Cum se redactează cerințe URS verificabile pentru izolatoare, BIBO, cutii de transfer VHP și EDS

Cerințele vagi rareori sunt respinse în cadrul unei revizuiri a URS. Ele sunt respinse la etapa FAT, când autorul protocolului nu poate identifica un criteriu de acceptare, iar programul de calificare preia întârzierea. O cerință care prevede că “izolatorul trebuie să mențină izolarea în timpul schimbării mănușilor” poate trece de o revizuire a documentului fără ca nimeni să observe că nu specifică niciodată ce agent de testare pune la încercare bariera, ce instrument măsoară rezultatul sau ce înregistrare ar dovedi că condiția a fost îndeplinită. Costul nu constă doar în timpul alocat revizuirii — ci și în întâlnirile repetate de aliniere între furnizor, echipa de asigurare a calității și inginerul de validare de la fața locului, adesea după ce deciziile privind fabricația au fost deja luate. Soluția constă într-o disciplină de redactare aplicată înainte ca URS-ul să părăsească echipa de proiect: dacă un responsabil cu testarea nu poate redacta un test pentru o cerință fără a face presupuneri, cerința respectivă nu este gata. Secțiunile de mai jos conferă acestei discipline o formă specifică pentru izolatoare, sisteme BIBO, cutii de trecere VHP și EDS și se încheie cu o regulă pentru a decide dacă o anumită cerință își merită locul în document.

Formulări verificabile pentru funcțiile de barieră ale izolatorului

Documentele URS privind izolatoarele conțin adesea cerințe referitoare la funcția de barieră care par adecvate în timpul revizuirii interne, dar se dovedesc a fi insuficiente la testarea FAT. Modelul de eșec este constant: cerințele sunt formulate ca intenții de proiectare, nu ca rezultate verificabile. “Sistemul trebuie să mențină o diferență de presiune negativă” pare o cerință completă până când autorul protocolului întreabă care este valoarea țintă, care este toleranța, unde este amplasat senzorul, cu ce frecvență se efectuează măsurătorile și în ce stare intră sistemul atunci când valoarea măsurată iese din intervalul de referință. Niciunul dintre aceste aspecte nu este implicat de propoziția respectivă. Toate aceste informații trebuie să se regăsească în scenariul de testare, ceea ce înseamnă că autorul protocolului fie inventează răspunsul, fie redeschide URS-ul.

Soluția practică constă în a trata fiecare cerință privind bariera de izolare ca având patru componente înainte de a fi considerată completă: un actor (ce sistem sau rol), o condiție de intrare (ce stare sau parametru declanșează cerința), o ieșire sau o stare a sistemului necesară și o constrângere (limită de timp, clasă de precizie, tip de instrument sau interval de înregistrare). O cerință care vizează, de exemplu, răspunsul la depășirea presiunii ar trebui să precizeze pragul diferențial, standardul senzorului, comportamentul alarmei vizuale și sonore, precum și dacă sistemul intră într-o stare blocată care necesită o suprascriere autorizată. Elaborarea unui astfel de nivel de specificitate durează mai mult. De asemenea, aceasta înseamnă că persoana responsabilă de redactarea protocolului FAT nu are nimic de inventat.

O a doua greșeală frecventă este gruparea condițiilor conexe într-o singură cerință, folosind construcții de tipul “și/sau”. Dacă un element acoperă atât activarea alarmei, cât și comportamentul blocării ușii, acestea sunt două condiții care pot fi testate separat — una poate fi îndeplinită, iar cealaltă nu. Elementele grupate creează stări de conformitate parțială pe care protocoalele de calificare nu le pot evalua în mod clar. Fiecare condiție atomică ar trebui să aibă propriul număr și propriul criteriu de acceptare.

Standardul ASTM E2500-25 susține principiul fundamental conform căruia cerințele trebuie exprimate într-o formă care să permită verificarea obiectivă — nu ca o regulă prescriptivă privind structura frazelor, ci ca o așteptare a cadrului de testare care determină modul în care este evaluat limbajul specificațiilor. Redactarea textului având în vedere verificabilitatea încă de la început asigură alinierea URS la această așteptare, fără a se aștepta ca faza de verificare să scoată la iveală lacunele.

Cerințele BIBO legate de dovezile privind întreținerea

Cerințele privind carcasele de tip „bag-in/bag-out” prezintă o vulnerabilitate specifică în ceea ce privește documentația, pe care cerințele privind izolatoarele nu o prezintă întotdeauna: accesul pentru întreținere. Performanța funcțională a unui Sistemul BIBO depinde de procedurile de schimbare a filtrelor, care trebuie să poată fi executate în condiții de izolare, iar în URS se regăsesc adesea fie definițiile privind dovezile necesare pentru aceste proceduri, fie acestea sunt omise în mod tacit.

