ICH Q8/Q11 → chão: design space no EBR/MES

O design space do dossiê costuma morrer no segundo turno. Não porque o desenvolvimento tenha sido fraco. Porque o registro de lote trata a faixa registrada como sugestão — warning que o operador fecha, anotação que a revisão encontra tarde demais, ou pior: ajuste “operacional” que na prática sai da estratégia de controle sem reabrir risco nem mudança.

ICH Q8(R2) (Pharmaceutical Development, Step 4 em agosto de 2009) e ICH Q11 (Development and Manufacture of Drug Substances, Step 4 em maio de 2012) falam a língua do desenvolvimento e do dossiê. Este texto não é tutorial de QbD. É sobre o que acontece depois: a ciência sobe para o CTD, e o chão continua com um registro de lote que anota, mas não impõe.

Distinção dura: dentro da faixa ≠ atalho

Vale cravar cedo, porque a confusão paga caro:

Design space (Q8) descreve a combinação multidimensional de variáveis que se demonstrou fornecer qualidade. Nos termos do Q8(R2), trabalhar dentro do design space aprovado não é mudança regulatória; sair dele, é — mas isso não é licença operacional.

Na prática há três camadas: NOR (faixa normal de operação), PAR (faixa comprovadamente aceitável) e design space. Q8(R2) é claro: a combinação de PARs univariadas não constitui design space — ele é multivariado por definição. A maioria das plantas opera com NOR e PAR registradas no dossiê, não com design space formal; o argumento do hard gate vale para as três.

Dentro da faixa aprovada, o PQS (Q10) continua valendo de forma proporcional: capturar o valor executado, versionar a receita se o alvo mudar, e manter a gestão do conhecimento. Não se exige reabrir Q9 por completo a cada movimento dentro do design space. Sair da faixa — reabrir Q9 e change control completo — é outra história.

• Ajuste operacional solto é o disfarce: sair da sequência, da faixa ou do material que a estratégia de controle assumiu, sem reabrir risco (Q9) nem change control (Q10), e rotular isso de “flexibilidade de design space”. Design space não é licença para improvisar com cara científica.

O que Q8 coloca na mesa (sem virar apostila)

Q8(R2) articula, entre outras coisas, QTPP, atributos críticos de qualidade (CQAs), compreensão de processo e estratégia de controle. Design space é uma ferramenta possível dentro de uma abordagem enhanced — não uma obrigação universal, e não um talismã.

Para o chão, a pergunta útil é mais estreita: o que o desenvolvimento assumiu como controle — e o que o EBR/MES de fato impõe na hora?

Se o dossiê diz que a velocidade de mistura entre A e B, com temperatura abaixo de T, mantém o CQA (faixas da estratégia de controle, não um design space), e o EBR só registra o valor digitado sem gate, então a estratégia de controle existe no PDF e a do turno é outra. A distância entre os dois é risco operacional vestido de conformidade documental.

Quando a estratégia inclui PAT ou RTRT, o MES é o lugar onde a leitura vira decisão de gate — não apenas histórico.

Q11 no mesmo arco

Q11 leva o mesmo raciocínio para a substância (química ou biotecnológica/biológica): abordagem traditional versus enhanced, compreensão de impurezas, e a possibilidade de design space(s) na rota do IFA quando a empresa escolhe o caminho enhanced.

Na fábrica de medicamento acabado, a gente às vezes esquece que o system of record também precisa carregar o que a estratégia da substância assumiu — identidade, atributos de material, limites de impureza relevantes para o processo a jusante — não só a compressão do comprimido. Quando o MES só “vê” o produto acabado e trata o IFA como linha de BOM sem atributo, parte da estratégia de controle ficou no supplier quality e não chegou à execução.

Não é pedir que o EBR substitua o desenvolvimento do IFA. É pedir que o que for crítico para o lote naquela planta não dependa de memória de turno.

O dente do sistema: hard gate, não warning educado

A pergunta que sempre volta: design space é coisa do MES — ou feature de EBR?

Na prática, o que separa “Q8 no chão” de “Q8 no arquivo” costuma ser o comportamento do parâmetro crítico:

• Hard gate: fora da faixa (ou fora da sequência), o passo não segue sem caminho controlado de exceção — com estado, dono e evidência.
• Warning ignorável: o sistema avisa; o turno fecha o aviso; a revisão descobre (ou não) depois.
• Campo livre: o valor existe como narrativa; o controle é o olho humano na liberação.

