Sistemas BIBO em instalações de GMP: Como se alinhar com o Anexo 1 das BPF da UE e com a prática de validação

Muitas instalações de BPF instalam caixas BIBO, passam por uma inspeção inicial de comissionamento e, em seguida, descobrem na primeira auditoria regulatória ou investigação de desvio que a infraestrutura de documentação por trás do hardware nunca existiu de forma defensável. A contenção física funciona como pretendido, mas a incapacidade de demonstrar que cada substituição de filtro seguiu um caminho de intervenção classificado e pré-aprovado - com avaliação de impacto, critérios de liberação definidos e registros rastreáveis - é suficiente para impedir a liberação de um lote ou acionar uma observação importante. A lacuna não é mecânica; ela é processual e baseada em qualificação, e adaptá-la após a instalação significa reconstruir a lógica do sistema de qualidade e o pacote de validação simultaneamente, sob pressão operacional. O que separa uma instalação de BIBO que resiste à auditoria de uma que não resiste é o fato de a disciplina de validação ter sido integrada antes da troca do primeiro filtro, e não depois.

Como o BIBO apoia uma estratégia de controle de contaminação em instalações de GMP

Um sistema BIBO ganha seu papel em uma estratégia de controle de contaminação por meio de um mecanismo operacional específico: o princípio de ensacamento em circuito fechado que envolve fisicamente o filtro usado antes de ser retirado da carcaça. Sem essa transição selada, a troca do filtro é a intervenção de maior risco no ciclo de vida do caminho de ar - o ponto em que o particulado acumulado, a carga biológica ou o resíduo de composto potente têm a maior oportunidade de escapar para o ambiente ao redor. A bolsa veda esse risco antes que o limite do compartimento se abra.

Esse mecanismo só funciona como pretendido, no entanto, quando é especificado em relação ao perfil de risco real da aplicação. Uma carcaça BIBO que serve uma exaustão HVAC de Grau B em uma suíte asséptica padrão opera em um contexto de risco materialmente diferente de uma carcaça posicionada a jusante de uma área de síntese de compostos potentes OEB4 ou OEB5. No caso de compostos altamente ativos, citotóxicos ou potentes, a intenção do projeto do sistema - compatibilidade do material da bolsa, construção da costura, provisão de contenção secundária - precisa refletir essa classificação desde o estágio inicial da especificação, e não como uma reflexão tardia adicionada depois que o invólucro já estiver encomendado. Quando esse critério de planejamento é adiado, os projetos geralmente descobrem que o hardware físico não pode ser atualizado para corresponder à classe de risco real sem substituir os principais componentes ou renegociar o escopo.

A estratégia mais ampla de controle de contaminação exige que a função BIBO seja vinculada - no estágio de projeto - ao protocolo de limpeza, à sequência de testes de integridade e ao gatilho de documentação que segue cada troca. Um sistema BIBO que funciona mecanicamente, mas cujas intervenções de manutenção não estão conectadas a um ciclo de vida gerenciado no sistema de qualidade, fornece contenção mecânica sem a camada de controle processual que os reguladores e auditores realmente avaliam.

A implicação da decisão aqui é simples, mas frequentemente subestimada: selecionar um invólucro BIBO e especificá-lo para uso de GMP não são a mesma atividade. A primeira é uma ação de aquisição; a segunda requer uma decisão de classificação de risco que molda cada qualificação posterior, SOP e entrada de controle de mudança conectada a essa caixa durante toda a vida útil do sistema.

Anexo 1 - Expectativas para intervenções em torno de limites de vias aéreas

O Anexo 1 das BPF da UE (2022) enquadra o controle de contaminação como um compromisso em nível de sistema que se estende por todas as intervenções que tocam um ambiente de ar classificado - incluindo atividades de manutenção nos limites do HVAC. A expectativa não se limita ao que acontece dentro de uma sala limpa durante a produção; ela abrange a forma como a instalação gerencia qualquer evento que possa comprometer a integridade do caminho do ar que atende a esse ambiente. Uma substituição de filtro que abre o limite do HVAC sem condições controladas é tratada sob essa lógica como uma fonte potencial de contaminação, não como uma tarefa de manutenção de rotina.

