Essais de réception en usine des systèmes VHP, BIBO et d'isolateurs : les éléments de preuve que les acheteurs devraient demander

Le fait qu’un équipement passe avec succès un contrôle à la mise sous tension en usine, puis révèle des défauts de séquencement des vannes, des défaillances des verrouillages ou des erreurs de cascade de pression lors de la mise en service sur site n’est pas une question de malchance : cela signifie que le périmètre des essais FAT n’a pas couvert l’ensemble des éléments que l’équipement devait réellement démontrer. Le coût en aval de cette lacune n’a rien d’abstrait : les travaux de retouche sur site concernant les équipements de confinement nécessitent des conditions contrôlées, des étapes de décontamination et, souvent, une notification aux autorités réglementaires, autant d’éléments qui resserrent le calendrier de mise en service et peuvent repousser de plusieurs semaines les dates de début de la qualification. La décision qui permet d’éviter la plupart de ces préjudices n’est pas un SAT plus rigoureux, mais un FAT plus complet, avec un protocole approuvé avant la visite et un accord clair sur les points à valider avant que l’équipement ne quitte l’usine. C’est en comprenant où se situe cette limite et quelles preuves demander à chaque étape que les acheteurs peuvent prendre une décision d’expédition défendable plutôt qu’optimiste.

Contrôles en usine des ensembles VHP, BIBO et isolateurs

Vérifier qu’un isolateur, un boîtier BIBO ou une unité de transfert VHP est physiquement complet constitue un point de départ nécessaire, mais insuffisant. Les contrôles en usine pertinents sont ceux qui fournissent des preuves mesurables de conformité ou de non-conformité par rapport à des critères préalablement définis — des preuves qui permettent soit d’éliminer un mode de défaillance potentiel avant l’expédition, soit de le signaler suffisamment tôt pour qu’une correction puisse être apportée en usine.

En ce qui concerne plus particulièrement les équipements de confinement, quatre activités de vérification ont les conséquences les plus importantes en aval si elles sont omises. Un essai de performance de confinement sur un isolateur ou un système d’évacuation confirme que la barrière de confinement tient bon dans des conditions représentatives avant que l’unité ne soit chargée sur un camion. Un essai de maintien en pression ou un essai de fuite sous vide applique des critères mesurables à ce qui serait autrement une inspection visuelle : l’ensemble est soit étanche à l’air, soit il ne l’est pas, et le résultat est consigné par rapport à une valeur d’acceptation convenue. Les essais d’intégrité des filtres HEPA, réalisés dans le cadre de la norme ISO 14644 et conformément aux exigences de documentation des BPF mentionnées dans l’annexe 15, vérifient que les performances de filtration sont conformes aux spécifications avant que l’unité ne soit placée dans une zone contrôlée où toute remise en état s’avère bien plus compliquée. Le contrôle dimensionnel à l’aide d’instruments étalonnés peut sembler purement administratif, mais les écarts entre les dimensions enregistrées en usine et les plans de chantier entraînent des problèmes d’alignement dont la correction s’avère véritablement coûteuse une fois que les autres corps de métier ont avancé dans leurs travaux.

Le profil de risque associé à chaque contrôle omis est différent par nature, et pas seulement en termes d'ampleur. Une fuite non détectée sur un isolateur de biosécurité passe d’une correction en usine à un risque d’exposition pour l’opérateur. Un écart dimensionnel passe d’une vérification du plan à une modification structurelle. Considérer ces éléments comme des moyens facultatifs de renforcer la confiance revient à sous-estimer leur véritable nature : il s’agit en effet de la dernière étape du projet où la correction de chaque catégorie de défaillance reste relativement peu coûteuse.

Séquence de contrôle et éléments justifiant le déclenchement d'une alarme dont les acheteurs doivent prendre connaissance

Le test FAT qui est le plus souvent écourté en raison des contraintes de calendrier est justement celui qui revêt la plus grande importance pour la sécurité des opérateurs : l’exécution, en présence d’un témoin, de la logique de commande en conditions de défaut, et pas seulement en fonctionnement normal. Un séquençage à sec confirme que le programme de l’automate existe ; il ne confirme pas que l’alarme de retrait de gant se déclenche correctement, que l’arrêt d’urgence immobilise le système dans le bon ordre, ni que l’ouverture d’une porte de protection force le système à passer dans un état de sécurité défini plutôt que de poursuivre son cycle.

