Un isolatore arriva in sito con il FAT chiuso senza rilievi e il verbale firmato. Sei mesi dopo, in PQ, si scopre che il rigetto dei vial con tappo disallineato non è mai stato provato sul formato più piccolo: in FAT quel formato non c'era e nessun documento diceva dove recuperare il test. Il requisito era nella URS. Mancava la casella che diceva dove verificarlo.
Questo articolo tratta la qualifica di una linea asettica con barriera come un problema di tracciabilità prima che di esecuzione: quali requisiti si verificano, in quale fase, con quale evidenza e cosa quella evidenza non dimostra. La qualifica non è un episodio fra consegna e produzione: è il segmento di lifecycle in cui i requisiti della URS diventano prestazioni misurate e da cui il change control prende la baseline.
Dove nasce il problema
La qualifica di una linea asettica fallisce raramente per un test mal eseguito. Fallisce perché a monte si sono confuse quattro attività diverse. Il FAT è una verifica contrattuale in casa del fornitore, con le sue utility e spesso senza prodotto reale. Il SAT verifica che ciò che è arrivato sia ciò che era partito e che l'installazione non ne abbia degradato le prestazioni. Il commissioning è la messa in servizio ingegneristica: taratura, tuning, difetti. La qualifica documenta, sotto responsabilità della quality unit, la conformità ai requisiti.
Il punto che si perde più spesso è che l'Annex 15 non contiene la parola «commissioning». È buona pratica ingegneristica [GEP] che alimenta la qualifica — le consegna sistemi funzionanti, tarati e documentati — ma non la sostituisce. Un piano che scrive «commissioning in luogo di IQ» senza dichiarare quali test vengono formalmente leveraged, con quale rationale e con quale approvazione della quality unit, produce un buco nel dossier.
Il quadro regolatorio
| Fonte | Stato e data | Cosa vincola davvero |
|---|---|---|
| EU GMP Annex 15 | Revisione 2015, operativa dal 1 ottobre 2015. In revisione: consultazione chiusa il 9 aprile 2026, nessun testo adottato | Sequenza URS → DQ → FAT/SAT → IQ → OQ → PQ, change control e tracciabilità di ciclo di vita. Il 2015 è l'unico testo vigente [REQUISITO] |
| EU GMP Annex 1 | C(2022) 5938 final, in applicazione dal 25 agosto 2023 | Barriera, guanti e bio-decontaminazione ai punti 4.18–4.22; chiusura e capping ai punti 8.21–8.28, con la stopper height detection di 8.28 [REQUISITO] |
| ICH Q9(R1) | Step 4 il 18 gennaio 2023 | Metodologia con cui si giustificano leveraging e profondità di verifica [QRM] |
| PIC/S PI 006-4 | In vigore dal 1 ottobre 2026 | Raccomandazioni su qualification e validation, distinte dall'Annex 15 |
| ASTM E2500-25 | Edizione corrente 2025, supera E2500-20 | Approccio science- and risk-based, volontario [STANDARD] |
La strategia CQV parte dalla URS
La strategia CQV risponde a tre domande: quali sistemi sono nello scope, quali hanno impatto diretto su qualità del prodotto e sterility assurance, quale profondità di verifica meritano. Derivano dalla URS e dal risk assessment di progetto. Se la URS ha requisiti numerati, verificabili e con criterio di accettazione, la strategia si costruisce quasi da sé; se è una lista di desideri, ogni protocollo reinventerà i criteri e nessuno potrà dimostrare che i protocolli coprono i requisiti.
DQ: tracciabilità, non ridisegno
La DQ dimostra che il progetto soddisfa i requisiti, ed è un esercizio di tracciabilità: ogni requisito URS trova una riga che indica dove il progetto lo soddisfa (P&ID, layout, specifica funzionale, datasheet) e dove sarà verificato (FAT, SAT, IQ, OQ, PQ o commissioning leveraged). I requisiti senza cella di verifica sono il vero deliverable della DQ: sono le lacune che si pagano dodici mesi dopo. È anche il punto in cui si dichiarano le deroghe consapevoli, invece di lasciarle affiorare come deviazioni in OQ.
