Системи BIBO на підприємствах GMP: Як узгодити з Додатком 1 до GMP ЄС та практикою валідації

Багато виробництв GMP встановлюють корпуси BIBO, проходять первинну перевірку при введенні в експлуатацію, а потім під час першого ж регуляторного аудиту або розслідування відхилень виявляють, що інфраструктура документації, яка стоїть за обладнанням, ніколи не існувала в захищеній формі. Фізична ізоляція працює за призначенням, але нездатність продемонструвати, що кожна заміна фільтрів відбувалася за класифікованим, заздалегідь затвердженим маршрутом втручання - з оцінкою впливу, визначеними критеріями викиду і відстежуваними записами - достатня для того, щоб зупинити випуск партії або спровокувати серйозні зауваження. Ця прогалина не є механічною, вона базується на процедурах і кваліфікації, і її усунення після впровадження означає одночасну перебудову як обґрунтування системи якості, так і пакету валідації під тиском виробничих обставин. Що відокремлює установку BIBO, яка витримує аудит, від тієї, яка не витримує, - це те, чи була дисципліна валідації інтегрована до заміни першого фільтра, а не після.

Як BIBO підтримує стратегію контролю забруднення на підприємствах GMP

Система BIBO відіграє свою роль у стратегії контролю забруднення завдяки одному конкретному робочому механізму: принципу замкнутого циклу пакування, який фізично захищає відпрацьований фільтр перед тим, як він буде відокремлений від корпусу. Без цього герметичного переходу заміна фільтра є найбільш ризикованим втручанням у життєвий цикл повітряного тракту - точкою, де накопичені частинки, біологічне навантаження або залишки сильнодіючих сполук мають найбільшу ймовірність потрапляння в навколишнє середовище. Мішок герметизує цей ризик всередині до того, як відкриється межа корпусу.

Однак цей механізм функціонує за призначенням лише тоді, коли він визначений відповідно до фактичного профілю ризику застосування. Корпус BIBO, що обслуговує вихлопну систему ОВіК класу B у стандартному асептичному приміщенні, працює в умовах ризику, що суттєво відрізняються від того, коли він розташований нижче за течією від зони синтезу сильнодіючих сполук ОЕБ4 або ОЕБ5. Для високоактивних, цитотоксичних або інших сильнодіючих сполук проектні наміри системи - сумісність матеріалу мішка, конструкція швів, забезпечення вторинної ізоляції - повинні відображати цю класифікацію на ранній стадії розробки специфікацій, а не додаватися після того, як корпус вже замовлено. Коли цей критерій планування відкладається, проекти часто виявляють, що фізичне обладнання не може бути модернізоване відповідно до фактичного класу ризику без заміни основних компонентів або перегляду обсягу робіт.

Ширша стратегія контролю забруднення вимагає, щоб функція BIBO була пов'язана на етапі проектування з протоколом очищення, послідовністю тестування цілісності і тригером документації, який слідує за кожною заміною. Система BIBO, яка працює механічно, але її технічне обслуговування не пов'язане з керованим життєвим циклом в системі якості, забезпечує механічну ізоляцію без процедурного рівня контролю, який насправді оцінюють регуляторні органи і аудитори.

Наслідки рішення тут прості, але часто недооцінюються: вибір корпусу BIBO і його специфікація для використання в GMP - це не одне і те ж саме. Перше - це закупівля; друге вимагає рішення про класифікацію ризиків, яке формує кожну наступну кваліфікацію, СОП і запис контролю змін, пов'язану з цим корпусом, протягом усього терміну експлуатації системи.

Додаток 1 Очікування щодо втручань на кордонах повітряних трас

Додаток 1 до GMP ЄС (2022) визначає контроль забруднення як системне зобов'язання, яке поширюється на кожне втручання, що стосується класифікованого повітряного середовища, включно з технічним обслуговуванням на кордонах систем опалення, вентиляції та кондиціонування повітря. Очікування не обмежуються тим, що відбувається всередині чистого приміщення під час виробництва; вони охоплюють те, як підприємство управляє будь-якою подією, яка може поставити під загрозу цілісність повітряного тракту, що обслуговує це середовище. Заміна фільтра, яка відкриває межу ОВіК без контрольованих умов, розглядається за цією логікою як потенційне джерело забруднення, а не як рутинне завдання з технічного обслуговування.

