Calificarea transferului de materiale: FAT, SAT, IQ, OQ și dovezi privind ciclul

Un sistem de transfer al materialelor care trece testele din fabrică poate totuși să prezinte defecțiuni la fața locului dacă instalarea, secvența de testare sau datele privind ciclurile specifice sarcinii nu corespund modului în care echipamentul funcționează efectiv odată instalat. Decizia privind etapa de calificare care trebuie să genereze fiecare element de dovadă nu este o simplă formalitate de documentare; aceasta determină dacă lacunele în acoperire vor apărea în timpul calificării sau după ce sistemul este deja în funcțiune. Întrebarea practică pentru o echipă de proiect nu este dacă FAT, SAT, IQ, OQ și dovezile ciclurilor sunt toate necesare, ci care cerință aparține fiecărei etape și ce se întâmplă atunci când această atribuire nu este clară.

Atribuiți fiecare cerință etapei de calificare corespunzătoare

Fiecare cerință dintr-o specificație a cerințelor utilizatorului implică un anumit tip de dovadă, iar acel tip de dovadă este disponibil numai în anumite momente din ciclul de viață al echipamentului. O funcție care poate fi testată pe o unitate asamblată înainte ca aceasta să părăsească fabrica generează un anumit tip de dovadă; o funcție care depinde de modul în care unitatea este amplasată în locația sa finală, de conectarea la rețelele locale sau de interacțiunea cu echipamentele adiacente generează un alt tip de dovadă. În cazul în care o cerință este considerată îndeplinită pe baza oricărui test care se dovedește convenabil, în loc să se bazeze pe testul capabil să producă dovezi valabile pentru acea cerință, dosarul de calificare prezintă lacune care nu sunt vizibile până când cineva încearcă să urmărească o cerință până la dovada corespunzătoare.

De aceea EudraLex Volumul 4 Anexa 15 consideră că calificarea instalării, calificarea operațională și calificarea performanței se referă la dovezi distincte, iar testarea de acceptare în fabrică este privită ca un proces care poate fi completat de testarea de acceptare la fața locului, și nu înlocuit de aceasta. Această logică se aplică oricărui proiect: dacă o cerință se referă la o condiție dependentă de instalare, niciun test efectuat în fabrică nu o poate rezolva, deoarece condiția relevantă nu există până când unitatea nu este instalată. Dacă o cerință se referă la o funcție care este identică indiferent dacă unitatea se află în fabrică sau la locația sa finală, repetarea acelui test la fața locului oferă o confirmare suplimentară, dar de obicei nu schimbă ceea ce se știe deja.

Sarcina practică a cumpărătorului sau a responsabilului cu validarea este aceea de a parcurge lista cerințelor și de a se întreba, pentru fiecare rând, care etapă poate genera efectiv dovezile relevante. În cazul în care o cerință se referă la mai multe condiții, de exemplu o secvență care trebuie să se execute corect, dar care este, de asemenea, sensibilă la modul în care a fost conectată sau configurată în timpul instalării, cerința poate necesita dovezi împărțite între două etape, fiecare etapă acoperind doar partea pe care o poate testa efectiv. Dacă această împărțire rămâne implicită, se riscă elaborarea unui document care pretinde o acoperire completă, dar care, de fapt, se bazează pe dovezi parțiale.

Această atribuire influențează, de asemenea, modul în care sunt utilizate datele furnizate de furnizor. Anexa 15 permite ca documentația furnizorului să stea la baza calificării, dar sub rezerva unei evaluări a adecvării la amplasament, ceea ce înseamnă că înregistrările proprii ale furnizorului privind testele nu pot înlocui confirmarea faptului că aceleași condiții sunt îndeplinite odată ce echipamentul se află la amplasament. Un cumpărător care lucrează pe baza unei liste de cerințe are avantajul de a identifica din timp care elemente se pot demonstra pe baza dovezilor furnizate de furnizor, sub rezerva respectivei evaluări, și care elemente nu pot fi demonstrate decât printr-un test specific amplasamentului.

