Qualificação operacional para os sistemas VHP, BIBO, Pass Box e APR Door: funções que exigem comprovação

Quando falhas na lógica de intertravamento ou de alarme passam despercebidas durante a OQ, elas tendem a se manifestar em condições difíceis de gerenciar: uma sequência de portas falha no meio de uma transferência, um compartimento de filtro se abre sem a confirmação da neutralização da pressão ou um ciclo de VHP avança apesar de uma falha no sensor. Nenhuma dessas falhas se manifesta durante os testes de operação normal, pois esses testes nunca forçam a condição que as revela. O custo prático não é apenas o risco de violação da contenção — é um programa de qualificação que precisa ser parcialmente reiniciado, com roteiros reescritos e novos testes agendados em meio a um cronograma de comissionamento já lotado. O que distingue evidências de OQ defensáveis da documentação que satisfaz a burocracia, mas não os inspetores, é se cada função crítica foi testada sob uma condição anormal definida, e não apenas observada durante ciclos de rotina.

Funções operacionais que exigem comprovação de desafios

A análise de risco deve orientar a seleção do escopo antes que qualquer roteiro de teste seja elaborado. Uma abordagem estruturada consiste em atribuir uma pontuação a cada função operacional com base na gravidade e na probabilidade, e então priorizar aquelas que ultrapassarem um limite definido para testes de desafio — deixando as funções de menor risco para verificações em condições normais de operação. Independentemente de se utilizar ou não um número numérico de prioridade de risco, a disciplina subjacente é importante: se a falha de uma função puder permitir exposição descontrolada, um abortamento não detectado do ciclo ou uma ruptura da barreira de pressão, as evidências de qualificação operacional (OQ) para essa função precisam demonstrar mais do que apenas uma execução nominal bem-sucedida.

A filosofia por trás de um projeto robusto de OQ consiste em identificar modos de falha em condições controladas, antes que tais condições ocorram durante o uso. Isso significa testar o comportamento de reinício após um ciclo interrompido, verificar a repetibilidade em várias execuções — em vez de aceitar apenas uma única aprovação — e confirmar que as condições-limite — valores máximos e mínimos dentro das faixas operacionais definidas — produzam a resposta esperada. Para os sistemas de portas VHP, BIBO, caixas de passagem e APR, as funções que normalmente acarretam as consequências mais graves caso falhem silenciosamente incluem transições de fase do ciclo, sequenciamento de acesso às portas, monitoramento da pressão diferencial do filtro e caminhos de comunicação entre o alarme e o sistema de controle. Cada uma delas pode se comportar corretamente durante uma execução de demonstração padrão e, ainda assim, apresentar uma falha não detectada na lógica de ramificação que controla os estados anormais.

A seleção das funções a serem submetidas a testes de desafio é, por si só, uma decisão passível de auditoria. Se a justificativa para incluir ou excluir uma função dos testes de desafio não for documentada, um revisor não poderá avaliar se o escopo foi suficientemente conservador. O escopo da OQ, definido durante a fase de planejamento da validação e formalmente vinculado à avaliação de riscos, cria uma base rastreável para essa decisão — em vez de deixá-la implícita no roteiro.

Condições de teste do alarme, do intertravamento e da lógica das portas

Os testes de alarme e intertravamento não têm como objetivo confirmar que o sistema exibe um aviso, mas sim verificar se o aviso é acionado pela condição correta, se é registrado de forma que possa ser recuperado e se a recuperação do estado de alarme requer uma ação deliberada do operador, em vez de uma retomada automática. Cada um desses três elementos — precisão do acionamento, registro de eventos e recuperação controlada — pode ser aprovado ou reprovado independentemente. Um sistema que exibe o alarme correto, mas não registra o evento, cria uma lacuna de auditoria. Um sistema que registra o evento, mas permite a reinicialização automática sem confirmação, pode não atender às expectativas de integridade de dados estabelecidas no EudraLex, Volume 4, Anexo 11, para sistemas informatizados envolvidos em processos relevantes para as Boas Práticas de Fabricação (BPF).

A exigência de simulação de alarme implica uma disciplina específica de documentação: o método de simulação deve ser descrito no próprio formulário de OQ, e não reconstruído posteriormente com base na memória ou em instruções verbais. Para um intertravamento puramente mecânico, isso pode significar bloquear fisicamente um sinalizador do sensor; para uma sequência de portas controlada por software, pode significar introduzir um estado de sinal forçado. Em ambos os casos, o formulário deve registrar o que foi feito, e não apenas o que foi observado.

