Requalificarea anuală vs. cea bazată pe evenimente pentru echipamentele cu grad ridicat de izolare

O echipă de întreținere înlocuiește ceea ce înregistrează ca fiind o “etanșare de rutină a ușii” la o cameră de transfer VHP situată între o unitate de procesare OEB5 și o cameră de echilibrare a presiunii cu aer curat. Nimeni nu inițiază o procedură de control al modificărilor — este vorba de o înlocuire cu un component identic. Următoarea recalificare anuală programată va avea loc abia peste patru luni. În câteva săptămâni, ciclurile nocturne de biodecontaminare încep să prezinte variații anomale ale umidității, dar abaterea este suficient de subtilă încât nicio alarmă nu se declanșează. Până când departamentul de asigurare a calității (QA) descoperă pierderea letalității ciclului în timpul unei revizuiri premergătoare inspecției, această problemă a devenit deja o observație privind contenția, care întârzie lansarea produsului și impune o oprire neplanificată a activității.

Eșecul nu a fost cauzat de materialul garniturii. Acesta a provenit dintr-o logică a ciclului de viață care considera calendarul ca fiind singurul factor declanșator al recalificării, lăsând în același timp peste o duzină de evenimente de schimbare cu impact ridicat să treacă neobservate de programul de calificare. Responsabilii cu biosecuritatea, echipele de asigurare a calității/validare și coordonatorii tehnici din instalațiile cu grad ridicat de izolare au nevoie de un cadru decizional diferit: unul care să definească când revizuirea anuală este suficientă, când un eveniment necesită o retestare imediată și cum să se decidă între recalificarea completă, parțială sau fără impact, sub presiunea unui program de funcționare activ. Ceea ce urmează prezintă logica bazată pe risc necesară pentru a construi acel cadru pentru izolatoare, sisteme BIBO, cutii de transfer și echipamente critice GMP, în cazul cărora integritatea izolației nu poate fi lăsată la voia întâmplării periodice.

Testarea anuală privind devierea și revizuirea înregistrărilor

Recalificarea anuală nu ar trebui să însemne, în mod implicit, repetarea scenariilor inițiale de testare pentru calificare. Anexa 15 la GMP-ul UE definește recalificarea periodică ca o revizuire a datelor operaționale de rutină, a abaterilor și a registrelor de lucru, nu ca o repetare automată a testării complete [1]. În cazul echipamentelor cu grad ridicat de izolare — sisteme de flux de aer direcțional BSL-3/4, porturi pentru mănuși ale izolatorului OEB5, unități de decontaminare cu VHP — această schimbare de abordare este esențială din punct de vedere operațional, deoarece testele fizice repetate conform unui calendar fix pot confirma o imagine instantanee, omisând însă complet o degradare lentă pe care înregistrările operaționale ar fi evidențiat-o cu luni în urmă.

Criteriul de planificare prezentat în continuare este simplu: stabiliți domeniul de aplicare al revizuirii anuale astfel încât să se analizeze în întregime datele de rutină disponibile înainte de a decide dacă este necesar vreun test practic. Aceasta înseamnă că revizuirea trebuie să analizeze jurnalele de tendințe ale sistemului BMS pentru a depista eroziunea cascadei de presiune, datele din rapoartele de ciclu pentru a identifica variațiile ratei de injecție a VHP, istoricul testelor de etanșeitate ale izolatorilor pentru a detecta valorile de degradare progresivă și rapoartele de abatere pentru a explica alarmele recurente. Atunci când revizuirea se bazează doar pe retestarea integrității filtrelor HEPA sau pe repetarea unui test de menținere a presiunii în conformitate cu criteriile inițiale de acceptare, aceasta devine adesea o simplă procedură de bifare a unor casete, care validează echipamentul în momentul testului, lăsând însă neexaminată lacuna operațională care s-a creat între teste.

