Kierunek ciśnienia w izolatorze jest parametrem projektowym, a nie założeniem wyjściowym. Wybór tego parametru przed określeniem celu ochronnego prowadzi do powstania bariery, która skutecznie chroni przed niewłaściwym zagrożeniem. Decyzja ta należy do osoby odpowiedzialnej za ochronę produktu lub zabezpieczenie przed rozprzestrzenianiem się w ramach projektu i powinna zostać podjęta, zanim w dyskusji pojawią się kwestie dotyczące konfiguracji rękawic, interfejsów transferowych czy strategii monitorowania.
Cel ochrony przed kierunkiem ciśnienia
| Cel ochrony | Ogólna ocena koncepcji ciśnienia | Granica decyzyjna |
|---|---|---|
| Zapobieganie przedostawaniu się zanieczyszczeń w celu ochrony produktu | Dodatnie ciśnienie | Sam kierunek nie świadczy o tym, że konstrukcja jest bezpieczniejsza; należy określić zagrożenia związane z produktem, operatorem i otoczeniem. |
| Przechowywanie materiałów niebezpiecznych w celu zapewnienia bezpieczeństwa operatora lub ochrony środowiska | Podciśnienie | Samo kierunek nie świadczy o skuteczności zabezpieczenia ani o tym, że projekt jest bezpieczniejszy; należy stosować ocenę ryzyka i kryteria akceptacji dostosowane do konkretnego projektu. |
Kierunek ciśnienia to mechanizm służący do kontrolowania kierunku przepływu powietrza przez granicę bariery. Sam w sobie nie określa on jednak, przed czym bariera chroni. Dwa izolatory mogą wyglądać identycznie pod względem ramy, przyłączy rękawicowych i elementów przenoszących, a mimo to służyć przeciwstawnym celom, ponieważ cel ten wynika z tego, czemu przeciwstawia się różnica ciśnień: przedostawaniu się zanieczyszczeń w kierunku chronionego produktu lub przedostawaniu się materiałów niebezpiecznych w kierunku operatora lub otaczającego środowiska.
Właśnie dlatego cel ochrony musi zostać określony jako pierwszy, w sposób wystarczająco konkretny, aby stanowił podstawę decyzji projektowej. Wskazanie “sterylności” lub “izolacji” jako celu nie jest wystarczające; w projekcie należy określić, co jest chronione przed czym. Produkt, który musi pozostać wolny od zanieczyszczeń pochodzących ze środowiska lub od operatora, wskazuje na jedną ścieżkę oceny. Materiał stanowiący zagrożenie dla ludzi lub środowiska w pobliżu izolatora wskazuje na inną ścieżkę. W przypadku gdy projekt dotyczy zarówno produktu, który musi pozostać wolny od zanieczyszczeń, jak i związku, który sam w sobie jest niebezpieczny, te dwa cele mogą wymagać różnych kierunków ciśnienia, a rozwiązanie zależy od wyborów dotyczących konfiguracji izolatora — kaskadowych stref ciśnienia, dedykowanych ścieżek transferu lub oddzielonych etapów procesu — a nie od wybrania jednego kierunku i traktowania go jako uniwersalnego środka ochronnego.
Konsekwencje pominięcia tego etapu ujawniają się później, podczas opracowywania kryteriów akceptacji. Wartość zadana ciśnienia, próg alarmowy czy docelowa wartość po przejściowym zaburzeniu mają sens dopiero wtedy, gdy jest jasne, jaki rodzaj awarii mają wykrywać. Opracowanie tych kryteriów przed ustaleniem celu prowadzi zazwyczaj do uzyskania wartości liczbowych, które same w sobie są uzasadnione, ale nie mają związku z rzeczywistym zagrożeniem. To również powód, dla którego dyskusje dotyczące doboru izolatorów, które rozpoczynają się od stwierdzeń typu “potrzebujemy nadciśnienia” lub “potrzebujemy podciśnienia” bez uprzedniego określenia zagrożenia, któremu ma przeciwdziałać projekt, są dla dostawcy trudne do konstruktywnego uwzględnienia — taki kierunek dyskusji stanowi wniosek, a nie punkt wyjścia.
