Una cascata di pressione sembra semplice su un disegno: una serie di segni più e meno tra le stanze. La valutazione che conta per il committente o il responsabile della validazione è più difficile da cogliere a prima vista: cosa protegge effettivamente ogni differenziale, se quella logica di protezione regge una volta che le porte si aprono, gli estrattori entrano in funzione o un processo cambia modalità, e quali prove convinceranno un revisore che la cascata, così come è stata installata, svolga ancora la funzione per cui è stata progettata. La scelta del fornitore dipende dall’ottenere una risposta a queste domande prima di confrontare le proposte, non dopo.

Obblighi di protezione e contenimento alla base di ogni rapporto di pressione

Ogni rapporto di pressione all’interno di un complesso di camere bianche ha lo scopo di proteggere qualcosa di specifico, e quel “qualcosa” non è sempre lo stesso da un confine all’altro. A differenziale positivo L'inserimento in una linea di riempimento protegge il prodotto e il processo dall'ambiente circostante; l'aria si sposta da uno spazio più pulito a uno meno pulito, e la direzione segue direttamente ciò che deve rimanere incontaminato. Questa è la logica convenzionale di protezione del prodotto, ed è quella a cui ricorrono di default la maggior parte degli ingegneri quando abbozzano per la prima volta una cascata.

Tale impostazione predefinita cessa di essere sicura nel momento in cui la stanza ospita un rischio patogeno, tossico, radioattivo o biologico vivo. In questo caso, il dovere di protezione si inverte: la stanza deve essere a pressione negativa rispetto all’ambiente circostante, in modo che l’aria si muova verso l’interno, contenendo il rischio anziché rilasciarlo all’esterno, pur mantenendo intatta la logica di protezione del prodotto. Una cascata progettata esclusivamente sulla base dell’abitudine di proteggere il prodotto non metterà in luce questa distinzione di per sé: essa deve essere dedotta da ciò che si trova effettivamente all’interno della stanza e da ciò che quel materiale o organismo richiede qualora sfuggisse al contenimento.

Ecco perché il rapporto di pressione non può essere definito solo in base alla praticità del flusso d’aria o alla simmetria con la stanza adiacente. Ogni relazione deve avere una propria funzione ben definita: questo confine serve a proteggere il prodotto, l’operatore o l’ambiente esterno alla struttura da ciò che si trova all’interno? Laddove un singolo progetto preveda la presenza affiancata sia di aree dedicate alla protezione del prodotto che di aree di contenimento — una configurazione comune nel settore dei prodotti biologici o nella manipolazione di determinati principi attivi farmaceutici (API) — il sistema a cascata deve trattare questi aspetti come problemi progettuali realmente distinti, con logiche direzionali diverse, e non come semplici variazioni di un unico gradiente di pressione.

GMP UE Allegato 1 tratta le linee guida relative alla cascata di pressione, compresi il monitoraggio, la registrazione e gli allarmi per i differenziali critici; tuttavia, le linee guida contengono esplicitamente un’avvertenza secondo cui, nei casi di contenimento di sostanze patogene, tossiche, radioattive o biologiche vive, la logica di direzione della cascata può differire da quella convenzionale. Una proposta di un fornitore che tratta ogni confine come un problema di protezione del prodotto, senza chiedersi quale classificazione di pericolo si applichi stanza per stanza, ha tralasciato il passaggio che determina se l’intera direzione della cascata sia addirittura corretta. Prima ancora di avviare qualsiasi discussione sui setpoint, il team di progetto necessita di una dichiarazione, stanza per stanza, delle funzioni di protezione previste, verificata in base al profilo di rischio effettivo di ciò che ogni stanza conterrà o tratterà.

Mappatura del flusso di processo, delle adiacenze tra le stanze, delle porte e dei percorsi di trasferimento

L'affidabilità di una cascata di pressione dipende interamente dalla mappa di adiacenza su cui si basa. La mappa deve tracciare il modo in cui materiali, prodotti e persone si spostano effettivamente tra i locali — non il modo in cui la disposizione architettonica li raggruppa casualmente. Due locali che condividono una parete non sono necessariamente vicini nella cascata nel senso che conta; il rapporto di vicinanza nella cascata deriva dal percorso di trasferimento tra di esse, che si tratti di una porta, di un portello, dell’apertura di un passavivande o di un corridoio su cui si affacciano entrambe le stanze.