FAT, SAT e commissioning: cosa si sposta e cosa no
FAT
In FAT ha senso spostare ciò che è costoso rifare in sito e non dipende dal contesto di installazione: verifica meccanica e di montaggio, prove di formato con contenitori reali, changeover, sequenze di automazione, gestione ricette, matrice allarmi, scenari di guasto sugli interlock, trasporto contenitori a velocità di linea, dosaggio con surrogati. Ha molto meno senso spostarvi ciò che dipende dalle utility di sito, dal locale che ospita la barriera o dall'integrazione con sistemi terzi: airflow visualisation definitiva, differenziali verso il locale reale, integrazione EMS e BMS, bio-decontaminazione nella configurazione finale di carico.
Un FAT ben progettato riduce il rischio di progetto: intercetta i difetti quando correggerli costa poco. Non riduce automaticamente lo scope della qualifica. Il leveraging verso IQ o OQ è sensato [QRM] a tre condizioni dichiarate prima: protocollo approvato, strumenti tarati e tracciabili, nulla nel trasporto o nell'installazione che ne invalidi l'esito. Se una cade, il test si ripete.
SAT e le sue insidie
Il SAT è la fase più sottovalutata e la più esposta alle pressioni di programma. Tre insidie. La prima è il SAT eseguito con utility provvisorie — aria da compressore di cantiere, acqua non ancora qualificata — e poi trattato come definitivo. La seconda è il SAT che ripete la lista del FAT invece di concentrarsi su ciò che trasporto e installazione possono avere cambiato: allineamenti, integrità della barriera, collegamenti, tenuta delle penetrazioni, livellamento. La terza è la punch list chiusa senza valutare quali voci residue impattano i test successivi.
Commissioning e turnover documentation
Il commissioning produce l'oggetto più utile e più trascurato del progetto: la turnover documentation. Certificati dei materiali a contatto e dei filtri HEPA, schemi as-built, liste strumenti con classe e stato di taratura, versioni di software e firmware, backup, ricambi critici. La IQ non genera questi documenti: li verifica. Un pacchetto incompleto la trasforma in una caccia al certificato.
IQ, OQ e PQ su una linea con barriera
La IQ verifica che l'installato corrisponda alla specifica approvata: materiali delle superfici a contatto e delle superfici interne alla barriera, posizione e certificazione dei filtri HEPA, configurazione di glove port e RTP, esecuzione delle penetrazioni, catena di taratura degli strumenti che genereranno dati GMP.
La OQ verifica le funzioni sull'intero range dichiarato ed è la fase degli scenari di guasto. Non basta l'interlock che funziona quando tutto va bene: si dimostra la reazione alla porta aperta, alla pressione fuori range, al ventilatore in avaria, al guanto non integro, alla perdita di comunicazione con il PLC, alla ricetta fuori limite. Rientrano in OQ gestione ricette e accessi, matrice allarmi con priorità e azione richiesta, comportamento dopo un power failure. Le interfacce critiche della barriera — guanti, RTP, bio-decontaminazione chiedono una distinzione precisa: il cycle development, che stabilisce i parametri di ciclo e la loro robustezza, non è la qualification, che ne dimostra la riproducibilità nel carico reale. I parametri si sviluppano, non si copiano.
La PQ dimostra che il sistema, nella configurazione reale e con le procedure di sito, mantiene le prestazioni: airflow e recovery nella barriera caricata, differenziali stabili nelle transizioni, riproducibilità del dosaggio sui formati dichiarati, capacità alla velocità nominale, stopper height detection sui casi di tappo mancante e disallineato richiesti da Annex 1 8.28 [REQUISITO], capping secondo 8.27 nella configurazione scelta.