Два засоби контролю визначають мінімальну доказову базу для втручань на межі повітряного тракту в більшості практичних інтерпретацій Додатку 1. Перший - процедурний: потік відпрацьованого повітря повинен бути зупинений, а система приведена у визначений стан до того, як буде відкрита межа, щоб усунути ризик того, що перепади тиску або залишковий потік повітря можуть занести забруднення в порушену ділянку або з неї. Другий - перевірочний: після того, як використаний фільтр було упаковано в мішок і встановлено новий, герметичність захисного мішка повинна бути підтверджена за допомогою випробування на цілісність - зазвичай за допомогою аерозольного тесту DOP або PAO - перед тим, як корпус буде повернуто в експлуатацію. Тут варто бути точним: Додаток 1 не вимагає проведення випробувань DOP або PAO за назвою як обов'язкового методу, але він очікує об'єктивних доказів того, що цілісність кордону повітряного тракту була збережена. Перевірка DOP/PAO за викликом - це встановлений засіб, за допомогою якого зазвичай отримують такі докази, і аудитори будуть шукати їх.

Наслідком пропуску будь-якого контролю є не лише прогалина в документації, але й неможливість реконструювати те, що сталося на цій межі, якщо пізніше буде проводитися розслідування випадку забруднення. Без задокументованого етапу вимкнення повітряного потоку і результату перевірки цілісності після встановлення, розслідування не може підтвердити, що контроль за межею був здійснений належним чином, і відхилення поширюється назад, ставлячи під сумнів кожну партію, вироблену з моменту останнього встановлення фільтра з підтвердженою чистотою.

Практична проблема полягає в тому, що виробничі команди іноді розглядають відключення повітряного потоку як надмірне порушення графіку, особливо там, де корпуси BIBO обслуговують витяжні шляхи, які не мають прямого контакту з класифікованим середовищем наповнення. Позиція QA - що будь-яка відкрита межа повітряного тракту вимагає однакової процедурної дисципліни, незалежно від сприйнятої близькості до зони продукту - є виправданою з точки зору логіки системи контролю забруднення Додатку 1, але напруженість є реальною і повинна бути вирішена в СОП до першої події технічного обслуговування, а не під час неї.

Кваліфікаційна логіка після заміни фільтра та доступу до технічного обслуговування

Кожна заміна фільтра або незапланована подія доступу для технічного обслуговування, яка відкриває межу повітряного тракту, повинна розглядатися як часткове порушення межі, що вимагає задокументованого відновлення до того, як система повернеться до використання. Питання, на яке кваліфікаційні групи повинні відповісти заздалегідь, а не під час обговорення випуску партії: які тести підтверджують, що система є безпечною та працездатною після цього конкретного типу втручання?

Обґрунтований підхід до перекваліфікації після технічного обслуговування для систем, інтегрованих з BIBO, зазвичай включає три категорії перевірок. Перевірка цілісності фільтра підтверджує, що нещодавно встановлений фільтр HEPA або ULPA не має проколів, дефектів ущільнення рами або негерметичності установки - це основне підтвердження безпеки після заміни фільтра. Вимірювання перепаду тиску на фільтрі підтверджує, що новий фільтр знаходиться в межах свого номінального діапазону опору і що потік повітря через корпус знаходиться в межах затвердженого робочого діапазону; значне відхилення від базової лінії може свідчити про неправильний вибір фільтра, неправильну посадку або пошкодження корпусу. Підрахунок часток після фільтра, проведений за певних умов, підтверджує, що якість повітря на чистій стороні відповідає класу, якому відповідає корпус. Ці три перевірки не є нормативним переліком, виданим єдиним органом, але вони представляють практичний поріг, нижче якого важко довести, що корпус BIBO був належним чином відновлений після події, пов'язаної з відкриттям кордону. Додаток 15 до EudraLex надає ширшу процесуально-довідкову базу для осмислення обсягу перекваліфікації та критеріїв прийнятності в цьому контексті - зокрема, вказівки щодо взаємозв'язку між зміненими умовами системи та необхідністю проведення певних заходів з повторної верифікації.

