Uma cascata de pressão parece simples em um desenho: uma série de sinais de mais e de menos entre as salas. A avaliação que realmente importa para o proprietário do projeto ou para o responsável pela validação é mais difícil de perceber à primeira vista — o que cada diferencial está, de fato, protegendo; se essa lógica de proteção se mantém quando as portas se abrem, quando os extratores entram em operação ou quando um processo muda de modo; e quais evidências convencerão um revisor de que a cascata, tal como instalada, ainda cumpre a função para a qual foi projetada. A seleção do fornecedor depende de obter respostas para essas perguntas antes da comparação das propostas, e não depois.

Obrigações de proteção e contenção por trás de cada relação de pressão

Cada relação de pressão em um conjunto de salas limpas existe para proteger algo específico, e esse algo nem sempre é o mesmo de um limite a outro. A diferencial positivo A instalação em uma sala de envase protege o produto e o processo do ambiente externo; o ar se move de um espaço mais limpo para um menos limpo, e a direção é determinada diretamente pelo que precisa permanecer livre de contaminação. Essa é a lógica convencional de proteção do produto, e é a que a maioria dos engenheiros adota por padrão ao esboçar uma cascata pela primeira vez.

Essa configuração padrão deixa de ser segura no momento em que a sala abriga um risco patogênico, tóxico, radioativo ou biológico vivo. Nesse caso, o dever de proteção se inverte: a sala precisa estar em pressão negativa em relação ao ambiente externo, de modo que o ar se mova para dentro, contendo o risco em vez de liberá-lo para fora, mantendo intacta a lógica de proteção do produto. Uma cascata projetada exclusivamente com base no hábito de proteção do produto não revelará essa distinção por si só — ela precisa ser derivada do que realmente está dentro da sala e do que esse material ou organismo requer caso escape da contenção.

É por isso que a relação de pressão não pode ser definida apenas com base na conveniência do fluxo de ar ou na simetria com as salas adjacentes. Cada relação precisa ter sua própria finalidade definida: essa barreira está protegendo o produto, o operador ou o ambiente externo à instalação contra o que há no interior? Quando um único projeto contém, lado a lado, tanto salas de proteção de produtos quanto salas de contenção — uma configuração comum no manuseio de produtos biológicos ou de certos ingredientes ativos farmacêuticos (API) —, o sistema em cascata deve tratar esses casos como problemas de projeto genuinamente diferentes, com lógicas de direção distintas, e não como variações de um único gradiente de pressão.

Anexo 1 das BPF da UE aborda as orientações sobre a cascata de pressão, incluindo monitoramento, registro e alarmes para diferenciais críticos; no entanto, as orientações trazem explicitamente uma ressalva de que, em casos de contenção de materiais patogênicos, tóxicos, radioativos ou biológicos vivos, a lógica de direção pode diferir da cascata convencional. Uma proposta de fornecedor que trata cada limite como um problema de proteção do produto, sem questionar qual classificação de risco se aplica a cada sala, omitiu a etapa que determina se a direção da cascata como um todo está, de fato, correta. Antes de iniciar qualquer discussão sobre pontos de ajuste, a equipe do projeto precisa de uma declaração, sala por sala, da função de proteção pretendida, confirmada em relação ao perfil real de risco do que cada sala irá conter ou processar.

Mapeamento do fluxo de processos, adjacências entre salas, portas e rotas de transferência

A qualidade de uma cascata de pressão depende inteiramente da qualidade do mapa de adjacência subjacente. O mapa precisa traçar como os materiais, produtos e pessoas realmente se deslocam entre os ambientes — e não como o layout arquitetônico os agrupa por acaso. Dois ambientes que compartilham uma parede não são necessariamente vizinhos na cascata no sentido que importa; a relação de vizinhança na cascata decorre do rota de transferência entre elas, seja uma porta, uma escotilha, a abertura de uma caixa de passagem ou um corredor para o qual ambas as salas dão.