Dois controles definem a base mínima de evidências para intervenções nos limites dos caminhos de ar na maioria das interpretações práticas do Anexo 1. O primeiro é processual: o fluxo de ar de HVAC e de exaustão deve ser interrompido e o sistema deve ser levado a um estado definido antes que o limite seja aberto, eliminando o risco de que os diferenciais de pressão ou o fluxo de ar residual possam levar a contaminação para dentro ou para fora da seção afetada. A segunda é de verificação: uma vez que o filtro usado tenha sido ensacado e o novo filtro instalado, a vedação hermética da bolsa de contenção deve ser confirmada por meio de testes de integridade - geralmente por meio de um desafio de aerossol de DOP ou PAO - antes que o invólucro retorne ao serviço. Vale a pena ser preciso aqui: O Anexo 1 não exige o teste de DOP ou PAO como método obrigatório, mas espera uma evidência objetiva de que a integridade do limite do caminho de ar foi mantida. O teste de desafio DOP/PAO é o meio estabelecido pelo qual essa evidência é normalmente gerada, e os auditores a procurarão.

A consequência posterior de pular qualquer um dos controles não é apenas uma lacuna na documentação - é a incapacidade de reconstruir o que aconteceu nesse limite se um evento de contaminação for investigado posteriormente. Sem uma etapa de desligamento do fluxo de ar registrada e um resultado de teste de integridade pós-instalação, a investigação não pode confirmar que o limite foi gerenciado adequadamente, e o desvio se estende para trás para questionar todos os lotes produzidos desde a última instalação de filtro com limpeza confirmada.

O atrito prático é que as equipes de produção às vezes tratam o desligamento do fluxo de ar como uma interrupção excessiva da programação, principalmente quando as caixas do BIBO servem para caminhos de exaustão que não estão em contato direto com o ambiente de enchimento classificado. A posição do controle de qualidade - de que qualquer limite de caminho de ar aberto exige a mesma disciplina de procedimento, independentemente da proximidade percebida com a zona do produto - é defensável de acordo com a lógica do sistema de controle de contaminação do Anexo 1, mas a tensão é real e precisa ser resolvida no POP antes do primeiro evento de manutenção, e não durante ele.

Lógica de qualificação após a substituição do filtro e acesso para manutenção

Cada substituição de filtro ou evento de acesso de manutenção não planejado que abre um limite de caminho de ar deve ser tratado como uma violação parcial de limite que exige o restabelecimento documentado antes que o sistema volte a ser usado. A pergunta que as equipes de qualificação precisam responder com antecedência - e não durante uma discussão de liberação de lote - é: quais testes confirmam que o sistema está seguro e operacional após esse tipo específico de intervenção?

Uma abordagem defensável de requalificação pós-manutenção para sistemas integrados ao BIBO normalmente inclui três categorias de verificações. O teste de integridade do filtro confirma que o filtro HEPA ou ULPA recém-instalado não apresenta furos, defeitos na vedação da estrutura ou vazamentos na instalação - essa é a principal confirmação de segurança após a troca do filtro. A medição da queda de pressão através do filtro confirma que o filtro de substituição está dentro de sua faixa de resistência nominal e que o fluxo de ar através da carcaça está dentro da faixa operacional validada; um desvio significativo da linha de base pode indicar seleção incorreta do filtro, assentamento inadequado ou danos à carcaça. A contagem de partículas a jusante do filtro, realizada sob condições definidas, confirma que a qualidade do ar do lado limpo é consistente com a classificação de grau que o invólucro atende. Essas três verificações não são uma lista regulatória emitida por uma única autoridade, mas representam o limite prático abaixo do qual é difícil defender que um invólucro BIBO foi adequadamente reintegrado após um evento de abertura de limite. O Anexo 15 da EudraLex fornece uma estrutura de referência de processo mais ampla para pensar sobre o escopo da requalificação e os critérios de aceitação nesse contexto - particularmente sua orientação sobre a relação entre as condições alteradas do sistema e a necessidade de atividades definidas de nova verificação.