Поширеною помилкою планування є визнання того, що перекваліфікація в принципі необхідна, але залишення конкретної послідовності випробувань, критеріїв приймання та відповідальної сторони невизначеними до завершення монтажу. Таке відтермінування зазвичай означає, що перша заміна фільтра або відбувається без перекваліфікації - оскільки ніхто не визначив, що для цього потрібно, - або призводить до термінової розробки процедур, яка вводить неперевірені кроки в реальне виробниче середовище. Жоден з цих результатів не є прийнятним в рамках керованого життєвого циклу валідації.

Якщо подія технічного обслуговування пов'язана з незапланованим доступом - перевірка корпусу, викликана сигналізацією, реакція на розрив мішка або несподіваний показник тиску - обсяг перекваліфікації може виходити за рамки цілісності фільтра і включати ширшу оцінку того, чи були порушені суміжні компоненти. Ця оцінка повинна бути попередньо класифікована в системі контролю змін і управління відхиленнями, а не імпровізована під час події.

Контроль змін та обробка відхилень для втручань, пов'язаних з BIBO

Запланована заміна фільтрів і незапланований доступ для технічного обслуговування - це дві різні категорії втручань, і віднесення їх до одного запису контролю змін є помилкою, яка створює вразливість для аудиту. Запланована зміна - планова заміна фільтра в кінці терміну служби - повинна мати попередньо затверджений запис контролю змін, який визначає обсяг втручання, відповідальний персонал, вимоги до перекваліфікації та критерії допуску до виконання робіт до початку робіт. Незапланована подія, така як незадовільний результат тесту на цілісність або порушення цілісності мішка під час заміни, вступає в іншу фазу: розслідування відхилення, аналіз першопричини і коригувальні дії перед поверненням системи в експлуатацію.

Аварійний сценарій, який найчастіше залишається невизначеним, - це розрив мішка або пошкодження захисної оболонки під час самої процедури заміни. Якщо захисний мішок відпрацьованого фільтра виходить з ладу до того, як корпус закривається, на об'єкті одночасно відбувається управління потенційним забрудненням, порушенням процедури технічного обслуговування та початком розслідування відхилень від норми. Без заздалегідь написаної процедури аварійного реагування - зупинити роботу, ізолювати зону, провести дезактивацію відповідно до класифікації конкретної сполуки, ініціювати звітування про інцидент - оператори імпровізують під час події з високим рівнем стресу, пов'язаної з потенційним небезпечним опроміненням, і імпровізоване реагування навряд чи створить такі задокументовані докази, які можуть бути використані в подальшому розслідуванні. Це задокументована операційна вразливість, а не неминучий результат, але об'єкти, які не заздалегідь класифікували цей сценарій, постійно стикаються з тим, що їхні записи про відхилення не можуть адекватно пояснити, що сталося в момент відмови.

Простежуваність усіх запланованих і незапланованих втручань, пов'язаних з BIBO, вимагає, щоб кожна подія реєструвалася із зазначенням особи оператора, позначкою часу, ідентифікацією фільтра (номер партії, виробник, номінальна ефективність), статусом підтвердження цілісності мішків і результатами будь-якого тестування після технічного обслуговування. Це не специфічна для BIBO нормативна вимога; це стандартна практика системи якості, що застосовується в даному контексті, і вона працює лише тоді, коли механізм реєстрації вбудований в робочий процес технічного обслуговування з самого початку, а не відновлюється з пам'яті згодом.

Компроміс, який варто чітко назвати: попередня класифікація кожного типу втручання з технічного обслуговування BIBO і вбудовування відстеження в робочий процес вимагає часу і дисципліни на етапі створення проекту. Пропустити це - швидше. Але подальші витрати - відхилення, які неможливо дослідити через відсутність записів, призупинення випуску партій і процедурні доопрацювання, які слідують за зауваженнями регуляторних органів, - постійно перевищують початкові інвестиції. Це основна точка тертя між очікуваннями виробництва щодо гнучкості в обслуговуванні та вимогами контролю якості щодо контрольованих процесів, які можна відстежити, і жодна зі сторін не вирішує її, ігноруючи її.

