Lista de verificação SAT para sistemas integrados BSL-3/4: serviços públicos, controles, alarmes, HEPA, VHP e EDS

Os sistemas integrados BSL-3/4 são reprovados no SAT não porque os componentes individuais estejam com defeito, mas porque as conexões entre eles — utilidades, controles, exaustão HEPA, fornecimento de VHP e interfaces EDS — nunca foram testadas em condições que reflitam como o prédio realmente opera. O resultado costuma ser uma pressão instável durante o primeiro teste de abertura de porta, um ciclo de VHP que não consegue ser concluído porque a lógica do amortecedor de exaustão nunca foi confirmada, ou registros de alarme que não podem ser rastreados até sensores calibrados. Essas falhas são recuperáveis antes do início da qualificação; elas se tornam onerosas após a emissão dos registros de IQ/OQ. O julgamento prático que esta lista de verificação apoia consiste em saber quais comportamentos integrados devem apresentar registros de aprovação antes do início da qualificação e quais itens não resolvidos podem ser transferidos para a fase seguinte somente se apresentarem uma disposição documentada e baseada no risco.

Programas instalados nas verificações de prontidão do SAT

O motivo mais comum pelo qual os registros dos testes SAT são posteriormente contestados é que os testes foram iniciados antes que os sistemas instalados estivessem estáveis o suficiente para garantir resultados repetíveis. Quando a pressão de alimentação é inconsistente, o fluxo de exaustão não está equilibrado ou ainda há conexões temporárias em vigor, um teste com falha não pode ser atribuído ao sistema em avaliação — ele pode simplesmente refletir o estado inacabado do edifício. Essa ambiguidade é difícil de resolver posteriormente, especialmente quando se espera que esses mesmos registros sirvam de base para a documentação do IQ.

Antes do início do SAT, o estado operacional que realmente existe na interface do equipamento deve ser confirmado, e não presumido. Isso significa verificar se os volumes e as pressões do ar de alimentação estão dentro da faixa para a qual os controles foram configurados, se as conexões de exaustão são permanentes e equilibradas, se as alimentações elétricas correspondem aos requisitos de carga com os quais o equipamento foi testado na fábrica e se instrumentos calibrados estão instalados nos pontos onde os dados serão registrados. A cobertura de energia de emergência e a redundância do sistema de exaustão também devem estar em funcionamento, e não apenas programadas — testar o comportamento do sistema durante uma simulação de interrupção no fornecimento de energia só é justificável se os sistemas de backup estiverem efetivamente conectados.

A integridade da vedação faz parte dessa verificação de prontidão. O SAT é a primeira oportunidade de inspecionar juntas, penetrações, vedações de portas, passagens e envidraçamentos nas condições em que foram instalados. Identificar uma penetração com vazamento ou uma vedação de porta que tenha sido comprimida fora das especificações durante a instalação é algo fácil de resolver nesta fase. Descobrir o mesmo problema durante o teste de cascata de pressão, ou pior ainda, durante um teste de qualificação, transforma uma pequena deficiência de construção em um desvio formal que exige documentação da causa raiz e recuperação do cronograma. A verificação de prontidão do SAT não é uma pré-condição meramente formal; é um passo prático que determina se os resultados dos testes subsequentes serão válidos.

Controles e alarmes verificados antes da IQ/OQ

Sistemas de controle de pressão que apresentam desempenho aceitável em condições estáticas podem se comportar de maneira muito diferente durante as perturbações que caracterizam a operação normal em laboratórios BSL-3/4. A abertura de uma porta na antecâmara, um filtro que acumulou resíduos entre os ciclos de manutenção ou um desequilíbrio temporário no sistema de exaustão durante uma interrupção no fornecimento de ar podem todos expor pontos fracos na lógica de controle de pressão que uma verificação com um único ponto de ajuste nunca revelaria. Quando esses pontos fracos não são detectados durante o SAT, eles tendem a vir à tona durante os testes de qualificação, nos quais uma falha no teste de recuperação de pressão é um evento formal com consequências para o cronograma e a documentação.