Nos casos em que a lógica de sequenciamento das portas determina o status do limite de contenção — como ocorre em sistemas de caixas de passagem ou câmaras de compensação intertravadas —, o teste de ação proibida reveste-se de especial importância. Confirmar que uma tentativa de abrir a porta externa enquanto a porta interna está destravada resulte em uma ação bloqueada, um evento registrado e uma sequência de recuperação que exija reinicialização deliberada não é uma mera formalidade. É o teste que confirma se a lógica de intertravamento se comporta sob pressão equivalente à de um operador real, e não apenas durante um acesso normal programado.

Registros das funções VHP, BIBO e da caixa de passagem

Os registros gerados durante a qualificação operacional (OQ) dos sistemas VHP, BIBO e caixas de passagem devem refletir o desempenho específico das funções operacionais de cada sistema, e não apenas o resultado de um ciclo bem-sucedido. Para os sistemas de caixas de passagem VHP, isso significa documentar o comportamento dos parâmetros do ciclo ao longo das fases — condicionamento, gaseificação, tempo de permanência e aeração — com referência às faixas operacionais definidas para cada fase, e não apenas o resultado final do indicador biológico ou químico. Para as câmaras BIBO, isso inclui a confirmação de que a sequência de inserção e retirada de sacos foi executada sob as condições de teste sem perda da integridade da barreira de pressão, com o status do filtro e as leituras diferenciais registrados em cada etapa.

A seleção de indicadores para a qualificação do ciclo de descontaminação deve ser tratada como uma atividade de justificativa de projeto específica para o agente, a geometria do equipamento e os parâmetros do ciclo em uso. Os indicadores químicos utilizados durante a OQ funcionam como monitores do ciclo em tempo real para a distribuição e penetração; os indicadores biológicos, quando utilizados, avaliam a eficácia em condições de teste de desafio. O tipo de indicador, a quantidade e o plano de posicionamento devem refletir a geometria interna do equipamento e os locais mais propensos a receber contato reduzido com o VHP — zonas de sombra, recessos superficiais ou áreas de baixa circulação de ar. Essa justificativa para o posicionamento deve constar na documentação da OQ, não ser presumida a partir de um layout genérico de indicadores.

Para Caixa de passes VHP No que diz respeito especificamente aos sistemas, os registros da qualificação operacional (OQ) devem registrar a repetibilidade do ciclo em várias execuções sob condições de carga equivalentes, e não apenas uma demonstração de um único ciclo. Uma única execução bem-sucedida não demonstra que o sistema atinge e mantém de forma confiável os parâmetros exigidos em toda a gama de condições operacionais esperadas. Os dados de repetibilidade da OQ também fornecem a linha de base em relação à qual qualquer desvio futuro do comportamento normal do ciclo pode ser avaliado — tornando-o um documento com relevância operacional além do evento inicial de qualificação. O Protocolo de Validação da VHP: IQ, OQ e PQ para Sistemas de Peróxido de Hidrogênio define a estrutura mais ampla de qualificações na qual se inserem os registros do ciclo OQ.

Para Caixas BIBO, os registros da função de qualificação operacional (OQ) devem confirmar que as verificações da fixação do saco, do assentamento do filtro e da integridade da pressão ocorram em sequência e que cada etapa seja registrada com um registro com data e hora, acessível para revisão.

Resposta da porta APR em condições anormais definidas

As portas APR com vedação pneumática operam em condições nas quais as consequências de uma falha para a contenção não são equivalentes em todos os modos de falha. A falha de uma vedação durante o ciclo normal de acesso é um tipo de evento diferente da falha de uma vedação que não consegue se reengatar após uma perda de pressão, ou de uma porta que não retorna a um estado seguro de travamento após uma interrupção de energia. A Qualificação Operacional (OQ) deve distinguir entre essas condições em seu projeto de teste, pois um inspetor que analisar as evidências perguntará especificamente o que foi testado, e não o que poderia, teoricamente, funcionar.

O teste de falha de energia não é apenas uma verificação da integridade dos dados. Trata-se de uma verificação de segurança funcional: o sistema retorna a um estado conhecido e definido após o restabelecimento da energia e requer uma confirmação deliberada do operador antes de retomar o status do processo? Quando há sistemas de controle computadorizados envolvidos, o Anexo 11 do Volume 4 do EudraLex estabelece a expectativa de que os dados acumulados até o momento da falha não sejam perdidos e que a retomada seja controlada, e não automática. Para um sistema de porta APR integrado a um circuito de monitoramento de pressão e controle de intertravamento, isso significa verificar se os registros do status da pressão, os registros de alarmes e os estados de posição da porta são preservados e apresentados com precisão após a recuperação.