O fluxo do processo determina quais adjacências realmente apresentam consequências em termos de pressão. Uma sala pela qual a matéria-prima entra, mas que não possui caminho direto de transferência para a área central do processo, tem um papel na cadeia diferente daquele de uma sala situada diretamente entre duas zonas classificadas. Mapear isso com precisão significa percorrer o processo da entrada até a saída e marcar cada ponto em que um limite é ultrapassado — por produto, por componente, por operador, por resíduo —, pois cada ponto de passagem é um local em potencial para uma relação de pressão que precisa de definição explícita, em vez de uma suposição herdada.

As portas merecem atenção especial neste mapeamento porque uma porta não é um limite estático; é uma rota que às vezes está aberta e às vezes fechada, e a relação de pressão que ela deve preservar só se mantém quando o comportamento real da porta corresponde ao que o projeto da cascata previu. Quando duas salas são separadas por uma única porta sem câmara de equilíbrio, a direção e a magnitude da diferença de pressão devem ser suficientes para que a pressão se restabeleça rapidamente assim que a porta se fechar após o uso, e o exercício de mapeamento precisa identificar todas essas fronteiras com porta única, em vez de presumir que uma câmara de equilíbrio amortece todas as transições críticas. Quando uma câmara de equilíbrio ou um vestíbulo se situa entre dois espaços com classificações diferentes, o mapeamento deve incluir a câmara de equilíbrio como uma sala independente, com sua própria relação de pressão em relação a ambas as salas vizinhas, e não como uma passagem transparente.

As rotas de transferência que contornam totalmente a sala — uma câmara de passagem, uma escotilha, transferência por dutos — ainda devem constar neste mapa, pois representam um caminho alternativo pelo qual a pressão pode se equalizar ou o ar pode circular entre as zonas, independentemente da porta. Um projeto em cascata que leve em conta apenas a adjacência baseada nas portas, ignorando uma câmara de transferência que se abre para as mesmas duas salas, omite uma rota que pode comprometer o diferencial pretendido no momento em que a câmara de transferência for utilizada. O mapa de adjacência e riscos do processo resultante desse exercício torna-se o documento de referência contra o qual todas as decisões de projeto posteriores — posicionamento de sensores, lógica de alarmes, propostas de fornecedores — são verificadas quanto à consistência.

Consideração de sistemas de extração, cabines locais, carga do filtro e modos de operação

Uma cascata de pressão que seja avaliada apenas em uma única condição de estado estacionário e sem perturbações não levará em conta as condições nas quais o controle de pressão tende, na prática, a ser testado. Várias variáveis operacionais alteram o equilíbrio de pressão de maneiras que um único ponto de ajuste não consegue representar, e cada uma delas precisa ser considerada como um cenário definido à parte, em vez de ser deixada como uma suposição implícita por trás do projeto nominal.

A abertura de portas é o exemplo mais direto: quando uma porta entre duas salas com pressões diferentes se abre, o diferencial de pressão nessa fronteira se aproxima de zero enquanto a porta permanecer aberta, e o equilíbrio das salas vizinhas pode se alterar à medida que o ar se redistribui pelos caminhos que permanecem disponíveis. O projeto precisa de uma declaração consensual sobre como se espera que as portas se comportem — transições com porta única, câmaras de equilíbrio interligadas, períodos deliberados de porta aberta para movimentação de materiais —, pois o comportamento de recuperação da cascata deve ser avaliado em relação a esse comportamento acordado, e não em relação a uma condição idealizada de portas fechadas.

Os sistemas de extração alteram o equilíbrio na direção oposta. Um sistema de extração de vapores, um exaustor local ou um sistema de extração específico para um processo retira o ar de um ambiente independentemente do circuito geral de alimentação e retorno; e, quando esse sistema está em operação, pode alterar a pressão efetiva do ambiente em relação ao momento em que está inativo. Se o projeto incluir sistemas de extração que são ligados e desligados de acordo com o processo, a cascata precisa manter as relações pretendidas em ambos os estados, e o fornecedor precisa saber quais ambientes possuem sistemas de extração e em que condições eles operam.

