Una URS che richiede soltanto «autoclave GMP con ciclo validabile» trasferisce al fornitore decisioni che appartengono al processo farmaceutico. Il problema emerge quando una camera conforme al capitolato non accoglie il carico reale, il sistema registra la temperatura senza documentare la penetrazione del calore oppure il tunnel raggiunge il setpoint ma manca una dimostrazione affidabile della riduzione delle endotossine. La User Requirements Specification deve collegare ogni scelta impiantistica a un uso previsto, a un rischio e a un'evidenza verificabile.
Questo articolo propone un metodo operativo per definire requisiti di sterilizzatori a vapore, forni a calore secco e tunnel di depirogenazione. Le indicazioni progettuali sono raccomandazioni GuideGxP da adattare con Engineering, Produzione, Microbiologia, Automation e Quality. Nessun valore di temperatura, durata, letalità o numerosità delle sonde viene assunto come valido per tutti i processi.
1. Definire il risultato prima dell'apparecchiatura
Il primo requisito descrive che cosa deve essere trattato e quale risultato deve essere dimostrato. Per componenti destinati a un processo asettico occorrono identificazione delle superfici critiche, modalità di confezionamento, protezione dopo il trattamento e interfaccia di trasferimento. Per un prodotto nel contenitore finale servono composizione, volume di riempimento, sensibilità termica, integrità del contenitore e conseguenze del riscaldamento e del raffreddamento. Per la depirogenazione dei flaconi devono essere definiti materiali, formati, condizioni iniziali e controllo delle endotossine.
Sterilizzazione e depirogenazione non sono sinonimi. La prima riguarda l'inattivazione dei microrganismi attraverso un processo adeguatamente sviluppato e validato; la seconda riguarda la rimozione o inattivazione dei pirogeni, con una dimostrazione specifica quando l'obiettivo è la riduzione delle endotossine batteriche. Un indicatore biologico non misura la rimozione delle endotossine. Un test delle endotossine non dimostra da solo la sterilità.
Disinfezione, sanitizzazione e biodecontaminazione hanno finalità e condizioni applicative differenti. La URS deve evitare che un fornitore risponda a una richiesta di sterilizzazione con una funzione di semplice disinfezione. Per SIP di sistemi installati e per biodecontaminazione delle barriere, definire le interfacce con le rispettive aree specialistiche senza estendere impropriamente il perimetro dello sterilizzatore.
2. Rendere il carico una specifica controllata
Il carico non è una nota allegata al volume nominale della camera. Predisporre un registro con famiglie, geometrie, massa, materiali, confezionamento, orientamento, densità di disposizione e quantità. Per parti cave o assemblaggi complessi indicare dove possono rimanere aria o condensa. Per liquidi specificare contenitore, chiusura, riempimento e condizioni che possono modificare il trasferimento termico. Per flaconi in tunnel includere dimensioni, vetro e distribuzione sul nastro.
Identificare carico minimo, massimo e configurazioni intermedie significative. Il massimo numero di pezzi non coincide automaticamente con la condizione più difficile: una configurazione ridotta può cambiare distribuzione del vapore, circolazione dell'aria o risposta dei controlli. Carichi misti richiedono una giustificazione tecnica che dimostri la compatibilità delle esigenze di trattamento; la comodità produttiva non costituisce tale giustificazione.
La URS dovrebbe chiedere disegni o fotografie delle configurazioni ammesse, identificazione dei carrelli e criteri per gestire nuovi articoli. La famiglia di carico deve basarsi su equivalenza dimostrabile, non sul solo nome commerciale. Stabilire chi può approvare un nuovo componente, quali informazioni deve fornire e quando una modifica richiede sviluppo aggiuntivo, valutazione del rischio o nuova validazione.