Un tip de defecțiune observat în mod repetat în instalațiile OEB4/OEB5 este reprezentat de revizuirea anuală care reproduce studiul de fum IQ/OQ și scanarea filtrului, dar nu corelează niciodată aceste rezultate cu datele privind tendințele din ultimele 11 luni, care indică o scădere treptată a diferenței de presiune între camere. Până în momentul în care cascada de presiune scade sub limita de alertă, cauza principală — poate o garnitură a carcasei BIBO care s-a întărit la rece după un ciclu de decontaminare — acționează deja asupra sistemului de jumătate de an. Înlocuirea scenariului implicit, axat pe teste, cu o abordare care pune pe primul plan analiza datelor transformă revizia anuală dintr-un ritual de conformitate retrospectiv într-un diagnostic în timp real, capabil să detecteze abaterile cât timp acestea pot fi încă remediate prin acțiuni de întreținere, fără a se ajunge la un incident de izolare.

Declanșatori de evenimente care nu pot aștepta testarea calendaristică

GMP prevede ca requalificarea să fie efectuată după orice modificare care ar putea influența starea de calificare a unui sistem [1]. Acest principiu nu acordă o perioadă de grație bazată pe următorul eveniment calendaristic programat. În cazul echipamentelor cu grad ridicat de izolare — unde o modificare a compresiei garniturii, o recalibrare a senzorului sau o revizuire a procedurii pot altera direct bariera primară de izolare — așteptarea perioadei anuale reprezintă atât un risc pentru biosiguranță, cât și o poziție din ce în ce mai greu de justificat în timpul unei inspecții de reglementare.

Logica declanșării imediate se aplică indiferent dacă modificarea este de natură fizică, procedurală sau legată de instrumente. Următoarele categorii reprezintă criterii practice de planificare preluate din ghidurile de calificare comercială; acestea trebuie considerate ca o listă de verificare pentru evaluarea locală a riscurilor, nu ca o enumerare normativă universală.

Ceea ce face ca aceste elemente declanșatoare să fie dificil de pus în practică nu este regula în sine, ci faptul că multe dintre ele au loc în cadrul rundelor de întreținere, al ciclurilor de calibrare sau al revizuirilor procedurilor standard de operare (SOP), fără a genera automat un înregistrare privind controlul modificărilor. În instalațiile care utilizează sisteme HVAC de nivel BSL-3/4 sau cutii de transfer cu VHP, înlocuirea unei componente, cum ar fi schimbarea unui filtru BIBO sau a unei garnituri de ușă, este unul dintre cele mai importante evenimente pentru integritatea izolației, dar este încă tratată prea des ca o operațiune de încheiere a întreținerii, mai degrabă decât ca un factor declanșator al recalificării. Rezultatul este o fereastră de risc care rămâne deschisă până când apare o abatere vizibilă sau până la următoarele date programate pentru teste. Integrarea acestor factori declanșatori în fluxul ordinelor de lucru de întreținere — astfel încât schimbarea unei garnituri la un izolator aseptic să genereze automat o evaluare a riscului pentru un test parțial de etanșeitate și o verificare a eficacității ciclului VHP — elimină această lacună operațională înainte ca aceasta să devină o constatare de audit sau un eveniment de contaminare.

Decizii privind recalificarea completă, parțială și fără consecințe

Necesitatea de a reacționa rapid la un eveniment declanșator impune o evaluare bazată pe risc pe care multe organizații nu sunt pregătite să o efectueze sub presiunea timpului: răspunsul ar trebui să fie o recalificare completă, un test parțial țintit sau o justificare documentată a lipsei de impact? O decizie greșită fie duce la irosirea capacității de producție prin testare excesivă, fie lasă o vulnerabilitate subestimată în lanțul de izolare.

Logica nu ține doar de complexitate. Reinstalarea unui singur filtru în interiorul unei carcase BIBO poate afecta doar limita de presiune locală a respectivei carcase, justificând o probă parțială de etanșeitate și o verificare a particulelor în aval, mai degrabă decât o remapare completă în cascadă a fiecărei încăperi din ansamblu. În schimb, o modificare care alterează viteza de rotație a ventilatorului de recirculare al unui izolator poate schimba modelele fluxului de aer și diferențele de presiune în întreaga zonă de lucru, necesitând o calificare operațională aproape completă. Distincția depinde de limitele sistemului și de parametrii calificați care ar putea fi afectați în mod realist.

Pentru ca această decizie să poată fi justificată, echipele de asigurare a calității și de biosecuritate trebuie să evalueze modificarea în raport cu un set clar de factori de control al contaminării.

