FAT et SAT des isolateurs : quelles preuves les acheteurs doivent-ils exiger ?

Avant d’accepter un isolateur lors de la réception en usine (FAT) puis lors de la réception sur site (SAT), les acheteurs ont besoin d’une réponse claire à une question : quelles fonctions chaque test permet-il réellement de valider, et quelles conditions modifient cette validation ? Considérer les tests FAT et SAT comme un seul et même critère de réussite ou d’échec, plutôt que comme deux ensembles distincts de preuves, laisse subsister des lacunes qui n’apparaissent qu’une fois le système installé et en service. L’objectif de protection de l’isolateur est la protection du produit par séparation aseptique, et l’ensemble des preuves doit être constitué de manière à démontrer cet objectif dans les conditions réelles de fonctionnement de l’isolateur, et non pas uniquement dans les conditions d’usine.

Éléments de preuve à fournir lors de la réception en usine

Les essais de réception en usine ont pour but de vérifier ce que le site du fournisseur est en mesure de reproduire fidèlement : la logique de commande, le fonctionnement des composants, la qualité de fabrication, le comportement des logiciels et la réponse de l’équipement dans des conditions que l’usine est capable de reproduire. Ce que le FAT ne peut pas reproduire, ce sont tous les éléments qui dépendent de la salle d’installation finale, des raccordements aux réseaux finaux ou des contraintes mécaniques liées au transport et à l’installation. Cette distinction n’est pas une simple préférence procédurale ; elle découle de la nature même d’une installation en usine. Une maquette des réseaux en usine, aussi proche soit-elle du cahier des charges du projet, ne correspond pas à l’alimentation réelle une fois installée, et le bon fonctionnement d’une fonction dépendant de cette alimentation n’a pas été vérifié dans ses conditions d’exploitation réelles.

Cela signifie que la mission de l’acheteur lors du FAT consiste à vérifier que l’ensemble des éléments fournis démontre ce qui est démontrable à ce stade, avec suffisamment de rigueur et de documentation pour que l’on puisse s’y fier ultérieurement sans qu’il soit nécessaire de répéter le processus. Un protocole approuvé établit que l’essai a été planifié et revu avant son exécution, et non improvisé en fonction du résultat. Des critères d’acceptation prédéfinis, fixés avant le déroulement des essais, empêchent que ces critères ne soient ajustés pour correspondre au résultat produit par le système. Ce sont les résultats bruts, et non les simples déclarations de conformité, qui permettent à l’acheteur ou à un auditeur ultérieur de juger de manière indépendante si le résultat répond effectivement aux critères revendiqués. L’état de l’instrument est important, car la crédibilité d’une mesure dépend de celle de l’instrument qui l’a produite. Les versions des logiciels et des plans ont leur importance, car les performances documentées d’un isolateur sont liées à une configuration spécifique ; une modification ultérieure invalide le lien entre l’essai et le système livré, à moins que cette modification ne soit elle-même évaluée. La clôture des écarts est essentielle, car un écart non résolu laisse le résultat associé en suspens, quel que soit le contenu du reste du rapport. La traçabilité URS relie chacun de ces enregistrements à une exigence réellement spécifiée par l’acheteur, ce qui permet à ce dernier d’évaluer la couverture plutôt que la simple activité.

Lorsqu'une fonction dépend uniquement de la conception interne et de la logique de commande de l'isolateur, et non de l'environnement d'installation, les résultats des essais FAT relatifs à cette fonction peuvent être considérés comme définitifs, à condition que la documentation étaye cette conclusion. Lorsque les performances d'une fonction dépendent d'un élément que l'usine ne peut pas reproduire, les résultats des essais FAT établissent uniquement que la fonction a fonctionné dans les conditions d'essai, et non qu'elle fonctionnera une fois installée.

Éléments du chantier à vérifier à nouveau après l'installation

Annexe 15 définit le principe général qui régit cette section : un essai FAT réalisé chez le fournisseur peut être suivi d’un essai SAT après la livraison, et il n’est pas nécessaire de répéter l’essai FAT sur site uniquement si le transport et l’installation n’affectent pas le fonctionnement et que cette justification est documentée. Il s’agit d’une dérogation restreinte, et non d’une règle par défaut. Cela fait peser sur l’acheteur et le fournisseur la charge de justifier le report de l’essai plutôt que de le considérer comme acquis.

