Transport proszku w warunkach wysokiego poziomu bezpieczeństwa: zawory dzielone, RTP oraz punkty ryzyka związane z systemem „Bag-In-Bag-Out”

Awarie związane z transportem proszku rzadko ujawniają się podczas pracy w stanie ustalonym. Do nieszczelności dochodzi zazwyczaj w momencie rozdzielenia połówek zaworu dzielonego, pęknięcia portu alfa w systemie RTP lub wyciągnięcia wkładki worka z doku — są to etapy, których fabryczne testy mogły nigdy nie ocenić w warunkach reprezentatywnych. Zanim naruszenie szczelności zostanie potwierdzone w ramach monitoringu higieny przemysłowej, przyczynę często przypisuje się koncepcji transportu, która została zatwierdzona, zanim ktokolwiek zdefiniował możliwy do przetestowania środek kontroli dla etapu odłączenia o najwyższym ryzyku. Poniżej przedstawiono ustrukturyzowaną analizę obszarów, w których koncentruje się ryzyko uwolnienia w interfejsach zaworów rozdzielających, RTP i BIBO, oraz tego, co zespoły muszą potwierdzić, zanim dział zaopatrzenia zatwierdzi daną koncepcję.

Czynności związane z podłączeniem i odłączeniem, które zwiększają ryzyko związane z wydaniem

Skuteczność zabezpieczeń przy stałym przepływie i skuteczność zabezpieczeń w fazie odłączenia to odrębne zagadnienia, a traktowanie pierwszego z nich jako dowodu na drugie stanowi powtarzający się błąd projektowy. System transferowy może zapewniać dopuszczalne stężenia w powietrzu przez cały cykl napełniania, a mimo to w momencie przerwania połączenia uwolnić mierzalną chmurę proszku — ponieważ największym zagrożeniem nie jest sam przepływ, lecz przejście ze stanu szczelnego do otwartego.

Kolejność czynności ma większe znaczenie niż jakikolwiek pojedynczy element. Podłączenie, uruchomienie przepływu, zatrzymanie przepływu, odłączenie, obsługa wkładki oraz usuwanie odpadów stanowią odrębne punkty ryzyka wycieku, z których każdy charakteryzuje się własnym trybem awarii. Sprawdzanie wyłącznie fazy napełniania sprawia, że etapy odłączenia i usuwania wkładki pozostają bez przetestowanej kontroli, a właśnie w tych momentach technika operatora staje się de facto barierą zabezpieczającą. Gdy barierą jest technika, powtarzalność procesów ulega załamaniu w zależności od zmiany, operatora i długości kampanii.

Kilka podejść projektowych charakterystycznych dla poszczególnych producentów dotyczy konkretnych etapów tej sekwencji. Każde z tych podejść ma swój własny profil zależności od operatora oraz zestaw ograniczeń.

Są to cechy konstrukcyjne związane z konkretnymi systemami, a nie uniwersalne wymagania. Na przykład rozwiązanie Ezi-Dock opiera się na integralności worka pośredniego oraz prawidłowym wykonaniu sekwencji odłączania – jeśli sekwencja ta zostanie przerwana lub worek ulegnie uszkodzeniu podczas transportu, traci się korzyść wynikającą z zabezpieczenia. Zewnętrzna osłona EZ BioPac zmniejsza ryzyko zanieczyszczenia powierzchni podczas obsługi, jednak technika składania osłony nadal zależy od operatora, a skuteczność tej ochrony zależy od spójności szkoleń. Nadmuchiwane uszczelnienie TLI firmy Russell Finex osiągnęło opublikowaną wartość poniżej 1 µg/m³ w warunkach testowych; wartość ta odzwierciedla deklarację dostawcy dotyczącą wydajności przy określonym obciążeniu i geometrii, a nie powszechnie osiągalny próg lub limit regulacyjny. Cechą wspólną tych konstrukcji jest konkretne rozwiązanie inżynieryjne dla określonego etapu ryzyka uwolnienia — i to właśnie jest istotne kryterium planowania: dla każdego etapu sekwencji transferu należy zidentyfikować punkt ryzyka oraz potwierdzić, na czym polega kontrola i czy można ją przetestować.

