Kwalifikacja operacyjna systemów VHP, BIBO, Pass Box i APR Door: funkcje wymagające potwierdzenia

Gdy usterki logiki blokad lub alarmów pozostają niewykryte podczas kwalifikacji operacyjnej (OQ), zazwyczaj ujawniają się w sytuacjach trudnych do opanowania: sekwencja działania drzwi zawodzi w trakcie transferu, obudowa filtra otwiera się bez potwierdzenia zneutralizowania ciśnienia lub cykl VHP przechodzi do kolejnego etapu pomimo usterki czujnika. Żadna z tych awarii nie ujawnia się podczas testów w normalnym trybie pracy, ponieważ testy te nigdy nie wywołują warunków, które by je ujawniły. Praktycznym kosztem jest nie tylko ryzyko naruszenia szczelności – oznacza to również konieczność częściowego wznowienia programu kwalifikacyjnego, przepisania scenariuszy oraz zaplanowania ponownych testów w ramach napiętego harmonogramu uruchomienia. Czynnikiem decydującym o tym, czy dowody z kwalifikacji operacyjnej (OQ) są uzasadnione, a nie tylko spełniają wymogi formalne, ale nie przekonują inspektorów, jest to, czy każda funkcja krytyczna została poddana testom w określonych warunkach nietypowych, a nie tylko obserwowana podczas rutynowych cykli pracy.

Funkcje operacyjne wymagające potwierdzenia

Przed napisaniem jakiegokolwiek skryptu testowego należy na podstawie analizy ryzyka określić zakres testów. Jednym ze ustrukturyzowanych podejść jest ocena każdej funkcji operacyjnej pod kątem konsekwencji i prawdopodobieństwa, a następnie nadanie priorytetu tym, które przekraczają określony próg wymagający testów obciążeniowych — pozostawiając funkcje o niższym ryzyku do kontroli w ramach normalnej eksploatacji. Niezależnie od tego, czy stosuje się numeryczny wskaźnik priorytetu ryzyka, istotna jest sama dyscyplina: jeśli awaria funkcji mogłaby spowodować niekontrolowaną ekspozycję, niewykryte przerwanie cyklu lub naruszenie granicy ciśnieniowej, dowody z kwalifikacji operacyjnej (OQ) dla tej funkcji muszą wykazać coś więcej niż tylko pomyślne przeprowadzenie testu nominalnego.

Filozofią leżącą u podstaw solidnego projektowania kwalifikacji operacyjnej (OQ) jest wykrycie trybów awarii w kontrolowanych warunkach, zanim warunki te wystąpią podczas eksploatacji. Oznacza to testowanie zachowania urządzenia po wznowieniu pracy po przerwaniu cyklu, weryfikację powtarzalności w wielu przebiegach zamiast akceptowania pojedynczego pomyślnego przebiegu oraz potwierdzenie, że warunki graniczne — wartości maksymalne i minimalne w określonych zakresach roboczych — powodują oczekiwaną reakcję. W przypadku systemów VHP, BIBO, komór transferowych i systemów drzwi APR funkcje, których ciche awarie zazwyczaj niosą ze sobą najpoważniejsze konsekwencje, obejmują przejścia między fazami cyklu, sekwencjonowanie dostępu do drzwi, monitorowanie różnicy ciśnień w filtrach oraz ścieżki komunikacji między systemem alarmowym a systemem sterowania. Każda z tych funkcji może działać poprawnie podczas standardowego przebiegu demonstracyjnego, a mimo to zawierać niewykrytą usterkę w logice rozgałęzień, która reguluje stany nietypowe.

Wybór funkcji, które mają zostać poddane testom sprawdzającym, sam w sobie stanowi decyzję podlegającą audytowi. Jeśli uzasadnienie włączenia lub wyłączenia danej funkcji z testów sprawdzających nie zostanie udokumentowane, osoba przeprowadzająca przegląd nie będzie w stanie ocenić, czy zakres testów był wystarczająco konserwatywny. Zakres kwalifikacji operacyjnej (OQ) ustalony na etapie planowania walidacji i formalnie powiązany z oceną ryzyka stanowi identyfikowalną podstawę tej decyzji — zamiast pozostawiać ją jedynie w domyśle w scenariuszu testów.