O foco da verificação dos controles e alarmes deve ir além da simples confirmação de que os pontos de ajuste estão programados corretamente. A lógica de resposta dinâmica — incluindo a sequência de limites de alarme, a comutação de redundância e a capacidade do sistema de recuperar a contenção após uma perturbação — precisa ser demonstrada em condições de perturbação, não apenas em estado estacionário. A integração com o BMS também requer atenção nesse aspecto: se os sinais de alarme não forem mapeados corretamente para a camada de gerenciamento do edifício, ou se a hierarquia de prioridades não corresponder ao protocolo de resposta pretendido pela instalação, essas lacunas não ficarão evidentes até que ocorra um evento de alarme real. A norma ASTM E2500-25, que fornece uma estrutura baseada na ciência e no risco para a especificação e verificação de sistemas de fabricação farmacêutica, apoia o princípio de que a integração entre sistemas de controle deve ser verificada em relação a requisitos funcionais definidos, em vez de ser inferida apenas a partir das fichas técnicas dos equipamentos.

A implicação prática é que a verificação dos controles e alarmes durante o SAT é a última etapa em que a lógica do fornecedor pode ser questionada e alterada sem gerar um registro formal de controle de mudança em um sistema qualificado. Após o IQ/OQ, qualquer modificação nos limites de alarme, intertravamentos ou mapeamento do BMS constitui uma mudança validada no sistema. Equipes que adiam a verificação dos controles para a fase de qualificação frequentemente constatam que o custo de uma única revisão da lógica — em termos de documentação, novos testes e cronograma — excede o que teria custado resolver a mesma questão durante o SAT.

Registros de interface HEPA, VHP e EDS

HEPA, VHP e EDS costumam ser tratados como fluxos de trabalho de comissionamento distintos, mas suas interfaces com o mesmo envelope do edifício criam dependências que o SAT deve verificar de forma conjunta. Um compartimento HEPA instalado sem que se tenha confirmado o acesso para o teste de integridade do filtro, por exemplo, pode exigir uma desmontagem parcial antes que o primeiro teste de varredura possa ser realizado — transformando uma etapa rotineira de comissionamento em uma modificação mecânica que atrasa toda a sequência de qualificação. O Bag-in Bag-out A configuração do compartimento do filtro resolve essa questão por si só, mas a interface entre o compartimento, o duto de exaustão e o sistema de controle de pressão da sala ainda requer uma verificação específica para cada local durante o SAT.

A compatibilidade com o VHP exige mais do que apenas confirmar que o gerador forneceu a concentração especificada de peróxido de hidrogênio durante o Teste de Aceitação no Fábrica (FAT). No local, a verificação deve comprovar que os materiais de superfície, juntas, vedações de portas, caixas de sensores e quaisquer conexões de penetração instaladas durante a construção sejam compatíveis com a exposição repetida ao VHP. A degradação dos materiais causada pela ação química do VHP é cumulativa e, normalmente, não fica visível até que uma vedação falhe ou uma superfície se torne difícil de limpar. A Gerador de peróxido de hidrogênio VHP pode proporcionar ciclos consistentes, mas se a estrutura da sala incluir componentes que foram substituídos durante a construção sem uma verificação de compatibilidade, os resultados da distribuição de VHP acabarão se tornando inconsistentes. A norma ISO 14644-3:2019, que rege os métodos de teste para salas limpas, incluindo testes de vazamento na instalação de filtros, fornece um quadro de referência para a metodologia de teste de integridade dos filtros HEPA; a compatibilidade com VHP e a rastreabilidade digital por EDS são domínios de verificação distintos que estão fora do escopo dessa norma.

Os registros da interface do EDS contêm uma função de auditoria específica que costuma ser subestimada durante o SAT. Os registros de eventos, a continuidade do monitoramento integrado e os dados de tendências do EDS provavelmente serão analisados durante as inspeções regulatórias como evidência de que a descontaminação de resíduos líquidos esteve em funcionamento durante todo o período de qualificação. Se esses registros não estiverem estruturados para permitir a rastreabilidade digital a partir do início do SAT, será difícil preencher essa lacuna retroativamente.

A consequência da falta de registros de interface não é, em primeiro lugar, um atraso na qualificação — trata-se de um problema de justificabilidade. Um inspetor que solicite a base de comissionamento de um resultado de varredura de integridade do filtro HEPA, um mapa de distribuição de VHP ou um registro de eventos do EDS referente ao início do período de qualificação está solicitando evidências que deveriam ter sido coletadas durante o SAT. Se esses registros não tiverem sido estruturados para responder a essa pergunta, essa lacuna exigirá uma explicação formal.