Che cosa dimostra ciascuna fase
| Oggetto | Fase | Cosa dimostra | Cosa NON dimostra |
|---|---|---|---|
| Dosaggio | FAT, OQ, PQ | Riproducibilità sul range dichiarato con prodotto o surrogato | Che il prodotto reale si comporti come il surrogato |
| Trasporto contenitori | FAT, OQ, PQ | Assenza di inceppamenti e danni ai formati dichiarati | Il rischio di intervento sugli inceppamenti residui |
| Capping e stopper height detection | OQ, PQ | Rigetto dei vial con tappo mancante o disallineato (8.28) | L'integrità del container closure system: quella è CCIT (8.23) |
| Barriera | SAT, IQ, OQ | Installazione conforme e separazione dal locale | Che l'aseptic technique degli operatori la rispetti |
| Guanti e RTP | IQ, OQ | Configurazione corretta e metodo di test funzionante | L'integrità del guanto nel lotto successivo (4.21) |
| Airflow e HEPA | IQ, OQ, PQ | Integrità dei filtri e omogeneità del flusso alla posizione di lavoro | Che il first air resti indisturbato negli interventi |
| Differenziali | OQ, PQ | Stabilità e allarmistica nelle transizioni | Il comportamento in interventi non previsti a protocollo |
| Bio-decontaminazione | OQ, PQ | Riproducibilità del ciclo nel carico qualificato | L'efficacia su carichi o configurazioni non provati |
| Automation, ricette, allarmi | FAT, OQ | Esecuzione, interlock, reazione ai guasti, accessi | Che i dati siano gestiti come record GMP conformi |
Come si giustifica con ICH Q9(R1)
ICH Q9(R1) è la metodologia con cui si decide quanta verifica serve e dove [QRM]. Il risk assessment classifica i sistemi per impatto su sterility assurance e qualità del prodotto, e da lì discendono tre decisioni: quali test vanno sotto protocollo di qualifica, quali test di commissioning si possono leveraged con rationale documentato, quali funzioni richiedono scenari di guasto espliciti in OQ. ASTM E2500-25 [STANDARD] è volontaria e non sostituisce l'Annex 15: offre un modo di argomentare, non un permesso di ridurre lo scope. L'esito confluisce nella CCS come evidenza di quali controlli tecnici sono stati verificati e con quale profondità.
Va detto dove si ferma la qualifica. L'equipment qualification dimostra che l'impianto fa ciò che deve. L'aseptic process simulation dimostra che il processo asettico, condotto da quelle persone con quelle procedure su quell'impianto, tiene. Una linea perfettamente qualificata può produrre un APS positivo: l'APS non annulla la qualifica, ne rivela i limiti di scope. Nessuna sostituisce l'altra.
Esempio applicativo: Sito Norma
Il «Sito Norma» è un esempio realistico ma interamente di fantasia. Acquista una linea vial in isolatore da due fornitori, con il costruttore della linea come integratore. Il FAT dura tre settimane ed è tecnicamente eccellente: prove di formato, changeover cronometrati, matrice allarmi, interlock. Si chiude con quattro voci minori e un verbale pulito.
Il problema emerge in PQ. La URS chiedeva il rigetto dei vial con tappo disallineato prima della crimpatura anche sul formato più piccolo. In FAT quel formato non era disponibile: il test fu eseguito sui due formati grandi e la voce chiusa come «verificata». Nessuno registrò che un terzo del requisito restava scoperto, e nel SAT il tema non ricomparve perché il SAT ripeteva la lista del FAT. In PQ il rigetto risultò inaffidabile e la linea restò ferma cinque settimane fra modifica meccanica e riesecuzione.
L'errore è trattare il FAT come un elenco di attività da spuntare invece che come copertura parziale di requisiti tracciati. Una matrice DQ costruita per requisito — non per test — avrebbe mostrato vuota la cella «formato piccolo / stopper height detection», e il piano avrebbe rimandato quel test alla OQ in sito.