Zadaniem zespołu projektowego na tym etapie jest sporządzenie pisemnej dokumentacji określającej, co izolator ma zatrzymywać na zewnątrz, a co wewnątrz, z uwzględnieniem wszelkich zagrożeń wtórnych współistniejących z zagrożeniem głównym. Dokument ten stanowi punkt odniesienia dla wszystkich kolejnych decyzji dotyczących ciśnienia.
Ryzyka związane z ochroną produktów eliminowane dzięki koncepcji nadciśnienia
Koncepcję nadciśnienia rozważa się zazwyczaj w sytuacjach, w których głównym problemem jest przedostawanie się zanieczyszczeń do produktu, który musi pozostać sterylny lub w inny sposób chroniony przed otoczeniem. Ciśnienie wewnątrz izolatora jest utrzymywane na poziomie wyższym niż ciśnienie w sąsiedniej przestrzeni, dzięki czemu wszelkie nieszczelności w uszczelce drzwi, porcie rękawicowym lub złączu transferowym powodują wypływ powietrza na zewnątrz, a nie zasysanie niefiltrowanego powietrza do środka. Mechanizm ten chroni produkt, wykorzystując ciśnienie jako bierną barierę przed przedostawaniem się zanieczyszczeń, niezależnie od czujności operatora.
Koncepcja ta opiera się na założeniu, że to, co powstaje wewnątrz izolatora — produkt, powietrze procesowe, wszelkie pozostałości materiałowe — samo w sobie nie stanowi zagrożenia, jakie mogłoby wyniknąć z wycieku na zewnątrz. Tam, gdzie założenie to ma zastosowanie, nadciśnienie stanowi bezpośredni sposób zabezpieczenia granicy aseptycznej i jest zgodne ze strategiami kontroli zanieczyszczeń opisanymi w odniesieniu do ochrony produktów sterylnych, w tym z wymaganiami dotyczącymi monitorowania ciśnienia, rejestrowania danych i alarmów określonymi w Załącznik 1 do GMP UE dla systemów barierowych stosowanych w produkcji sterylnej. Ramy określone w załączniku 1 odnoszą się konkretnie do kontekstu produkcji sterylnej, a zawarte w nim wytyczne dotyczące ciśnienia w pomieszczeniu nie przekładają się bezpośrednio na uniwersalną wartość zadaną izolatora; odpowiednią kaskadę i różnicę ciśnień nadal należy ustalić dla konkretnego procesu i konfiguracji pomieszczenia.
Warunkiem, który zmienia tę ocenę, jest rodzaj substancji przetwarzanej przez izolator. Jeśli izolator aseptyczny z nadciśnieniem zostanie później zastosowany lub rozważany do zastosowania w przypadku związku stanowiącego zagrożenie dla operatora lub środowiska, wyciek na zewnątrz przestaje być dopuszczalnym skutkiem ubocznym i staje się właśnie tym trybem awarii, któremu ma zapobiegać cel izolacji. To właśnie dlatego nadciśnienia nie można traktować jako uniwersalnej zasady domyślnej opartej na założeniu, że “im czystsze, tym bezpieczniejsze”. Jest to bezpieczniejsze dla produktu. Nie jest to jednak z natury bezpieczniejsze dla ludzi ani środowiska w pobliżu urządzenia.
