Fatores que desencadeiam a reverificação de sistemas integrados BSL-3/4: trocas de filtros HEPA, atualizações de controle e reparos de grande porte

Os sistemas de contenção frequentemente perdem seu estado verificado de forma imperceptível. Um cartucho HEPA é trocado durante uma parada de fim de semana, uma atualização do BMS envia lógica atualizada para os circuitos de controle de pressão ou um ponto de ajuste de pressão é alterado para resolver um alarme recorrente — nada disso é registrado como uma alteração formal. O problema vem à tona mais tarde, seja durante uma inspeção regulatória, quando os registros de qualificação não correspondem mais à configuração instalada, ou, pior ainda, durante uma investigação de incidente, quando fica claro que o envelope de desempenho aceito foi abandonado sem qualquer avaliação documentada. A disciplina que evita isso é um conjunto definido de gatilhos de reverificação: um limite prático que separa a manutenção de rotina do trabalho que afeta as evidências nas quais as decisões de aceitação se basearam. Compreender onde esse limite se situa e o que ele significa para cada categoria de intervenção é o que torna a reverificação um programa funcional, em vez de uma formalidade de conformidade.

A substituição do filtro HEPA como gatilho para uma nova verificação

A substituição do filtro HEPA é provavelmente a tarefa de manutenção mais comum que deveria desencadear uma avaliação de reverificação, mas que, com frequência, não o faz. Parte-se do princípio de que um filtro é um consumível — substituído quando a queda de pressão aumenta ou o intervalo programado é atingido — e que sua troca faz parte da rotina normal de manutenção. Essa lógica se aplica apenas no caso específico em que a peça de reposição é genuinamente idêntica e o invólucro, a junta e o sistema de fixação permanecem inalterados. No momento em que qualquer uma dessas condições muda, os dados originais do teste de aerossol deixam de descrever a instalação atual.

O risco prático é que os compartimentos dos filtros são frequentemente alterados de maneiras que não são formalmente registradas. As juntas podem ser comprimidas, distorcidas ou substituídas por um material que estava disponível no momento, em vez do especificado no projeto. As estruturas de fixação podem ter seu torque reajustado para um valor diferente. Nenhum desses eventos, isoladamente, é dramático, mas cada um deles afeta o plano de vedação — que, em um sistema BSL-3 ou BSL-4, constitui uma barreira de contenção primária. Um teste de queda de pressão ou uma varredura com fotômetro, realizados antes e depois da substituição, podem confirmar se o conjunto reinstalado opera dentro da faixa de aceitação original, e vale a pena exigir isso mesmo para trocas de peças idênticas em contextos de alta contenção.

Quando a substituição envolve um modelo alternativo, um tipo diferente de meio filtrante ou um reparo na carcaça, a questão passa da confirmação para a reintegração. Um filtro com uma característica de queda de pressão diferente alterará a resistência na coluna de extração, o que, por sua vez, pode alterar o diferencial de pressão no limite da zona. Essa não é uma preocupação teórica — é uma condição verificável que pode ser confirmada ou descartada com um micromanômetro e um teste de padrão de fumaça. A tabela abaixo mapeia os cenários comuns de substituição de filtros HEPA em relação às perguntas que uma avaliação de reverificação precisa responder antes do retorno ao serviço.

Para aplicações de alta contenção que utilizam a tecnologia de troca de filtro do tipo “bag-in/bag-out”, o próprio procedimento de troca faz parte da sequência de contenção, e a integridade do invólucro do filtro durante os ciclos de inflagem e desinflagem deve ser confirmada como parte de qualquer avaliação de reverificação. Os sistemas “bag-in/bag-out” possuem evidências específicas de comissionamento — incluindo a pressão de inflagem da vedação e a integridade da solda do saco — que devem permanecer representativas do estado de instalação após qualquer intervenção no invólucro. Orientações sobre o que essas evidências de comissionamento devem incluir estão descritas no Lista de verificação para colocação em operação do BIBO.

Controla as atualizações que afetam o estado aceito

Alterações no sistema de controle têm mais chances do que alterações de hardware de serem tratadas como eventos de TI, em vez de eventos de engenharia. Uma atualização de versão de software é programada pela equipe de gestão do edifício, analisada quanto à conformidade com a segurança cibernética e implantada — sem que ninguém pergunte se a atualização afeta a lógica que controla os bloqueios de pressão, as respostas a falhas de ventiladores ou os limites de alarme. É nessa lacuna no processo que os programas de reverificação tendem a falhar.