Zawór rozdzielający, interfejsy RTP i BIBO w jednej mapie transferu

Uwzględnienie wszystkich trzech typów interfejsów w jednej trasie transferu przed rozpoczęciem projektowania szczegółowego pozwala zidentyfikować ograniczenia integracyjne, których nie ujawniają specyfikacje poszczególnych urządzeń. Zawór rozdzielający, urządzenie RTP oraz moduł BIBO zapewniają hermetyczność za pomocą różnych mechanizmów fizycznych — odpowiednio: połączenia mechanicznego, sprzężenia portów alfa-beta oraz przesuwania wkładki typu „bag-through-bag” — a każdy z nich powoduje inny rodzaj awarii w interakcji z otaczającymi urządzeniami lub warunkami procesowymi.

Jednym z ograniczeń integracyjnych, które często umyka uwadze podczas przeglądów inżynieryjnych, jest przenoszenie obciążeń mechanicznych. Gdy dwuczęściowy zawór motylkowy jest połączony z wibrującym zespołem sitowym, sztywne zamocowanie bez izolacji antywibracyjnej powoduje dynamiczne obciążenie korpusu zaworu, co z czasem może wpłynąć na szczelność uszczelnienia i spowodować powstawanie nieszczelności. Wymóg zastosowania elastycznego łącznika, który rozwiązuje ten problem, nie jest specyfikacją normatywną; jest to punkt kontroli podczas przeglądu projektowego, który powinien pojawić się w dokumencie kontroli interfejsów przed ostatecznym zatwierdzeniem układu urządzeń. Jeśli łącznik zostanie określony zbyt późno, zazwyczaj staje się to modernizacją w terenie, która powoduje powstanie dodatkowych, niekontrolowanych połączeń i zmienia profil czyszczalności zespołu.

Interfejsy RTP wprowadzają nowy wymiar planowania: port alfa stanowi stały element wyposażenia obiektu, natomiast nośnik portu beta jest materiałem eksploatacyjnym lub elementem przeznaczonym do konkretnej kampanii. Stan fizyczny powierzchni uszczelniającej portu alfa — zużycie, zanieczyszczenie, uszkodzenia powierzchni — decyduje o tym, czy połączenie zapewnia wymagany poziom szczelności. Stan ten trudno jest sprawdzić bez przerywania szczelności, a dostęp konserwacyjny do portu alfa jest ograniczony przez ścianę izolatora lub obudowę przelotową, w której jest on zamontowany. Jeśli częstotliwość konserwacji powierzchni uszczelniającej portu alfa nie zostanie określona w specyfikacji URS i potwierdzona w protokole FAT, gotowość tego elementu do kontroli będzie niepewna już od pierwszego cyklu kwalifikacyjnego.

Interfejsy BIBO wprowadzają etap postępowej wymiany wkładki, który ma charakter sekwencyjny i jest realizowany w tempie wyznaczanym przez operatora — integralność każdego etapu zależy od prawidłowego zakończenia poprzedniego etapu przed rozpoczęciem kolejnego. Schemat transferu przedstawiający BIBO jako pojedynczy etap jest niekompletny z punktu widzenia oceny ryzyka; schemat ten musi traktować każdą operację związaną z wkładką jako odrębne zdarzenie z własnym mechanizmem kontroli oraz, w stosownych przypadkach, własnym punktem kontrolnym. Dla zespołów szczegółowo oceniających strategie wymiany filtrów BIBO, Ocena ryzyka związanego z wymianą filtrów BIBO: Jak zdecydować, kiedy ograniczenie jest obowiązkowe? stanowi ustrukturyzowane ramy dla podjęcia tej decyzji.

Dowody dotyczące emisji przy stałym przepływie a dowody dotyczące emisji po zakończeniu transferu

Opublikowane dane dotyczące skuteczności zabezpieczeń w przypadku zaworów rozdzielających i elastycznych systemów zabezpieczających stanowią przydatne dane wejściowe do oceny ryzyka, jednak opisują one zachowanie systemu w kontrolowanych warunkach testowych przy stałym przepływie. To, czego dane te nie opisują — i czego testy oparte na metodzie SMEPAC mogą nie uchwycić, o ile protokół nie zostanie specjalnie do tego celu opracowany — to profil emisji w momencie zakończenia transferu: zamknięcia zaworu, pęknięcia przyłącza oraz odłączenia worka.

