Факторы, вызывающие необходимость повторной аттестации оборудования для локализации рисков на объектах с уровнями биологической безопасности (BSL) и объектах, работающих с высокопатогенными ингредиентами (HPAPI)

Замена уплотнения, выполненная без происшествий, обновление логики управления в соответствии с рабочим заданием, корректировка заданного значения давления во время ввода в эксплуатацию соседнего оборудования — каждое из этих действий может пройти в рамках повседневного рабочего процесса объекта, не вызвав необходимости проведения официальной повторной квалификации. Спустя несколько месяцев возникает отклонение давления во время цикла работы в условиях BSL-3 или наблюдается неблагоприятная тенденция в мониторинге жизнеспособных микроорганизмов при переработке HPAPI, и расследование указывает на изменение, влияние которого на валидированное состояние локализации никогда не оценивалось. Переделка не ограничивается повторным проведением испытания на герметичность; она включает в себя обоснование того, почему оборудование эксплуатировалось без актуальных данных о квалификации, восстановление хронологии изменений и обоснование этого пробела перед инспектором. Защитить себя от подобной ситуации помогает не техническая осведомленность, а знание того, какие изменения способны аннулировать предыдущие данные о герметичности, независимо от того, насколько рутинными они кажутся с механической точки зрения.

Функция сдерживания в качестве основы для срабатывания

Вопрос, на который должна дать ответ программа повторной валидации, заключается не в том, было ли изменение значительным или незначительным, а в том, может ли оно поставить под угрозу подтвержденное состояние герметичности. Приложение 15 к EudraLex прямо формулирует это следующим образом: значительные изменения в конструкции оборудования или его предполагаемом использовании, которые могут повлиять на качество продукта или функцию герметичности, требуют повторной валидации. Решающим критерием является сама функция герметичности, а не кажущийся масштаб вмешательства.

Это различие имеет важное значение, поскольку функция локализации в средах BSL-3/4 и HPAPI определяется набором взаимозависимых эксплуатационных параметров — целостностью барьера, каскадом давления, балансом воздушных потоков, эффективностью фильтров, последовательностью блокировок — которые были проверены в совокупности в рамках конкретного набора условий. Изменение, влияющее на один параметр, может повлечь за собой последствия для других параметров, которые остаются незаметными до тех пор, пока система мониторинга не зафиксирует отклонение или не будет зафиксирован сбой при проверке целостности. Замена уплотнения двери влияет на геометрию барьера; изменение логики управления изменяет реакцию блокировок на сигналы тревоги, связанные с давлением; замена фильтра HEPA изменяет профиль перепада давления, на основе которого были сбалансированы вентилятор и каскад. Ни одно из этих изменений не является незначительным с точки зрения функции локализации, которую они обеспечивают.

На практике это означает, что триггеры повторной квалификации следует оценивать с помощью фильтра, основанного на оценке рисков и разработанного в соответствии с ICH Q9: на какие функции локализации влияет данное изменение и имеются ли в настоящее время данные квалификации, охватывающие измененное состояние? Если ответ на второй вопрос отрицательный, то пробел существует независимо от того, воспринимается ли изменение как рутинное или нет. Рассмотрение функции локализации в качестве основания для инициирования преобразует то, что зачастую является субъективной оценкой масштаба, в структурированную оценку воздействия, и именно эта оценка обеспечивает обоснованность программы повторной квалификации.

Изменения нагрузки датчика управления уплотнением и параметров энергопотребления

Любой из этих видов изменений создает потенциальный пробел в документации: имеющиеся в архиве данные по квалификации были получены в условиях конфигурации, которая больше не существует, и до тех пор, пока не будут повторены соответствующие испытания, оборудование эксплуатируется в состоянии, которое не охватывается ранее полученными данными.

Общим следствием для всех шести типов изменений, приведенных в таблице, является не то, что каждое из них гарантированно приводит к нарушению герметичности, а то, что каждое из них лишает доказательной базы для вывода о сохранении герметичности. Замена уплотнения может привести к сохранению или улучшению характеристик барьера; перемещение датчика может по-прежнему обеспечивать сбор репрезентативных данных о давлении. Проблема заключается в том, что слово “может” не является доказательством соответствия требованиям. Руководство ICH Q9 по управлению рисками предоставляет основу для оценки вероятности и серьезности воздействия, но оценка риска не заменяет испытаний в тех случаях, когда предыдущие данные действительно утратили свою действительность. Она определяет объем и направленность повторной квалификации, а не то, нужна ли она вообще.