Distingerea între testele efectuate în fabrică și verificările la fața locului, care țin de condițiile de instalare

Distincția dintre FAT și SAT Nu este vorba despre locație în sine, ci despre condițiile pe care mediul de testare le poate reproduce efectiv. În cadrul unei fabrici, unitatea poate fi asamblată, alimentată cu energie și supusă unor teste funcționale, dar nu se pot reproduce utilitățile, interfețele fizice și istoricul transportului, care există abia odată ce echipamentul ajunge la locația sa finală. Orice cerință care depinde de aceste condiții specifice locației nu poate fi validată în cadrul testului FAT, indiferent de cât de riguros este efectuat testul în fabrică.

Acest lucru are o consecință directă asupra configurării. Dacă un sistem este asamblat și testat ca o singură unitate în fabrică și apoi expediat intact, setul de elemente care se pot modifica între testul FAT și instalare este relativ limitat, dar include totuși aspecte precum integritatea conexiunilor, abaterile de calibrare survenite în timpul transportului și compatibilitatea utilităților de la destinație cu ipotezele luate în considerare în timpul testului din fabrică. Dacă un sistem este asamblat parțial la fața locului, o parte mai mare din comportamentul său funcțional devine, prin definiție, dependentă de instalare, deoarece funcțiile care depind de asamblarea completă nu pot fi testate pe deplin până când acea asamblare nu există.

Alarmele și dispozitivele de interblocare merită o atenție deosebită în această etapă. Un test efectuat în fabrică poate confirma că o alarmă sau un dispozitiv de interblocare răspunde corect în condițiile de cablare și configurare existente în fabrică. Acesta nu poate confirma însă că același răspuns se menține odată ce unitatea este conectată la sistemele de control specifice amplasamentului, la rețelele de utilități ale amplasamentului sau la echipamentele adiacente, deoarece aceste conexiuni nu existau la momentul testului din fabrică. Orice blocaj sau alarmă a cărei funcționare corectă depinde de un sistem extern accesibil numai după instalare trebuie retestată la SAT, în loc să se presupună că rezultatele sunt valabile și pentru aceasta, preluate din FAT.

Deteriorările fizice constituie o categorie separată de dovezi dependente de instalare, distinctă de performanța funcțională. Un echipament poate funcționa corect și totuși să fi suferit deteriorări în timpul transportului care nu s-au manifestat încă sub forma unei defecțiuni funcționale. În cazul în care lista de cerințe consideră că “absența deteriorărilor” este acoperită implicit de testarea funcțională, cumpărătorul ar trebui să se asigure că inspecția vizuală și fizică reprezintă o etapă distinctă și înregistrată în cadrul SAT, și nu o presupunere inclusă în rezultatul funcțional de tip „promovat/respins”.

Problema cheie pe care cumpărătorul trebuie să o ridice în discuție cu furnizorul este aceea de a stabili care funcții specifice au fost demonstrate în cadrul testului FAT în condiții diferite de cele ale instalării finale și care dintre aceste funcții necesită, prin urmare, o verificare SAT separată, în loc de repetarea aceluiași test în aceleași condiții.

Verificați instalarea, utilitățile, documentele și instrumentele calibrate la IQ

Calificarea instalării confirmă ceea ce a fost efectiv instalat, nu ceea ce este capabil să facă echipamentul. Această distincție este importantă deoarece un sistem instalat corect și un sistem care funcționează corect sunt două aspecte diferite, fiecare necesitând dovezi proprii. Calificarea instalării (IQ) elimină discrepanța dintre ceea ce a fost specificat sau comandat și ceea ce există fizic la fața locului, inclusiv configurația, utilitățile conectate și documentația care le descrie pe ambele.