O cerință URS care prevede că “schimbarea filtrului trebuie efectuată în condiții de siguranță” nu precizează testerului ce înseamnă „în condiții de siguranță”, ce procedură trebuie urmată, ce verificare a etanșeității se efectuează în timpul sau după schimbare, sau ce document confirmă că activitatea a fost finalizată corect. În etapa de IQ sau OQ, inginerul de calificare trebuie să reconstituie toate aceste aspecte. Dacă reconstituirea nu corespunde intenției inițiale de proiectare a furnizorului, procesul de calificare se blochează până la soluționarea discrepanței. Această negociere este consecința directă a faptului că tipul de dovadă nu a fost specificat în URS.

Abordarea mai justificată constă în corelarea fiecărei cerințe de întreținere BIBO cu înregistrarea specifică care va dovedi că aceasta a fost îndeplinită. Nu “trebuie păstrat un jurnal de întreținere”, ci “activitățile de înlocuire a filtrelor trebuie documentate folosind [Formularul de întreținere preventivă al unității, ID] sau un document echivalent, menționând data, ID-ul tehnicianului, numărul lotului de saci, valorile presiunii diferențiale înainte și după înlocuire, precum și rezultatul testului de verificare a etanșeității”. Acest nivel de specificitate nu reprezintă o inginerie excesivă — el elimină complet speculațiile persoanei care efectuează testarea, ceea ce constituie scopul cerințelor privind documentația de calificare din Anexa 15 aplicate acestui tip de echipament.

Dimensiunea proporționalității riscului este importantă și în acest context. Nu toate cerințele BIBO au aceleași consecințe în ceea ce privește izolarea. Cerințele care reglementează integritatea izolației la schimbarea filtrului se încadrează într-un nivel de risc diferit față de cerințele care reglementează finisajul suprafeței exterioare a carcasei. Atunci când un URS atribuie niveluri de risc cerințelor, gradul de detaliere a dovezilor așteptat — certificat de calibrare, registru de întreținere, documentație fotografică, rezultatul unui test efectuat în prezența unui martor — decurge din nivelul respectiv. Un URS care enumeră cerințele fără a le plasa în contextul riscului îl obligă pe cel care elaborează protocolul să evalueze independent acea profunzime, iar inginerii vor ajunge la concluzii diferite. Această inconsistență poate fi identificată în cadrul unui audit.

Pentru echipele care doresc să-și structureze mai bine așteptările privind dovezile de punere în funcțiune, Lista de verificare pentru punerea în funcțiune a sistemului BIBO, care include testele FAT, SAT, IQ și OQ identifică aspectele specifice care sunt adesea omise în fiecare etapă.

Ipotezele privind ciclul cutiei de transfer VHP din URS

Termenul “ipoteză privind ciclul” reprezintă punctul în care documentele URS ale camerei de transfer VHP tind să nu treacă de verificarea autorităților de reglementare. Echipele menționează în documentație că pentru transfer se va utiliza un ciclu de decontaminare VHP, fără a transforma această ipoteză în parametrii măsurabili pe care ciclul trebuie să îi îndeplinească. Consecința este că echipa de validare ajunge la etapa de calificare operațională (OQ) cu un sistem care execută un ciclu, dar fără o bază URS care să specifice ce anume trebuia să demonstreze acel ciclu.

Atât Anexa 15, cât și ghidul FDA privind validarea proceselor susțin principiul conform căruia condițiile — inclusiv cele din scenariul cel mai defavorabil — trebuie definite înainte de a putea fi verificate. În cazul unei camere de transfer VHP, aceasta înseamnă că URS trebuie să precizeze intervalul țintă de concentrație al H₂O₂, durata fazei de expunere, toleranța la temperatură la locul de măsurare, comportamentul diferențialului de presiune în timpul fazelor ciclului, precum și criteriile de acceptare ale indicatorului biologic sau chimic pentru calificarea ciclului. Acestea nu sunt specificații de proiectare — sunt condiții de performanță pe care activitatea de dezvoltare a ciclului efectuată de furnizor trebuie să le îndeplinească, iar URS este documentul în care cumpărătorul stabilește ce înseamnă „satisfăcător”.