O estado de aceitação de um sistema de contenção BSL-3 ou BSL-4 inclui evidências documentadas de que respostas de controle específicas ocorrem dentro de parâmetros definidos: que um alarme de falha na porta seja acionado dentro de um tempo estabelecido, que a perda do exaustor acione uma sequência de ações que leve a um estado de pressão seguro, e que os alarmes de pressão diferencial sejam acionados antes que a sala ultrapasse um limite que afete o fluxo direcional do ar. Se uma atualização do BMS modificar qualquer um dos caminhos de código que regem essas funções — mesmo que acidentalmente, por meio de alterações em um módulo compartilhado —, as evidências de aceitação originais deixam de ser totalmente representativas. O EudraLex, Volume 4, Anexo 15, aborda isso em termos de manutenção do estado validado: alterações que afetam sistemas validados exigem avaliação documentada e, quando apropriado, requalificação antes da continuidade do uso.

O caso mais complexo é a alteração do ponto de ajuste, pois muitas vezes é tratada como um ajuste operacional, e não como uma mudança. Alterar o ponto de ajuste da pressão diferencial de uma sala de −15 Pa para −10 Pa a fim de reduzir a carga do sistema de climatização pode parecer um pequeno ajuste operacional, mas se o teste de aceitação original demonstrou contenção a −15 Pa, essa evidência não se aplica mais ao novo estado operacional. Ainda não foi testado se o novo ponto de ajuste ainda consegue manter o fluxo de ar direcional em condições dinâmicas — abertura de portas, movimentação de pessoal, carga eólica na chaminé de exaustão. Esse é o significado prático de “estado operacional fora do envelope aceito”.”

A substituição do atuador do amortecedor merece atenção especial, pois os atuadores costumam ser tratados como componentes genéricos. Um atuador não idêntico, com torque ou precisão de posicionamento diferentes, pode introduzir um atraso na resposta do amortecedor que é imperceptível em condições de estado estacionário, mas significativo durante um transiente — como uma interrupção de energia, o acionamento de um ventilador ou uma sequência rápida de abertura de porta. Esses são precisamente os cenários que os testes de aceitação foram projetados para simular.

Alterações na pressão e no fluxo de ar da sala após a entrega

As modificações na pressão da sala e no fluxo de ar realizadas após a qualificação inicial são uma fonte comum de desvio em relação ao estado aceito e, muitas vezes, são motivadas por necessidades operacionais legítimas — como resolver reclamações sobre correntes de ar, acomodar um novo equipamento ou melhorar a eficiência energética. O problema não é a intenção; é que cada modificação no sistema de fluxo de ar pode alterar as relações de pressão que antes estavam equilibradas e foram aceitas.

A hierarquia de pressão em uma suíte BSL-3 — normalmente um diferencial negativo em cascata do corredor para a antecâmara e para o laboratório, ou, em algumas configurações, uma zona tampão de pressão positiva que protege os espaços adjacentes — não se autocorrige após uma intervenção. O reequilíbrio da rede de dutos que melhora a estabilidade de uma zona pode reverter um diferencial em outra porta. Uma redução na velocidade do ventilador que gera economia de energia pode diminuir a reserva de fluxo de ar necessária para manter a pressão nas piores sequências possíveis de abertura de portas. Os testes de aceitação originais foram realizados em uma configuração específica, e os resultados descrevem apenas essa configuração.

O que torna essa categoria particularmente arriscada do ponto de vista da auditoria é que as modificações na pressão ambiente são, por vezes, realizadas por equipes de engenharia de instalações sem o envolvimento formal da função de qualificação. A modificação é tratada como manutenção do sistema de climatização, mas seu efeito é uma alteração no envelope de contenção. A norma ASTM E2500-25 define a verificação como uma obrigação contínua vinculada ao estado de manutenção do sistema, e não como um evento único na entrega — o que significa que modificações pós-entrega em sistemas já verificados devem desencadear uma avaliação para determinar se uma nova verificação é necessária.

O modo de falha mais relevante nessa categoria é a perda do fluxo de ar direcional em condições dinâmicas, enquanto as leituras em estado estacionário permanecem dentro da faixa permitida. Um micromanômetro instalado em uma única porta pode indicar um diferencial nominal, enquanto um teste de fumaça revela que o fluxo de ar transitório se inverte durante o funcionamento da porta. Por esse motivo, os testes de aceitação geralmente incluem cenários dinâmicos, e qualquer modificação que altere o desempenho do ventilador ou a resistência da conduta deve incluir a repetição dos testes nos mesmos casos dinâmicos.

