FAT ou SAT pour les équipements BSL et de confinement : quels tests effectuer avant l'expédition et sur site ?

Les retards liés à la mise en service des projets de confinement se manifestent rarement dès le début. Ils s’accumulent discrètement dans l’écart entre ce qui a été validé en usine et ce qui fonctionne réellement une fois l’équipement installé — et lorsque cet écart devient visible, la pression liée au calendrier pour clôturer la SAT et passer à l’étape suivante est déjà considérable. La forme la plus courante de cet échec consiste à considérer la validation FAT comme la preuve que les performances sur site sont assurées, alors qu’en réalité, la stabilité de la cascade de pression, la logique des relais d’alarme et l’intégration au système de gestion technique du bâtiment (BMS) n’ont jamais été testées dans les conditions réelles de l’installation. Les mesures correctives à ce stade sont coûteuses, non seulement en termes financiers, mais aussi au niveau du dossier de qualification : refaire des tests après l’installation introduit une ambiguïté quant à l’appartenance des résultats à telle ou telle configuration. Pour éviter cela, il faut savoir précisément quelles fonctions peuvent être vérifiées en usine de manière significative, et lesquelles dépendent de conditions qui ne peuvent exister tant que l’équipement n’est pas raccordé au bâtiment dans lequel il fonctionnera.

Fonctions vérifiables en usine avant expédition

Les candidats les plus adaptés au FAT sont les fonctions qui dépendent uniquement de l’équipement lui-même — c’est-à-dire lorsque l’environnement de l’usine n’introduit pas d’écart significatif entre les conditions d’essai et les conditions d’exploitation. Les séquences de verrouillage de sécurité entrent dans cette catégorie. Un verrouillage du couvercle d’une centrifugeuse, qui empêche le démarrage du moteur lorsque le couvercle est ouvert et maintient le verrouillage jusqu’à l’arrêt complet du rotor, peut être entièrement vérifié en usine, car sa logique dépend du système de commande et de l’assemblage mécanique, et non des réseaux techniques du site ni de la circulation d’air dans la pièce. Si ce verrouillage présente une défaillance lors des tests SAT, celle-ci est presque toujours due à un problème de transport ou de réassemblage, et non à une lacune dans la conception initiale du FAT — et cette distinction est importante pour définir la portée de l’enquête.

L'examen de la documentation ne dépend en rien du chantier. Vérifier que les certificats des matériaux, les schémas électriques et les plaques signalétiques des composants sont conformes au cahier des charges approuvé relève, par définition, des tâches à effectuer en usine. Confier cette tâche au SAT fait perdre du temps sur le chantier et met souvent en évidence des divergences qui auraient dû empêcher la livraison. Pour les projets comportant des assemblages complexes à plusieurs composants — Isolateurs OEB4/OEB5 avec, par exemple, des réseaux de « gloveport » et des panneaux de commande intégrés — l’alignement des documents lors de la phase FAT est le moment où il est le plus économique de détecter les erreurs au niveau des composants.

Les essais de confinement SMEPAC réalisés lors des essais FAT (FAT) nécessitent une mise en place plus rigoureuse. Leur exécution en usine permet d’obtenir des données de référence utiles et de détecter les défaillances majeures du confinement avant l’expédition de l’équipement. En contrepartie, les résultats SMEPAC sont sensibles aux conditions spécifiques dans lesquelles ils sont générés : le composé de substitution, la durée de l’activité, la configuration de l’équipement et l’environnement de circulation d’air influencent tous les résultats. Si l’une de ces conditions diffère de manière significative entre le montage d’essai en usine et le processus réel sur site, le résultat du FAT ne constitue qu’une référence limitée pour la qualification. Il s’agit de données de référence, et non d’une preuve des performances sur site.

Interfaces spécifiques à un site nécessitant une preuve SAT

Certaines catégories de tests ne prennent tout leur sens qu’une fois l’équipement installé et raccordé. Tenter de les réaliser en usine, même partiellement, génère des données qui ne peuvent pas être utilisées en toute confiance dans le dossier de qualification.