3. Costruire la capacità sulla sequenza reale
La capacità utile comprende caricamento, condizionamento, riscaldamento, esposizione, eventuale asciugatura, raffreddamento, scarico e disponibilità per manutenzione. Una promessa espressa soltanto in cicli giornalieri nasconde assunzioni importanti. Richiedere un bilancio basato su famiglie rappresentative e su condizioni dichiarate delle utility, distinguendo prestazione garantita e stima preliminare.
Valutare anche i vincoli esterni: disponibilità dei materiali lavati, tempi massimi di attesa, carrelli di ricambio, spazio di manovra, flussi del personale e capacità dell'operazione a valle. Per un tunnel continuo, il collo di bottiglia può derivare dalla combinazione tra formato del flacone, disposizione sul nastro, velocità qualificata e gestione degli arresti. Aumentare la velocità per recuperare produzione può compromettere l'esposizione qualificata.
Una configurazione pass-through richiede requisiti espliciti per lati di carico e scarico, interblocchi, segregazione degli stati e manutenzione. Chiedere come si impedisce l'apertura non autorizzata sul lato pulito dopo un ciclo interrotto, come viene identificato il materiale e come si gestisce il ritorno in servizio. Queste funzioni devono poter essere provate, non semplicemente descritte nel manuale.
4. Separare le tre strategie termiche
Nel moist heat la specifica deve comprendere rimozione dell'aria, contatto del mezzo riscaldante con le superfici pertinenti, drenaggio, uniformità e penetrazione nel carico. Per i liquidi, la risposta del prodotto e la protezione del contenitore possono richiedere strategie diverse da quelle dei carichi porosi. Il numero di impulsi di vuoto deve derivare dallo sviluppo del processo e dalle prove, non da una preferenza generica.
Nel dry heat, circolazione dell'aria, distribuzione termica, disposizione degli oggetti e riscaldamento dei punti lenti hanno un peso decisivo. Richiedere accessibilità dei filtri e dei ventilatori, gestione delle espansioni termiche, protezione durante il raffreddamento e compatibilità dei materiali. Un forno progettato per sterilizzare non è automaticamente idoneo a un obiettivo di depirogenazione.
Per un tunnel, definire la relazione da dimostrare fra profilo termico, velocità del nastro, flussi d'aria e comportamento dei contenitori. La temperatura dell'aria nel tratto caldo non sostituisce il profilo del contenitore. Il piano di validazione deve prevedere la valutazione del challenge endotossinico, della sua recuperabilità e dell'idoneità analitica, con responsabilità concordate tra sito, laboratorio e fornitore.
5. Specificare utility e confini di responsabilità
Documentare condizioni richieste e disponibili per vapore, acqua, aria, elettricità, vuoto, scarichi ed estrazione. Per ciascuna interfaccia indicare punto di consegna, campo operativo, picco di consumo, comportamento fuori campo e responsabilità della verifica. Chiedere che cosa accade se due sterilizzatori richiedono contemporaneamente vapore oppure se la pressione disponibile scende durante il condizionamento.
La qualifica del clean steam come utility non dimostra la prestazione del ciclo dell'autoclave. Analogamente, un ciclo riuscito non sostituisce il controllo dell'utility. La URS deve collegare i requisiti del vapore all'applicazione specifica e chiarire il punto di campionamento e la rappresentatività della verifica. Per generazione e distribuzione il riferimento di area è Critical Utilities Systems.
Inserire accessi di manutenzione, isolamento delle energie, sostituzione dei componenti e ripristino della configurazione. Una valvola non raggiungibile può trasformare un intervento ordinario in uno smontaggio che coinvolge il confine qualificato. Questo è un problema di progettazione e disponibilità, oltre che di gestione documentale.