Аудитори записів і СОПів очікують від системи, готової до валідації

Аудитор, який перевіряє систему BIBO, в першу чергу не оцінює апаратне забезпечення. Апаратне забезпечення є видимим і може бути оцінене швидко. Що потребує більше часу для оцінки - і що зазвичай викликає зауваження - це те, чи відображає процедурна інфраструктура, яка стоїть за обладнанням, справжній операційний контроль, чи була зібрана для того, щоб задовольнити контрольний список.

Основним процедурним документом, на який звертають увагу аудитори, є СОП для заміни фільтрів: процедура, яка визначає точні кроки в точному порядку, необхідні для виконання безпечної заміни фільтра з контролем забруднення, включаючи підготовку до роботи, вимкнення повітряного потоку, приєднання та герметизацію мішка, послідовність видалення фільтра, перевірку цілісності після встановлення та підтвердження повернення до експлуатації. Загальна процедура технічного обслуговування, яка описує призначення системи BIBO без зазначення операційної послідовності, не є доказом процедурного контролю - вона є доказом того, що хтось знав про необхідність виконання процедури. Ця відмінність має значення, оскільки СОП є основним механізмом, за допомогою якого управляється ризик людської помилки під час втручання з високим ступенем ризику, і аудитори розглядають нечіткий або непослідовний СОП як еквівалент відсутності СОП для практичних цілей.

Окрім самого СОП, цикл перегляду та оновлення є сигналом, який аудитори використовують для того, щоб відрізнити реальну систему якості від номінально відповідної. СОП для заміни фільтрів BIBO, який не переглядався з моменту первинної кваліфікації - і історія перегляду якого не показує жодної взаємодії з досвідом після встановлення, результатами відхилень або відгуками персоналу - свідчить про статичну систему якості. Якщо відхилення сталися, але СОП не було оновлено, щоб відобразити отриманий досвід, розрив часто видно в самих записах про відхилення, і це створює цілісний наратив про системну слабкість, а не про окремі випадки.

Для установ, які створюють кваліфікаційні пакети BIBO з нуля, практичним наслідком є те, що розробка СОП і програма кваліфікаційних випробувань повинні виконуватися паралельно, а не послідовно. Якщо СОП написаний після завершення кваліфікаційних випробувань, він описує процес, який вже був виконаний без контрольованої, затвердженої процедури, що створює проблему ретроактивного обґрунтування, яку важко захистити.

Ширший погляд на архітектуру документації: записи, підключені до системи BIBO, не існують ізольовано. Записи про зміну фільтрів, результати тестування цілісності, звіти про відхилення та історії змін до СОП - все це потенційно може мати відношення до розслідування записів про серію або регуляторної інспекції. Якщо ці записи зберігаються в роз'єднаних системах без логіки перехресних посилань, реконструкція історії технічного обслуговування конкретного корпусу в певний момент часу стає невиправдано складною - і ця складність сама по собі стає знахідкою для аудиту. Для об'єктів, що створюють інфраструктуру документації для ОВіК та фільтрації в чистих приміщеннях, взаємозв'язок між записами про технічне обслуговування BIBO та ширшою системою збірна система документації ОВіК для чистих приміщень слід визначати заздалегідь, до того, як записи накопичуватимуться таким чином, що їх потім буде важко раціоналізувати.

Коли установка BIBO дійсно готова до GMP, а не номінально відповідає вимогам

Найпоширенішою версією номінальної відповідності в установках BIBO є система, в якій корпус виготовлений з нержавіючої сталі, постачальник надав сертифікат на матеріал і звіт про заводські випробування, а установка була підписана під контрольним списком введення в експлуатацію, але класифікація втручань, логіка перекваліфікації та сфера контролю змін ніколи не були офіційно визначені. Така конфігурація проходить базову перевірку документації і може задовольнити початкову кваліфікаційну перевірку, якщо експерти не досліджують життєвий цикл технічного обслуговування. Зазвичай вона не витримує критики, коли регуляторний інспектор просить надати йому останні три записи про зміну фільтрів, а також відповідні результати випробувань на цілісність, журнал відхилень і версію СОП, яка була чинною на момент кожної події.