Lista de pendências compartilhada entre o fornecedor e as equipes da unidade

Quando as equipes do fornecedor e da instalação trabalham com listas de pendências separadas, os itens atribuídos a um lado frequentemente são desconhecidos pelo outro até que um conflito de cronograma os traga à tona. O resultado é que marcos críticos para a validação — conclusão dos testes de pressão, transferência dos controles, aprovação da qualificação dos serviços públicos — são tratados como conclusões de fluxos de trabalho internos, em vez de etapas compartilhadas. Quando ambas as equipes tentam conciliar seus registros antes da Inspeção de Qualificação (IQ), as discrepâncias nos critérios de aceitação, nas partes responsáveis e no status dos itens podem levar mais tempo para serem resolvidas do que os próprios itens.

A fase de aquisição é o momento certo para estabelecer uma estrutura de responsabilidade compartilhada. Exigir que os licitantes identifiquem itens com prazo de entrega longo, dependências do local e marcos críticos para a validação durante a análise das propostas — antes da adjudicação do contrato — torna as premissas do cronograma explícitas, em vez de implícitas. Uma matriz de responsabilidades que atribua as responsabilidades de projeto, fabricação, instalação, controles e comissionamento a partes especificadas oferece a ambas as equipes uma referência que elas podem usar para resolver disputas sem renegociar o escopo. Para sistemas integrados complexos, essa estrutura não é uma formalidade administrativa; é o mecanismo que determina se o SAT pode ser executado como uma atividade conjunta com registros defensáveis em conjunto. Mais detalhes sobre como esses pontos de transferência de comissionamento são normalmente estruturados podem ser encontrados no Guia passo a passo para a entrada em operação do seu laboratório BSL-3.

Os documentos de comissionamento pré-SAT devem definir critérios de aceitação que ambas as equipes possam utilizar para avaliar o mesmo resultado. Expressões genéricas — como “o sistema funciona conforme especificado” ou “os controles estão operacionais” — não servem de base para uma decisão de disposição quando o resultado é ambíguo. Os únicos itens da lista de pendências que podem ser transferidos como itens em aberto controlados são aqueles em que ambas as equipes concordaram com o critério, registraram o resultado real e documentaram a justificativa de risco para o adiamento. Itens cujo critério nunca foi definido não podem ser encerrados, adiados ou dispostos; eles só podem ser objeto de discussão.

Resolução de itens em aberto antes do início da qualificação

A decisão de classificação — que determina quais itens não resolvidos do SAT estão realmente bloqueando o processo e quais podem ser transferidos como itens em aberto controlados — é onde a qualificação do sistema integrado mais frequentemente fica paralisada desnecessariamente ou prossegue com riscos ocultos. Equipes que aplicam uma retenção generalizada até que tudo esteja resolvido perdem tempo com itens que não têm nenhuma possibilidade plausível de afetar os resultados da qualificação. Equipes que transferem itens para a próxima fase sem uma disposição documentada criam um registro de qualificação que não resiste a uma revisão de documentos que questione como cada item em aberto foi avaliado antes do início da qualificação do sistema integrado.

A base para as decisões de resolução é o pacote de documentação de projeto. Se os documentos de base do projeto definirem claramente a intenção operacional, a filosofia de controle e os pressupostos de configuração, e se o pacote “as-built” refletir as alterações aprovadas com cronogramas rastreáveis dos componentes, então cada item em aberto poderá ser avaliado em relação a uma linha de base conhecida. Um item é considerado bloqueador se sua resolução afetar um comportamento do sistema que será testado durante a Qualificação de Instalação (IQ) ou a Qualificação Operacional (OQ). Ele é transferível como um item em aberto controlado se puder ser delimitado, atribuído, programado e confirmado como não afetando o escopo de teste para a próxima etapa de qualificação. Esse julgamento requer a existência de documentação; não pode ser feito de forma confiável na ausência dela. O EudraLex, Volume 4, Anexo 15, que aborda princípios de qualificação e validação, incluindo documentação de projeto e rastreabilidade de alterações, apoia o princípio mais amplo de que a intenção do projeto e os registros “conforme construído” devem ser suficientemente completos para apoiar atividades de qualificação subsequentes — embora o fluxo de trabalho específico para a disposição de itens em aberto em BSL-3/4 seja uma decisão de engenharia, e não um procedimento definido de forma prescritiva.

