지캣 GMP컨설팅 밸리데이션 제약 엔지니어링

GMP 전산화시스템 Q&A: 변경관리·CSV·전자기록 승인

1. 작은 설정 변경이 큰 품질 이슈가 되는 이유

HPLC CDS, LIMS, MES, 환경모니터링, 창고관리, 설비 PLC처럼 GMP 업무에 쓰는 전산화시스템은 서로 다른 모습으로 현장에 있습니다. 하지만 공통점은 하나입니다. 시스템이 만든 기록이 배치 처분, 시험성적서, 경향분석 또는 설비 운전 판단의 근거가 된다는 점입니다. 따라서 설정값 하나를 바꾸는 일도 그 값이 어떤 데이터와 의사결정을 움직이는지에 따라 위험도가 달라집니다.

현장에서 흔히 보는 문제는 변경요청에 ‘화면 개선’ 또는 ‘사용 편의성 개선’이라고만 적는 경우입니다. 이 표현만으로는 계산식, 권한, 데이터 흐름, 인터페이스, 보고서 출력, 전자서명 중 무엇이 바뀌는지 알 수 없습니다. 변경의 이름이 아니라 GxP 의사결정에 미치는 영향을 기준으로 범위를 다시 세워야 합니다.

2. Q1. 어떤 변경부터 CSV 영향평가를 해야 하나요?

GxP 기록을 생성·변환·검토·승인·보관하는 기능에 닿는 변경이라면 영향평가가 필요합니다. 새 장비를 붙이는 인터페이스, 소프트웨어 버전 업그레이드, 계산식 변경, master data 수정, 사용자 역할 변경, 전자서명 설정, 백업·복구 방식 변경이 대표적입니다. 반대로 모니터 해상도나 비GxP 교육자료처럼 품질기록과 분리된 항목은 근거를 남긴 뒤 간소화할 수 있습니다.

3. Q2. 영향평가서는 어떻게 써야 실무에 도움이 되나요?

좋은 영향평가서는 ‘영향 있음/없음’에 동그라미만 치지 않습니다. 먼저 변경 전 기능과 변경 후 기능을 나란히 적고, 영향을 받는 사용자 요구사항과 데이터 흐름을 연결합니다. 그 다음 제품 품질, 환자 안전, 데이터 무결성, 규제기록, 업무 연속성의 위험을 구분합니다. 위험이 있다고 해서 모든 기능을 처음부터 다시 시험하는 것은 아닙니다. 영향받은 기능·연결 기능·기존 통제의 신뢰성을 근거로 시험 깊이를 정하는 것이 핵심입니다.

예를 들어 LIMS의 결과 승인 화면에 승인 사유 목록을 추가했다고 가정해 보겠습니다. 화면 문구만 바뀐 것처럼 보여도 승인 상태값, 전자서명 의미, Audit Trail, COA 출력, ERP 전송의 연결이 바뀌지 않았는지 살펴야 합니다. 영향평가에는 ‘바뀌지 않는 기능’도 근거와 함께 남겨야 회귀시험 제외 사유가 설명됩니다.

4. Q3. 회귀시험은 어디까지 해야 하나요?

회귀시험은 ‘지난번 OQ를 모두 반복한다’는 뜻이 아닙니다. 변경 기능의 직접 시험, 그 기능이 영향을 줄 수 있는 인접 기능의 확인, 핵심 데이터 흐름의 end-to-end 시나리오를 묶어 설계하는 것이 효율적입니다. 계산식 변경이면 입력값 경계조건·반올림·단위변환·보고서 출력까지, 권한 변경이면 생성·수정·검토·승인·삭제 시도까지 포함해야 합니다.

시험 사례는 사용자가 실제로 하는 일과 닮아야 합니다. 테스트 계정으로 단순히 버튼이 눌리는 것만 확인하지 말고, 실제 역할 분리와 승인 순서, 예상치 못한 중단 후 복구, 예외 발생 뒤 기록의 완결성까지 보세요. 반복되는 manual calculation이나 임시 파일 반출이 업무 흐름에 있다면 이 역시 통제 범위 안에 넣어야 합니다.

5. Q4. Audit Trail은 누가, 언제 검토해야 하나요?

Audit Trail 검토는 시스템 관리자가 로그를 보관하는 활동과 다릅니다. GMP 기록 검토 책임자가 해당 기록의 변경 이력과 의미를 함께 판단하는 활동입니다. 시험 결과를 검토하는 사람이 결과값만 보지 않고 재처리, 재적분, method 변경, 상태변경, 삭제 시도 같은 관련 이력을 검토할 수 있어야 합니다.

실무에서는 시스템·기록 유형별로 검토 대상을 정합니다. 모든 기술 로그를 배치마다 출력하는 것이 목적은 아닙니다. 어떤 변경이 데이터의 의미, 제품 처분, 시험 적합성에 영향을 줄 수 있는지 식별하고 그 이벤트를 검토 가능한 화면·보고서·절차로 묶어야 합니다. 검토자가 의심 이벤트를 발견했을 때 조사번호, 영향평가, 최종 결론까지 연결하는 흐름도 필요합니다.

6. Q5. 전자기록 승인은 종이 서명과 무엇이 다른가요?

전자기록 승인에서 중요한 것은 서명 이미지가 아니라 승인자가 무엇을 검토했고 어떤 의미로 승인했는지가 기록되는 것입니다. 승인 전에는 기록의 완결성, 첨부파일·원자료 연결, 예외와 재시험, Audit Trail 검토, 역할 분리가 확인돼야 합니다. 승인 뒤 변경이 필요하면 원래 승인기록을 덮어쓰지 않고, 정정 사유·변경 시각·변경자·재승인 흐름이 남아야 합니다.

특히 공유 계정은 전자기록 승인 체계를 약하게 만듭니다. 누가 어떤 행위를 했는지 분리할 수 없기 때문입니다. 계정 발급·변경·비활성화 절차, 비밀번호 정책, 관리자 권한의 독립 검토, 퇴직·이동 시 접근권한 회수는 CSV 문서와 별개가 아니라 데이터 무결성 통제의 일부입니다.

6-1. Q6. 긴급 변경은 시험을 줄여도 되나요?

장애가 생산 또는 시험을 멈추게 하면 긴급 변경이 필요할 수 있습니다. 그렇다고 영향을 받는 통제를 건너뛰어도 된다는 뜻은 아닙니다. 긴급성은 승인 순서와 문서화 시점을 조정할 수 있지만, 변경 전 위험·임시조치·권한 있는 승인자·필수 확인시험은 더욱 분명해야 합니다. 우선 제품과 기록에 미치는 즉시 위험을 통제하고, 복구 후에는 정식 영향평가와 후속 회귀시험을 정해진 기한 안에 마무리합니다.

예를 들어 서버 장애 때문에 CDS를 다른 서버로 전환했다면, 단순히 로그인되는지 확인하는 것으로 충분하지 않습니다. 장비 연결, 시각 동기화, 데이터 저장 경로, 권한, Audit Trail, 백업 상태, 진행 중이던 분석의 처리 기준을 차례로 확인해야 합니다. 긴급 복구 당시의 화면 캡처만 남기기보다 누가 어떤 판단으로 어느 시험을 수행했고, 남은 위험은 무엇이며, 언제 정식 검증으로 닫을지를 변경기록에 남기는 것이 중요합니다.

6-2. Q7. SaaS나 공급업체 클라우드 시스템도 같은 방식인가요?

클라우드라는 배포 방식 자체가 GxP 책임을 공급업체에 넘기지는 않습니다. 공급업체가 인프라와 표준 기능을 관리하더라도, 사용자는 자사 데이터의 접근권한, 설정, 업무절차, 기록 검토, 변경 통지와 릴리스 영향평가를 관리해야 합니다. 서비스 제공자의 검증 문서나 보증서만으로 끝내지 말고, 어떤 통제가 제공자 책임이고 어떤 통제가 사용자 책임인지 품질협약 또는 공급업체 평가 기록에 분명히 나눠 두세요.

특히 정기 릴리스가 있는 서비스는 변경관리가 사건 발생 뒤에 시작되면 늦습니다. 릴리스 공지 수신자, 영향평가 책임자, 시험 환경 접근, 배포 전 확인 항목, 배포 후 모니터링 기간을 미리 정해야 합니다. 사용자 설정이나 custom report가 있는 경우에는 표준 release note에 없는 영향도 별도로 검토해야 합니다. 이 원칙은 온프레미스 시스템의 패치 관리에도 똑같이 적용됩니다.

6-3. Q8. CSV 결과와 운영 중 일탈은 어떻게 연결하나요?

운영 중 발견된 전자기록 누락, 잘못된 권한, 계산 오류, 인터페이스 지연은 단순 IT 티켓으로 끝내기 어렵습니다. 먼저 해당 사건이 GxP 기록과 제품 판단에 미친 범위를 정하고, 데이터 복구·대체·재검토가 필요한지 품질부서와 판단합니다. 그 다음 원인이 요구사항 누락인지, 시험 범위 부족인지, 설정 또는 사용자 절차의 문제인지 구분해 CAPA와 변경관리로 연결합니다.

이때 과거 검증 문서는 조사에 도움이 되는 기준선입니다. 당시 어떤 사용 시나리오와 허용기준으로 시험했는지, 관련 위험이 어떻게 평가됐는지, 같은 기능의 편차가 반복됐는지를 보면 단발 사건인지 시스템적 결함인지 구분하기 쉬워집니다. 일탈을 통해 새 위험이 드러났다면 기존 위험평가와 회귀시험 범위를 갱신해야 합니다. CSV 문서가 서랍 속의 완료 보고서가 아니라 운영 지식으로 쓰여야 하는 이유입니다.

7-1. 변경관리 패키지에 넣을 문서 흐름

7. 변경 종료 전 QA·시스템·사용부서가 함께 확인할 체크리스트

검토회의에서는 각 부서가 서로 다른 질문을 맡는 편이 좋습니다. 사용부서는 실제 업무가 중단 없이 수행되는지, 시스템 부서는 구성·접근·백업이 의도한 상태인지, QA는 기록·승인·편차·잔여위험이 품질시스템 안에서 설명되는지를 확인합니다. 한 부서의 완료 서명만으로 세 관점을 대신하면, 실제 가동 후 발견되는 공백이 커질 수 있습니다.

• □ 변경 전후의 기능·데이터 흐름·인터페이스 차이를 영향평가에 명확히 적었는가?
• □ 사용자 요구사항, 위험평가, 시험 사례, 결과, 편차가 서로 추적되는가?
• □ 권한·전자서명·Audit Trail·백업/복구 중 영향받은 통제를 확인했는가?
• □ 직접 시험뿐 아니라 대표적인 end-to-end 업무 흐름을 확인했는가?
• □ 미해결 편차의 품질영향과 임시 통제가 승인됐는가?
• □ 교육, 절차 개정, 운영 인수, 롤백 계획을 완료했는가?
• □ 변경 후 추가 모니터링 또는 효과성 검토의 기한과 책임자가 정해졌는가?

변경 종료는 테스트 스크린샷이 모였다는 뜻이 아니라, 의도한 사용 상태에서 신뢰할 수 있는 전자기록이 계속 만들어질 준비가 됐다는 의미여야 합니다. 변경이 반복되는 시스템일수록 요구사항·위험·시험·운영기록을 연결하는 구조가 중요합니다. 이 연결이 있으면 다음 변경에서도 이전 검증 지식을 활용하면서 필요한 시험에 집중할 수 있습니다.

또한 변경 후 첫 정기검토에서는 계획한 모니터링 결과와 실제 운영상의 질문을 함께 확인하세요. 예상하지 못했던 우회 절차, 반복되는 사용자 문의, 권한 요청, 인터페이스 예외가 보이면 단순 지원 이력으로 남기지 말고 영향평가의 가정이 여전히 유효한지 판단해야 합니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 중요 생산설비 적격성평가와 CSV 수행 분야가 공개되어 있습니다. 전산화시스템 변경의 영향평가와 검증 범위 설정이 필요하시면 GMPCAT 주요 실적 보기에서 공개된 수행 분야를 확인하실 수 있습니다.

참고 문헌

• FDA, Data Integrity and Compliance With Drug CGMP: Questions and Answers
• 21 CFR Part 11, Electronic Records; Electronic Signatures
• GMPCAT 주요 실적

ISO 10993 생물학적 평가: 의료기기 변경 시 위험관리 연계

1. 설계변경 문서와 생물학적 평가 문서는 따로 놀면 안 됩니다

의료기기 변경관리에서 생물학적 평가는 시험 의뢰서 한 장으로 축소되기 쉽습니다. 그러나 환자와 접촉하는 기기의 안전성은 명칭이 같은 폴리머인지 여부만으로 설명되지 않습니다. 원료 등급, 첨가제, 착색제, 세척제, 접착제, 멸균 방법, 가공 온도, 보관 조건, 공급처의 제조공정이 달라지면 추출물과 용출물의 양상도 달라질 수 있습니다. 실제 적격성평가를 검토할 때도 변경의 기술적 범위와 안전성 평가 범위가 서로 다르면, 나중에 왜 특정 시험을 하지 않았는지 설명하기 어려워집니다.

저희 GMPCAT(지캣)은 변경요청서의 첫 질문을 “시험이 필요한가?”가 아니라 “이번 변경으로 환자 접촉 제품의 어떤 위해 시나리오가 달라지는가?”로 두는 방식을 권합니다. 이 질문이 있어야 시험 수행, 기존 자료의 브리징, 화학적 특성화, 공급자 자료 검토 중 어느 조합이 필요한지 합리적으로 결정할 수 있습니다. 불필요한 동물시험을 줄이는 방향과 환자 안전 근거를 강화하는 방향은 서로 반대가 아닙니다. 충분한 과학적 근거를 계획 단계에서 모으는 것이 핵심입니다.

FDA는 ISO 10993-1을 활용한 생물학적 평가에 관한 가이던스를 제공하며, 평가의 출발점으로 기기의 특성화와 위험기반 접근을 제시합니다. 국내외 허가 전략은 제품 유형과 제출 경로에 따라 달라질 수 있으므로, 본문에서는 확인 가능한 일반 원칙과 변경관리 문서화 흐름에 집중합니다.

2. 먼저 고정할 다섯 가지: 접촉·재질·공정·공급처·사용

변경 영향평가에서 놓치기 쉬운 것은 부품 자체보다 그 부품이 놓이는 사용 맥락입니다. 같은 실리콘 튜브라도 피부 접촉인지, 혈액 경로인지, 단시간 사용인지 장기 이식인지에 따라 평가의 출발점이 달라집니다. 변경 전후를 한 표에서 비교하면 팀이 같은 전제를 보고 논의할 수 있습니다.

예를 들어 공급처 변경이 “동일 규격품”이라는 선언만으로 끝나면 안 됩니다. 그 규격이 어떤 조성 범위를 허용하는지, 잔류 촉매나 가공조제가 달라질 수 있는지, 제조소 변경으로 세척·보관·포장 조건이 바뀌었는지 확인해야 합니다. 반대로 비교 가능한 조성·공정·접촉 조건과 기존 평가자료가 충분하다면, 무조건 전체 시험을 반복하기보다 과학적 브리징 근거를 명확히 남기는 편이 바람직합니다.

3. 변경 유형별로 평가 질문을 다르게 세웁니다

각 변경은 한 가지 항목으로 끝나지 않을 수 있습니다. 예를 들어 새 공급처의 수지를 사용하면서 성형 온도도 조정했다면 ‘공급처 변경’과 ‘공정 변경’을 분리해서 적되, 최종 기기에서 동시에 나타나는 영향을 평가해야 합니다. 변경을 작게 쪼개 기록하면 원인 추적은 쉬워지지만, 위해 시나리오까지 쪼개면 실제 노출을 놓칠 수 있습니다. 변경요청서에는 개별 변경과 결합된 최종 제품 상태를 모두 보이게 하세요.

4. 화학적 특성화는 시험을 대체하는 말이 아니라 근거를 정교하게 만드는 단계입니다

생물학적 평가는 세포독성·감작성·자극성 같은 시험명을 나열하는 방식보다, 위해를 일으킬 수 있는 물질이 무엇인지 이해하는 데서 출발해야 합니다. 화학적 특성화 자료는 재질의 알려진 구성, 제조 중 도입 가능 물질, 추출 조건에서 관찰된 물질, 환자 노출 가능성을 연결합니다. 이를 바탕으로 독성학적 평가가 가능한지, 추가 분석이 필요한지, 어떤 생물학적 종점의 근거가 부족한지 판단합니다.

다만 분석에서 검출된 모든 피크가 즉시 환자 위험을 뜻하지는 않습니다. 식별 수준, 노출량, 접촉기간, 독성학적 임계값, 불확실성을 함께 판단해야 합니다. 반대로 검출한계 아래라는 이유만으로 위험이 없다고 단정해서도 안 됩니다. 분석법의 범위와 검출한계, 시료 전처리, 추출조건, 배치 대표성을 평가계획에 명시해야 결과 해석이 흔들리지 않습니다.

5. 기존 시험성적서를 재사용할 때의 체크리스트

기존 생물학적 시험성적서를 활용하는 것은 합리적일 수 있습니다. 그러나 성적서의 기기와 변경 후 기기가 실제로 비교 가능한지 설명해야 합니다. 시험기관 이름이나 시험 통과 여부만 가져오는 방식은 충분하지 않습니다. 다음 항목을 한 장의 브리징 표로 정리하면 검토와 승인 과정이 훨씬 명확해집니다.

• □ 변경 전 시험 시료와 변경 후 제품의 재질·접촉부위가 같은가?
• □ 환자 접촉 유형과 최대 접촉기간이 같거나 더 보수적인가?
• □ 원료의 조성·첨가제·색소·코팅·접착제가 비교 가능한가?
• □ 멸균, 세척, 에이징, 포장 조건이 추출물과 표면상태에 미치는 영향은 같은가?
• □ 기존 시험의 방법·시료 준비·추출 조건이 변경 후 제품에 적용 가능한가?
• □ 차이가 남는 항목은 추가 분석·독성학 평가·시험 중 무엇으로 닫을 것인가?

브리징 결론은 ‘동등’ 또는 ‘비동등’의 두 단어보다 구체적이어야 합니다. 예를 들어 기본 수지는 같지만 멸균 조건이 달라졌다면, 차이가 생물학적 종점보다 화학적 특성화와 재질 노화 평가에서 먼저 확인될 수 있습니다. 반대로 접촉기간 자체가 길어졌다면 같은 재질이라도 노출 시나리오가 달라졌으므로 위험관리파일의 위해 추정부터 다시 봐야 합니다.

6. 위험관리파일에 반드시 되돌려야 할 네 가지

ISO 14971 기반 위험관리와 ISO 10993 생물학적 평가는 별개의 제출 문서가 아닙니다. 생물학적 평가에서 확인한 위해원과 불확실성은 위험관리파일의 위험분석·통제·잔여위험·생산 및 시판 후 정보 검토에 반영되어야 합니다. 특히 변경이 있는 경우, 기존 위해 목록에 새 물질 또는 노출 시나리오가 추가되는지 확인해야 합니다.

위험수용 결론에는 언제 다시 평가할지도 포함해야 합니다. 신규 불순물 신호, 공급자 공정 변경통지, 멸균 조건 변경, 불만·시판 후 정보, 안정성 결과는 기존 결론을 다시 볼 수 있는 trigger입니다. 이 trigger를 변경관리와 위험관리파일에 함께 적어 두면, 담당자가 바뀌어도 평가가 단절되지 않습니다.

7. 변경관리 회의에서 바로 쓰는 판단 순서

1. 변경을 사실로 기술합니다. “동일 재질” 같은 결론 대신 부품번호, 원료 등급, 공급처, 공정조건, 멸균·포장 조건의 전후 차이를 적습니다.
2. 환자 노출을 다시 그립니다. 접촉부위, 기간, 횟수, 체액·조직 경로를 최신 IFU와 설계 입력에 맞춰 확인합니다.
3. 기존 근거의 적용범위를 표로 비교합니다. 기존 시험·문헌·분석자료가 어느 조건까지 덮는지와 빈칸을 표시합니다.
4. 추가 활동의 목적을 정합니다. 분석, 독성학 검토, 생물학적 시험, 공정 확인 중 어떤 활동이 어떤 불확실성을 줄이는지 계획합니다.
5. 승인과 출시 조건을 연결합니다. 평가 결론, 잔여위험, 필요 시 검증 결과, 변경승인, 기술문서 갱신이 모두 닫힌 뒤 출시 판단을 내립니다.

이 흐름은 의료기기뿐 아니라 환자 접촉 자재가 있는 제약·바이오 설비의 변경 영향평가에도 참고가 됩니다. 다만 제품별 규제 요구와 허가변경 필요성은 다를 수 있으므로, 일반 원칙을 그대로 적용하기보다 해당 제품의 설계·품질·규제 체계 안에서 판단해야 합니다.

8. 자주 생기는 판단 오류와 바로잡는 방법

가장 흔한 오류는 공급자가 제출한 재질 선언서를 생물학적 평가의 결론으로 보는 것입니다. 재질 선언서는 중요한 입력자료이지만, 최종 제품의 표면·공정·멸균·포장 상태를 모두 설명하지는 않습니다. 선언서에 없는 가공조제나 세척 잔류물이 없는지, 선언서의 조성 범위가 변경 전 사용 원료와 실제로 같은지, 최종 기기에서 환자 접촉하는 부분과 일치하는지 따로 검토해야 합니다.

두 번째 오류는 과거에 시험을 통과했다는 이유만으로 변경 후 기기에 그대로 적용하는 것입니다. 과거 성적서는 유용한 지식이지만, 시료의 제조 lot, 멸균 상태, 추출 조건, 접촉 범주와 기간을 비교하지 않으면 적용범위를 설명할 수 없습니다. 브리징 표의 목적은 시험을 피하기 위한 형식이 아니라, 기존 지식이 어느 범위까지 유효한지를 정직하게 구분하는 데 있습니다.

세 번째 오류는 분석·독성학·생물학 시험을 한 부서에만 맡기고 변경관리 승인과 분리하는 것입니다. 개발, 제조, 품질, 규제 담당자는 서로 다른 정보를 갖고 있습니다. 개발은 재질과 설계 의도를, 제조는 실제 공정 변동과 세척·멸균 조건을, 품질은 변경이력과 공급자 통제를, 규제 담당자는 제출 영향과 기술문서 구조를 설명할 수 있습니다. 회의록에는 누가 어떤 근거를 제공했는지와 미결 자료의 책임자를 남기세요.

9. 출시 전 문서 패키지 점검표

출시 승인을 앞둔 시점에는 보고서가 각각 존재하는지만 보지 말고, 서로 참조되는지 확인해야 합니다. 변경번호와 부품번호가 평가계획·분석보고서·위험관리파일·설계변경 검증기록에 일치하는지, 결론이 필요한 승인 단계보다 늦지 않았는지, 조건부 결론의 후속 조치가 열려 있지 않은지 검토하세요. 이 마지막 점검이 누락되면 자료는 충분해도 제품 구성과 평가 시료가 다르다는 문제가 발생할 수 있습니다.

• □ 변경 전후의 제품 구성과 환자 접촉 범주를 승인된 설계자료로 확인했는가?
• □ 평가계획은 변경의 범위와 위해 질문을 명확히 설명하는가?
• □ 분석·독성학·시험 결과의 시료 식별과 멸균 상태가 추적되는가?
• □ 위험관리파일의 위해원, 통제, 잔여위험 결론을 갱신했는가?
• □ 공급자 변경통지와 향후 재평가 trigger를 품질시스템에 연결했는가?
• □ 기술문서와 출시 승인자가 같은 결론·버전의 자료를 검토했는가?

핵심 정리

생물학적 평가는 ‘어떤 시험을 하나 더 할까’를 정하는 절차가 아니라, 변경 후 환자 노출과 위해를 과학적으로 설명하는 과정입니다. 재질·공정·공급처·멸균·사용 조건의 차이를 먼저 드러내고, 화학적 특성화와 독성학 근거, 필요한 시험을 연결하세요. 그 결론을 위험관리파일과 변경관리 기록으로 되돌릴 때 생물학적 평가는 단발성 보고서가 아니라 설계와 품질시스템을 지키는 근거가 됩니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 중요 생산설비 적격성평가와 CSV 수행 분야가 공개되어 있습니다. 의료기기 변경의 밸리데이션 범위와 문서 체계가 필요하시면 GMPCAT 주요 실적 보기에서 공개된 수행 분야를 확인하실 수 있습니다.

참고 문헌

• FDA, Use of International Standard ISO 10993-1
• ISO 10993-1:2018, Biological evaluation of medical devices
• GMPCAT 주요 실적

지속적 공정검증(CPV): 경향분석과 경보한계 설정 실무

1. CPV는 PQ 보고서를 닫은 뒤 시작됩니다

PQ가 대표 배치에서 공정이 의도한 성능을 낸다는 근거라면, CPV는 실제 일상 생산에서 그 상태가 유지되는지 확인하는 체계입니다. 원료 공급처, 작업조, 설비 사용시간, 계절, 생산량은 PQ 기간과 달라질 수 있습니다. 초기 PQ에서 보지 못한 변동이 축적되는 장소가 바로 일상 생산입니다. 저희 GMPCAT(지캣)이 CPV 계획을 검토할 때는 ‘결과가 규격 안인가’보다 ‘공정이 규격 경계 쪽으로 이동하고 있는가’를 먼저 묻습니다.

