Qualificare l’uso previsto, non soltanto l’apparecchio
Un frigorifero consegnato con un certificato del costruttore può essere inadatto al processo che il sito intende svolgere. La posizione nel locale, il calore respinto, la distribuzione dei materiali, le aperture e la disponibilità di assistenza possono cambiare il risultato. La qualifica deve dimostrare che apparecchiatura, servizi, monitoraggio e operatori funzionano insieme entro un campo d’uso definito.
Questo articolo riguarda frigoriferi farmaceutici, congelatori, sistemi ULT e aree di conservazione a temperatura controllata. Le condizioni criogeniche richiedono verifiche specifiche del sistema, dei contenitori e dei rischi di sicurezza; non si possono trasferire automaticamente prove di refrigerazione meccanica. Le camere di stabilità analitica e gli strumenti puramente di laboratorio restano fuori dal perimetro, salvo una reale funzione di conservazione della cold chain.
Stabilire la base regolatoria e le responsabilità
[REQUIREMENT] In attività GMP, l’Annex 15, revisione 2015, inquadra la qualifica nel ciclo di vita e richiede protocolli, criteri e risultati documentati. In distribuzione, le GDP UE 2013/C 343/01 costituiscono il riferimento applicabile alle relative attività. Il solo nome «farmaceutico» sul catalogo non dimostra conformità del sistema installato.
[GUIDANCE] Il Supplemento WHO 7 offre un riferimento tecnico per aree di stoccaggio. [QRM] L’approccio di ICH Q9(R1) aiuta a proporzionare le verifiche. QA approva le decisioni di qualità; Engineering risponde delle funzioni tecniche; Operations conferma la praticabilità dei limiti. Il fornitore può produrre evidenze, ma non sostituisce l’accettazione del sito.
Trasformare le URS in una matrice verificabile
[GEP] Le URS devono descrivere prodotti, confezioni, capacità utile, intervalli autorizzati, movimentazioni, ambiente di installazione, continuità e dati necessari. Evitare requisiti come «recupero rapido» senza una condizione di carico e una decisione associata. Il tempo ammissibile deriva dal processo e dalla protezione del prodotto, non da un numero copiato da un’altra apparecchiatura.
La matrice di tracciabilità collega ogni requisito alla soluzione progettuale, alla verifica e al documento finale. Se un requisito è verificato tramite ispezione o documento invece che mediante prova, motivare la scelta. Requisiti non verificabili segnalano una URS incompleta. Anche le esclusioni devono essere esplicite: un sistema qualificato per conservazione non è automaticamente qualificato per congelamento iniziale di prodotto caldo.
| Elemento | Domanda di qualifica | Evidenza attesa |
|---|---|---|
| Capacità utile | Quali contenitori entrano senza ostacolare il flusso? | Layout e carichi dimostrati |
| Controllo termico | Il volume autorizzato resta nel campo previsto? | Curve locali con criteri approvati |
| Rilevazione del guasto | La perdita di controllo diventa un evento gestito? | Prova della catena di allarme |
| Continuità | Quale configurazione protegge durante indisponibilità? | Prova e piano di trasferimento |
| Registrazioni | Le evidenze restano integre e recuperabili? | Verifiche di accesso, esportazione e ripristino |
La definizione delle esigenze deve precedere la scelta della tecnologia. Per confrontare architetture e campi operativi, utilizzare la selezione di celle, frigoriferi, congelatori e ULT. La qualifica non deve diventare il luogo in cui si scopre che la capacità acquistata non corrisponde a quella utilizzabile.
Progettazione, documenti del fornitore e prove preliminari
[GEP] La revisione del progetto esamina potenza frigorifera nel contesto reale, evacuazione del calore, accessibilità per manutenzione, passaggi delle sonde, condensazione, pulizia, alimentazione e protezioni. Per ULT valutare comportamento del sistema alle condizioni ambientali previste e impatto della formazione di ghiaccio. Le dichiarazioni commerciali devono essere tradotte in condizioni di prova verificabili.