Il flusso di processo determina quali adiacenze comportano effettivamente un impatto in termini di pressione. Un locale attraverso il quale entra la materia prima ma che non presenta un percorso di trasferimento diretto verso l’area di processo principale ha un ruolo nella cascata diverso rispetto a un locale situato direttamente tra due zone classificate. Mappare accuratamente questo aspetto significa ripercorrere il processo dall’ingresso all’uscita e contrassegnare ogni punto in cui viene attraversato un confine — da parte del prodotto, di un componente, di un operatore o di un rifiuto — poiché ogni punto di attraversamento è una posizione potenziale per una relazione di pressione che necessita di una definizione esplicita piuttosto che di un presupposto implicito.

Le porte meritano un’attenzione particolare in questa mappatura perché una porta non è un confine statico; è un percorso che a volte è aperto e a volte chiuso, e il rapporto di pressione che essa è destinata a preservare vale solo quando il comportamento effettivo della porta corrisponde a quanto ipotizzato dal progetto a cascata. Laddove due stanze sono separate da un’unica porta priva di camera di compensazione, la direzione e l’entità della differenza di pressione devono essere sufficienti a garantire un rapido ripristino una volta che la porta si chiude dopo l’uso, e l’esercizio di mappatura deve identificare ogni singolo confine costituito da una porta singola, anziché presumere che una camera di compensazione funga da cuscinetto per tutte le transizioni critiche. Laddove una camera di compensazione o un vestibolo si trovi tra due spazi classificati in modo diverso, la mappatura deve includere la camera di compensazione come stanza a sé stante con un proprio rapporto di pressione rispetto a entrambe le stanze adiacenti, non come un passaggio trasparente.

I percorsi di trasferimento che aggirano completamente la stanza — una camera di trasferimento, un portello, un trasferimento canalizzato — devono comunque essere inclusi in questa mappa poiché rappresentano un percorso alternativo attraverso il quale la pressione può equalizzarsi o l’aria può spostarsi tra le zone, indipendentemente dalla porta. Un progetto a cascata che tenga conto solo dell’adiacenza basata sulle porte, ignorando l’apertura di una camera di trasferimento che si affaccia sulle stesse due stanze, ha tralasciato un percorso che può compromettere il differenziale di pressione previsto nel momento in cui la camera di trasferimento viene utilizzata. La mappa delle adiacenze e dei rischi di processo risultante da questo esercizio diventa il documento di riferimento rispetto al quale ogni successiva decisione progettuale — posizionamento dei sensori, logica degli allarmi, proposta del fornitore — viene verificata per garantirne la coerenza.

Considerazioni relative ai sistemi di estrazione, alle cabine locali, al carico dei filtri e alle modalità operative

Una cascata di pressione valutata esclusivamente in un'unica condizione di regime stazionario e senza perturbazioni non terrà conto delle condizioni in cui il controllo della pressione viene effettivamente messo alla prova. Diverse variabili operative modificano l'equilibrio di pressione in modi che un singolo setpoint non è in grado di rappresentare, e ciascuna di esse deve essere considerata come uno scenario definito a sé stante, anziché essere lasciata come un presupposto implicito alla base del progetto nominale.

L’apertura di una porta è il caso più evidente: quando una porta tra due ambienti con pressioni diverse si apre, il differenziale attraverso quel confine si riduce a zero fintanto che la porta rimane aperta, e l’equilibrio degli ambienti circostanti può mutare man mano che l’aria si ridistribuisce attraverso qualsiasi percorso rimanga disponibile. Il progetto richiede una definizione concordata di come ci si aspetta che le porte si comportino — transizioni a porta singola, camere di compensazione interbloccate, periodi di mantenimento in posizione aperta deliberati per il movimento dei materiali — poiché il comportamento di recupero della cascata deve essere valutato rispetto a tale comportamento concordato, non rispetto a una condizione idealizzata di porte chiuse.