As cabines locais — cabines de pesagem ou dosagem, cabines de amostragem, cabines de biossegurança, unidades de fluxo laminar — introduzem seu próprio fluxo de ar na sala e, dependendo da configuração, isso pode favorecer ou prejudicar a relação de pressão na sala. O estado operacional de uma cabine, portanto, não é um fator secundário na cascata da sala; ele é, por si só, uma variável do cenário que altera a configuração do diferencial de pressão ao redor.

O acúmulo de resíduos no filtro altera a resistência ao longo do percurso de filtragem durante a vida útil do equipamento, o que altera o equilíbrio do fluxo de ar do qual depende o diferencial de pressão, a menos que o sistema de controle faça a compensação. Além disso, o modo de operação — ocupado versus desocupado, produção versus inatividade, limpeza versus processamento — pode apresentar sua própria relação de pressão pretendida, distinta das demais. Nenhuma dessas condições pode ser resolvida solicitando-se a um fornecedor que confirme um único ponto de ajuste; elas devem ser apresentadas como um conjunto definido de cenários nos quais se espera que a cascata proposta tenha bom desempenho.

Localização de sensores de pressão diferencial e definição de seus pontos de referência

Uma leitura de pressão só tem significado em relação ao local onde é feita e ao que está sendo usado como referência. Dois sensores que indicam o mesmo diferencial numérico podem representar relações de pressão totalmente diferentes se um medirmos em relação a uma sala adjacente e o outro em relação a um corredor ou à atmosfera externa. Antes que qualquer leitura possa ser interpretada como evidência de controle em cascata, é necessário saber exatamente qual limite aquele sensor representa e qual é o seu lado de referência.

A localização dos sensores deve ser determinada com base nos diferenciais críticos identificados anteriormente no mapeamento de adjacências e riscos, e não com base no local estruturalmente mais conveniente para a instalação de uma linha de sensoriamento. Se uma parede separar duas salas com uma relação de pressão definida e crítica entre elas, o sensor que mede essa relação precisa ter como referência ambos os lados dessa parede específica — e não um corredor próximo que por acaso seja mais acessível para instalação. Um sensor referenciado ao espaço errado produzirá uma leitura estável e tranquilizadora que não tem nada a ver com a relação que deveria confirmar.

Isso se torna mais complexo quando uma sala possui mais de um vizinho crítico. Uma sala situada entre um espaço com classificação mais elevada de um lado e um espaço com classificação mais baixa do outro precisa ter sua pressão controlada e, idealmente, monitorada em relação a ambos os vizinhos separadamente, pois um único sensor que se refira apenas a um lado não pode confirmar se a relação com o outro lado também está sendo mantida. Quando restrições orçamentárias ou de instrumentação limitam o número de sensores, a equipe do projeto precisa decidir qual das múltiplas relações deve ser monitorada diretamente e aceitar que a outra seja inferida, em vez de medida — uma decisão que cabe à análise de dever de proteção do projeto, e não a quem estiver projetando o traçado dos conduítes.

Os pontos de referência também precisam permanecer consistentes ao longo da vida útil do sistema. Se a tomada de referência de um sensor for realocada posteriormente, ou se o uso de uma sala mudar de tal forma que o espaço vizinho não corresponda mais ao que o projeto original previa, o sensor poderá continuar reportando um valor estável, embora já não represente a relação de pressão que o projeto realmente precisa confirmar. Cada diferencial crítico, portanto, precisa ter seu local de medição e ponto de referência documentados como parte do projeto aprovado, e não deixados para serem reconstruídos posteriormente com base na memória dos profissionais em campo.