Il est important d’assister à ces essais, car les modes de défaillance qu’ils permettent de détecter ne sont pas visibles dans les plans ou lors de l’examen de la documentation. Une condition « gant retiré » qui ne s’affiche pas correctement, un verrouillage qui signale qu’un capot de protection est ouvert mais n’interrompt pas la séquence, ou un arrêt d’urgence qui arrête les moteurs mais laisse une conduite sous pression ouverte : aucun de ces défauts n’apparaît dans le dossier des plans d’exécution. Ils n’apparaissent que lorsque l’essai est effectué. Les acheteurs qui assistent aux essais de réception en usine (FAT) mais ne vérifient pas les transitions des verrouillages et les réponses des alarmes acceptent, en pratique, ces éléments sur la base de la confiance.

Le compromis est bien réel : assister à davantage d’étapes de test allonge la durée de la visite d’usine et mobilise davantage de temps de la part du personnel de l’acheteur. Cette prolongation n’est gérable que si le protocole de test est finalisé et validé avant la visite, afin que l’équipe de l’usine n’ait pas à attendre une validation pendant que le temps s’écoule. Lorsque la mesure du temps de réponse des systèmes de sécurité est incluse — ce qui s'applique lorsqu'un niveau de performance spécifique est défini dans le cahier des charges de sécurité —, ces essais nécessitent un équipement de mesure et une méthodologie de chronométrage convenus au préalable, qui ne peuvent pas être improvisés le jour même.

Les défauts de logique de commande qui se répercutent sur le site ne nécessitent pas simplement une correction logicielle. Sur les équipements de confinement, le diagnostic d'un défaut de verrouillage nécessite souvent l'évacuation de la zone, le respect des procédures d'accès et la redocumentation de toute correction dans le cadre du contrôle des modifications. Le surcoût par rapport à une retouche en usine est rarement inférieur à trois pour un, et cette estimation ne tient pas compte de l'impact sur le calendrier de qualification.

Vérification de la documentation avant la sortie de l'équipement de l'usine

Les lacunes constatées dans la documentation chez SAT ou IQ ne relèvent pas de simples corrections administratives mineures. Lorsque l’équipement physique ne correspond pas aux plans soumis à un contrôle de révision qui l’accompagnent, ou lorsque le cahier des charges de fabrication ne contient pas les certificats de conformité des composants en contact avec le produit ou l’air de process, l’équipe de qualification ne peut pas poursuivre ses travaux sans combler ces lacunes — ce qui implique de recontacter le fournisseur après l’installation de l’équipement, dans l’urgence et souvent avec un pouvoir de négociation limité.

Le principe énoncé dans l'annexe 15, selon lequel la documentation doit refléter l'état « tel que construit » avant le début de la qualification, sert ici de cadre de référence : ce qui quitte l'usine constitue la base de référence par rapport à laquelle chaque phase de qualification ultérieure est évaluée. Si cette base de référence est incomplète ou ne correspond pas à la réalité au moment de l'expédition, la lacune ne disparaît pas : elle entraîne soit un retard dans la qualification d'entrée (IQ), soit donne lieu à une non-conformité.

Le contrôle de la documentation le plus important lors d’un FAT est le rapprochement des modifications : il s’agit de vérifier que les écarts identifiés et corrigés au cours du FAT lui-même sont bien pris en compte dans une révision mise à jour du plan, et non pas simplement consignés sous forme de note dans le rapport du FAT. Un rapport de FAT décrivant le repositionnement d’une vanne au cours des essais, sans mise à jour correspondante du schéma P&ID, engendre une situation de documentation qui entraînera une non-conformité lors de la qualification de l’installation (IQ). Il est nettement plus efficace de repérer ce problème en usine, alors que l’équipe de conception d’origine est encore présente, que de le constater lors de l’IQ, une fois l’équipement installé et alors que l’équipe sur site travaille à partir du schéma non corrigé.

Pour plus de détails sur les documents requis avant de se présenter au FAT, le Guide des meilleures pratiques pour la documentation des isolateurs OEB4/OEB5 présente les documents qui doivent être en place avant le début de la qualification.

