Un pass box che funziona bene in fabbrica non è la stessa cosa di un pass box pronto per essere integrato in un flusso di lavoro conforme alle norme GMP o in un’area classificata. Il divario tra questi due stati è esattamente ciò che FAT e SAT sono progettati per essere chiusi, e il modo in cui il team di progetto gestisce tale divario determina se le prove di accettazione sostengano effettivamente l’unità installata e funzionante o si limitino a documentare un’unità che un tempo funzionava altrove.

Elementi che devono essere inseriti nel FAT e quelli che devono attendere l’installazione sul sito

Il collaudo di accettazione in fabbrica (FAT) serve a confermare che l’apparecchiatura, così come è stata costruita, corrisponda a quanto ordinato e configurato prima che esca dal controllo del produttore. Ciò significa che il FAT consente di verificare in modo significativo la struttura fisica della camera, la logica di controllo installata, il funzionamento dei dispositivi di interblocco tra le porte, le funzioni di allarme legate allo stato delle porte o alle variazioni di pressione, nonché la completezza della documentazione generata durante la produzione. Tutte queste sono caratteristiche dell’unità stessa, indipendentemente dal luogo in cui verrà infine installata.

Ciò che FAT non è in grado di verificare è tutto ciò che dipende dall’ambiente di installazione. L'interblocco di una pass box potrebbe funzionare correttamente su un banco di prova in fabbrica utilizzando input simulati, ma l'interazione dello stesso interblocco con un sistema di gestione dell'edificio reale, con uno specifico orientamento della porta rispetto alle stanze adiacenti o con le condizioni di alimentazione dei servizi nella sede finale non può essere confermata finché tali condizioni non si verificano effettivamente. Laddove un progetto preveda l'integrazione del segnale con un sistema di monitoraggio esterno, tale integrazione è per definizione un elemento dipendente dal sito, poiché il sistema esterno non è presente in fabbrica.

Questa distinzione cambia il modo in cui un acquirente dovrebbe interpretare un rapporto FAT. Un rapporto che non menziona gli elementi dipendenti dal sito non è necessariamente incompleto: potrebbe semplicemente indicare che tali elementi sono stati correttamente identificati come esclusi dall’ambito dei test di fabbrica. Ciò che conta è che il rapporto indichi esplicitamente quali elementi sono stati rinviati, anziché lasciare un confine ambiguo tra ciò che è stato testato e ciò che è stato dato per scontato. Un acquirente che esamina un pacchetto FAT dovrebbe essere in grado di distinguere, per ogni verifica prevista nel piano di collaudo, se essa sia stata eseguita in condizioni di fabbrica, in condizioni simulate che sostituiscono quelle del sito, oppure se sia stata esplicitamente rinviata come voce in sospeso in attesa dell’installazione. Laddove tale distinzione risulti poco chiara, il risultato del FAT rischia di essere considerato come una prova più ampia di quanto effettivamente fornisca, e il team di progetto potrebbe arrivare al SAT senza un elenco chiaro di ciò che resta da dimostrare.

Rintracciamento di interblocchi, allarmi, comandi e registrazioni nell’URS

I dispositivi di interblocco, gli allarmi e la logica di controllo non sono caratteristiche generiche che possono semplicemente esistere o meno; si tratta piuttosto di implementazioni di requisiti specifici che sono stati presumibilmente definiti in una fase precedente del progetto, nel specifiche dei requisiti utente. Il principio pratico da seguire in questo caso è la tracciabilità: ogni comportamento di interblocco testato durante il FAT o il SAT dovrebbe essere riconducibile a un requisito specificato, anziché essere testato semplicemente perché è prassi comune farlo.