A falha comum no planejamento é reconhecer que a requalificação é necessária em princípio, mas deixar a sequência específica de testes, os critérios de aceitação e a parte responsável indefinidos até depois da instalação. Esse adiamento normalmente significa que a primeira troca de filtro ocorre sem requalificação - porque ninguém definiu o que ela exige - ou aciona um exercício de elaboração de procedimentos de emergência que introduz etapas não testadas em um ambiente de produção ativo. Nenhum desses resultados é aceitável em um ciclo de vida de validação gerenciado.

Quando o evento de manutenção envolve acesso não planejado - uma inspeção da carcaça acionada por um alarme, uma resposta ao rompimento da bolsa ou uma leitura de pressão inesperada -, o escopo da requalificação pode precisar ir além da integridade do filtro para incluir uma avaliação mais ampla sobre se os componentes adjacentes foram perturbados. Essa avaliação deve ser pré-classificada no sistema de controle de alterações e gerenciamento de desvios, e não improvisada no momento do evento.

Controle de mudanças e tratamento de desvios para intervenções relacionadas ao BIBO

As substituições planejadas de filtros e os acessos não planejados à manutenção representam duas categorias distintas de intervenção, e tratá-las sob a mesma entrada de controle de alterações é um erro que cria vulnerabilidade de auditoria. Uma alteração planejada - uma troca programada de filtro no final da vida útil - deve ter um registro de controle de alterações pré-aprovado que defina o escopo da intervenção, o pessoal responsável, os requisitos de requalificação e os critérios de liberação antes do início do trabalho. Um evento não planejado, como um resultado de teste de integridade falho ou uma falha na integridade da bolsa durante a troca, entra em um caminho diferente: investigação do desvio, análise da causa raiz e ação corretiva antes que o sistema retorne ao serviço.

O cenário de emergência mais comumente deixado indefinido é o rompimento da bolsa ou a falha de contenção durante o próprio procedimento de troca. Se a bolsa de contenção do filtro usado falhar antes de o compartimento ser fechado, a instalação estará gerenciando simultaneamente uma possível exposição à contaminação, um procedimento de manutenção comprometido e o início de uma investigação de desvio. Sem um procedimento de resposta de emergência pré-escrito - interromper o trabalho, isolar a área, descontaminar de acordo com a classificação específica do composto, iniciar a comunicação do incidente - os operadores estão improvisando durante um evento de alto estresse que envolve uma possível exposição perigosa, e é improvável que a resposta improvisada gere o tipo de evidência documentada que uma investigação posterior possa usar. Essa é uma vulnerabilidade operacional documentada, não um resultado inevitável, mas as instalações que não pré-classificaram esse cenário sempre descobrirão que seus registros de desvio não podem explicar adequadamente o que aconteceu no momento da falha.

A rastreabilidade em todas as intervenções relacionadas ao BIBO - planejadas e não planejadas - exige que cada evento seja registrado com a identidade do operador, registro de data e hora, identidade do filtro (número do lote, fabricante, eficiência nominal), status de confirmação da integridade da bolsa e o resultado de qualquer teste pós-manutenção. Esse não é um requisito regulatório específico do BIBO; é uma prática padrão do sistema de qualidade aplicada a esse contexto e só funciona se o mecanismo de registro for incorporado ao fluxo de trabalho de manutenção desde o início, em vez de ser reconstruído da memória posteriormente.

Vale a pena nomear explicitamente a troca: a pré-classificação de cada tipo de intervenção de manutenção do BIBO e a criação de rastreabilidade no fluxo de trabalho levam tempo e disciplina durante a fase de construção do projeto. Ignorar isso é mais rápido. Mas o custo posterior - desvios que não podem ser investigados porque os registros não existem, retenções de liberação de lotes e o retrabalho processual que se segue a uma observação regulamentar - excede consistentemente o investimento inicial. Esse é o principal ponto de atrito entre a expectativa da produção de flexibilidade de manutenção e a exigência da garantia de qualidade de processos controlados e rastreáveis, e nenhum dos lados o resolve ignorando-o.

Registros e SOPs que os auditores esperam para um sistema pronto para validação

Um auditor que analisa uma instalação BIBO não está avaliando principalmente o hardware. O hardware é visível e pode ser avaliado rapidamente. O que leva mais tempo para avaliar - e o que normalmente gera observações - é se a infraestrutura processual por trás do hardware reflete um controle operacional genuíno ou se foi montada para satisfazer uma lista de verificação.