O verificare a configurației în cadrul IQ are sens doar dacă există o configurație aprobată cu care să se facă comparația. În cazul în care configurația aprobată nu este stabilită clar înainte de instalare, de exemplu deoarece deciziile privind configurația erau încă în curs de finalizare pe măsură ce instalarea avansa, există riscul ca raportul IQ să compare starea instalată cu o țintă în continuă schimbare, în loc de o referință fixă. Aceasta este o situație pe care cumpărătorul ar trebui să o rezolve înainte de începerea instalării, nu în timpul verificării IQ propriu-zise, deoarece rezolvarea ei ulterior înseamnă, de obicei, redeschiderea unor decizii care ar fi trebuit deja finalizate.

Rețelele de utilități și interfețele ridică o problemă conexă. O conexiune la rețeaua de utilități poate părea completă fără a fi verificată în raport cu parametrii de care echipamentul are nevoie efectiv pentru a funcționa conform destinației. În cazul în care o rețea de utilități este partajată cu alte echipamente sau este dirijată prin infrastructură intermediară, confirmarea faptului că conexiunea îndeplinește cerințele echipamentului devine o verificare specifică amplasamentului, care nu poate fi dedusă din simplul fapt că există o conexiune fizică.

Completitudinea documentației la IQ nu este un element birocratic suplimentar; este mecanismul prin care etapele ulterioare se pot baza pe starea instalației fără a o reverifica de la zero. În cazul în care există documentație de la furnizor pentru echipamentul instalat, această documentație necesită totuși o evaluare a adecvării la amplasament, în conformitate cu modul în care Anexa 15 tratează datele furnizorului ca fiind informative și nu automat suficiente. Înregistrarea IQ ar trebui să arate nu doar că documentele există, ci și că cineva a confirmat că acestea corespund cu ceea ce a fost instalat efectiv, întrucât discrepanțele dintre starea reală a lucrării și documentație tind să iasă la iveală în momentul cel mai nepotrivit, dacă nu sunt identificate încă din această etapă.

Instrumentele calibrate completează domeniul de aplicare al acestei secțiuni. Orice instrument utilizat pentru a genera dovezi de calificare, fie în timpul procesului de calificare în sine, fie în etapele ulterioare, necesită dovezi de calibrare anterioare utilizării sale. O concluzie a procesului de calificare care se bazează pe măsurători efectuate cu un instrument fără calibrare valabilă nu este o concluzie fiabilă, indiferent de valoarea indicată de măsurătoare.

Secvențe de testare, interblocări, alarme și limite de funcționare în timpul OQ

Calificarea operațională (OQ) presupune testarea echipamentului la limitele criteriilor sale de funcționare aprobate, și nu doar observarea funcționării acestuia în condiții favorabile. Caracteristica distinctivă a dovezilor de OQ este aceea că ele înregistrează ceea ce se întâmplă efectiv atunci când o anumită condiție este pusă la încercare, comparând rezultatele cu ceea ce ar trebui să se întâmple conform criteriilor aprobate, și nu doar faptul că echipamentul a funcționat fără incidente.

Secvențele, blocajele, alarmele și limitele de funcționare reprezintă categorii diferite de provocări, iar un rezultat obținut într-o categorie nu poate înlocui un rezultat obținut într-o altă categorie. O secvență se poate derula cu succes, chiar dacă un blocaj din cadrul acelei secvențe nu a fost declanșat niciodată în timpul testului, deoarece secvența s-a derulat în condiții care nu au determinat apariția condiției de blocaj. În cazul în care testarea OQ este concepută doar în jurul finalizării secvenței pe calea normală, fără a forța în mod deliberat condițiile care declanșează blocajele și alarmele, raportul rezultat demonstrează că echipamentul funcționează atunci când nu apare nicio problemă, ceea ce reprezintă o afirmație mai restrânsă decât demonstrarea faptului că echipamentul răspunde corect atunci când apare o problemă.