Warunki testowe alarmów, blokad i logiki drzwi

Testy alarmów i blokad nie mają na celu potwierdzenia, że system wyświetla ostrzeżenie, lecz sprawdzenie, czy ostrzeżenie jest wyzwalane przez właściwy warunek, czy jest rejestrowane w formie umożliwiającej odzyskanie danych oraz czy powrót ze stanu alarmowego wymaga celowego działania operatora, a nie automatycznego wznowienia pracy. Każdy z tych trzech elementów — dokładność wyzwalania, rejestrowanie zdarzeń oraz kontrolowany powrót do stanu normalnego — może zostać zaliczony lub odrzucony niezależnie. System, który wyświetla prawidłowy alarm, ale nie rejestruje zdarzenia, powoduje lukę audytową. System, który rejestruje zdarzenie, ale zezwala na automatyczne ponowne uruchomienie bez potwierdzenia, może nie spełniać oczekiwań dotyczących integralności danych określonych w załączniku 11 do tomu 4 EudraLex dla systemów komputerowych wykorzystywanych w procesach związanych z GMP.

Wymóg dotyczący symulacji alarmu wiąże się z określoną dyscypliną dokumentacyjną: metoda symulacji musi zostać opisana w samym formularzu OQ, a nie odtworzona po fakcie na podstawie pamięci lub ustnych instrukcji. W przypadku blokady czysto mechanicznej może to oznaczać fizyczne zablokowanie czujnika; w przypadku sekwencji działania drzwi sterowanej programowo może to oznaczać wprowadzenie wymuszonego stanu sygnału. W obu przypadkach w formularzu należy odnotować, co zostało wykonane, a nie tylko to, co zaobserwowano.

W sytuacjach, w których logika sekwencjonowania drzwi reguluje status granicy izolacji — tak jak ma to miejsce w systemach komór przesyłowych lub śluz z blokadą — test działań zabronionych ma szczególne znaczenie. Potwierdzenie, że próba otwarcia drzwi zewnętrznych przy niezamkniętych drzwiach wewnętrznych skutkuje zablokowaniem działania, zarejestrowaniem zdarzenia oraz uruchomieniem sekwencji przywracającej, która wymaga celowego zresetowania, nie jest czystą formalnością. Jest to test potwierdzający, że logika blokady działa pod rzeczywistą presją, jakiej doświadcza operator, a nie tylko podczas zaplanowanego, normalnego dostępu.

Zapisy dotyczące funkcji VHP, BIBO i komory przekaźnikowej

Dokumentacja sporządzona podczas kwalifikacji operacyjnej (OQ) systemów VHP, BIBO i komór przelotowych musi odzwierciedlać konkretne działanie poszczególnych funkcji operacyjnych każdego systemu, a nie tylko wynik pomyślnie zakończonego cyklu. W przypadku systemów komór przelotowych VHP oznacza to dokumentowanie zachowania parametrów cyklu na poszczególnych etapach — kondycjonowania, gazowania, utrzymywania i napowietrzania — w odniesieniu do określonych zakresów roboczych dla każdego etapu, a nie tylko końcowego wyniku wskaźnika biologicznego lub chemicznego. W przypadku obudów BIBO obejmuje to potwierdzenie, że sekwencja wkładania i wyjmowania worków została wykonana w warunkach testowych bez utraty szczelności, przy czym na każdym etapie rejestrowano stan filtra i odczyty różnicy ciśnień.

Wybór wskaźników do kwalifikacji cyklu dekontaminacji należy traktować jako czynność uzasadniającą projekt, specyficzną dla danego czynnika, geometrii sprzętu oraz stosowanych parametrów cyklu. Wskaźniki chemiczne stosowane podczas kwalifikacji operacyjnej (OQ) pełnią funkcję monitorów cyklu w czasie rzeczywistym, śledzących rozkład i penetrację; wskaźniki biologiczne, o ile są stosowane, oceniają skuteczność w warunkach testowych. Rodzaj wskaźnika, jego ilość oraz plan rozmieszczenia powinny odzwierciedlać geometrię wnętrza urządzenia oraz miejsca, w których kontakt z parą wodorotlenową (VHP) jest najprawdopodobniej ograniczony — strefy cienia, zagłębienia powierzchniowe lub obszary o słabej cyrkulacji powietrza. Uzasadnienie rozmieszczenia wskaźników powinno znaleźć się w dokumentacji kwalifikacji operacyjnej (OQ), a nie wynikać z ogólnego schematu rozmieszczenia wskaźników.