Wartość 0,1 µg/m³ podana przez ChargePoint PharmaSafe oraz wartość poniżej 1 µg/m³ podana przez Rheo Flexibles to deklaracje wydajności dostawców opracowane zgodnie z wytycznymi ISPE SMEPAC dla odpowiednich konfiguracji ich systemów. Żadna z tych wartości nie stanowi progu regulacyjnego i żadna z nich nie powinna być traktowana jako z góry ustalone kryterium akceptacji dla innego systemu, proszku lub geometrii transferu. Zgodnie z ICH Q9(R1), dane te stanowią dane wejściowe do oszacowania ryzyka — pomagają w identyfikacji zagrożeń i przypisywaniu wag prawdopodobieństwa — ale nie zastępują oceny ryzyka dla konkretnego miejsca pracy, powiązanej z dopuszczalnym poziomem narażenia (OEL) danego związku chemicznego oraz rzeczywistym przebiegiem procesu przenoszenia.

Różnica między danymi dotyczącymi przepływu stałego a zachowaniem na końcu procesu transferu ma największe znaczenie w przypadku związków o wysokiej sile działania, gdzie pojedyncze przejściowe uwolnienie substancji może spowodować, że skumulowane narażenie operatora przekroczy dopuszczalne limity, zanim zostanie to wykryte przez system monitorowania. Kolejnym aspektem jest usuwanie pozostałości po transferze: wewnętrzne powierzchnie komory zaworu rozdzielającego, powierzchnia przyłącza alfa RTP oraz zewnętrzna powierzchnia wkładu worka zawierają pozostałości proszku po zakończeniu transferu, a sposób postępowania z tymi pozostałościami – oraz to, kto się tym zajmuje – decyduje o tym, czy staną się one źródłem narażenia podczas następnego cyklu przygotowania.

Podział odpowiedzialności za materiały eksploatacyjne, środki czyszczące i nieudane dokowanie

Kwestia odpowiedzialności – czyli to, kto odpowiada za materiały eksploatacyjne, walidację czyszczenia oraz reagowanie na awarie stacji dokującej – rzadko zostaje uregulowana w umowie już na etapie koncepcyjnym, a konsekwencją tego jest to, że nawet w przypadku walidowanego procesu transferu wciąż dochodzi do powtarzających się zdarzeń narażających na ryzyko właśnie na tym etapie, za którego zarządzanie żadna ze stron nie była odpowiedzialna.

Możliwości czyszczenia różnią się w zależności od konstrukcji interfejsu, co w różny sposób wpływa na zakres wymaganych działań walidacyjnych. Objętość komory między dwiema połówkami zaworu motylkowego w zaworze dzielonym można zazwyczaj oczyścić za pomocą sprężonego powietrza, wody, rozpuszczalnika lub pary wodnej, w zależności od konstrukcji — TwinValve jest jednym z przykładów systemu, w którym ta pośrednia objętość została wyraźnie uwzględniona. To, czy którykolwiek z tych środków jest odpowiedni dla danego związku o wysokiej aktywności, należy ustalić indywidualnie dla każdego przypadku w ramach walidacji czyszczenia, a nie opierać się na założeniach wynikających ze specyfikacji urządzenia. Konstrukcja przystosowana do czyszczenia w obiegu zamkniętym (CIP) może wydawać się uproszczeniem czyszczenia, ale przenosi ciężar walidacji — w tym badania odzysku z wymazów oraz limity pozostałości związane z kolejnym produktem — w całości na właściciela sprzętu.