출하시험이 통과했다는 사실만으로 공정의 장기 안정성을 대신할 수는 없습니다. 최종시험은 이미 만들어진 제품의 일부 특성을 확인하지만, CPV는 그 결과를 만들기까지의 온도, 시간, 혼합, 충전, 압력, 환경, 수율 같은 공정지식이 계속 유효한지 보는 도구입니다. 따라서 CPV는 생산·QC·QA·엔지니어링이 각자 가진 기록을 한 번에 해석할 수 있게 만드는 연결고리여야 합니다.

2. 모든 데이터를 같은 비중으로 모으지 않습니다

CPV 데이터가 너무 많으면 보고서는 두꺼워지지만 판단은 늦어집니다. 시작점은 공정흐름도와 위험평가입니다. CQA에 직접 영향을 주는 CPP, 공정 성능을 민감하게 보여 주는 IPC, 설비 상태를 알려 주는 보조지표를 구분하세요. 예를 들어 무균 충전에서는 충전량과 환경 조건, 필터 차압, 개입 기록이 서로 다른 역할을 합니다. 모두를 같은 그래프에 합치지 말고 각 지표가 알려 주는 질문을 명확히 정해야 합니다.

지표 선정 표에는 데이터 원천, 단위, 담당 부서, 검토 주기, 그래프 유형, 조사 trigger를 함께 적습니다. 이 정보를 정하지 않으면 같은 충전량 데이터도 생산은 평균으로, QA는 규격 대비로, 엔지니어링은 설비별로 따로 읽게 됩니다. 하나의 진실한 데이터셋을 만들고 서로 다른 판단 화면으로 펼치는 편이 훨씬 견고합니다.

3. 데이터 수집 전에 맥락 필드를 고정합니다

CPV에서 자주 놓치는 것은 값이 아니라 맥락입니다. 혼합 시간이 늘었다는 결과만 있으면 원인을 찾기 어렵지만, 원료 lot, 설비번호, 작업조, 제품 농도, 투입순서, 세척·보전·변경 이력이 함께 있으면 가설을 빠르게 좁힐 수 있습니다. 데이터베이스 또는 검토 스프레드시트에 배치번호와 날짜만 넣는 방식은 이후 조사 비용을 크게 만듭니다.

• 배치·제품·강도·규격·공정 버전
• 설비 식별번호, 센서 교정 상태, 예방보전 또는 수리 이력
• 원료·포장자재 lot, 공급처 변경, 투입순서
• 작업조, 주요 개입, 일탈·재작업·재시험 연결번호
• 설정값과 실제값, 결측·수동 입력·데이터 수정의 사유

특히 변경 전후를 비교할 때는 변경 시행일 하나만 표시하지 마세요. 교육 완료일, 새 부품 설치일, 신규 원료 첫 사용일, 분석법 전환일, 공정 조건 변경일을 구분해야 신호의 시작점이 보입니다. 결과가 좋아졌다는 인상만으로 변경 효과를 판단하지 않고, 비교 가능한 배치군인지부터 확인하는 습관이 필요합니다.

4. 규격·경보한계·조치한계는 역할이 다릅니다

규격은 제품의 수용 여부를 위한 기준이고, 경보한계(Alert level)는 공정이 평소 분포에서 벗어나기 시작했음을 알리는 조기 신호이며, 조치한계(Action level)는 정식 조사·영향평가를 열어야 하는 수준입니다. 세 선을 혼동하면 두 가지 문제가 생깁니다. 규격만 보면 미세한 이동을 놓치고, 반대로 통계선 하나를 규격처럼 쓰면 정상 변동까지 불필요하게 일탈로 처리할 수 있습니다.

한계는 외부 템플릿의 숫자를 복사해 정하지 않습니다. 대표성 있는 과거 데이터의 개수, 데이터의 안정성, 공정의 분포, 임상·상업 단계, 제품 위험도를 함께 고려해야 합니다. 신규 공정은 충분한 배치가 쌓일 때까지 잠정 기준을 사용할 수 있지만, 잠정 기준이라는 사실과 재평가 시점을 계획서에 남겨야 합니다. 데이터가 적은데 평균과 표준편차만 계산해 고정 한계를 선언하는 것은 통계적으로도, GMP적으로도 설득력이 약합니다.

5. 그래프는 ‘평균’ 하나로 끝내지 않습니다

평균은 장기 변화를 보기 좋지만, 특정 설비나 작업조에서만 발생하는 이상을 가릴 수 있습니다. CPV 화면에는 적어도 시간순 개별값, lot별 분포, 이동평균 또는 중앙값, 규격·경보·조치선, 사건 표식을 함께 두는 것이 좋습니다. 값이 모두 기준 안이라도 같은 방향으로 연속 이동하거나, 변동폭이 넓어지거나, 특정 원료 lot에서만 치우치면 조사 가치가 있습니다.

통계적 관리도는 유용하지만 자동 판정기가 아닙니다. 관리도 밖의 한 점이 있을 때는 먼저 데이터 완전성, 단위, 입력 오류, 센서 교정상태, 샘플링 조건을 확인합니다. 그 뒤 공정변경·원료·설비·작업자·환경 이력을 대조하고, 제품 영향과 확장 범위를 판단합니다. 반대로 관리도 안에 있는 연속된 상승이라도 공정지식상 중요한 CPP라면 무시하지 않습니다.

6. Alert를 ‘참고’로 끝내지 않는 조사 흐름

Alert가 발생했다고 매번 일탈을 열 필요는 없지만, 검토 흔적은 남아야 합니다. 최초 검토에서는 데이터 적합성, 해당 배치의 실제 운전조건, 최근 변경·보전, 유사 제품·설비의 동시 신호를 확인합니다. 단발성으로 설명되는지, 반복성과 방향성이 있는지, CQA 또는 환자 위험으로 이어질 경로가 있는지를 판단합니다.

1. 신호 확인: 원자료·단위·계산·전자기록 검토로 데이터 오류 가능성을 분리합니다.
2. 범위 설정: 앞뒤 배치, 동일 설비, 인접 공정, 같은 원료 lot을 함께 펼칩니다.
3. 위험 판단: CQA 영향, 검출 시점, 현행 통제의 독립성을 위험평가와 연결합니다.
4. 조치 결정: 추가 모니터링, 즉시 보전, 변경관리, 일탈, CAPA, 재적격성평가 중 필요한 경로를 정합니다.
5. 효과성 확인: 조치 후 어느 배치·기간·지표로 회복을 확인할지 사전에 적습니다.

재시험 또는 다음 배치의 정상 결과만으로 최초 신호를 지우면 안 됩니다. 원래 데이터가 유효하다면 추세에 남기고, 왜 추가 조치가 불필요하거나 필요한지 근거를 남겨야 합니다. CAPA 역시 ‘교육 완료’나 ‘부품 교체 완료’로 끝내지 말고, 해당 지표의 변동과 관련 편차가 개선됐는지 정해진 기간 동안 확인해야 합니다.

6-1. 공정단계별로 다른 CPV 질문을 둡니다

공정이 한 단계에서 다음 단계로 넘어갈 때 데이터의 의미도 달라집니다. 원료 칭량 단계에서는 lot와 실제 투입량, 혼합 단계에서는 시간·속도·온도와 균질성, 충전 단계에서는 설비별 충전량·개입·정지 후 재가동, 포장 단계에서는 자재와 인쇄·밀봉 상태가 각각 중요한 신호가 됩니다. 하나의 월간 표에 모든 숫자를 나열하기보다 단계별 질문을 세우면 데이터가 행동으로 이어집니다.

계절성도 단계별로 읽어야 합니다. 온습도 변화가 점도 또는 건조시간에 영향을 줄 수 있고, 생산 캠페인 집중이 설비의 가동시간과 개입 횟수를 바꿀 수 있습니다. 같은 달의 과거 데이터와 유사한 가동 조건을 함께 비교하되, 계절성이라는 이유만으로 상승을 정상으로 처리하지는 마세요. 이전 분포의 폭과 양성률, 관련 알람의 동시 발생 여부가 달라졌다면 새 신호로 평가해야 합니다.

6-2. 데이터 완전성이 CPV 결론을 좌우합니다

CPV는 통계기법보다 입력 데이터의 신뢰성에 먼저 의존합니다. 누락된 배치, 재시험값만 남은 데이터, 수동 수정의 사유가 없는 전자기록, 서로 다른 단위의 혼합은 평균과 관리한계를 왜곡합니다. 따라서 QA 검토자는 경향 그래프의 모양뿐 아니라 데이터 추출 조건, 제외 기준, 결측 처리 원칙, 원자료 링크를 함께 확인해야 합니다.

예를 들어 설비 정지 후 재가동 배치를 일반 배치와 동일한 집단에 넣을지, 별도 층으로 표시할지는 분석 전에 정해야 합니다. 이상값을 제거해야 하는 경우에도 ‘그래프를 안정적으로 보이게 하기 위해서’가 아니라 객관적인 데이터 오류 또는 사전 승인된 제외기준이 있어야 합니다. 제외한 값은 숨기지 않고 목록·사유·승인자와 함께 보존해야 이후 조사에서 공정의 실제 변동을 재구성할 수 있습니다.

7. CPV 보고서는 품질회의의 입력값이어야 합니다

월간 또는 분기 검토는 그래프를 전달하는 회의가 아니라, 공정지식과 조치를 축적하는 회의여야 합니다. 생산은 실제 운전의 맥락을, QC는 시험 변동과 결과 신뢰성을, 엔지니어링은 설비·유틸리티 사건을, QA는 품질 영향과 절차 준수를 설명합니다. 보고서에 미결 조사, CAPA 효과성 확인 예정일, 변경관리 연결번호를 포함하면 다음 회의에서 신호가 사라지지 않습니다.

• □ CQA·CPP·IPC별 데이터 원천과 책임자가 정해졌는가?
• □ 제품 규격과 Alert/Action 기준을 구분해 표시했는가?
• □ 설비·원료·작업조·변경 이력을 데이터에 연결했는가?
• □ 평균 외에 분포·개별값·연속 이동·변동폭을 확인했는가?
• □ Alert의 검토 결과와 escalation 기준이 기록됐는가?
• □ CAPA의 종료 기준이 조치 완료가 아닌 효과성 데이터인가?
• □ 검토 결과가 변경관리·PQR·경영검토에 필요한 입력으로 전달됐는가?

CPV가 잘 운영되면 재적격성평가를 줄이는 도구가 아니라, 언제 재적격성평가나 공정 재밸리데이션이 필요한지 조기에 알려 주는 도구가 됩니다. 경향이 안정적이라는 데이터는 검증된 상태의 근거가 되고, 불안정한 신호는 정해진 범위를 다시 확인하게 하는 출발점이 됩니다.

보고 주기는 공정 위험도와 생산 빈도에 맞춰 정하되, 정기 검토 사이에 조치한계를 넘는 신호가 발생하면 다음 회의까지 기다리지 않도록 escalation 경로를 정해 두세요. 일상 모니터링, 월간 경향검토, 연간 제품품질검토의 역할을 나누면 데이터가 중복되지 않고 필요한 수준의 의사결정으로 이어집니다.

핵심 정리

지속적 공정검증의 가치는 통계표 자체가 아니라, 품질에 의미 있는 데이터를 제때 행동으로 연결하는 데 있습니다. 공정지식으로 지표를 고르고, 규격과 경보한계를 구분하며, 신호의 맥락을 조사·CAPA·변경관리까지 이어 갈 때 CPV는 관리 상태를 입증하는 살아 있는 시스템이 됩니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 중요 생산설비 적격성평가와 CSV 수행 분야가 공개되어 있습니다. 공정 데이터의 검증 범위와 적격성평가 체계를 설계할 때에는 GMPCAT 주요 실적 보기에서 공개된 수행 분야를 확인하실 수 있습니다.

참고 문헌

• FDA, Process Validation: General Principles and Practices, Stage 3
• EMA, ICH Q8(R2) Pharmaceutical Development
• GMPCAT 주요 실적

Clean Booth 압차 알람: 일상점검·일탈조사·재가동 판단

1. 압차는 왜 Clean Booth의 일상 관리항목일까요?

Clean Booth는 국소적으로 관리되는 청정 작업공간입니다. 이 공간의 청정성을 설명할 때 HEPA 필터 성능, 풍속, 부유입자 수만 보는 경우가 있지만, 주변 공간과의 압력 관계가 달라지면 기대한 기류 방향도 흔들릴 수 있습니다. 압차는 특정 값이 높거나 낮다는 사실보다, 공기가 어디에서 어디로 이동하도록 설계됐는지를 계속 확인하는 지표입니다.

저희 GMPCAT(지캣)이 적격성평가 문서를 검토할 때에는 압차계를 단순 표시계로 보지 않습니다. 센서의 설치 위치, 경보 한계, 표시값의 신뢰성, 작업 중 문 개방과 자재 반입, 공조 운전 상태, 알람 뒤의 의사결정이 함께 연결돼야 합니다. 정상 범위 안의 숫자만 남아 있어도 실제 작업 중 순간적인 역기류나 인접 구역의 압력 급변을 놓쳤다면 오염관리 관점의 설명은 충분하지 않을 수 있습니다.

압차 알람은 공정 중단을 자동으로 뜻하지도, 반대로 무시해도 되는 경미한 설비 신호도 아닙니다. 제품 또는 노출 자재가 있는지, 해당 Booth가 어떤 등급과 공정에 쓰이는지, 알람 지속시간과 기류 방향 변화 가능성이 어떤지에 따라 즉시 통제의 강도가 달라집니다. 이 기준을 알람이 울린 뒤 처음 논의하면 대응이 흔들리므로, 평소 절차서와 교육에 판단 흐름을 정해 두는 것이 중요합니다.

2. 공식 GMP 원칙과 압차 관리의 연결

이 요구는 압차의 단일 합격값을 제시하지 않습니다. 따라서 사내 한계는 Booth의 용도, 주변 구역, 개방부 구조, 작업 동작, 위험평가, 기류가시화 및 적격성평가 결과를 기반으로 정해야 합니다. 다른 건물이나 다른 구역의 설정값을 그대로 복사하는 방식은 적절하지 않습니다. 어떤 압력관계가 오염 유입을 막는 설계인지, 그 관계가 무너질 때 어떤 조치를 할 것인지가 더 중요합니다.

3. 알람 한계는 정상값의 평균이 아니라 대응시간을 고려해 정합니다

압차 관리에는 보통 표시 범위, 경보 수준, 조치 수준이 섞여 사용됩니다. 이 세 개를 같은 의미로 쓰면 알람이 발생했을 때 누구도 무엇을 해야 하는지 알기 어렵습니다. 표시 범위는 운전 상태를 읽기 위한 값이고, 경보 수준은 확인과 추세검토를 시작하는 신호이며, 조치 수준은 공정 또는 자재에 대한 즉시 판단을 요구하는 신호로 구분하는 것이 좋습니다.

한계 설정 전에는 최소한 정상 작업, 최대 인원, 자재 반입, 문 개방이 반복되는 조건, 장시간 운전 조건을 구분해 관찰해야 합니다. 단지 무부하 상태의 조용한 시간에 모은 데이터로 한계를 만들면 실제 작업 중 불필요한 알람이 많아지거나 반대로 중요한 이상을 정상 변동으로 넘길 수 있습니다. 센서가 현장 기류를 대표하는 위치인지, 튜브 막힘·결로·제로점 이동에 취약하지 않은지도 함께 검토하세요.

4. 알람이 울리면 먼저 제품과 기류를 분리해 통제합니다

알람 발생 시 가장 흔한 실수는 표시값이 회복될 때까지 기다린 뒤 기록만 남기는 것입니다. 먼저 해당 Booth에서 개방된 제품, 노출된 용기·마개·자재가 있는지와 작업 단계가 무엇인지 확인해야 합니다. 무균공정 또는 청정 노출 단계라면 신규 자재 반입과 불필요한 출입을 멈추고, 작업자는 절차서에 정한 상태로 대기해야 합니다. 단, 설비를 무작정 정지하면 기류 조건을 더 악화시킬 수 있으므로 현장 책임자의 판단과 절차를 따릅니다.

1. 즉시 상태 확보: 알람 시각, 값, 지속시간, 작업자 수, 문 상태, 진행 공정과 노출 자재를 기록합니다.
2. 안전한 작업 통제: 자재 이동·불필요한 개입을 제한하고 해당 작업의 계속 여부를 품질부서와 판단합니다.
3. 설비 상태 확인: 급배기 팬, 댐퍼, 필터 차압, 공조 알람, 인접 구역 압력과 전원 상태를 확인합니다.
4. 기록 보존: 화면값만 옮기지 말고 트렌드, 경보 이력, 관련 공정기록과 유지보수 이력을 보존합니다.

문이 잠깐 열린 사실만으로 모든 압차 저하를 설명해서는 안 됩니다. 문 개방은 원인이 될 수 있지만, 문을 닫은 뒤 회복시간이 검증된 범위에 있는지, 같은 조건에서 반복되는지, 주변 구역도 동시에 변했는지를 봐야 합니다. 반대로 문 개방이라는 관찰 사실을 무시하고 곧바로 필터 불량으로 결론 내리는 것도 조사 범위를 불필요하게 넓힐 수 있습니다.

5. 원인조사는 네 갈래로 시작하면 빠릅니다

원인조사에는 최초 알람 데이터를 지우는 재시험을 사용하지 않는 원칙이 필요합니다. 재가동 후 값이 정상으로 돌아왔다는 사실은 현재 상태의 한 조각일 뿐, 알람 발생 시점의 기류 방향과 제품 영향 가능성을 없애지 않습니다. 초기값·지속시간·연관 사건을 포함한 사실관계 위에서 가설을 세우고, 각 가설을 지지하거나 배제할 증적을 정해야 합니다.

6. 제품영향 평가는 ‘압차가 낮았다’에서 멈추지 않습니다

제품영향 평가는 알람의 숫자를 정상 한계와 비교하는 데서 끝나지 않습니다. 어떤 공정이 진행 중이었는지, 개방 노출의 정도와 시간은 어떠했는지, 해당 Booth가 주변보다 어느 방향으로 압력을 유지하도록 설계됐는지, 같은 시간의 환경모니터링·차압·입자·작업 개입 기록이 무엇을 말하는지를 함께 봐야 합니다. 제품 영향의 가능성을 낮게 판단할 때에도 그 근거가 추측이 아니라 기록으로 남아야 합니다.

특히 알람 발생 전후에 기류가시화 결과와 다른 작업동작이 있었는지 확인하세요. 자재 반입, 비정상적인 문 개방, 임시 장비 반입, 청소 중 발생한 난류는 설계 시나리오에 없을 수 있습니다. 이 경우 단순 압차 회복보다 해당 동작이 검증된 기류 패턴을 바꾸었는지와 추가 평가의 필요성을 판단하는 일이 우선입니다.

7. 재가동과 재적격성평가의 경계

알람 뒤 재가동 기준은 원인과 수리 범위에 따라 달라집니다. 일시적인 문 개방이 객관적으로 확인되고 설계된 회복시간 안에 값이 복귀했으며 제품 영향이 적절히 평가됐다면, 절차서가 정한 승인 후 일상 점검으로 복귀할 수 있습니다. 반면 팬·댐퍼·필터·제어로직·센서 위치를 수리하거나 변경했다면 단순 표시값 회복만으로 충분하지 않을 수 있습니다.

재적격성평가 범위는 변경과 위험을 기준으로 정합니다. 필터 교체나 팬 수리는 풍속·차압·HEPA integrity·부유입자·회복시험·기류가시화 중 어떤 항목이 영향을 받는지 평가해야 합니다. 모든 시험을 자동으로 반복하는 것이 아니라, 변경의 성격과 기존 검증상태를 연결해 시험 근거를 남기는 방식이 중요합니다. 재가동 전에는 작업 전 점검, 알람기능, 독립 압차 확인, 관련 승인과 교육 완료 여부를 확인하세요.

8. 월간 검토에서 압차 데이터를 살아 있게 만드는 방법

압차 기록은 월간 그래프에 평균값만 보여 주면 중요한 신호가 사라집니다. 최저값, 알람 횟수, 지속시간, 회복시간, 작업상태, 인접 구역 동시 알람, 보전일을 함께 보고해야 합니다. 같은 최저값이라도 문 개방 직후 수 초간 발생한 신호와 공조 운전 중 장시간 지속된 신호는 전혀 다른 조사 우선순위를 가집니다.

• □ Booth와 인접 구역의 설계 압력관계가 도면·절차·표시계에서 일치하는가?
• □ 알람 한계와 대응권한, 제품영향 평가 기준이 최신 절차서에 있는가?
• □ 경보마다 작업상태·문 상태·자재 노출·지속시간이 기록되는가?
• □ 센서 교정, 튜브 점검, 필터 차압과 BMS 이력이 함께 검토되는가?
• □ 수리 또는 변경 후 필요한 재적격성평가 범위가 위험평가로 정해졌는가?
• □ CAPA 효과성은 후속 알람·회복시간·현장 준수기록으로 확인되는가?

8-1. 자주 놓치는 알람 시나리오와 기록 방법

압차 알람의 원인을 빠르게 좁히려면 알람 자체보다 알람 직전의 상태 변화를 남겨야 합니다. 예를 들어 자재 반입 직후라면 반입 카트의 크기, 개방시간, 내부 작업자 수, 반입 전후의 주변 출입문 상태를 기록합니다. 청소 후라면 사용한 도구가 흡기 또는 배기 흐름을 가리지 않았는지, 젖은 표면이 센서 라인에 영향을 주지 않았는지 확인합니다. 설비가 자동 운전에서 절전 모드로 전환되는 시간대라면 그 설정값과 실제 팬 운전 이력을 함께 봐야 합니다.

알람이 짧았다는 사실도 맥락 없이는 안전 근거가 되지 않습니다. 짧은 신호가 하루에 여러 번 반복되면 필터 막힘, 댐퍼 헌팅, 제어로직 불안정 또는 작업방법의 편차라는 조기 경고일 수 있습니다. 반대로 장시간 알람 한 번이라도 제품 개방 단계와 겹쳤다면 영향평가 우선순위가 높아집니다. 보고서에는 최저값과 지속시간뿐 아니라 발생 시점의 공정 단계, 품질 영향 판단, 후속 관찰 계획을 한 표로 연결하는 편이 좋습니다.

압차 점검표에는 숫자만 적지 말고 계측기 식별번호와 확인자, 알람 발생 시 연락 체계, 품질부서 검토 시점도 포함하세요. 전자 모니터링을 쓰는 경우에는 설정값 변경 권한과 audit trail 검토를 정해 두어야 합니다. 알람 한계를 바꾸거나 지연시간을 수정하는 행위는 단순 운영 조정이 아니라 오염관리 경보 체계의 변경이므로, 변경관리와 위험평가의 근거를 남겨야 합니다.

마지막으로 동일 알람의 반복 여부는 교대조별·요일별로도 나눠 보세요. 특정 작업시간에만 나타나는 신호라면 설비 성능 데이터와 작업 행위를 함께 관찰하는 것이 원인 규명에 도움이 됩니다. 경향이 사라졌다고 해도 정해 둔 기간 동안 후속 데이터를 검토해 CAPA의 효과를 확인해야 합니다.

핵심 정리

Clean Booth 압차 알람은 설비 표시값의 일시적 흔들림으로 끝낼 일이 아니라, 오염관리 전략이 실제 작업에서 유지됐는지를 묻는 신호입니다. 즉시 통제, 사실 기반 조사, 제품영향 평가, 위험에 맞는 재가동과 재적격성평가를 하나의 흐름으로 관리하면 알람은 불필요한 정지의 원인이 아니라 예방적 품질 데이터가 됩니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 Clean Booth가 포함된 중요 생산설비 적격성평가 항목이 공개되어 있습니다. 설비와 업무 범위에 맞춘 적격성평가 문서화가 필요하시면 GMPCAT 주요 실적 보기에서 공개 수행 분야를 확인하실 수 있습니다.

참고 문헌

• European Commission, EU GMP Annex 1, Section 4.11
• EudraLex Volume 4
• GMPCAT 주요 실적

터널멸균기 Cooling Zone SIP: 압차·HEPA·재적격성평가

1. Cooling zone은 ‘냉각 구간’이자 오염관리 경계입니다

터널멸균기의 건열 구간은 탈발열과 멸균 기능으로 주목받지만, 실제 충전 라인의 흐름을 보면 cooling zone도 같은 수준의 관리가 필요합니다. 고온 처리된 바이알이 냉각되는 동안 주변 공기 품질과 압력 방향이 흔들리면, downstream 무균구역으로 이어지는 보호 경계가 약해질 수 있습니다. 따라서 저희 GMPCAT(지캣)은 터널 적격성평가 자료를 볼 때 열분포·벨트속도만 따로 떼어 보지 않고, cooling zone의 공조 상태와 이후 transfer 구간을 함께 연결합니다.