Примеры с датчиками и инженерным оборудованием также иллюстрируют, насколько широко может распространяться сфера изменений. Установка нового датчика вибрации на вентиляционной установке чистой комнаты требует оценки того, не приводит ли способ монтажа к попаданию твердых частиц, не нарушает ли прокладка кабелей границы зоны под давлением и соответствует ли сопутствующее программное обеспечение утвержденным мерам контроля целостности данных. Это не крайние случаи, придуманные чрезмерно осторожной командой по обеспечению качества; это конкретные пути, по которым добавление средства мониторинга может изменить утвержденное состояние изолированной среды, для поддержки которой оно было предназначено. Контроль изменений существует для того, чтобы выявить эти последствия до того, как они станут результатами расследования.

Ежегодный график и переаттестация по конкретным событиям

Ни периодическая переаттестация сама по себе, ни переаттестация по факту происшествия сама по себе не обеспечивают достаточного охвата оборудования для локализации BSL или HPAPI. Ограничением каждого из этих подходов является тот пробел, который призван устранить другой подход.

Схема неисправностей, которая постоянно выявляется в ходе плановых аудиторских проверок, заключается в следующем: в третьем месяце двенадцатимесячного цикла повторной аттестации было внесено изменение, повлиявшее на рабочие границы — корректировка заданного значения параметра, замена уплотнения, изменение логики управления. Ежегодное испытание, проведенное в соответствии с графиком в двенадцатом месяце, подтверждает, что оборудование в текущем состоянии соответствует критериям приемки. Однако он не может подтвердить, что оборудование соответствовало этим критериям на протяжении всех промежуточных девяти месяцев. Если в пятом месяце произошло отклонение показателей герметичности, то на основании одних только протоколов периодических испытаний невозможно ответить на вопрос, соответствовало ли оборудование квалификационным требованиям на момент этого события.

В Приложении 15 периодическая проверка и переквалификация по событиям рассматриваются как взаимодополняющие требования, а не как альтернативы. Надежная программа валидации устанавливает запланированный периодический интервал с учетом критичности оборудования и данных о его работе за предыдущий период, в то время как система контроля изменений гарантирует, что события, влияющие на герметичность защитной оболочки, фиксируются и оцениваются в режиме реального времени. Гибридный подход является единственным способом обеспечения непрерывной цепочки доказательств квалификации: периодические испытания обеспечивают плановое подтверждение, а переквалификация по событиям устраняет пробелы по мере их возникновения.

Сфера применения системы контроля изменений и полномочия по выпуску версий

Контроль изменений, в ходе которого выявляется необходимость повторной квалификации, но не определяется её объем, создаёт иную проблему, чем отсутствие такого контроля: он приводит к неоднозначному статусу выпуска. Оборудование попадает в процесс квалификации без чёткого указания того, какие испытания необходимо провести, какие предыдущие записи следует проанализировать и кто уполномочен вернуть систему в эксплуатацию.

В разделе 15 Приложения 15 предписывается, чтобы в рамках контроля изменений использовались схемы принятия решений для классификации последствий и определения испытаний и критериев приемки, необходимых для повторной квалификации. Последствия упущения любого из четырех элементов, указанных в таблице, носят конкретный характер. Без определения затронутых функций герметичности объем испытаний становится произвольным — команда может повторить испытание на падение давления, если недействительным доказательством оказалась визуализация воздушного потока, или наоборот. Без наличия четких записей для анализа пробелы в калибровке, предыдущие тенденции отклонений и история технического обслуживания, имеющие отношение к текущему изменению, могут остаться нерассмотренными. Без определённого органа, уполномоченного на ввод в эксплуатацию, оборудование может быть вновь введено в эксплуатацию по усмотрению технического специалиста, проводившего испытание, а не в результате утверждения, контролируемого в соответствии с GMP.

Особое внимание следует уделить полномочиям на отключение в контексте оборудования для локализации. Лицо, уполномоченное вернуть модуль BSL-3 или Изолятор OEB4/OEB5 Лицо, ответственное за ввод оборудования в эксплуатацию после повторной аттестации, должно быть независимым от исполнителя изменений и явно указано в процедуре контроля изменений. Нечеткие формулировки, возлагающие ответственность за выдачу разрешения на “инженерный отдел” или “группу по валидации” без указания конкретной должности или функции, создают уязвимость в плане соблюдения нормативных требований, которую будет сложно обосновать, если инспектор спросит, кто проверил результаты повторной аттестации и на каком основании было выдано разрешение на ввод оборудования в эксплуатацию.

Техническое обоснование случаев, когда повторное тестирование не требуется

Не каждое изменение, прошедшее процедуру контроля изменений, требует полной повторной квалификации. В вопросе № 3 раздела «Часто задаваемые вопросы» Приложения 15 предусмотрен подход, при котором вместо повторной квалификации проводится проверка, если одновременно выполняются три условия: изменение является незначительным, риск явно низок, а имеющиеся данные о предыдущей квалификации являются достоверными. Должны выполняться все три условия; отсутствие хотя бы одного из них исключает данное решение из этой категории.