FAT e SAT possono ridurre incertezza prima dell’uso, ma hanno finalità diverse. Una prova in fabbrica può verificare funzioni o configurazioni non influenzate dal trasporto; una prova sul sito controlla installazione e interfacce reali. Identificare quali risultati possono essere riutilizzati, con quale revisione documentale e quali controlli restano necessari dopo consegna, riposizionamento o aggiornamento.
Il dossier del fornitore dovrebbe distinguere dati specifici del numero di serie, prove di tipo e semplici dichiarazioni. Una curva ottenuta su un modello simile non descrive automaticamente l’unità installata. Esaminare anomalie, modifiche e limitazioni, non soltanto la pagina firmata. Conservare responsabilità del riesame e collegamento fra documento ricevuto e requisito coperto.
IQ: verificare quello che è stato realmente installato
[GEP] L’installation qualification verifica identità, configurazione e collegamenti. Registrare modello, numero di serie, software pertinente, accessori, disposizione dei ripiani e posizione finale. Confrontare alimentazione, protezioni, prese dedicate e segnali remoti con il progetto approvato. Verificare gli spazi di ventilazione sulla configurazione reale, compresi ostacoli introdotti dopo la consegna.
Identificare sonde di controllo, sonde di monitoraggio e dispositivi indipendenti, evitando di confondere le loro funzioni. Verificare tarature pertinenti, manuali, schemi, ricambi critici e procedure di avvio. Per un sistema collegato a EMS o rete, documentare percorso del dato, dipendenze e responsabilità delle interfacce. Un cavo collegato non dimostra che un evento venga registrato correttamente.
Le difformità dell’installazione vengono valutate prima delle prove influenzate. Una protezione elettrica diversa può essere accettabile dopo revisione tecnica; una ventilazione insufficiente può invalidare una prova termica. Separare difetti cosmetici da discrepanze che modificano prestazioni, sicurezza o qualità, senza usare un elenco di «punch item» per nascondere impedimenti al rilascio.
OQ: sfidare le funzioni e i limiti previsti
[QRM] L’operational qualification verifica il comportamento controllato entro le condizioni definite. Le prove possono comprendere stabilizzazione, distribuzione termica, apertura porte, sbrinamento, perdita e ripristino dell’alimentazione, guasti di sonda, riavvio e cambio di modalità. Selezionare scenari in base a meccanismo, conseguenza e capacità di rilevazione. Non ogni guasto va provocato fisicamente se può essere verificato con un metodo giustificato e sicuro.
Definire separatamente recupero della temperatura dell’aria e recupero della condizione del carico. L’indicazione del display potrebbe tornare nel campo mentre un punto del volume utile resta sfavorevole. Anche il criterio di stabilizzazione deve descrivere cosa viene osservato. Le prove non devono introdurre stress non pertinente al processo soltanto per produrre un risultato spettacolare.
Provare la catena completa dell’allarme: evento, rilevazione, eventuale ritardo, trasmissione, ricezione, riconoscimento ed escalation. La simulazione del contatto prova una parte diversa rispetto alla variazione reale della temperatura. Dichiarare cosa dimostra ciascun metodo e quali passaggi sono verificati separatamente. Collegare i risultati alla strategia degli allarmi, evitando limiti e ritardi universali.
PQ: dimostrare prestazione con carichi e persone reali
[GEP] La performance qualification riproduce le configurazioni che il sito autorizzerà. Il carico minimo può ridurre l’inerzia; quello massimo può ostacolare il ricircolo. Contenitori diversi possono avere ingombri simili e masse termiche differenti. Descrivere distribuzione, temperatura iniziale, packaging e modalità di inserimento; giustificare gli eventuali simulanti e i confini della loro rappresentatività.