Rozwiązania konfiguracyjne wynikające z dążenia do zapewnienia nadciśnienia w celu ochrony produktu obejmują interfejsy transferowe zaprojektowane tak, by ograniczać przedostawanie się czynników zewnętrznych podczas przemieszczania materiału, systemy rękawic i osłon dobierane pod kątem zachowania integralności przy utrzymującym się nadciśnieniu różnicowym, a także układy monitorujące, które traktują spadek ciśnienia w kierunku ciśnienia otoczenia jako główny warunek alarmowy, a nie jego wzrost. A izolator do badań na bezpłodność Obiekt zbudowany w tym celu został zaprojektowany z myślą o zapobieganiu wtargnięciu, a ta koncepcja powinna być wyraźnie określona w specyfikacji wymagań użytkowych (URS) projektu, a nie pozostawiona do domysłów na podstawie nazw urządzeń.
Zagrożenia dla operatorów lub środowiska związane z koncepcją podciśnienia
Oceniana jest koncepcja podciśnienia, w której zagrożeniem jest materiał znajdujący się wewnątrz izolatora, a celem ochrony jest zapobieżenie przedostaniu się go do operatora lub otoczenia. Wnętrze izolatora utrzymywane jest pod ciśnieniem niższym od ciśnienia w sąsiedniej przestrzeni, dzięki czemu każda ścieżka wycieku zasysa powietrze do środka, zamiast wypychać zawarty materiał na zewnątrz. Mechanizm ten opiera się na tej samej zasadzie fizycznej, co w przypadku nadciśnienia — różnica ciśnień determinująca kierunek wycieku — zastosowanej do odwrotnego problemu zatrzymywania.
Koncepcja ta zakłada, że przepływ powietrza do wewnątrz, na którym się opiera, sam w sobie nie zagraża temu, co projekt musi również chronić, na przykład sterylności produktu wewnątrz tej samej komory. W przypadku gdy projekt dotyczy niebezpiecznego składnika aktywnego, który wymaga również aseptycznej obsługi, samo podciśnienie zapewnia izolację, ale pozostawia kwestię aseptyki otwartą, a te dwa wymagania należy pogodzić poprzez dodatkowe środki projektowe, a nie wyłącznie poprzez kierunek ciśnienia. Jest to zgodne z oceną ryzyka oraz podejściem opartym na systemie zamkniętym lub konstrukcji barierowej opisanym w Wytyczne WHO dotyczące produktów farmaceutycznych zawierających substancje niebezpieczne, w których kwestie związane z zabezpieczeniem i ochroną operatorów traktowane są jako wyniki udokumentowanej oceny ryzyka, a nie jako stała wartość ciśnienia. Wytyczne te nie określają konkretnego limitu narażenia dla danego związku ani konkretnego wyniku w zakresie zabezpieczenia; te nadal wynikają z własnej oceny ryzyka przeprowadzonej w ramach projektu oraz z przedziału narażenia zawodowego przypisanego do danego materiału.
Czynnikiem, który w tym przypadku ma najbardziej bezpośredni wpływ na konfigurację, jest poziom zabezpieczenia wymagany ze względu na zagrożenie. Obsługa materiałów o wyższym stopniu zagrożenia, takich jak operacje klasy OEB4/OEB5, zazwyczaj wiąże się z bardziej przemyślanymi wyborami dotyczącymi systemów portów rękawicowych, interfejsów szybkiego transferu oraz sposobu izolacji przepływu materiałów przychodzących i wychodzących od otaczającej przestrzeni — kwestie te zostały szerzej omówione w Dobór izolatorów podciśnieniowych do zastosowań związanych z OEB5. Dostawca izolatorów nie może określić wyniku oceny szczelności bez znajomości klasyfikacji zagrożeń związanego z danym związkiem chemicznym oraz stanów eksploatacyjnych, które muszą być uwzględnione w projekcie; informacje te muszą pochodzić z oceny ryzyka przeprowadzonej przez właściciela projektu, a nie z projektu samego urządzenia.
Strategia monitorowania izolatora podciśnieniowego również jest odwrotna w stosunku do izolatora nadciśnieniowego: wzrost ciśnienia w kierunku ciśnienia otoczenia, a nie jego spadek, jest stanem, na który nastawiony jest system alarmowy, ponieważ to właśnie wzrost sygnalizuje utratę siły ssania, która zapobiega przedostawaniu się niebezpiecznych substancji na zewnątrz.