6. Tradurre i rischi in requisiti verificabili
La matrice seguente è un esempio originale di struttura, non una lista di criteri universali. I limiti numerici devono essere definiti nei documenti approvati del progetto prima dell'esecuzione delle prove. Ogni requisito dovrebbe avere un identificativo stabile, un proprietario e una modalità di gestione delle modifiche.
| Requirement | Rationale | Criticality | Acceptance Criterion | Verification | Evidence |
|---|---|---|---|---|---|
| Gestire il carico identificato | Garantire accesso del mezzo e ripetibilità | Da QRM sul processo | Configurazione ammessa, limiti e prestazioni approvati | Revisione design e studi caricati | Disegno, protocollo e dati grezzi |
| Rilevare una misura critica non valida | Evitare accettazione impropria | Critica se influenza l'accettazione | Risposta e stato del carico conformi alla specifica funzionale | Challenge del guasto | Eventi, trend e rapporto di prova |
| Proteggere lo scarico pass-through | Prevenire trasferimento non autorizzato | Definita dalla barriera | Permissivi e interblocchi approvati rispettati | Test di sequenza e interruzione | Registrazione degli stati delle porte |
| Rintracciare la versione della ricetta | Ricostruire il ciclo eseguito | GMP rilevante | Rapporto associato alla versione effettivamente utilizzata | Modifica controllata e riesame record | Audit trail e rapporto ciclo |
| Dimostrare la depirogenazione | Controllare il rischio endotossinico | Critica per l'uso previsto | Criteri applicabili di processo e recupero soddisfatti | Studio termico e challenge giustificato | Tracciabilità campioni e risultati analitici |
Evitare requisiti composti che uniscono cinque prestazioni in una sola frase. Se una prova soddisfa solo quattro elementi, l'esito diventa ambiguo. Separare invece funzione, prestazione, registrazione e responsabilità; mantenere i collegamenti nella matrice di tracciabilità.
7. Richiedere evidenze utilizzabili dall'automazione
La specifica deve identificare parametri critici, tolleranze, campionamento necessario, origine dei dati e logica di accettazione. Distinguere il sensore che controlla il ciclo dalla misura utilizzata per rilevare una condizione non conforme. Richiedere una valutazione delle dipendenze comuni: due valori presentati sullo schermo possono provenire dalla stessa catena di misura e non offrire indipendenza reale.
Definire versionamento delle ricette, autorizzazioni, motivazione delle modifiche, allarmi, interruzioni, riavvii e comportamento dopo perdita di alimentazione o comunicazione. Il report deve consentire di ricostruire identità del ciclo, carico, ricetta, fasi, misure, anomalie e decisione finale. Una firma su un PDF non risolve l'assenza dei dati originali necessari al riesame.
Per sistemi elettronici, specificare conservazione, recuperabilità, backup e prove di ripristino. Coordinare questi requisiti con Automation & Digital Systems. Il fornitore deve dichiarare cosa è incluso nel sistema e cosa dipende da infrastruttura, procedure o configurazioni del sito.
8. Pianificare qualifica e validazione senza confonderle
[GUIDANCE GMP UE] Annex 15 collega la qualifica all'uso previsto e richiede che la documentazione supporti le decisioni del ciclo di vita. Nel progetto, DQ, FAT, SAT, commissioning e IQ/OQ/PQ devono avere finalità definite e una strategia di utilizzo delle evidenze. Un FAT ben documentato può supportare attività successive quando la sua utilizzabilità è giustificata; non prova le condizioni del sito che non erano presenti presso il costruttore.
[GUIDANCE GMP UE] Annex 1 distingue caratterizzazione fisica, configurazioni di carico e, dove appropriato, supporto degli indicatori biologici. La URS deve rendere possibile la raccolta di tali evidenze, ma il collaudo della macchina non sostituisce la validazione del processo specifico. Concordare passaggi sonde, accessori, sincronizzazione degli strumenti, disponibilità delle registrazioni e gestione delle deviazioni.
[TECHNICAL STANDARD] ISO 17665:2024 riguarda principalmente la sterilizzazione a calore umido dei dispositivi medici. Il suo richiamo in un progetto farmaceutico richiede una valutazione di applicabilità; non sostituisce GMP, dossier autorizzato e requisiti del prodotto. Evitare formule contrattuali che elenchino standard senza indicare edizione, campo pertinente e modalità di verifica.