La raison d’être de cette marge est d’ordre mécanique. Les performances d’un isolateur dépendent des cascades de pression, des schémas d’écoulement d’air, de l’intégrité des raccords pour gants et des réponses de régulation qui interagissent avec la pièce dans laquelle il est installé, les réseaux qui l’alimentent et les manipulations physiques qu’il a subies pour y parvenir. Une boucle de régulation qui a répondu correctement à une entrée simulée en usine peut se comporter différemment une fois raccordée au système de gestion technique du bâtiment, à la qualité de l’alimentation électrique du site ou à l’alimentation en air comprimé. Une enceinte qui a conservé son étanchéité lors des essais de fuite en usine peut avoir subi des contraintes pendant le transport ou la manutention que les essais en usine ne pouvaient pas anticiper. C’est pourquoi les équipements installés, les interfaces avec la pièce, les fonctions sensibles au transport et les fonctions modifiées par l’installation ou l’intégration ne peuvent pas bénéficier d’une validation d’usine ; l’objet physique testé a en effet changé.

Pour l'acheteur, la question n'est pas de savoir s'il faut effectuer des tests SAT, mais comment établir la distinction entre ce qui peut être repris tel quel et ce qui doit faire l'objet d'une nouvelle vérification. Cette distinction doit être définie fonction par fonction, et non pour l'isolateur dans son ensemble. Une fonction qui n’est pas affectée par le transport, l’installation ou l’interface avec la salle peut raisonnablement conserver ses résultats d’usine si la justification est documentée et si les critères d’acceptation restent liés aux exigences propres au projet plutôt qu’à une norme générique. Une fonction qui touche l’une de ces limites nécessite son propre protocole spécifique au site, exécuté dans les conditions réelles du site et évalué selon des critères définis au préalable. ISO 14644-7 définit généralement les dispositifs de séparation au sein de cette structure « installation-essai-homologation », mais ne fournit pas de protocoles ni de limites spécifiques aux équipements, ce qui signifie que l'acheteur ne peut pas considérer une norme générale comme pouvant se substituer à un plan SAT spécifique au projet.

Défis fonctionnels liés aux verrouillages, aux alarmes, au débit d'air et aux commandes

Verrouillages, alarmes, débit d'air et fonctions de commande sont au cœur des performances aseptiques d’un isolateur, et chacune repose sur un type de validation différent. Un verrouillage est une fonction logique de sécurité et de confinement : il doit être testé en provoquant réellement la condition à laquelle il est censé réagir, et non pas simplement vérifié sur un schéma. Une alarme doit être déclenchée en cas d’écart réaliste, et non simulée par un opérateur activant un signal dans un logiciel, car c’est le parcours allant du capteur à la signalisation, puis à la réaction de l’opérateur, que l’acheteur a réellement besoin de voir démontré. Les performances en matière de débit d’air dépendent de l’interaction entre la géométrie interne de l’isolateur et son environnement réel d’installation, y compris les relations de pression dans la pièce et les conditions d’alimentation que la configuration en usine ne peut, au mieux, qu’approcher. Les fonctions de contrôle régissent la manière dont le système maintient son état de fonctionnement et réagit aux perturbations, et leur exactitude dépend de la version logicielle spécifique et du jeu de paramètres chargés au moment de l’essai.

Le critère que l’acheteur doit appliquer pour chacune de ces fonctions est le même que celui qui régit de manière générale la distinction entre FAT et SAT : ce défi spécifique dépend-il d’un élément que l’usine ne peut pas reproduire ? Un verrouillage entièrement intégré au système de contrôle propre à l’isolateur, indépendant des réseaux du site ou des conditions ambiantes, est un bon candidat pour une fonction que les essais en usine peuvent valablement démontrer. Une alarme qui dépend de la manière dont le système de commande de l’isolateur s’intègre au système de gestion technique du bâtiment ou au système de surveillance environnementale du site ne peut être pleinement validée tant que cette intégration n’existe pas, car la chaîne d’alarme passe par des équipements que la configuration en usine ne comprend pas. Le débit d’air, presque par définition, est sensible à la configuration de la salle et au réseau de conduits, c’est pourquoi les résultats relatifs au débit d’air obtenus en usine doivent être considérés comme une caractérisation de référence des performances propres à l’isolateur plutôt que comme une prédiction de son comportement une fois installé.