Reakcje na awarie związane z wyciekami, uszkodzeniami rękawic i alarmami ciśnieniowymi
Zdarzenia przejściowe — pęknięcie rękawicy, otwarcie drzwi, awaria wentylatora lub skok ciśnienia powodujący uruchomienie alarmu — to sytuacje, w których koncepcja ciśnienia jest faktycznie poddawana próbie, ponieważ działanie w stanie ustalonym niewiele mówi o tym, co dzieje się, gdy bariera zostaje chwilowo naruszona. Reakcja wymagana w danym projekcie nie jest taka sama w przypadku izolatora z nadciśnieniem, służącego do ochrony produktu, jak w przypadku izolatora z podciśnieniem, służącego do powstrzymywania zanieczyszczeń, ponieważ ryzyko związane z każdym z tych rodzajów awarii ma przeciwne skutki.
W przypadku koncepcji nadciśnieniowej pęknięcie rękawicy lub otwarcie drzwi stwarza zagrożenie w postaci drogi zanieczyszczenia do wewnątrz; kluczowe pytanie brzmi: jak szybko i niezawodnie system może przywrócić przepływ powietrza na zewnątrz oraz w jaki sposób proces wewnątrz powinien reagować w trakcie przywracania prawidłowego stanu. W przypadku koncepcji podciśnieniowej to samo zdarzenie fizyczne stwarza zagrożenie w postaci drogi uwolnienia na zewnątrz, a dopuszczalna reakcja może obejmować inne zachowanie systemów izolacyjnych lub blokujących, ponieważ projekt ma na celu zapobieganie przemieszczaniu się zagrożenia w niewłaściwym kierunku.
Właśnie dlatego ogólne sformułowania dotyczące alarmów zawarte w specyfikacji są niewystarczające. Praktyczna specyfikacja wymagań użytkowych (URS) określa, co izolator musi zrobić w każdym stanie pracy dla każdego wymienionego zdarzenia przejściowego: uszkodzenie rękawicy podczas aktywnej obsługi, otwarcie drzwi podczas transferu materiału, awaria wentylatora podczas zatrzymania w trybie czuwania oraz utrzymywanie się alarmu dłużej niż przez określony czas. Jeśli w projekcie zdefiniowano również blokady — wstrzymanie procesu, blokadę transferu lub powiadomienie operatora — zachowania te muszą być powiązane z konkretnym zdarzeniem przejściowym, na które reagują, a nie określone jako jedna ogólna reakcja.
Warunkiem, który wpływa na wymagany sposób reagowania, jest odwracalność zagrożenia. W przypadku gdy skutkiem krótkotrwałego zdarzenia polegającego na przedostaniu się substancji do środowiska jest konieczność ponownej obróbki lub ryzyko związane z partią produktu, w ramach reakcji można rozsądnie nadać priorytet minimalizacji zakłóceń. W przypadku gdy skutkiem krótkotrwałego zdarzenia polegającego na wydostaniu się substancji jest narażenie operatora, reakcja musi priorytetowo traktować odcięcie drogi rozprzestrzeniania się substancji, nawet jeśli oznacza to wstrzymanie procesu. Żadna z tych reakcji nie jest z zasady bardziej konserwatywna od drugiej; każda z nich jest właściwa w odniesieniu do zagrożenia, przed którym została opracowana. Zespół projektowy przechodzący od definiowania celów do opracowywania specyfikacji powinien potwierdzić, że każdemu wymienionemu stanowi przejściowemu przypisano odpowiednią reakcję, zdefiniowano sposób przywrócenia stanu normalnego oraz określono uzasadnienie, dlaczego dana reakcja jest zgodna z nadrzędnym celem ochrony.