9. Esempio: un carico futuro cambia la decisione
Un sito acquista un'autoclave per parti metalliche confezionate e prevede di aggiungere successivamente contenitori di soluzione. Se la URS riporta soltanto volume camera e temperatura massima, l'offerta può sembrare sufficiente. Il nuovo carico introduce invece inerzia termica, esigenze di raffreddamento e possibili vincoli di pressione del contenitore. Il cambiamento non può essere risolto aggiungendo semplicemente una ricetta.
La decisione corretta è distinguere la configurazione iniziale dall'espansione futura. Per ciascuna, definire carichi, prestazioni, accessori e prove. Chiedere al fornitore quali opzioni rendono praticabile l'espansione, quali modifiche hardware restano necessarie e quali attività di qualifica o validazione dovranno essere ripetute. Il costo di predisposizione diventa così confrontabile con un successivo retrofit.
10. Preparare la gestione dopo la consegna
Il pacchetto documentale richiesto deve essere utilizzabile dal sito: schemi aggiornati, elenco strumenti, componenti critici, versioni software, ricette approvate, istruzioni di manutenzione e criteri per valutare le modifiche. Richiedere formati leggibili e accessibili per l'intero periodo necessario. Un archivio proprietario che richiede una licenza non prevista può limitare il riesame quando il sistema originale non è più disponibile.
Definire inoltre come il fornitore comunica obsolescenza, sostituzioni equivalenti e modifiche del software. La disponibilità del ricambio non dimostra automaticamente l'equivalenza funzionale: una sonda con diversa risposta dinamica, una guarnizione modificata o un aggiornamento della logica possono richiedere valutazioni differenti. La URS deve chiedere le informazioni necessarie a prendere quella decisione senza presumere che ogni intervento richieda una ripetizione completa della qualifica.
Concordare formazione e trasferimento delle conoscenze usando scenari reali: allarme durante esposizione, perdita di registrazione, carico errato e richiesta di modifica di una ricetta. L'obiettivo è rendere il personale capace di riconoscere i limiti autorizzati, preservare le evidenze e avviare il percorso corretto di valutazione.
11. Checklist per approvare la URS
- Uso previsto e obiettivo microbiologico o endotossinico sono distinti e approvati.
- Le famiglie di carico hanno configurazioni, confini e proprietari identificati.
- La capacità considera l'intera sequenza e le condizioni delle utility.
- Le interfacce di barriera, raffreddamento e trasferimento sono esplicite.
- Ogni requisito critico ha un criterio misurabile e un'evidenza prevista.
- Ricette, allarmi, dati e stati dopo interruzione sono verificabili.
- FAT, prove al sito e validazione hanno responsabilità concordate.
- Le esclusioni del fornitore e le predisposizioni future sono valutate.
Il segnale d'allarme principale è una URS che descrive molti componenti ma poche decisioni di accettazione. Prima dell'approvazione, simulare il riesame di un ciclo fallito e di una nuova configurazione di carico: se non è chiaro quali dati raccogliere, chi decide e quali condizioni consentono il ritorno in servizio, completare quei requisiti. Una buona URS rende dimostrabile il processo e sostenibile la sua gestione nel tempo.
Riferimenti e percorsi collegati
Fonti verificate il 23 settembre 2026: Commissione europea, EudraLex Volume 4, Annex 1 e Annex 15; ISO 17665:2024, ambito ed edizione. I richiami GMP vanno valutati rispetto a giurisdizione, prodotto e autorizzazione; le checklist progettuali costituiscono [GUIDEGXP RECOMMENDATION] e [GEP].
Prosegui nell'area Sterilization & Depyrogenation Systems, oppure approfondisci le interfacce Cleaning, CIP & SIP e Aseptic Fill-Finish & Barrier Systems.