특히 SIP, HEPA 교체, 필터 하우징 개방, duct 작업, 압차 transmitter 교체, 제어 로직 변경은 단순 보전 완료만으로 끝내기 어렵습니다. 조치가 cooling zone의 공기 흐름이나 인접 구역과의 압력 관계에 어떤 영향을 주었는지 먼저 평가하고, 그 위험에 맞는 재시험을 설계해야 합니다. 설비가 다시 움직인다는 사실과 검증된 상태로 다시 운전할 수 있다는 판단은 다른 질문입니다.

2. 공식 원칙: 공기 품질과 압력 방향을 공정 전체에서 봅니다

이 요구는 smoke study 한 번으로 모든 조건을 끝내라는 뜻이 아닙니다. 공정 설계상 어떤 방향으로 공기가 움직여야 하는지, door·pass box·바이알 출구·maintenance panel 같은 경계에서 실제 흐름이 설계 의도와 맞는지 보라는 뜻입니다. 터널 운전 중, 정지 후 재가동, 청소·개입 중의 조건은 서로 다를 수 있으므로 각각을 위험평가로 구분합니다.

3. SIP 후 바로 확인할 다섯 가지

SIP record가 합격이어도 이후 recovery 단계의 공기 상태가 적합하다는 뜻은 아닙니다. 예열·냉각에 따라 재순환 팬의 상태, damper 위치, 압차 controller의 반응이 달라질 수 있습니다. 또한 온도 센서 하나가 정상 값을 보인다고 filter seating이나 housing 누설을 배제할 수 없습니다. 각 시험의 역할을 분명히 하고 서로 대체하지 않게 하는 것이 중요합니다.

4. 압차는 숫자 하나가 아니라 방향·시간·원인으로 읽습니다

압차 trend는 목표값만 유지되는지 보는 기록이 아닙니다. 문이 열렸을 때 회복 시간이 길어지는지, 특정 생산 조건에서만 진폭이 커지는지, 청소 후 또는 필터 교체 후 baseline이 이동했는지를 확인하는 조기 신호입니다. 허용범위 안에 있더라도 이전과 다른 거동이 반복되면 조사 대상으로 다루는 것이 좋습니다.

조사에서는 먼저 transmitter zero와 impulse line, BMS 신호, alarm delay를 확인합니다. 그 다음 실제 공급·배기 풍량, damper, fan rotation, filter loading, door gasket, 인접 설비의 동시 운전을 차례로 봅니다. 숫자가 낮다고 바로 HEPA 문제로 단정하거나, trend가 정상이라고 기류 방향을 추정하는 것은 피해야 합니다. 계측 문제와 실제 공조 문제를 분리하는 증거가 필요합니다.

5. HEPA integrity test가 말해 주는 것과 말해 주지 않는 것

HEPA integrity test는 필터 매체와 frame, gasket, housing sealing의 누설 여부를 확인하는 중요한 증거입니다. 그러나 이 결과가 통과했다고 해서 운영 중 모든 위치의 기류가 적합하다고 결론 내릴 수는 없습니다. 필터 적합성은 필터 경계의 건전성을, 풍속·기류가시화는 공기 전달 경로를, 압차 trend는 구역 간 보호 방향의 유지 상태를 각각 보여 줍니다.

따라서 HEPA 교체 뒤 시험 계획에는 최소한 설치기록 검토, integrity test, 풍속 또는 풍량 확인, 압차 안정성, 필요한 경우 동적 기류가시화를 연결합니다. 어느 시험까지 할지는 변경의 범위와 공정 위험에 따라 정하되, ‘필터 교체이므로 integrity test만 하면 된다’는 고정식 판단보다 실제로 건드린 duct·housing·control 요소를 기준으로 범위를 정해야 합니다.

6. 재적격성평가 범위는 변경 영향에서 출발합니다

재적격성평가를 전면 반복 또는 최소 시험이라는 두 선택지로만 보면 불필요한 시험과 중요한 누락이 함께 생깁니다. 위험평가에는 변경 전 상태, 변경 내용, 영향을 받을 수 있는 품질속성, 기존 검증 근거, 추가 확인이 필요한 가정을 명확히 적습니다. cooling zone SIP 배관을 개방했다면 cycle 성능뿐 아니라 재조립 후 leak 가능성, air handling 영향, 회복 조건을 보아야 합니다. 제어 software의 alarm 설정을 바꾸었다면 sensor 교정, alarm challenge, 전자기록, 운영 절차까지 이어서 확인합니다.

7. 일탈 조사: 재시험 통과가 최초 신호를 지우지 않습니다

SIP 실패, 압차 경보, HEPA integrity 부적합이 발생했을 때 가장 먼저 해야 할 일은 현재 상태를 통제하고 영향을 받은 범위를 고정하는 일입니다. 해당 tunnel을 사용했는지, 바이알이 어느 위치까지 이동했는지, downstream 설비가 운전 중이었는지, 무균공정 또는 청정공정과 어떤 인터페이스가 있었는지 기록합니다. 이후 원자료와 계측 신뢰성을 검토하고, 설비·절차·작업 조건별 원인 가설을 세웁니다.

재시험이 통과하면 현재 조건의 재현성에는 도움이 되지만 최초 이탈의 의미가 자동으로 사라지지는 않습니다. 최초 결과가 시험방법 오류였다는 객관적 근거가 있으면 그 근거를 남기고, 그렇지 않다면 발생원과 영향기간을 계속 조사합니다. CAPA는 부품 교체나 교육 이수에서 멈추지 말고, 같은 운전 조건에서 압차·alarm·기류 또는 SIP 데이터가 안정화됐는지로 효과성을 확인합니다.

8. 재가동 전 체크리스트

• □ 변경·보전·SIP 기록과 승인 상태가 연결되어 있는가?
• □ 지정된 cycle parameter와 recovery 조건이 승인 범위 안에 있는가?
• □ HEPA installation 및 integrity 관련 증적을 검토했는가?
• □ 압차 trend와 alarm challenge에서 비정상 신호가 없는가?
• □ 필요한 airflow visualisation이 실제 개입·연동 조건을 포함하는가?
• □ 영향평가가 제품·바이알 이동·downstream 공정을 포괄하는가?
• □ 재적격성평가 결과와 재가동 승인자가 명확한가?

9. 시험 위치와 운전조건을 프로토콜에 고정하는 법

Cooling zone의 시험은 ‘터널 내부’라는 넓은 표현만으로는 재현하기 어렵습니다. 측정점과 관찰점은 바이알 출구, cooling zone 작업면, 인접 RABS 또는 충전구역과 만나는 경계, door·panel 주변처럼 공기 흐름이 바뀔 수 있는 지점으로 구분합니다. 각 지점마다 정상 운전, 벨트 운전, 바이알 존재, door 개방 또는 정비 뒤 복귀처럼 어떤 상태에서 확인했는지도 기록해야 합니다. 나중에 같은 결과를 비교하려면 위치 이름, 카메라 방향, smoke 발생 위치, 조명과 관찰 시간이 달라지지 않아야 합니다.

프로토콜에는 ‘깨끗해 보이는가’ 같은 주관적 표현보다 관찰할 실패 기준을 적는 편이 좋습니다. 예를 들어 인접 저등급 방향으로 연기가 지속 이동하는지, critical path로 역류하는지, 국소적인 stagnation이 생기는지, 작업자 개입 뒤 회복이 지연되는지를 사전에 정합니다. 관찰 결과가 애매하다면 영상의 일부 장면만으로 합격을 선언하지 말고, 연기량·발생 위치·운전 조건을 바꿔 반복한 뒤 설계 의도와 함께 판단합니다.

10. 데이터 경향은 보전계획과 연결합니다

압차와 풍량의 개별 결과가 모두 허용범위 안에 있어도, filter loading에 따라 fan output이 서서히 변하거나 damper 제어가 자주 보정되는 패턴이 나타날 수 있습니다. 이런 변화를 예방보전 시점, HEPA 교체 이력, SIP 횟수, alarm 발생 시점과 한 표에 놓으면 갑작스러운 부적합 전에 조치를 계획할 수 있습니다. 단, 경향이 보인다는 이유만으로 허용기준을 임의로 바꾸지는 말고, 기존 데이터·위험평가·승인 절차를 따라야 합니다.

정기검토에서는 평균만 보지 말고 최저 압차, 회복에 걸린 시간, alarm 빈도, maintenance 후 첫 운전 결과를 함께 봅니다. 특히 교대별 또는 계절별로 차이가 보인다면 외기부하, 주변 설비 동시 운전, 작업 패턴을 조사 가설에 포함합니다. 데이터의 맥락 없이 숫자만 모으면 설비 이상과 운전 조건의 차이를 구별하기 어렵습니다.

문서화에서도 설비 부서와 QA의 역할을 나누되 끊어 놓지 않는 것이 좋습니다. 엔지니어링은 fan, filter, damper, sensor, control logic의 기술 원인과 보전 근거를 제공하고, 생산은 실제 운전·개입·바이알 이동 조건을 설명하며, QA와 밸리데이션은 공정 영향과 재시험 범위·승인 기준을 연결합니다. 한 부서의 기록만으로 사건을 닫으면 나중에 같은 신호가 반복될 때 왜 당시 범위를 그렇게 정했는지 설명하기 어렵습니다. 조사보고서에는 검토한 도면, trend 기간, 시험 원자료, 재가동 전 확인항목을 서로 참조하도록 남겨 두세요.

결국 cooling zone의 적격성은 터널 내부 온도 데이터만으로 설명되지 않습니다. 열처리된 바이알이 다음 청정 공정으로 안전하게 넘어갈 때까지 필요한 공기 경계가 유지되는지를 보여 주는 일입니다. 시험을 변경관리, 일탈, 보전, 정기검토와 연결해 두면, 재적격성평가는 한 번의 프로젝트가 아니라 오염관리전략을 지지하는 지속적 근거가 됩니다.

Cooling zone의 상태는 단일 시험성적서가 아니라, 열처리 뒤 청정한 흐름을 다시 만들 수 있다는 증거의 조합으로 설명되어야 합니다. 압차·HEPA·기류·SIP·운전 연동의 역할을 분리해 확인하면, 조치의 범위를 과도하게 넓히지 않으면서도 오염관리 경계의 약점을 놓치지 않을 수 있습니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 건열멸균기와 터널멸균기의 재적격성평가, 터널멸균기 Cooling Zone SIP 적격성평가 항목이 공개되어 있습니다. 공개된 업무 범위는 GMPCAT 주요 실적 보기에서 확인하실 수 있습니다.

참고 문헌

• EU GMP Annex 1, Section 4
• GMPCAT 주요 실적

청정등급 Grade A~D 현장 Q&A Best 10: 청정도 기준, 부유입자 한계, at rest·in operation, 가운, 차압까지

청정등급 이야기는 컨설팅 현장에서 질문이 끊이지 않는 주제입니다. 설계 단계의 엔지니어는 "Grade C면 몇 개까지 허용되죠?"를 묻고, QA는 "in operation 한계를 넘었는데 at rest는 괜찮았어요"라며 판단을 묻고, 교육을 듣는 신입은 "ISO 몇 등급이랑 같은 건가요?"를 묻습니다. 저희 GMPCAT(지캣)이 적격성평가를 하면서 가장 자주 받은 질문을 모아 10개로 줄였습니다. 청정도 재적격성평가 절차 자체는 이미 정리한 글이 있어 여기서는 다루지 않고, 질문과 답 위주로 가겠습니다.

Q1. Grade A, B, C, D는 각각 어떤 공간인가요?

청정등급은 "깨끗한 정도"의 순서이기 전에 "어떤 작업을 하는 곳이냐"의 구분입니다. Annex 1 4.4는 무균 의약품 제조용 청정실/구역을 네 등급으로 나눕니다.

Grade A: The critical zone for high-risk operations (e.g. aseptic processing line, filling zone, stopper bowl, open primary packaging or for making aseptic connections under the protection of first air). ... Grade B: For aseptic preparation and filling, this is the background cleanroom for grade A (where it is not an isolator).
- EU GMP Annex 1 (2022), Section 4.4

번역: Grade A는 고위험 작업(무균 공정 라인, 충전 구역, 스토퍼 보울, 개방된 1차 포장재, first air 보호 하의 무균 연결 등)을 하는 핵심 구역입니다. Grade B는 무균 조제·충전에서 Grade A의 배경(background) 청정실이며, 아이솔레이터가 아닌 경우에 해당합니다.

Grade C and D: These are cleanrooms used for carrying out less critical stages in the manufacture of aseptically filled sterile products or as a background for isolators. They can also be used for the preparation/filling of terminally sterilised products.
- EU GMP Annex 1 (2022), Section 4.4

번역: Grade C와 D는 무균충전 제품 제조 중 덜 중요한 단계나 아이솔레이터의 배경으로 쓰는 청정실이며, 최종 멸균 제품의 조제·충전에도 쓸 수 있습니다.

작업 예시는 8장의 Table 3(최종 멸균)과 Table 4(무균)에 있습니다. 무균 공정이라면 Grade A에는 무균 충전, 병 마개 닫기, 동결건조기 로딩, 멸균기에서 꺼낸 포장 없는 품목의 냉각 등이 들어가고, Grade B는 Grade A 배경과 보호 상태로 반입 대기하는 장비·부품, Grade C는 여과 전 용액 조제(샘플링·분배 포함), Grade D는 세척과 세척 후 부품 취급이 들어갑니다. 최종 멸균 제품은 용액 조제가 Grade D, 충전이 Grade C이고, 특별히 위험한 경우에만 Grade A 충전이 예시로 나옵니다.

Q2. 부유입자 한계는 얼마인가요? 표가 두 개(Table 1, Table 5)인 이유는요?

Annex 1(2022)에는 부유입자 표가 두 번 나옵니다. 하나는 4장의 Table 1(분류, classification용), 다른 하나는 9장의 Table 5(일상 모니터링용)입니다. 둘을 섞어 쓰는 실수가 정말 많습니다.

(a) 5 µm 입자는 CCS나 과거 경향상 필요할 때 분류에 포함할 수 있습니다. (b) Grade D의 in operation 한계는 사전에 정해져 있지 않으며, 제조업체가 위험 평가와 일상 데이터를 근거로 설정합니다.

차이는 Grade A와 B의 5 µm 칸입니다. 분류에서는 Grade A의 5 µm가 "Not specified"이지만, 모니터링 표에서는 Grade A 5 µm의 한계가 29개/m³로 정해져 있습니다. Grade B at rest 5 µm도 분류에서는 Not specified, 모니터링에서는 29입니다. 즉 분류 시험 성적서에 5 µm 항목이 비어 있다고 해서 일상 모니터링에서 5 µm를 안 봐도 되는 것은 아닙니다.

The occasional indication of macro particle counts, especially ≥ 5 µm, within grade A may be considered to be false counts due to electronic noise, stray light, coincidence loss etc. However, consecutive or regular counting of low levels may be indicative of a possible contamination event and should be investigated.
- EU GMP Annex 1 (2022), Section 9.15, Note 2

번역: Grade A에서 간헐적으로 나타나는 대입자(특히 5 µm 이상) 계수는 전기적 노이즈, 산란광, 동시 계수 손실 등에 의한 오계수로 볼 수 있습니다. 그러나 낮은 수준이라도 연속적이거나 규칙적으로 계수되면 오염 사건의 징후일 수 있으므로 조사해야 합니다.

Q3. at rest와 in operation은 정확히 어떻게 다른가요?

용어는 4.29에 정의가 있고, "사람이 있느냐"가 핵심 차이입니다.

The definition of "at rest" state is the condition whereby the installation of all the utilities is complete including any functioning HVAC, with the main manufacturing equipment installed as specified but not operating and without personnel present in the room. ... The definition of "in operation" state is the condition where ... equipment installed and functioning in the manufacturer's defined operating mode with the maximum number of personnel present performing or simulating routine operational work.
- EU GMP Annex 1 (2022), Section 4.29 i, ii

번역: "at rest"는 유틸리티 설치가 완료되고 HVAC가 작동하며 주요 제조 설비가 규정대로 설치되어 있으나 가동하지 않고 실내에 사람이 없는 상태입니다. "in operation"은 청정실 설치가 완료되고 HVAC가 완전히 가동되며 설비가 제조업체가 정한 운전 모드로 작동하고, 최대 인원이 실제 또는 모사 작업을 수행하는 상태입니다.

실무에서 짚어야 할 점은 세 가지입니다. 첫째, 분류는 반드시 두 상태에서 모두 하며(4.27, 4.29), 최초 분류는 모사 작업 중에, 재분류는 모사 작업이나 APS(공정 시뮬레이션) 중에 하도록 일정 조율을 권합니다(4.26). 둘째, in operation의 "최대 인원"은 7.2에서 말하는 청정실 최대 허용 인원과 같은 숫자여야 합니다. 분류 시험은 3명으로 하고 실제 생산은 6명이 들어가는 식이면 시험이 대표성을 잃습니다. 셋째, 모니터링 표(Table 5)의 in operation 칸은 일상 생산 중 한계입니다. 시험 한 번의 성적서 값과 일상 EM 값은 용도가 다르다는 점을 4.24가 "분류는 운영 환경 모니터링과 명확히 구분"하라고 직접 말합니다.

Q4. at rest 수치는 얼마 만에 회복되어야 하나요? 회복시간(clean up)은요?

The total particle limits given in Table 1 above for the "at rest" state should be achieved after a "clean up" period on completion of operations and line clearance/cleaning activities. The "clean up" period (guidance value of less than 20 minutes) should be determined during the qualification of the rooms, documented and adhered to in procedures ...
- EU GMP Annex 1 (2022), Section 4.29 iii

번역: Table 1의 "at rest" 부유입자 한계는 작업과 라인 클리어런스/청소 활동이 끝난 뒤 "clean up" 기간이 지나면 달성되어야 합니다. clean up 기간(지침값 20분 미만)은 청정실 적격성평가 중에 정하고 문서화하여 절차에 따라 지켜야 합니다.

여기서 20분은 "고정 규격"이 아니라 지침값(guidance value)입니다. 기존에 회복시간을 15분, 20분 등으로 정해 둔 사이트가 많은데, Annex 1은 값 자체보다 "적격성평가에서 정하고 절차로 지킨다"는 점을 강조합니다. 회복 시험(Recovery test)은 4.25 viii에 적격성평가 항목으로 들어 있고, 4.32에 따르면 비단방향 기류 구역은 재적격성평가에서 풍속 시험 대신 회복 시험으로 대체할 수 있습니다.

Q5. 부유균 한계(CFU)는 Grade별로 어떻게 되나요?

미생물 표도 두 개입니다. 적격성평가 중 한계는 Table 2(4.31), 일상 모니터링 action limit은 Table 6(9.30)이고, 지금 버전은 두 표의 수치가 같습니다.

For grade A, any growth should result in an investigation.
- EU GMP Annex 1 (2022), Table 6 footnote (c)

번역: Grade A에서는 어떤 생육이든 조사로 이어져야 합니다.

침강균 플레이트는 Grade A·B에서 설비 setup을 포함한 작업 시간 동안 노출하되 최대 4시간 뒤 교체하며, 가운 적격성평가에는 접촉판·장갑 지문 한계를 적용합니다(Table 2 Note 3). action limit 초과 시 9.13은 근본 원인 조사, 제품 영향 평가, CAPA를 요구하고, alert level 초과는 평가와 후속 조치입니다. 둘의 대응 수준을 SOP에서 구분해 두세요.

Q6. ISO 14644-1 등급과는 어떻게 대응되나요?

Annex 1(2022)의 표에는 ISO 등급 번호가 직접 적혀 있지 않습니다. 대신 4.25와 4.28이 적격성평가와 샘플링 위치 수를 ISO 14644 시리즈(특히 Part 1)에 따르라고 합니다. 다만 ISO 14644-1의 등급별 한계값과 비교하면 숫자가 그대로 겹칩니다. 0.5 µm 기준으로 3,520개/m³는 ISO 5, 352,000개/m³는 ISO 7, 3,520,000개/m³는 ISO 8의 한계값입니다. 이를 Annex 1 표에 대입하면 아래와 같이 읽는 것이 일반적입니다.

Q7. 가운(Gowning)은 Grade별로 무엇이 다른가요?

가운 요구는 7.13에 등급별로 적혀 있습니다. 핵심만 표로 정리하면 이렇습니다.

Every operator entering grade B or A areas should gown into clean, sterilised protective garments (including eye coverings and masks) of an appropriate size at each entry.
- EU GMP Annex 1 (2022), Section 7.15

번역: Grade B 또는 A에 들어가는 모든 작업자는 입실할 때마다 적절한 크기의 깨끗한 멸균 보호복(보안경과 마스크 포함)으로 갈아입어야 합니다.

가운 관련해서 점검할 항목은 많습니다. 7.4에 따르면 Grade A·B 출입자는 무균 가운 착의 교육을 받고, 최소 연 1회 재평가를 받아야 하며, 평가에는 육안 평가와 미생물 평가(장갑 낀 손가락, 팔뚝, 가슴, 후드/이마)가 모두 들어갑니다. 무인 접근은 이 평가와 APS 참여를 마친 인원으로 제한합니다.

Q8. 차압은 몇 Pa이어야 하고 어떻게 감시하나요?

Adjacent rooms of different grades should have an air pressure difference of a minimum of 10 Pascals (guidance value).
- EU GMP Annex 1 (2022), Section 4.14

번역: 서로 다른 등급의 인접한 방은 최소 10 파스칼의 차압(지침값)을 가져야 합니다.

4.14는 청정실이 모든 운영 조건에서 양압 및/또는 하위 등급 배경에 대한 기류를 유지하고 구역을 효과적으로 flushing하도록 요구합니다. 10 Pa은 "최소 지침값"이며, 병원체나 독성, 방사성 물질을 다루면 이 권고가 달라질 수 있습니다(음압·양압 에어락 등). 격리가 필요해 임계 구역으로 공기가 흘러야 한다면 공기의 출처가 동일 또는 상위 등급이어야 합니다.

Air pressure differences identified as critical should be continuously monitored and recorded. A warning system should be in place to instantly indicate and warn operators of any failure in the air supply or reduction of air pressure differences ... The warning signal should not be overridden without assessment ... Where alarm delays are set, these should be assessed and justified within the CCS.
- EU GMP Annex 1 (2022), Section 4.16

번역: 핵심으로 식별된 차압은 연속 감시하고 기록해야 합니다. 공기 공급 실패나 차압 저하를 작업자에게 즉시 알리는 경보 시스템이 있어야 하며, 경보 신호는 평가 없이 무시(override)해서는 안 됩니다. 경보 지연을 설정했다면 그 근거를 평가하고 CCS에서 정당화해야 합니다.

Q9. 공기 교환 횟수는 몇 회여야 하나요? 기류 속도는요?

가장 많이 들어오는 질문인데, 답은 간단하지 않습니다. Annex 1(2022) 본문에는 Grade별 시간당 공기 교환 횟수(ACH) 수치가 없습니다. 교환 횟수는 설계 단계에서 열부하, 인원, 회복 성능을 만족하도록 정하는 설계 값이며, 규제가 직접 요구하는 것은 결과입니다. 즉 회복시간, 입자 한계 유지, 기류 방향, 차압입니다. 그래서 프로토콜의 합격 기준에 ACH를 쓸 때는 설계 문서의 근거와 연결해야 합니다.

기류 속도는 Grade A에만 해당하는 수치가 있습니다.

Unidirectional airflow systems should provide a homogeneous air speed in a range of 0.36 – 0.54 m/s (guidance value) at the working position, unless otherwise scientifically justified in the CCS. Airflow visualization studies should correlate with the air speed measurement.
- EU GMP Annex 1 (2022), Section 4.30

번역: 단방향 기류 시스템은 작업 위치에서 0.36~0.54 m/s(지침값)의 균일한 풍속을 제공해야 하며, CCS에서 과학적으로 정당화한 경우는 예외입니다. 기류 가시화 시험은 풍속 측정과 상관성이 있어야 합니다.

재적격성평가 때 풍속을 어디서 재는지가 쟁점이 됩니다. 4.30은 풍속 측정 위치를 프로토콜에서 명확히 정당화하라고 합니다. 4.32에 따르면 B, C, D의 풍속 시험은 CCS의 위험 평가에 따라 하되, 단방향 기류가 공급되는 충전 구역(최종 멸균 제품 충전, Grade A나 RABS의 배경 등)은 필수이고, 비단방향 기류 구역은 풍속 대신 회복 시험을 합니다. 또 4.15는 기류 가시화를 at rest와 in operation 모두에서, 중재를 모사하여 하고 영상 기록을 보관하라고 합니다.

Q10. Grade를 올리거나 내리면 무엇이 달라지나요?

"Grade C 방을 Grade B로 올리려면 필터만 바꾸면 되나요?"라는 질문이 대표적입니다. Annex 1에는 등급 변경 절차를 한 줄로 정한 조항이 없어서, 영향을 항목별로 풀어 보는 것이 안전합니다. 아래 표는 본문에서 확인되는 요구를 기준으로 정리한 점검표입니다.

자주 묻는 질문(FAQ)

Q. 청정등급 Grade D의 in operation 부유입자 한계는 얼마인가요?
Annex 1은 정해 두지 않았습니다. 위험 평가와 일상 데이터를 근거로 제조업체가 설정하고, 9.12에 따라 C·D 모니터링은 적격성평가와 일상 데이터를 근거로 합니다.