Os testes de sensor fora da faixa e de desconexão do sensor abordam um modo de falha distinto tanto da operação normal quanto da falta de energia: o sistema continua recebendo energia, mas não recebe nenhum sinal válido de um ponto de monitoramento. A qualificação operacional (OQ) deve confirmar que essa condição seja detectada como uma falha — e não ignorada ou tratada como uma leitura de valor zero — e que o processo seja impedido de continuar ou forçado a uma pausa controlada enquanto se aguarda a investigação. Um sistema que tolera silenciosamente um sensor de pressão desconectado e continua a operar cria um risco de contaminação que não será visível nos registros de testes de operação normal.

São necessários detalhes do roteiro para uma OQ pronta para auditoria

O gargalo nos programas de qualificação operacional (OQ) para equipamentos de contenção raramente é a execução — é o roteiro de teste. Instruções vagas, como “verificar o funcionamento do alarme”, não são executáveis: elas não especificam qual condição aciona o alarme, qual é a resposta esperada do sistema, como a condição deve ser simulada ou o que constitui um resultado aprovado. Um revisor não pode confirmar se o teste foi realizado corretamente, e um técnico diferente, ao repetir o teste, pode simular uma condição totalmente diferente. Nenhum dos dois resultados oferece a rastreabilidade exigida por uma inspeção.

A especificidade do roteiro pronto para auditoria significa que cada etapa identifica o método exato de simulação, a resposta observável esperada e um critério de aceitação quantificado ou inequívoco. A descrição da simulação é particularmente importante para testes de alarme e intertravamento: se o formulário de OQ não registrar como a falha foi simulada, o teste não poderá ser reproduzido ou avaliado de forma independente. Trata-se de um requisito de disciplina de documentação, não de uma recomendação sobre qual técnica de simulação utilizar — o método é uma escolha de engenharia, mas o registro desse método é uma obrigação de rastreabilidade.

A consequência direta de critérios de aceitação vagos é que os resultados passam a depender do julgamento do revisor no momento da análise. Se o critério for “o sistema responde corretamente”, dois revisores podem chegar a conclusões diferentes a partir de observações de teste idênticas. Critérios quantificados — incluindo limites definidos de tempo de resposta, requisitos específicos de estado bloqueado/desbloqueado ou limites explícitos de acionamento de alarme — eliminam essa ambiguidade e permitem que as evidências se mantenham independentes da interpretação do revisor. Isso é especialmente importante no encerramento da OQ, quando a decisão de aprovação precisa ser justificável perante um terceiro que não esteve presente durante os testes.

Encerramento do OQ com base nos registros de resposta observados

O encerramento da OQ depende da resolução dos desvios, e não apenas da conclusão dos testes. Um teste concluído que tenha produzido um resultado fora das especificações, uma falha na resposta do intertravamento ou um evento não registrado não é considerado um teste encerrado — trata-se de um desvio em aberto. O Anexo 15 do Volume 4 do EudraLex estabelece que os desvios identificados durante a qualificação devem ser documentados com ações corretivas, responsáveis e prazos definidos, e que quaisquer alterações feitas como resultado devem ser avaliadas sob controle de mudanças antes que a qualificação seja considerada concluída. Tratar a lista de desvios como uma atividade de correção pós-OQ, em vez de um pré-requisito para o encerramento, é um padrão recorrente que atrasa a aprovação final quando os inspetores identificam itens em aberto durante a revisão.

O conjunto de evidências que fundamenta o encerramento da OQ deve permitir que um revisor acompanhe cada função crítica, desde a condição de teste até o resultado registrado e o status de aprovação. Isso significa que os testes de desafio, os testes de alarme e de intertravamento e os testes de repetibilidade precisam estar presentes como registros distintos — e não consolidados em uma declaração resumida indicando que uma série de testes foi realizada. Lista de verificação de auditoria de documentação de GMP para validação do VHP Passbox descreve os elementos da documentação que comprovam a prontidão para inspeção desses sistemas especificamente.

Quando um desvio exigir uma alteração de hardware ou software, a avaliação do controle de alterações deve ser concluída e as funções afetadas devem ser testadas novamente antes que o encerramento seja confirmado. Uma OQ que registre uma ação corretiva como “concluída”, mas não inclua evidências de reteste para a função afetada, deixa uma lacuna rastreável que não pode ser sanada retrospectivamente sem reabrir o protocolo. A decisão de encerramento deve ser tomada com base em todos os registros de desvio, e não apenas no registro de conclusão do teste.