Includere attività operative rilevanti: prelievi, reintegro, inventario, aperture successive e passaggio fra turni. La durata deriva dai cicli da osservare e dall’incertezza residua, non da un numero fisso di giorni. La conformità a porte chiuse non dimostra la sostenibilità di un processo che prevede accessi frequenti. Le limitazioni necessarie diventano istruzioni applicabili e verificate con Operations.
La mappatura termica fornisce evidenza spaziale, ma la PQ deve collegarla alle attività e alle decisioni. Una posizione fuori criterio può richiedere esclusione, modifica del layout oppure correzione tecnica. Se la capacità residua non soddisfa le URS, la qualifica non è completata con successo semplicemente eliminando le posizioni problematiche dal rapporto.
Interruzioni, ridondanza e trasferimento dei prodotti
[QRM] Due compressori non dimostrano automaticamente ridondanza utile. Possono condividere alimentazione, regolatore o circuito vulnerabile. Identificare guasti comuni e verificare quali funzioni sopravvivono. Il gruppo elettrogeno deve essere valutato insieme a commutazione, riavvio, autonomia dei servizi e carichi concorrenti. Un’etichetta «backup» non descrive la continuità effettiva.
La capacità alternativa deve essere disponibile quando serve, compatibile con il prodotto e raggiungibile attraverso un trasferimento controllato. Distinguere tempo di rilevazione, decisione, preparazione, movimentazione e ristabilimento delle condizioni. Se il sito non può completare queste attività entro il margine dimostrato, servono altre misure. La prova può richiedere una simulazione operativa senza esporre lotti commerciali.
Per sistemi criogenici, separare la valutazione di qualità dai controlli di sicurezza su gas, ventilazione, accesso e manipolazione. Il livello di refrigerante e la posizione del contenitore possono essere rilevanti oltre alla temperatura. La qualifica deve seguire l’architettura concreta e le evidenze del fabbricante, senza equiparare fase liquida, fase vapore e congelamento meccanico.
Dati elettronici e gestione delle modifiche
[REQUIREMENT] Per sistemi computerizzati nel campo GMP, l’Annex 11 vigente, revisione gennaio 2011, è il riferimento pertinente. [GEP] Delimitare funzioni critiche, ruoli di accesso, sincronizzazione temporale, registrazioni delle modifiche, backup e recupero. Il certificato di un software non sostituisce la verifica della configurazione effettivamente utilizzata.
Provare che un’esportazione conservi identificativo, unità, periodo e significato dei dati. Valutare cosa accade durante una perdita di connessione e come vengono ricostruiti gli eventi. Il ritorno della rete non dimostra automaticamente che tutti i record siano arrivati. Specificare chi riesamina dati e anomalie e quale evidenza consente di riconoscere una lacuna.
Anche gli accessi di manutenzione vanno valutati prima del rilascio. Stabilire se sostituire una sonda, pulire il condensatore o cambiare una guarnizione richieda scarico, arresto o sospensione temporanea del monitoraggio. Definire dove conservare i materiali durante il lavoro e quali controlli eseguire prima del ritorno in servizio. Questi elementi collegano qualifica e manutenibilità, evitando che ogni intervento prevedibile diventi un’emergenza improvvisata. Registrare la configurazione prima e dopo il lavoro permette inoltre di distinguere una sostituzione equivalente da una modifica funzionale. Il piano deve identificare chi valuta questa distinzione e quali evidenze sono necessarie quando cambia un componente critico.
Collegare ogni modifica alle verifiche realmente necessarie
[GUIDEGXP] Preparare una matrice semplice che associ tipo di intervento, funzione interessata, evidenza precedente e controllo richiesto. La sostituzione di una sonda può richiedere verifiche di misura, posizione e risposta dell’allarme; il cambio del controllore può coinvolgere anche setpoint, logiche, comunicazione e comportamento al riavvio. La somiglianza fisica del ricambio non dimostra equivalenza funzionale.
