URS de Transferência de Materiais: Cargas, Limites, Ciclo, Intertravamentos e Evidências

Uma URS de transferência de material determina se um caixa de passagem, tanque de mergulho, ou o sistema de transferência VHP pode ser avaliado com base em um caso operacional real ou apenas com base em uma ficha técnica genérica. O documento define como um fornecedor define preços, configura e qualifica equipamentos que movimentam cargas através de um limite de biossegurança ou contenção, e as lacunas nele contidas vêm à tona posteriormente como desvios no FAT, atrasos no SAT ou critérios de aceitação contestados. Definir corretamente os requisitos antes de emitir uma solicitação de cotação é o que permite que um comprador técnico compare as propostas em condições equitativas.

Traduzir o caso de uso em requisitos mensuráveis do usuário

Um URS existe para converter um caso operacional em declarações com base nas quais um fornecedor possa projetar e uma equipe de qualificação possa verificar. Essa etapa de tradução é onde surge a maior parte da ambiguidade em um projeto, pois uma descrição operacional (“transportamos amostras do laboratório para o corredor”) ainda não constitui um requisito até que especifique a carga, o limite, o ciclo e a condição de aceitação associada a cada um deles.

A tarefa de tradução varia dependendo do objetivo de proteção que rege a transferência. Quando a barreira protege o pessoal e o meio ambiente contra um agente perigoso ou biológico, o conjunto de requisitos gira em torno da integridade da contenção, da eficácia da descontaminação e do acesso controlado a partir do lado contido. Quando a barreira protege um produto contra contaminação, o conjunto de requisitos gira em torno da manutenção de uma condição limpa ou estéril no lado protegido e do controle do que entra nele. Um único equipamento de transferência, como uma caixa de passagem ou um Caixa de passes VHP, pode estar localizado em qualquer um dos dois tipos de limite, e o mesmo componente físico terá uma lógica de requisitos diferente, dependendo do lado que o projeto estiver protegendo. Declarar esse objetivo orientador no início do URS evita confusões posteriores, quando intertravamentos, alarmes ou lógica de ciclo forem especificados mais adiante, pois um requisito que pareça razoável para um limite de contenção pode ser inadequado para um limite asséptico, e vice-versa.

A mensurabilidade é a segunda tarefa de tradução. Um requisito que expresse uma intenção sem uma condição verificável não pode ser encerrado nas etapas FAT, SAT, IQ ou OQ, pois não há uma base observável para determinar se foi aprovado ou reprovado. De acordo com o Estrutura de qualificação do Anexo 15 do EudraLex, Volume 4, o URS continua sendo uma referência ao longo de todo o ciclo de vida da validação, e a qualificação do projeto verifica se o projeto atende aos requisitos do URS; um requisito que não possa ser verificado nessa etapa não tem como ser resolvido. Isso significa que cada declaração de caso operacional precisa de uma condição associada: o que é carregado, de onde, para onde, em que estado do ciclo, com qual lógica de liberação e quais evidências irão confirmá-la. Quando a equipe do projeto ainda não puder definir uma condição mensurável para um requisito, essa lacuna deve constar na lista de itens em aberto que a RFQ mantém, e não ser incorporada a uma especificação vaga que um fornecedor não possa cotar ou verificar.

O efeito prático do trabalho desta seção é que todas as seções subsequentes do URS herdam sua disciplina a partir daqui: se o caso operacional e o objetivo determinante não forem definidos primeiro, o cronograma de carga, a definição dos limites e a lógica do ciclo que se seguem levarão adiante a mesma ambiguidade.

Descreva cada carga e a direção de transferência que ela deve seguir

Um cronograma de carga só é útil para um fornecedor se descrever o material específico que o equipamento deve transportar, e não uma classe genérica de material que por acaso se assemelhe a ele. Uma exigência formulada como “consumíveis padrão de laboratório” leva o fornecedor a projetar com base em sua própria suposição do que isso significa, e essa suposição pode não corresponder ao item mais pesado, maior ou menos compatível que o projeto realmente transportará. A especificação deve, ao contrário, identificar as dimensões máximas, a massa máxima, as condições da embalagem no ponto de entrega, o estado da superfície dessa embalagem, quais materiais exigem confirmação de compatibilidade e quais orientações são permitidas durante o transporte.