I sistemi di estrazione modificano l'equilibrio nella direzione opposta. Un sistema di aspirazione dei fumi, un sistema di aspirazione locale o un sistema di aspirazione specifico per un determinato processo preleva aria da un locale indipendentemente dal percorso generale di mandata e di ritorno e, quando è in funzione, può modificare la pressione effettiva del locale rispetto a quando è inattivo. Se il progetto prevede sistemi di aspirazione che si attivano e disattivano in base al processo, la cascata deve mantenere i rapporti previsti in entrambi gli stati e il fornitore deve sapere quali locali sono dotati di sistemi di aspirazione e in quali condizioni funzionano.

Le cabine locali — cabine di pesatura o di dosaggio, cabine di campionamento, cabine di biosicurezza, unità a flusso laminare — immettono il proprio flusso d’aria nella stanza e, a seconda della configurazione, ciò può favorire o ostacolare il rapporto di pressione a livello della stanza. Lo stato operativo di una cabina, quindi, non è un fattore secondario rispetto alla cascata della stanza; è esso stesso una variabile dello scenario che modifica l’andamento del differenziale circostante.

Il carico del filtro modifica la resistenza lungo il percorso di filtrazione nel corso della vita utile dell’apparecchiatura, alterando così l’equilibrio del flusso d’aria da cui dipende il differenziale di pressione, a meno che il sistema di controllo non lo compensi. Inoltre, la modalità operativa — occupata o non occupata, in produzione o inattiva, in fase di pulizia o di lavorazione — può comportare un proprio rapporto di pressione previsto, distinto dagli altri. Nessuna di queste condizioni può essere affrontata chiedendo a un fornitore di confermare un unico setpoint; esse devono essere presentate come un insieme definito di scenari rispetto ai quali ci si aspetta che la cascata proposta funzioni correttamente.

Posizionamento dei sensori di pressione differenziale e definizione dei loro punti di riferimento

Una lettura della pressione è significativa solo in relazione al punto in cui viene effettuata e al riferimento rispetto al quale viene misurata. Due sensori che riportano lo stesso differenziale numerico possono rappresentare rapporti di pressione completamente diversi se uno misura rispetto a una stanza adiacente e l’altro rispetto a un corridoio o all’atmosfera esterna. Prima che qualsiasi lettura possa essere interpretata come prova di un controllo a cascata, è necessario sapere esattamente quale confine rappresenta quel sensore e quale sia il suo lato di riferimento.

Il posizionamento dei sensori deve derivare dai differenziali critici identificati in precedenza nella mappatura delle adiacenze e dei rischi, non dal punto in cui è strutturalmente più conveniente far passare una linea di rilevamento. Se una parete separa due stanze con un rapporto di pressione definito e critico tra loro, il sensore che misura tale rapporto deve fare riferimento a entrambi i lati di quella specifica parete — non a un corridoio vicino che risulta essere più accessibile per l’installazione. Un sensore riferito allo spazio sbagliato produrrà una lettura stabile e rassicurante che non ha nulla a che vedere con il rapporto che avrebbe dovuto confermare.

La situazione si complica quando una stanza ha più di un “vicino critico”. Una stanza situata tra uno spazio classificato come di livello superiore da un lato e uno di livello inferiore dall’altro necessita che la propria pressione sia controllata, e idealmente monitorata, rispetto a entrambi i vicini separatamente, poiché un singolo sensore che rileva solo un lato non può confermare che anche il rapporto con l’altro lato sia mantenuto. Laddove i vincoli di budget o di strumentazione limitino il numero di sensori, il team di progetto deve decidere quale delle molteplici relazioni debba essere monitorata direttamente e accettare che l’altra venga dedotta anziché misurata — una decisione che rientra nell’analisi dei doveri di protezione del progetto, non in competenza di chi si occupa della posa dei condotti.

I punti di riferimento devono inoltre rimanere coerenti per tutta la durata di vita del sistema. Se il punto di riferimento di un sensore viene successivamente spostato, o se l’uso di un locale cambia al punto che lo spazio adiacente non corrisponde più a quanto previsto dal progetto originale, il sensore può continuare a fornire un valore stabile pur non rappresentando più il rapporto di pressione che il progetto necessita effettivamente di confermare. Per ogni differenziale critico, pertanto, è necessario che la posizione di misurazione e il punto di riferimento siano documentati come parte integrante del progetto approvato, senza lasciare che vengano ricostruiti in un secondo momento basandosi sulla memoria degli addetti sul campo.