Warning educado não é neutro. Ele cria a ilusão de controle eletrônico com o modo de falha do papel: erro tardio. Se o desenvolvimento gastou meses para delimitar a faixa, e o EBR trata a faixa como dica, a gente pagou ciência para comprar um PDF.

Onde o gate mora importa: alerta na borda do NOR; exceção/desvio na borda do PAR ou do design space. A revisão por exceção herda a faixa configurada — é o item 5 da checagem abaixo.

O gate não pode suprimir dado. Valor rejeitado, avanço bloqueado e caminho de exceção precisam estar no audit trail (ALCOA+). Gate que recusa sem registrar a tentativa é pior que um warning.

Isso não significa rigidez cega. Significa que a flexibilidade legítima mora no desenho da faixa e no fluxo de exceção — não no hábito de bypass. Então a resposta: design space no MES não é uma feature. É o comportamento do parâmetro crítico, a receita versionada e o fluxo de exceção, juntos.

Elo com Q9 e Q10

Mudança fora da faixa registrada (ou de sequência/material que a estratégia fixou) não é “detalhe de configuração”. É evento de risco e de PQS:

• Q9: reabrir a avaliação — a severidade e a detectabilidade mudaram quando o controle real mudou.
• Q10: passar pelo change control com dono, justificativa e, quando couber, evidência de que a estratégia de controle continua válida.

No Brasil, sair da faixa do dossiê é também evento regulatório: alteração pós-registro sob a RDC 73/2016, dentro da disciplina de BPF da RDC 658/2022.

O MES não é dono da ciência. É dono de impedir o atalho enquanto a ciência não for revisitada. Essa divisão de papéis evita dois extremos ruins: software que “define design space” por conta própria, e ciência que nunca chega à imposição.

Faixa no dossiê, passo na receita

O CTD fala em faixas e relações. O chão executa passos. A ponte é a receita mestre estruturada: parâmetro, limite, unidade, sequência, material, cálculo, assinatura, caminho de exceção. Sem essa ponte, o operador interpreta o parágrafo — e duas pessoas competentes discordam do que é “ainda dentro”.

Em design space formal, vale a mesma regra para a verificação em escala comercial, exigência do Q&A da EMA: os limites da master recipe — sobretudo os parâmetros dependentes de escala — precisam ser os verificados na planta, não os do estudo de desenvolvimento.

Por isso a conversão de MBR papel → receita digital e o desenho de EBR com imposição não são projetos de UX. São o lugar onde Q8 ou vira executável, ou permanece aspiracional.

Paper-on-glass — tela livre com a lógica do formulário — é especialmente hostil a design space: parece moderno e preserva o ajuste solto.

O que não prometer

• Que ter EBR “implementa QbD”.
• Que design space elimina change control (não elimina a disciplina do PQS; em muitos casos, clarifica o que é mudança regulatória versus o que o PQS cobre).
• Que hard gate sozinho substitui compreensão de processo. Gate sem ciência é só trava; ciência sem gate é só relatório.
• Números de redução de desvio ou “plantas típicas”. Cada operação carrega seu próprio histórico.

Uma sequência de checagem no chão

1. Liste cinco parâmetros que o desenvolvimento (ou a validação) trata como críticos ao CQA. Para cada um: o EBR bloqueia, avisa ou só registra?
2. Pegue o último “ajuste de processo” do turno. Entrou no change control — ou só no caderno do supervisor?
3. Confira se a versão da master recipe que gerou o lote aponta para os mesmos limites que o dossiê assume — as Established Conditions. Em design space formal, os limites são os verificados em escala comercial?
4. Para IFA crítico: atributos que a estratégia de controle da substância exige aparecem na pesagem/dispensação e na liberação de material — ou só no certificado?
5. Olhe a regra de revisão por exceção: ela assume que dentro da faixa é “normal”. Se a faixa no sistema for mais larga que a estratégia, a revisão herda a mentira.

Fechamento

ICH Q8(R2) e ICH Q11 entregam vocabulário e expectativa de compreensão. O chão entrega (ou não) a imposição. Design space no EBR/MES não é feature de marketing: é o hard gate, a receita versionada e o fluxo de exceção alinhados ao que o desenvolvimento assumiu — com Q9 e Q10 na porta quando alguém quiser sair da faixa e chamar isso de flexibilidade.

Se na sua planta o design space ainda vive sobretudo no dossiê, a pergunta útil não é “vamos fazer mais QbD?”. É: no segundo turno, a faixa registrada ainda manda — ou já virou sugestão?