Definição das responsabilidades relacionadas ao monitoramento, registro, alarme, resposta e escalonamento

Identificar um diferencial crítico e localizar seu sensor apenas confirma que existe uma medição; isso não diz nada sobre o que acontece quando essa medição sai da faixa prevista. Essa lacuna precisa ser preenchida com definições explícitas que abranjam o monitoramento, o registro, o significado do alarme, a resposta da equipe e a escalação — cada uma delas uma decisão distinta, e não uma única especificação genérica de “sistema de alarme”.

O monitoramento define com que frequência e por quais meios o status de um diferencial crítico é observado — seja em tempo real em um sistema de gerenciamento predial, registrado em intervalos ou verificado manualmente de acordo com uma programação. O método escolhido deve corresponder à rapidez com que a perda dessa relação específica poderia ter consequências para o que ela protege; uma relação que protege um limite de contenção requer uma abordagem de monitoramento diferente daquela que sustenta uma zona geral de proteção de produtos, e a análise de responsabilidades realizada anteriormente no projeto é o que deve orientar essa escolha.

O registro é uma decisão distinta do monitoramento: ele define quais dados são retidos e por quanto tempo, independentemente de alguém estar observando-os em tempo real. O Anexo 1 das BPF da UE aborda especificamente o monitoramento, o registro e os alarmes para diferenciais críticos, o que coloca os requisitos de registro em pé de igualdade com o monitoramento em tempo real para salas nas quais o sistema em cascata está operando de acordo com essa orientação.

O significado do alarme é onde muitas cadeias de eventos se tornam ambíguas na prática. Uma condição de alarme precisa de um significado definido — ela indica que o diferencial ultrapassou um limite definido, que isso ocorreu por um período prolongado ou que o próprio sensor apresentou falha? Cada uma dessas situações é um evento diferente que exige uma resposta diferente, e agrupá-las sob um único tipo de alarme faz com que a equipe fique na dúvida no momento em que é necessária uma resposta.

A resposta da equipe deve ser definida para cada condição distinta de perda de controle, em vez de ser deixada como uma instrução geral para “investigar”. E a responsabilidade pela escalonamento fecha o ciclo: quem é notificado, em que condição e dentro de qual estrutura de autoridade, para que uma perda prolongada de um diferencial crítico não fique estagnada no nível daquele que primeiro percebeu o alarme. Cada um desses cinco elementos — monitoramento, registro, significado do alarme, resposta e escalonamento — precisa de sua própria definição explícita no projeto, verificada em relação a todos os diferenciais críticos identificados anteriormente, antes que a cascata possa ser considerada operacionalmente completa, e não apenas projetada.

Dados fornecidos pelo fornecedor e comprovantes de aceitação para a cascata aprovada

No momento em que um fornecedor é procurado para apresentar uma proposta, o projeto já deve conter os elementos que permitem a comparação entre as propostas: o mapa de adjacência das salas e de riscos do processo, os cenários operacionais acordados que abrangem o comportamento das portas, os sistemas de extração, as cabines locais, a carga dos filtros e os modos de operação, bem como os diferenciais críticos definidos com seus locais de medição e pontos de referência. Essas informações são a base sobre a qual a análise de configuração ou cotação de um fabricante realmente se baseia — uma proposta em cascata elaborada sem elas é construída com base em suposições sobre o projeto, e não no projeto em si, e as seleções de equipamentos que afetam portas para salas limpas, FFUs, ou os painéis de revestimento, dependem todos do conhecimento de quais limites os circundam e qual relação de pressão devem ajudar a sustentar.

Comparar as propostas dos fornecedores com base nisso significa avaliar cada uma delas em relação ao mesmo conjunto de cenários acordados, em vez de em relação a um único valor nominal de referência — uma proposta que apresenta bom desempenho em uma condição idealizada, com portas fechadas e extração desativada, pouco indica ao projeto se ela manterá as relações pretendidas quando as portas forem abertas, a extração estiver em funcionamento ou os filtros se aproximarem do fim de seu intervalo de manutenção. As definições de monitoramento, registro, alarme, resposta e escalonamento estabelecidas anteriormente também devem ser consideradas nessa comparação: uma abordagem de controle proposta deve ser verificada em relação a essas mesmas definições, em vez de ser avaliada com base em sua própria lógica interna.