Definizione delle responsabilità relative al monitoraggio, alla registrazione, agli allarmi, alla risposta e all’escalation

L’identificazione di un differenziale critico e la localizzazione del relativo sensore dimostrano solo che esiste una misurazione; non dicono nulla su cosa accada quando tale misurazione esce dall’intervallo previsto. Questa lacuna deve essere colmata con definizioni esplicite che coprano il monitoraggio, la registrazione, il significato degli allarmi, la risposta del personale e l’escalation — ciascuna delle quali rappresenta una decisione distinta, non una singola specifica generica relativa a un “sistema di allarme”.

Il monitoraggio definisce con quale continuità e con quali mezzi viene osservato lo stato di un differenziale critico: se viene monitorato in tempo reale su un sistema di gestione dell’edificio, registrato a intervalli regolari o controllato manualmente secondo una pianificazione prestabilita. Il metodo scelto deve corrispondere alla rapidità con cui la perdita di quella particolare relazione potrebbe avere conseguenze per ciò che essa protegge; una relazione che protegge un confine di contenimento richiede un approccio di monitoraggio diverso rispetto a una che supporta una zona generale di protezione del prodotto, e l’analisi dei compiti effettuata in precedenza nell’ambito del progetto è ciò che dovrebbe guidare tale scelta.

La registrazione è una decisione distinta dal monitoraggio: definisce quali dati vengono conservati e per quanto tempo, indipendentemente dal fatto che qualcuno li stia osservando in tempo reale. L’Allegato 1 delle GMP dell’UE tratta specificatamente il monitoraggio, la registrazione e gli allarmi relativi alle differenze critiche, ponendo i requisiti di registrazione sullo stesso piano del monitoraggio in tempo reale per i locali in cui il sistema a cascata opera secondo tali linee guida.

È proprio nel significato degli allarmi che, nella pratica, molte catene di allarmi diventano ambigue. Una condizione di allarme deve avere un significato ben definito: indica che il differenziale ha superato un limite prestabilito, che lo ha superato per un periodo prolungato o che il sensore stesso si è guastato? Ciascuna di queste è un evento diverso che richiede una risposta diversa, e raggrupparle sotto un unico tipo di allarme costringe il personale a tirare a indovinare nel momento in cui è necessario intervenire.

La risposta del personale deve essere definita per ogni singola condizione di perdita di controllo, anziché limitarsi a un’istruzione generica di “indagare”. E la responsabilità dell’escalation chiude il cerchio: chi viene avvisato, in quali condizioni e all’interno di quale struttura gerarchica, in modo che una perdita prolungata di un differenziale critico non si blocchi al livello di chi per primo ha rilevato l’allarme. Ciascuno di questi cinque elementi — monitoraggio, registrazione, significato dell’allarme, risposta, escalation — necessita di una propria definizione esplicita nell’ambito del progetto, verificata rispetto a ogni differenziale critico identificato in precedenza, prima che la cascata possa essere considerata operativamente completa anziché semplicemente progettata.

Dati forniti dal fornitore e prove di accettazione per la cascata approvata

Quando si contatta un fornitore per richiedere un’offerta, il progetto dovrebbe già disporre degli elementi che rendono le offerte comparabili: la mappa delle adiacenze tra i locali e dei rischi di processo, gli scenari operativi concordati relativi al comportamento delle porte, ai sistemi di estrazione, alle cabine locali, al carico dei filtri e alle modalità operative, nonché i differenziali critici definiti con le relative posizioni di misurazione e i punti di riferimento. Queste informazioni costituiscono la base su cui si fonda effettivamente la revisione della configurazione o del preventivo da parte di un produttore: un’offerta a cascata elaborata senza di esse si basa su supposizioni relative al progetto piuttosto che sul progetto stesso, e le scelte relative alle apparecchiature che riguardano porte per camere bianche, FFU, oppure i pannelli di rivestimento dipendono tutti dalla conoscenza dei confini su cui si trovano e dal rapporto di pressione che sono destinati a sostenere.