Alterações no ciclo de manutenção preventiva (VHP) e grandes reparos

Os ciclos de descontaminação com peróxido de hidrogênio vaporizado são validados de acordo com um conjunto específico de parâmetros: concentração, tempo de exposição, volume da sala, padrão de distribuição e recuperação do catalisador. Cada um desses parâmetros está vinculado aos dados de compatibilidade com os materiais e de eficácia esporicida gerados durante a campanha de validação original. Qualquer alteração em um desses parâmetros — seja motivada pelo uso de um novo agente, pela reconfiguração da sala ou por uma atualização do gerador de VHP — deve ser considerada um fator que desencadeia a necessidade de uma nova verificação da função de descontaminação.

O principal motivo para alterações não planejadas no ciclo de VHP é uma falha no equipamento: um gerador que foi reparado com componentes que não são do fabricante original, um bico de distribuição que foi reposicionado após uma modificação na sala ou um leito catalítico que se degradou e agora está prolongando o tempo de recuperação além da janela validada. Cada um desses fatores cria uma discrepância prática entre o ciclo validado e o ciclo que está sendo executado operacionalmente. Se um teste de desafio com indicador esporicida não tiver sido realizado nas condições modificadas, a alegação de eficácia do ciclo não tem fundamento.

Grandes reparos na estrutura da sala — vedação de penetrações, reparos nas paredes de contenção de pressão, modificações nos ralos do piso ou substituição da vedação das janelas — afetam a integridade da sala de maneiras que se relacionam diretamente tanto com a contenção de pressão quanto com o desempenho do ciclo de VHP. Uma vedação de penetração reparada que apresente vazamento sob o diferencial de pressão negativa também permitirá a saída de VHP durante a descontaminação, reduzindo a concentração interna e potencialmente invalidando o cálculo do tempo de permanência. A mesma barreira física desempenha ambas as funções, e qualquer dano ou reparo nela deve desencadear uma avaliação de ambas.

A decisão sobre se um reparo atinge o nível que desencadeia a reverificação geralmente depende de como a qualificação original definiu os limites. Se a qualificação (IQ) tiver registrado locais específicos de penetração e materiais de vedação como parte da configuração aceita, qualquer alteração nesses elementos constitui um desvio documentado em relação ao estado aceito. Para as equipes que estão realizando a sequência de reverificação para sistemas VHP, a estrutura de qualificação descrita no Protocolo de Validação do VHP oferece um enquadramento útil sobre o que as evidências originais devem incluir e quais parâmetros são essenciais para serem reavaliados. A integridade da vedação pneumática nos pontos de acesso do pessoal também está relacionada à contenção do VHP durante a operação do ciclo—Portas APR com vedação pneumática são um aspecto relevante a ser considerado no projeto, uma vez que o desempenho do inflar da vedação afeta tanto a integridade da barreira de pressão quanto a contenção do ciclo.

Limite de decisão entre manutenção e controle de mudanças

O ponto de atrito na maioria dos programas de reverificação não é a mudança claramente significativa nem a tarefa claramente rotineira — é a ampla categoria intermediária de atividades em que a classificação é genuinamente ambígua. A substituição de uma junta por uma alternativa disponível, um patch de software descrito como restrito às funções de geração de relatórios, um ajuste do ponto de ajuste de pressão para resolver um alarme falso: cada uma dessas situações se situa em um limiar de decisão em que a classificação correta depende de questões factuais que, muitas vezes, não são levantadas.

O princípio subjacente é simples: a manutenção preserva o estado aceito; uma alteração tem o potencial de modificá-lo. A dificuldade reside no fato de que o “estado aceito” é definido pelo registro de qualificação, e esses registros variam consideravelmente quanto à precisão com que descrevem a configuração aceita. Um registro de qualificação que especifique números de modelo de sensores, sequências de versão de software e classes de material de juntas fornece ao setor de manutenção uma base concreta para trabalhar. Um que descreva apenas resultados funcionais — ”a sala mantém um diferencial de −15 Pa” — deixa uma zona cinzenta mais ampla para a substituição de componentes.

O teste prático para qualquer atividade ambígua consiste em perguntar se as evidências de qualificação geradas durante a aceitação original ainda descreveriam o sistema após a conclusão do trabalho. Se um sensor for substituído por uma unidade OEM idêntica no mesmo ponto de instalação, a evidência permanece inalterada. Se a substituição utilizar um sensor alternativo com tempo de resposta ou classe de precisão diferentes, a evidência pode não representar mais o hardware instalado, mesmo que o novo sensor atenda a uma especificação nominal no papel. Esse segundo caso justifica uma avaliação formal antes do início do trabalho, e não após sua conclusão.