L'intégration des équipements auxiliaires en est l'exemple le plus parlant. Une interface de commande entre un sectionneur ou Laboratoire à modules BSL-3/BSL-4 et un système SCADA, PLC ou DCS sur site ne peut être testé de manière exhaustive tant que l'équipement de l'usine n'est pas connecté au réseau du site en production. La compatibilité des protocoles, l'échange de signaux, l'acheminement des relais d'alarme et les séquences d'acquittement des verrouillages dépendent tous de l'architecture de contrôle réelle du site. Une simulation en usine utilisant un API représentatif peut permettre de détecter des erreurs de configuration grossières, mais elle ne permet pas de confirmer que le système installé se comporte correctement dans les conditions d’exploitation du site, dans des scénarios de basculement ou en cas de charge simultanée provenant d’autres équipements connectés. Les essais sur site (SAT) constituent le seul moyen de vérification valable pour ces comportements.

Les performances environnementales — stabilité de la pression différentielle, taux de renouvellement d’air, comptage des particules, intégrité des filtres et répartition de la température et de l’humidité — dépendent du système CVC installé et de la géométrie réelle de la salle. La classification des salles blanches selon la norme ISO 14644 dépend de l’environnement installé, et non de la chambre d’essai en usine. Ces mesures doivent être effectuées lors des essais sur site (SAT), en référence aux spécifications techniques du site (URS), et ne doivent pas être transposées à partir des conditions en usine, qui peuvent présenter des différences significatives en termes de débit d’air soufflé, de résistance à l’évacuation ou de stratégie de pressurisation de la pièce.

Les essais SMEPAC réalisés dans des conditions réelles de processus comportent un risque spécifique s'ils sont reportés en partant du principe que les données issues des essais FAT sont suffisantes. Le type d'API, la durée de l'activité et la configuration des équipements utilisés en production peuvent ne pas correspondre à ce qui a été simulé en usine. En cas de divergence, les résultats des essais FAT ne constituent pas une référence valable pour l'avenir, et le fait de les considérer comme telles crée une faille de confinement qui pourrait ne se révéler qu'à la suite d'un événement d'exposition ou d'un audit.

Examens qui ne doivent pas être répétés sans justification

Le principe est simple et se retrouve dans le cadre réglementaire EudraLex, volume 4 Annexe 15 précise, en vue de tirer parti des données vérifiées antérieurement, que si une fonction a été testée de manière rigoureuse lors des essais FAT et que le transport ou l'installation n'a pas altéré les conditions dans lesquelles elle a été testée, la répétition de l'essai lors des phases IQ/OQ alourdit la charge administrative sans pour autant renforcer la fiabilité de la qualification. La difficulté réside dans le fait que cette autorisation doit reposer sur des éléments documentés, et non sur une simple hypothèse.

Il incombe à l’équipe de qualification de démontrer que les conditions testées lors des essais FAT restent inchangées après l’expédition et l’installation. Pour la logique de contrôle, les séquences de verrouillage et les configurations d’alarme définies par logiciel et non affectées par le transport physique, cette démonstration est relativement aisée, à condition que le protocole et les résultats des essais FAT soient complets et que la version logicielle n’ait pas changé. En ce qui concerne les mesures physiques — intégrité des filtres, continuité des joints, alignement mécanique —, cela nécessite une inspection post-installation qui soit confirme que l'état est inchangé, soit identifie les points nécessitant un nouveau test.

L'erreur commise ici ne réside pas dans la réalisation de nouveaux essais excessifs. Elle consiste à utiliser le principe d'efficacité de l'annexe 15 comme justification par défaut pour omettre les contrôles sur site sans vérifier les hypothèses relatives au transport et à l'installation. Les équipes de qualification, soumises à des contraintes de calendrier, ont tendance à considérer le rapport des essais d'acceptation sur site (FAT) comme une base de données de résultats dans laquelle elles peuvent puiser librement, alors qu'en pratique, chaque utilisation nécessite une justification documentée attestant que les conditions d'essai ont été préservées. Lorsque cette justification ne peut être fournie, la répétition des essais est la seule position défendable.

Hypothèses relatives au transport et à l'installation ayant une incidence sur la qualification de l'installation (IQ) et la qualification opérationnelle (OQ)

Le transport présente un risque physique pour les équipements ayant passé avec succès les essais FAT dans un environnement d'usine contrôlé et statique. Ce risque n'est pas toujours visible. Les vibrations subies lors du transport routier ou aérien peuvent déplacer les cassettes de filtres HEPA, décaler les joints d'étanchéité ou desserrer les raccords filetés — aucun de ces phénomènes n'entraîne de dommages externes évidents, mais tous peuvent altérer l'intégrité du confinement ou les performances de pression d'une manière qui ne peut être détectée que par des essais.