Testy akceptacyjne potwierdzające poprawność działania wybranej koncepcji
| Zakres decyzji | Odpowiednie ramy prawne | Dowody służące do określenia lub sprawdzenia | Czego ramy te nie określają |
|---|---|---|---|
| Bariera ochronna produktu | Załącznik 1 do GMP UE | Strategia kontroli zanieczyszczeń, monitorowanie ciśnienia, rejestracja danych i sygnały alarmowe w stanach pracy określonych w specyfikacji wymagań użytkowych (URS) | Uniwersalna wartość zadana ciśnienia izolatora lub wynik dotyczący zabezpieczenia przed rozprzestrzenianiem się w miejscu pracy |
| Zatrzymywanie materiałów niebezpiecznych i ochrona operatorów | Wytyczne WHO dotyczące dobrych praktyk wytwarzania (GMP) dla produktów farmaceutycznych zawierających substancje niebezpieczne | Ocena ryzyka oraz dane dotyczące konstrukcji zamkniętej lub z barierą w stanach eksploatacyjnych wymienionych w specyfikacji wymagań użytkowych (URS) | Wartość graniczna narażenia określona dla danego związku lub wynik działań ograniczających rozprzestrzenianie się substancji w ramach konkretnego projektu |
| Projektowanie i zatwierdzanie urządzeń separacyjnych | ISO 14644-7:2004 | Dokumentacja dotycząca projektu, montażu, testów i zatwierdzenia dla wybranego zastosowania | Wartości ciśnienia lub procesy specyficzne dla danego zastosowania; wydanie jest oznaczone jako wymagające aktualizacji |
Aby udowodnić, że koncepcja ciśnieniowa działa, należy ją przetestować w stanach pracy faktycznie występujących w projekcie, a nie tylko w stanie ustalonym na biegu jałowym. Różnica ciśnień utrzymująca się podczas niezakłóconej pracy niewiele mówi o tym, co dzieje się w przypadku uszkodzenia rękawicy, zdarzenia związanego z transferem lub awarii wentylatora, dlatego też stany pracy wymienione w specyfikacji URS muszą być stanami sprawdzanymi podczas testów odbiorczych, a nie ich uproszczonym podzbiorem.
W przypadku gdy celem projektu jest ochrona produktu, dowody akceptacji są zgodne ze strategią kontroli zanieczyszczeń, monitorowaniem ciśnienia, rejestracją oraz oczekiwaniami dotyczącymi alarmów opisanymi w załączniku 1 do wytycznych UE dotyczących GMP — testowanymi konkretnie w stanach pracy określonych przez URS, ponieważ kontekst produkcji sterylnej zawarty w załączniku 1 sam w sobie nie zapewnia uniwersalnej wartości zadanej ciśnienia ani wyniku dotyczącego zabezpieczenia przed rozprzestrzenianiem się zanieczyszczeń w miejscu pracy. W przypadku gdy celem jest zatrzymywanie materiałów niebezpiecznych i ochrona operatora, dowody zgodności odnoszą się natomiast do oceny ryzyka oraz podejścia opartego na systemie zamkniętym lub konstrukcji barierowej, opisanego w wytycznych WHO dotyczących niebezpiecznych produktów farmaceutycznych, ponownie stosowanego we wszystkich stanach określonych w URS, ponieważ wytyczne te nie określają limitu narażenia dla konkretnego związku ani wyniku dotyczącego izolacji właściwego dla danego projektu. Projekt, w którym realizowane są oba cele, wymaga dowodów zgodności dla każdego z nich, a nie jednej serii badań, która miałaby obejmować oba cele.
Jeśli chodzi o samo urządzenie oddzielające — konstrukcję izolatora, jego interfejsy oraz sposób montażu — ISO 14644-7 określa ogólne ramy dotyczące projektowania, montażu, testowania i zatwierdzania urządzeń separacyjnych. Nie podaje ona konkretnych dla danego zastosowania wartości ciśnienia ani parametrów procesowych, a sama edycja jest oznaczona jako podlegająca aktualizacji, dlatego zespół projektowy powołujący się na nią powinien traktować ją jako ramy testów konstrukcyjnych, które należy uzupełnić o własne kryteria odbioru projektu, a nie jako źródło stałych wartości liczbowych.