Pour chacune de ces fonctions, l’acheteur doit s’attendre à ce qu’il existe un protocole défini et des critères prédéfinis spécifiques à cette fonction, et non pas une simple déclaration générale indiquant que “ les verrouillages et les alarmes ont été testés ”. Une fonction aussi étroitement liée à l’objectif de protection fondamental de l’isolateur mérite une documentation suffisamment précise pour indiquer exactement ce qui a été testé, dans quelles conditions simulées ou réelles, et quel résultat a été jugé correct.

Registres relatifs aux fuites, à la filtration et à la décontamination biologique pour le système actuel

Les essais d’étanchéité, l’intégrité des filtres et les performances du cycle de biodécontamination constituent les trois catégories de critères les plus directement liées à la fonction de barrière aseptique d’un isolateur ; chacune d’entre elles est spécifique à l’unité telle qu’elle a été construite et installée, plutôt qu’à la conception générale de l’isolateur. Un essai d’étanchéité démontre l’intégrité d’une enceinte particulière au moment de l’essai ; il ne fournit aucune indication concernant une autre unité de même conception, ni concernant la même unité après que son étanchéité a été compromise par le transport, les travaux d’installation ou une intervention ultérieure. L’essai d’intégrité du filtre démontre que le filtre spécifique installé dans le boîtier spécifique répondait à ses critères au moment de l’essai, en lien avec l’identité et l’installation spécifiques de ce filtre. Les registres des cycles de biodécontamination démontrent qu’un cycle spécifique, exécuté dans la géométrie réelle de la chambre avec sa configuration de charge réelle, a atteint le résultat que le protocole était censé confirmer.

C'est précisément en raison de cette spécificité que les documents issus d'une qualification de conception, d'une unité similaire ou de la documentation générale d'un fournisseur ne peuvent se substituer aux registres générés sur le système réel que l'acheteur est en train d'accepter. L’acheteur a pour mission de vérifier que chaque rapport de test d’étanchéité, de filtre et de biodécontamination présenté renvoie à l’unité identifiée par son numéro de série, au filtre spécifique installé et au cycle spécifique exécuté sur site, et non à un résultat représentatif ou historique. Lorsqu’un projet d’isolateur connexe a déjà abordé la manière dont les tests d’étanchéité interagissent avec d’autres méthodes d’essai du côté du confinement, ce raisonnement ne s’applique pas directement ici, car l’objectif d’asepsie régissant cet isolateur est distinct de celui d’un cadre de tests d'étanchéité des systèmes de confinement conçu pour assurer la protection de l'opérateur ; l'acheteur ne doit pas considérer que les deux logiques de validation sont interchangeables.

Le critère qui devrait inciter l’acheteur à redoubler de vigilance est de savoir si l’une de ces trois opérations a été effectuée avant ou après un événement susceptible d’altérer le résultat : un joint endommagé lors de l’installation, un filtre installé après l’essai d’étanchéité, ou un cycle de décontamination lancé avant que la configuration finale de la charge ne soit définitive. N’importe lequel de ces problèmes de séquence signifie que le dossier en main pourrait ne pas décrire le système tel qu’il fonctionnera réellement, même si la documentation semble irréprochable.

Clôture des écarts et traçabilité : retour aux spécifications fonctionnelles (URS)

Un écart signalé et non résolu ne constitue pas une simple lacune administrative mineure ; il soulève une question en suspens quant à la fiabilité même du résultat de test associé. L’acheteur a pour mission de s’assurer que chaque écart constaté lors des essais FAT ou SAT fait l’objet d’une résolution documentée, dont la justification peut être consultée, et non pas simplement d’un statut marqué comme « résolu ». Un écart résolu en ajustant a posteriori les critères d’acceptation sape toute la structure des critères prédéfinis qui confère sa crédibilité au reste du dossier de preuves.

La traçabilité jusqu’à l’URS est le mécanisme qui permet à l’acheteur de vérifier la conformité plutôt que la simple exécution des activités. Chaque essai réalisé, que ce soit lors des essais FAT ou SAT, doit correspondre à une exigence spécifique que l’acheteur a effectivement définie pour cet isolateur et ce projet. Lorsqu’un essai existe sans exigence URS correspondante, ou qu’une exigence URS existe sans essai correspondant, le dossier de preuves présente une lacune que la formulation générique du protocole ne permettra pas à elle seule de révéler. La gravité de cette lacune dépend de ce que régit l’élément manquant ou orphelin : une exigence liée à la fonction essentielle de barrière aseptique de l’isolateur mérite un niveau d’attention différent de celui d’une exigence liée à une fonctionnalité n’ayant aucune incidence sur cet objectif de protection. L’examen de l’acheteur doit procéder de manière ascendante à partir de l’URS pour confirmer que chaque exigence a été testée, et de manière descendante à partir des rapports d’essais pour confirmer que chaque essai est lié à une exigence, plutôt que de se fier à une simple déclaration sommaire affirmant que la traçabilité a été assurée.