En ce qui concerne plus particulièrement les données de confinement du SMEPAC, les vibrations liées au transport et le remontage des composants modulaires constituent les deux mécanismes les plus susceptibles d’invalider les résultats des essais FAT sans qu’il y ait d’indicateur visible. Un filtre HEPA qui avait été correctement mis en place et dont l’étanchéité avait été vérifiée en usine peut arriver à destination avec un joint endommagé à la suite du transport. A Boîte de passage de la VHP ou bien, un isolateur de transfert remonté sur site après expédition peut présenter une géométrie du joint de porte qui s'est décalée par rapport à la position validée en usine. Dans aucun de ces deux cas, une inspection visuelle ne permet de détecter le problème de manière fiable. La solution appropriée consiste à effectuer de nouveaux essais fonctionnels et de confinement lors des essais SAT, et non à partir du principe que les résultats obtenus en usine restent valables.

Cela implique, au regard des procédures IQ/OQ, que l'évaluation des dommages liés au transport effectuée lors de la SAT n'est pas une simple formalité. Si des dommages sont constatés — ou si l'inspection ne permet pas de confirmer que le système est arrivé dans le même état que celui dans lequel il est parti —, les résultats fonctionnels de la FAT pour les systèmes concernés doivent être considérés comme conditionnels plutôt que confirmés, et de nouveaux tests doivent être prévus en conséquence.

Clôture de la liste des travaux restants entre FAT et SAT

Les non-conformités identifiées lors des essais d’acceptation en usine (FAT) qui ne sont pas résolues avant l’expédition ne disparaissent pas : elles se transforment en litiges. Une fois l’équipement sur site, le pouvoir de négociation du prestataire pour exiger une remise en conformité en usine est réduit, la tolérance du client vis-à-vis des retards est moindre, et la pression par défaut sur les deux parties est d’accepter le point en suspens avec un écart plutôt que de le résoudre correctement. C’est dans cette dynamique que les registres de qualité s’accumulent d’entrées difficiles à justifier lors des inspections.

Le mécanisme permettant d’éviter cela est simple mais exige de la rigueur : chaque non-conformité identifiée lors des essais d’acceptation sur site (FAT) doit être consignée, attribuée et soit clôturée avec des preuves documentées, soit officiellement reportée avec une justification écrite avant que l’équipement ne soit validé pour expédition. Le dossier de transfert — qui comprend généralement un résumé des non-conformités et des points en suspens — établit le point de référence commun entre le fabricant et le client. En l’absence de ce document ou s’il est incomplet, la définition d’un point « clôturé » devient une question d’interprétation sur site, ce qui est précisément le contexte dans lequel naissent les litiges relatifs à la liste des travaux à achever.

Concrètement, pour les équipes chargées des achats et de l'assurance qualité, cela signifie que la validation du FAT ne doit pas être considérée comme le moment où le client accepte l'équipement sans réserve. Il s'agit plutôt du moment où les deux parties s'accordent sur ce qui a été vérifié, sur ce qui reste en suspens et sur les conditions dans lesquelles la livraison est appropriée. Les projets qui confondent la validation du FAT avec la réception définitive sont systématiquement confrontés à des clôtures de SAT plus contestées. Pour obtenir des conseils sur la manière dont ces étapes de mise en service s'articulent au sein des systèmes BIBO, le Liste de contrôle pour la mise en service du BIBO aborde les points spécifiques relatifs à l'IQ et à l'OQ qui sont le plus souvent négligés.

Règle de transfert pour les points en suspens relatifs à la réception du chantier

La clôture du SAT marque le point de transition juridique et technique entre la phase de mise en service et la période de garantie contre les vices. Tant que le certificat SAT n'a pas été signé conjointement par l'ingénieur du maître d'ouvrage et l'entrepreneur, cette transition n'a pas eu lieu — et sans ce certificat, la responsabilité de tout vice ou défaillance qui viendrait à apparaître reste véritablement ambiguë. Le certificat signé n'est pas une simple formalité ajoutée à la fin d'un processus par ailleurs achevé. C'est le mécanisme qui définit l'achèvement des travaux.