Délai d'approbation du protocole avant la participation aux essais d'acceptation sur site (FAT)

La raison la plus courante pour laquelle les listes de non-conformités des essais FAT s'allongent plus que prévu n'est pas une qualité de fabrication insuffisante, mais bien une validation tardive du protocole. Lorsque les commentaires du service d'assurance qualité concernant le protocole FAT parviennent alors que l'équipement est déjà assemblé, deux choses se produisent simultanément : les critères d'acceptation peuvent devoir être révisés pour refléter ce qui a été réellement construit, et tout critère d'acceptation nécessitant des modifications physiques entraîne l'obligation de procéder à de nouveaux essais, ce qui réduit le délai entre la fin des essais FAT et la date d'expédition prévue.

Prévoir le FAT deux à quatre semaines avant la date d'expédition prévue constitue un critère de planification pratique visant à créer une marge de manœuvre pour les corrections. Cette marge de manœuvre n'est effective que si le protocole est approuvé avant le début du FAT — et non examiné pendant celui-ci. Concrètement, cela signifie que le fournisseur doit soumettre le projet de protocole suffisamment tôt pour permettre un cycle de commentaires constructif, et que l'acheteur doit considérer l'examen du protocole comme une tâche du projet assortie d'une échéance, et non comme une activité secondaire.

Dans le cas d'un FAT virtuel, les exigences en matière de coordination sont plus élevées, et non pas moindres. Les rôles, les canaux de communication, les modalités de partage d’écran et les procédures de transfert entre les étapes de test doivent être définis avant le début de la session, car la possibilité de faire une pause et de clarifier certains points est plus limitée qu’en présentiel, et la réexécution d’étapes de test à travers différents fuseaux horaires est véritablement perturbante. L’approbation préalable du protocole et la validation définitive de la conception de l’équipement avant la session virtuelle ne relèvent pas de simples préférences administratives : ce sont les conditions indispensables pour qu’un FAT virtuel puisse générer des preuves fiables.

Les critères d'acceptation doivent être convenus avant l'achèvement de la construction, et non après. Une fois l'équipement assemblé, adapter a posteriori les critères d'acceptation pour qu'ils correspondent à ce qui a été construit peut certes satisfaire au protocole, mais cela va à l'encontre de l'objectif initial de la définition de ces critères. Convenir des critères à un stade précoce — lors de la phase d’URS ou pendant la revue de conception — permet de connaître les objectifs de fabrication en usine, et le protocole de FAT reflète alors les véritables exigences de performance plutôt qu’un simple compte rendu a posteriori de ce qui a été observé.

Éléments de la liste des points à régler susceptibles d'empêcher l'expédition

Tous les éléments FAT en suspens n’ont pas les mêmes conséquences au moment de l’expédition. Dans la pratique, il convient de distinguer les éléments qui ne peuvent être vérifiés que sur site — raccordements aux réseaux, équilibrage de la cascade de pression, intégration aux systèmes de gestion technique du bâtiment — et ceux qui reflètent des défauts de fabrication non résolus que le constructeur est le mieux placé pour corriger. Confondre ces deux catégories, soit en procédant à l’expédition alors que des éléments critiques restent non résolus, soit en retardant l’expédition en attendant des étapes de mise en service qui dépendent effectivement du site, crée des frictions inutiles dans les deux sens.

Une liste des points à régler bien gérée attribue à chaque point une catégorie, un responsable et soit une date cible de résolution, soit un accord documenté stipulant que le point est transféré au SAT avec des critères d’acceptation définis. La fonction de responsabilisation est tout aussi importante que la fonction de suivi. Un point en suspens de la liste des points à régler, sans responsable désigné ni voie de résolution convenue, ne devient la priorité de personne — il se transforme en litige lorsque l’équipe de chantier le rencontre lors de la mise en service.

Les éléments devant entraîner le blocage de l'expédition sont ceux dont le défaut est d'origine usine, dont la résolution nécessite des ressources de l'usine et dont l'expédition sans résolution présente un risque pour la sécurité des opérateurs, l'intégrité du confinement ou la validité de la base de référence de qualification. Les erreurs de séquencement des vannes, les défauts de logique d'alarme, les non-conformités structurelles et les divergences dans l'état de la documentation entrent dans cette catégorie. Les éléments relevant de travaux de mise en service dépendants des interfaces — débits des réseaux de services, équilibrage des filtres finaux, intégration au réseau — n’empêchent pas l’expédition, mais doivent être formellement consignés dans le périmètre de la SAT selon des critères convenus.