Acest aspect este deosebit de relevant pentru sistemele dotate cu dispozitive de blocare sau alarme legate de siguranță, asociate transferului de materiale, în cazul cărora situația împotriva căreia protejează dispozitivul de blocare s-ar putea să nu apară în mod natural în timpul unui ciclu normal de funcționare. Procesul de calificare operațională (OQ) trebuie să creeze în mod deliberat condiția de declanșare, să observe răspunsul efectiv și să îl compare cu criteriul aprobat, în loc să se bazeze pe absența unei alarme în timpul funcționării normale ca dovadă a faptului că alarma funcționează.

Limitele de funcționare implică un alt tip de evaluare. Un test de limită trebuie să verifice comportamentul la limita aprobată sau în apropierea acesteia, nu doar să confirme că echipamentul funcționează corect undeva, cu o marjă confortabilă, în interiorul acelei limite. În cazul în care o limită este stabilită dintr-un motiv specific legat de proces sau de funcția de protecție a echipamentului, testarea cu mult în interiorul acelei limite nu oferă dovezi cu privire la ceea ce se întâmplă pe măsură ce sistemul se apropie de aceasta.

Testarea în condiții de defectare extinde și mai mult această logică: nu se limitează la a verifica dacă echipamentul funcționează corect în condiții normale și la limită, ci analizează ce se întâmplă atunci când apare o defecțiune și dacă acea defecțiune generează răspunsul aprobat, și nu unul imprevizibil. Orice discrepanță între răspunsul observat în cazul unei defecțiuni și criteriul aprobat reprezintă o abatere, nu o simplă mențiune, și trebuie înregistrată și evaluată ca atare, în loc să fie rezolvată informal în timpul testării. Cele legate de aspecte legate de calificarea operațională pentru echipamentele de transfer și cele adiacente sistemelor de izolare, se extind la modul în care funcționează anumite funcții, cum ar fi cele din VHP, BIBO, cutie de transfer, sau sistemele de uși APR, sunt concepute pentru a furniza dovezi în timpul calificării operaționale (OQ), întrucât dispozitivele de interblocare și alarmele relevante pentru transferul de material se află adesea la interfața dintre aceste sisteme și procesul înconjurător.

Se vor testa cicluri de încărcare reprezentative și se vor consemna abaterile înainte de punerea în circulație

Dovezile obținute în urma ciclurilor specifice sarcinii răspund la o întrebare la care OQ nu poate răspunde pe cont propriu: funcționează sistemul conform cerințelor în condițiile de sarcină și de proces cu care se va confrunta efectiv în timpul utilizării, și nu în condițiile idealizate sau minime folosite pentru testarea funcțiilor individuale. Un ciclu care trece cu succes sub o sarcină redusă sau nereprezentativă nu garantează că același ciclu va funcționa corect sub sarcina generată efectiv de proces, deoarece caracteristicile sarcinii pot modifica modul în care se deplasează materialul, modul în care un ciclu își distribuie efectul sau locul în care ar trebui amplasate dispozitivele de monitorizare pentru a detecta o defecțiune.

Aceasta este etapa în care EU GMP Anexa 1‘Modul în care se abordează controlul transferului și dovezile privind ciclurile de decontaminare capătă o relevanță directă: ciclurile trebuie validate și controlate pe baza unor dovezi adecvate contextului de producție sterilă în care se desfășoară, ținând seama de faptul că Anexa 1 nu furnizează parametri universali ai ciclurilor sau un plan fix de indicatori aplicabil tuturor proiectelor. Parametrii specifici, punctele de monitorizare și abordarea privind indicatorii trebuie stabilite pentru încărcătura și procesul utilizate efectiv, și nu deduse dintr-un șablon generic.