Questo è importante perché le configurazioni delle cabine di passaggio variano a seconda della funzione a cui sono destinate. A scatola di passaggio statica, un casella di passaggio dinamica, e sia una pass box VHP che una camera VHP presentano logiche di interblocco diverse, adeguate alla loro destinazione d’uso: l’interblocco di un’unità statica può riguardare solo l’apertura simultanea delle porte, mentre lo schema di interblocco e di allarme di un’unità dinamica o compatibile con VHP potrebbe dover tenere conto anche dello stato del flusso d’aria, del differenziale di pressione o del completamento del ciclo prima che una porta possa sbloccarsi. Se l’URS specifica un particolare comportamento di interblocco, una sequenza di controllo o una condizione di allarme, il test di accettazione per quell’unità dovrebbe essere in grado di dimostrare esattamente quel comportamento — non uno schema generico di interblocco per passabox ritenuto equivalente.

Laddove un requisito preveda un allarme in caso di perdita di pressione differenziale, la prova deve confermare che l’allarme scatti nelle condizioni descritte dal requisito stesso, e il verbale deve indicare a quale requisito si riferisce tale prova. Lo stesso vale laddove un requisito preveda una logica specifica di sequenza delle porte. Ciò assume particolare importanza quando un’unità include accessori opzionali — manometri, lampade UV o punti di allarme aggiuntivi — poiché questi componenti hanno senso solo in relazione alla funzione che sono stati specificati per proteggere. Un comando o un allarme non verificato rispetto al requisito da cui deriva lascia una lacuna che è facile trascurare quando il registro complessivo dei test appare completo, poiché la completezza in termini di volume dei test eseguiti non equivale alla completezza nella copertura dei requisiti. Il compito dell’acquirente è quello di confermare che ogni elemento di controllo con un requisito specificato abbia un risultato di test corrispondente e che tale risultato sia ricondotto a quel requisito, anziché presentarsi isolatamente come una semplice voce di superamento o fallimento del test.

Verifica del flusso d’aria, della pressione, delle perdite e della decontaminazione all’interno di confini definiti

Le prestazioni relative al flusso d’aria, alla pressione, alle perdite e alla decontaminazione sono gli ambiti in cui si è maggiormente tentati di ricorrere a un valore standard, e in cui farlo è meno giustificabile. Questi aspetti di prova hanno senso solo in relazione all’uso specifico previsto dell’apparecchiatura e al protocollo approvato per il progetto: la stessa camera di trasferimento, sottoposta a test secondo due protocolli diversi per due applicazioni diverse, potrebbe ragionevolmente essere soggetta a due criteri di accettazione diversi.

ISO 14644-3 descrive metodi e apparecchiature di prova applicabili alle camere bianche e alle zone pulite associate, ma i metodi descritti sono di natura procedurale: spiegano come eseguire una prova, non quale valore costituisca un criterio di accettazione per una determinata apparecchiatura. L’applicazione di un metodo tratto da questa fonte senza applicare anche limiti di accettazione specifici per il progetto verifica solo che la misurazione sia stata effettuata correttamente, non che il risultato sia adeguato all’applicazione. Analogamente, GMP UE Allegato 1 individua le categorie di prove da eseguire dopo l’installazione — integrità dei filtri, flusso d’aria, pressione, visualizzazione e recupero — che risultano rilevanti una volta che l’apparecchiatura è installata e in funzione nell’ambiente di classe prevista; tuttavia, quali prove specifiche debbano essere applicate e in base a quali criteri dipende dalla classe a cui l’apparecchiatura è destinata, dalla sua funzione, dal rischio associato al suo utilizzo e dal metodo di prova scelto per valutarla.

Ciò ha una conseguenza diretta sulla configurazione. Una camera di passaggio destinata a mantenere una cascata di pressione tra due spazi con classificazioni diverse richiede una prova di differenziale di pressione con criteri legati all’intento progettuale di tale cascata, non un valore differenziale generico. Una camera di passaggio a VHP destinata a realizzare un ciclo di decontaminazione convalidato richiede una verifica della decontaminazione legata ai parametri specifici del ciclo e all’obiettivo di riduzione log approvato dal progetto, non il presupposto che qualsiasi ciclo a VHP sia equivalente a qualsiasi altro. Prove di tenuta delle guarnizioni delle porte dipende inoltre da ciò che la guarnizione è destinata a impedire — l’ingresso di aria non filtrata, la fuoriuscita di un materiale contenuto o entrambi — e il tasso di accettazione deve derivare da tale scopo.