Кваліфікаційною основою, яка відрізняє справжню готовність, є перевірка герметичності та повторна перевірка після заміни, а не специфікація матеріалу. Нержавіючий корпус є необхідною конструктивною особливістю, а не гарантією продуктивності. Ефективність демонструють результати випробувань - дані перевірки цілісності фільтра, які підтверджують, що встановлений фільтр не має витоків, вимірювання перепаду тиску, які підтверджують, що корпус працює в межах встановленого діапазону, підрахунок часток, який підтверджує якість повітря після фільтра, - у поєднанні з документальним підтвердженням того, що процес встановлення та перевірки фільтра був контрольованим і повторюваним. Вибір матеріалу уможливлює випробування, але не замінює його. Підприємства, які поєднують ці два підходи, як правило, виявляють різницю в найгірший момент: коли розслідування забруднення вимагає від них заднім числом продемонструвати, що межа, яку вони відкрили і закрили, була належним чином керованою, а даних випробувань не існує. Для більш глибокого вивчення того, як ця логіка кваліфікації застосовується в контексті валідованих специфікацій корпусів фільтрів, див. Огляд систем BIBO, що відповідають вимогам GMP розглядає взаємозв'язок між обладнанням та кваліфікацією більш детально.

Операційним результатом, який свідчить про справжню інтеграцію, є швидка заміна фільтрів, контроль забруднення і створення повних записів без особливих зусиль - тому що процедура, послідовність тестування і документообіг були розроблені разом. Якщо заміна займає більше часу, ніж очікувалося, або генерує неповні записи, це зазвичай означає, що процедура і послідовність тестування були розроблені окремо, або документообіг був доданий в останню мить. Цей результат є практичним індикатором готовності, який варто використовувати під час введення в експлуатацію: якщо при виконанні визначеної СОП заміни фільтра за дотриманням умов не створюються повні, узгоджені записи протягом очікуваного часу, система ще не готова до експлуатації, незалежно від того, що сказано у звітах про кваліфікаційні випробування.

Варто чітко визначити поріг: установку BIBO, яка відповідає наведеним вище критеріям експлуатаційної готовності - попередньо класифіковані втручання, герметичність, підтверджена перевіркою цілісності, перекваліфікація після заміни з визначеними критеріями приймання, записи, які можна відстежити, і діючі СОП - дійсно важко оскаржити під час аудиту. Система, яка покладається на якість обладнання та документацію постачальника без процедурної та кваліфікаційної інфраструктури, буде генерувати висновки, а доопрацювання є дорогим саме тому, що воно повинно відбуватися після того, як система вже запущена в експлуатацію.

Корисний спосіб оцінити установку BIBO до того, як вона почне регулярно експлуатуватися, - це відштовхуватися від гіпотетичного аудиторського запиту: якщо інспектор попросить переглянути повну історію технічного обслуговування конкретного корпусу, включаючи версію СОП, що діє при кожній заміні фільтра, результати випробувань на цілісність, записи оператора і будь-які пов'язані з цим відхилення, чи може цей пакет бути зібраний точно в розумні терміни? Якщо відповідь неясна - через те, що записи ведуться в різних системах, деякі заміни не були повністю задокументовані, або СОП не переглядався з моменту первинної кваліфікації, - прогалини є в системі якості, а не в обладнанні.

Наступним практичним кроком на об'єктах, які визначають нову установку або переглядають існуючу, є визначення матриці класифікації втручань: які події є запланованими змінами, що вимагають попередньо затвердженого контролю змін, які є незапланованими подіями, що вимагають розслідування відхилень, і який обсяг перекваліфікації є для кожної з них. Ця матриця, перекладена на мову СОПів з визначеними критеріями прийнятності, є структурною відмінністю між системою НДКІ, яка виконує функцію стримування, і тією, яка може її продемонструвати.

Поширені запитання

З: На нашому підприємстві для заміни фільтрів використовується сторонній підрядник з технічного обслуговування - чи все ще застосовується кваліфікація BIBO та логіка контролю змін, чи ця відповідальність переходить до підрядника?
В: Відповідальність за кваліфікацію та контроль змін залишається за установою, а не за підрядником. Логіка системи контролю забруднення Додатку 1 застосовується до результату втручання та записів, які він генерує, незалежно від того, хто фізично виконує роботу. На практиці це означає, що підрядник повинен виконувати роботи відповідно до затвердженого на вашому об'єкті СОП, використовувати ваші шаблони записів і створювати записи, які інтегруються у вашу систему якості - ідентифікатор оператора, позначку часу, ідентифікатор фільтра і результати перевірки цілісності, пов'язані з вашим записом про контроль змін. Якщо документація підрядника не відповідає цим вимогам, то під час аудиту ви будете відповідати за прогалини.

