Un générateur VHP fixe desservant plusieurs pièces ou chambres ne remplit que la fonction définie dans le cahier des charges du projet. Une fois l'équipement sélectionné et installé, le cycle de traitement qu'il assure est figé selon les termes du cahier des charges (URS), et non en fonction des besoins ultérieurs de la pièce ou du processus. Les équipes d'ingénieurs chargées de rédiger ce document fixent en réalité les limites auxquelles toute offre peut être soumise.
Commencez par les locaux, les chargements et les tâches de décontamination prévues
| Données URS | Ce que le projet doit définir | Front de décision |
|---|---|---|
| Enceinte traitée | Chaque pièce ou autre espace fermé visé par cette obligation | Permet de maintenir l'offre dans les limites du traitement prévu |
| État de fonctionnement | L'état de fonctionnement de chaque enceinte traitée | Veille à ce que la mission indiquée soit liée aux conditions dans lesquelles elle sera exécutée |
| Charge représentative | La charge correspondant à l'utilisation prévue | Permet aux fournisseurs de proposer les mêmes conditions de chargement |
| Objectif du processus | L'objectif visé par la décontamination | Veille à ce que la mission proposée reste en adéquation avec l'objectif du projet |
| Aération et libération | Le parcours prévu pour l'aération et la mise en circulation | Permet de suivre l'ensemble du parcours défini, depuis le traitement jusqu'à la sortie |
Un générateur VHP fixe ne décontamine pas un espace générique. Il traite un espace clos bien défini, dans des conditions de fonctionnement bien définies, avec une charge bien définie, dans un but bien défini, et selon un parcours de sortie bien défini passant par l’aération et le rejet. Chacun de ces éléments influe sur ce qu’un fournisseur peut proposer de manière crédible, et modifier l’un d’entre eux sans tenir compte des autres conduit à un cahier des charges qui ne pourra pas être vérifié par la suite.
La zone traitée revêt une importance particulière, car un seul générateur peut desservir une seule pièce ou plusieurs espaces interconnectés, et la prestation varie selon que le projet concerne une chambre d’isolement, un espace de transfert ou un ensemble de pièces reliées entre elles. Le fait de nommer chaque zone individuellement, plutôt que de décrire l’installation en termes généraux, permet de garantir que la prestation proposée corresponde bien à ce qui sera effectivement certifié.
L'état de fonctionnement est une variable distincte de l'enceinte elle-même. Une même pièce décontaminée à l'arrêt présente une charge et un niveau de pénétration différents de ceux de cette même pièce équipée d'installations de traitement, dont les portes sont ouvertes sur des espaces adjacents ou dont le système de traitement de l'air est configuré d'une manière particulière. Lorsque le cahier des charges (URS) ne précise pas l'état de fonctionnement de chaque enceinte traitée, deux fournisseurs peuvent proposer des cycles fonctionnellement différents tout en donnant l'impression de répondre à la même exigence.
La charge représentative découle directement des conditions d'exploitation. Un cycle validé sur une enceinte vide ne permet pas d'établir les performances par rapport à la charge que l'enceinte devra effectivement supporter en conditions réelles d'exploitation. Si le projet modifie la charge représentative après le dépôt des offres, les bases de conception du fournisseur s'en trouvent modifiées, et les comparaisons effectuées sur la base antérieure ne sont plus valables.
L'objectif du processus doit être énoncé explicitement plutôt que d'être déduit du contexte. Une opération de décontamination visant à permettre le retour du personnel n'implique pas les mêmes attentes qu'une opération destinée à faciliter le transfert de matériel ou la remise en état d'une salle entre deux campagnes ; l'objectif énoncé doit donc correspondre à la manière dont le projet définira ultérieurement les critères d'acceptation.
L’aération et la libération complètent la définition de la mission. Un cycle de traitement sans voie définie pour l’évacuation du peroxyde d’hydrogène résiduel, et sans critère défini pour déclarer l’espace libéré, laisse la seconde partie de la mission non précisée. Selon que la voie de libération passe par le système CVC existant, par un équipement d’aération dédié ou par un autre circuit d’évacuation, la capacité requise du générateur et la séquence de contrôle varient en conséquence. Chacun de ces cinq éléments doit être pris en compte pour chaque enceinte traitée avant que le projet n’aborde les interfaces avec les réseaux de services publics et de distribution, car toute décision concernant les interfaces en aval dépend de la définition préalable de la mission.