Riscul de a lăsa parametrii ciclului nedefiniti nu este unul teoretic. Un furnizor poate dezvolta un ciclu care să asigure o reducere de 6 log în condițiile proprii de fabricație, fără a documenta intervalul de valori al parametrilor care generează acest rezultat. În timpul testelor SAT sau PQ, atunci când temperatura sau umiditatea din unitate depășesc ipotezele neprecizate, performanța ciclului variază, iar echipa de calificare nu dispune de o bază URS pentru a decide dacă rezultatul este acceptabil. Reproducerea datelor de dezvoltare a ciclului ca criteriu de acceptare retrospectiv constituie o vulnerabilitate recunoscută în cadrul auditurilor.

Fiecărui parametru ar trebui să i se atribuie o etapă de verificare chiar în cadrul URS — fără a se lăsa această sarcină la latitudinea celui care elaborează protocolul. Un interval de temperatură verificat în cadrul testului FAT, în condiții controlate de fabrică, poate necesita o reverificare în cadrul testului SAT și, din nou, în cadrul testului OQ, în condițiile specifice locației. Precizarea acestei corelații în URS rezolvă eventualele dispute ulterioare privind domeniul de aplicare, referitoare la testele necesare în fiecare etapă.

Cumpărătorii ar trebui să definească cerințele privind înregistrările EDS și alarmele

Sistemele electronice de date și de alarmă din cadrul echipamentelor de izolare se află la intersecția dintre siguranța operațională și integritatea datelor reglementate, iar în Specificația de cerințe utilizator (URS) cumpărătorii trebuie să definească comportamentele specifice care vor fi testate — nu furnizorul. Un furnizor va configura sistemul conform setărilor sale implicite. Dacă aceste setări implicite nu respectă obligațiile impuse de Partea 11 sau Anexa 11 pentru unitatea respectivă, neconformitatea este descoperită în timpul procesului de calificare, când modificările de configurare sunt costisitoare și afectează respectarea termenelor.

Motivul pentru care această responsabilitate revine cumpărătorului ține de claritatea domeniului de aplicare. Partea 11 și Anexa 11 reglementează obligațiile unității privind înregistrările electronice, nu proiectarea produsului de către furnizor. Un furnizor care livrează un sistem cu autentificare comună, fără solicitarea semnăturii electronice și cu un jurnal de alarme care poate fi șters a livrat un produs funcțional. Faptul că acel produs respectă sau nu cerințele de reglementare ale cumpărătorului este o problemă legată de URS, nu o deficiență a furnizorului — cu excepția cazului în care URS prevede altfel.

În practică, aceasta înseamnă că cumpărătorii trebuie să specifice în mod explicit fiecare comportament reglementat înainte de achiziție. Conținutul pistei de audit, identificarea unică a utilizatorului, condițiile de declanșare a semnăturii electronice, semnificația afișată a fiecărei semnături și mecanismele de protecție a înregistrărilor nu sunt implicite într-o cerință care prevede că “sistemul trebuie să respecte reglementările aplicabile”. Această frază nu este verificabilă. Cele cinci comportamente la care face referire sunt verificabile fiecare în parte și fiecare necesită propriul criteriu de acceptare.

Partea 11 și Anexa 11 stabilesc cerințele minime reglementare. URS transpune aceste cerințe minime într-un limbaj specific fiecărui amplasament și verificabil — menționând câmpuri, comportamente și tipuri de înregistrări specifice pe care un tester le poate verifica în raport cu un prag de acceptare/respingere, în loc să se bazeze pe o referință normativă pe care fiecare evaluator ar putea-o interpreta în mod diferit.

Coerență între mai multe pachete de echipamente

Un proiect care gestionează simultan achizițiile de izolatoare, BIBO, cutii de transfer VHP și EDS se confruntă cu un risc legat de documentație care nu apare în niciun URS al unui singur echipament: cele patru documente vor prezenta divergențe. În absența unei structuri impuse, fiecare URS își dezvoltă propria convenție de numerotare, propriile abrevieri pentru nivelurile de risc și propriul vocabular pentru tipurile de dovezi. Divergența rămâne invizibilă până când un audit inter-pachet sau un eveniment de control al modificărilor impune corelarea unei singure cerințe la nivel de amplasament în toate cele patru documente.

Consecința practică este că lacunele în materie de trasabilitate apar nu pentru că cerințele individuale sunt formulate necorespunzător, ci pentru că proiectul nu a stabilit niciodată un cadru comun la care să poată face referire toate cele patru documente. O cerință cu numărul FR-14 din URS-ul izolatorului și SR-003 din URS-ul cutiei de transfer VHP poate răspunde aceleiași necesități de control al presiunii la nivel de amplasament. Fără o matrice de trasabilitate care să le lege în mod explicit pe ambele de cerința-mamă, un evaluator nu poate confirma că necesitatea la nivel de amplasament a fost abordată pentru toate echipamentele relevante — iar observația de audit se scrie de la sine.