Materiały eksploatacyjne jednorazowego użytku przenoszą na dostawcę inny zakres obowiązków: specyfikację worka, zapewnienie sterylności (jeśli ma to zastosowanie) oraz zgodność wkładki z produktem i geometrią połączenia. Nie przenoszą one jednak odpowiedzialności za reakcję w przypadku niepowodzenia połączenia. Jeśli wkładka worka nie osadzi się prawidłowo lub port beta urządzenia RTP nie połączy się z portem alfa w granicach tolerancji określonych przez zakład, przed rozpoczęciem rutynowego użytkowania musi istnieć protokół dotyczący opanowania sytuacji związanej z nieudanym połączeniem i bezpiecznego przywrócenia pracy. Sytuacje związane z niepowodzeniem połączenia rzadko są uwzględniane w protokołach FAT i prawie nigdy nie są testowane w symulowanych warunkach produkcyjnych. W rezultacie operatorzy improwizują reakcję, gdy sytuacja ta pojawia się po raz pierwszy podczas pracy, co jest najgorszym możliwym momentem na definiowanie procedury ograniczania skutków.

Podział obowiązków powinien zostać udokumentowany na etapie URS i obejmować: określenie, kto jest odpowiedzialny za specyfikację materiałów eksploatacyjnych i ich ponowną kwalifikację, kto odpowiada za walidację czyszczenia każdej powierzchni styku, jaki jest protokół postępowania w przypadku nieprawidłowego działania stacji dokującej oraz która strona ponosi odpowiedzialność za podjęcie działań naprawczych, gdy podczas transferu uzyskany zostanie wynik monitorowania IH wykraczający poza specyfikację. Jeśli te przydziały nie zostaną uwzględnione w URS, nie będą one wchodzić w zakres obowiązków dostawcy i nie zostaną przetestowane podczas kwalifikacji.

Zatwierdzenie koncepcji transferu przed rozpoczęciem zamówienia

Zatwierdzenie koncepcji transferu przed wprowadzeniem sprawdzalnego mechanizmu kontroli na etapie odłączenia obciążonego najwyższym ryzykiem stanowi moment, w którym powstają problemy związane z kwalifikacją na kolejnych etapach procesu, a nie moment ich wykrycia. Zanim problem wyjdzie na jaw — zazwyczaj podczas kwalifikacji operacyjnej (OQ) lub w trakcie pierwszej monitorowanej kampanii produkcyjnej — sprzęt jest już zamontowany, geometria interfejsu zdefiniowana, a każda modernizacja wymaga ponownej walidacji całej sekwencji transferu.

Kryterium planowania jest proste: przed nawiązaniem współpracy z dostawcą należy określić wymagania dotyczące skuteczności zabezpieczeń dla każdego etapu sekwencji transferu, w tym podłączenia, przepływu, zakończenia, odłączenia oraz postępowania z odpadami. Nie oznacza to przeprowadzenia pełnej oceny ryzyka przed wydaniem specyfikacji wymagań użytkowych (URS); oznacza to natomiast, że przegląd koncepcji powinien potwierdzić co najmniej, iż istnieje metodologia testowa dla etapu o najwyższym ryzyku oraz że proponowany projekt systemu można ocenić w oparciu o tę metodologię. Przewodnik ISPE dotyczący dobrych praktyk w ramach programu SMEPAC zapewnia ustrukturyzowane ramy dla organizowania takich ocen, a niektórzy producenci — czego przykładem jest firma Rheo Flexibles — przeprowadzili oparte na SMEPAC testy szczelności w zakresie higieny przemysłowej podczas testów FAT w celu potwierdzenia szczelności procesu transferu przed przekazaniem instalacji. Jest to dobra praktyka inżynierska, a nie powszechny wymóg regulacyjny, a to, czy testy FAT stanowią właściwy etap w sekwencji kwalifikacji, zależy od profilu ryzyka danego związku oraz złożoności systemu transferu.