Définir les interfaces des services publics et de distribution sans masquer les lacunes de couverture
Une fois la fonction définie, l’URS doit décrire comment le générateur est raccordé à l’installation ; c’est là que les limites du périmètre sont le plus souvent laissées implicites plutôt qu’explicitées. Un générateur VHP fixe nécessite une alimentation électrique, un approvisionnement en peroxyde d’hydrogène et une méthode définie pour sa manipulation, un circuit de distribution de la vapeur vers l’enceinte traitée, un circuit d’évacuation, ainsi que les registres, capteurs et accès de maintenance nécessaires au fonctionnement et à l’entretien du système. Aucun de ces éléments ne doit être considéré par défaut comme relevant ou non du périmètre de responsabilité du fournisseur de l’équipement.
Les canalisations ou conduits de distribution reliant le générateur à la pièce, ainsi que toute utilisation partagée de l’infrastructure CVC existante pour la distribution ou l’évacuation, se situent à une limite d’interface naturelle. Lorsque le projet prévoit d’acheminer la vapeur via des conduits existants, le cahier des charges (URS) doit énoncer clairement cette intention plutôt que de laisser le fournisseur la déduire, car la conception du système de distribution du générateur et celle du système CVC de l’installation dépendent toutes deux de la partie de cette interface dont chaque partie est responsable. Il en va de même pour l’évacuation : le fait que le générateur évacue ses gaz vers un circuit dédié ou partage un système d’évacuation existant modifie ce que l’équipe de l’installation doit fournir et ce que le fournisseur d’équipements doit accepter comme condition aux limites.
Les registres et les capteurs se trouvent à cette même interface. La commande des registres peut relever du système de commande du générateur, du système de gestion technique du bâtiment, ou être répartie entre les deux, selon la manière dont le projet définit les responsabilités ; le cahier des charges (URS) doit préciser quelle est la situation applicable, plutôt que de laisser la question de la responsabilité des registres à régler lors de la mise en service. L'emplacement des capteurs destinés à vérifier les paramètres de cycle à l'intérieur de l'enceinte traitée, par opposition aux capteurs surveillant le générateur lui-même, doit être identifié par emplacement et par fonction, de manière à ce que la distinction entre l'instrumentation côté équipement et celle côté installation soit traçable.
L'accès aux installations est autant une question d'interface physique que d'interface de contrôle. Lorsque le générateur, son alimentation en peroxyde d'hydrogène ou ses composants de distribution nécessitent un accès à des fins de maintenance, l'URS doit préciser les conditions d'accès que l'installation mettra à disposition, car celles-ci conditionnent à la fois l'emplacement des équipements et l'agencement de l'installation. Ne pas préciser l'une de ces interfaces ne résout pas la question de la portée ; cela ne fait que la reporter à un stade du projet où sa résolution coûtera plus cher que sa définition initiale.
Spécifier les états de commande, les verrouillages, les alarmes et les exigences en matière de données
Les exigences en matière de contrôle doivent être définies en fonction des éléments réellement pertinents au regard des BPF pour le projet, et non appliquées de manière uniforme à tous les signaux que le système est susceptible de générer. Le système de contrôle d’un générateur VHP fixe peut produire des autorisations, des verrouillages, des alarmes, des restrictions d’accès des utilisateurs, des données archivées et des signaux destinés à un système de gestion technique du bâtiment ; chacune de ces catégories revêt une importance différente selon ce que le projet doit démontrer.
Les conditions d'autorisation et les verrouillages déterminent si un cycle peut démarrer ou doit s'arrêter ; le projet doit préciser quelles conditions doivent être remplies avant le début du traitement et quelles conditions, survenant pendant le traitement, nécessitent l'arrêt du cycle. Lorsqu'un verrouillage lie le fonctionnement d'un générateur à la position d'une porte, à l'état d'un registre ou à l'état d'une pièce adjacente, cette relation doit être clairement définie dans le cahier des charges fonctionnels (URS) en tant que condition précise, et ne doit pas être laissée au comportement par défaut du système de contrôle.