Le risque opérationnel lié à une mise en service prématurée est différé, et non immédiat. Si le SAT est signé avant que l’ensemble des équipements auxiliaires, des verrouillages, des alarmes et des interfaces installées n’aient été validés ou ne fassent l’objet d’une dérogation officiellement approuvée, les points non résolus sont intégrés au dossier de qualification sans qu’une voie de correction claire ne soit définie. Lorsque ces points apparaissent — lors de la qualification opérationnelle (OQ), de la qualification de performance (PQ) ou de l’exploitation courante —, le projet ne dispose d’aucune structure de responsabilité claire permettant de déterminer qui doit les résoudre ni à la charge de qui. Pour les équipements critiques en matière de confinement, où un verrouillage de pression défaillant ou un relais d’alarme du système de gestion du bâtiment (BMS) non vérifié peut affecter la sécurité des opérateurs ou la conformité réglementaire, cette ambiguïté n’est pas un simple problème administratif mineur.

La norme applicable à la clôture devrait être la suivante : le rapport de synthèse du SAT doit répertorier tous les tests requis ainsi que leurs résultats, et tout élément non conforme doit faire l’objet d’une dérogation officiellement approuvée, accompagnée d’une justification documentée et d’un plan de remise en conformité. Une dérogation approuvée constitue un mécanisme de clôture légitime. Un élément qui n’est tout simplement pas répertorié, ou qui est répertorié comme « en attente » sans dérogation signée, est considéré comme un point en suspens — et un point en suspens lors de la clôture du SAT équivaut à un constat d’inspection futur dont la date reste à déterminer.

La frontière entre le FAT et le SAT est le moment où les hypothèses de qualification sont soit validées, soit écartées. Un FAT bien structuré remplit une fonction réelle : il confirme les fonctionnalités mises au point en usine, comble les lacunes de la documentation et établit une base de référence crédible sur laquelle le SAT et l’IQ/OQ peuvent s’appuyer plutôt que de la reproduire. Le problème ne réside pas dans le FAT lui-même, mais dans la tendance à étendre son champ d’application à des domaines qu’il ne peut pas couvrir, en considérant la validation en usine comme une preuve de performance dans un établissement où l’équipement n’a pas encore été installé.

Avant de fixer la date du SAT, l’équipe chargée de la qualification doit être en mesure de répondre à trois questions en s’appuyant sur des preuves documentées : quels résultats des essais FAT sont repris et sur quelle base ; quelles interfaces spécifiques au site n’ont pas encore été vérifiées ; et quel est l’état d’avancement de la liste des points à corriger pour chaque non-conformité identifiée lors des essais FAT. Si l’une de ces réponses n’est pas claire ou repose sur des suppositions plutôt que sur des éléments documentés, la planification du SAT part d’une base incomplète — et ces lacunes apparaîtront au pire moment possible du calendrier du projet.

Questions fréquemment posées

Q : Est-il possible de regrouper les phases FAT et SAT en une seule étape d'acceptation sur site afin de raccourcir le calendrier du projet ?
R : Leur combinaison ne se justifie que pour un sous-ensemble restreint d’équipements pour lesquels il n’existe aucun écart entre les conditions en usine et celles sur site — ce qui est rarement le cas pour les systèmes de confinement. La stabilité de la cascade de pression, l’acheminement des relais d’alarme du système de gestion du bâtiment (BMS) et les performances environnementales dépendantes du système CVC ne peuvent produire de données de qualification valides tant que l’équipement n’est pas raccordé à l’installation en service. Le regroupement des essais d’acceptation en usine (FAT) et des essais d’acceptation sur site (SAT) n’élimine pas ces dépendances ; il supprime la première occasion de détecter les défauts de fabrication avant qu’ils ne se transforment en problèmes de remise en état sur site, et il ne permet pas d’établir clairement, dans le dossier de qualification, la distinction entre ce qui a été vérifié dans les conditions contrôlées de l’usine et ce qui a été vérifié une fois l’équipement installé. Pour les isolateurs, les modules BSL ou tout système comportant des interfaces avec les réseaux de services, le gain de temps ainsi réalisé ne résiste que rarement au premier litige non résolu concernant la liste des points à corriger lors des SAT.