În cazul în care evaluarea concluzionează că nu sunt necesare teste de recalificare, justificarea și evaluarea riscurilor trebuie totuși documentate — nu ca o scurtătură, ci ca dovadă că decizia s-a bazat pe date științifice. Aceeași cerință se aplică și în cazul unui domeniu de testare redus. O justificare nedocumentată pentru testarea parțială este contestată în mod obișnuit în timpul unui audit ca fiind o reducere arbitrară a domeniului de testare. O evaluare documentată care leagă modificarea de atributele specifice calificate care rămân neschimbate — de exemplu, demonstrând că înlocuirea garniturii unei uși la o cameră de transfer VHP nu afectează harta cascadei de presiune a camerei curate adiacente — transformă decizia dintr-o apreciere subiectivă într-o înregistrare trasabilă a ciclului de viață.

Revizuirea anuală a evaluărilor modificărilor anterioare

Chiar și atunci când fiecare eveniment declanșator identifică o schimbare, revizuirea anuală are o a doua funcție care este adesea trecută cu vederea: aceasta trebuie să verifice dacă evaluările de risc efectuate în cursul anului precedent au fost corecte. Anexa 15 include în mod explicit schimbările și abaterile survenite în perioada supusă revizuirii ca parte a reevaluării periodice [1]. Această cerință transformă revizuirea anuală dintr-o simplă analiză pasivă a datelor într-un audit activ al raționamentului ingineresc al amplasamentului.

O modificare care a fost clasificată ca având „impact zero” în urmă cu zece luni — înlocuirea unui senzor necritic, o ușoară ajustare a secvenței de blocare a unei uși — ar fi putut genera o serie de efecte minore care devin vizibile abia în înregistrările pe termen lung. Revizuirea anuală reprezintă momentul potrivit pentru a reevalua acele decizii anterioare. Dacă datele BMS indică acum un model de fluctuație a presiunii care a început la scurt timp după înlocuirea respectivului senzor, este posibil ca clasificarea inițială „fără impact” să trebuiască revizuită, iar o recalificare parțială sau completă să fie necesară cu efect retroactiv. Dacă revizuirea se limitează la repetarea unui set fix de teste fizice, această evaluare eronată va fi complet omisă, iar eroarea se va agrava pe măsură ce se vor acumula mai multe modificări pe baza unei ipoteze greșite.

Implicația practică este că agenda revizuirii anuale trebuie să prevadă timp pentru o analiză structurată a fiecărui eveniment de modificare înregistrat, comparând impactul prevăzut cu istoricul operațional real care a urmat. Această revizuire devine ea însăși o probă esențială pentru următorul ciclu de inspecție, demonstrând că unitatea nu se limitează doar la înregistrarea modificărilor, ci verifică și validitatea evaluărilor de risc menite să le controleze.

Registrul echipamentelor: corelarea modificărilor cu dovezile

În timpul unei inspecții, un auditor nu va accepta o istorie a ciclului de viață al unui sistem de izolare prezentată prin trei sisteme diferite — un CMMS pentru evenimentele de întreținere, un dosar separat de validare pentru rapoartele de testare și un registru izolat de control al modificărilor, fără nicio legătură cu rezultatele recalificării. Lanțul de custodie, de la specificațiile echipamentului până la starea actuală de eliberare, trebuie să poată fi urmărit într-un singur registru controlat. Deși nicio reglementare nu impune un format specific, accentul pus de ICH Q10 pe gestionarea cunoștințelor și pe istoricul modificărilor documentat susține așteptarea ca o unitate să poată demonstra o trasabilitate coerentă pentru activele sale cu grad ridicat de izolare [2].

Registrul devine principalul instrument de justificare în fața auditorilor atunci când face legătura între înlocuirea unei componente — cum ar fi schimbarea motorului la sistemul de tratare a aerului al unui izolator aseptic — și evaluarea de risc care a justificat o recalificare parțială, raportul de testare care a verificat parametrii fluxului de aer și ai vibrațiilor, precum și starea de punere în funcțiune care a permis repunerea izolatorului în funcțiune. Atunci când această legătură lipsește, auditorul este nevoit să reconstituie probele pe baza unor înregistrări fragmentate, iar lacunele care reprezintă, de fapt, deficiențe de documentare pot fi interpretate eronat ca fiind lacune de calificare.