En ce qui concerne les alarmes, il convient d'opérer une distinction similaire entre celles qui ont un caractère informatif et celles qui nécessitent une réponse précise. Toutes les alarmes pouvant être déclenchées par un générateur n'ont pas les mêmes conséquences ; le projet doit donc préciser quelles alarmes nécessitent une intervention de l'opérateur, lesquelles requièrent un rapport d'écart, et lesquelles ont un caractère purement informatif.
L'accès des utilisateurs et la conservation des données relèvent des BPF lorsque ces données servent à étayer la libération des lots, l'enquête sur les écarts ou les exigences en matière de piste d'audit en vertu de Cadre du système informatisé de l'annexe 11, qui préconise une validation fondée sur les risques des exigences utilisateur et des contrôles portant sur les pistes d’audit, les données stockées, les sauvegardes et les accès. Le champ d’application de l’annexe 11 suit les risques documentés plutôt que de s’étendre automatiquement à chaque événement survenant dans l’installation et que le système de contrôle est en mesure d’enregistrer ; lorsqu’une donnée ne justifie pas une décision relative aux BPF, le fait de la traiter avec la même rigueur que les données qui le justifient alourdit la charge des contrôles sans apporter de garantie supplémentaire. Le projet doit identifier quels signaux, alarmes et enregistrements présentent une pertinence au regard des BPF et lesquels n’en ont pas, et rédiger le cahier des charges d’utilisateurs (URS) en conséquence, plutôt que d’exiger une rigueur de validation totale pour chaque signal disponible.
Les signaux du système de gestion technique du bâtiment (GTB) se situent à la frontière entre le système de contrôle propre au générateur et le dispositif de surveillance global de l’installation. Il convient d’indiquer explicitement si un signal donné a un caractère consultatif pour le GTB ou s’il fait partie d’un enregistrement relevant des bonnes pratiques de fabrication (BPF), car cela détermine si ce signal nécessite ultérieurement les mêmes preuves de qualification que les fonctions de contrôle essentielles du générateur.
Relier chaque exigence URS aux éléments probants FAT, SAT, IQ et OQ
| Phase d'instruction | Enregistrement de traçabilité pour chaque exigence URS applicable | Limite de la preuve |
|---|---|---|
| Révision de la conception | Identifiez la revue de conception documentée qui répond à cette exigence | Maintenir le lien entre l'URS et la validation de la conception |
| FAT | Identifier les preuves de test fournies par le fournisseur et justifiées, prévues pour l'exigence | Utiliser un protocole approuvé et un critère d'acceptation prédéfini, propre au projet |
| SAT | Identifier les preuves issues des tests sur site prévues pour l'exigence | Utiliser un protocole approuvé et un critère d'acceptation prédéfini, propre au projet |
| QI | Identifier les preuves de qualification de l'installation prévues pour l'exigence | Distinguer les éléments de preuve relatifs à l'IQ de ceux relatifs à l'OQ |
| OQ | Identifier les éléments de preuve de la qualification opérationnelle prévus pour l'exigence | Il convient de distinguer clairement les éléments de preuve relatifs à la qualité opérationnelle (OQ) de ceux relatifs à la qualité intrinsèque (IQ) |
| Registre des écarts | Indiquez tout écart résultant de l'activité de vérification prévue | Consigner l'écart par rapport au protocole approuvé et aux critères prédéfinis |
A Exigence URS Une disposition dont l'origine ne peut être retracée jusqu'à une étape de vérification est difficile à faire respecter par la suite, quelle que soit la clarté avec laquelle elle a été rédigée. Annexe 15 elle établit un lien entre le cahier des charges utilisateur et la qualification de conception, autorise la réalisation d’essais d’acceptation en usine justifiés chez le fournisseur, complétés par des essais d’acceptation sur site, et distingue les preuves de qualification d’installation des preuves de qualification opérationnelle, le tout dans le cadre de protocoles approuvés assortis de critères d’acceptation prédéfinis et d’écarts documentés. L’application de cette structure à un générateur VHP fixe implique que chaque exigence applicable issue des sections précédentes doive trouver sa place dans cette chaîne de preuves avant que le projet ne passe à la phase de comparaison des offres.