A comprovação de aceitação é uma questão distinta da seleção do fornecedor, e a equipe do projeto precisa ter clareza sobre essa diferença. ISO 14644-4 abrange o processo de definição de requisitos para o projeto e verificação de salas limpas, mas não prescreve uma estratégia de pressão, uma tecnologia específica ou um valor de aceitação do projeto — essas continuam sendo decisões que o projeto deve tomar e documentar por conta própria, com base na análise de adjacência das salas e de riscos, em vez de simplesmente seguir uma norma. O que a ISO 14644-4 realmente apoia é a estrutura que vai desde os requisitos estabelecidos, passando pelo projeto, até uma instalação verificada e pronta para entrar em operação, o que proporciona ao projeto um processo a ser seguido, mesmo que não forneça os valores de pressão propriamente ditos.

A implicação prática é que os critérios de aceitação devem ser redigidos como parte dos resultados do projeto em si, e não tomados de uma norma ou do pacote padrão de comissionamento de um fornecedor; além disso, as evidências utilizadas para confirmar a cascata aprovada — dados de comissionamento, testes funcionais nos cenários acordados, verificação de que cada diferencial crítico atenda ao critério específico do projeto em seu ponto de referência definido — precisam ter origem no mesmo mapa de adjacência e na mesma análise de riscos que moldaram a cascata desde o início. Uma cascata que seja aprovada em um teste genérico de comissionamento sem ter sido verificada em relação às exceções de contenção e aos cenários operacionais do próprio projeto ainda não demonstrou que cumpre o que o projeto realmente precisa que ela faça.

Perguntas frequentes

Q: É possível comparar duas propostas de fornecedores se elas utilizarem premissas operacionais diferentes?
A: Não de forma confiável. Atribua a cada fornecedor o mesmo comportamento acordado para a abertura da porta, os estados do sistema de extração e da cabine local, a condição de carregamento do filtro e os modos de operação, para que o equilíbrio de pressão proposto possa ser comparado com base em um briefing comum.

Q: Como decidimos se um sistema convencional de proteção de produtos por pressão é adequado?
A: Defina o que cada relação entre salas se destina a proteger, com base no mapa de adjacência entre salas e de riscos do processo. Se o projeto envolver riscos patogênicos, tóxicos, radioativos ou biológicos ativos, confirme a direção de contenção exigida para esse risco, em vez de adotar uma direção convencional de proteção do produto.

Q: Que informações devem estar disponíveis antes de solicitar aos fornecedores que apresentem o orçamento para a cascata?
A: Prepare as adjacências relevantes entre as salas, os riscos do processo, a função de proteção prevista para cada relação, os cenários operacionais acordados e os diferenciais críticos, com seus locais de medição e pontos de referência. Indique também como serão definidos o monitoramento, o registro, os alarmes, a resposta do pessoal, a escalação e as evidências de aceitação do projeto.

Q: O que deve ser abordado em uma análise de alarme, além da constatação de que o controle de pressão foi perdido?
A: Deve definir o que cada condição de alarme significa, qual relação de pressão ela representa, o que a equipe deve fazer em resposta e quando e a quem o evento deve ser escalado. Isso transforma o alarme de uma simples indicação em uma ação operacional previamente acordada.

Q: A referência à norma ISO 14644-4 define os valores de aceitação da cascata?
A: Não. Utilize-o como parte da estrutura de requisitos de projeto e verificação de salas limpas, ao definir a estratégia de pressão, a tecnologia, os critérios de aceitação e as evidências necessárias para o projeto específico.