Soluția este de natură structurală și trebuie aplicată înainte ca primul URS specific echipamentului să ajungă la stadiul de primă versiune preliminară. O convenție de numerotare comună — precum FR-## pentru cerințele funcționale, SR-## pentru cerințele de siguranță — aplicată în mod consecvent în toate pachetele permite corelarea cerințelor fără a fi necesară o reconstrucție. Un vocabular comun privind nivelurile de risc, chiar și o simplă clasificare pe trei niveluri, asigură aplicarea consecventă a așteptărilor privind profunzimea dovezilor. Iar o matrice de trasabilitate la nivel de proiect, care leagă fiecare element al URS de obiectele de proiectare sau configurare, de scripturile de testare, de rezultate și de controalele asociate, oferă echipei de calificare un singur artefact auditabil, în loc de patru documente paralele fără legături între ele.

Acestea sunt criterii de planificare și de gestionare a proiectelor, nu obligații normative. Totuși, atât Anexa 15, cât și standardul ASTM E2500-25 tratează trasabilitatea ca o condiție pentru o calificare justificabilă — iar o lacună în trasabilitate care afectează mai multe pachete este mai greu de remediat după testarea la locul de instalare (FAT) decât înainte de emiterea specificațiilor de cerințe de utilizare (URS).

Regula de evaluare pentru acceptarea sau respingerea unui element din URS

Fiecare URS acumulează cerințe care par rezonabile în faza de redactare și rezistă contestării în timpul revizuirii. Problema operațională constă în faptul că echipele dispun rareori de o regulă clară de decizie pentru eliminarea sau revizuirea unui element — astfel încât cerințele la limita acceptabilității rămân în document și se transformă în scenarii de testare la limita acceptabilității. Consecința ulterioară este un raport de calificare care include teste pe care nimeni nu le poate interpreta ca fiind clar „promovate” sau „respinse”, precum și o relație cu furnizorul în care disputele privind domeniul de aplicare își au originea în formulări care nu au fost niciodată clarificate.

Regula de bază este clară: dacă un tester nu poate scrie un test pentru o cerință fără a face presupuneri, cerința respectivă nu este pregătită să rămână în URS. Acest lucru se aplică înainte ca cerința să părăsească etapa de redactare. Este o disciplină mai utilă decât orice listă de verificare formală, deoarece îl obligă pe autor să rezolve imediat ambiguitatea, în loc să permită ca cerința să dea naștere unui script de testare defectuos, care va necesita revizuire la testarea FAT.

Două indicatori de sprijin conferă acestei reguli o formă cantitativă pentru ciclurile de revizuire a proiectelor. Gradul de completitudine al trasabilității — procentul cerințelor din URS corelate cu scripturile de testare aprobate și cu dovezile de promovare — ar trebui să vizeze 100%. Orice cerință care nu poate atinge această stare după calificare trebuie eliminată sau revizuită; o cerință care rămâne necorelată în mod permanent indică faptul că criteriul de acceptare nu a fost niciodată definit suficient de clar pentru a putea fi testat. Rata de ambiguitate — elementele semnalate de evaluatori la fiecare 100 de cerințe — ar trebui să rămână sub 2. Acest prag este o valoare stabilită pe baza judecății practicienilor, nu un punct de referință reglementat, dar oferă un indiciu util: un document care depășește pragul necesită o revizuire sistematică înainte de a fi emis, nu o negociere element cu element în timpul testului de acceptare la fabrică (FAT).

Ceea ce se întâmplă la nivel de proiect atunci când elementele sunt păstrate în ciuda eșecului la aceste verificări este previzibil. Autorii protocolului fac ipoteze, sesiunile FAT produc rezultate condiționate, iar inginerul de calificare redactează o justificare care încearcă să definească retroactiv ce a însemnat cerința respectivă. Această justificare este justificabilă doar dacă un auditor acceptă această reconstituire — ceea ce nu este garantat și care poate fi evitat în totalitate dacă cerința este reformulată înainte de a părăsi URS.

Ceea ce diferențiază un URS pregătit pentru certificare de unul care generează revizuiri repetate ale protocolului nu este complexitatea — ci specificitatea aplicată la nivelul potrivit. În special în cazul echipamentelor de izolare și decontaminare, o cerință care nu specifică metoda de testare, instrumentul de măsurare, pragul de acceptare și tipul de înregistrare nu este considerată finalizată. Aceasta a fost amânată, iar costul amânării se manifestă ulterior, în termenele de calificare pe care echipele le subestimează în mod constant atunci când tratează formularea vagă “trebuie să mențină” ca pe o scurtătură rezonabilă în redactare.