Q. 작업 중 Grade A에서 5 µm가 한 번 나왔습니다. 일탈인가요?
Note 2에 따르면 간헐적인 대입자 계수는 오계수일 수 있지만, 연속·규칙적으로 낮은 수준이 나오면 조사해야 합니다. 기준 행동을 알람 SOP에 미리 정해 두세요.

Q. 차압이 10 Pa에 못 미치면 무조건 일탈인가요?
10 Pa은 지침값입니다. critical로 지정한 차압은 설정 한계 아래로 내려가면 경보와 대응 절차가 필요하고, 한계값 근거는 CCS에서 정당화합니다.

핵심 정리

• Grade A~D는 작업의 위험도에 따른 구분이고, 근거는 CCS와 Table 3·4에 있습니다.
• 분류용(Table 1)과 모니터링용(Table 5) 부유입자 표는 5 µm 칸에서 다릅니다.
• at rest는 사람 없음과 설비 정지, in operation은 최대 인원과 실제 가동입니다. clean up 지침값은 20분 미만이며 적격성평가에서 정합니다.
• 부유균 한계는 Grade A no growth, B 10 CFU/m³, C 100, D 200이며 침강균·접촉판·장갑 한계가 함께 있습니다.
• 차압 최소 10 Pa(지침값), 단방향 풍속 0.36~0.54 m/s(지침값)입니다. Annex 1 본문에는 Grade별 공기 교환 횟수 규정이 없습니다.
• Grade 변경은 한계, 가운, 차압, 적격성평가, 모니터링, 문서를 한꺼번에 바꾸는 일입니다.

참고 문헌

• EU GMP Annex 1: Manufacture of Sterile Medicinal Products (2022), Sections 4.4, 4.12~4.16, 4.20, 4.23~4.32, 7.2~7.17, 8.6~8.10, 9.9~9.30, Tables 1~6. 공식 원문 PDF
• ISO 14644-1 Cleanrooms and associated controlled environments, Part 1: Classification of air cleanliness by particle concentration (Annex 1 4.25, 4.28에서 참조)

RABS·아이솔레이터(Isolator) 글러브 무결성 시험: 누설 시험 방법, 주기, 교체 기준까지 한 번에 정리

1. 왜 글러브가 RABS·Isolator의 약한 고리인가

RABS 적격성평가나 아이솔레이터 밸리데이션을 하다 보면 기류 시각화, HEPA 필터 완전성, 제염(Bio-decontamination)처럼 눈에 띄는 항목에 시간이 몰립니다. 그런데 실제 운영 중에 사람의 손이 Grade A 안으로 들어가는 통로는 글러브 하나뿐입니다. 벽체와 도어는 한 번 적격성평가를 받으면 크게 변하지 않지만, 글러브는 손이 들어갈 때마다 늘어나고 접히고, 소독제와 제염제에 계속 노출되고, 날카로운 부품(캡, 스토퍼 트랙, 바늘, 유리 파편)에 닿는 소모품입니다.

그래서 규제기관은 오래전부터 글러브를 별도 관리 대상으로 봐 왔습니다. FDA의 무균공정 가이던스(2004) Appendix 1은 글러브와 슬리브(Gauntlet) 조합의 결함을 "오염 경로이자 아이솔레이터 무결성의 중대한 위반"으로 표현합니다. 또 같은 가이던스는 구멍이 아주 작으면 미생물이 통과할 수 있는데 민감도가 높은 글러브 시험법이 없다는 점을 솔직하게 언급하며, 설치된 글러브 안쪽면의 위생 상태와 얇은 이중 장갑 착용에 신경 쓸 것을 권고합니다. 즉 누설 시험은 필요하지만 그것만으로 충분하다고 보지 않는다는 뜻이고, 이 관점이 뒤에서 설명할 "시험 + 육안 점검 + 환경모니터링 + 교체 주기"의 다중 방어 설계로 이어집니다.

참고로 RABS의 기류 시각화(Smoke Study)나 아이솔레이터 VHP 제염은 저희 블로그의 다른 글에서 다뤘기 때문에, 이 글은 글러브·슬리브 한 가지에 집중합니다.

2. EU GMP Annex 1(2022) 4.21이 실제로 요구하는 것

개정 Annex 1은 2022년 8월에 발행되어 2023년 8월 25일부터 적용되었습니다(동결건조기 바이알 로딩 관련 8.123만 2024년 8월 25일). 글러브 관련 핵심은 4.21 한 개 조항에 모여 있습니다. 먼저 공통 요구입니다.

아이솔레이터에 대한 세부 요구(4.21 i.a)는 다음과 같습니다.

같은 조항에는 "캠페인이 길면 밸리데이션된 캠페인 길이에 따라 추가 시험이 필요할 수 있다", "단위 수량이나 소배치의 수동 무균 작업은 제조 세션의 시작과 종료 같은 다른 기준으로 빈도를 정할 수 있다"는 문장도 있습니다. RABS(4.21 ii)는 요구 수준이 다릅니다.

두 기술의 요구를 표로 나란히 놓으면 차이가 분명합니다. 조항에서 읽히는 내용만 정리했습니다.

주의하실 점은 이 문서에 "교체는 몇 개월마다"처럼 정해 준 숫자가 없다는 것입니다. 교체 주기, RABS의 시험 빈도, 판정기준은 모두 회사가 근거를 갖고 정해서 CCS에 넣으라는 구조입니다. 이 부분이 실사에서 가장 많이 질문받는 곳이기도 합니다.

3. 글러브 누설 시험(Leak Test) 방식과 육안 점검

왜 필요한가. 글러브의 핀홀은 눈에 보이지 않는 경우가 많고, 특히 손가락 끝이나 접히는 부위, 커프링(Cuff ring)과 포트가 만나는 부위에서 잘 생깁니다. 그래서 육안 점검만으로는 부족하고 장비로 하는 누설 시험이 병행됩니다.

실무에서 쓰는 방식. 전용 글러브 시험기를 쓰는 압력 기반 방법이 가장 흔합니다. 글러브 포트(커프링)에 시험기를 연결하고 글러브 안쪽에 공기를 채워 일정 시험 압력까지 올린 뒤, 압력이 떨어지는 정도를 보는 방식입니다. 현장에서는 두 가지 이름이 섞여 쓰입니다.

두 방식은 원리가 같아서 시험기 제조사마다 이름과 표시 방식이 다를 뿐입니다. 중요한 건 이름이 아니라 시험 조건(시험 압력, 안정화 시간, 측정 시간, 허용 하강량)이 문서에 고정되어 있고, 같은 조건으로 시험할 때마다 재현되느냐입니다. 장비 제조사가 제공한 조건을 그대로 쓰든 사내에서 바꾸든, Annex 1이 말하는 "업무와 중요도에 적합함이 입증된 방법(demonstrated to be suitable)"에 해당하는 근거 자료가 남아 있어야 합니다.

시험할 때 같이 봐야 하는 것. 압력이 떨어졌다고 해서 모두 글러브 구멍은 아닙니다. 슬리브와 글러브를 잇는 연결부, 커프링 O-링, 시험기 호스 연결부도 누설 원인이 됩니다. Annex 1이 "glove system"이라고 표현한 이유가 여기에 있고, 시험 SOP에는 글러브만이 아니라 슬리브, 커프링, 체결 상태까지 시험 범위로 적어야 합니다.

육안 점검 방법. 매 사용 시 점검은 눈에 띄는 손상(찢김, 변색, 끈적임, 균열, 두께가 얇아진 부분, 소독제로 인한 표면 변화)을 보는 것입니다. 시험기 시험보다 훨씬 자주 하는 점검이므로 아래처럼 점검표를 짧고 명확하게 만들어 두면 좋습니다.

• 점검 시점: 작업 시작 전, 매 개입 직전, 날카로운 물체를 만진 뒤, 글러브가 걸리거나 당겨진 뒤
• 점검 항목: 찢김·핀홀 의심 부위, 손가락 끝 마모, 변색·경화·끈적임, 커프링 부위 주름·밀림
• 이상 발견 시: 그 글러브 사용 중지, 일탈 기록, 교체 또는 포트 폐쇄(블랭킹) 후 품질 승인

4. 시험 판정·허용기준을 어떻게 정할까

허용기준이 가장 자주 지적되는 부분입니다. Annex 1에는 숫자가 없으므로 "왜 그 숫자인가"를 사내 문서로 설명할 수 있어야 합니다. 현장에서 많이 쓰는 접근은 다음 순서입니다.

1. 시험기 사양 확인: 시험기의 압력 분해능, 보정(Calibration) 상태, 제조사가 제시한 시험 조건과 판정 값을 확인합니다. 시험기도 교정 대상 계측기로 등록해야 합니다.
2. 양품 글러브로 기준선 확보: 새 글러브(문제없는 것) 여러 개를 같은 조건으로 시험해 정상 상태의 압력 하강 분포를 얻습니다. 안정화 시간은 이 데이터로 정합니다.
3. 결함 글러브로 검출 능력 확인: 의도적으로 만든 미세 결함(예: 규격이 정해진 바늘 구멍)이 있는 글러브가 불합격으로 판정되는지 확인합니다. 어느 크기까지 검출하는지 알아야 "방법이 업무에 적합하다"고 말할 수 있습니다.
4. 허용값 설정: 양품 분포보다 충분히 위, 결함 글러브 검출값보다 아래에서 허용값을 정하고 근거를 보고서에 남깁니다.
5. 재현성 확인: 서로 다른 작업자·다른 날 같은 글러브를 시험해 결과가 일관적인지 봅니다.

아래는 Protocol 또는 SOP에 넣을 수 있는 문구 예시입니다. 숫자는 설명용이며 실제 값은 시험기와 글러브 사양, 밸리데이션 결과로 정해야 합니다.

재시험 규칙은 특히 중요합니다. "불합격이 나오면 다시 하면 되지"라는 식으로 운영하다가 데이터 신뢰성 지적으로 이어지는 경우가 자주 있습니다. 재시험 가능 조건과 횟수를 SOP에 먼저 정해 두세요.

5. 시험 주기와 교체 주기, CCS와 개입 이력 연결

배경. Annex 1은 교체 빈도를 CCS 안에서 정의하라고 했습니다. 그리고 아이솔레이터 CCS 위험평가 시 고려 요소로 "글러브 조작이 'first air' 보호를 훼손할 수 있는 영향"과 "배리어/글러브 무결성을 잃을 때의 영향"(4.20 i.b)을 명시합니다. 즉 글러브 관리는 별도 설비 관리 SOP에서 끝나지 않고 오염관리전략의 일부여야 합니다.

실무 설정 방법. 시험 주기와 교체 주기는 다음 정보를 모아서 정합니다.

• 재질 정보: 글러브 제조사의 재질 사양, 사용 소독제·제염제에 대한 내성 자료, 두께, 사용 온도 조건
• 제염 노출: 아이솔레이터는 매 사이클마다 제염제에 노출되므로 누적 사이클 수가 열화의 지표가 됩니다. 사이클 수 기준과 달력 기준 중 먼저 도래하는 쪽으로 교체하는 방식이 많이 쓰입니다.
• 개입 이력: 글러브 포트별 사용 빈도. 충전 노즐 조정, 스토퍼 보울 보충처럼 손이 자주 들어가는 포트가 있다면 그 포트의 글러브는 더 짧은 주기가 합리적입니다.
• 시험 이력 추세: 압력 하강량이 서서히 커지는 글러브는 합격 범위 안에 있어도 열화가 진행 중입니다. 경고 한계(Alert)를 두고 추세를 봅니다.
• 불량 이력: 육안 점검 이상, 시험 불합격 이력 건수. 이력이 쌓이면 주기를 줄이는 근거가 됩니다.

이때 Annex 1 8.16~8.17이 말하는 "승인된 개입 목록"과 "배치 기록에 개입 시간·지속시간·작업자를 기록"하는 체계가 그대로 데이터 원천이 됩니다. 포트별 개입 건수를 정리할 수 있게 배치 기록 양식에 어느 글러브 포트로 작업했는지 적게 해 두면, 교체 주기 재평가 때 큰 도움이 됩니다.

RABS의 운영 중 소독과 환경모니터링 연결. RABS 글러브가 운영 중 배경 환경에 노출되었다면 노출 때마다 소독하라는 것이 4.21 ii의 요구입니다. 어떤 상황이 '노출'인지(글러브를 포트 밖으로 빼서 작업한 경우 등)를 SOP에서 정의해 두어야 하고, 글러브 프린트(Glove print) 모니터링 기준은 Annex 1 Table 6에 있습니다. Grade A는 "No growth", Grade B는 글러브당 5 CFU입니다. 그리고 9.25는 중요한 개입 후 글러브를 모니터링했다면 활동을 계속하기 전에 겉 장갑을 교체하라고 합니다.

6. 시험 실패 시 영향평가와 배치 조사

왜 중요한가. 배치 시작 시 시험에 합격했는데 종료 시 시험에서 불합격하는 경우가 가장 곤란합니다. 그 사이에 만든 제품의 무균성 보증이 흔들리기 때문입니다. Annex 1 자체에 "시험 불합격 시 이렇게 하라"는 조항은 없으므로, 일탈·CAPA·배치 처리 절차(PQS)와 연결해서 SOP를 만들어 두어야 합니다. 개입에 관해서는 8.16이 비교적 분명합니다.

글러브 시험 실패 영향평가도 같은 발상으로 정리하면 됩니다. 현장에서 쓰는 조사 흐름 예시입니다.

1. 즉시 조치: 해당 글러브 포트 사용 중지, 시험 조건·시험기 상태 점검(교정, 연결, 호스 누설), 재시험 규칙에 따른 재시험
2. 원인 구분: 글러브 자체 결함인지, 슬리브·커프링·O-링 문제인지, 시험 오류인지 구분하고 불합격 글러브는 보관해 결함 위치를 확인
3. 노출 범위 산정: 마지막 합격 시험 이후 그 글러브를 통해 이루어진 개입 목록(배치 기록의 개입 기록, 시간, 작업자)을 뽑아 개입 횟수와 종류(Grade A 직접 접촉 여부)를 확인
4. 보조 증거 검토: 해당 기간의 부유입자·미생물 환경모니터링(Grade A 낙하균, 글러브 프린트), 차압·기류 알람, 육안 점검 기록, 같은 기간의 APS 대비 개입 조건
5. 제품 영향평가: 영향받은 배치 범위 판단. 이전 시험이 합격이었다는 것만으로 범위를 좁히려면 시험 방법의 검출 능력과 시험 간격에 대한 근거가 필요
6. CAPA 및 CCS 갱신: 교체 주기·시험 주기 재평가, 해당 포트의 개입 방식 개선, 교육

핵심은 "시험 간격 + 개입 이력 + 환경모니터링 결과"를 한 장에 모아 설명할 수 있는 상태를 평소에 만들어 두는 것입니다. 사고가 난 뒤에 개입 기록을 찾기 시작하면 이미 늦는 경우가 많습니다.

7. 현장에서 자주 받는 지적과 점검 체크리스트

실제 적격성평가와 실사 대응을 하다 보면, 아래와 같은 지적이나 질문이 반복되는 경향이 있습니다.

• "교체 주기 근거가 뭔가요?" 제조사 권장 기간을 그대로 옮겨 적었을 뿐, 사내 사용 조건(제염 횟수, 개입 빈도)과 연결한 평가가 없는 경우
• 시험 방법 적합성 근거 부재: 시험기 사양서만 있고 양품·결함 글러브로 검출 능력을 확인한 자료가 없는 경우
• 허용기준이 SOP에만 있고 근거가 없음: 숫자의 출처를 묻는 질문에 답하기 어려운 경우
• 육안 점검 기록 누락: "매 사용 시" 점검이라고 써 놓고 실제로는 하루 한 번 서명만 하는 경우
• 글러브 포트별 이력 관리 없음: 어느 글러브를 언제 장착하고 교체했는지 추적이 안 되는 경우
• RABS 글러브 소독 정의 불명확: 배경 환경 노출이 무엇인지, 어떤 소독제로 얼마나 접촉시키는지 불분명한 경우
• 시험기 교정 누락: 글러브 시험기를 계측기 대장에 올리지 않은 경우
• 재시험 반복: 불합격 후 합격할 때까지 반복해서 결과를 남긴 경우

8. 자주 묻는 질문(FAQ)

Q1. RABS 글러브도 아이솔레이터처럼 배치마다 누설 시험을 해야 하나요?
Annex 1은 RABS에 대해 "주기적으로"라고만 쓰고 있습니다. 배치마다 해야 한다는 문장은 없습니다. 다만 개입이 많거나 글러브 손상 위험이 큰 공정이라면 위험평가로 더 촘촘한 주기를 정하는 것이 방어하기 쉽고, 어떤 주기를 택하든 CCS에 근거와 함께 적어 두어야 합니다.

Q2. 시험에 합격하면 교체 주기까지 사용해도 되나요?
교체 주기는 상한선일 뿐입니다. 육안 점검에서 이상이 보이거나 시험 추세가 나빠지면 주기 전에라도 교체해야 하고, 그 기준을 SOP에 써 두는 것이 좋습니다.

Q3. 이중 장갑(안쪽 얇은 장갑)을 쓰면 시험을 줄여도 되나요?
그렇게 해석하기는 어렵습니다. FDA 가이던스가 이중 장갑을 권고하는 이유는 시험 민감도의 한계를 보완하기 위한 것이지 시험을 대체하기 위한 것이 아닙니다.

Q4. 글러브 프린트에서 균이 나오면 글러브를 바로 교체해야 하나요?
Grade A의 기준은 No growth입니다. 기준 초과는 일탈로 처리해 조사하고, 글러브 상태 점검과 누설 시험을 포함해 원인을 확인하는 것이 일반적인 흐름입니다. 개입 직후 모니터링을 했다면 9.25에 따라 겉 장갑 교체도 잊지 마세요.

Q5. 새 글러브를 장착한 뒤에도 시험이 필요한가요?
장착 직후에는 연결 불량이 가장 흔한 문제라 누설 시험을 하고 기록하는 것을 권합니다. 이는 Annex 1이 직접 요구한 문장은 아니지만 시험 이력 관리 측면에서 현장에서 널리 쓰는 방식입니다.

핵심 정리

참고 문헌

• EU GMP Annex 1: Manufacture of Sterile Medicinal Products (2022), Sections 4.3, 4.4, 4.18-4.22, 7.16, 8.16-8.17, 9.25, Table 6 - European Commission 공식 PDF
• FDA, Guidance for Industry: Sterile Drug Products Produced by Aseptic Processing - Current Good Manufacturing Practice (2004), Appendix 1: Aseptic Processing Isolators (A.1 General, A.2 Glove Integrity, G. Personnel) - FDA 공식 PDF

과산화수소(VHP) 멸균 사이클 개발과 BI 배치: 컨디셔닝·분사·에어레이션부터 잔류 H2O2까지

1. VHP(Vaporized Hydrogen Peroxide) 사이클의 네 단계와 용어 정리

VHP 장비마다 단계 이름은 조금씩 다르지만, 실제 사이클 곡선을 펼쳐 보면 거의 모두 아래 네 구간으로 나뉩니다. 먼저 저희가 Protocol에서 쓰는 이름으로 통일해 두겠습니다.

여기서 짚어 둘 점은 "멸균(Sterilization)"과 "제염(Decontamination / Bio-decontamination)"이라는 말이 현장에서 섞여 쓰인다는 것입니다. 이 차이는 2장에서 짚어 보겠습니다.

2. 의료기기 멸균(ISO 22441)과 제약 제염을 구분해야 하는 이유

같은 VHP라도 목적에 따라 따라야 하는 문서의 결이 다릅니다. 이 구분이 흐릿하면 Protocol의 판정기준부터 흔들립니다.

ISO 22441:2022는 의료기기용 저온 기화 과산화수소 멸균 공정의 개발, 밸리데이션, 일상 모니터링과 관리에 필요한 요건을 다루는 표준입니다. 과산화수소 용액을 다른 화학물질과 섞어 쓰는 공정이나 실(room) 환경 제염 시스템은 범위에 들어가지 않습니다. ISO 22441의 범위만 보아도, 제약사의 아이솔레이터 제염 사이클을 이 표준 하나로 판단하기는 어렵다는 점은 분명합니다.

제약 쪽 근거는 Annex 1과 FDA 가이던스입니다. 두 문서 모두 "사이클 파라미터를 정해 놓고, 그 안에서 자동으로 돌리고, 밸리데이션한다"는 방향이 같습니다.

무균시험 시료 쪽은 제염 효능뿐 아니라 H2O2가 시험 결과를 억제하지 않는다는 근거도 같이 있어야 합니다.

3. 사이클 개발: 무엇을 변수로 보고 어떻게 줄여 나갈까

배경부터 말씀드리면, 사이클 개발이 부실하면 밸리데이션(PQ) 세 번 연속 성공이 의미를 잃습니다. 개발 단계에서 "어디까지 줄이면 실패하는지"를 모르는 채 제조사 기본 레시피로 PQ만 하면, 계절이 바뀌고 적재 패턴이 달라질 때 어느 날 갑자기 BI가 양성으로 나옵니다.

FDA 가이던스는 이 부분을 이렇게 말합니다.

실무에서는 보통 다음 순서로 개발합니다.

• 1) 대상 정의: 챔버 용적, 내부 재질(스테인리스, 유리, 실리콘, 폴리카보네이트, 글러브 소재 등), 적재물 목록과 최대 적재 구성
• 2) 시작 조건 설정: 제습 후 허용 온도·RH 범위. 계절별 최악(여름 고습)을 포함
• 3) 주입 조건 탐색: 주입 속도와 노출 시간을 조합해 농도 곡선을 확인하고, 응축이 생기는 상한을 찾음
• 4) 분포 확인: 농도 센서·화학 지표로 챔버 안 위치별 도달 시간과 농도 차이를 확인
• 5) BI 반감기 접근: 노출 시간을 짧은 쪽부터 단계적으로 늘려 BI가 전부 불활성화되는 최소 시간을 찾음(Fractional cycle 개념)
• 6) 사이클 확정: 확인한 최소 시간에 여유를 더해 최종 노출 시간을 정하고, 여유의 근거를 개발 보고서에 서술

FDA 가이던스는 VHP 같은 기화제의 특성상 fraction negative 같은 통계적 방법으로 공정 치사율을 재는 방식을 신뢰성 있게 쓰기 어렵다고 설명합니다(같은 문서 D.2). 그래서 현장에서는 "정량된 BI를 여러 재질, 여러 위치에 놓고, 시간을 줄인 사이클에서의 사멸 경향을 보는 방식"이 기본이 됩니다. 시간뿐 아니라 주입량, 시작 RH, 적재량 쪽 한계 조건도 따로 보여 주시는 것을 권합니다.

4. 응축(Condensation)은 왜 가장 큰 위험일까

VHP는 H2O2와 수증기가 섞인 혼합 기체입니다. 공기가 포화 상태를 넘으면 표면에 미세한 액막이 생기고, 이 현상을 응축이라고 합니다. 일부 공정은 이 미세 응축을 효능에 활용하지만, 눈에 보이는 큰 물방울이 생기는 단계는 대부분 문제로 봅니다. 응축이 문제인 이유는 세 가지입니다.

• 재질 부식·열화: 고무 개스킷, 센서, 글러브 소재에 고농도 H2O2가 닿는 시간이 길어집니다.
• 에어레이션 지연: 액막이 증발·분해되면서 잔류 H2O2 농도가 오래 남습니다.
• 효능의 불균일: 응축된 부위와 안 된 부위의 노출 조건이 달라져 BI 결과가 위치별로 갈립니다.

응축 관리는 "온도를 올려서 응축을 피한다"라는 한 줄로 끝나지 않습니다. 챔버 벽, 도어 틈, 적재물 아래처럼 온도가 낮은 지점(cold spot)이 있으면 그 지점에서 응축이 먼저 시작되기 때문입니다. 저희가 개발 단계에서 자주 권하는 방법은 온도 센서를 챔버 내 가장 차가운 지점과 환기 흐름이 약한 지점에 붙여 두고, 컨디셔닝 중 표면 온도와 노출 환경 온도의 차이를 기록하는 것입니다. 육안 관찰이 가능한 창이나 카메라가 있다면 응축 유무를 사이클마다 기록으로 남기세요. 투명창에 맺힌 액막은 가장 쉬운 간접 증거입니다.

MHRA 인스펙터 블로그는 VHP 공정이 "매우 깨지기 쉽다(incredibly fragile)"는 취지로 설명하고, 약간의 가림(occlusion)이나 지문의 지방산만으로도 보호 효과가 생길 수 있다고 지적합니다. 같은 글에서 직접·간접 접촉 부품은 습열·건열 같은 견고한 방법으로 멸균하고, VHP 제염 사이클이 끝난 뒤에야 아이솔레이터에 들이는 방향을 기대한다고 설명합니다.

5. BI 6-log 챌린지: 종류, 개수, 배치

VHP 사이클의 BI는 Geobacillus stearothermophilus(구 Bacillus stearothermophilus) 포자를 스테인리스 스틸 디스크 같은 담체에 접종한 것이 가장 널리 쓰입니다. 접종 균수는 10⁶ CFU/담체 이상(6-log)을 기본으로 하되, 용도에 따라 4-log를 쓰는 경우도 있습니다. FDA 가이던스는 BI 포자 역가(titer)와 배치 위치 선정을 "정당화해야 한다"고 요구하고, 오염 가능성이 낮은 반입 물품에는 4-log 감소로도 충분할 수 있다는 예를 듭니다. 동시에 제품 접촉 표면을 제염으로 처리하는 경우에는 최소 6-log 감소를 입증하도록 요구합니다.