A disciplina na documentação do fornecedor é um indicador precoce confiável do desempenho dessa etapa. Um fornecedor que entregou os documentos de base de projeto com atraso, que registrou desvios no FAT de maneira informal ou que tratou o gerenciamento de mudanças como uma função administrativa interna durante a fabricação provavelmente apresentará os mesmos padrões na documentação do SAT. Esse padrão é importante porque registros incompletos ou ambíguos do SAT não são meramente um inconveniente na fase de disposição — eles se tornam a base formal sobre a qual as decisões de qualificação são tomadas, e lacunas neles não podem ser sanadas retrospectivamente sem a geração de novos registros que serão minuciosamente analisados pelos auditores.

Limite do SAT para aceitação do sistema integrado

A ausência de normas nacionais uniformes para o projeto, o comissionamento e a operação de laboratórios de alta contenção — uma lacuna apontada em uma análise do GAO de 2013 — é uma razão prática pela qual os critérios de aceitação no SAT devem ser definidos explicitamente pela equipe do projeto, e não importados de modelos genéricos de conformidade. Quando tanto o fornecedor quanto a instalação trabalham com interpretações internamente consistentes, mas mutuamente diferentes, do que é “desempenho aceitável”, o registro do SAT reflete um acordo que, na verdade, nunca foi alcançado. Esse problema documental se transforma em um problema de qualificação quando um inspetor pergunta com base em qual critério o sistema foi aceito e ambas as equipes dão respostas diferentes.

A confirmação da cascata de pressão é o exemplo mais claro de que valores específicos são mais importantes do que afirmações gerais. Definir que uma sala deve manter um diferencial nominal, com uma faixa de tolerância especificada, e que deve se recuperar para dentro dessa faixa dentro de um tempo definido após uma perturbação na porta, produz um critério testável. Afirmar que o sistema deve “manter pressão negativa” não o faz. A mesma lógica se aplica ao comportamento em modo de falha: o registro de aceitação deve mostrar que, quando ocorreu uma falha no ventilador de alimentação, a sequência de alarmes foi acionada na ordem correta, o caminho redundante foi ativado dentro de um intervalo definido e a pressão da sala permaneceu dentro da faixa de contenção durante toda a transição. Se esse teste não foi realizado, o comportamento em modo de falha é desconhecido — e o registro de qualificação que se segue é baseado em uma suposição, não em uma demonstração.

A lista de verificação de comissionamento do BIBO, que abrange Pontos relacionados a FAT, SAT, IQ e OQ que costumam passar despercebidos identifica várias lacunas nos critérios de aceitação que se repetem especificamente na transição do SAT para o IQ, o que é consistente com o padrão mais amplo: a linguagem genérica de aceitação tende a ser aprovada na revisão interna e reprovada na inspeção externa, pois os revisores internos sabem qual era a intenção, enquanto os inspetores só podem avaliar o que foi escrito.

As decisões que determinam se um sistema integrado BSL-3/4 passa sem problemas para a fase de qualificação não são tomadas durante a IQ ou a OQ — elas são tomadas durante o SAT, e a maioria delas depende de quão bem os critérios de aceitação foram definidos antes do início dos testes. Uma lista de verificação que abranja a prontidão dos serviços de utilidades, a resposta dinâmica à pressão, os registros de interface de HEPA e VHP, a rastreabilidade do EDS e a integração de alarmes oferece às equipes do fornecedor e da instalação uma referência comum. No entanto, uma lista de verificação só funciona como um critério de decisão se cada item nela contiver um critério mensurável e um responsável designado.

Antes de prosseguir para a qualificação, a confirmação prática é simples: cada item crítico do SAT possui um registro de aprovação em relação a um critério definido ou uma decisão por escrito baseada no risco, aprovada por ambas as equipes. Itens para os quais o critério nunca foi definido não podem ter uma decisão tomada; eles só podem ser adiados para o período de qualificação, onde resolvê-los custará mais em termos de documentação, novos testes e cronograma do que resolvê-los agora.