Cada um desses parâmetros altera uma parte diferente da configuração proposta. As dimensões e a orientação permitida determinam se o trajeto de transferência e a abertura da porta acomodam a maior carga prevista sem forçar uma orientação que a embalagem não possa tolerar. A massa afeta as prateleiras, os suportes e qualquer trajeto de transferência mecanizado. A embalagem e as condições da superfície são importantes porque um ciclo de descontaminação — quando este faz parte do caso operacional — interage com a superfície exposta; um tipo de embalagem ou condição de superfície não incluído na programação de carga do projeto é um tipo de embalagem ou condição de superfície que o ciclo de descontaminação não abrange, independentemente do que a capacidade geral do equipamento permita. A compatibilidade de materiais funciona da mesma maneira: a confirmação da compatibilidade para um material não se estende a um material diferente introduzido posteriormente sem uma revisão.

A direção da transferência é um requisito distinto da própria descrição da carga. Um limite que deva suportar cargas movendo-se apenas de um lado não contido ou não classificado para o lado contido ou protegido possui uma lógica de intertravamento e validação diferente daquela que também deve suportar a direção inversa, ou ambas as direções em diferentes estados do ciclo. Quando um projeto prevê que o requisito de direção possa se expandir posteriormente — por exemplo, uma transferência unidirecional que mais tarde possa precisar suportar a saída de material de uma área contida —, indicar essa possibilidade no URS permite que o fornecedor avalie se a configuração proposta oferece um caminho viável para essa capacidade, em vez de exigir um sistema substituto.

Deixar qualquer um desses campos sem especificação não elimina a exigência; isso transfere a decisão para a suposição padrão do fornecedor, que o projeto só descobre na FAT ou posteriormente.

Definir os limites, as interfaces entre os cômodos, os serviços públicos e o acesso aos serviços

A definição do limite é o ponto em que a URS deixa de descrever o equipamento isoladamente e passa a descrever como ele se encaixa dentro de uma instalação real. A primeira informação de que todo revisor precisa é saber qual lado do limite é “limpo” ou qual lado é “confinado”, pois cada intertravamento subsequente, regra de acesso a portas e decisão em caso de falha depende dessa designação. Um requisito redigido sem indicar qual lado está protegido é incompleto, mesmo que todas as dimensões e valores de massa estejam corretos, pois o fornecedor não pode determinar a integridade de qual lado a lógica de controle deve priorizar quando ocorrer uma falha.

O acesso às portas decorre diretamente da definição dos limites. Especificar quem pode abrir cada porta, em que condições e de que lado não é uma repetição redundante da lógica de intertravamento; trata-se da política operacional que a lógica de intertravamento irá posteriormente aplicar no hardware e no software. Um projeto que defina essa política de acesso de forma vaga corre o risco de que um fornecedor desenvolva sistemas de intertravamento que sejam tecnicamente funcionais, mas que não correspondam à forma como a unidade pretende operar o equipamento no dia a dia.

As interfaces de ambiente descrevem a condição que o equipamento deve atender em cada lado: a classificação, o regime de pressão ou o status de contenção do espaço ao qual o equipamento de transferência se conecta. Isso difere da designação de limite, pois a condição de uma interface de ambiente pode mudar independentemente de qual lado seja “protegido” — um ambiente pode ser reclassificado, ou uma cascata de pressão pode ser ajustada, sem alterar qual lado do equipamento de transferência é limpo ou contido. O URS deve indicar a condição de interface com a qual o equipamento deve ser compatível, para que uma alteração posterior na instalação possa ser verificada em relação à condição declarada, em vez de ser apenas presumida.