BI 자체의 품질도 문서로 확인합니다. 로트별 성적서의 균수, D-value(H2O2 조건에서의 D값 제공 여부), 유효기간, 담체 재질을 입고 시 확인하고, 사이클 개발·PQ에 쓰는 BI 로트를 기록합니다. Annex 1 용어 정의에서도 BI의 품질은 "입고 로트의 D-value, 미생물 계수, 순도"로 정의됩니다.

같은 위치에 BI를 3개씩 놓는 방식은 포자 뭉침(clumping) 때문에 한두 개 양성이 나왔을 때 "통계적으로 설명"하려고 쓰이기도 했습니다. MHRA는 이런 접근이 결과적으로 3-log 감소 수준만 보여 주는 것이어서 멸균 공정이라 하기 어렵다는 입장을 밝힌 바 있습니다. 그래서 저희는 "일부 양성을 통계로 덮는 구성"이 아니라, "개발 단계에서 양성이 나온 위치를 원인까지 풀어서 사이클이나 배치를 고치는 구성"으로 문서를 쓰시도록 안내드립니다.

6. 최악 위치(Worst-case) 선정 방법

아이솔레이터 전체 표면에 BI를 붙일 수는 없으니 어디에 놓느냐가 핵심 논리가 됩니다. FDA 가이던스는 "다양한 재질 위, 접근하기 어려운 곳을 포함해 격리기 내 여러 위치"에 정량된 BI를 놓으라고 합니다. 배치 근거를 문서로 남기려면 다음 기준을 표로 정리해 두는 것이 가장 깔끔합니다.

선정 순서는 간단합니다. 먼저 개발 단계에서 화학 지표와 농도 센서로 도달이 느린 위치를 찾고, 그 위치와 재질 조합에 BI를 놓은 사이클을 짧게 돌려 실제 사멸이 늦은 곳을 확인합니다. 그다음 PQ에서는 개발 중 가장 어렵게 죽은 위치들을 모두 포함시켜 배치도를 확정합니다. 배치도에는 위치 번호, 재질, 방향(수평/수직), 높이, 사진을 넣어 두세요. 감사 때 가장 자주 받는 요청이 "이 번호가 어느 위치인지 보여 달라"입니다.

7. 화학 지표·농도 센서는 어디까지 쓸까

BI는 결과가 나오기까지 시간이 걸리고, 양성·음성이라는 정성 정보만 줍니다. 그래서 개발 단계에서는 BI와 함께 다음 도구를 섞어 씁니다.

• 화학 지표(Chemical indicator): 색 변화로 약제가 해당 위치에 도달했는지 보는 정성 도구입니다. FDA 가이던스도 "약제가 특정 위치에 도달했음을 보여 주는 정성적 도구로 유용할 수 있다"고 설명합니다. 사멸 증거로는 쓰지 않고, 도달 시간 비교와 위치 탐색용으로 씁니다.
• H2O2 농도 센서: 챔버 내 실시간 농도 추이를 보여 주지만, 센서가 있는 한 점의 값입니다. 센서 위치가 최악 위치가 아니라는 점을 반드시 인정하고 문서에 적어 두세요. 교정 주기와 교정 방법도 Protocol에 포함됩니다.

8. 에어레이션과 잔류 과산화수소 관리

에어레이션은 사이클 개발 과정에서 가장 시간이 오래 걸리고, 뒤로 미뤄지기 쉬운 부분입니다. 문서가 확실히 필요한 이유는 두 가지입니다. 첫째, 제품·배지·시료가 H2O2에 노출되어 품질이 영향을 받지 않아야 합니다. 둘째, 작업자가 내부에 들어가거나 글러브로 접촉하기 전에 안전한 농도여야 합니다.

Annex 1 4.22는 제염·세척 약제가 RABS나 아이솔레이터 안에서 생산되는 제품에 나쁜 영향을 주지 않는다는 증거를 갖추라고 요구합니다.

같은 4.22는 세척이 제염 효능의 전제 조건이라는 점도 말합니다. 남은 잔류물이 제염 공정의 효능을 저해할 수 있다고 하니, 세척 상태 기준도 사이클 개발의 시작 조건에 포함하세요. 또한 FDA 가이던스는 환경 모니터링용 배지가 제염 사이클 잔류물에 노출되지 않도록 하라고 설명합니다. 잔류 H2O2가 접촉 플레이트의 회수율을 떨어뜨려 "균이 없다"는 잘못된 안심을 줄 수 있기 때문입니다.

잔류 H2O2의 기준값은 용도마다 다르게 잡습니다. 사람이 접촉하는 작업 공간은 직업 노출 한계를 근거로 하고(예: 미국 OSHA의 8시간 TWA는 1 ppm으로 널리 알려져 있습니다), 제품이나 시료가 노출되는 구역은 제품 품질 영향 시험으로 허용치를 정합니다. 어느 수준이면 충분하다는 숫자는 제품마다 다르므로, 저희는 제품별 평가로 접근하시기를 안내드립니다.

9. 개발부터 PQ까지 문서 구성 예시

Protocol 문구는 이런 식으로 쓰시면 판정이 흔들리지 않습니다. 예: "각 PQ 사이클에서 지정된 모든 위치의 6-log BI가 불활성화(전수 음성)되고, 양성 대조 BI는 양성, 음성 대조는 음성이어야 한다. 사이클 종료 시점의 잔류 H2O2 농도는 기준값 이하이며 이 기준에 도달할 때까지 에어레이션을 계속한다."

10. 현장에서 자주 받는 지적과 점검표

실제 적격성평가를 하다 보면 같은 지적이 반복되는 편입니다. 아래는 저희가 현장에서 자주 접하는 유형을 정리한 것입니다.

자주 묻는 질문(FAQ)

Q1. BI는 반드시 6-log를 써야 하나요?

FDA 가이던스는 용도에 따라 4~6 log를 정당화할 수 있다고 하면서도, 제염으로 제품 접촉 표면을 처리하는 경우에는 최소 6 log 감소를 요구합니다. 반입 물품 같은 낮은 오염 위험 대상은 4 log를 정당화할 수 있으나 그 근거를 문서화해야 합니다. 사이클 개발에서는 6-log를 쓰는 편이 안전합니다.

Q2. 의료기기 멸균 사이클 데이터를 아이솔레이터 제염에 그대로 써도 되나요?

대상과 목적이 달라 그대로 쓰기 어렵습니다. 챔버·재질·적재·잔류 허용 기준이 달라서 해당 설비에서 개발하고 밸리데이션하셔야 합니다.

Q3. 화학 지표가 변색됐으면 BI를 생략해도 되나요?

어렵습니다. 화학 지표는 약제가 그 위치에 도달했는지 보는 정성 도구이고, 사멸 증거는 아닙니다.

Q4. 에어레이션 시간은 고정해도 되나요?

계절·적재별로 잔류 농도 기준에 도달하는지 PQ에서 보여 주셔야 합니다. 농도 기준 도달을 종료 조건으로 두는 편이 더 안전합니다.

핵심 정리 및 참고 문헌

• EU GMP Annex 1 Manufacture of Sterile Medicinal Products (2022), Section 4.22, 10.8, Glossary
  https://health.ec.europa.eu/document/download/e05af55b-38e9-42bf-8495-194bbf0b9262_en?filename=20220825_gmp-an1_en_0.pdf
• FDA, Guidance for Industry: Sterile Drug Products Produced by Aseptic Processing - Current Good Manufacturing Practice (2004), Appendix 1 D, E
  https://www.fda.gov/media/71026/download
• ISO 22441:2022 Sterilization of health care products - Low temperature vaporized hydrogen peroxide
  https://www.iso.org/standard/73214.html
• MHRA Inspectorate Blog, VHP (vapour hydrogen peroxide) fragility
  https://mhrainspectorate.blog.gov.uk/2018/04/20/vhp-vapour-hydrogen-peroxide-fragility/

Autoclave 습열 멸균 ISO 17665 밸리데이션 - 생물학적 지표(BI) 선택과 Overkill 사이클 설계

1. 습열 멸균 밸리데이션의 흐름: IQ/OQ/PQ와 ISO 17665

현장에서 "Autoclave 밸리데이션을 어디서부터 시작해야 하나요?"라는 질문을 정말 자주 받습니다. 의료기기 습열 멸균은 ISO 17665 계열 표준(Part 1은 멸균 공정의 개발·밸리데이션·상시 관리 요구사항, TS 17665-2는 적용 가이드)이 기본 틀입니다. 유럽 의약품청(EMA)의 멸균 가이드라인도 참고 표준 목록에 같은 문서를 올려 두고 있어서, 의약품 쪽에서도 습열 멸균 사이클을 설계할 때 같은 사고방식을 씁니다.

밸리데이션 흐름은 우리에게 익숙한 IQ/OQ/PQ로 매핑하면 이해가 쉽습니다.

이 글은 이 중에서 PQ의 핵심인 "사이클을 어떤 논리로 정하고, BI로 어떻게 증명하는가"에 집중합니다. 멸균 방법 간의 비교, F0 계산 자체, 적재 패턴 구성, 건조 불량, Steam Quality 같은 주제는 이미 저희 블로그에 다른 글로 정리해 두었으니 여기서는 최소한만 언급하겠습니다.

한 가지 먼저 짚어 둘 것이 있습니다. ISO 17665는 유료 표준이라 조항 번호를 가져다 쓰기가 어렵고, 현업에서도 담당자마다 해석이 조금씩 다릅니다. 그래서 저희는 Protocol에 "ISO 17665 준용"이라고만 쓰기보다, 어떤 접근(Overkill 혹은 Bioburden/BI)을 택하는지, 합격 기준이 무엇인지를 문서 안에 직접 풀어 쓰시기를 권합니다. 심사에서 가장 먼저 묻는 것이 바로 그 논리이기 때문입니다.

2. Overkill(half-cycle) 접근과 Bioburden 접근, 무엇이 다른가

두 접근의 가장 큰 차이는 "제품 균 상태를 얼마나 알고 있어야 하는가"입니다.

Overkill 접근은 제품의 바이오버든이 얼마든, 내열성이 어떻든 상관없이 충분히 센 공정을 쓰자는 발상입니다. 통상 내열성이 큰 BI(예: 10⁶ spores/unit)를 가장 멸균하기 어려운 위치에 놓고, 노출 시간을 절반으로 줄인 half-cycle에서도 BI가 모두 사멸하도록 만듭니다. 그러면 정상 사이클(full cycle)은 그 두 배의 노출 시간을 가지므로 12 log 수준의 사멸이 보장됩니다. EMA 멸균 가이드라인의 정의도 같은 맥락입니다.

Bioburden 접근(Bioburden/BI 접근)은 반대로 제품 균을 정량·특성화해서 시작합니다. 바이오버든 수준과 내열성(D값)을 알고, 그보다 더 강한 BI를 챌린지로 써서 필요한 사멸 log를 계산해 사이클을 설계합니다. Overkill보다 짧은 사이클을 쓸 수 있어 열에 약한 제품이나 소재에는 유리하지만, 바이오버든 모니터링과 내열성 관리가 상시 필요합니다.

현장에서는 "그냥 Overkill로 가면 편하지 않나요?"라고 하시는 경우가 많습니다. 제품이 견딜 수 있다면 맞는 말입니다. 다만 Overkill이라고 해서 아무거나 되는 것은 아닙니다. Half-cycle 조건에서 실제로 BI가 전부 죽는다는 것을 가장 불리한 위치와 최대 부하에서 보여야 하고, 그 불리한 위치가 합리적인지 열전대 데이터로 뒷받침해야 합니다. 이 부분이 약하면 Overkill이라는 이름만 붙은 사이클이 됩니다.

반대로 Bioburden 접근을 택하셨다면, 바이오버든 한도를 "사이클이 감당할 수 있는 양"으로 정당화하면 안 됩니다. EMA 가이드라인도 이 점을 분명히 하고 있습니다.

3. 생물학적 지표(BI) 선택: Geobacillus stearothermophilus, D값, population

습열 멸균의 표준 BI는 Geobacillus stearothermophilus(지오바실러스 스테아로써모필러스)의 아포(spore)입니다. 증기 멸균에서 내열성이 높고 재현성이 좋아 오래 쓰여 왔습니다. 선택할 때 확인할 항목은 크게 네 가지입니다.

• 균종: 습열용은 G. stearothermophilus. (건열이나 EO는 다른 균종을 씁니다.)
• Population(초기 아포 수): 보통 10⁵~10⁶ spores/unit이 많이 쓰입니다. Overkill half-cycle 논리에는 10⁶이 계산이 깔끔합니다.
• D값(D₁₂₁): 121 °C에서 균을 90%(1 log) 줄이는 데 걸리는 시간입니다. 제조사 성적서에 로트별로 나옵니다.
• 담체와 포장: 스트립, 자기식(self-contained) 앰풀, 액체 부하용 등. 부하의 성격에 맞아야 합니다.

EMA 가이드라인 Table 1은 BI의 내열성을 사이클 유형과 직접 연결합니다. 정리하면 이렇습니다.

또 하나 실무에서 놓치기 쉬운 문장이 있습니다. BI의 D값이 낮으면 증명된 SAL은 숫자로는 좋아 보이지만 안전 여유는 줄어든다는 내용입니다.

BI 선택에서 자주 생기는 문제:

• 사용 기한이 지났거나 보관 조건이 맞지 않은 BI 사용. 성적서의 population과 D값은 유효기간 안에서만 의미가 있습니다.
• 성적서의 D값이 121 °C 기준인데, 실제 사이클 온도가 134 °C인 경우처럼 온도가 다른데도 그 값을 그대로 가져다 쓰는 경우. 해당 온도에서의 값(또는 z값 기반 환산)이 필요합니다.
• 대조군(Positive control)을 같은 로트로 배양하지 않아, 음성 결과가 BI 문제인지 사멸인지 구분이 안 되는 경우.
• BI를 포장 안쪽 가장 불리한 곳에 두어야 하는데 포장 바깥에만 붙인 경우.

BI를 새로 구입하실 때마다 로트별 population, D값, 보관 조건을 성적서에서 확인하고, 사용 전 수령 검사 기록에 남기시기를 권합니다. 사소해 보여도 심사에서는 이 서류가 먼저 열립니다.

4. SAL 10^-6은 어떻게 계산되나: 단계별 예시

SAL(Sterility Assurance Level, 무균성 보증 수준) 10^-6은 멸균된 제품 100만 개 중 비멸균 제품이 1개를 넘지 않을 확률이라는 뜻입니다. EMA 가이드라인의 정의도 같은 표현을 씁니다. 어려운 개념 같지만, 계산 자체는 로그만 알면 단순합니다.

또한 EMA 가이드라인은 SAL을 가급적 "최대 바이오버든(maximum bioburden per container)"과 BI의 D값으로 계산하라고 요구합니다(Section 4.1.1). 아래는 숫자를 단순화한 가상의 예시입니다.

같은 BI(D₁₂₁ 1.5분)를 쓰더라도 Overkill 방식은 18분 상당, Bioburden 방식은 바이오버든이 낮다는 근거를 갖고 12분 상당으로 설계할 수 있다는 것을 이 간단한 예시가 보여 줍니다. 그만큼 Bioburden 접근에서는 "최대 바이오버든이 정말 10²를 넘지 않는가"가 설계의 전제가 되고, 그 전제가 흔들리면 SAL 계산 전체가 흔들립니다.

참고로 EMA 가이드라인은 steam sterilisation 전반에 대해 최소 F₀ ≥ 8분, 최소 유지 온도 110 °C를 요구합니다(Section 4.1.1). 이 기준은 의약품 허가 자료를 전제로 한 것이어서, 의료기기 ISO 17665 밸리데이션과 그대로 같지는 않다는 점을 구분해 두시면 좋습니다. 같은 Autoclave라도 "무엇을 멸균하는가"에 따라 적용 문서가 달라집니다.

5. 열전대와 BI 위치, 그리고 F0와의 연결

"물리적 밸리데이션(열전대)"과 "생물학적 밸리데이션(BI)"은 따로 놀면 안 됩니다. 두 결과가 같은 위치에서 서로를 뒷받침해야 합니다. 이 연결고리를 EU GMP Annex 1(2022)이 짧지만 명확하게 적고 있습니다.

실무에서는 다음 순서로 연결하시면 됩니다.

1. OQ 열분포에서 cold spot을 찾습니다. 빈 챔버에서 열전대를 고르게 분산 배치해 가장 늦게 데워지는 위치를 확인합니다. 보통 배수구 부근이 선택됩니다.
2. PQ에서는 부하 안의 가장 멸균하기 어려운 위치(Worst-case)를 찾습니다. 포장 겹, 루멘(lumen)이 있는 기구, 무거운 금속 부품 등 열과 증기가 늦게 닿는 곳입니다.
3. 그 위치에 열전대와 BI를 같이 둡니다. 열전대 끝과 BI를 가능한 한 가깝게 두어, 그 지점이 겪은 온도 이력(F0)과 BI 사멸 결과를 한 쌍으로 해석합니다.
4. F0를 계산해 물리 합격 기준을 확인합니다. 열전대별 F0 편차, 지점 간 온도 차이도 함께 봅니다. (F0 계산식은 별도 글 참고)
5. BI 결과(전부 사멸)를 확인해 두 결과가 일치하는지 판단합니다. 물리 기준은 통과했는데 BI가 생존했거나, 반대의 경우는 반드시 조사합니다.

EMA 가이드라인도 물리·생물 결과의 관계를 요구합니다. 최소 세 번의 멸균 런에서 목표 SAL을 입증하고, 부하 내 센서 간 온도 차이와 F0 편차가 허용 범위인지, 그리고 "Relationship between physical and biological validation"이 있는지 보라는 내용입니다(Section 4.1.1). 즉 열전대 데이터와 BI 결과를 따로 요약하지 말고 표 한 장에서 만나게 하라는 뜻입니다.

Annex 1은 제어·기록용 프로브의 위치도 다룹니다. 검증 중에 독립 모니터링 프로브를 같은 위치에 두어 기능과 위치를 확인하라는 내용(8.51)입니다. 공정 제어 센서가 실제 챔버 상태를 대표하는지 열전대로 한 번 더 증명하라는 것이니, OQ/PQ Protocol에 이 비교를 꼭 넣어 두세요.

6. Autoclave 사이클 설정과 Protocol 문구 예

사이클을 정할 때는 위의 논리를 문서에 그대로 옮기면 됩니다. 아래는 Protocol이나 SOP에 넣을 수 있는 문구 예시입니다. 설비와 제품에 맞게 수정해서 쓰시기 바랍니다.

사이클 설정 시 확인할 파라미터 목록

• 예비 진공 횟수·깊이, 증기 주입 단계(공기 제거 충분성)
• 노출 온도(설정값 및 허용 범위)와 노출 시간, 평형(equilibration) 시간
• 배수구 온도 기록(Annex 1 8.58: 예비 진공 사이클에서는 유지 시간 동안 챔버 배수구에서 온도를 기록), 압력-온도 상관
• 건조 단계 시간·진공 (Annex 1 8.56: 적재물은 꺼낼 때 건조해야 하며, 건조 여부를 육안으로 확인)
• 부하별(최대/최소/대표) 사이클 연결, 불합격 시 조치 기준

Annex 1은 porous cycle의 밸리데이션에 평형 시간, 노출 시간, 압력과 온도의 상관, 노출 중 최소/최대 온도 범위 계산이 들어가야 한다고 적고 있습니다(8.59). 이 항목들이 PQ 보고서에 빠짐없이 들어 있는지만 점검해도 상당수 지적을 피할 수 있습니다.

제약 Autoclave에도 똑같이 적용됩니다. 의약품 제조에서 쓰는 Autoclave(포장된 기구, 필터, 호스, 마개, 의류 등을 멸균하는 hard goods 사이클, 액체 사이클)도 위의 논리 구조가 같습니다. 다른 점은 적용 문서입니다. 의료기기는 ISO 17665를 중심으로 하고, 제약은 Annex 1(2022)과 EMA/PIC/S 등 GMP 문서 요구사항이 얹힙니다. 매일 하는 공기 제거 시험(Annex 1 8.61: autoclave는 normally 매일 air removal test 혹은 air detector)이나 주기적 누설 시험(8.60: normally 주 1회), 연 1회 이상의 재밸리데이션(8.39: worst case 적재 패턴은 최소 연 1회)처럼 GMP 쪽에서 더 구체적으로 정한 주기도 있으니 함께 반영하세요.

7. 현장에서 자주 받는 지적 사항 체크리스트

실제 적격성평가 현장에서 반복해서 보이는 지적 유형을 모았습니다. 보고서를 제출하기 전에 한 번 점검해 보세요.

8. 자주 묻는 질문(FAQ)

Q1. BI 하나만 써도 SAL 10^-6을 주장할 수 있나요?
BI 결과만으로는 부족합니다. 물리적 측정(온도, 압력, 시간, F0)으로 모든 위치가 조건을 만족한다는 것이 먼저이고, BI는 그 결과를 생물학적으로 확인하는 역할입니다. 두 결과의 관계를 같이 제시하셔야 합니다.

Q2. Half-cycle로 3회 하면 충분한가요?
EMA 가이드라인이 물리적·생물학적 효과 확인을 최소 세 번의 런으로 요구하므로 3회가 기본선입니다. 부하 유형이 여러 개라면 최대·최소 부하별로 각각 확보해 두시는 것이 안전합니다.

Q3. D값이 1.5분보다 낮은 BI를 써도 되나요?
EMA 가이드라인은 D₁₂₁ ≥ 1.5분 BI를 기본으로 하고, 그보다 낮은 BI를 쓰면 추가 자료(시작점 정당화, 해당 온도 범위에서의 저항성 입증 등)를 요구합니다. 가능하면 처음부터 1.5분 이상인 BI를 쓰는 편이 설명이 쉽습니다.

Q4. 정기 재적격성평가에도 BI를 매번 써야 하나요?
회사의 재밸리데이션 정책과 위험평가에 따라 다릅니다. 다만 사이클 설계 논리가 Overkill에 있다면 재적격성평가에서도 worst-case 위치의 BI 챌린지를 주기적으로 반복하는 구성이 일반적입니다. Annex 1은 worst case 적재 패턴의 열 멸균 사이클을 최소 연 1회 재밸리데이션하도록 규정합니다(8.39).

Q5. 의료기기용 ISO 17665와 제약 GMP 요구는 어떻게 맞추나요?
같은 Autoclave를 겸용한다면 두 문서의 요구를 모두 만족하도록 Protocol을 쓰시면 됩니다. 사이클 논리는 같고, 제약 쪽에서는 일일 공기 제거 시험, 누설 시험, 데이터 완전성(ALCOA+)과 CSV 요구가 더 구체적입니다.

9. 핵심 정리

참고 문헌

• EMA, Guideline on the sterilisation of the medicinal product, active substance, excipient and primary container (EMA/CHMP/CVMP/QWP/850374/2015, 6 March 2019): EMA 원문 PDF
• European Commission, EU GMP Annex 1 Manufacture of Sterile Medicinal Products (2022): Annex 1 원문 PDF
• ISO 17665-1 / ISO/TS 17665-2 Sterilization of health care products - Moist heat (유료 표준, EMA 가이드라인 참고 문헌 목록에 수록)

PUPSIT 도입 vs 면제: 필터 무결성 시험, Annex 1 8.87 위험평가(ICH Q9)로 근거 쓰는 법

1. PUPSIT, 8.87이 실제로 요구하는 것

현장에서 가장 자주 받는 질문이 "Annex 1 개정 이후 PUPSIT는 무조건 해야 하나요?"입니다. 조문을 그대로 읽으면 기본 요구는 분명하지만 예외 경로도 함께 적혀 있습니다. 개정 Annex 1은 2022년 8월 25일 발행되었고 2023년 8월 25일부터 시행되었습니다(제한적 예외 조항은 2024년 8월 25일). 먼저 핵심 문장부터 보겠습니다.

8.87 The integrity of the sterilised filter assembly should be verified by integrity testing before use (pre-use post sterilisation integrity test or PUPSIT), to check for damage and loss of integrity caused by the filter preparation prior to use.
EU GMP Annex 1 Manufacture of Sterile Medicinal Products (2022), Section 8, para 8.87

It is recognized that PUPSIT may not always be possible after sterilisation due to process constraints (e.g. the filtration of very small volumes of solution). In these cases, an alternative approach may be taken providing that a thorough risk assessment has been performed and compliance is achieved by the implementation of appropriate controls to mitigate any risk of a non-integral filtration system.
EU GMP Annex 1 (2022), para 8.87

여기서 읽어야 할 포인트는 세 가지입니다. 첫째, 기본값은 PUPSIT 실시입니다. 둘째, 면제(대안)는 "공정 제약"이라는 이유와 "철저한 위험평가"와 "적절한 관리"가 모두 갖춰져야 성립합니다. 셋째, 사용 후 시험(post-use)은 면제 대상이 아니며 하우징에서 필터를 분리하기 전에 비파괴 시험을 하라는 요구가 같은 조문에 붙어 있습니다. 즉 면제는 PUPSIT 한 가지에만 해당하고, 사용 후 시험과 그 시험의 밸리데이션은 그대로 남습니다.