Le Liste de contrôle pour la mise en service du BIBO aborde plus en détail la transition entre la clôture de la liste des points à régler (FAT) et le périmètre de la SAT, en particulier pour les systèmes « bag-in bag-out ».

Décision d'expédition fondée sur la clôture des essais d'acceptation en usine (FAT)

La décision d'expédition constitue la dernière étape du projet au cours de laquelle l'acheteur dispose d'un pouvoir de négociation significatif vis-à-vis du fournisseur. Une fois que l'équipement a quitté l'usine, la capacité du fournisseur à corriger les défauts physiques nécessite soit une intervention sur site dans des conditions contrôlées, soit un retour de marchandise — deux solutions nettement plus coûteuses qu'une retouche en usine, et pour lesquelles le fournisseur n'a aucun intérêt contractuel à donner la priorité une fois les conditions de paiement respectées.

La mise en service d'une livraison comportant des éléments critiques non résolus, en partant du principe que la mise en service sur site permettra de les résoudre, est une pratique souvent encouragée par les calendriers d'approvisionnement et dont les équipes de validation héritent par la suite. En pratique, cela se traduit par une phase de mise en service qui débute avec des défauts connus, une équipe sur site qui consacre du temps au projet pour diagnostiquer des problèmes déjà visibles lors des essais d'acceptation en usine (FAT), et un démarrage de la qualification qui dépend de la résolution de ces problèmes dans le cadre d'un contrôle des modifications plutôt que d'une correction en usine.

La pratique justifiable en matière de validation des livraisons — étayée en principe par l’exigence de l’annexe 15 selon laquelle les points en suspens doivent faire l’objet d’un suivi formel avant de passer à la phase de qualification suivante — consiste à exiger que l’une des deux conditions suivantes soit remplie avant de valider l’unité : soit une preuve documentée de la résolution de chaque point critique de la liste des points à régler, soit un accord écrit qui classe explicitement le point dans le champ d’application des tests SAT dépendants du site, définit les critères d’acceptation et attribue les responsabilités. Le mot clé est ’ écrit ». Un accord verbal selon lequel l’équipe sur site s’en chargera ne crée pas de responsabilité ; il engendre un décalage d’attentes qui se manifeste exactement au mauvais moment.

Pour Boîte de passage de la VHP et bag-in bag-out Dans le cas des unités où les performances du cycle de décontamination et l'intégrité du boîtier du filtre sont essentielles à la fonction de confinement, l'autorisation de l'expédition d'un lot présentant des problèmes non résolus liés à l'intégrité de la pression ou à la logique du cycle revient en réalité à reporter le risque lié à la qualification du confinement sur le site — où sa résolution s'avère plus complexe, plus coûteuse et plus visible aux yeux des autorités de régulation.

C'est lors de la décision d'expédition que se joue la validité des résultats du FAT. Un FAT ayant permis de vérifier le déclenchement des alarmes, de confirmer les transitions entre les verrouillages, de vérifier l'intégrité de la pression et de produire un dossier de documentation complet donne lieu à une autorisation d'expédition que l'équipe d'assurance qualité peut valider en toute confiance. Un FAT se limitant à confirmer la mise sous tension et l'intégrité visuelle du système donne lieu à une autorisation d'expédition qui, dans la pratique, revient à transférer les risques non résolus à l'équipe du site.

Avant de se rendre au FAT, la démarche la plus productive qu’un acheteur puisse entreprendre consiste à vérifier que le protocole a bien été approuvé, que les critères d’acceptation ont été définis avant l’achèvement de la construction et que le cadre de classification de la liste des points à régler distingue les éléments pouvant être résolus en usine de ceux relevant véritablement du périmètre SAT lié au chantier. Ces trois conditions déterminent si la visite de FAT apporte des éléments probants ou s’il s’agit simplement d’un événement de calendrier — et cette distinction revêt bien plus d’importance pour la mise en service et la qualification que le nombre de jours que dure la visite.