Jest to etap, na którym informacje o projekcie dostarczone przez zamawiającego stają się bezpośrednio przydatne: specyfikacja wymagań użytkowych (URS), określająca cel ochrony, stany robocze podlegające testowaniu oraz warunki przejściowe, które należy sprawdzić, daje dostawcy konkretną podstawę do sporządzenia oferty i przeglądu konfiguracji, zamiast wymagać od niego formułowania założeń dotyczących tego, które tryby awarii mają znaczenie. Testy odbiorcze wynikające z tej dokumentacji — niezależnie od tego, czy mają formę testów FAT, SAT czy etapu kwalifikacyjnego — wykazują, że dostarczona konkretna konfiguracja spełnia kryteria zdefiniowane w projekcie, a nie tylko to, że wybrany kierunek ciśnienia był ogólnie poprawny. Jeśli specyfikacja URS jest niejasna w kwestii stanów pracy lub warunków przejściowych, luka ta ujawnia się podczas testów odbiorczych jako niejasność co do tego, co oznacza “pozytywny wynik”, a jej rozwiązanie jest bardziej kosztowne niż na etapie wstępnej specyfikacji.
Często zadawane pytania
Q: A co, jeśli w ramach projektu konieczne jest zarówno zabezpieczenie produktu, jak i ograniczenie rozprzestrzeniania się materiałów niebezpiecznych?
A: Nie należy wybierać kierunku działania ciśnienia w oparciu wyłącznie o jeden z tych celów. Należy udokumentować zagrożenia związane z produktem, operatorem i otoczeniem, określić, jakie skutki awarii musi ograniczać projekt, oraz ustalić kryteria akceptacji dostosowane do konkretnego projektu dla opracowanej koncepcji.
Q: Jakie informacje należy określić w specyfikacji URS przed przeprowadzeniem oceny koncepcji ciśnienia izolatora?
A: Należy określić cel ochrony, istotne zagrożenia, wymagane procedury monitorowania i sygnalizacji alarmowej oraz stany pracy, w których koncepcja musi zostać zweryfikowana. Należy uwzględnić normalną pracę oraz przewidywalne stany przejściowe, takie jak otwarcie drzwi, uszkodzenia rękawic ochronnych, awarie wentylatorów oraz stany wywołujące alarm ciśnieniowy.
Q: W jaki sposób uszkodzenia rękawic i inne zdarzenia przejściowe powinny wpływać na testy odbiorcze?
A: Należy traktować je jako określone warunki pracy z z góry ustalonymi kryteriami reakcji i akceptacji. Plan testów powinien weryfikować wybraną koncepcję w każdym z odpowiednich warunków, zamiast opierać się wyłącznie na odczytach ciśnienia podczas normalnej pracy.
Q: Czy zgodność z załącznikiem 1 do wytycznych UE dotyczących GMP, wytycznymi WHO dotyczącymi GMP lub normą ISO 14644-7 stanowi dowód na to, że wybrany kierunek ciśnienia jest odpowiedni?
A: Nie. Ramy te mogą stanowić wskazówki dotyczące odpowiednich dowodów w zakresie kontroli zanieczyszczeń, zabezpieczeń, projektowania, monitorowania i badań, ale nie określają one uniwersalnej wartości zadanej dla izolatora, limitu narażenia dla konkretnego związku ani wyniku dotyczącego zabezpieczeń dla konkretnego projektu. Należy nadal wykazać przydatność rozwiązania w odniesieniu do zdefiniowanych dla projektu zagrożeń, stanów eksploatacyjnych i kryteriów akceptacji.