Reprezentativitatea este conceptul fundamental în acest context. Un model de încărcare utilizat pentru calificarea ciclului trebuie să reflecte încărcarea pe care echipamentul o va suporta în producție, în ceea ce privește modul în care este dispus materialul, cât din capacitatea disponibilă este utilizată și unde este probabil să se afle punctele cele mai rezistente din acea încărcare. În cazul în care modelele de încărcare din producție variază în funcție de diferite produse sau configurații de loturi, este posibil ca un singur model reprezentativ să nu acopere toate cazurile, iar proiectul trebuie să decidă dacă un singur model calificat acoperă gama de încărcări preconizate sau dacă mai multe modele necesită dovezi separate privind ciclul.

Alegerea locației de monitorizare decurge direct din caracterul reprezentativ al sarcinii. Un punct de monitorizare bine amplasat pentru o anumită configurație a sarcinii poate să nu fie punctul cel mai susceptibil de a evidenția o defecțiune în cazul unei configurații diferite. Nu există un plan universal de monitorizare sau de indicatori care să se aplice indiferent de sarcină; amplasarea trebuie justificată pornind de la locul în care se preconizează că ciclul va fi cel mai puțin eficient, având în vedere modelul specific de sarcină care face obiectul calificării.

Abaterile înregistrate în timpul încercărilor ciclice trebuie evaluate individual în raport cu criteriile aprobate care se aplică ciclului respectiv, în loc să fie considerate rezolvate doar pentru că rezultatul general al ciclului părea acceptabil. O decizie de punere în funcțiune bazată pe datele ciclice trebuie să țină seama de semnificația fiecărei abateri pentru sarcina specifică și condițiile de proces testate, iar decizia se aplică acelei sarcini și acelor condiții, fără a se trage o concluzie generală cu privire la performanța echipamentului în condiții diferite.

Trasabilitate detaliată, elemente restante și responsabilități legate de predarea sarcinilor

Un pachet de calificare este util doar în măsura în care poate demonstra, la cerere, care cerință este acoperită de fiecare element de dovadă și de ce. O matrice de trasabilitate există pentru a răspunde direct la această întrebare: pentru fiecare cerință din URS, care etapă a generat dovada relevantă și, în cazul în care se bazează pe un test al furnizorului fără repetarea acestuia la fața locului, ce justifică această încredere. În cazul în care această corelare rămâne implicită, un evaluator nu are nicio modalitate eficientă de a confirma că fiecare cerință are efectiv dovezi justificative, spre deosebire de dovezi care pur și simplu există undeva în pachet fără o legătură clară cu cerința pe care ar fi trebuit să o îndeplinească.

Reutilizarea testelor efectuate de furnizor reprezintă un punct recurent de ambiguitate în cadrul acestui proces de finalizare. Acceptarea rezultatului obținut în fabrica furnizorului fără repetarea testului la fața locului poate fi rezonabilă, dar numai în cazul în care s-a efectuat și s-a documentat efectiv evaluarea adecvării locației, în conformitate cu modul în care Anexa 15 tratează documentația furnizorului ca fiind informativă, mai degrabă decât acceptabilă în mod automat. Fără această evaluare consemnată, matricea de trasabilitate nu poate afirma în mod veridic că cerința este închisă; ea poate afirma doar că există dovezi dintr-un context care nu a fost confirmat ca fiind compatibil cu locația respectivă.

Abaterile și elementele deschise sunt categorii conexe, dar distincte, iar amestecarea lor generează probleme de închidere. O abatere înregistrează o abatere de la un criteriu aprobat, împreună cu evaluarea acesteia și decizia rezultată; închiderea etapei de testare în care a avut loc abaterea nu duce automat la închiderea abaterii în sine, mai ales dacă evaluarea a concluzionat că sunt necesare măsuri suplimentare. Un element deschis înregistrează acțiunile rămase de întreprins și starea lor actuală și trebuie să rămână vizibil, cu un efect documentat asupra acceptării sau lansării, până când o decizie îl închide în mod explicit sau îl transferă într-o altă etapă sau în operațiunea de rutină.