L'implicazione pratica è che un acquirente dovrebbe richiedere il protocollo approvato prima di chiedere il risultato del test, poiché un risultato positivo ottenuto in base a criteri errati non costituisce una prova utile. Laddove l'uso previsto non sia stato ancora pienamente tradotto in criteri a livello di protocollo, tale traduzione costituisce di per sé una questione in sospeso che dovrebbe essere risolta prima che i risultati del FAT o del SAT possano essere considerati definitivi.

Verifica delle utenze, dei segnali, dell'orientamento delle porte e delle interfacce tra le stanze presso il SAT

Il SAT esiste proprio perché alcune caratteristiche di un pass box non possono essere verificate finché non viene installato nella sua posizione definitiva, collegato alle utenze effettive e orientato rispetto agli ambienti che serve. La verifica delle utenze conferma che l’alimentazione elettrica e, ove applicabile, l’aria compressa o altri allacciamenti di servizio siano presenti e funzionanti secondo quanto richiesto dall’apparecchiatura — una condizione che non può essere data per scontata dai test effettuati in fabbrica, poiché l’alimentazione elettrica in fabbrica e quella in loco non sono la stessa fonte di alimentazione.

L’orientamento delle porte merita particolare attenzione poiché si tratta di una scelta di configurazione specifica per il sito, con conseguenze sulla logica di interblocco verificata in precedenza. Una camera di trasferimento installata con le porte rivolte verso gli spazi adiacenti sbagliati, rispetto alla cascata di pressione o alla differenza di classificazione che il progetto intende mantenere, non fallisce perché l’apparecchiatura è difettosa, ma perché l’installazione non corrisponde all’uso previsto per cui l’interblocco è stato progettato per proteggere. La verifica dell’orientamento delle porte durante il SAT non è quindi una formalità, ma un controllo diretto volto ad accertare che l’installazione fisica corrisponda ai presupposti alla base della logica di controllo già testata durante il FAT.

L’integrazione dei segnali è l’altra categoria che può essere verificata solo in loco. Le uscite di allarme o di stato di una pass box potrebbero dover inviare dati a un sistema di gestione dell’edificio, a una piattaforma di monitoraggio o a un’altra apparecchiatura integrata. Non è possibile sapere se tali segnali vengano effettivamente trasmessi correttamente e se il sistema ricevente li interpreti come previsto finché entrambe le estremità di tale connessione non siano presenti nella loro forma definitiva. Laddove l’architettura di controllo di un progetto collochi la logica di interpretazione nel sistema ricevente anziché nella pass box stessa, il SAT diventa l’unico punto in cui è possibile verificare l’intera catena da un’estremità all’altra.

I controlli di interfaccia con l’ambiente confermano, in senso più ampio, che i confini fisici del pass box — il suo montaggio, la tenuta rispetto alla parete o alla parete divisoria, il suo rapporto con le finiture adiacenti — corrispondano a quanto previsto dal progetto dell’ambiente. Un’unità che ha funzionato correttamente come elemento autonomo durante il FAT può comunque non superare un controllo di interfaccia con l’ambiente se la struttura circostante non corrisponde all’alloggiamento previsto per l’apparecchiatura. Nessuna di queste verifiche può sostituire le altre; una struttura con impianti confermati ma con l’orientamento delle porte non verificato non ha completato la SAT, indipendentemente dalla percentuale del piano di collaudo che è stata eseguita.