O principal documento de procedimento que os auditores procuram é um POP de troca de filtro específico de sequência: um procedimento que define as etapas exatas na ordem exata necessária para executar uma troca de filtro segura e controlada por contaminação, incluindo a preparação pré-trabalho, desligamento do fluxo de ar, fixação e vedação da bolsa, sequência de remoção do filtro, teste de integridade pós-instalação e confirmação de retorno ao serviço. Um procedimento de manutenção genérico que descreve a finalidade do sistema BIBO sem especificar a sequência operacional não fornece evidência de controle de procedimento - fornece evidência de que alguém sabia que um procedimento era necessário. A distinção é importante porque o POP é o principal mecanismo pelo qual o risco de erro humano é gerenciado durante uma intervenção de alto risco, e os auditores tratam um POP vago ou não sequencial como equivalente a nenhum POP para fins práticos.

Além do SOP em si, o ciclo de revisão e atualização é o sinal que os auditores usam para distinguir um sistema de qualidade vivo de um sistema nominalmente em conformidade. Um SOP de troca de filtro BIBO que não tenha sido revisado desde a qualificação inicial - e cujo histórico de revisão não mostre nenhum envolvimento com a experiência pós-instalação, resultados de desvios ou feedback da equipe - sugere um sistema de qualidade estático. Quando ocorrem desvios, mas o SOP não foi atualizado para refletir o que foi aprendido, a desconexão geralmente é visível nos próprios registros de desvios, o que cria uma narrativa coerente de fraqueza sistêmica em vez de eventos isolados.

Para instalações que estão construindo pacotes de qualificação BIBO desde o início, a implicação prática é que o desenvolvimento do POP e o programa de testes de qualificação devem ser executados em paralelo, não sequencialmente. Se o SOP for escrito após a conclusão dos testes de qualificação, ele estará descrevendo um processo que já foi executado sem um procedimento controlado e aprovado, o que cria um problema de justificativa retroativa difícil de defender.

Uma consideração mais ampla sobre a arquitetura da documentação: os registros conectados a um sistema BIBO não existem isoladamente. Registros de alterações de filtros, resultados de testes de integridade, relatórios de desvios e históricos de revisão de POPs são todos potencialmente relevantes para uma investigação de registro de lote ou uma inspeção regulatória. Se esses registros estiverem em sistemas desconectados, sem lógica de referência cruzada, a reconstrução do histórico de manutenção de um compartimento específico em um determinado momento se torna desnecessariamente difícil - e essa dificuldade, por si só, se torna uma descoberta de auditoria. Para as instalações que estão construindo a infraestrutura de documentação de filtragem e HVAC de salas limpas, a relação entre os registros de manutenção do BIBO e o histórico mais amplo de manutenção de salas limpas é uma questão de importância fundamental. Sistema de documentação de HVAC pré-fabricado para salas limpas devem ser definidas com antecedência, antes que os registros se acumulem de forma difícil de racionalizar posteriormente.

Quando uma instalação BIBO está realmente pronta para GMP, em vez de estar nominalmente em conformidade

A versão mais comum de conformidade nominal em instalações BIBO é um sistema em que o invólucro é de aço inoxidável, o fornecedor forneceu um certificado de material e um relatório de teste de fábrica e a instalação foi assinada com base em uma lista de verificação de comissionamento, mas em que a classificação de intervenção, a lógica de requalificação e o escopo de controle de alterações nunca foram formalmente definidos. Essa configuração é aprovada em uma revisão básica da documentação e pode satisfazer uma assinatura de qualificação inicial se os revisores não investigarem o ciclo de vida da manutenção. Normalmente, ela não se sustenta quando um inspetor regulador pede para ver os três últimos registros de alteração de filtro juntamente com os resultados dos testes de integridade associados, o registro de desvios e a versão do POP que estava em vigor no momento de cada evento.