2. 도입이 기본값인 이유와 PUPSIT가 잡아내는 불량

멸균 필터는 제조사 출하 시 무결성 시험을 통과했더라도, 이후 멸균(오토클레이브·감마·SIP), 운송, 설치, 습윤 과정에서 손상될 수 있습니다. 사용 후 시험만 한다면 필터에 구멍이 있어도 그 시점에 이미 제품이 여과된 뒤입니다. 사용 후 시험이 불합격이면 배치 전체가 위험해지고, 더 곤란한 경우는 제품 성분이나 입자 때문에 사용 후 시험값이 달라져 불량 필터가 합격으로 보이는 경우입니다. 8.85에도 이 점이 명시되어 있습니다.

The specific product type, including particle burden and whether there exists any risk of impact on filter integrity values, such as the potential to alter integrity-testing values and therefore prevent the detection of a non-integral filter during a post-use filter integrity test.
EU GMP Annex 1 (2022), para 8.85 (밸리데이션 시 설정할 여과 파라미터 중)

이 문장이 PUPSIT 논쟁의 핵심입니다. 사용 후 시험이 제품 영향으로 가려질 수 있다면 사용 전 시험이 유일한 방어선이 되기 때문입니다. 반대로 제품이 맑고 시험 영향이 거의 없다는 것을 데이터로 보일 수 있다면, 면제 논리에서 한 축이 됩니다.

PUPSIT가 현장에서 갖는 부담도 분명합니다. 멸균 후 필터 하류를 열어 시험하면 무균 연결이 늘어나고 하류 무균성을 해칠 위험이 생깁니다. 그래서 8.82 vi은 가능하면 폐쇄 시스템에서 사용 전·후 in-place 시험을 하도록 설계하라고 하고, iii은 최종 필터와 충전 사이 무균 연결을 줄이라고 합니다. 설계가 이 방향으로 가 있지 않은 시설에서 PUPSIT 도입을 검토하면 대개 무균 연결 설계 문제까지 같이 풀어야 합니다.

3. 면제 가능 조건: 어떤 경우에 대안이 인정되나

조문이 예로 든 사유는 "very small volumes of solution"뿐입니다. 이 말은 소량이면 자동으로 면제된다는 뜻이 아니라 "공정 제약이 구체적으로 입증되는 경우"를 말합니다. 실무에서 설득력 있게 쓰이는 사유를 정리하면 다음과 같습니다.

• 필터 하류 손실량 문제: 습윤 후 시험하면 하류 쪽에 남는 습윤액·제품 손실이 허용 범위를 넘는 극소량 배치.
• 무균 연결 증가: 시험을 위해 하류를 개방하거나 추가 연결을 만들어야 하고, 이를 폐쇄계로 해결할 수 없는 설비 구조.
• 제품 특성: 고가·희소 제품, 습윤액이 제품과 섞이는 것이 품질에 영향을 주는 경우.
• 설계상 불가: 일회용 어셈블리처럼 사전 시험 포트가 없고 시험 절차가 시스템 구성을 바꾸는 경우.

사유가 정리되었다면, 조문이 요구하는 평가 항목을 모두 다뤄야 합니다. 아래가 8.87 뒷부분의 고려사항입니다.

Points to consider in such a risk assessment should include but are not limited to: i. In depth knowledge and control of the filter sterilisation process to ensure that the potential for damage to the filter is minimized. ii. In depth knowledge and control of the supply chain to include: Contract sterilisation facilities; Defined transport mechanisms; Packaging of the sterilised filter, to prevent damage to the filter during transportation and storage. iii. In depth process knowledge such as: the specific product type, including particle burden...; pre-filtration and processing steps, prior to the final sterilising grade filter, which would remove particle burden and clarify the product prior to the sterile filtration.
EU GMP Annex 1 (2022), para 8.87 i~iii (발췌)

4. 위험평가서 구성: ICH Q9 흐름에 8.87 항목 얹기

ICH Q9(R1)의 위험관리 흐름(위험 식별, 분석, 평가, 위험 통제, 위험 검토)을 그대로 따라가면 문서 구조가 자연스럽게 잡힙니다. ICH Q9(R1)은 노력의 수준과 문서화 정도가 위험 수준에 비례해야 한다고 말합니다.

The level of effort, formality and documentation of the quality risk management process should be commensurate with the level of risk.
ICH Q9(R1) Quality Risk Management, Section 3 (Principles of QRM)

무균 충전의 최종 필터는 환자 위험이 큰 항목이므로 간이 FMEA 한 장으로 끝내기 어렵고, 근거 데이터를 부록으로 붙인 별도 보고서 형태가 안전합니다. 저희가 권하는 목차는 아래와 같습니다.

ICH Q9(R1)은 위험 통제가 위험을 허용 가능한 수준으로 낮추는 것이 목적이라고 규정합니다. 이 말은 평가서 결론이 "잔류 위험이 허용 가능하다"는 문장 한 줄이 아니라, 어떤 통제를 걸었더니 어느 항목의 위험이 줄었는지 보여야 한다는 뜻입니다. 통제 전·후 점수를 같은 표에 나란히 두는 형식을 추천합니다.

5. 필터 손상·막힘 위험, 습윤액·유속 항목 쓰는 법

평가서의 본문은 "필터가 손상될 수 있는 경로"와 "사용 후 시험이 그것을 잡아낼 수 있는지"를 짝으로 쓰는 것입니다. 8.85가 밸리데이션 시 정하라고 요구하는 파라미터와 연결하면 근거가 훨씬 탄탄해집니다.

Filtration parameters that should be considered and established during validation should include, but are not limited to: i. The wetting fluid used for filter integrity testing ... Maximum filtration time/total time filter is in contact with the fluid. Maximum operating pressure. Flow rate. Maximum filtration volume. Temperature.
EU GMP Annex 1 (2022), para 8.85 (발췌)

막힘은 "손상"과 다른 위험입니다. 막힘은 여과 시간을 늘리고 압력을 올려 필터를 열화시키며, 제품 잔류물이 시험값에 영향을 줍니다. 평가서에서 이 둘을 구분하지 않고 "필터 위험"으로 뭉뚱그리면 통제 수단이 대응되지 않아 지적받기 쉽습니다. 또한 8.86에 따라 최소 여과 시간과 필터 전후 압력차 같은 핵심 공정 파라미터는 배치 기록에 남기고, 유의한 편차는 조사해야 합니다.

6. 면제 시 대체 관리: 통합 필터 무결성 시험과 공급사 데이터

PUPSIT를 하지 않는다면 8.87 문장대로 "적절한 관리"가 대신해야 합니다. 현장에서 정리하는 대체 관리는 크게 네 갈래입니다.

• 사용 후 무결성 시험(필수): 8.87 후반부와 같이 하우징에서 분리하기 전에 비파괴 시험(버블포인트, 확산 유량, 워터 인트루전, 압력 유지 시험 등)을 하고, 시험이 밸리데이션 때 확립된 미생물 보유 능력과 상관관계가 있음을 입증합니다.
• 필터 선정과 공급사 데이터: 제조사의 미생물 보유(bacterial retention) 밸리데이션, 출하 시험 성적서, 로트 추적성, 변경 통보 약정.
• 멸균·운송 통제: 위탁 멸균 업체 감사, 포장 사양, 운송 조건, 입고 검사 기준(8.87 ii).
• 공정 조건 통제: 전여과로 입자 부하 저감, 압력·유속·여과 시간 등 검증된 파라미터 준수와 배치 기록(8.86).

일회용 시스템을 쓴다면 8.132 v가 사전·사후 무결성 시험 수행 자체를 SUS 위험 항목으로 둔다는 점도 같이 평가서에 올려야 합니다. 또 8.91은 여러 필터로 하나의 멸균 시스템을 밸리데이션했다면 그 전체를 단일 멸균 단위로 보고 모든 필터가 사용 후 시험을 통과해야 한다고 정하니, 직렬 필터 구성이라면 이 조항도 같이 보세요.

8.91 If the sterilising filtration process has been validated as a system consisting of multiple filters to achieve the sterility for a given fluid, the filtration system is considered to be a single sterilising unit and all filters within the system should satisfactorily pass integrity testing after use.
EU GMP Annex 1 (2022), para 8.91

7. 현장에서 자주 지적받는 점과 문서 문구 예

실제 적격성평가와 문서 검토를 하다 보면 같은 부분에서 반복해서 막힙니다. 일반적으로 많이 보이는 경향은 다음과 같습니다.

• "소량이라서"만 적고 손실량·연결 수 같은 정량 근거가 없다.
• 8.87 i~iii 중 공급망(위탁 멸균·운송·포장) 항목이 빠져 있다.
• 사용 후 시험과 미생물 보유 능력의 상관관계 설명이 없다.
• 평가서 작성 후 필터 모델·공급사·멸균 방식이 바뀌었는데 재평가 기록이 없다.
• 습윤액을 제품과 다른 것으로 쓰면서 시험값 기준 설정 근거가 없다.
• PUPSIT를 하는 설비인데 시험 중 하류 개방에 대한 무균성 평가가 없다.

평가서 결론에 넣을 문구는 아래처럼 근거 문서를 번호로 연결하면 좋습니다. (예시 문안)

반대로 PUPSIT를 도입하는 쪽이라면 시험 SOP에 습윤액, 시험 압력, 허용 기준(제조사 값 또는 밸리데이션 값), 불합격 시 재습윤·재시험 허용 횟수와 조사 절차를 명시하세요. 불합격 후 조사 방법은 별도 글에서 다뤘으니 참고하시면 됩니다.

8. 자주 묻는 질문(FAQ)

Q1. 소량이면 PUPSIT 면제가 자동으로 되나요?

아닙니다. 조문은 극소량 여과를 하나의 예로 들 뿐이고, 철저한 위험평가와 적절한 관리가 갖춰져야 합니다.

Q2. 면제하면 사용 후 시험도 줄여도 되나요?

안 됩니다. 8.87은 사용 후 비파괴 시험을 하우징에서 분리하기 전에 수행하도록 요구하며, 이는 면제 대상이 아닙니다.

Q3. 위험평가는 어떤 도구로 쓰나요?

도구 지정은 없습니다. FMEA 같은 정형 도구를 쓰되 ICH Q9(R1)의 원칙대로 위험 수준에 비례해 근거를 충분히 붙이면 됩니다.

Q4. 일회용 어셈블리는 어떻게 하나요?

8.132 v에 따라 SUS 위험 항목에 사전·사후 시험 수행을 포함해 평가하고, 공급사 멸균·포장 데이터를 근거로 올립니다.

Q5. 한 번 쓴 평가서를 계속 써도 되나요?

공정·필터·공급사·제품이 바뀌면 재평가가 필요합니다. 변경관리와 연동해 두세요.

9. 핵심 정리

• 기본값은 PUPSIT 실시이고, 면제는 공정 제약이 있을 때 철저한 위험평가와 적절한 관리로만 가능합니다.
• 평가서에는 8.87의 i 필터 멸균 공정, ii 공급망, iii 제품·전여과 공정 지식을 모두 담습니다.
• 손상과 막힘을 구분하고, 습윤액·유속·압력·여과 시간은 8.85·8.86 파라미터와 연결합니다.
• 사용 후 시험, 공급사 데이터, 멸균·운송 통제, 공정 조건 관리가 대체 관리의 뼈대입니다.
• 변경이 있을 때마다 재평가하는 구조를 문서에 넣으세요.

참고 문헌

• EU GMP Annex 1 Manufacture of Sterile Medicinal Products (2022): https://health.ec.europa.eu/system/files/2022-08/20220825_gmp-an1_en_0.pdf
• ICH Q9(R1) Quality Risk Management: https://database.ich.org/sites/default/files/ICH_Q9(R1)_Guideline_Step4_2022_1219.pdf

데이터 무결성 Q&A: Audit Trail 검토와 전자기록 승인

1. Q. Audit trail은 원자료와 다른 문서인가요?

아닙니다. Audit trail은 전자기록의 생성·수정·삭제·재처리 같은 사건을 시간순으로 남기는 메타데이터입니다. 분석 결과 표만 출력해 검토하면 재적분, method 변경, 수동 입력, user 권한 변경처럼 결과의 의미를 바꿀 수 있는 흐름을 놓치기 쉽습니다. 원자료, 설정값, audit trail, 검토자의 판단은 함께 하나의 기록 묶음으로 관리되어야 합니다.

현장에서 자주 받는 질문은 “모든 로그를 매 배치마다 읽어야 하나요?”입니다. 답은 모든 화면을 무차별로 훑는 것이 아니라, 제품 품질과 환자 안전에 영향을 줄 수 있는 전자기록의 변경 가능 지점을 위험에 맞게 정의하는 것입니다. 시험 결과를 생성하는 HPLC, GC, LIMS, 배치기록 시스템과 환경·유틸리티 감시 시스템은 기록의 성격과 검토 방식이 다릅니다.

2. Q. ‘중요 데이터’는 어떻게 목록으로 만들까요?

목록은 시스템명만 적은 자산대장이 아닙니다. 데이터 소유부서, 품질 의사결정 용도, audit trail 생성 여부, 검토자, 검토 주기, 예외 발생 시 연결할 절차서를 함께 정리해야 합니다. 신규 장비 도입이나 소프트웨어 변경 시에는 이 목록도 변경관리의 산출물로 갱신합니다. 그래야 ‘시스템은 밸리데이션 되었지만 검토 대상에서 빠졌다’는 공백을 막을 수 있습니다.

3. Q. 검토 주기는 월 1회로 통일하면 되나요?

주기는 데이터의 사용 시점에 맞춰야 합니다. 배치 출하에 직접 쓰이는 시험결과의 audit trail은 해당 결과를 승인하기 전에 검토하는 편이 자연스럽습니다. 반면 계정 생성·권한 변경, 시스템 설정, 장기 경향을 보는 기록은 정해진 주기 검토가 더 알맞을 수 있습니다. 월간 검토를 운영하더라도, 이미 출하된 배치의 핵심 결과를 한 달 뒤에 처음 보는 구조가 되어서는 안 됩니다.

검토량이 많다는 이유로 중요 이벤트를 자동 필터링한 목록만 받아보는 경우가 있습니다. 필터 자체가 변경되었거나 실패 이벤트를 누락할 수 있으므로, 필터 조건의 밸리데이션 상태·변경이력·표본 대조도 관리해야 합니다. 자동 요약은 검토를 돕는 도구이지 검토 책임을 대체하지 않습니다.

4. Q. 사용자 권한과 전자서명은 무엇을 확인해야 하나요?

공유 ID는 누가 기록을 변경했는지 식별할 수 없게 하므로 피해야 합니다. 개인 계정, 역할 기반 권한, 생성·수정·승인 권한의 분리, 퇴직·부서이동 시 신속한 비활성화가 기본입니다. 특히 administrator 권한은 업무상 필요 인원과 기간을 제한하고, 권한 부여·변경·해지의 승인기록을 남겨야 합니다. 시스템이 제공하는 audit trail은 권한 설정 자체의 변경도 남길 수 있어야 합니다.

시간은 단순 표시 항목이 아닙니다. 서로 다른 시스템의 시간대·동기화 상태가 다르면 제조 사건, 시험, alarm의 선후관계를 재구성하기 어렵습니다. 정기점검에는 시스템 시간, time zone, NTP 또는 승인된 동기화 방식, 수동 변경 가능 권한을 포함하세요. 전자서명은 승인자의 의도와 역할을 보여 주는 기록이므로, 단순 로그인 시간과 혼동하지 않고 승인 사유·시점·대상 기록에 연결되도록 설계합니다.

5. Q. 예외 이벤트가 나오면 재시험으로 끝내도 되나요?

재시험 결과가 적합하더라도 최초 이벤트가 사라지지는 않습니다. 먼저 어떤 이벤트인지 분류합니다. 정당한 재적분이나 재처리가 승인된 절차와 분석법 범위 안에서 이루어졌는지, 원래 결과·변경 사유·검토자가 모두 연결되는지 확인합니다. 삭제, 시험 중단, 수동 결과 입력, 시간 역전, 권한 밖 조작처럼 설명되지 않는 이벤트라면 데이터 신뢰성 이슈로 범위를 넓혀야 합니다.

1. 사실 보존: 원본 audit trail, 화면 캡처가 아니라 원시 전자기록, 관련 sequence와 권한 로그를 보존합니다.
2. 즉시 평가: 해당 시험·배치·장비의 사용 상태와 출하 판단 영향을 확인합니다.
3. 원인 조사: 절차, 교육, 권한, 인터페이스, 설정, 의도치 않은 조작 가능성을 증거와 대조합니다.
4. 범위 설정: 동일 사용자·방법·기간·장비의 유사 이벤트를 검토합니다.
5. CAPA와 효과성: 권한 축소나 절차 개정만 적지 말고 후속 audit trail로 효과를 평가합니다.

6. Q. QA 승인 전에 최소한 무엇을 대조해야 하나요?

• □ 결과표의 시험번호·시료·방법·version이 원시 전자기록과 일치하는가?
• □ 재처리·재적분·수동 입력·삭제·중단 이벤트에 승인된 사유와 검토가 있는가?
• □ audit trail 검토 범위와 기간이 배치/시험 기간을 빠뜨리지 않았는가?
• □ 사용자·권한 변경과 administrator 활동이 승인 절차에 맞는가?
• □ 결과와 반대되는 초기 데이터가 무단으로 배제되지 않았는가?
• □ 예외가 있다면 일탈·OOS·변경관리 번호와 영향평가가 연결되는가?

승인자는 체크박스를 채우는 사람이 아니라, 데이터가 제품 품질 결정을 지지할 수 있는지 판단하는 역할입니다. 그래서 검토기록에는 ‘확인함’만 남기기보다 검토 범위, 확인한 이벤트, 예외번호, 판단 근거를 재현 가능하게 적어야 합니다. 검토자의 역량도 중요합니다. chromatogram의 재적분을 읽는 사람과 배치 자동화 시스템의 recipe 변경을 읽는 사람에게 같은 교육만 제공해서는 충분하지 않습니다.

7. Q. 시스템 밸리데이션과 일상 검토는 어떤 관계인가요?

컴퓨터화 시스템 밸리데이션은 audit trail의 생성, 보존, 검색, 권한 분리, 전자서명 연결이 의도대로 작동함을 확인하는 기반입니다. 그러나 밸리데이션 보고서가 있다고 해서 매일 생기는 이벤트를 자동으로 설명해 주지는 않습니다. 운영 절차는 어떤 역할이 어떤 기록을 언제 검토하고, 어떤 이벤트를 품질부서에 escalation하며, 원본을 어떻게 보존하는지까지 정해야 합니다.

저희 GMPCAT은 전자기록을 별도 IT 과제로 분리하기보다, 시험법 밸리데이션·설비 적격성평가·품질시스템 기록과 연결해 검토 범위를 설계하는 것이 중요하다고 봅니다. 작은 경고 하나가 실제 일탈인지, 정상적인 작업의 흔적인지는 데이터를 만든 공정과 승인 흐름을 함께 볼 때 판단할 수 있습니다.

8. Q. Audit trail review 절차서는 어떤 순서로 설계하나요?

먼저 결과표를 보는 방식에서 벗어나 데이터 생애주기를 그려 봅니다. 시료가 등록되고, 분석 sequence가 만들어지고, 측정값이 취득되며, 계산·재처리·승인·보관으로 이어지는 흐름에서 누가 어떤 권한으로 변경할 수 있는지를 표시합니다. 그다음 변경 이벤트마다 정상 작업인지 예외인지 판정하는 절차와 증적을 정합니다. 이 흐름을 만들면 system마다 화면 이름이 달라도 검토 논리는 일관되게 유지됩니다.

절차에는 검토가 불가능한 시스템 상태도 다뤄야 합니다. 예를 들어 audit trail이 비활성화되었거나 저장공간 부족으로 로그 보존이 흔들렸다면, 단순한 IT 장애가 아니라 해당 기간 데이터의 신뢰성 평가가 필요한 품질사건입니다. 장애 시작·종료 시점, 영향받은 기록, 백업 및 복구기록, 대체 통제, 재발방지 조치를 묶어 판단해야 합니다.

9. Q. 시험자와 QA의 역할을 어떻게 나누나요?

시험자는 자기 작업에서 발생한 재처리·중단·수정의 이유를 원시기록에 즉시 남기고, 승인된 절차 밖의 사건을 보고합니다. 1차 검토자는 분석 흐름과 방법을 아는 사람이 결과와 audit trail을 대조합니다. QA는 배치·제품 품질 판단에 필요한 검토가 정해진 범위로 수행되었는지, 예외가 적절히 조사되고 처분되었는지 독립적으로 확인합니다. 역할을 분리해도 인수인계는 끊기면 안 됩니다. QA가 화면을 읽을 수 없으면 무조건 분석자에게 되돌리는 방식보다, 사건의 기술 설명과 품질 판단을 각각 기록해 연결하는 방식이 바람직합니다.

교육도 시스템 사용법 교육과 data integrity 교육을 구분합니다. 사용법 교육은 버튼·메뉴·로그인 절차를 익히는 것이고, data integrity 교육은 왜 재처리 사유를 남겨야 하는지, 공유 계정이 왜 문제인지, 예상치 못한 이벤트를 언제 escalation해야 하는지를 이해시키는 일입니다. 교육 후에는 단순 출석만 확인하지 말고, 대표적인 이벤트를 주어 검토 범위와 필요한 기록을 판단하게 하는 방식이 도움이 됩니다.

10. Q. 월간 경향검토에서는 무엇을 보나요?

개별 batch review가 정상이어도 월간 또는 분기별로 반복되는 사건을 묶어 보면 다른 신호가 보일 수 있습니다. 특정 method에서 재적분이 늘거나, 특정 user의 manual entry가 집중되거나, administrator 활동이 보전일과 무관하게 반복되는 경우가 그렇습니다. 건수만 비교하지 말고 시험 건수라는 분모, 방법 변경, 신규 장비 도입, 교육·권한 변경 시점을 함께 보아야 합니다.

경향검토의 목표는 사람을 감시하는 것이 아니라 시스템과 절차의 취약점을 찾는 데 있습니다. 동일한 오류가 계속되면 개인의 주의 부족으로만 끝내지 말고 화면 설계, 권한, workflow, 절차 문구, 교육자료 중 무엇이 정상 작업을 어렵게 만드는지 확인하세요. 이렇게 얻은 결과는 CSV 주기검토, 경영검토, 변경관리의 입력값이 될 수 있습니다.

검토 계획이 현장에서 작동하는지 확인하려면 표본점검도 유용합니다. 정기 검토기록에서 임의의 배치와 예외를 골라 실제 audit trail, 원시 데이터, 일탈기록, 승인 전자서명이 서로 같은 사건을 설명하는지 역추적합니다. 이 점검은 형식상 완료된 검토와 실질적으로 충분한 검토를 구분하게 해 줍니다. 발견사항은 단순 문서오류로 닫지 말고 데이터 영향과 절차 개선 필요성을 평가합니다.

핵심 정리

좋은 audit trail review는 모든 로그를 읽는 일이 아니라, 중요한 데이터의 변경 가능성을 놓치지 않고 그 판단을 기록으로 남기는 일입니다. 위험기반 대상 선정, 배치 판단 전 검토, 권한 관리, 예외 조사, CAPA 효과성 확인이 이어질 때 전자기록은 신뢰할 수 있는 품질 근거가 됩니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 적격성평가와 CSV 수행 분야가 공개되어 있습니다. 전자기록 검토 체계를 설비·시험·품질 기록과 연결하는 문서화가 필요하시면 GMPCAT 주요 실적 보기에서 공개된 수행 범위를 확인하실 수 있습니다.

참고 문헌

• FDA, Data Integrity and Compliance With Drug CGMP, Q7
• FDA, 21 CFR Part 11 guidance
• GMPCAT 주요 실적

ISO 14971 의료기기 위험관리: 변경 시 위험관리파일 갱신 실무

1. 변경관리는 승인 절차이고, 위험관리는 품질 판단입니다

의료기기 현장에서 변경은 매우 다양한 얼굴로 들어옵니다. 원자재 공급처의 변경, 사양서 개정, 금형 보수, 펌웨어 수정, 포장재 규격 변경, 세척공정 조정, 시험법 자동화가 모두 변경요청의 대상입니다. 그러나 변경번호를 발급하고 부서 서명을 받았다는 사실만으로 환자·사용자 위험이 관리됐다고 말할 수는 없습니다. 저희 GMPCAT(지캣)이 문서를 검토할 때 가장 먼저 보는 것은 변경이 위험관리파일의 어떤 가정을 흔드는가입니다.

위험관리파일은 한 권의 표가 아니라, 의도된 사용과 합리적으로 예측 가능한 오사용, 위해요인, 위험통제, 검증 증거, 잔여위험 평가, 생산 및 시판 후 정보가 이어지는 근거 묶음입니다. 따라서 변경은 이 연결고리 중 어느 부분을 수정해야 하는지 알려주는 신호입니다. ‘위험 없음’이라는 체크박스를 먼저 채우기보다, 기존 분석의 전제와 데이터가 바뀌었는지를 질문하는 순서가 안전합니다.