La revue de conception constitue la première étape de contrôle ; elle doit permettre de vérifier que les fonctions spécifiées, les interfaces et les exigences de contrôle sont bien prises en compte dans la conception proposée avant la réalisation de tout essai physique. Une exigence qui n’apparaît pour la première fois qu’au moment des essais d’acceptation sur site (FAT) a, en réalité, contourné la revue de conception, et toute lacune découverte à ce stade coûte plus cher à corriger qu’une lacune détectée plus tôt.
Les tests FAT et SAT répartissent les responsabilités entre la vérification chez le fournisseur et celle sur le site d'installation. Lorsqu'une exigence peut être testée de manière pertinente dans les locaux du fournisseur, à l'aide d'un dispositif de test justifié, les résultats du test FAT peuvent suffire à la valider ; lorsque l'exigence dépend des interfaces réellement installées, telles qu'un chemin de distribution relié au caisson réel ou un verrouillage relié au registre réel de l'installation, ce sont les résultats du test SAT qui font foi. Le projet doit préciser quelles exigences relèvent de quelle étape, plutôt que de partir du principe que le FAT suffira à lui seul à tout couvrir.
La qualification d'installation (IQ) et la qualification opérationnelle (OQ) restent deux types de preuves distincts au sens de l'annexe 15, et les confondre crée une ambiguïté quant à ce qui a réellement été démontré. La qualification d'installation confirme que le système est installé conformément aux spécifications ; la qualification opérationnelle confirme qu'il fonctionne conformément aux spécifications sur toute sa plage de fonctionnement prévue. Une autorisation de commande ou un verrouillage mentionné dans l'URS doit pouvoir être rattaché à l'une ou à l'autre, et non à une déclaration de qualification générale qui ne précise pas laquelle.
Chaque activité de vérification prévue au cours de ces étapes doit être menée conformément à un protocole approuvé, assorti d’un critère d’acceptation prédéfini propre au projet, et tout écart résultant de cette activité doit être documenté par rapport à ce même critère. C’est également dans le cadre de ce travail de traçabilité que les informations relatives au projet fournies à un fournisseur de générateurs — notamment les fonctions définies, les interfaces et les exigences de contrôle mentionnées dans les sections précédentes — sont intégrées dans l’examen de la configuration et du devis de ce fournisseur, car ce dernier ne peut pas proposer des preuves convaincantes concernant la graisse ou concevoir un système de contrôle équivalent sans avoir d'abord examiné comment le projet a défini ces limites.
Définir les hypothèses relatives aux offres et attribuer la responsabilité de l'acceptation du projet
Les sections ci-dessus établissent une chaîne : une obligation précise pour chaque enceinte, des interfaces définies avec indication de la responsabilité de chaque domaine, des exigences de contrôle adaptées à la pertinence réelle des BPF, et chaque exigence associée à une étape de vérification. La comparaison des offres repose sur le fait que chaque fournisseur réponde à cette même chaîne, plutôt que de combler les lacunes à l'aide d'hypothèses divergentes.
Lorsqu'un élément n'est pas défini dans l'URS, un fournisseur proposant un générateur VHP fixe, tel que le Unité de type I proposés dans cette catégorie d’équipements combleront généralement cette lacune en se basant sur une hypothèse adaptée à leur configuration standard plutôt qu’à la situation réelle du projet. Il ne s’agit pas d’une lacune dans l’offre du fournisseur, mais d’une conséquence d’un cahier des charges incomplet. Le projet doit considérer tout domaine dans lequel les offres divergent de manière substantielle comme un signe que le cahier des charges (URS) a laissé cet élément en suspens, plutôt que de considérer automatiquement comme correcte l’offre la moins chère ou la plus complète.