O padrão recorrente de falhas nos programas de qualificação operacional (OQ) de equipamentos de contenção não é a falta de esforço nos testes — é o fato de que esse esforço é direcionado à confirmação da operação normal, em vez de às condições de teste de desafio que revelariam falhas ocultas na lógica de alarmes, na sequência de portas ou no tratamento de falhas de sensores. Uma vez que um sistema de contenção é entregue e está em uso, identificar e corrigir essas falhas exige um desligamento controlado, uma requalificação e uma explicação fundamentada de como essa falha passou despercebida na OQ original. Esse é um problema significativamente mais difícil do que incorporar testes de desafio ao protocolo antes do início da execução.

Antes de finalizar qualquer roteiro de OQ para os sistemas VHP, BIBO, câmara de passagem ou portas APR, a equipe deve confirmar que cada função crítica identificada na avaliação de riscos tenha uma condição de teste correspondente, um método de simulação descrito, um critério de aceitação quantificado e um procedimento de recuperação definido — e que nenhum desses elementos seja deixado à interpretação do técnico responsável pela execução. Desvios em relação a esse padrão devem ser resolvidos com base em uma linha de base controlada por mudanças, e não documentados como observações aceitáveis. Essa disciplina é o que diferencia um registro de qualificação que é aprovado na inspeção daquele que requer explicações durante a mesma.

Perguntas frequentes

P: E se a simulação de um alarme ou de uma falha no sensor durante a OQ pudesse danificar o equipamento ou causar um incidente de segurança?
R: O protocolo de OQ deve definir métodos de simulação seguros e procedimentos de recuperação antes da execução de qualquer teste de desafio. Uma análise de riscos pré-teste identifica os riscos potenciais do próprio teste, e abordagens alternativas — como a injeção de sinal na entrada de um controlador ou a supressão de sensor por meio de software — podem ser utilizadas nos casos em que a manipulação física direta não seja segura. O acordo sobre os estados de teste seguros, já exigido pelo planejamento básico da OQ, se estende à proteção de pessoas e equipamentos durante o teste.

P: Depois que a OQ for encerrada e todos os desvios resolvidos, qual é a próxima etapa imediata do processo de qualificação?
R: O próximo passo lógico é a Qualificação de Desempenho (PQ), na qual o sistema demonstra desempenho consistente em condições reais de operação com cargas representativas. A conclusão da OQ confirma que as funções críticas operam dentro das faixas previstas; a PQ, por sua vez, comprova que o processo integrado atinge repetidamente seus critérios de aceitação definidos durante o uso rotineiro. A transição requer um protocolo de PQ aprovado e, normalmente, está condicionada à aprovação formal do relatório de OQ.

P: Uma aplicação de contenção de baixo risco, como uma caixa de passagem BSL-2, requer o mesmo nível de rigor nos testes de alarme e de intertravamento?
R: A profundidade deve ser proporcional ao risco. Uma avaliação de risco documentada determina quais funções operacionais são críticas; as funções cuja pontuação ficar abaixo do limite de risco acordado podem ser verificadas por meio de testes em operação normal, sem condições de desafio total. O requisito fundamental é que qualquer decisão de reduzir o escopo dos testes seja justificada de forma rastreável no plano de validação, para que um revisor possa entender por que a lógica do limite de contenção não precisou do mesmo nível de comprovação em estado anormal que um equivalente BSL-3/4.

P: Como a abordagem de OQ descrita aqui se relaciona com os Testes de Aceitação em Fábrica (FAT) e os Testes de Aceitação no Local (SAT)? As evidências do FAT podem reduzir o esforço de OQ no local?
R: A OQ deve ser realizada no local, na configuração final instalada, pois o FAT e o SAT são conduzidos sob condições diferentes de serviços públicos, ambientais e do sistema de controle. Embora as verificações de funções não críticas que permanecem inalteradas em relação ao FAT possam ser utilizadas como referência para evitar duplicação, os testes de desafio críticos — especialmente simulações de alarmes, lógica de intertravamento e respostas a estados anormais — devem ser repetidos no local para confirmar que funcionam corretamente com a infraestrutura instalada e o circuito de controle final.

P: O tempo e o custo adicionais decorrentes dos testes de desafio abrangentes de qualificação operacional (OQ) se justificam quando o equipamento funciona corretamente em condições normais de operação?
R: Sim, porque falhas não detectadas na lógica de alarme, na sequência de portas ou no tratamento de falhas de sensores — que surgem após a entrega — forçam um desligamento controlado, uma requalificação parcial e uma explicação fundamentada sobre como essa falha passou despercebida na OQ original. O investimento inicial em uma OQ baseada em desafios é uma medida de mitigação de riscos que protege o cronograma de comissionamento do custo muito mais elevado de falhas na lógica de contenção após a entrega e do escrutínio regulatório.