Wybór między sztywnymi a elastycznymi architekturami zabezpieczeń powinien również zostać rozstrzygnięty na etapie koncepcyjnym, a nie podczas negocjacji dotyczących zamówienia. Sztywne interfejsy z zaworami dzielonymi poprawiają powtarzalność, ponieważ skuteczność zabezpieczenia jest mniej wrażliwa na technikę operatora — geometria zaworu wymusza prawidłowe połączenie. Elastyczne systemy zabezpieczeń sprawdzają się w zróżnicowanych kampaniach i mogą dostosować się do szerszego zakresu geometrii zbiorników, ale przenoszą ciężar zapewnienia bezpieczeństwa na wykonanie czynności przez operatora. Ten kompromis nie sprawia, że systemy elastyczne są mniej akceptowalne; nadaje im on jedynie inny profil ryzyka, który wymaga innych środków kontroli, bardziej intensywnej kwalifikacji operatorów oraz programu szkoleniowego, który można zaprezentować inspektorom w ramach strategii zabezpieczenia. Jeśli program ten nie zostanie zdefiniowany przed zakupem, system elastyczny zostanie zatwierdzony w oparciu o technikę, która może nie być powtarzalna wśród całej grupy operatorów. Dla zespołów wybierających między strategiami sztywnych i elastycznych interfejsów dla zabezpieczeń OEB4/OEB5, Wyjaśnienie portów szybkiego transferu dla izolatorów OEB4/OEB5 szczegółowo opisuje mechanizmy działania interfejsu, które decydują o tym, skąd bierze się powtarzalność w układach sztywnych.

Zatwierdzenie zamówienia powinno być uzależnione od trzech potwierdzonych warunków: koncepcja transferu została szczegółowo opracowana krok po kroku, dla każdego etapu określono środki kontroli ryzyka związanego z odłączeniem, a dla etapu odłączenia o najwyższym ryzyku opracowano metodologię testową, którą można przeprowadzić podczas testów FAT lub SAT. Systemy, które zostały zweryfikowane wyłącznie na podstawie danych dotyczących przetrzymywania przy stałym przepływie, nie powinny być zatwierdzane wyłącznie na tej podstawie w przypadku związków powyżej poziomu OEB3, chyba że etapy odłączenia zostały niezależnie ocenione i stwierdzono, że stanowią mniejsze ryzyko niż faza przepływu — co wymaga dowodów, a nie przypuszczeń.

Najważniejszą decyzją w projekcie dotyczącym transportu proszku nie jest wybór konkretnej technologii zaworów czy interfejsu izolatora — chodzi o to, czy faza odłączania została potraktowana jako odrębny problem inżynieryjny przed złożeniem zamówienia. Dane dotyczące zabezpieczeń przy stałym przepływie, wyniki testów SMEPAC dostawców oraz opublikowane oświadczenia o zgodności z dopuszczalnymi stężeniami w miejscu pracy (OEL) opisują zachowanie systemu w warunkach, które mogą nie odzwierciedlać momentu największego ryzyka narażenia operatora. Zespoły, które unikają modernizacji po kwalifikacji, to te, które przed zakupem definiują możliwe do przetestowania środki kontroli dotyczące podłączania, odłączania i demontażu wykładziny, przypisują w specyfikacji projektowej (URS) odpowiedzialność za czyszczenie i nieprawidłowe podłączenie oraz potwierdzają, że wybrany interfejs – sztywny lub elastyczny – posiada strategię kwalifikacji dostosowaną do jego rzeczywistego profilu ryzyka.

Przed zatwierdzeniem koncepcji transferu należy upewnić się, że zakres kwalifikacji obejmuje emisje występujące pod koniec transferu oraz zachowanie podczas fazy odłączania, że obowiązki związane z materiałami eksploatacyjnymi i czyszczeniem zostały przypisane na mocy umowy, a także że istnieje protokół postępowania w przypadku niepowodzenia dokowania w formie udokumentowanej i podlegającej weryfikacji. Te trzy elementy decydują o tym, czy system, który dobrze sprawdził się podczas testów FAT, będzie również działał niezawodnie w rutynowej eksploatacji podlegającej kontroli inspekcyjnej.

Często zadawane pytania

Pytanie: Uruchomiliśmy już nasz system transferowy o wysokim poziomie bezpieczeństwa bez ustalonego protokołu postępowania w przypadku awarii stacji dokującej. Czy można to rozwiązać z mocą wsteczną?
O: Tak, ale wymaga to przeprowadzenia usystematyzowanej modernizacji. Należy przeprowadzić ocenę ryzyka, która pozwoli określić, które etapy odłączania lub obsługi worków stwarzają największe zagrożenie w przypadku awarii doku. Należy opracować procedurę zabezpieczającą na wypadek scenariusza o najwyższym ryzyku, przećwiczyć ją podczas planowanego okresu konserwacji w warunkach symulowanych oraz zweryfikować jej skuteczność poprzez monitorowanie higieny pracy oparte na zadaniach przed powrotem do rutynowego użytkowania.