위 인용은 ISO 공개 제품 페이지의 범위 설명에서 가져온 짧은 문장입니다. 실제 제품별 적용에는 조직의 위험관리 절차, 적용 규제요건, 사용목적을 함께 반영해야 합니다. 내부 양식의 항목을 기계적으로 복사하면 변경 전후의 차이를 놓치기 쉽습니다.

2. 변경요청을 받으면 먼저 ‘무엇이 달라지는가’를 분해합니다

변경 제목만으로는 영향 범위를 판단할 수 없습니다. 예를 들어 ‘공급처 변경’이라도 재질, 치수, 표면처리, 생체적합성, 세척성, 포장 적합성, 멸균 적합성, 소프트웨어 설정값 가운데 무엇이 동일하고 무엇이 달라지는지에 따라 위험은 달라집니다. 변경요청 단계에서 비교표를 요구하는 이유가 여기에 있습니다.

비교표에는 단지 ‘동일’ 또는 ‘상이’만 쓰지 말고 근거 문서 번호를 붙이세요. 자재가 동일하다는 결론에는 성적서, 물질사양, 변경통지, 필요 시 시험계획이 연결돼야 합니다. 그래야 검토자가 다음 질문을 할 수 있습니다. 이 변경이 기존 위험통제의 성능을 떨어뜨릴 가능성은 있는가? 기존 검증 결과는 변경 후 제품을 대표하는가?

3. 위험분석은 RPN 갱신으로 축소하지 않습니다

변경 영향평가에서 자주 생기는 실수는 기존 FMEA의 점수만 다시 계산하고 종료하는 것입니다. 점수는 우선순위를 돕지만, 새 위해요인이나 통제수단의 의존성을 대신 발견해 주지 않습니다. 기존 위험분석의 행을 하나씩 보며 위해요인, 위험상황, 위해, 통제수단, 검증 증거의 문장을 다시 읽는 편이 효과적입니다.

예를 들어 센서 공급처가 변경된 경우 ‘센서 오차’라는 기존 행의 발생도만 조정할 일이 아닐 수 있습니다. 새로운 응답속도, 장착 허용차, 교정 인터페이스, 고장 시 알람 동작이 위험상황의 시간적 전제를 바꿀 수 있습니다. 이때는 설계입력과 소프트웨어 요구사항, 제조검사 기준, 현장 서비스 절차까지 함께 대조합니다. 변경이 기존 통제를 제거하거나 약화하는지, 새로운 통제가 필요한지, 두 통제 사이에 공백이 생기는지 확인해야 합니다.

4. 위험통제는 선택, 구현, 검증을 분리해 기록합니다

위험통제를 논의할 때 ‘교육을 강화한다’는 문장만 남으면 설계상 위험을 운영 절차에 떠넘기게 될 수 있습니다. 가능한 경우에는 본질안전 설계, 보호수단, 사용정보의 순서로 통제 옵션을 검토하고, 어느 옵션을 선택했는지와 선택하지 않은 이유를 남겨야 합니다. 변경 후에도 같은 통제 계층이 유지되는지 확인하는 일은 특히 중요합니다.

구현 증거와 효과 검증 증거도 구분하세요. 새 인터록이 도면과 소프트웨어에 반영됐다는 것은 구현 증거입니다. 지정된 고장 조건에서 인터록이 위험상황을 방지한다는 시험 결과는 검증 증거입니다. 제조현장에서 관리항목이 추가되었다면, 작업표준서 개정만으로 충분한지, 작업자 자격과 공정 밸리데이션 자료가 필요한지도 따로 판단해야 합니다.

5. 잔여위험은 ‘낮음’ 한 줄로 끝내지 않습니다

위험통제 후에도 남는 위험은 제품별 위험수용 기준과 비교해야 합니다. 이 기준은 변경이 접수된 뒤에 만들면 안 됩니다. 사전에 정한 위험수용 정책, 유사 제품의 정보, 임상적 사용 맥락, 사용자의 숙련도, 경고 문구의 실제 전달 가능성을 함께 고려합니다. 단일 위험의 수용성뿐 아니라 전체 잔여위험을 다시 검토할 필요가 있는지도 판단합니다.

특히 사용설명서 또는 라벨 경고에 의존하던 통제가 변경으로 더 중요해졌다면, 해당 정보가 실제 사용자에게 전달되는 방식까지 검토해야 합니다. 설계변경으로 조립 순서가 달라졌는데 사용정보가 이전 버전 그대로라면, 점수표가 같아도 잔여위험의 성격은 달라질 수 있습니다. 위험관리보고서에는 변경 범위, 검토한 항목, 결론, 미해결 과제와 출시 전 충족 조건을 명확히 남기세요.

6. 검증과 밸리데이션: ‘시험을 했는가’보다 ‘질문에 답했는가’를 봅니다

변경 후 시험 범위는 변경의 크기보다 위험관리 질문에서 출발해야 합니다. 강도 저하가 우려되면 기계적 검증이 필요하고, 새 세척공정이 잔류물에 영향을 줄 수 있으면 세척 밸리데이션의 대표 조건을 다시 정해야 합니다. 사용자 인터페이스 변경이라면 기능시험만으로 충분한지, 사용성 검증이 필요한지 판단합니다. 기존 보고서를 인용할 때도 변경 후 제품·공정·최악조건을 대표하는지 설명해야 합니다.

프로토콜에는 위험관리파일의 행 번호 또는 요구사항 ID를 연결하면 좋습니다. 시험 결과가 통과했다는 말보다, 어느 위해요인의 어느 통제를 확인한 시험인지 명확해집니다. 예상치 못한 결과가 나오면 변경을 일단 되돌릴지, 위험분석을 보완할지, 시험 범위를 넓힐지의 의사결정 기준도 사전에 정합니다. 시험 통과가 곧바로 출시 승인과 같은 뜻은 아닙니다. 문서·교육·공급망·라벨·규제영향의 완료 상태가 함께 확인돼야 합니다.

7. 생산과 시판 후 정보는 변경의 마지막 확인 창입니다

변경 승인은 출시 전 문서검토로 끝나지만, 위험관리의 입력은 생산과 시판 후에도 이어집니다. 변경 적용 lot의 수입검사, 공정불량, 재작업, 서비스 기록, 불만, 반품, 현장 이상경향은 변경 가정이 맞았는지 검토하는 자료입니다. 이 정보가 예상 범위를 벗어나면 CAPA와 위험관리파일 갱신을 연결해야 합니다.

‘변경 후 모니터링’은 막연한 관찰 기간이 아닙니다. 어떤 지표를, 어떤 표본 또는 기간에, 어떤 기준으로 볼지 계획서에 정해야 합니다. 예를 들어 새로운 공급자 자재라면 입고시험·공정수율·불만 유형을, 소프트웨어 변경이라면 오류로그·사용자 문의·알람 이력을 연결할 수 있습니다. 신호가 나타났을 때 위험수용 판단을 재개할 책임자와 보고 경로도 미리 정해 두세요.

8. 회의에서 바로 쓰는 변경 영향평가 흐름

변경심의 회의가 길어지는 이유는 부서마다 다른 단위로 변경을 설명하기 때문입니다. 개발은 도면 차이를, 생산은 작업시간을, 품질은 승인 상태를 이야기하지만 위험관리파일은 위해와 통제의 언어를 사용합니다. 회의 전에 한 장짜리 영향평가 요약표를 준비하면 논의가 훨씬 선명해집니다. 첫 열에는 변경 전후의 사실을, 둘째 열에는 영향받는 위험관리 항목을, 셋째 열에는 유지 또는 추가되는 통제를, 마지막 열에는 출시 전 증거와 책임자를 놓습니다.

이 표의 장점은 ‘위험평가 완료’라는 넓은 표현을 시험 가능한 약속으로 바꾼다는 데 있습니다. 예를 들어 자재 변경의 위해가 추출물 증가라면, 답은 ‘관련 부서 검토’가 아니라 어떤 대표 시료로 어떤 시험을 하고 어떤 기준으로 평가할지여야 합니다. 반대로 기존 데이터로 충분하다고 판단한다면, 그 데이터가 변경 후 제품에 적용되는 이유와 경계조건을 적습니다.

9. 자주 생기는 누락과 바로잡는 방법

첫째, 변경관리 번호와 위험관리파일 개정 이력을 서로 연결하지 않는 경우입니다. 파일의 개정일만 남으면 어떤 변경이 어떤 행을 바꿨는지 추적하기 어렵습니다. 둘째, 시험이 끝난 뒤 위험분석을 고치는 경우입니다. 시험 설계가 실제 위험 질문을 답하지 못하는 문제가 생길 수 있으므로, 위험검토를 프로토콜 승인보다 앞에 둡니다. 셋째, 공정 변경에서 설계 위험만 보고 제조현장의 검사·교육·보전 조건을 누락하는 경우입니다. 통제가 공정에 구현되는 방식까지 확인해야 합니다.

넷째, 제품 출시 후의 정보를 CAPA 문서에서만 보고 위험관리파일에는 반영하지 않는 경우입니다. 불만과 서비스 정보가 위험의 발생 양상이나 통제 효과를 보여 준다면, 정기 위험관리검토의 입력으로 사용해야 합니다. 다섯째, 잔여위험을 ‘수용 가능’으로만 적고 판단근거를 남기지 않는 경우입니다. 승인자는 제품의 사용 맥락과 통제의 한계를 이해할 수 있어야 하므로, 기준과 근거 문서를 함께 남기는 편이 좋습니다.

10. 변경 위험관리파일 갱신 체크리스트

• □ 변경 전후의 제품, 자재, 공정, 소프트웨어, 라벨 차이를 근거문서와 함께 비교했는가?
• □ 관련 위험관리 항목과 설계입력·검증·밸리데이션 기록을 추적성 있게 연결했는가?
• □ 새 위해요인, 위험상황, 통제 공백 가능성을 검토했는가?
• □ 유지·추가·삭제되는 통제수단별 검증 증거를 정했는가?
• □ 단일 및 전체 잔여위험, benefit-risk 판단이 영향을 받는지 평가했는가?
• □ 출시 전 완료해야 할 시험, 문서, 교육, 라벨, 규제영향 항목을 분리했는가?
• □ 변경 후 생산·시판 후 정보를 어떤 지표로 언제 검토할지 정했는가?

위험관리파일은 변경의 걸림돌이 아니라, 변경이 제품 품질과 환자 안전에 미칠 영향을 설명하는 가장 유용한 지도입니다. 저희 GMPCAT은 변경요청, 위험평가, 검증계획, 밸리데이션 증적이 서로 다른 문서에 흩어지지 않도록 추적성 구조를 먼저 설계합니다. 이렇게 하면 승인 회의에서 ‘무엇을 시험했는가’뿐 아니라 ‘어떤 위험 질문에 답했는가’를 명확히 설명할 수 있습니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 제조·시험 설비의 적격성평가와 CSV 수행 분야가 공개되어 있습니다. 의료기기 변경의 위험기반 검토에서도 요구사항·시험·기록의 연결이 필요할 때 GMPCAT 주요 실적 보기에서 공개 수행 분야를 확인하실 수 있습니다.

참고 문헌

• ISO 14971:2019 Medical devices — Application of risk management to medical devices
• FDA, Quality System Regulation
• GMPCAT 주요 실적

FMEA 위험평가: 점수보다 중요한 위험수용 기준과 CAPA 연결

1. FMEA 표가 길어질수록 놓치기 쉬운 질문

현장에서 FMEA 회의를 하면 점수표부터 펼치는 경우가 많습니다. 심각도(S), 발생도(O), 검출도(D)를 정하고 곱한 RPN이 일정 값보다 높으면 조치한다는 방식은 빠르고 익숙합니다. 다만 같은 RPN이라도 위해의 성격은 전혀 다를 수 있습니다. 환자 안전이나 무균성에 직접 닿는 한 번의 실패와, 검출 가능성이 높은 문서 표기 오류를 단순 곱셈 결과만으로 같은 줄에 놓으면 의사결정의 우선순위가 흐려집니다.

RPN은 특히 세 가지 한계가 있습니다. 첫째, 서로 다른 점수 조합이 같은 RPN을 만들 수 있습니다. 둘째, 점수 1점 차이에 실제 위험 차이가 비례한다는 보장이 없습니다. 셋째, 팀마다 ‘발생 가능성 높음’의 해석이 달라지면 숫자가 객관성처럼 보일 뿐 비교 가능성이 없어집니다. 그래서 FMEA는 점수를 만든 뒤 끝나는 문서가 아니라, 위험을 수용할 수 있는지와 어떤 추가 통제가 필요한지를 설명하는 의사결정 기록이어야 합니다.

2. 시작은 점수가 아니라 위험 질문입니다

좋은 FMEA는 ‘무엇이 고장 날 수 있는가’보다 먼저 ‘어떤 품질 결정을 지원하려는가’를 정합니다. 예를 들어 충전라인 변경 후 위험평가라면 질문은 설비 전체의 일반적인 고장이 아니라, 변경한 부품이 충전량·무균성·용기밀봉성·데이터 기록에 어떤 영향을 줄 수 있는가여야 합니다. 질문이 넓으면 행 수만 늘고, 좁으면 중요한 인터페이스를 놓칩니다.

이 단계에서 원자료를 함께 준비하면 추정에 기대는 일을 줄일 수 있습니다. 설비 알람 이력, 환경모니터링 경향, 공정편차, 예방보전 결과, 시험법 검증자료, 공급업체 변경 이력은 모두 점수의 근거가 될 수 있습니다. 반대로 데이터가 없다는 사실도 위험입니다. 데이터 공백을 낮은 발생도로 처리하지 말고, 추가 확인이 필요한 불확실성으로 표시해야 합니다.

3. S·O·D 점수는 공통 언어로 관리합니다

점수 체계가 없으면 회의 참석자의 목소리가 큰 사람이 기준을 정하게 됩니다. 점수 체계는 단순한 1~5 표보다, 각 점수가 무엇을 의미하는지 공정에 맞는 문장으로 정의할 때 유용합니다. 심각도는 제품 품질과 환자 위험에 초점을 두고, 발생도는 막연한 인상보다 해당 조건의 이력과 변경 정도를 반영하며, 검출도는 문제가 발생한 뒤 발견하는 능력이 아니라 위해가 되기 전에 발견·차단할 수 있는 능력으로 정의하는 것이 좋습니다.

점수표는 교육받은 사람만 이해하는 부록이 아니라, 다음 회의의 다른 팀도 재현할 수 있는 기준이어야 합니다. 예를 들어 ‘검출도 4’가 자동기록 검토가 없는 상태인지, 알람은 있으나 독립 검토가 없는 상태인지 명시합니다. 동일한 기준으로 두 명이 개별 평가해 점수가 크게 다르면, 평균을 내기보다 판단 근거가 다른 이유를 토론하는 편이 바람직합니다.

4. 위험수용은 RPN 컷오프보다 먼저 정합니다

위험수용 기준은 ‘RPN 40 미만이면 허용’ 같은 한 줄로 끝내기 어렵습니다. 심각도가 최상위인 위해는 RPN이 낮아도 별도 검토가 필요할 수 있고, 불확실성이 큰 신규공정은 중간 점수라도 추가 정보가 필요할 수 있습니다. 따라서 수용 기준은 적어도 세 갈래로 구분하는 것이 실용적입니다.

1. 즉시 저감 또는 사용중지 검토: 고심각도 위해, 필수 통제 부재, 법규·허가조건 위반 가능성이 있는 경우입니다.
2. 저감조치 후 잔여위험 평가: 공정·설비·절차 통제로 발생도나 검출도를 낮춘 뒤, 실제로 효과가 있는지 확인합니다.
3. 근거 기반 수용 및 모니터링: 현재 통제가 충분하고 잔여위험이 정당화되는 경우에도, 어떤 지표를 어느 주기로 다시 볼지 정합니다.

ICH Q9(R1)는 위험통제를 위험을 낮추거나 수용하기 위한 의사결정으로 설명합니다. 위험수용은 아무 조치도 하지 않는다는 뜻이 아닙니다. 어떤 위해를, 어떤 현행 통제와 근거 때문에, 누가 수용했는지 승인 기록으로 남기고 재검토 조건을 붙이는 결정입니다.

5. CAPA는 FMEA의 ‘조치란’을 채우는 일이 아닙니다

위험통제 조치가 교육, 절차개정, 인터록 추가, 예방보전, 시험 추가 중 무엇이든 조치 완료와 효과성 확인은 구분해야 합니다. 예를 들어 알람 설정값을 바꿨다면 바뀐 값이 실제 위험을 조기에 감지하는지, 작업자 교육을 했다면 후속 수행에서 핵심 동작이 일관되게 지켜지는지, 예방보전 주기를 바꿨다면 관련 편차가 감소하는지 확인할 지표와 기간이 있어야 합니다.

FMEA의 현행통제 항목과 CAPA 시스템을 연결할 때에는 원인, 조치, 잔여위험, 효과성 확인의 문서 번호를 서로 참조하게 합니다. 이 연결이 없으면 다음 위험평가에서 이미 종료된 CAPA를 다시 제안하거나, 반대로 종료되지 않은 위험통제를 현행통제로 잘못 전제하게 됩니다. 저희 GMPCAT은 위험통제 하나마다 ‘누가, 무엇을, 언제까지, 어떤 결과로 효과성을 판단할지’를 실행계획으로 분리해 관리하는 방식을 권합니다.

5-1. 회의에서 바로 쓰는 위험수용 판단 질문

위험수용 회의에서는 ‘RPN이 기준보다 낮은가’만 묻지 말고, 실패모드가 실제로 발생했을 때 가장 먼저 손상될 품질속성이 무엇인지 확인합니다. 다음으로 그 위해가 현재 공정에서 독립적으로 차단되는지, 하나의 사람·센서·기록에만 의존하는지 따져 봅니다. 마지막으로 통제 실패를 알아차리는 시점이 배치 처분 전인지, 제품이 시장에 나간 뒤인지까지 연결하면 숫자 뒤에 있던 위험의 차이가 드러납니다.

이 질문은 고심각도 항목을 놓치지 않게 할 뿐 아니라, 불필요하게 큰 CAPA를 피하는 데도 도움이 됩니다. 이미 견고한 자동 차단과 독립 검토가 있고 데이터로 유효성이 뒷받침된다면, 동일한 위험을 단순히 ‘높다’고만 적는 대신 잔여위험 수용의 근거를 명료하게 만들 수 있습니다. 반대로 검출만 있고 예방 통제가 없다면 최종시험 결과가 좋더라도 예방 중심의 보강을 검토해야 합니다.

6. 변경관리에서 FMEA를 다시 여는 기준

FMEA는 승인일에 고정되는 문서가 아닙니다. 원료 공급처, 자동제어 로직, 세척방법, 적재 패턴, 분석방법, 작업자 개입처럼 원래 가정에 영향을 주는 변경이 생기면 적용 범위를 다시 봐야 합니다. 모든 변경에서 전체 FMEA를 새로 작성할 필요는 없지만, 변경된 단계와 그 인터페이스가 기존 실패모드·통제·수용근거를 무너뜨리는지 확인해야 합니다.

재평가 범위를 정할 때에는 변경 대상 하나만 보지 말고 전후 공정의 연결부를 확인합니다. 예를 들어 센서 교체는 계측기 사양만의 문제가 아니라 경보 로직, 전자기록, 교정주기, 알람 대응 절차까지 영향을 줄 수 있습니다. 새로운 세척제가 도입되면 세척성뿐 아니라 잔류물 시험, 작업자 노출, 자재 적합성, 변경 후 샘플링 계획을 함께 검토해야 합니다. 이때 기존 FMEA 행을 수정한 이유와 추가·삭제한 실패모드를 변경관리 기록에 연결해 두면, 다음 재평가에서 판단이 훨씬 투명해집니다.

재평가의 시작 신호는 변경관리만이 아닙니다. 반복 일탈, 예상치 못한 경향, 새로운 규제 요구, CAPA 효과성 미흡, 신규 데이터 축적도 FMEA의 점수를 다시 읽을 근거가 됩니다. 특히 이전에 ‘발생 가능성이 낮다’고 평가한 항목에서 반복 신호가 나타난다면, 원래 점수보다 먼저 데이터 출처와 현행 통제가 여전히 유효한지 확인하세요.

정기 품질검토에서는 위험이 낮다는 결론만 재확인하지 말고, 당시 수용 판단의 전제가 유지되는지도 확인합니다. 생산량·작업조·원료 lot·공정시간이 달라졌거나, 모니터링의 결측이 늘었다면 기존 점수의 근거가 약해질 수 있습니다. FMEA 개정 이력에 재검토 사유와 결론을 남기면, 시간이 지나도 위험수용의 맥락을 설명할 수 있습니다.

6-1. FMEA 기록을 실제 의사결정에 쓰는 방법

FMEA 결과는 승인용 표 한 장으로 보관하기보다, 변경관리의 영향평가와 밸리데이션 계획에 직접 연결해야 합니다. 고위험 또는 불확실성이 큰 항목은 IQ·OQ·PQ 중 어느 단계에서 어떤 시험으로 확인할지 정하고, 중간 위험은 일상 모니터링·독립검토·정기 경향분석 중 어떤 방식으로 관리할지 정합니다. 이 연결이 없으면 위험평가에는 필요한 시험이라고 쓰였지만 실제 프로토콜에는 반영되지 않는 간극이 생길 수 있습니다.

회의록에는 최종 RPN뿐 아니라 의견이 갈린 항목과 그 결론에 이른 근거를 간략히 남기는 것이 좋습니다. 예를 들어 발생도에 대한 이력이 부족했다면, 낮은 점수를 선택하기보다 추가 데이터 수집 계획과 재검토 기한을 기록합니다. 현장 자료가 새로 쌓인 뒤에는 원래 가정을 수정할 수 있어야 합니다. 이렇게 하면 FMEA는 누군가의 경험을 숫자로 옮긴 문서가 아니라, 새 데이터가 들어올 때마다 품질 의사결정을 갱신하는 살아 있는 관리도구가 됩니다.

• □ 위험 질문·공정 범위·팀 역할이 명확한가?
• □ S/O/D 판단마다 관찰자료 또는 합리적 가정이 남아 있는가?
• □ 고심각도 위해를 RPN과 별도로 검토했는가?
• □ 위험수용 결정에 승인자·근거·재검토 조건이 있는가?
• □ 조치완료와 CAPA 효과성 확인의 증거를 구분했는가?
• □ 변경·일탈·추세와 위험평가 문서번호를 연결했는가?

핵심 정리

FMEA의 목적은 낮은 숫자를 만드는 일이 아니라, 품질 위험을 같은 기준으로 토론하고 필요한 통제를 끝까지 실행하는 데 있습니다. RPN은 유용한 신호이지만 고심각도 위해, 불확실성, 현행 통제의 신뢰성을 대신 판단하지 않습니다. 위험수용 기준을 먼저 세우고, 통제조치의 효과를 데이터로 확인하며, 변경과 경향에 따라 다시 평가할 때 FMEA는 표가 아니라 품질시스템의 의사결정 도구가 됩니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 중요 생산설비 적격성평가와 CSV 수행 분야가 공개되어 있습니다. 위험기반 밸리데이션 문서의 범위 설정과 적격성평가 체계가 필요하시면 GMPCAT 주요 실적 보기에서 공개된 수행 분야를 확인하실 수 있습니다.

참고 문헌

• ICH Q9(R1), Quality Risk Management, Sections 4.2.2 and 5.3
• ICH Quality Risk Management guideline portal
• GMPCAT 주요 실적

바이알 충전 라인 Changeover: Line Clearance와 교차오염 방지

1. Changeover를 ‘청소 완료’로 끝내면 생기는 공백

바이알 충전 라인에서는 바이알, 고무전, 알루미늄 캡, 라벨, 인쇄자재, 충전 니들, 가이드 레일, 스타휠처럼 작은 부품 하나도 다음 품목의 식별과 품질에 영향을 줄 수 있습니다. 전환 중에 남은 바이알이나 캡이 발견되면 단순 정리 미흡으로 치부하기 쉽지만, 실제로는 혼입·혼동·수량 불일치·기록 불일치가 어디까지 확장될 수 있는지 먼저 판단해야 합니다. 무균구역에서는 불필요한 재진입과 재작업 자체가 오염 위험도 키웁니다.

저희 GMPCAT(지캣)은 line clearance를 마지막 사람이 서명하는 한 장의 체크리스트가 아니라, 전환 전 위험평가와 전환 후 독립 확인을 잇는 흐름으로 봅니다. 품목이 바뀔 때 달라지는 부품, 충전량, 충전 속도, stopper·cap 규격, 배치기록 양식, 전자 레시피와 IPC 한계가 무엇인지 먼저 목록화해야 합니다. 그래야 ‘남아 있지 않다’는 확인과 ‘다음 품목으로 맞게 준비됐다’는 확인을 서로 분리해 입증할 수 있습니다.

2. 공식 GMP 원칙: 오염·교차오염 위험을 만들지 않는 취급

이 원칙은 품목 전환 시 자재 보관함만 바꾸라는 뜻이 아닙니다. 개방된 제품접촉부, RABS 글러브, 트레이와 도구, 이송 중인 부품, 소프트웨어 레시피까지 오염과 혼동의 경로가 되지 않게 통제하라는 요구입니다. Annex 1에는 작업 종료 후 clean-up period와 line clearance/cleaning 활동도 언급되어 있습니다. 따라서 전환 시간을 줄이기 위해 점검 단계를 생략하기보다, 전환 활동을 사전에 표준화해 불필요한 동작을 줄이는 접근이 적절합니다.