З: У який момент відхилення, пов'язане з BIBO, перестає бути проблемою фільтра і вимагає більш широкого розслідування, яке може вплинути на випуск партії?
В: Поріг - це те, чи можна об'єктивними доказами обмежити порушення кордону в часі та обсязі. Якщо стався збій під час випробування на цілісність, розрив пакета або відхилення від процедури, і ви не можете підтвердити - за допомогою даних випробувань і записів - точний час останнього підтвердженого чистого стану, розслідування не може бути обмежене конкретною подією. У такій ситуації сфера розслідування зазвичай розширюється до всіх партій, вироблених з моменту останньої задокументованої установки фільтра з підтвердженою чистотою. Попередньо класифіковані категорії втручань і повні записи про простежуваність є практичними інструментами, які обмежують межі цього вікна.

З: Чи є BIBO правильним підходом до утримання сильнодіючих сполук, чи його потрібно поєднувати з технологією ізоляції, щоб відповідати вимогам OEB4/OEB5?
В: Для застосувань OEB4 і OEB5, як правило, недостатньо лише BIBO в якості основного рішення для локалізації - воно вирішує проблему заміни фільтрів, але не забезпечує замкнутого технологічного середовища, необхідного в цих діапазонах професійного впливу. Технологія ізолятора зазвичай утворює первинний захисний шар для цих класифікацій, а системи BIBO слугують для вторинного захисту вихлопних шляхів систем опалення, вентиляції та кондиціонування повітря. Ці дві технології спрямовані на різні точки втручання в рамках однієї стратегії контролю забруднення, а не є прямими альтернативами. Правильна комбінація залежить від класифікації вашої сполуки, дизайну процесу та оцінки ризику, що підтримує вашу стратегію контролю забруднення згідно з Додатком 1.

З: Якщо наші СОП BIBO були написані під час первинної кваліфікації, але ніколи не переглядалися, наскільки серйозним може бути такий висновок, якщо самі процедури все ще технічно точні?
В: Статична СОП без історії переглядів, як правило, генерує зауваження, навіть якщо зміст процедури залишається технічно обґрунтованим. Аудитори інтерпретують не переглянуті СОП як свідчення того, що система якості не враховує операційний досвід - особливо, якщо в проміжному періоді мали місце відхилення. Відсутність переглядів означає або те, що не було враховано жодних уроків з відхилень, або те, що процес перегляду СОП не функціонує. Будь-який з цих висновків є висновком. Мінімальна позиція, яку можна виправдати, - це задокументований періодичний перегляд, який підтверджує, що процедура була оцінена і визнана актуальною, з підписом і датою рецензента, навіть якщо не було внесено жодних змін до змісту.

З: Скільки додаткових зусиль з валідації слід передбачити в бюджеті установи при додаванні BIBO до існуючого класифікованого об'єкту в порівнянні із зазначенням його в новобудові?
В: Модернізація BIBO на існуючому класифікованому об'єкті завжди вимагає більше зусиль з валідації, ніж його інтеграція під час початкового проектування, оскільки оцінка впливу повинна враховувати, як нове житло взаємодіє з існуючою кваліфікованою системою HVAC, перепади тиску та будь-які суміжні технологічні зони. У новобудові обсяг кваліфікації, логіка перекваліфікації та структура СОП можуть бути розроблені паралельно з установкою, що зменшує кількість переробок. При модернізації існуючий базовий рівень кваліфікації необхідно переоцінити за всіма параметрами, на які впливає новий корпус, що, як правило, додає щонайменше один додатковий цикл кваліфікації і може вимагати перекваліфікації більш широкої системи обробки повітря, якщо змінюються схеми повітряних потоків. Чим більш обмежена існуюча базова документація, тим більше зусиль потрібно докласти для модернізації.