Valoarea registrului nu rezidă în structura sa, ci în disciplina pe care o impune. Odată ce o unitate se angajează să mențină o singură înregistrare actualizată pentru fiecare echipament, devine imediat evidentă apariția unui eveniment de modificare fără o înregistrare corespunzătoare de recalificare. Această vizibilitate este cea care împiedică programul de gestionare a ciclului de viață să alunece spre acea fragmentare care generează, în primul rând, riscul de inspecție.

Planul ciclului de viață bazat pe riscuri pentru activele cu grad ridicat de izolare

Un plan de ciclu de viață bazat pe risc nu stabilește aceeași frecvență și același nivel de detaliere pentru recalificarea fiecărui activ. Anexa 15 la GMP UE prevede ca aceste decizii să fie legate de sistem și bazate pe risc, fără a fi aplicate în mod uniform tuturor echipamentelor [1]. Pentru operațiunile cu grad ridicat de izolare, aceasta înseamnă că planul trebuie adaptat la consecințele specifice ale unei defecțiuni asupra izolării: zona de flux de aer direcțional BSL-3 necesită un nivel de rigoare diferit față de un modul de filtrare sterilă terminală, iar un izolator cu clapete divizate de tip OEB5 prezintă moduri de defectare diferite față de o cutie de transfer cu vapori de oxigen hiperpuro (VHP) utilizată pentru transferul de materiale între niveluri de clasificare.

Sarcina practică de proiectare constă în integrarea celor trei fluxuri de declanșare într-un singur document dinamic care alimentează direct registrul echipamentelor. Fluxul de revizuire anuală analizează datele agregate și acuratețea evaluărilor anterioare ale modificărilor. Fluxul bazat pe evenimente impune evaluarea imediată a tipurilor de modificări definite, logica decizională privind impactul total/parțial/inexistent fiind deja corelată cu punctele de vulnerabilitate cunoscute ale echipamentului. Fluxul bazat pe tendințe monitorizează semnalele de performanță — ratele de scădere a presiunii, scăderea concentrației de VHP, frecvența abaterilor de particule — și declanșează o retestare parțială atunci când sunt depășite pragurile statistice, chiar dacă nu a fost înregistrat niciun eveniment de modificare.

Fricțiunea care duce la eșecul planurilor nu este absența acestor elemente, ci incapacitatea de a le atribui claselor de echipamente cu consecințe reale asupra izolării. Un plan generic care enumeră tipurile de declanșatori, dar nu leagă “înlocuirea garniturii” de “testul parțial de etanșeitate al izolatorului” pentru un model specific, sau care nu definește pragul de tendință care ar declanșa o retestare a carcasei BIBO, se va transforma într-un sistem bazat exclusiv pe programare în momentul în care presiunea producției intră în conflict cu gestionarea riscurilor. Planul își dovedește utilitatea doar atunci când predefinește pragurile de decizie pentru fiecare clasă de active de izolare, astfel încât răspunsul la un eveniment declanșator să nu fie o negociere, ci o acțiune preautorizată din cadrul ciclului de viață.

Un program de recalificare justificat, cu nivel ridicat de izolare, se bazează în ultimă instanță pe capacitatea de a demonstra trei lucruri în timpul oricărui audit: fiecare modificare a fost înregistrată, fiecare decizie privind evaluarea riscurilor a putut fi corelată cu dovezile operaționale corespunzătoare, iar revizuirea anuală a verificat că judecățile anterioare au fost corecte, în loc să se limiteze la repetarea unei liste prestabilite de teste. Fără un registru unic al echipamentelor care să lege aceste elemente între ele, nici măcar testările fizice frecvente nu vor elimina lacunele pe care inspectorii și responsabilii cu biosecuritatea sunt instruiți să le identifice.

Următorii pași practici constau în parcurgerea registrului actual al echipamentelor și identificarea fiecărei înlocuiri de componente, a fiecărui eșec de calibrare sau a fiecărei revizuiri a procedurilor din ultimele douăsprezece luni care ar fi trebuit să declanșeze o decizie de recalificare — precum și compararea acestor decizii cu datele operaționale care le-au urmat. Această analiză a lacunelor va evidenția punctele în care planul ciclului de viață trebuie să-și clarifice mai bine criteriile de declanșare și în care revizuirea anuală trebuie să treacă de la un exercițiu calendaristic axat pe teste la o verificare reală a integrității sistemelor de izolare și a judecăților inginerești care le protejează.