Per una modifica ai ripiani, chiedersi se cambino volume utile, distanze o percorso dell’aria. Per uno spostamento, esaminare ambiente, alimentazione, ventilazione e connessioni. La matrice non prescrive automaticamente una nuova qualifica completa: obbliga a esplicitare perché le prove selezionate rispondono all’impatto. Quando l’effetto è incerto, prevedere una verifica mirata invece di assumere che le evidenze precedenti rimangano valide.
Al rilascio, un revisore dovrebbe poter partire dall’identificativo dell’apparecchiatura e trovare configurazione attuale, prove, deviazioni e istruzioni senza ricostruzioni informali. Distinguere documenti superati e vigenti, compresi file del fornitore e copie locali. Se più unità della stessa gamma hanno impieghi diversi, assegnare limiti a ciascuna. Il passaggio di consegne verifica anche che personale, segnaletica e registri delle posizioni descrivano il medesimo sistema autorizzato, evitando che una revisione documentale resti separata dal lavoro quotidiano.
Caso pratico ipotetico: l’ULT conforme a vuoto
Un ULT ipotetico soddisfa le verifiche iniziali senza carico. Prima della PQ, il reparto propone contenitori più grandi per migliorare la densità. Il team identifica un possibile ostacolo al ricircolo e conserva la nuova disposizione come configurazione da valutare, invece di dichiararla equivalente sulla base del solo volume occupato.
Durante il reintegro simulato, una zona recupera più lentamente del previsto mentre la sonda di controllo rientra nel proprio campo. L’indagine collega il fenomeno a contenitori e sequenza di apertura, senza attribuirlo subito a un difetto del compressore. Vengono confrontate configurazioni alternative e verificata una procedura di accesso compatibile con il lavoro reale.
La soluzione modifica il layout e rende visibili i limiti di riempimento. La PQ dimostra la configurazione approvata; QA verifica che la capacità finale soddisfi ancora le URS. Training, istruzioni e anagrafica delle posizioni vengono aggiornati insieme. La qualifica produce un sistema utilizzabile, non una semplice raccolta di curve favorevoli.
Checklist di rilascio e mantenimento
- Tutti i requisiti critici hanno una verifica e una conclusione rintracciabile.
- Configurazione, carichi e volume autorizzato coincidono con le istruzioni operative.
- Deviazioni e azioni che condizionano l’uso sono risolte o gestite mediante una decisione formalmente giustificata.
- Monitoraggio, allarmi e risposta sono verificati nelle rispettive interfacce.
- Manutenzione, taratura, ricambi e assistenza hanno responsabilità definite.
- Piano di emergenza e capacità alternativa sono concretamente praticabili.
- Operatori e manutentori conoscono limiti, segnalazioni e modalità di escalation.
- La review periodica considera trend, guasti, modifiche e attualità delle ipotesi.
[GUIDEGXP] Riqualificare secondo impatto e rischio dopo spostamenti, interventi, cambi di carico, aggiornamenti o prestazioni inattese. Non ogni riparazione richiede la ripetizione completa, ma ogni decisione deve identificare le funzioni interessate e le prove necessarie. Anche la scelta di non ripetere una prova richiede una motivazione sostenuta da evidenze.
Errori, segnali d’allarme e conclusione
Red flags: accettazione del solo certificato commerciale; IQ con posizione finale non definita; prove senza carico autorizzato; allarmi verificati soltanto sul display; ripristino dati mai provato; capacità alternativa già occupata; criteri modificati per rendere conforme un risultato. Un’altra debolezza è approvare la qualifica mentre procedure e layout continuano a descrivere configurazioni precedenti.
[GUIDEGXP] Il rilascio deve dichiarare cosa è autorizzato, con quali limiti e chi mantiene lo stato qualificato. Collocare questa decisione nel ciclo Cold Chain & Controlled Temperature Systems. Riferimenti verificati al 21 settembre 2026: Annex 15 del 2015, Annex 11 del 2011, GDP UE 2013/C 343/01, WHO Supplemento 7 e ICH Q9(R1). Nessuno fornisce un’unica frequenza, durata o quantità di sensori valida per ogni sistema.