Questions fréquemment posées

Q : Que se passe-t-il si le protocole FAT n'a pas été officiellement approuvé avant la visite de l'usine ?
R : La visite de FAT donnera lieu à un événement planifié plutôt qu’à des preuves vérifiables. En l’absence d’un protocole préapprouvé, les critères d’acceptation risquent d’être révisés pour correspondre à ce qui a été réalisé plutôt qu’à ce qui avait été spécifié, les étapes de test pourraient être contestées le jour même, et toute remarque relative à l’assurance qualité nécessitant des corrections physiques réduira le délai entre la fin de la FAT et la date d’expédition prévue — ce qui pourrait obliger à choisir entre suspendre l’expédition ou procéder à la livraison malgré des points en suspens.

Q : Un FAT virtuel est-il suffisant pour les équipements de confinement tels que les isolateurs et les systèmes BIBO, ou faut-il une présence physique pour en attester ?
R : Un FAT virtuel peut fournir des preuves fiables, mais uniquement si des conditions préalables plus strictes que celles d'une visite sur place sont respectées. Les rôles, les canaux de communication, les modalités de partage d’écran et les procédures de transfert entre les étapes de test doivent être définis avant le début de la session, et le protocole doit être entièrement approuvé à l’avance. La possibilité de mettre en pause, de clarifier et de réexécuter une étape est plus limitée en raison des décalages horaires et des configurations à distance ; ainsi, toute ambiguïté dans le protocole ou la conception de l’équipement, qui serait rapidement résolue en présentiel, risque de nécessiter une session distincte — ce qui entraîne un coût réel en termes de planning.

Q : À quel stade du projet faut-il définir les critères d'acceptation pour les tests d'acceptation sur site (FAT) ?
R : Les critères d'acceptation doivent être convenus avant l'achèvement de la fabrication de l'équipement, idéalement au stade de l'URS (spécifications fonctionnelles) ou lors de la revue de conception. Une fois l'unité assemblée, définir rétrospectivement des critères pour les adapter à ce qui a été construit permet certes de respecter le protocole sur le papier, mais va à l'encontre de l'objectif même de l'existence de ces critères. Un accord précoce garantit que la fabrication en usine s'appuie sur des objectifs de performance bien définis, et que le protocole de FAT (test d'acceptation en usine) reflète de véritables exigences de qualification plutôt qu'un simple compte rendu des résultats observés.

Q : Comment un acheteur doit-il déterminer s'il convient de suspendre l'expédition ou d'accepter un point en suspens de la liste des travaux à réaliser en tant que périmètre SAT dépendant du site ?
R : Le facteur déterminant est de savoir si les ressources de l’usine sont nécessaires pour résoudre le défaut. Les éléments dont la défaillance trouve son origine à l’usine — erreurs de séquencement des vannes, défaillances de la logique d’alarme, non-conformités relatives à l’intégrité de la pression, incohérences dans la documentation — doivent bloquer l’expédition jusqu’à ce qu’il existe une preuve de résolution. Les éléments qui dépendent véritablement de l’interface, tels que l’équilibrage des débits des réseaux ou l’intégration au système de gestion technique du bâtiment, peuvent être transférés vers les essais de réception sur site (SAT) à condition qu’il existe un accord écrit définissant les critères d’acceptation et attribuant les responsabilités. Un accord verbal n’est pas suffisant ; sans classification écrite, l’élément n’a pas de responsable et ne peut faire l’objet d’aucune procédure de résolution sur site.

Q : Un FAT approfondi réduit-il la portée du SAT, ou ces deux processus doivent-ils rester totalement indépendants ?
R : Un FAT approfondi ne remplace pas le SAT, mais il modifie considérablement ce que le SAT est censé valider. Le FAT élimine les modes de défaillance pouvant être résolus en usine — intégrité du confinement, réponse aux alarmes, logique de contrôle, état de la documentation — afin que le SAT puisse se concentrer sur les performances spécifiques au site : raccordements aux réseaux de services publics, équilibre de la cascade de pression, acheminement intégré des alarmes et performances des filtres installés dans des conditions d’exploitation réelles. Lorsque le périmètre du FAT est réduit, le SAT hérite à la fois de son propre périmètre légitime et des défauts d’usine non résolus, ce qui signifie que l’équipe sur site doit diagnostiquer les problèmes dans le cadre d’un contrôle des modifications plutôt que d’une correction en usine, à un coût souvent supérieur à trois fois celui d’une correction en usine.