Întrebări frecvente

Î: Unitatea noastră nu dispune de un sistem de gestionare a clădirilor (BMS) sau de date automatizate privind tendințele pentru echipamentele cu grad ridicat de izolare. Putem totuși să trecem de la o recalificare anuală bazată în mare parte pe teste la o evaluare bazată în primul rând pe date?
R: Da. Analiza poate fi efectuată pe baza oricăror date existente — jurnale de schimburi manuale, ordine de lucru de întreținere, înregistrări pe diagrame pe hârtie și citiri manuale periodice ale presiunii diferențiale. Principiul de bază rămâne același: trebuie analizat în detaliu istoricul operațional disponibil pentru a identifica semne de deviere înainte de a recurge la teste fizice. În absența automatizării, analiza necesită pur și simplu o colectare mai riguroasă a înregistrărilor manuale și poate necesita o perioadă de analiză puțin mai lungă pentru a compensa densitatea mai redusă a datelor.

Î: Cum putem determina tehnicienii de întreținere să semnaleze în mod consecvent înlocuirile de componente de rutină (cum ar fi garniturile ușilor) ca factori declanșatori ai recalificării?
R: Includeți o listă succintă și fără ambiguități a componentelor cu impact ridicat direct în șablonul de comandă de lucru al sistemului CMMS, astfel încât tehnicianul să fie solicitat să indice dacă înlocuirea vizează un element esențial pentru siguranța sistemului. Asociați această solicitare cu un diagramă scurtă de decizie care leagă o înlocuire marcată de o evaluare a riscurilor predefinită și, atunci când este necesar, de un protocol de testare parțial. Acest mecanism de declanșare devine parte integrantă a procedurii de finalizare a lucrării, în loc să reprezinte o etapă suplimentară de conformitate.

Î: La nivelul BSL-4, mai există posibilitatea unei recalificări parțiale după o schimbare minoră a garniturii de etanșare sau fiecare eveniment trebuie să determine efectuarea unei retestări complete?
R: Recalificarea parțială rămâne posibilă chiar și în cazul unei izolare maxime, dar evaluarea riscurilor trebuie să demonstreze cu un grad ridicat de certitudine că modificarea afectează doar un subsistem bine definit și nu pune în pericol bariera principală de izolare. În practică, multe unități BSL-4 impun o regulă implicită mai strictă — cum ar fi revizuirea obligatorie de către comitetul de biosiguranță a oricărei decizii de retestare care nu este completă — dar logica bazată pe riscuri și justificarea documentată sunt aceleași.

Î: Care dintre cele două abordări consumă, de fapt, mai puține resurse: un calendar anual fix de retestare sau un program bazat pe evenimente?
R: Un program bazat pe evenimente nu consumă în mod inerent mai puține resurse; acesta înlocuiește testările previzibile și programate cu o necesitate continuă de a evalua modificările, de a documenta evaluările de risc și de a efectua teste țintite atunci când este indicat. Efortul total poate fi comparabil, dar acoperirea riscurilor se îmbunătățește semnificativ, deoarece testarea este declanșată de schimbări reale de stare, mai degrabă decât de date arbitrare. Unitățile constată adesea că elimină recalificările inutile ale suitei complete de teste, investind în schimb mai mult timp în teste mai mici, axate pe modificări.

Î: Noi operăm doar unul Izolator aseptic și două Cutii pentru permise VHP. Este oare excesiv să ții un registru complet al echipamentelor și un plan privind ciclul de viață al acestora?
R: Nu. Chiar și un registru minim — o foaie de calcul bine organizată care corelează evenimentele de modificare ale fiecărui activ, evaluările de risc și rapoartele de testare — asigură o trasabilitate pregătită pentru audit, care previne constatările de la inspecții mult mai costisitoare decât timpul investit. Aceeași logică a ciclului de viață se aplică proporțional și la scară redusă: un număr mai mic de active înseamnă mai puține rânduri, dar riscul modificărilor nedocumentate și al abaterilor treptate nu scade odată cu dimensiunea inventarului.