Os serviços públicos e o acesso aos serviços completam a definição dos limites, pois determinam o que a configuração instalada realmente exige do edifício e quais acessos o local deve preservar posteriormente. Listar os serviços públicos necessários para a configuração selecionada permite que o projeto confirme se a instalação pode fornecê-los no local pretendido; omitir isso acarreta o risco de uma configuração que funcione conforme especificado, mas que não possa ser instalada sem que sejam necessárias adaptações na instalação. O acesso aos serviços funciona de maneira oposta: é uma restrição que a instalação impõe ao equipamento, indicando qual espaço livre ou condição de acesso deve ser preservado para que a manutenção possa ocorrer sem comprometer os limites. Esse é um ponto em que as informações fornecidas pelo projeto — os limites, a interface e as condições dos serviços públicos — se tornam a base que a QUALIA utiliza para configurar e cotar uma solução de transferência de acordo com o caso específico, em vez de se basear em uma descrição genérica do produto.

Especifique os estados do ciclo, intertravamentos, alarmes, desvios e recuperação

Os requisitos de ciclo e intertravamento são os pontos em que o URS define como o equipamento se comporta durante a operação normal e como se comporta quando ocorre uma falha, e ambas as partes devem ser especificadas com o mesmo rigor. A parte relativa à operação normal começa com a identificação das fases do processo que o ciclo deve incluir e dos pontos em que o ciclo é monitorado. Isso é importante porque um requisito de ciclo definido apenas como um resultado (“a carga deve ser descontaminada”), sem especificar as fases e os pontos de monitoramento, não oferece ao fornecedor nenhuma base para propor uma sequência específica e não fornece à equipe de validação pontos de verificação para conferir posteriormente. Anexo 1 das BPF da UE aborda esse tipo de estrutura no contexto da fabricação em ambiente estéril, descrevendo controles de transferência e ciclos de biodecontaminação validados que operam dentro de parâmetros de ciclo definidos; o princípio geral — de que um ciclo é definido por suas fases, pontos de monitoramento e parâmetros validados, e não apenas pelo resultado pretendido — aplica-se de maneira ampla, embora a receita específica do ciclo nunca seja universal e continue sendo uma determinação específica de cada projeto.

O padrão de carga é importante porque um ciclo validado para um determinado arranjo de cargas não se aplica automaticamente a um arranjo diferente. Quando a programação de cargas do projeto incluir itens de tamanhos, densidades ou embalagens variados, o URS deve indicar quais padrões de carga o requisito do ciclo deve abranger, de modo que as evidências de qualificação geradas posteriormente correspondam, de fato, ao que os operadores irão carregar na prática, em vez de uma única configuração idealizada.

Os bloqueios das portas estão ligados à definição de limites: esta seção especifica quem pode abrir cada porta e em qual estado do ciclo, convertendo a política geral de acesso em uma condição verificada em relação à máquina de estados real do ciclo. Requisitos relativos a alarmes e desvio Em seguida, definir o espaço de exceção — quais condições acionam um alarme e quais delas permitem um desvio iniciado pelo operador, em comparação com aquelas que exigem a interrupção total do processo. Um desvio que não esteja documentado no URS, mas que exista no sistema de controle entregue, passa a ser uma constatação de qualificação, em vez de um recurso planejado.

Os requisitos de recuperação de falhas definem o estado seguro que o equipamento deve atingir após uma falha de alimentação, pressão, sensor ou ciclo, e isso varia de acordo com o tipo de barreira: o estado seguro de uma barreira de contenção geralmente prioriza manter o lado contido vedado, enquanto o estado seguro de uma barreira asséptica prioriza impedir que o lado protegido seja exposto a um ambiente não controlado. O mesmo evento de falha pode exigir uma resposta diferente do equipamento, dependendo de qual objetivo rege a barreira; é por isso que esse requisito não pode ser copiado de um projeto diferente sem antes verificar o objetivo que o rege.

A lógica de liberação e os gatilhos de requalificação fecham o ciclo: a lógica de liberação define a condição que distingue um ciclo incompleto de um ciclo elegível para liberação de carga, e os gatilhos de requalificação definem quais eventos — uma alteração de componente, um desvio, um intervalo de tempo — significam que as evidências de qualificação existentes não se aplicam mais ao caso definido. ISO 14644-7 observa que os requisitos do usuário relativos ao dispositivo separador são uma questão acordada entre o cliente e o fornecedor e que a norma não especifica o processo instalado no interior do dispositivo; por isso, esses parâmetros de ciclo e intertravamento devem ser indicados explicitamente nos Requisitos de Especificação do Usuário (URS) do próprio projeto, em vez de serem inferidos a partir da categoria do dispositivo.