A base de qualificação que distingue a prontidão real é a verificação da vedação hermética e a revalidação pós-substituição, e não a especificação do material. Um invólucro inoxidável é um recurso de projeto necessário, não uma garantia de desempenho. O desempenho é demonstrado por meio de resultados de testes - dados de testes de integridade do filtro que confirmam que o filtro instalado não apresenta vazamentos, medições de queda de pressão que confirmam que o invólucro está operando dentro de sua faixa validada, contagens de partículas que confirmam a qualidade do ar a jusante - combinados com a evidência documentada de que o processo usado para instalar e verificar o filtro foi controlado e repetido. A seleção de materiais permite o teste, mas não o substitui. As instalações que confundem os dois tendem a descobrir a distinção no pior momento possível: quando uma investigação de contaminação exige que elas demonstrem retroativamente que um limite que elas abriram e fecharam foi gerenciado adequadamente, e os dados do teste não existem. Para uma análise mais aprofundada de como essa lógica de qualificação se aplica no contexto da especificação validada da carcaça do filtro, a Visão geral dos sistemas BIBO compatíveis com GMP aborda a relação entre hardware e qualificação com mais detalhes práticos.

O resultado operacional que sinaliza uma integração genuína é uma troca de filtro rápida, controlada por contaminação e que gera registros completos sem esforço excepcional - porque o procedimento, a sequência de testes e o fluxo de trabalho de documentação foram projetados juntos. Quando a troca demora mais do que o esperado ou gera registros incompletos, isso geralmente significa que o procedimento e a sequência de testes foram projetados separadamente ou que o fluxo de trabalho de documentação foi adicionado como uma reflexão tardia. Esse resultado é um indicador prático de prontidão que vale a pena usar durante o comissionamento: se a execução da troca de filtro definida pelo SOP sob condições observadas não produzir registros completos e coerentes dentro do prazo esperado, o sistema ainda não está operacionalmente pronto, independentemente do que dizem os relatórios de teste de qualificação.

Vale a pena declarar claramente o limite: uma instalação de BIBO que atenda aos critérios de prontidão operacional acima - intervenções pré-classificadas, vedação hermética verificada por testes de integridade, requalificação pós-substituição com critérios de aceitação definidos, registros rastreáveis e um SOP vivo - é realmente difícil de ser contestada em uma auditoria. Um sistema que se baseia na qualidade do hardware e na documentação do fornecedor sem a infraestrutura de procedimentos e qualificação por trás gerará descobertas, e o retrabalho é caro justamente porque deve ocorrer depois que o sistema já estiver em serviço de produção.

Uma maneira útil de avaliar uma instalação BIBO antes que ela entre em operação de rotina é trabalhar de trás para frente a partir de uma solicitação de auditoria hipotética: se um inspetor pedisse para ver o histórico completo de manutenção de uma carcaça específica, incluindo a versão do POP em vigor em cada troca de filtro, o resultado do teste de integridade, o registro do operador e quaisquer desvios associados, esse pacote poderia ser montado com precisão dentro de um prazo razoável? Se a resposta não for clara - porque os registros existem em sistemas diferentes, algumas trocas não foram totalmente documentadas ou o SOP não foi revisado desde a qualificação inicial - a lacuna está no sistema de qualidade, não no hardware.

O próximo passo prático para as instalações que especificam uma nova instalação ou revisam uma já existente é definir primeiro a matriz de classificação de intervenção: quais eventos constituem mudanças planejadas que exigem controle de mudança pré-aprovado, quais constituem eventos não planejados que exigem investigação de desvio e qual é o escopo de requalificação para cada um. Essa matriz, traduzida em SOPs com critérios de aceitação definidos, é a diferença estrutural entre um sistema BIBO que realiza a contenção e um que pode demonstrá-la.

Perguntas frequentes

Q: Nossas instalações usam um prestador de serviços de manutenção terceirizado para trocas de filtros - a lógica de qualificação e controle de alterações do BIBO ainda se aplica ou essa responsabilidade é transferida para o prestador de serviços?
R: A responsabilidade pela qualificação e pelo controle de alterações permanece com a instalação, não com o contratado. A lógica do sistema de controle de contaminação do Anexo 1 se aplica ao resultado da intervenção e aos registros que ela gera, independentemente de quem executa fisicamente o trabalho. Na prática, isso significa que o contratado deve executar de acordo com o POP aprovado pela sua instalação, usar seus modelos de registro e produzir registros que se integrem ao seu sistema de qualidade - identificação do operador, carimbo de data e hora, identidade do filtro e resultados do teste de integridade atribuídos à sua entrada de controle de alterações. Se a documentação da própria empresa contratada não atender a esses requisitos, a lacuna será sua na auditoria.