Responsabilitatea pentru predare este momentul în care această activitate de închidere devine operațională, nu doar documentară. Fiecare element rămas, fie că este vorba de o acțiune deschisă sau de o abatere care încă este urmărită, necesită desemnarea unei persoane responsabile pentru acțiunea necesară, deoarece responsabilitatea atribuită în mod generic tinde să nu revină nimănui în mod specific odată ce proiectul intră în faza de utilizare de rutină. Tot aici, informațiile proprii ale clientului referitoare la proiect, inclusiv cerințele și criteriile de acceptare stabilite anterior în cadrul proiectului, influențează modul în care se abordează revizuirea configurației și a ofertei de preț de către Qualia pentru echipamentele pe care clientul le achiziționează, întrucât așteptările privind trasabilitatea stabilite în această etapă determină ce dovezi i se solicită furnizorului să prezinte la testele FAT, SAT și OQ. Unde documentația de predare întrucât proiectul mai amplu, care include URS, FAT, SAT și secvența IQ/OQ/PQ, a fost deja structurat pentru un proiect conex de izolare sau BSL, alinierea pachetului de calificare a transferului de materiale la aceeași logică de trasabilitate reduce riscul ca o cerință să cadă în lacuna dintre ceea ce a testat furnizorul și ceea ce a confirmat unitatea.

Întrebări frecvente

Q: Când pot fi reutilizate rezultatele testelor de acceptare în fabrică, în loc să se repete același test la fața locului?
A: Reutilizați-l numai în cazul în care o evaluare a adecvării la amplasament confirmă faptul că testul efectuat de furnizor îndeplinește cerința aplicabilă din URS, iar înregistrarea de trasabilitate explică de ce repetarea nu este necesară. Utilitățile, interfețele, alarmele, dispozitivele de interblocare, daunele cauzate de transport și alte condiții specifice instalării necesită în continuare dovezi corespunzătoare la amplasament.

Q: Ce trebuie să pregătească echipa de proiect înainte de începerea procesului de calificare a transferului de materiale?
A: Pregătiți URS-ul aprobat și criteriile de acceptare, secvențele de funcționare prevăzute și condițiile de testare, informațiile privind configurația instalată și utilitățile, documentele aplicabile privind calibrarea și echipamentele, precum și condițiile reprezentative de încărcare și de proces. Acest lucru permite ca fiecare cerință să fie atribuită etapei care poate furniza dovezile relevante.

Q: Cum ar trebui gestionate modificările legate de transport sau instalare după testul FAT?
A: Păstrați înregistrarea FAT, apoi identificați utilitățile, interfețele, funcțiile, alarmele, dispozitivele de interblocare sau starea echipamentelor care s-ar fi putut modifica după expediere sau instalare. Elementele afectate trebuie verificate în etapa corespunzătoare a lucrărilor la fața locului, iar daunele și discrepanțele nerezolvate trebuie înregistrate ca elemente deschise vizibile.

Q: O calificare operațională (OQ) reușită justifică punerea în funcțiune a unei cabine de transfer, a unui bazin de scufundare sau a unei cabine de transfer VHP pentru sarcina prevăzută?
A: Testul OQ, în sine, nu constituie o dovadă a ciclurilor specifice sarcinii. Autorizarea pentru o sarcină prevăzută trebuie să țină seama de modelul de sarcină reprezentat, de condițiile de proces aplicabile, de locațiile de monitorizare, de abaterile înregistrate și de criteriile specifice proiectului aprobate.

Q: În ce măsură ar trebui ca o abatere de la cerințele de calificare să influențeze decizia privind eliberarea sau predarea?
A: Evaluează-l în raport cu criteriul specific aprobat pe care îl afectează și documentează decizia rezultată. Înregistrarea trebuie să indice dacă problema este închisă sau reportată, efectul acesteia asupra acceptării sau lansării, acțiunile rămase de întreprins și partea din cadrul proiectului responsabilă de acele acțiuni.