Livelli di prescrittività
| Affermazione | Livello | Fonte |
|---|---|---|
| La sequenza URS–DQ–IQ–OQ–PQ e il change control di ciclo di vita sono attesi | [REQUISITO] | EU GMP Annex 15 (2015) |
| Nel capping come clean process servono metodi automatizzati qualificati di stopper height detection | [REQUISITO] | Annex 1, 8.28 |
| La bio-decontaminazione dell'isolatore va automatizzata, validata e controllata entro parametri definiti | [REQUISITO] | Annex 1, 4.22(i) |
| Il commissioning alimenta la qualifica ma non la sostituisce | [GEP] | Annex 15 non nomina il commissioning |
| Profondità di verifica e leveraging si giustificano sul rischio | [QRM] | ICH Q9(R1) |
| L'approccio science- and risk-based alla verifica è guida volontaria | [STANDARD] | ASTM E2500-25 |
| La matrice di tracciabilità va costruita per requisito, non per test | [GUIDEGXP] | Raccomandazione redazionale |
Checklist
- Dichiarare nella strategia CQV quali sistemi sono a impatto diretto e con quale rationale.
- Costruire la matrice di tracciabilità per requisito URS, con colonna «fase di verifica».
- Definire prima del FAT quali test saranno leveraged e a quali condizioni.
- Verificare che i test spostati in FAT non dipendano da utility o integrazioni non riproducibili.
- Elencare nel SAT solo ciò che trasporto e installazione possono avere alterato.
- Chiudere la punch list valutando l'impatto di ogni voce residua.
- Ricevere la turnover documentation come deliverable contrattuale.
- Provare in OQ gli scenari di guasto e gli interlock, non solo il funzionamento nominale.
- Separare il cycle development di bio-decontaminazione dalla sua qualification.
- Congelare la configurazione qualificata come baseline del change control.
Errori ricorrenti e red flag
Il primo segnale di allarme è un piano in cui commissioning e qualification sono sinonimi: nessuno saprà più quale documento risponde a un ispettore. Il secondo è la matrice di tracciabilità costruita dai protocolli invece che dai requisiti: copre il cento per cento dei test e non dice nulla sui requisiti. Il terzo è il FAT chiuso in condizioni non rappresentative — formati mancanti, surrogati non giustificati — senza registrare che cosa resta scoperto. Il quarto è la OQ che verifica solo il nominale e rimanda gli scenari di guasto a «prove in produzione», dove diventano deviazioni: allarmi e ricette vanno qualificati come funzioni, non come schermate. Il quinto è il ciclo di bio-decontaminazione qualificato su un carico diverso da quello di routine. Il sesto è la PQ pianificata come sola prova di velocità. Il settimo, il più costoso, è chiudere la qualifica senza congelare la configurazione.
La qualifica non è un adempimento da chiudere prima del primo lotto: è l'atto con cui il sito decide che cosa sarà in grado di dimostrare per il resto della vita dell'impianto. Chi tiene pulita la tracciabilità dalla URS al rilascio compra anni di change control governabile. Approfondimenti così sono il mestiere di The Pragmatic GMP.
Punti chiave
- FAT, SAT, commissioning e qualification hanno perimetri e valore probatorio diversi.
- L'Annex 15 non nomina il commissioning: è buona pratica ingegneristica che alimenta la qualifica, non la sostituisce.
- Un FAT eccellente riduce il rischio di progetto, non lo scope della qualifica, salvo leveraging giustificato.
- La DQ vale per i requisiti che lascia scoperti, non per quelli che conferma.
- La OQ senza scenari di guasto è una demo, non una qualifica.
- Cycle development e qualification della bio-decontaminazione sono distinti.
- Equipment qualification e APS rispondono a domande diverse e nessuna sostituisce l'altra.
- Una qualifica che non congela la configurazione non protegge nulla.