P: Em que ponto um desvio relacionado ao BIBO deixa de ser um problema de filtro e passa a exigir uma investigação mais ampla que pode afetar a liberação do lote?
R: O limite é se a violação do limite pode ser delimitada no tempo e no escopo com evidências objetivas. Se ocorrer uma falha no teste de integridade, um rompimento da bolsa ou um desvio de procedimento e não for possível confirmar - por meio de dados e registros de teste - exatamente quando ocorreu o último estado de limpeza verificado, a investigação não poderá ser limitada ao evento específico. Nessa situação, o escopo normalmente se expande para todos os lotes produzidos desde a última instalação documentada e confirmada de filtro limpo. As categorias de intervenção pré-classificadas e os registros completos de rastreabilidade são as ferramentas práticas que limitam a extensão dessa janela.

P: O BIBO é a abordagem de contenção correta para áreas de compostos potentes ou precisa ser combinado com a tecnologia de isoladores para atender aos requisitos da OEB4/OEB5?
R: Para as aplicações OEB4 e OEB5, o BIBO sozinho geralmente não é suficiente como solução de contenção primária - ele atende ao limite de troca de filtro, mas não oferece o ambiente de processo fechado necessário para essas faixas de exposição ocupacional. A tecnologia de isolador normalmente forma a camada de contenção primária para essas classificações, com os sistemas BIBO servindo o caminho de exaustão do HVAC como um controle de limite secundário. As duas tecnologias abordam diferentes pontos de intervenção na mesma estratégia de controle de contaminação, em vez de serem alternativas diretas. A combinação correta depende da classificação do seu composto, do projeto do processo e da avaliação de risco que dá suporte à sua Estratégia de Controle de Contaminação de acordo com o Anexo 1.

P: Se os POPs do nosso BIBO foram escritos na qualificação inicial, mas nunca foram revisados, qual é a gravidade da descoberta se os procedimentos em si ainda forem tecnicamente precisos?
R: Um POP estático sem histórico de revisão normalmente gerará uma observação, mesmo que o conteúdo do procedimento permaneça tecnicamente sólido. Os auditores interpretam um POP não revisado como evidência de que o sistema de qualidade não está se envolvendo com a experiência operacional, principalmente se tiverem ocorrido desvios no período intermediário. A ausência de revisões implica que nenhum aprendizado com os desvios foi incorporado ou que o processo de revisão do POP não está funcionando. Qualquer uma dessas inferências é uma constatação. A posição mínima defensável é uma revisão periódica documentada que confirme que o procedimento foi avaliado e considerado atual, com a assinatura e a data do revisor, mesmo que não haja alterações no conteúdo.

P: Qual é o esforço adicional de validação que uma instalação deve prever ao adicionar o BIBO a uma instalação classificada existente em comparação com a especificação em uma nova construção?
R: O reequipamento do BIBO em uma instalação classificada existente exige, de forma consistente, mais esforço de validação do que a integração durante o projeto inicial, pois a avaliação de impacto deve levar em conta como o novo alojamento interage com o sistema HVAC qualificado existente, as relações de diferencial de pressão e quaisquer áreas de processo adjacentes. Em uma nova construção, o escopo da qualificação, a lógica da requalificação e a estrutura do POP podem ser projetados paralelamente à instalação, reduzindo o retrabalho. Em um retrofit, a linha de base da qualificação existente precisa ser reavaliada para todos os parâmetros que o novo alojamento afeta, o que normalmente acrescenta pelo menos um ciclo de qualificação adicional e pode exigir a requalificação do sistema de tratamento de ar mais amplo se os padrões de fluxo de ar mudarem. Quanto mais restrita for a linha de base da documentação existente, maior será o esforço de modernização.