Dla Skrzynka przepustek VHP W odniesieniu konkretnie do systemów, dokumentacja kwalifikacji operacyjnej (OQ) powinna odzwierciedlać powtarzalność cyklu w wielu przebiegach przeprowadzonych w identycznych warunkach obciążenia, a nie opierać się na demonstracji pojedynczego cyklu. Pojedynczy udany przebieg nie świadczy o tym, że system niezawodnie osiąga i utrzymuje wymagane parametry w całym zakresie przewidywanych warunków pracy. Dane dotyczące powtarzalności uzyskane w ramach kwalifikacji operacyjnej (OQ) stanowią również punkt odniesienia, w oparciu o który można oceniać wszelkie przyszłe odchylenia od normalnego przebiegu cyklu — co sprawia, że dokument ten ma znaczenie operacyjne wykraczające poza sam proces kwalifikacji. Protokół walidacji VHP: IQ OQ PQ dla systemów nadtlenku wodoru określa szerszą strukturę kwalifikacji, w ramach której mieszczą się zapisy dotyczące cyklu OQ.

Dla Obudowy BIBO, Zapisy funkcji OQ powinny potwierdzać, że kontrole zamocowania worka, osadzenia filtra oraz szczelności ciśnieniowej odbywają się w odpowiedniej kolejności oraz że każdy etap jest rejestrowany w postaci zapisu opatrzonego sygnaturą czasową, dostępnego do wglądu.

Reakcja drzwi APR w określonych stanach nietypowych

Drzwi APR z uszczelnieniem pneumatycznym działają w warunkach, w których skutki awarii dla zabezpieczenia nie są jednakowe we wszystkich trybach awarii. Awaria uszczelnienia podczas normalnego cyklu otwierania i zamykania stanowi zdarzenie należące do innej kategorii niż sytuacja, w której uszczelnienie nie powraca do pozycji zamkniętej po utracie ciśnienia, lub sytuacja, w której drzwi nie powracają do bezpiecznego stanu zamknięcia po przerwie w zasilaniu. W projekcie testów kwalifikacji operacyjnej (OQ) należy rozróżnić te warunki, ponieważ inspektor analizujący wyniki testów zapyta konkretnie, co zostało przetestowane, a nie co mogłoby teoretycznie funkcjonować.

Testowanie na wypadek awarii zasilania to nie tylko kontrola integralności danych. Jest to weryfikacja bezpieczeństwa funkcjonalnego: czy po przywróceniu zasilania system powraca do znanego, zdefiniowanego stanu i czy przed wznowieniem stanu procesu wymaga celowego potwierdzenia przez operatora? W przypadku skomputeryzowanych systemów sterowania załącznik 11 do tomu 4 EudraLex określa oczekiwanie, że dane zgromadzone do momentu awarii nie zostaną utracone, a wznowienie działania jest kontrolowane, a nie automatyczne. W przypadku systemu drzwi APR zintegrowanego z pętlą monitorowania ciśnienia i sterowania blokadą oznacza to sprawdzenie, czy zapisy stanu ciśnienia, dzienniki alarmów oraz stany położenia drzwi są zachowane i dokładnie przedstawiane po przywróceniu działania.

Testy wykrywania przekroczenia zakresu czujnika oraz jego odłączenia dotyczą trybu awarii, który różni się zarówno od normalnej pracy, jak i od awarii zasilania: system nadal jest zasilany, ale nie odbiera prawidłowego sygnału z punktu monitorowania. W ramach kwalifikacji operacyjnej (OQ) należy potwierdzić, że stan ten jest wykrywany jako usterka — a nie ignorowany lub traktowany jako odczyt o wartości zerowej — oraz że proces zostaje albo wstrzymany, albo przechodzi w stan kontrolowanego zawieszenia do czasu przeprowadzenia badania. System, który w sposób niewidoczny toleruje odłączenie czujnika ciśnienia i kontynuuje cykl pracy, stwarza ryzyko rozprzestrzenienia się zanieczyszczeń, które nie będzie widoczne w protokołach z testów pracy normalnej.