Mapeie cada requisito aos documentos dos fornecedores e às evidências de qualificação

Um requisito sem um destino de evidência é uma declaração de intenção, não uma especificação verificável. Cada linha no URS — entrada na programação de carga, condição de contorno, fase do ciclo, regra de intertravamento, condição de alarme, critério de liberação — precisa de um ponto associado na cadeia de documentação do projeto, no qual um fornecedor ou usuário demonstre que o requisito foi atendido. Esse destino é normalmente um dos documentos de teste do próprio fornecedor, um teste de aceitação em fábrica, um teste de aceitação no local, uma qualificação de instalação, uma qualificação operacional ou evidência do processo no local gerada assim que o equipamento estiver em uso rotineiro.

A escolha do destino não é arbitrária e depende do que o requisito realmente verifica. Um requisito dimensional ou de massa geralmente pode ser confirmado por meio da documentação do fornecedor e de um teste de fábrica, pois a característica física não depende do ambiente de instalação. Um requisito vinculado à interface da sala ou a uma conexão de serviços públicos geralmente não pode ser concluído até que o equipamento seja instalado no local, pois o comportamento que está sendo verificado só existe quando o equipamento interage com a instalação real. Um requisito de desempenho de ciclo pode exigir evidências de várias etapas: um teste de fábrica que confirme que a sequência de controle é executada conforme projetado, um teste no local que confirme que ela é executada corretamente após a instalação e uma etapa de qualificação que confirme que o ciclo atua de acordo com os parâmetros definidos nas condições do local. No âmbito do Anexo 15, a qualificação do projeto é a etapa que verifica se o projeto está em conformidade com o URS, o que torna esse trabalho de mapeamento uma pré-condição para essa verificação, e não uma atividade paralela — um requisito ao qual nunca foi atribuída uma fonte de evidência não pode ser verificado de forma significativa na qualificação do projeto, pois não há nada a que se referir.

Quando o destino da evidência de um requisito não for especificado, a decisão sobre onde e como verificá-la recai, por padrão, sobre a parte que controla o protocolo de teste naquela etapa, o que pode não corresponder à expectativa real do projeto. Uma equipe de projeto que deixa esse mapeamento incompleto ao iniciar uma solicitação de cotação (RFQ) está, na prática, pedindo que cada fornecedor decida de forma independente onde começa e termina seu escopo de comprovação, o que torna mais difícil comparar as respostas dos fornecedores em condições equitativas. Tornar esse mapeamento explícito, mesmo que provisoriamente, proporciona tanto ao fornecedor quanto ao usuário um entendimento comum sobre onde a conformidade será demonstrada antes da assinatura dos contratos.

Congelar as responsabilidades de aceitação antes de emitir a solicitação de cotação

Antes do envio de uma solicitação de cotação (RFQ), o projeto precisa definir quem realizará cada etapa do trabalho de verificação e quem aceitará o resultado, independentemente da definição do requisito em si. Um requisito pode estar especificado de forma completa e clara e, mesmo assim, gerar uma controvérsia na entrega se a equipe do projeto nunca tiver definido se o teste de fábrica do fornecedor é suficiente para um determinado requisito ou se o próprio teste no local do usuário deve confirmá-lo de forma independente. Essa é uma decisão distinta do trabalho de mapeamento de evidências, pois o mapeamento identifica onde um requisito será verificado, enquanto a responsabilidade pela aceitação decide quem realiza essa verificação e quem tem autoridade para aprová-la.