O custo decorrente da classificação incorreta se reflete em ambos os sentidos. Classificar excessivamente a manutenção como alteração gera uma carga desnecessária de qualificação e retarda reparos que precisam ser realizados rapidamente. Classificar insuficientemente as alterações como manutenção acumula desvios não documentados em relação ao estado aceito, que são difíceis de reverter durante uma auditoria ou investigação de incidente. Um limite prático — baseado no fato de o trabalho afetar uma barreira crítica, um caminho de fluxo de ar, um alarme ou uma função de descontaminação — reduz a ambiguidade no momento em que a decisão precisa ser tomada.

Limite de reverificação para funções críticas de contenção

A reverificação deve ser tratada como uma obrigação de avaliação desencadeada por condições específicas, e não como uma campanha de requalificação em grande escala desencadeada por qualquer alteração. Essa distinção é importante porque requisitos de requalificação generalizados criam pressão para suprimir ou classificar incorretamente as alterações, o que é o oposto do efeito pretendido. Um limite estruturado com base na função afetada é mais útil na prática.

As funções críticas de contenção em um sistema BSL-3 ou BSL-4 podem ser agrupadas em três categorias: integridade da barreira física (filtragem HEPA, vedação do envelope da sala, desempenho da porta da câmara de compensação), controle direcional do fluxo de ar (pressões da sala, cascata de pressão, intertravamentos dos ventiladores) e eficácia da descontaminação (parâmetros do ciclo de VHP, monitoramento do ciclo, integridade da sala durante a descontaminação). Qualquer alteração que afete diretamente os indicadores de desempenho de uma dessas categorias deve desencadear uma avaliação formal de reverificação. A avaliação pode concluir que não é necessário realizar novos testes — por exemplo, em caso de substituição por peça idêntica com correspondência documentada —, mas essa conclusão deve ser registrada, e não simplesmente presumida.

O limite para a realização de novos testes, em vez de apenas uma avaliação, é normalmente atingido quando: não for possível comprovar que os dados de desempenho aceitos ainda representam a configuração pós-alteração; tiver sido introduzido um novo estado operacional para o qual não haja evidência prévia de aceitação; ou uma função crítica para a segurança (intertravamento, alarme, resposta a falha de exaustão) tiver sido modificada de forma a alterar sua sequência de resposta. Essas são condições, não regras prescritivas, e o Manual de Biossegurança Laboratorial da OMS, 4ª edição, estabelece princípios semelhantes em torno da manutenção de condições de contenção verificadas como um programa contínuo, e não como um ponto final do comissionamento.

Um erro comum é tratar a reverificação como uma atividade exclusivamente posterior à alteração. Os programas mais defensáveis incluem uma avaliação de impacto pré-alteração como primeiro passo: antes que qualquer trabalho seja autorizado em um sistema de contenção crítico, uma avaliação formal determina se o trabalho planejado é manutenção ou alteração e, no caso de alteração, qual é o escopo adequado para a reverificação. Isso cria um registro de que a decisão foi tomada antes da execução do trabalho, o que é significativamente mais fácil de defender do que uma justificativa a posteriori elaborada depois que um inspetor identifica uma modificação não documentada.

A implicação prática de tudo o que foi exposto acima é que os programas de reverificação funcionam melhor quando as categorias de acionamento são definidas com precisão suficiente para serem aplicadas de forma consistente pelas equipes de manutenção e engenharia na fase de planejamento, e não reconstruídas retrospectivamente durante uma análise de desvio. As categorias — alterações no filtro HEPA e no invólucro, atualizações do sistema de controle e do software, modificações na pressão da sala e no fluxo de ar, alterações no ciclo de VHP e no revestimento da sala, além de qualquer modificação em um intertravamento ou alarme crítico para a segurança — abrangem a grande maioria das intervenções que podem alterar o estado aceito de um sistema de alta contenção.

Antes que uma equipe de qualificação finalize seu procedimento de controle de mudanças, vale a pena confirmar três questões: O procedimento lista explicitamente as funções de contenção que acionam a avaliação de impacto obrigatória? Os critérios de classificação de manutenção distinguem claramente entre a substituição por peças idênticas do fabricante original (OEM) e a substituição por peças declaradas equivalentes? E a definição do escopo da reverificação especifica quais testes de aceitação se aplicam a cada categoria de acionamento, de modo que os testes exigidos sejam definidos com antecedência, em vez de serem negociados após a conclusão da mudança? Responder a essas perguntas durante o projeto do programa evita disputas de classificação e desvios não documentados que tendem a se acumular ao longo da vida útil de uma instalação BSL-3 ou BSL-4.