Документированная оценка рисков в соответствии с ICH Q9 в данном сценарии не является факультативной — она служит доказательством, обосновывающим принятое решение. Без неё вывод о том, что повторное тестирование не требуется, представляет собой субъективное суждение, не имеющее отслеживаемого обоснования, и именно так он и рассматривается в ходе инспекции. В ходе оценки необходимо определить, на какие функции локализации влияет данное изменение, объяснить, почему риск для каждой из них является низким с учетом конкретных характеристик изменения, а также подтвердить, что предыдущие данные квалификации по-прежнему отражают измененное состояние.

Практический риск при применении данного положения заключается в расширении границ понятий “незначительный” и “низкий риск”. Замена уплотнения на некритической панели доступа может действительно подпадать под эти критерии; однако применение той же логики к уплотнению основного порта для перчаток на изоляторе HPAPI, работающем на уровнях OEB5 — где пределы воздействия на оператора находятся в диапазоне однозначных нанограмм на кубический метр — уже не оправдано. Последствием расширительного толкования становится то, что всю стратегию повторной квалификации данного оборудования становится трудно обосновать, поскольку обоснование, служащее оправданием для отказа от повторного тестирования, должно затем выдержать тщательную проверку с учетом фактического профиля риска, связанного с изменением, и реальных последствий воздействия в случае нарушения герметичности. Задокументированное обоснование служит защитой, когда решение обосновано; оно становится источником ответственности, когда оценка риска была проведена с целью достижения заранее определенного вывода.

Для команд, занимающихся разграничением понятий «квалификация» и «верификация» на ранних этапах жизненного цикла оборудования, Обзор этапов развития IQ даёт представление о том, как изначально формируется доказательная база квалификации — и, следовательно, что на практике означает понятие “прочные предварительные знания”.

Матрица триггеров для оборудования BSL и HPAPI

Последствия сбоя в системе локализации на лабораториях уровня BSL-3/4 или в зоне воздействия высокопатогенных агентов (HPAPI) носят асимметричный характер. Необоснованно проведенная повторная аттестация приводит к потере времени и ресурсов; эксплуатация оборудования локализации без действующих подтверждающих документов об аттестации после возникновения триггерного события создает риск облучения персонала, угрозу безопасности пациентов и риск нарушения нормативных требований, от которых гораздо сложнее оправиться. Именно эта асимметрия, а не административный консерватизм, делает тщательную повторную аттестацию после определенных триггерных событий обязательной.

Эту матрицу следует рассматривать как отправную точку, адаптированную к конкретному уровню биологической защиты объекта и результатам оценки рисков, а не как универсальный контрольный список. Замена фильтра BIBO на Лаборатория с модулями уровня BSL-3/4 имеет иные последствия, чем замена фильтра в системе с более низким уровнем опасности, поскольку управляемый поток выхлопных газов является непосредственной границей локализации жизнеспособных агентов. Аналогичным образом, повторяющиеся сигналы тревоги о сбое давления или тенденция, свидетельствующая о постепенной потере отрицательного давления, не являются просто «курьезами» мониторинга — это сигналы о том, что герметичность оболочки, возможно, уже нарушена, и продолжение эксплуатации без повторной квалификации превращает потенциальное отклонение в задокументированный период работы вне утвержденного состояния.

Объектам также следует оценивать, не приводит ли совокупность небольших изменений, ни одно из которых по отдельности не достигает порога, требующего повторной аттестации, к изменению эксплуатационных границ, что делает предыдущие данные недействительными. Изменение логики управления, перемещение датчика и корректировка заданного значения системы жизнеобеспечения, выполненные в рамках трёх отдельных рабочих заказов в течение шести месяцев, по отдельности могут казаться незначительными. Однако при совместной оценке с учётом общих функций защитного контейнера они могут представлять собой совокупное изменение, требующее комплексной повторной квалификации. Система контроля изменений, которая оценивает каждое событие отдельно без периодического совокупного анализа, может упустить этот момент. Для команд, готовящихся отстаивать свою программу повторной квалификации в ходе проверки регулирующими органами, Руководство по подготовке к аудиту по валидации защитной оболочки OEB рассматривает, как эти программные решения анализируются на практике.

Ключевое решение, касающееся всех разделов программы повторной квалификации, носит не технический, а определительный характер. Определение того, что представляет собой воздействие на функцию локализации, какие изменения подпадают под контроль изменений, какой объем испытаний требуют эти изменения и кто уполномочен возвращать оборудование в эксплуатацию, — все это решения по проектированию программы, которые определяют, останутся ли данные квалификации актуальными и обоснованными на протяжении всего срока службы оборудования.