Isso é mais importante nas transições entre as etapas de aceitação. Um teste de aceitação em fábrica, realizado nas instalações do fornecedor, demonstra que o equipamento funciona conforme projetado, sob condições controladas pelo fornecedor. Um teste de aceitação no local demonstra as mesmas funções após a instalação, sob as condições reais de serviços públicos e interfaces da sala do projeto; é por isso que os requisitos vinculados às condições de interface da sala ou de serviços públicos muitas vezes não podem ser concluídos na etapa de fábrica, independentemente da rigorosa verificação prévia realizada pelo fornecedor. Se o projeto não tiver especificado antecipadamente quais requisitos devem ser atendidos em cada etapa, a proposta do fornecedor poderá distribuir a verificação de maneira diferente do que o projeto pressupõe, e essa incompatibilidade só se torna visível quando o equipamento chega e alguém questiona por que um requisito não foi testado onde se esperava.

Fixar essas responsabilidades antes da Solicitação de Cotação (RFQ) também protege a comparabilidade das respostas dos fornecedores. Quando um fornecedor propõe cumprir um determinado requisito na FAT e outro propõe adiá-lo para a SAT ou OQ, suas cotações não são diretamente comparáveis, a menos que o projeto já tenha definido em que etapa espera que esse requisito seja cumprido. Tornar essa expectativa explícita no URS, mesmo que seja apenas uma preferência declarada que o projeto está aberto a discutir, proporciona a todos os licitantes a mesma base de referência para a definição de preços.

Os requisitos regulados por esta seção são aqueles que, provavelmente, dependem mais das prioridades específicas do projeto: se a equipe de qualificação do próprio usuário deve presenciar determinados testes, se o fornecimento de bioindicadores ou indicadores químicos para um ciclo é de responsabilidade do fornecedor ou do usuário, e qual das partes é responsável pela requalificação assim que o equipamento estiver em serviço. Essas atribuições não estão implícitas no próprio requisito técnico e precisam ser declaradas como itens separados antes do envio da solicitação de cotação, para que as respostas da QUALIA ou de qualquer outro fornecedor possam ser avaliadas com base em uma divisão compartilhada e pré-acordada das tarefas de aceitação, em vez de serem conciliadas posteriormente.

Perguntas frequentes

Q: O que precisa ser resolvido para que os fornecedores possam definir o preço dessa mesma caixa de transferência?
A: Defina as cargas reais, a direção de transferência, o limite protegido, as interfaces com os ambientes, os serviços necessários, o acesso para manutenção e o acesso permitido pelas portas. Indique também as condições de ciclo, intertravamento, alarme, recuperação e liberação pertencentes ao caso cotado, de modo que as diferenças entre as cotações reflitam a solução proposta, e não premissas diferentes.

Q: Uma única descrição de carga máxima pode abranger todas as transferências de material?
A: Somente se todas as cargas previstas apresentarem as mesmas condições relevantes. Separe os padrões de carga quando houver diferenças nas dimensões, massa, embalagem, condição da superfície, compatibilidade de materiais, orientação permitida ou direção de transferência, e identifique quais padrões a configuração proposta e suas justificativas devem abranger.

Q: Até que ponto os requisitos do ciclo devem ser específicos quando a receita operacional definitiva ainda não foi confirmada?
A: Especifique as fases do processo necessárias, os pontos de monitoramento, os padrões de carga abrangidos, a lógica de liberação e os gatilhos de requalificação, sem definir valores de ciclo fixos. Os parâmetros específicos do projeto e os critérios de aceitação podem, então, ser confirmados em relação à configuração selecionada e à abordagem de qualificação.

Q: O que o URS deve exigir após uma falha de energia, pressão, sensor ou ciclo?
A: Especifique a condição de segurança para a carga e para ambas as portas, que podem ser acionadas de cada lado, e se é permitido algum procedimento de desvio ou recuperação. Defina as evidências necessárias antes que a sequência possa ser retomada ou que a carga possa ser liberada, em vez de deixar o comportamento de recuperação a cargo de uma suposição não declarada do fornecedor.

Q: Como é possível identificar lacunas na aceitação antes da emissão da solicitação de cotação?
A: Vincule cada requisito ao documento ou à etapa de teste em que a conformidade será demonstrada, como documentação do fornecedor, FAT, SAT, IQ, OQ ou evidências do processo no local. Atribua a responsabilidade pelo fornecimento e aprovação dessas evidências, mantendo a etapa exata e os critérios de aceitação específicos do projeto.