Pytanie: Po zatwierdzeniu koncepcji transferu wraz z podlegającymi testom mechanizmami kontroli faz odłączenia, jakie natychmiastowe działania powinien podjąć zespół projektowy?
A: Należy zapoznać się z protokołem testu odbiorczego w fabryce (FAT), aby upewnić się, że obejmuje on realistyczną sekwencję odłączania — zamknięcie zaworu, przerwanie przepływu w porcie oraz usunięcie wkładki — przeprowadzaną w warunkach reprezentatywnych dla pracy z proszkiem. Jeśli protokół obejmuje jedynie test szczelności przy stałym przepływie, należy wynegocjować z dostawcą dodanie testu odłączania przed terminem przeprowadzenia testu FAT, tak aby przed wysyłką dostępne były dowody potwierdzające prawidłowe działanie.

Pytanie: Przy jakim poziomie mocy związku chemicznego postulat zawarty w artykule dotyczący walidacji fazy odłączenia staje się niepodważalny?
O: Zalecenie to ma kluczowe znaczenie w przypadku związków o dużej sile działania (zazwyczaj OEB3 i wyższe), gdzie pojedyncze przejściowe uwolnienie może spowodować, że skumulowana ekspozycja przekroczy dopuszczalne limity, zanim zostanie to wykryte w ramach monitorowania. W przypadku substancji o mniejszej sile działania podejście oparte na ocenie ryzyka zgodnie z wytycznymi ICH Q9(R1) może uzasadniać zmniejszenie rygoru walidacji; pełne badanie rozłączenia SMEPAC można zastąpić dobrze udokumentowanym badaniem zastępczym, jednak zasada identyfikacji i kontroli punktu rozłączenia uwalniania nadal ma zastosowanie.

Pytanie: Jak obiektywnie dokonać wyboru między sztywnym zaworem rozdzielającym a elastycznym systemem transportu w obudowie ochronnej w zakładzie produkującym wiele różnych produktów?
A: Sztywne zawory dzielone zapewniają powtarzalność, ponieważ geometria połączenia mechanicznego gwarantuje skuteczność bariery zabezpieczającej, co sprawia, że doskonale nadają się one do stałych połączeń z zbiornikami oraz do kampanii, w których priorytetem jest ograniczenie zmienności wynikającej z działań operatora. Systemy elastyczne dostosowują się do szerszego zakresu geometrii zbiorników i potrzeb związanych z przełączaniem, jednak niezawodność zabezpieczenia zależy w nich od techniki operatora — dlatego decyzję należy podjąć po ocenie, czy program kwalifikacji i szkolenia operatorów pozwala utrzymać wymaganą technikę podczas wszystkich zmian i kampanii oraz czy uzyskana elastyczność uzasadnia to obciążenie.

Pytanie: Czy koszt formalnych testów szczelności SMEPAC przeprowadzanych w ramach testów FAT jest uzasadniony w przypadku linii transportowej o niewielkiej wydajności, przeznaczonej do transportu jednego produktu, czy też wystarczy zastosować prostsze rozwiązanie?
O: W przypadku linii produkcyjnej wykorzystującej dobrze scharakteryzowany proszek i charakteryzującej się ograniczonym ryzykiem związanym z siłą działania, prostsze badanie zastępcze — takie jak zastosowanie wizualnie wykrywalnego placebo połączone z monitorowaniem cząstek w czasie rzeczywistym podczas odłączania — może zapewnić wystarczającą pewność, że etap o najwyższym ryzyku jest pod kontrolą, pod warunkiem że uzasadnienie tego rozwiązania zostało udokumentowane w ramach oceny ryzyka. Pełne badanie SMEPAC staje się lepszą inwestycją, gdy związek charakteryzuje się wysoką siłą działania, geometria transferu jest nowatorska lub etapu odłączania nie da się wiarygodnie ocenić za pomocą mniej sformalizowanych metod.