До того как произойдет какое-либо событие, требующее повторной квалификации, объект должен быть в состоянии ответить на четыре вопроса, исходя из имеющейся документации: на какие функции локализации влияет каждый класс изменений, какие испытания потребуются для устранения пробелов в доказательной базе, кто проверяет результаты и какое задокументированное обоснование лежит в основе любого решения об отказе от повторного тестирования. Если эти ответы содержатся в плане валидации и процедуре контроля изменений, отдельные триггерные события становятся управляемыми. Если же их нет, каждое событие требует принятия таких решений в условиях дефицита времени, с неполными записями и в условиях, когда обоснованность ответа сразу же оказывается под угрозой.

Часто задаваемые вопросы

Вопрос: Наше предприятие работает в соответствии с нормами FDA, а не с Приложением 15 к директиве ЕС. Применяются ли в этом случае те же принципы, определяющие необходимость повторной квалификации?
A: Да — логика срабатывания не зависит от конкретного регулирующего органа, поскольку она основана на физической реальности функции локализации, а не на формулировках конкретного руководства. Хотя в Приложении 15 содержатся четкие формулировки, требования FDA к квалификации оборудования в соответствии с 21 CFR, часть 211, подраздел D, также предусматривают, что изменения, которые могут повлиять на валидированное состояние, должны быть оценены и, при необходимости, повторно проверены. Основной принцип остается неизменным: любое изменение, которое разрывает связь между текущей конфигурацией оборудования и документацией, подтверждающей его квалификацию, создает пробел, который будет подвергаться сомнению в рамках большинства систем GMP.

Вопрос: Какую самую неотложную меру следует принять учреждению после прочтения этой статьи?
A: Убедитесь, что ваша процедура контроля изменений определяет — до того, как какое-либо изменение будет внесено — на какие функции локализации влияет данный класс изменений и какие конкретные испытания позволят устранить возникающий в результате пробел в доказательной базе. Основная уязвимость, описанная в статье, заключается не в отсутствии повторной квалификации, а в отсутствии заранее определённых, структурированных решений. Если ваша процедура оставляет эти решения на усмотрение сотрудников в момент внесения изменения, уделите первоочередное внимание устранению этого процедурного пробела; именно на этом основывается обоснованная повторная квалификация.

Вопрос: При каких условиях совокупность отдельных незначительных изменений приводит к необходимости переквалификации?
A: Когда совокупный эффект изменений — оцениваемый за определенный период, как правило, в рамках текущего годового цикла квалификации — затрагивает ту же самую функцию локализации настолько, что исходные данные квалификации больше не отражают эксплуатационное состояние. Универсального числового порога не существует; определяющим фактором является функциональная взаимозависимость. Если изменение логики управления, перемещение датчика и корректировка заданного значения давления влияют на работу каскада давления или системы блокировки, их совокупное воздействие требует проведения комплексной повторной квалификации, даже если каждое рабочее задание в отдельности было оценено как низкорисковое. Периодические проверки совокупного воздействия в рамках системы контроля изменений позволяют выявить такую закономерность до того, как произойдет отклонение от нормы.

Вопрос: Может ли тщательно реализованная программа переаттестации на основе событий избавить от необходимости проведения плановой периодической переаттестации?
A: Нет, поскольку повторная квалификация на основе событий лишь подтверждает, что функция локализации была восстановлена после известного изменения; она не позволяет выявить постепенный дрейф, незамеченное ухудшение состояния или совокупный эффект микроизменений, которые никогда не попадали под контроль изменений. Ежегодные периодические испытания обеспечивают независимое, проводимое по графику подтверждение того, что вся защитная оболочка на протяжении всего времени оставалась в валидированном состоянии. Эти два подхода дают ответы на разные вопросы: переквалификация на основе событий задает вопрос “работает ли оборудование после этого конкретного изменения?”, тогда как периодическая переквалификация спрашивает “продолжало ли оборудование работать в течение всего предыдущего интервала?”. Для поддержания полной цепочки доказательств необходимы оба ответа.

Вопрос: Реалистична ли описанная в данной статье инфраструктура для полной переаттестации для небольшой биотехнологической компании, располагающей одним изолятором и ограниченными ресурсами для валидации?
A: Требования к инфраструктуре снижаются, но принцип сохранения действующих подтверждающих документов о квалификации остается неизменным. Небольшой объект может реализовать ту же логику с помощью упрощенного контрольного списка по управлению изменениями, заранее определённого набора основных испытаний системы локализации для своего единственного энергоблока, а также чёткого задокументированного обоснования случаев, когда от повторного тестирования можно отказаться. Независимо от размера объекта, обязательным условием является способность продемонстрировать, что после любого изменения, затрагивающего защитную оболочку, кто-то целенаправленно оценил его последствия, повторил необходимые испытания в случае утраты действительности предыдущих данных и сохранил соответствующую документацию. Небольшая, но хорошо документированная программа выдерживает тщательную проверку лучше, чем сложная программа, в которой остаются недокументированные пробелы.