Szczegóły skryptu niezbędne do przeprowadzenia kwalifikacji operacyjnej (OQ) w celu przygotowania do audytu

W programach kwalifikacji operacyjnej (OQ) dotyczących urządzeń zabezpieczających wąskim gardłem rzadko jest sama realizacja — problemem jest scenariusz testowy. Niejasne instrukcje, takie jak “sprawdzić działanie alarmu”, nie nadają się do wykonania: nie określają one, jaki stan wyzwala alarm, jaka jest oczekiwana reakcja systemu, w jaki sposób należy zasymulować ten stan ani co stanowi wynik pozytywny. Osoba przeprowadzająca przegląd nie jest w stanie potwierdzić, że test został przeprowadzony prawidłowo, a inny technik powtarzający test może zasymulować zupełnie inny stan. Żaden z tych wyników nie zapewnia identyfikowalności wymaganej podczas kontroli.

Szczegółowość skryptu przygotowanego do audytu oznacza, że każdy etap określa dokładną metodę symulacji, oczekiwaną obserwowalną reakcję oraz ilościowe lub jednoznaczne kryterium akceptacji. Opis symulacji ma szczególne znaczenie w przypadku testów alarmów i blokad: jeśli w formularzu kwalifikacji operacyjnej (OQ) nie odnotowano sposobu symulacji awarii, testu nie da się odtworzyć ani poddać niezależnej ocenie. Jest to wymóg dotyczący dyscypliny dokumentacyjnej, a nie zalecenie dotyczące wyboru techniki symulacji — metoda jest wyborem inżynieryjnym, ale jej odnotowanie stanowi obowiązek zapewnienia identyfikowalności.

Konsekwencją niejasnych kryteriów akceptacji jest to, że wyniki stają się zależne od subiektywnej oceny w momencie przeglądu. Jeśli kryterium brzmi “system reaguje poprawnie”, dwóch recenzentów może wyciągnąć różne wnioski na podstawie identycznych obserwacji testowych. Kryteria ilościowe — w tym określone limity czasu odpowiedzi, konkretne wymagania dotyczące stanu zablokowania/odblokowania lub jasno określone progi wyzwalania alarmów — eliminują tę niejednoznaczność i sprawiają, że dowody są niezależne od interpretacji osoby przeprowadzającej przegląd. Ma to największe znaczenie na etapie zamknięcia kwalifikacji operacyjnej (OQ), kiedy decyzja o zatwierdzeniu musi być uzasadniona wobec strony trzeciej, która nie była obecna podczas testów.

Zamknięcie OQ na podstawie zarejestrowanych obserwacji odpowiedzi

Zamknięcie OQ jest uzależnione od usunięcia odchyleń, a nie jedynie od zakończenia serii testów. Zakończona seria testów, w wyniku której uzyskano wynik niezgodny ze specyfikacją, nie zadziałała blokada lub zdarzenie nie zostało zarejestrowane, nie stanowi zamkniętego testu — jest to otwarte odchylenie. Załącznik 15 do tomu 4 EudraLex stanowi, że odchylenia zidentyfikowane podczas kwalifikacji muszą zostać udokumentowane wraz z działaniami naprawczymi, wskazaniem osób odpowiedzialnych oraz określonymi terminami, a wszelkie zmiany wprowadzone w wyniku tego muszą zostać poddane ocenie w ramach kontroli zmian, zanim kwalifikacja zostanie uznana za zakończoną. Traktowanie listy odchyleń jako czynności porządkowej po zakończeniu OQ, a nie jako warunku wstępnego zamknięcia, jest powtarzającym się schematem, który opóźnia ostateczne zatwierdzenie, gdy inspektorzy identyfikują otwarte pozycje podczas przeglądu.