Înainte de a emite orice URS specific echipamentului, asigurați-vă că fiecare cerință critică pentru siguranță și de decontaminare are o metodă de verificare specificată, un identificator specific al rezultatului sau al înregistrării și un prag de acceptare/respingere pe care un tester îl poate aplica fără a fi nevoie de interpretare. Această verificare necesită timp în etapa de redactare. Costurile sunt, în mod cert, mai mici decât în cazul alternativei.

Întrebări frecvente

Î: Ce ar trebui să facă o echipă imediat după finalizarea URS, dar înainte de începerea FAT?
R: Efectuați o analiză structurată a trasabilității care să coreleze fiecare cerință din URS cu un scenariu de testare specific, o etapă de verificare alocată (FAT, SAT, IQ, OQ sau PQ) și un tip de înregistrare identificat, înainte de emiterea protocolului FAT. Această etapă scoate la iveală lacunele din criteriile de acceptare în timp ce modificările de configurație sunt încă puțin costisitoare — odată ce deciziile privind fabricația sunt definitive, renegocierea domeniului de aplicare în cadrul FAT necesită mult mai mult timp decât rezolvarea ambiguităților încă din etapa de documentare.

Î: Această abordare funcționează și în cazul în care proiectul implică doar un singur tip de echipament, în loc de toate cele patru?
R: Da, dar principiile de consecvență — convențiile comune de numerotare, vocabularul privind nivelurile de risc și structura matricei de trasabilitate — merită aplicate chiar și în cazul unui URS care vizează un singur echipament, dacă există vreo probabilitate de extindere viitoare a domeniului de aplicare sau de audit intersistemic. Un proiect exclusiv BIBO care adoptă de la început numerotarea FR-## și SR-## nu trebuie să-și reconstruiască arhitectura documentelor atunci când se adaugă ulterior un izolator sau un pachet EDS. Investiția inițială este minimă; costul de adaptare ulterioară nu este.

Î: În ce moment specificarea parametrilor ciclului VHP în URS trece de la cerințe de performanță la prescripții de proiectare?
R: Limita constă în faptul dacă specificația descrie ce trebuie să realizeze ciclul sau oferă furnizorului instrucțiuni privind modul de proiectare a acestuia. Precizarea unui interval țintă de concentrație a H₂O₂, a duratei de expunere și a criteriului de acceptare a indicatorului biologic reprezintă o condiție de performanță — activitatea de dezvoltare a ciclului de către furnizor trebuie să o îndeplinească, dar metoda rămâne la latitudinea acestuia. Specificarea echipamentului de injectare, a poziționării duzelor sau a modelului generatorului intră în sfera prescripțiilor de proiectare și reduce responsabilitatea furnizorului pentru rezultatul final. URS-ul ar trebui să definească limitele în care ciclul trebuie să funcționeze, nu mecanismul prin care se realizează acest lucru.

Î: Un URS care respectă regula privind dovezile descrisă aici este suficient în sine pentru a îndeplini cerințele de calificare din Anexa 15 sau este necesară documentație suplimentară?
R: Faptul că URS respectă regula probelor constituie o condiție prealabilă necesară, nu dosarul complet de calificare. Anexa 15 prevede un ciclu de viață documentat al calificării, care include un plan de calificare, un protocol, un registru de execuție și un raport final — fiecare dintre acestea fiind corelat cu cerințele URS printr-o structură de trasabilitate. Un URS bine redactat, cu criterii de acceptare specifice, înregistrări denumite și atribuiri pentru etapele de verificare, face ca aceste documente ulterioare să fie mai rapide de elaborat și mai ușor de justificat în cadrul procesului de revizuire, dar nu le înlocuiește.

Î: Atunci când aceeași cerință critică pentru siguranță apare în mai multe pachete de echipamente, este mai bine să se formuleze o singură cerință comună sau să se reproducă aceasta în fiecare URS?
R: Reproduceți-o în fiecare URS specific echipamentului, cu o referință comună la nivel de proiect în matricea de trasabilitate, în loc să citați o singură cerință valabilă pentru mai multe documente. Autorii de protocoale care lucrează la un pachet specific de echipamente au nevoie ca criteriul complet de acceptare să fie vizibil în documentul lor — o referință încrucișată către un URS separat creează o dependență de căutare care introduce riscul de eroare în timpul execuției. Matricea de trasabilitate este locul potrivit pentru a face relația dintre cerințele duplicate explicită și verificabilă, fără a crea dependențe fragile între documente.