Perguntas frequentes

P: Esse quadro de reavaliação se aplica caso nossa instalação de nível BSL-3 tenha sido qualificada de acordo com uma norma nacional, em vez de seguir as orientações da OMS ou do EudraLex?
R: Sim, a lógica de acionamento se aplica independentemente da norma que regia a qualificação original. O princípio subjacente — de que a manutenção que preserva o estado aceito é distinta do trabalho que altera as evidências nas quais as decisões de aceitação se basearam — não é específico de nenhuma norma. O que muda é a linguagem e o formato da documentação exigidos pela sua autoridade regulatória, e não se a alteração do compartimento HEPA, a modificação da lógica de controle ou as mudanças nos parâmetros de VHP invalidam as evidências de aceitação anteriores. Correlacione seu registro de qualificação existente com as categorias de acionamento descritas aqui e aplique a mesma disciplina de avaliação de impacto.

P: Uma vez que uma avaliação de reverificação conclua que não é necessário realizar novos testes, que documentação deve estar disponível antes que o sistema volte a entrar em operação?
R: A conclusão da avaliação em si deve ser um registro formal e datado — não um acordo informal entre o responsável pela manutenção e o engenheiro de qualificação. No mínimo, o registro deve indicar o evento desencadeador, as evidências específicas de aceitação analisadas, a base factual para concluir que o sistema continua representativo após o trabalho e o nome do revisor autorizado. Esse registro pré-retorno é o que um inspetor verificará em primeiro lugar; uma justificativa a posteriori, elaborada após o fato, é significativamente mais difícil de defender do que uma decisão documentada antes da liberação do sistema.

P: Em que momento as mudanças incrementais acumuladas — múltiplos pequenos ajustes nos pontos de referência, substituições sucessivas por modelos equivalentes, reequilíbrio gradual — exigem, coletivamente, uma nova verificação completa, mesmo que nenhum evento isolado tenha ultrapassado o limite?
R: O desvio acumulado se torna um gatilho para nova verificação quando não é mais possível comprovar que a configuração instalada e em operação corresponda, em sua totalidade, ao registro de aceitação original. Nenhum evento isolado pode, por si só, invalidar as evidências, mas se os pontos de ajuste de pressão, os modelos dos sensores, os materiais das juntas e as curvas dos ventiladores tiverem se deslocado gradualmente, a combinação desses fatores pode resultar em um sistema que os testes de aceitação nunca caracterizaram. Uma medida de segurança prática é a reconciliação periódica da configuração — comparando o estado atual da instalação com a configuração aceita, seguindo um cronograma definido — para que o desvio seja detectado antes que se agrave a ponto de tornar inevitável uma requalificação completa.

P: Como a capacidade de realizar testes HEPA in situ afeta o equilíbrio entre escopo e custo para instalações que estão decidindo entre caixas de filtro do tipo “bag-in/bag-out” e caixas de filtro padrão?
R: A testabilidade in situ altera significativamente a curva de custos de reverificação. Com tubulação HEPA in situ ou, no caso de configurações BIBO projetadas para acesso por varredura, a verificação da integridade do filtro e do invólucro após uma substituição é um teste delimitado e repetível que pode ser concluído durante a mesma janela de manutenção. Sem esse acesso, a verificação do plano de vedação exige uma desmontagem parcial ou a aceitação de maior incerteza. Para sistemas BSL-3/4, nos quais toda substituição de filtro HEPA deve incluir uma confirmação de integridade pós-reinstalação, a capacidade de realizar o teste no local reduz a carga de reverificação por evento o suficiente para afetar a comparação de custo ao longo da vida útil entre os tipos de carcaça.

P: É necessária uma nova verificação quando uma sala BSL-3 é retirada de uso ativo por um período prolongado e, posteriormente, volta a ser utilizada, mesmo que nenhuma alteração física tenha sido feita durante o período de inatividade?
R: Sim, o retorno à operação após longos períodos de inatividade justifica uma avaliação formal, mesmo que não haja alterações registradas. Juntas e vedações pneumáticas podem sofrer deformações por compressão ou se degradar sem falhas visíveis; os leitos catalíticos de VHP podem ter sido parcialmente passivados; os rolamentos dos ventiladores e os atuadores dos amortecedores podem se desviar das posições calibradas. Mais importante ainda, um sistema inativo pode ter sofrido ajustes informais durante o período de inatividade que nunca foram registrados no relatório de controle de alterações. Uma avaliação de recomissionamento que verifique a configuração atual em relação ao estado aceito — e confirme os parâmetros críticos de desempenho antes que a sala seja utilizada com agente ativo — oferece a mesma proteção que uma avaliação de reverificação pós-alteração.