Perguntas frequentes

P: O SAT pode prosseguir se apenas alguns serviços estiverem estabilizados, enquanto outros ainda estiverem sendo finalizados no local?
R: Não — a preparação parcial dos serviços públicos gera resultados de teste que não podem ser atribuídos de forma confiável ao sistema em avaliação. Se o ar de alimentação, o equilíbrio de exaustão ou as alimentações elétricas não estiverem em sua configuração permanente e estável quando o teste começar, um resultado reprovado pode refletir o estado inacabado do edifício, e não uma deficiência do sistema. Essa ambiguidade é difícil de resolver uma vez que o registro já exista, especialmente quando se espera que a mesma documentação sirva de base para o IQ. Todas as interfaces de serviços devem ser confirmadas no ponto de conexão do equipamento antes do início da execução do teste SAT.

P: Após o encerramento do SAT, qual é o próximo passo imediato antes que se possa dar início à documentação do QI?
R: O próximo passo imediato é a resolução formal dos itens em aberto — cada item SAT deve apresentar um registro de aprovação em relação a um critério definido ou uma resolução por escrito, baseada em risco, aprovada tanto pela equipe do fornecedor quanto pela equipe da instalação. A documentação da IQ não pode ter início até que essa revisão esteja concluída, pois a base de projeto e o pacote de documentos “as-built” utilizados para avaliar os itens em aberto são a mesma documentação que a IQ utilizará para estabelecer a linha de base de qualificação. Tentar iniciar a IQ enquanto a classificação entre itens bloqueadores e transferíveis ainda estiver pendente introduz ambiguidade no registro de qualificação, o que é difícil de corrigir retroativamente.

P: Em que momento as orientações desta lista de verificação deixam de se aplicar — por exemplo, no caso de uma instalação de nível de segurança biológica 3 (BSL-3) que seja modular ou pré-fabricada, em vez de construída no local?
R: A lógica da lista de verificação ainda se aplica, mas a condição de limite muda. No caso de um sistema BSL-3 modular ou pré-fabricado, uma parte mais significativa dos testes de integração pode ter sido realizada na fábrica, o que pode reduzir certos fluxos de trabalho do SAT. No entanto, as interfaces que só são estabelecidas no local — conexões de serviços públicos, balanceamento de exaustão com a infraestrutura do edifício, mapeamento de alarmes do BMS e integração do EDS — não podem ser verificadas no FAT e permanecem dentro do escopo do SAT, independentemente do grau de pré-integração. O escopo do SAT não diminui; ele se reajusta em torno das interfaces que são genuinamente novas na instalação.

P: É necessário um agente de comissionamento independente para o SAT em um sistema integrado BSL-3/4, ou as equipes do fornecedor e da instalação podem realizar a autocertificação?
R: A autocertificação é possível, mas acarreta um risco específico: quando a mesma equipe que configurou um sistema também aprova seus próprios registros de SAT, a lista de pendências compartilhada e as decisões de resolução podem não passar por uma análise independente. Na prática, o problema é que os critérios de aceitação tendem a se alinhar ao que o sistema é capaz de demonstrar, em vez do que a base de projeto exigia. A necessidade de um agente de comissionamento independente depende da exposição regulatória da instalação e da complexidade do BMS e das interfaces de intertravamento — mas, no mínimo, os critérios de aceitação e as decisões de disposição devem ser revisados por alguém que não tenha um incentivo de cronograma para encerrar itens rapidamente.

P: Como as equipes devem ponderar o custo de resolver todas as questões do SAT antes do IQ em relação à pressão do cronograma para iniciar a qualificação mais cedo?
R: A comparação não é simétrica. Resolver uma lacuna na lógica de controle ou um erro de mapeamento de alarme durante o SAT exige tempo da equipe de engenharia e um registro de teste revisado. Resolver o mesmo problema após o IQ gera um evento formal de controle de mudança, exige novos testes em relação à linha de base qualificada e produz um registro de desvio que ficará visível durante a inspeção regulatória. Para itens que afetam qualquer comportamento testado durante o IQ ou o OQ — resposta da cascata de pressão, sequenciamento de alarmes em modo de falha, lógica de conclusão do ciclo de VHP — a resolução antecipada é consistentemente a opção de menor custo. O argumento de cronograma para adiar esses itens só se sustenta se uma disposição documentada e baseada em risco puder argumentar de forma convincente que o item não resolvido não pode afetar o escopo do teste de qualificação.