Pakiet dowodów uzasadniający zamknięcie procedury OQ musi umożliwiać recenzentowi prześledzenie każdej kluczowej funkcji od momentu poddania jej testowi obciążeniowemu aż po odnotowany wynik i status zatwierdzenia. Oznacza to, że testy obciążeniowe, testy alarmów i blokad oraz testy powtarzalności muszą być przedstawione jako odrębne zapisy — a nie ujęte w zbiorczym oświadczeniu, że przeprowadzono serię testów. Lista kontrolna audytu dokumentacji GMP VHP Passbox Validation przedstawia elementy dokumentacji, które potwierdzają gotowość tych konkretnych systemów do kontroli.

W przypadku gdy odstępstwo wymagało zmiany sprzętowej lub programowej, przed potwierdzeniem zamknięcia należy przeprowadzić ocenę kontroli zmian oraz ponownie przetestować funkcje, których to dotyczyło. OQ, w którym działanie korygujące zostało odnotowane jako “zrealizowane”, ale nie zawiera dowodów ponownego przetestowania funkcji, których to dotyczyło, pozostawia identyfikowalną lukę, której nie można zamknąć z mocą wsteczną bez ponownego otwarcia protokołu. Decyzja o zamknięciu powinna być podjęta na podstawie wszystkich zapisów dotyczących odstępstw, a nie wyłącznie na podstawie zapisu o zakończeniu testów.

Powtarzającym się problemem w programach kwalifikacji operacyjnej (OQ) urządzeń zabezpieczających nie jest brak wysiłku włożonego w testowanie — chodzi o to, że wysiłek ten skupia się na potwierdzeniu prawidłowości pracy w normalnych warunkach, a nie na warunkach testowych, które ujawniłyby ukryte usterki w logice alarmów, sekwencjonowaniu drzwi lub obsłudze błędów czujników. Gdy system zabezpieczający zostanie już przekazany do użytku, zidentyfikowanie i usunięcie tych usterek wymaga kontrolowanego wyłączenia, ponownej kwalifikacji oraz uzasadnionego wyjaśnienia, w jaki sposób ta luka została pominięta podczas pierwotnej kwalifikacji operacyjnej (OQ). Jest to znacznie trudniejszy problem niż włączenie testów obciążeniowych do protokołu przed rozpoczęciem realizacji.

Przed sfinalizowaniem jakiegokolwiek scenariusza kwalifikacji operacyjnej (OQ) dla systemów VHP, BIBO, komory przekaźnikowej lub drzwi APR zespół powinien upewnić się, że każda funkcja krytyczna zidentyfikowana w ocenie ryzyka ma przypisany odpowiedni warunek testowy, opisaną metodę symulacji, ilościowe kryterium akceptacji oraz zdefiniowaną procedurę przywracania sprawności — oraz że żaden z tych elementów nie pozostaje do interpretacji przez technika wykonującego zadanie. Odstępstwa od tego standardu powinny być rozwiązywane w oparciu o kontrolowaną zmianowo wersję bazową, a nie dokumentowane jako dopuszczalne uwagi. To właśnie ta dyscyplina odróżnia dokumentację kwalifikacyjną, która wytrzymuje kontrolę, od takiej, która wymaga wyjaśnień w jej ramach.

Często zadawane pytania

Pytanie: Co się stanie, jeśli symulacja alarmu lub usterki czujnika podczas kwalifikacji operacyjnej (OQ) mogłaby spowodować uszkodzenie sprzętu lub doprowadzić do zdarzenia zagrażającego bezpieczeństwu?
O: Protokół kwalifikacji operacyjnej (OQ) musi określać bezpieczne metody symulacji i procedury przywracania stanu normalnego przed przeprowadzeniem jakiegokolwiek testu obciążeniowego. Przeprowadzona przed testem ocena ryzyka pozwala zidentyfikować potencjalne zagrożenia związane z samym testem, a w sytuacjach, w których bezpośrednia ingerencja fizyczna jest niebezpieczna, można zastosować alternatywne rozwiązania — takie jak wprowadzenie sygnału na wejściu sterownika lub programowe obejście czujnika. Uzgodnienie bezpiecznych stanów testowych, które jest już wymagane w ramach podstawowego planowania OQ, obejmuje również ochronę osób i sprzętu podczas testu.