La responsabilité des critères d’acceptation doit rester du ressort du projet tout au long du processus, conformément au principe des critères prédéfinis qui s’applique à la revue de conception, aux essais FAT, SAT, IQ et OQ. Un fournisseur peut proposer des méthodes d’essai et démontrer que son équipement répond à un critère donné, mais le critère lui-même, ainsi que la décision d’accepter ou de rejeter les éléments de preuve qui s’y rapportent, relèvent de la responsabilité du projet. Lorsque cette responsabilité n’est pas clairement établie, les critères d’essai internes d’un fournisseur peuvent être confondus avec la norme d’acceptation du projet, ce qui affaiblit la position de ce dernier si un écart doit ultérieurement être justifié.
La propriété des interfaces, définie précédemment pour l’alimentation électrique, l’alimentation en peroxyde d’hydrogène et sa manipulation, la distribution, les évacuations, les registres, les capteurs et les accès de maintenance, doit être confirmée explicitement dans les hypothèses de l’appel d’offres, enceinte par enceinte, plutôt que d’être laissée sous la forme d’une déclaration générale du périmètre. Une déclaration générale indiquant que le fournisseur fournit “ le générateur et les interfaces standard ” ne permet pas de déterminer quelle partie est propriétaire d’un registre spécifique ou d’un raccord d’évacuation spécifique dans une pièce donnée.
Lorsque le projet n’a pas encore défini comment l’état de fonctionnement, la charge ou le parcours de déverrouillage d’un boîtier donné seront qualifiés, cette lacune doit être clairement mentionnée dans l’appel d’offres plutôt que d’être laissée à l’interprétation indépendante des fournisseurs répondants, car l’interprétation de chaque fournisseur devient alors une base différente et incomparable pour l’établissement du devis correspondant.
Questions fréquemment posées
Q : Comment les équipes d'ingénieurs peuvent-elles comparer les offres fixes pour des générateurs VHP lorsque les fournisseurs définissent différemment le périmètre des interfaces ?
A : Normalisez chaque offre en fonction de la même liste d'interfaces avant de les comparer. En ce qui concerne l'alimentation électrique, l'approvisionnement en peroxyde d'hydrogène et sa manipulation, les canalisations de distribution, le raccordement au système CVC, les évacuations, les registres, les capteurs et les accès de maintenance, consignez les hypothèses du fournisseur et identifiez tout élément dont la propriété reste indéterminée.
Q : Que doit indiquer l'URS si la charge finale de la pièce n'est pas encore confirmée ?
A : Précisez la charge représentative utilisée pour l'appel d'offres et indiquez qu'il s'agit d'une base de comparaison et non d'une condition définitive confirmée. L'équipe pourra ainsi déterminer quelles décisions ultérieures concernant la charge nécessiteraient une réévaluation de la mission proposée.
Q : Comment le projet doit-il déterminer quelles exigences en matière de contrôle et de données relèvent des BPF ?
A : Classez chaque état de commande, alarme, verrouillage, règle d'accès utilisateur, enregistrement stocké et signal du système de gestion technique du bâtiment (GTB) en fonction de son rôle réel dans le processus et du risque documenté. Utilisez cette classification pour définir les exigences applicables en matière d'accès, de conservation, de piste d'audit, de sauvegarde et de validation, au lieu de traiter tous les événements survenant dans l'installation de la même manière.
Q : Les résultats positifs d'un test FAT peuvent-ils se substituer aux essais sur site ou aux preuves de qualification ?
A : Ce n'est pas une règle générale. Le projet peut s'appuyer sur les preuves de FAT fournies par le fournisseur et justifiées pour les exigences applicables, mais il doit néanmoins identifier séparément les preuves requises pour les phases SAT, IQ et OQ, et appliquer les protocoles approuvés ainsi que les critères d'acceptation prédéfinis propres au projet à l'étape concernée.
Q : Qu'est-ce qui permet de vérifier la conformité d'un générateur VHP fixe aux exigences de l'URS ?
A : Une exigence testable établit un lien entre la condition requise, une étape de validation prévue et un critère d'acceptation prédéfini relevant de la responsabilité du projet. Elle doit également préciser comment les écarts seront documentés, de manière à ce que la preuve finale puisse être rattachée à l'exigence d'origine.