3. 전환 범위를 네 개의 구역으로 쪼개기

이 구분이 없으면 설비 청소는 완료됐는데 이전 품목의 라벨 롤이 포장 구역에 남거나, 충전 부품은 맞는데 전자 레시피가 이전 규격으로 남는 식의 공백이 생깁니다. 각 구역의 완료 기준과 확인자를 전환 계획서에 명확히 두세요. 특히 물리적 확인을 수행한 사람과 다음 품목 설정값을 승인하는 사람의 역할을 완전히 같은 사람에게 맡길지, 독립 확인을 둘지는 공정 위험도와 절차에 따라 정해야 합니다.

4. RABS 내부 전환: ‘깨끗해 보임’보다 동선이 중요합니다

RABS 내부는 접근 횟수 자체가 관리 대상입니다. 전 품목 부품을 회수하고 다음 부품을 들이는 과정에서 문을 여는 횟수, 글러브로 다루는 범위, 소독제 접촉시간, 물품의 이동 경로가 사전에 정해져 있어야 합니다. 현장에서 자주 생기는 문제는 필요한 도구가 뒤늦게 발견되어 추가 개입이 생기는 경우입니다. 전환 킷을 품목별로 구성하고, 반입 전 구성품을 외부에서 대조하면 RABS 안에서의 탐색 동작을 줄일 수 있습니다.

RABS 내부의 line clearance는 잔류 부품을 찾는 데만 머물지 않습니다. 전 작업에서 사용한 도구·폐기물·보호재가 모두 제거됐는지, 다음 작업에 필요한 멸균 부품의 포장 상태와 유효기간이 적절한지, 필요한 개입이 작업표준서와 동적 기류가시화에서 평가된 동작 범위 안에 있는지를 함께 봐야 합니다. 새로운 전환 동작이 추가되거나 개입 시간이 길어졌다면, 단순 교육으로 끝낼 일이 아니라 CCS와 적격성평가 자료에 미치는 영향을 검토해야 합니다.

5. 자재·문서·레시피는 서로 다른 방식으로 대조합니다

자재 대조는 품명만 보는 작업이 아닙니다. 품목 코드, 규격, lot, 상태, 수량, 사용 가능 여부를 대상으로 합니다. 전환 전 회수 수량과 전환 후 투입 수량이 비정상적으로 맞아 보이는 경우에는 손실·폐기·샘플링·불량 분류 기록을 포함해 이유를 연결해야 합니다. 특히 유사한 외관의 stopper나 cap은 보관 위치를 분리하고, 한 번에 한 품목만 열어 두는 물리적 통제가 실수 방지에 효과적입니다.

문서 대조에서는 현재 배치기록의 개정번호, 라벨 문구, IPC 양식, 검체 채취 계획을 확인합니다. 전자 레시피는 제품 코드만 바뀌었다고 승인하지 말고 충전량 목표·허용범위, 펌프 속도, 알람 한계, 인터록, 시간 설정이 승인된 master와 일치하는지 확인해야 합니다. 레시피 이름이 맞아도 이전 시험 설정이 남아 있을 수 있으므로, 핵심 파라미터 목록을 독립적으로 대조하는 방식이 더 견고합니다.

6. Line clearance 부적합이 발견됐을 때의 판단 순서

잔류 라벨, 미확인 부품, 잘못된 레시피, 서명 누락을 발견하면 먼저 즉시 통제합니다. 라인의 시작 여부, 영향을 받을 수 있는 배치·자재·시간대를 분명히 하고, 해당 품목의 사용을 보류합니다. 다음으로 발견 사실을 원형 그대로 기록합니다. 발견 뒤 현장을 정리해 버리면 실제 잔류 위치와 상태, 누가 언제 확인했는지의 중요한 단서가 사라질 수 있습니다.

조사에서는 ‘누가 놓쳤는가’보다 통제가 왜 작동하지 않았는가를 봅니다. 체크리스트 항목이 모호했는지, 전환 킷이 유사했는지, 자재 회수와 독립 확인이 동시에 몰렸는지, 레시피 대조 항목이 제품 코드에만 머물렀는지, RABS 전환 동선이 실제 작업을 반영하지 못했는지를 검토하세요. 재교육은 하나의 조치일 수 있지만, 원인이 절차 설계나 자재 식별 체계라면 교육만으로 CAPA를 닫으면 안 됩니다.

1. 통제: 라인 상태표지, 자재 격리, 진행 중 배치 범위 확인
2. 사실 보존: 위치·수량·상태·사진 또는 독립 관찰 기록
3. 영향평가: 제품·포장·기록·전자 설정·오염관리 영향 구분
4. 원인 분석: 절차, 사람, 자재, 설비, 소프트웨어, 환경별 가설 검토
5. 효과성 확인: 후속 전환에서 새 통제가 실제로 작동하는지 계획된 증적으로 확인

7. 전환 검증을 일상 운영과 연결하는 방법

신규 품목, 새로운 부품, RABS 내부 동선 변경, 전자 레시피 개정은 전환 절차의 적용 범위를 바꿀 수 있습니다. 이때는 변경관리를 열어 영향을 받는 문서, 교육, 기류가시화, 무균공정 시뮬레이션, 세척·소독, 컴퓨터화 시스템 검증 요소를 검토합니다. 모든 변경이 재적격성평가를 요구하는 것은 아니지만, 이유 없이 과거 전환 결과를 그대로 적용하는 것도 바람직하지 않습니다.

전환 자체의 성과지표는 시간 단축 하나가 아닙니다. 잔류 자재 발견 건수, 독립 확인 보완 건수, 재진입 횟수, 레시피 대조 오류, 전환 관련 일탈과 CAPA 재발 여부를 함께 보세요. 지표가 늘었다고 즉시 절차를 느슨하게 바꾸기보다, 변화가 진짜 신호인지 데이터 품질과 생산계획 변화를 함께 해석해야 합니다. 좋은 전환 절차는 점검을 많이 요구하는 절차가 아니라, 오류가 발생하기 전에 경계를 명확히 보이게 하는 절차입니다.

8. 현장 체크리스트

8. 전환 계획서에 먼저 적어 둘 질문

품목 전환이 시작된 뒤에 점검 범위를 정하면 작업자마다 확인 깊이가 달라집니다. 전환 계획서에는 전 품목과 다음 품목의 공통 부품·전용 부품을 구분하고, 청소 대상과 단순 교체 대상을 구분해 둡니다. 예를 들어 충전 니들·튜빙·호퍼처럼 제품과 직접 접촉하는 부품은 상태와 세척·멸균 이력을 우선 확인하고, 가이드 레일이나 스타휠처럼 규격에 맞춰 바뀌는 부품은 품번과 조립 방향을 중점적으로 대조합니다. 같은 부품을 재사용한다는 이유만으로 이전 품목의 경계가 사라지는 것은 아닙니다.

또한 품목별 위험 차이를 계획서에 표시하세요. 고활성 또는 감작성 원료, 외관이 유사한 용기·전·캡, 라벨 문구가 비슷한 제품, 충전량 차이가 작은 제품은 혼동 가능성이 높습니다. 이 경우 자재 반입 순서, 한 품목만 개방하는 원칙, 독립 확인 시점, 보류 상태 표지 같은 통제를 강화할 근거가 생깁니다. 위험이 낮은 전환이라도 기록의 일관성은 유지해야 하며, 위험평가 결과를 근거 없이 ‘간편 전환’의 허가처럼 사용해서는 안 됩니다.

9. 전자기록은 종이 체크리스트를 대체하지 않습니다

자동화된 충전 설비에서는 전자 레시피가 잘못 선택돼도 화면상 제품명만으로는 이상을 알아차리기 어렵습니다. 레시피 불러오기, 파라미터 변경, 알람 승인, 사용자 전환은 audit trail에 남을 수 있지만, 기록이 남는다는 사실이 그 설정이 올바르다는 뜻은 아닙니다. 전환 확인자는 audit trail을 사후에 읽는 역할과, 시작 전 승인 master를 대조하는 역할을 구분해야 합니다. 특히 임시 조정값이 다음 생산으로 이월되지 않도록 세션 종료·권한·백업 절차를 확인합니다.

종이 기록도 같은 원칙이 적용됩니다. 이전 배치기록의 빈 페이지, 라벨, 메모지가 다음 배치 문서와 섞이지 않게 회수하고, 손으로 작성한 수정은 절차에 맞는 사유와 서명이 있어야 합니다. 양식 개정이 있는 전환이라면 현장에서 구버전 양식이 남아 있지 않은지 확인하세요. 물리적 line clearance와 문서 line clearance를 별개의 완결 조건으로 두면, 누군가가 다른 영역의 완료를 근거로 조기에 생산을 시작하는 일을 줄일 수 있습니다.

10. 시작 승인 직전의 짧은 회의가 만드는 차이

다음 품목을 가동하기 전에는 생산, QA, 엔지니어링, 미생물 또는 밸리데이션 담당자가 필요한 범위에서 전환 상태를 한 번 정렬하는 것이 좋습니다. 이 회의는 길게 진행할 필요가 없습니다. 남은 open item, RABS 내부 추가 개입 여부, 설비 경보·보전 이력, 자재 상태, 전자 레시피 대조 완료, 최초 IPC 계획을 짧게 공유하는 방식이면 충분합니다. 핵심은 누가 무엇을 보고 시작을 승인했는지와, 미결 항목이 있다면 어떤 조건으로 보류됐는지를 기록으로 남기는 데 있습니다.

시작 직후의 첫 바이알, 첫 stopper, 첫 cap은 단순 시운전 결과가 아니라 전환 통제가 의도대로 적용됐는지 확인할 수 있는 초기 관찰 기회입니다. 최초 IPC와 외관 점검, 라벨·수량 대조, 설비 알람 상태를 시작 승인과 연결하면 line clearance가 과거형 서류로 끝나지 않습니다. 단, 초기 결과가 정상이라고 해서 전환 중 확인되지 않은 잔류물이나 기록 누락을 소급해 해소할 수는 없습니다. 발견된 사실은 그 자체로 평가하고, 생산 결과는 영향평가의 한 입력으로만 사용해야 합니다.

• □ 전 품목의 자재·라벨·문서·전자 세션이 모두 회수 또는 종료됐는가?
• □ 충전기·컨베이어·캡핑부·검사부의 숨은 공간까지 점검 범위가 정의됐는가?
• □ RABS 내부 반입·반출·소독 동작이 승인된 절차 및 기류가시화 범위와 일치하는가?
• □ 다음 품목의 부품 kit, 제품접촉면 상태, 멸균 포장 및 유효기간을 대조했는가?
• □ 충전량, 속도, 알람, 인터록, IPC 한계를 승인 master와 독립 대조했는가?
• □ 물리적 line clearance와 문서·전자기록 확인의 책임과 서명 순서가 분명한가?
• □ 부적합 시 중지·격리·영향평가·재개 권한이 절차에 정의됐는가?

충전 라인의 품목 전환은 다음 배치를 빠르게 시작하기 위한 준비가 아니라, 이전 배치의 경계를 완전히 닫는 일에서 출발합니다. 잔류물, 자재, 레시피, 작업자 동선의 네 가지 경계를 같은 기준으로 관리하면 line clearance는 감사용 서명이 아니라 무균공정의 예방 통제가 됩니다.

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 RABS가 포함된 바이알 충전기·동결건조기·바이알 캡핑기 적격성평가와, 중요 생산설비 적격성평가 항목이 공개되어 있습니다. 설비와 업무 범위에 맞춘 적격성평가 문서화가 필요하시면 GMPCAT 주요 실적 보기에서 수행 분야를 확인하실 수 있습니다.

참고 문헌

• European Commission, EU GMP Annex 1, 5.10
• GMPCAT 주요 실적

Autoclave 건조 불량: 진공·적재·포장재 원인조사

1. 멸균이 끝났는데 왜 건조 상태를 다시 봐야 할까요?

현장에서는 온도·압력 기록이 허용범위 안에 있고 화학적 지시계도 정상이라면, 부하의 젖음을 사소한 현상으로 취급하기 쉽습니다. 그러나 다공성 포장재나 멸균 포장 시스템은 멸균이 끝난 뒤에도 무균 상태를 유지하는 보호장벽입니다. 물기가 남으면 취급 중 포장재 강도와 미생물 차단성에 영향을 줄 수 있고, 작업자가 습기를 닦거나 부하를 다시 정리하는 과정 자체가 불필요한 개입이 될 수 있습니다.

따라서 wet load는 ‘멸균 실패’라는 결론을 즉시 뜻하지도, 단순 외관 이상으로 종결할 수도 없습니다. 어느 위치가 얼마나 젖었는지, 어떤 적재와 포장 시스템에서 반복되는지, 사이클의 진공·건조 단계가 평소와 달랐는지를 함께 읽어야 합니다. 특히 멸균 대상이 제조용 기구, 부품, 포장된 자재처럼 다음 공정에서 무균 상태를 전제로 사용되는 경우에는 부하 적합성 평가가 우선되어야 합니다.

2. 조사 시작점은 ‘젖었다’가 아니라 젖음의 지도입니다

조사 기록에 ‘포장 젖음’ 한 줄만 남으면 설비팀·생산팀·QA가 서로 다른 현상을 떠올리게 됩니다. 문을 열자마자 챔버 바닥에 고인 물인지, 트레이 하부의 국부 응축인지, 멸균 포장지 전체의 습윤인지, 밀폐 용기 외면의 물방울인지에 따라 우선 가설이 달라집니다. 처음 관찰한 작업자는 건조시간이 끝난 직후의 사진, 랙 위치, 적재 순서, 포장재 로트, 부하 구성과 개수, 습윤 면적을 같은 양식에 남기는 것이 좋습니다.

이 분류는 책임을 가르는 표가 아니라, 불필요한 재시험을 줄이는 도구입니다. 동일 사이클에서 정상인 포장과 젖은 포장이 섞여 있다면 사이클 전체의 값만 보는 것보다 위치·포장·적재 차이를 우선 비교하는 편이 효율적입니다. 반대로 모든 부하가 고르게 젖었다면 유틸리티나 진공성능, 건조 설정 등 공통 인자를 먼저 확인합니다.

3. 진공 단계는 숫자 하나가 아니라 시간 흐름으로 읽습니다

다공성 부하의 건조는 단순히 높은 온도로 말리는 과정이 아닙니다. 멸균 후 배출되는 증기와 응축수, 진공에 의한 수분 제거, 허용된 공기 유입과 냉각이 연결됩니다. 그래서 최종 진공값만 이전 배치와 비교하면 원인을 놓칠 수 있습니다. 진공 도달 시간, 펄스 횟수, 각 plateau의 유지시간, 진공 해제 시점, 건조 종료 전후의 압력 변화와 함께 검토해야 합니다.

진공 도달이 평소보다 늦어졌다면 챔버 도어 가스켓, 밸브 시트, 배관 연결부, 진공펌프 성능, 배기 필터, 제어 밸브의 개폐 순서를 확인합니다. 다만 누설시험이 통과했다는 사실만으로 실제 부하가 포함된 건조 성능을 모두 설명하지는 못합니다. 빈 챔버 누설시험은 설비 기밀성의 한 근거이고, 실제 적재 상태의 건조성은 적재·포장·응축수 조건까지 포함한 별도 성능 관찰입니다.

4. 증기와 응축수: ‘젖음’이 반드시 증기 품질 문제는 아닙니다

건조 불량을 만나면 증기가 과도하게 습하다고 단정하는 경우가 있습니다. 실제로 스팀 공급 상태, 응축수 배출, 드레인 온도, 트랩 기능은 중요합니다. 그러나 wet load는 포장재 사이의 빈 공간 부족, 랙 하부 배수 방해, 차가운 금속 표면에서의 재응축처럼 부하 쪽 요인으로도 발생합니다. 원인조사는 steam quality 성적서만 재확인하는 방식보다, 해당 사이클의 스팀 공급·챔버 드레인·부하 배치 자료를 같은 시간축에 놓는 방식이 낫습니다.

먼저 드레인 스트레이너와 배수 라인의 이물, 스팀 트랩 작동, 챔버 바닥·랙의 배수 경로, 배관 보온 손상이나 저점부의 응축수 축적을 점검합니다. 그 다음 같은 시점의 공급 압력 변동, 다수 사용점 동시 사용, 스팀 발생기 운전 상태를 비교합니다. 보전작업 직후 또는 장기간 정지 후 재가동한 설비라면 변경관리와 연결하여 영향받은 부하 범위를 정해야 합니다.

EU GMP Annex 1은 모든 멸균 공정에 대해 검증된 적재 패턴을 두고 최소·최대 부하를 고려하도록 요구합니다. 이는 멸균 온도 도달만이 아니라 실제 운전에서 반복 가능한 부하 상태를 설정하라는 뜻입니다. Annex 1, 8.38의 적재 패턴 원칙을 건조 상태 기록과 연결해 두면, 어느 구성에서 위험이 커지는지 훨씬 빨리 찾을 수 있습니다.

5. 적재 패턴: 같은 개수라도 같은 부하는 아닙니다

부하 개수만 같으면 같은 적재라고 생각하기 쉽지만, 포장된 기구의 면적, 트레이의 겹침, 랙의 높이, 물이 빠질 방향, 포장재끼리의 접촉 면적이 달라지면 증기 응축과 건조 경로가 달라집니다. 특히 직물류·다공성 포장재·복잡한 기구가 섞인 부하는 물을 머금거나 배수 경로가 막힐 가능성이 큽니다. 최대 부하 검증 때 사용한 배치 사진과 실제 현장 적재를 비교할 수 있도록 랙 구획·방향·상한을 작업표준서에 시각적으로 표시하는 방법이 유용합니다.

6. 포장재는 멸균 매체와 건조 조건을 함께 통과해야 합니다

포장재 변경은 겉보기에는 구매 변경처럼 보이지만, 증기 침투·공기 제거·건조·보호장벽과 연결됩니다. 종이의 평량, 부직포 구조, 파우치 재질, 이중 포장 방식, 테이프 사용량, 포장 내 기구의 표면적은 수분 거동을 바꿀 수 있습니다. 포장재가 젖었을 때에는 자재 로트나 공급업체만 확인하는 데 그치지 말고, 같은 포장재가 다른 멸균기 또는 다른 적재에서 정상인지 비교하세요.

새 포장 시스템을 도입하거나 이중 포장 방법을 바꿀 때는 변경 전후 부하의 열전달과 건조 상태를 계획적으로 비교하는 것이 좋습니다. 이때 ‘마른 것처럼 보인다’는 주관적 판단을 줄이기 위해, 관찰 위치·판정 시점·사진 촬영 방식·포장 손상 여부를 프로토콜에 정해 둡니다. 포장재가 젖은 상태에서 건조대나 작업대 위에 장시간 두어 자연 건조시키는 조치는 원래 상태의 적합성을 입증하지 못하므로, 임시 조치와 최종 처분을 분리해 기록해야 합니다.

7. 일탈이 발생했을 때의 조사 순서

1. 즉시 격리: 젖은 품목과 동일 부하를 식별하고, 사용·이동 상태와 다음 공정 투입 여부를 확인합니다.
2. 관찰 보존: 젖음 위치·면적·포장 손상·챔버 내 위치를 사진과 부하도에 남깁니다. 관찰 후 닦거나 재배치한 사실도 기록합니다.
3. 사이클 검토: 시간·온도·압력·진공·건조 단계와 경보, 차트의 특이점을 해당 설비의 과거 정상 사이클과 비교합니다.
4. 설비·유틸리티 확인: 드레인, 트랩, 가스켓, 진공펌프, 밸브, 스팀 공급과 최근 보전·변경을 확인합니다.
5. 부하·포장 검토: 수량, 방향, 랙 위치, 포장재, 용기 형상, 최대·최소 부하 검증 범위와의 차이를 찾습니다.
6. 영향 및 CAPA: 제품·자재의 사용 적합성 판단과 함께, 원인 가설별로 재시험 또는 재적격성평가의 필요성을 정합니다.

재시험은 유용하지만, 처음 wet load가 발생한 이유를 대신 설명하지는 않습니다. 예를 들어 재적재 후 정상 건조가 확인되었다면 적재 영향의 가설을 지지할 수 있지만, 최초 적재가 왜 검증 범위를 벗어났는지와 교육·표준서·시각적 가이드의 보완 여부까지 정리해야 합니다. 반대로 설비 인자가 의심되면 임의로 운전조건을 바꾸기 전에 변경관리와 적격성평가 전략을 세워야 합니다.

7-1. 제품 영향평가에서 빠뜨리기 쉬운 질문

영향평가는 ‘온도 기록이 정상이었는가’와 ‘포장재가 젖었는가’를 각각 따로 적는 데서 멈추면 안 됩니다. 해당 품목이 멸균 직후 어떤 구역으로 이동했는지, 포장 장벽이 손상되었는지, 젖은 상태로 보관·운반되었는지, 이후 공정에서 개봉되기 전까지 어떤 통제가 있었는지를 시간순으로 재구성해야 합니다. 멸균된 기구가 다음 무균공정에 투입되는 경우라면, 동일 부하의 다른 품목도 같은 취급 조건에 있었는지를 함께 확인해야 합니다.

특히 현장에서 자주 생기는 오해는 ‘습기는 눈에 보였으니 품질 영향도 명확하다’ 또는 반대로 ‘외포장만 젖었으니 문제없다’는 두 극단입니다. 보호장벽 시스템의 적합성은 포장 구성과 습윤 정도, 취급 과정, 사내 절차서의 승인 기준을 함께 고려해야 합니다. 조사자는 관찰값과 처분결정을 분리하고, 처분결정에는 적용한 절차·위험평가·QA 승인 근거를 명확히 남겨야 합니다.

7-2. 정상 사이클과 비교할 때의 데이터 표

데이터 비교는 평균 사이클 하나와의 대조보다, 같은 대표 부하를 사용한 최근 정상 사이클 여러 건을 기준군으로 두는 편이 좋습니다. 설비는 계절·스팀 사용량·보전 후 상태에 따라 작은 차이를 보일 수 있기 때문입니다. 조사표에는 단순 합격·불합격뿐 아니라 시간 차이와 조건 차이를 기록하세요. 그래야 다음에 유사한 현상이 생겼을 때 원인 가설을 다시 처음부터 만들지 않아도 됩니다.

이 표는 조사 보고서의 부록으로도 유용합니다. 정상 기준군의 선택 이유, 제외한 사이클과 그 이유, 원자료의 저장 위치를 함께 적으면 비교의 신뢰성이 높아집니다. 설비 로그의 시간대와 작업자가 기록한 적재 사진의 시간대가 어긋나지 않도록 확인하는 것도 중요합니다. 데이터가 완전할수록 원인조사는 특정 부서의 의견이 아니라 검증 가능한 판단이 됩니다.

8. CAPA와 재적격성평가를 연결하는 기준

CAPA는 ‘건조시간 5분 추가’처럼 조치 하나를 적는 문서가 아니라, 원인과 효과성 확인을 연결하는 체계입니다. 적재 가이드가 부족했다면 표준 적재 사진·최대 높이 표시·작업자 교육 뒤 대표 부하에서 건조상태를 확인하는 계획이 필요합니다. 드레인이나 진공부품을 교체했다면 교체 범위와 멸균기 운전 데이터, 필요한 경우 적재된 부하 성능을 함께 평가해야 합니다.

저희 GMPCAT은 고압증기 멸균기 PQ 및 Steam Quality Test가 공개된 수행 범위처럼, 설비의 유틸리티 상태와 실제 공정 성능을 분리하지 않고 문서화하는 방식을 중요하게 봅니다. 다만 각 설비의 변경 범위와 승인된 프로토콜에 따라 필요한 시험은 달라집니다. 반복되는 wet load는 단발성 외관 이슈가 아니라, 적재 패턴·건조 단계·설비 상태의 검증 범위를 다시 확인하라는 신호로 다루는 편이 안전합니다.

현장 체크리스트

• □ 젖음의 위치와 랙·포장·용기 방향을 사진으로 남겼는가?
• □ 부하 수량뿐 아니라 실제 적재 간격·중량·흡수성을 검증 부하와 비교했는가?
• □ 진공 도달 시간, 건조 단계, 드레인·압력 추세를 정상 사이클과 비교했는가?
• □ 포장재 변경·보전·배관 변경·장기 정지 후 재가동 이력을 확인했는가?
• □ 젖은 품목의 사용 적합성 및 영향 범위를 QA 승인 흐름으로 판단했는가?
• □ CAPA의 효과성 확인을 후속 부하와 사전 정의한 지표로 확인할 계획이 있는가?

GMPCAT 관련 수행 실적

GMPCAT 주요 실적에는 고압증기 멸균기 PQ와 Steam Quality Test 수행 항목이 공개되어 있습니다. 설비·적재 조건에 맞춘 적격성평가 범위와 문서화가 필요하시면 GMPCAT 주요 실적 보기에서 관련 수행 분야를 확인하실 수 있습니다.

참고 문헌

• European Commission, EU GMP Annex 1, 8.35–8.40 및 8.56–8.58
• European Commission, EudraLex Volume 4
• GMPCAT 주요 실적