Strumenti di registrazione, testimoni, scostamenti, ripetizioni dei test e voci in sospeso

La documentazione generata durante le fasi FAT e SAT presenta una struttura propria, e la qualità di tale struttura determina se il verbale di accettazione sia effettivamente utilizzabile nelle successive fasi di qualificazione. Il risultato di un test certificato è informativo solo se è collegato allo specifico requisito dell’utente che doveva dimostrare; la firma di un testimone su un test non etichettato conferma che qualcosa è stato osservato, non ciò che è stato dimostrato.

Le registrazioni relative agli strumenti — ovvero lo stato di taratura e la lettura del dispositivo di misura che ha prodotto un risultato di prova — devono accompagnare la prova a cui si riferiscono, anziché essere archiviate separatamente. L’affidabilità di una lettura della differenza di pressione dipende da quella dello strumento che l’ha prodotta, e un revisore che controlli la documentazione in un secondo momento dovrebbe poter trovare entrambi gli elementi insieme, senza dover ricostruire quale strumento sia stato utilizzato per quale prova.

Le deviazioni richiedono lo stesso trattamento. Quando un test non soddisfa i propri criteri al primo tentativo, tale deviazione dovrebbe rimanere visibilmente collegata al test in questione e al requisito a cui si riferisce, anziché essere risolta in modo silenzioso tramite un nuovo test senza alcuna traccia visibile che rimandi al fallimento originale. Il risultato di una nuova verifica, a sua volta, dovrebbe essere registrato in relazione allo stesso requisito, in modo che un revisore possa constatare sia che si è verificato un problema, sia che esso è stato successivamente risolto — oppure, se non è stato risolto, che rimane aperto.

Le voci in sospeso hanno le conseguenze più rilevanti per la pianificazione del progetto, poiché rappresentano un lavoro che non ha ancora prodotto prove accettabili. Quando una voce in sospeso viene lasciata senza etichetta o inserita in un elenco generico senza un collegamento al requisito specifico a cui si riferisce, c’è il rischio che venga trascurata quando il progetto passa alla fase di qualificazione successiva. Un pacchetto FAT o SAT che risulti complessivamente positivo, ma che non mostri chiaramente le voci in sospeso in relazione ai relativi requisiti, può creare la falsa impressione che l’apparecchiatura sia a uno stadio di accettazione più avanzato di quanto effettivamente dimostrato dalle prove. La disciplina di mantenere ogni prova assistita, registrazione strumentale, deviazione, ripetizione della prova e voce in sospeso riconducibile al proprio requisito è ciò che consente a un revisore successivo — sia in fase di convalida, controllo qualità o consegna — di ricostruire esattamente ciò che è stato dimostrato e ciò che non lo è stato.

Accettazione e consegna al termine delle responsabilità relative allo stabilimento e al cantiere

Il passaggio di consegne rappresenta il momento in cui la responsabilità relativa alla documentazione di accettazione della camera di passaggio passa dall’attività di collaudo a un documento di qualificazione su cui si baseranno le fasi successive. Affinché tale passaggio sia valido, è necessario che le responsabilità sia dello stabilimento che del cantiere siano state dimostrabilmente esaurite — e non semplicemente programmate, presunte o implicite con il trascorrere del tempo.

Per “responsabilità di chiusura dello stabilimento” si intende che il verbale FAT riporti, per ogni voce del piano di collaudo originale, un risultato completato e tracciabile oppure una nota esplicita che indichi che la voce è stata rinviata al sito, con indicazione del motivo. La chiusura della responsabilità in loco implica che il SAT abbia risolto ogni voce rinviata, insieme alle verifiche specifiche dell’installazione — utenze, orientamento delle porte, integrazione dei segnali, interfacce tra le stanze — che diventano verificabili solo una volta che l’unità è stata installata. Laddove l’uso previsto del progetto includa prestazioni di decontaminazione, come nel caso di un Camera di passaggio VHP o camera VHP, chiudere tale responsabilità significa anche che la verifica della decontaminazione è stata eseguita secondo il protocollo approvato, anziché essere lasciata come un'ipotesi derivante dal FAT.

