la stessa direzione di dispersione stabilita dalla camera e dalla barriera, anziché contrastarla.

Ciascuna di queste quattro zone richiede una propria relazione ben definita e una soluzione specifica per il progetto, poiché un progetto corretto a livello di locale può comunque lasciare indefinita l’interfaccia di trasferimento o il percorso di scarico. Laddove la barriera sia un sistema chiuso con un'attività di trasferimento manuale minima, la questione dell'interfaccia di trasferimento può essere più semplice da risolvere; laddove il processo richieda frequenti spostamenti di materiale dentro e fuori dalla zona controllata, l'interfaccia di trasferimento diventa un punto in cui la direzione di perdita prevista deve essere verificata indipendentemente dal comportamento della stanza e della barriera quando sono sigillate. Un acquirente che valuta le attrezzature dovrebbe aspettarsi che la gerarchia di pressione sia documentata zona per zona, non espressa come un unico numero che si presume descriva l'intero sistema.

Tracciare la direzione delle perdite durante il normale funzionamento e in caso di anomalie attendibili

Conoscere la direzione prevista della perdita quando tutto è chiuso e a riposo è un punto di partenza necessario, ma non equivale a sapere cosa accade quando il sistema è effettivamente in uso. Gli interventi sul guanto modificano il rapporto di pressione locale nel punto di intervento, e tale variazione locale può essere rilevante anche quando lo stato di pressione complessivo della barriera non è cambiato. Un’interfaccia di trasferimento che presenta una pressione correttamente negativa quando è sigillata non fornisce al lettore alcuna indicazione sulla direzione della perdita mentre l’apertura è effettivamente in uso, poiché l’apertura dell’interfaccia modifica il percorso stesso del flusso d’aria, non solo un valore sul manometro.

La stessa logica si applica ai disturbi che non fanno parte del funzionamento di routine: una variazione nel bilancio dell’aria dell’impianto, l’apertura di una porta in un altro punto della stanza o un’interruzione del percorso di scarico possono, ciascuno a sé stante, modificare il rapporto di pressione in modi che i test a sistema chiuso non rivelano. Tracciare il percorso della perdita in ciascuna di queste condizioni separatamente, anziché presumere che un unico stato verificato le copra tutte, è ciò che collega l’intento progettuale della sezione precedente alla realtà operativa che il sistema dovrà affrontare. Laddove il processo preveda interventi sporadici e una strategia di trasferimento a circuito chiuso, il numero di condizioni che richiedono una tracciatura separata è minore; laddove invece gli interventi e i trasferimenti siano parte integrante del flusso di lavoro, il progetto deve tracciare la direzione delle perdite in ciascuna di queste condizioni individualmente, poiché ognuna di esse rappresenta un’occasione distinta in cui la direzione prevista possa invertirsi o indebolirsi.

È proprio qui che si concretizza la distinzione tra rischio di contenimento e rischio di protezione del prodotto. Un evento che minaccia il contenimento e uno che minaccia l’ambiente pulito del prodotto non sono sempre lo stesso evento, e un progetto dovrebbe essere in grado di indicare, per ogni evento credibile, quale obiettivo di protezione sia effettivamente in gioco.

Selezionare i comandi dell'isolatore o del cRABS in base al processo e al rischio

Piattaforme Isolator e cRABS Entrambe utilizzano la separazione a barriere, ma gestiscono in modo diverso il controllo delle perdite, la gestione del flusso d’aria e l’accesso per gli interventi; la scelta tra le due deve quindi derivare dal processo e dal profilo di rischio, piuttosto che da una preferenza generale per un tipo di barriera rispetto all’altro. Un isolatore In genere offre un confinamento più ermetico, con un proprio flusso d’aria interno e una strategia di decontaminazione, che si adatta alle situazioni in cui il processo richiede un elevato grado di separazione tra l’ambiente dell’operatore e la zona controllata, sia per quanto riguarda gli obiettivi di contenimento che quelli di protezione del prodotto. Un sistema cRABS mantiene una relazione più stretta con il sistema di trattamento dell’aria della stanza circostante, il che può semplificare l’integrazione nei casi in cui l’ambiente di fondo della struttura sia già controllato a un livello tale da supportare l’obiettivo di protezione del prodotto; tuttavia, ciò significa anche che le prestazioni della barriera dipendono maggiormente dalla pressione e dal comportamento del flusso d’aria della stanza stessa.

In entrambi i casi, l’uso dei guanti è una variabile di progettazione, non solo un dettaglio operativo: laddove il processo richieda interventi frequenti o prolungati, la scelta deve tenere conto di come porte per guanti influiscono sia sui percorsi di perdita dal contenimento sia sull’ambiente pulito circostante il prodotto durante e dopo ogni intervento. Le aperture di trasferimento sollevano una questione parallela, poiché ogni tipo di barriera gestisce il trasferimento di materiale in modo diverso e la strategia di trasferimento scelta deve supportare la direzione di dispersione richiesta dal rischio, proteggendo al contempo il prodotto da qualsiasi cosa entri attraverso quell’apertura. La strategia di decontaminazione collega questi aspetti: l’approccio di decontaminazione interna di una barriera deve raggiungere le superfici rilevanti per entrambi gli obiettivi, non solo quelle pertinenti a uno di essi.