Confrontare le proposte dei fornitori su questa base significa verificarle una per una rispetto alla stessa serie di scenari concordati, piuttosto che rispetto a un unico valore nominale di riferimento: una proposta che offre buone prestazioni in una condizione idealizzata a porte chiuse e con l’estrazione disattivata non fornisce al progetto indicazioni significative sul fatto che mantenga le relazioni previste una volta che le porte si aprono, l’estrazione è in funzione o i filtri si avvicinano alla fine del loro intervallo di manutenzione. Anche le definizioni relative al monitoraggio, alla registrazione, agli allarmi, alla risposta e all’escalation stabilite in precedenza rientrano in questo confronto: un approccio di controllo proposto dovrebbe essere verificato rispetto a quelle stesse definizioni, anziché essere valutato in base alla propria logica interna.

La documentazione di accettazione è una questione distinta dalla selezione del fornitore, e il team di progetto deve avere ben chiara questa differenza. ISO 14644-4 copre il processo che va dai requisiti alla progettazione e alla verifica delle camere bianche, ma non prescrive una strategia di pressione, una tecnologia specifica o un valore di accettazione del progetto: queste rimangono decisioni che il progetto deve prendere e documentare autonomamente, sulla base dell’analisi dell’adiacenza delle camere e dei rischi, piuttosto che attingendo da una norma. Ciò che la norma ISO 14644-4 sostiene è il percorso che va dai requisiti definiti, passando per la progettazione, fino a un impianto verificato e pronto per l’avvio, fornendo così al progetto un processo da seguire anche se non indica i valori di pressione specifici.

L'implicazione pratica è che i criteri di accettazione devono essere redatti come parte integrante dei risultati di progettazione del progetto stesso, senza attingere da uno standard o dal pacchetto standard di messa in servizio fornito da un fornitore; inoltre, le prove utilizzate per confermare la cascata approvata — dati di messa in servizio, test funzionali negli scenari concordati, verifica che ogni differenziale critico soddisfi il criterio specifico del progetto nel punto di riferimento definito — devono ricondursi alla stessa mappa di adiacenza e all’analisi dei rischi che hanno definito la cascata in primo luogo. Una cascata che supera un test di messa in servizio generico senza essere stata verificata rispetto alle eccezioni di contenimento e agli scenari operativi specifici del progetto non ha ancora dimostrato di svolgere la funzione che il progetto effettivamente richiede.

Domande frequenti

Q: È possibile confrontare due offerte di fornitori se si basano su ipotesi operative diverse?
A: Non in modo affidabile. Assegnare a ciascun fornitore le stesse impostazioni concordate relative all’apertura delle porte, agli stati del sistema di estrazione e della cabina locale, alle condizioni di carico del filtro e alle modalità operative, in modo che l’equilibrio di pressione proposto possa essere confrontato sulla base di un brief comune.

Q: Come si fa a stabilire se una direzione di pressione convenzionale per la protezione del prodotto è adeguata?
A: Definire, sulla base della mappa delle adiacenze tra i locali e dei rischi di processo, da cosa sia destinata a proteggere ciascuna relazione tra locali. Se il progetto comporta rischi di natura patogena, tossica, radioattiva o biologica attiva, confermare la direzione di contenimento richiesta per quel rischio specifico, anziché applicare la direzione convenzionale di protezione del prodotto.

Q: Quali informazioni è necessario avere a disposizione prima di chiedere ai fornitori un preventivo per la cascata?
A: Preparare le adiacenze dei locali interessati, i rischi di processo, i compiti di protezione previsti per ciascuna relazione, gli scenari operativi concordati e i differenziali critici con i relativi punti di misurazione e punti di riferimento. Indicare inoltre in che modo saranno definiti il monitoraggio, la registrazione, gli allarmi, la risposta del personale, l’escalation e le prove di accettazione del progetto.

Q: Oltre a constatare la perdita del controllo della pressione, quali altri aspetti dovrebbe trattare una discussione sull'allarme?
A: Dovrebbe definire il significato di ciascuna condizione di allarme, quale rapporto di pressione essa rappresenti, quali azioni debba intraprendere il personale in risposta, nonché quando e a chi l'evento debba essere segnalato. In questo modo l'allarme passa dall'essere una semplice indicazione a diventare un'azione operativa concordata.

Q: Il riferimento alla norma ISO 14644-4 definisce i valori di accettabilità della cascata?
A: No. Utilizzarlo nell’ambito del quadro di riferimento relativo ai requisiti di progettazione e alla verifica delle camere bianche, definendo al contempo la strategia di pressione, la tecnologia, i criteri di accettazione e la documentazione richiesta per il progetto specifico.