Q : Si les essais SMEPAC ont été réalisés lors des essais FAT et que le composé de substitution ainsi que la durée d'activité étaient représentatifs, faut-il tout de même les répéter lors des essais SAT ?
R : Oui, à moins que l’équipe de qualification ne puisse démontrer que toutes les conditions matérielles — type d’API, configuration de l’équipement, conditions de circulation d’air et durée de l’activité — sont identiques sur le site d’installation, et que le transport et le remontage n’ont pas affecté l’intégrité des joints ou des filtres. Dans la pratique, cette confirmation nécessite des preuves issues d’une inspection post-installation, et non une simple hypothèse. Les vibrations liées au transport peuvent déplacer les cassettes HEPA ou modifier la géométrie du joint de porte sans causer de dommages visibles, et l’un ou l’autre de ces changements invalide les données de confinement issues du test FAT sans qu’il y ait d’indicateur clair. Lorsque cette inspection ne permet pas d’exclure formellement les effets du transport, la réalisation d’un test SAT SMEPAC constitue la seule position défendable dans le dossier de qualification.

Q : À partir de quel moment une dérogation officiellement approuvée devient-elle un substitut inacceptable à un résultat satisfaisant au SAT ?
R : Une dérogation ne constitue un mécanisme de clôture légitime que lorsqu’elle s’accompagne d’une justification documentée et d’un plan de correction défini, avec un responsable désigné et une échéance fixée. Elle cesse d’être acceptable lorsqu’elle est utilisée pour intégrer des éléments qui n’ont jamais été testés — plutôt que des éléments qui ont été testés et ont donné lieu à une non-conformité maîtrisée — ou lorsque le plan de correction ne prévoit pas de calendrier de mise en œuvre réaliste avant la mise en service de l’équipement. Pour les fonctions critiques en matière de confinement, telles que les verrouillages sous pression, les relais d’alarme du système de gestion du bâtiment (BMS) ou l’intégrité des filtres HEPA installés, une dérogation qui reporte indéfiniment la vérification équivaut fonctionnellement à un point en suspens ; or, un point en suspens à la clôture des essais de réception (SAT) apparaîtra comme un constat lors de l’examen du dossier de qualification selon les critères de l’Annexe 15 ou de la norme ASTM E2500-25.

Q : À qui incombe la charge de la preuve lorsqu'une défaillance survenue après le SAT est imputée à une fonction qui avait été validée lors du FAT : au fabricant ou à l'équipe de qualification du propriétaire ?
R : La responsabilité est partagée d’une manière qui dépend entièrement de la façon dont le transfert entre le FAT et le SAT a été documenté. Si le protocole FAT couvre clairement la fonction, que les résultats indiquent une réussite et que l’évaluation des dommages liés au transport effectuée lors du SAT confirme que le système est arrivé intact, la défaillance est très probablement due à un problème d’installation sur site ou d’intégration des services publics — et la responsabilité incombe alors au prestataire chargé de la mise en service ou à l’équipe de l’installation. Si l’évaluation du transport a été superficielle, si les hypothèses d’installation n’ont pas été documentées ou si le résultat du FAT a été repris sans justification écrite confirmant que l’état testé avait été préservé, l’équipe de qualification ne peut pas distinguer clairement la responsabilité du fabricant de celle de l’installateur. C’est précisément pour éviter cette ambiguïté qu’un dossier de transfert complet et une inspection post-installation rigoureuse ont été spécialement conçus.

Q : Existe-t-il un seuil de complexité des équipements en dessous duquel la distinction entre FAT et SAT devient une charge inutile plutôt qu'une véritable gestion des risques ?
R : Pour les équipements autonomes et indépendants, sans interface avec les réseaux du site, sans intégration à un système de gestion technique du bâtiment (BMS) et sans exigences de performance environnementale classées selon la norme ISO 14644, un protocole de réception monophasé simplifié peut être justifié — à condition que la justification de la qualification explique pourquoi les variables dépendantes du site sont absentes. Ce seuil n’est pratiquement jamais atteint par les isolateurs de confinement, les laboratoires modulaires BSL ou les systèmes de passage intégrés, qui, de par leur conception, comportent des interfaces de pression, d’évacuation, de CVC et de contrôle qui ne peuvent être résolues que sur site. La charge liée au maintien de la structure FAT-SAT est proportionnelle à la complexité des interfaces, et non à la taille de l’équipement. Un équipement compact Boîte de passage de la VHP Une installation en tant que station de transfert autonome peut nécessiter une portée SAT moindre qu'une ligne d'isolateurs complète, mais l'intégrité du joint de porte et les performances lors des cycles VHP après l'installation doivent tout de même faire l'objet d'une vérification sur site, que les essais en usine ne peuvent remplacer.