Le informazioni relative al progetto fornite dall’acquirente rivestono un ruolo fondamentale in questo contesto, poiché i criteri di accettazione applicati sia durante il FAT che durante il SAT risalgono all’uso previsto e alla configurazione specificati dall’acquirente al momento dell’ordine e della revisione del preventivo. Le informazioni fornite in quella fase — il contesto di classificazione in cui l’unità opera, il rapporto di pressione che deve mantenere, l’eventuale necessità di una capacità di decontaminazione VHP — costituiscono la base su cui viene definita la configurazione di Youth Filter e su cui vengono redatti i protocolli di collaudo finali. Un verbale di consegna non conforme a tali specifiche originali segnala una discrepanza che deve essere risolta prima che l’unità possa essere considerata accettata, indipendentemente dal numero di test singoli superati.

Laddove un progetto abbia confermato tutte le voci relative alla fabbrica e al sito con piena tracciabilità rispetto alle URS, il passaggio di consegne può procedere partendo dal presupposto che le apparecchiature e la loro installazione corrispondano a quanto previsto. Laddove permangano elementi in sospeso — sia che derivino dal FAT riportato, sia che derivino da controlli SAT non ancora eseguiti — il verbale di consegna dovrebbe indicarli chiaramente anziché risolverli per omissione, in modo che chiunque si assuma la responsabilità delle apparecchiature in seguito, sia per la qualificazione, il funzionamento o la manutenzione, riceva un quadro accurato di ciò che è stato e non è stato dimostrato.

Domande frequenti

Q: Come si stabilisce se un test del pass box debba essere effettuato durante il FAT o il SAT?
A: Utilizzare il FAT per i controlli che possono essere effettuati nella camera configurata nelle condizioni di fabbrica concordate. Eseguire un controllo SAT quando questo dipende dalle utenze installate, dalle interfacce con l’ambiente circostante, dall’orientamento delle porte, dall’integrazione dei segnali o da altre condizioni del sito concordate.

Q: Quali condizioni devono essere concordate prima che i risultati relativi alla portata d’aria, alla pressione, alle perdite o alla decontaminazione possano essere accettati?
A: Definire i criteri di accettazione nel protocollo approvato tenendo conto della destinazione d’uso, del funzionamento dell’apparecchiatura, del grado di pulizia della camera bianca, del rischio del progetto e del metodo di prova applicabile. Non sostituire i limiti specifici del progetto e dell’apparecchiatura con un valore generico relativo alla pass box.

Q: Quali informazioni dovrebbe preparare l'acquirente prima dell'inizio del FAT?
A: Preparare i requisiti utente approvati, l'ambito delle apparecchiature configurate, i requisiti di controllo e di allarme, le condizioni di collaudo in fabbrica disponibili e le interfacce previste con il sito. Ciò consente di ricondurre ogni collaudo e registrazione effettuati in presenza di testimoni a un requisito specifico e di individuare i controlli specifici del sito prima della spedizione.

Q: È possibile utilizzare lo stesso piano di accettazione, senza modifiche, per i pass box statici, dinamici e VHP?
A: Il piano deve attenersi alle impostazioni configurate per la funzione della camera di passaggio e all’uso previsto approvato. Verificare quali controlli relativi a flusso d’aria, pressione, perdite, decontaminazione, controllo e interfaccia siano effettivamente applicabili, quindi associare ciascun controllo applicabile alla documentazione di fabbrica o in loco.

Q: Come vanno gestiti gli scostamenti, i nuovi controlli e le voci in sospeso al momento del passaggio di consegne?
A: Collegare ogni voce al test e al requisito utente interessati, conservare la documentazione relativa agli strumenti e ai testimoni e registrare le prove relative alla ripetizione del test. Mantenere aperti i controlli non risolti relativi al sito fino alla chiusura delle relative prove SAT e delle responsabilità.