La decisione sulla scelta dipende anche da come sono disposti l’alimentazione e l’aspirazione HEPA all’interno della barriera, poiché la qualità dell’aria di alimentazione e la sua interazione con il percorso di aspirazione del contenimento determinano congiuntamente se la barriera è in grado di garantire sia la direzione delle perdite che le prestazioni della zona pulita nelle condizioni effettivamente create dal processo. Un team di progetto che si occupa di questa decisione trae vantaggio dal considerare l’isolatore e il cRABS non come opzioni di barriera intercambiabili, ma come diverse distribuzioni di queste stesse variabili, abbinate al processo e al rischio specifici piuttosto che selezionate per impostazione predefinita.

Definire allarmi, stati di sicurezza e azioni dell'operatore in relazione a ciascun guasto

Un allarme che segnala solo una deviazione di pressione non fornisce all’operatore le informazioni necessarie per reagire correttamente, poiché la stessa deviazione può mettere a rischio il contenimento, la protezione del prodotto o entrambi, e la risposta corretta varia a seconda di quale dei due elementi è a rischio. La definizione della risposta all’allarme inizia con l’identificazione dello stato di protezione che la specifica condizione di allarme minaccia effettivamente: una deviazione dell’interfaccia di trasferimento durante un trasferimento aperto può minacciare la direzione di perdita del contenimento senza intaccare la zona del prodotto, mentre un’interruzione del flusso d’aria di barriera durante un intervento può minacciare l’ambiente pulito del prodotto senza causare un guasto al contenimento. Considerare ogni allarme come una generica “escursione di pressione” annulla questa distinzione e può portare a una risposta che affronta il rischio sbagliato, oppure che affronta entrambi i rischi quando ne sarebbe bastato uno solo.

Una volta identificato lo stato di protezione interessato, la risposta deve specificare quale operazione viene interrotta. Si tratta di una decisione specifica per ogni progetto, legata al flusso di lavoro effettivo: un processo con flusso continuo di materiale attraverso un’interfaccia di trasferimento necessita di un punto di arresto definito che non lasci il materiale a metà trasferimento in uno stato di pressione indefinito, mentre un processo a barriera chiusa senza trasferimento attivo può avere una condizione di arresto più semplice. Lo stato di sicurezza non è generico; deve essere definito in base a ciò che l’apparecchiatura e il processo stanno effettivamente facendo al momento dell’allarme.

L’ultimo elemento è la prova di riavvio: ciò che deve essere confermato prima che le operazioni riprendano. Tale prova dovrebbe corrispondere allo stato di protezione che era a rischio, non alla condizione di allarme in generale. Un allarme relativo al contenimento richiede la prova che la direzione della perdita sia stata ripristinata; un allarme relativo alla protezione del prodotto richiede la prova che l’ambiente pulito attorno al prodotto sia stato ristabilito. Laddove entrambi gli stati fossero a rischio, entrambe le forme di prova sono necessarie prima del riavvio, e nessuna delle due può sostituire l’altra. Un acquirente che definisce la filosofia di allarme con un fornitore dovrebbe aspettarsi che questa catena — dallo stato compromesso all’arresto del funzionamento fino alle prove di riavvio — venga elaborata condizione per condizione, anziché essere lasciata come un’unica procedura generica di allarme e ripristino.

Dimostrare sia la protezione del prodotto che il contenimento prima del rilascio

Le prove relative al rilascio devono essere raccolte da fonti distinte, ciascuna delle quali a sostegno di una specifica affermazione e nessuna delle quali sostitutiva delle altre. Il monitoraggio critico della pressione, i registri e gli allarmi, ovvero il tipo di prove a cui si fa riferimento in GMP UE Allegato 1 per la produzione sterile, dimostrare che sono state monitorate le differenze di pressione definite e che le anomalie sono state risolte man mano che si verificavano; tali prove non dimostrano di per sé le prestazioni relative a ogni percorso di perdita, apertura di trasferimento e intervento che il sistema dovrà affrontare, poiché i registri di monitoraggio riportano ciò che è accaduto nelle condizioni monitorate, non in ogni condizione che il processo potrà generare. Il L'approccio del BMBL in merito al flusso d'aria in entrata costante e al monitoraggio degli accessi per le attività di livello BSL-3 riflette una logica parallela dal punto di vista del contenimento: i dati disponibili hanno valore indicativo e sono specifici alle condizioni valutate, e non stabiliscono uno standard numerico universale di pressione applicabile indipendentemente dalle circostanze del progetto.