Pytanie: Po zakończeniu procesu OQ i usunięciu wszystkich odstępstw, jaki jest następny krok w procesie kwalifikacji?
O: Kolejnym logicznym krokiem jest kwalifikacja wydajnościowa (PQ), podczas której system wykazuje stałą wydajność w rzeczywistych warunkach eksploatacyjnych przy reprezentatywnych obciążeniach. Zakończenie kwalifikacji operacyjnej (OQ) potwierdza, że funkcje krytyczne działają w przewidzianych zakresach; kwalifikacja wydajnościowa (PQ) dowodzi następnie, że zintegrowany proces wielokrotnie spełnia określone kryteria akceptacji podczas rutynowego użytkowania. Przejście to wymaga zatwierdzonego protokołu PQ i zazwyczaj jest uzależnione od formalnego zatwierdzenia raportu z kwalifikacji operacyjnej (OQ).

Pytanie: Czy w przypadku zastosowań związanych z izolacją o niższym poziomie ryzyka, takich jak komora transferowa klasy BSL-2, wymagane są tak samo szczegółowe testy alarmów i blokad?
O: Zakres powinien być proporcjonalny do ryzyka. Udokumentowana ocena ryzyka określa, które funkcje operacyjne mają charakter krytyczny; funkcje, których ocena plasuje się poniżej uzgodnionego progu ryzyka, można zweryfikować poprzez testy w warunkach normalnej pracy, bez stosowania pełnych warunków ekstremalnych. Kluczowym wymogiem jest to, aby każda decyzja o ograniczeniu zakresu testów była w sposób identyfikowalny uzasadniona w planie walidacji, tak aby recenzent mógł zrozumieć, dlaczego logika granic bezpieczeństwa nie wymagała takiego samego poziomu weryfikacji w stanach nietypowych, jak w przypadku odpowiednika BSL-3/4.

Pytanie: W jaki sposób opisane tutaj podejście do kwalifikacji operacyjnej (OQ) wiąże się z testami odbiorczymi w fabryce (FAT) i testami odbiorczymi na miejscu instalacji (SAT)? Czy wyniki testów FAT mogą zmniejszyć nakład pracy związany z kwalifikacją operacyjną na miejscu instalacji?
O: Test OQ należy przeprowadzić na miejscu, w ostatecznej konfiguracji instalacyjnej, ponieważ testy FAT i SAT są przeprowadzane w odmiennych warunkach dotyczących mediów, otoczenia i systemu sterowania. Chociaż w celu uniknięcia powielania czynności można odwołać się do wyników niekrytycznych testów funkcjonalnych, które nie uległy zmianie w stosunku do testu FAT, krytyczne testy obciążeniowe — zwłaszcza symulacje alarmów, logika blokad oraz reakcje na stany nietypowe — należy powtórzyć na miejscu, aby potwierdzić, że działają one prawidłowo w ramach zainstalowanej infrastruktury i ostatecznej pętli sterowania.

Pytanie: Czy dodatkowy czas i koszty związane z kompleksowymi testami sprawdzającymi w warunkach obciążeniowych są uzasadnione, skoro sprzęt działa prawidłowo w normalnych warunkach eksploatacji?
O: Tak, ponieważ niewykryte usterki w logice alarmowej, sekwencjonowaniu drzwi lub obsłudze błędów czujników, które ujawniają się po przekazaniu obiektu, wymuszają kontrolowane wyłączenie instalacji, częściową ponowną kwalifikację oraz uzasadnione wyjaśnienie, w jaki sposób ta luka została pominięta podczas pierwotnej kwalifikacji operacyjnej (OQ). Inwestycja z góry w kwalifikację operacyjną opartą na testach scenariuszy awaryjnych stanowi środek ograniczający ryzyko, który chroni harmonogram uruchomienia przed znacznie wyższymi kosztami wynikającymi z awarii logiki zabezpieczającej po przekazaniu obiektu oraz przed kontrolą organów regulacyjnych.