La prova di tenuta della barriera evidenzia le condizioni di tenuta della barriera sottoposta a prova, costituendo una prova pertinente ai requisiti relativi ai dispositivi di separazione descritti in ISO 14644-7, ma il risultato di una prova di tenuta non garantisce automaticamente la protezione asettica o le prestazioni di contenimento in tutte le condizioni operative che la barriera dovrà affrontare durante l'uso. Prove di integrità dei sistemi di mandata e di scarico con filtri HEPA dimostra lo stato di funzionamento verificato di quei specifici percorsi di filtrazione; di per sé, tuttavia, non conferma la direzione di perdita prevista in ogni zona di pressione e interfaccia presente nel sistema. Le prove relative al ciclo di decontaminazione riguardano la strategia e il ciclo di decontaminazione specifici utilizzati; non si riferiscono al controllo della pressione, alla direzione di perdita o alla protezione dell’operatore, aspetti che sono regolati da meccanismi completamente diversi.

Le prove relative alla protezione del prodotto e quelle relative alla protezione degli operatori sono anch’esse distinte l’una dall’altra: le prove relative all’ambiente pulito controllato attorno al prodotto esposto non dimostrano il contenimento del materiale pericoloso, mentre le prove relative al contenimento per gli operatori e l’ambiente circostante non dimostrano la protezione asettica del prodotto. Laddove un progetto richieda entrambi gli obiettivi da parte della stessa apparecchiatura, la documentazione di rilascio dovrebbe mantenere separati ed espliciti questi tipi di prove, anziché lasciare che l’uno sostituisca l’altro. Questo è il tipo di informazione di progetto che viene inserita in una revisione della configurazione o del preventivo con Qualia: indicare entrambi gli obiettivi, le condizioni di processo che ne stanno alla base e le prove già disponibili permette alla discussione sulla configurazione di concentrarsi su ciò che deve ancora essere stabilito, anziché presumere che un unico risultato di prova copra entrambe le richieste di protezione. Laddove le questioni aperte riguardino specificamente la selezione delle barriere e la progettazione dell’interfaccia di trasferimento, tali decisioni sono direttamente collegate alla piattaforma isolante o cRABS scelta e al modo in cui le sue porte per i guanti, le aperture di trasferimento e il percorso di scarico sono configurati per la consegna e la manutenzione continua.

Domande frequenti

Q: Un sistema a pressione negativa può proteggere anche un prodotto asettico esposto?
A: Sì, a condizione che il progetto garantisca un ambiente pulito e controllato attorno al prodotto esposto, convogliando al contempo eventuali perdite verso l’interno, in corrispondenza del confine di contenimento. È necessario definire i rapporti di pressione tra la camera, la barriera, l’interfaccia di trasferimento e il percorso di scarico, anziché considerare il differenziale di pressione in una singola camera come prova del raggiungimento di entrambi gli obiettivi.

Q: Cosa occorre definire prima di confrontare un isolatore con un cRABS?
A: Definire il processo e il rischio, le condizioni di esposizione del prodotto, gli interventi previsti sui guanti e le aperture di trasferimento, la direzione di dispersione richiesta in ciascuna condizione, i percorsi di alimentazione e scarico HEPA e la strategia di decontaminazione. Questi elementi del progetto indicano quali controlli di barriera devono proteggere il prodotto e quali devono contenere il materiale pericoloso.

Q: Un controllo della pressione a sistema chiuso copre una fase di trasferimento a sistema aperto?
A: No. I dati relativi al funzionamento a circuito chiuso non consentono di stabilire la direzione della perdita mentre è in uso un’apertura di trasferimento. Per ogni fase di trasferimento, tracciare il percorso previsto tra la stanza, la barriera, l’interfaccia aperta e lo scarico, quindi identificare quale obiettivo di protezione sarebbe a rischio se tale percorso dovesse cambiare.

Q: Cosa devono sapere gli operatori quando scatta un allarme di pressione o di flusso d'aria?
A: La risposta dovrebbe indicare se siano a rischio la protezione del prodotto, il contenimento o entrambi, quale operazione debba essere interrotta e lo stato di sicurezza specifico del progetto da raggiungere. Dovrebbe inoltre specificare le prove necessarie per dimostrare che lo stato di protezione compromesso sia stato ripristinato prima della ripresa dei lavori.

Q: È possibile che un unico risultato di qualificazione dimostri sia la protezione asettica che il contenimento?
A: Nessun singolo controllo deve essere considerato come prova del raggiungimento di entrambi gli obiettivi. Esaminare i registri relativi alla pressione e agli allarmi, i test di tenuta delle barriere, l’integrità dei filtri HEPA di mandata e di scarico, le prove relative al ciclo di decontaminazione, le prove relative alla protezione del prodotto e quelle relative alla protezione dell’operatore, in base all’affermazione che ciascun controllo effettivamente sostiene.