Critères de mise en service avant les tests de qualification de performance (IQ), les tests de qualification opérationnelle (OQ) ou la mise en service opérationnelle

À ce stade, il s'agit de déterminer si les preuves accumulées lors des essais FAT et SAT sont suffisantes pour passer à la qualification formelle ; cette décision dépend du fait que chaque fonction régissant les performances aseptiques de l’isolateur dispose d’un dossier complet, clos et traçable au stade approprié. Une fonction correctement validée lors des essais FAT, accompagnée d’une justification documentée et motivée expliquant pourquoi elle n’est pas répétée lors des essais SAT, peut être considérée comme validée avant de passer à la qualification de l’installation (IQ). Une fonction qui dépend des conditions d’installation et qui n’a pas encore été vérifiée dans ces conditions n’est pas considérée comme validée, quelle que soit la qualité apparente de son dossier d’usine, car ce dossier n’a jamais constitué une preuve pour cette condition particulière.

Cela signifie que la décision de mise en production ne se résume pas à cocher une case, mais constitue un véritable exercice de vérification : pour chaque exigence figurant dans l’URS, existe-t-il un rapport de test clôturé, réalisé dans les conditions appropriées, avec des écarts résolus, lié à la version correcte du logiciel et du plan, et revu au regard de critères prédéfinis avant que le résultat ne soit connu ? Lorsque ce bilan est incomplet, la lacune doit être précisée ; une déclaration générale indiquant que “ les tests FAT et SAT ont été effectués ” ne permet pas à une équipe de qualification de savoir quelles fonctions ont été vérifiées dans les conditions d’installation et lesquelles ne l’ont pas été.

Pour un acheteur qui s'apprête à entamer les phases d'IQ et d'OQ, la démarche concrète consiste à rassembler ces documents comptables avant le début de la qualification, et non pendant celle-ci. Lorsque QUALIA Lorsqu’un projet est accompagné à ce stade, la configuration et les essais de réception spécifiés par l’acheteur pour cet isolateur particulier déterminent le contenu des protocoles FAT et SAT ainsi que les éléments de preuve à fournir à chaque étape. C’est pourquoi les spécifications fonctionnelles (URS) et les critères de réception propres à l’acheteur doivent être définis et finalisés avant le début des essais, et non pas considérés comme une simple formalité à régler a posteriori.

Questions fréquemment posées

Q : Comment les acheteurs doivent-ils comparer les dossiers de conformité FAT et SAT proposés par différents fournisseurs d'isolateurs ?
A : Il convient de comparer la traçabilité et l'exhaustivité plutôt que le nombre de tests répertoriés. Chaque exigence applicable de l'URS doit être reliée à un protocole approuvé, à un critère d'acceptation prédéfini spécifique au projet, au résultat brut, à la version du logiciel ou du dessin testée, ainsi qu'à toute clôture d'écart associée, en opérant une distinction claire entre les preuves en usine et la vérification sur site.

Q : Une fonction qui a été validée par FAT peut-elle être omise dans SAT ?
A : Oui, lorsqu'une justification documentée démontre que le transport et l'installation n'ont aucune incidence sur cette fonction. Si les équipements installés, les interfaces entre les pièces, les conditions du site, le transport ou l'intégration du système sont susceptibles d'influencer cette fonction, il convient de prévoir une vérification sur site conformément à un protocole approuvé et aux critères d'acceptation spécifiques au projet.

Q : Que faut-il faire si le logiciel ou les plans de l'isolateur sont modifiés après le FAT ?
A : Considérez que les preuves FAT s'appliquent à la version effectivement testée. Identifiez les exigences URS et les tests enregistrés concernés par la modification, puis déterminez quelles preuves doivent être mises à jour ou quelles fonctions doivent faire l'objet d'un nouveau test avant d'accepter la version modifiée.

Q : Quelles informations relatives au projet doivent être disponibles avant la finalisation du protocole SAT ?
A : Définir les conditions réelles d'utilisation, les interfaces entre les pièces, les points d'intégration, les conditions pertinentes du site, les fonctions sensibles au mode de transport, les exigences applicables du cahier des charges fonctionnel (URS) et les critères de réception spécifiques au projet. Ces informations permettent de définir, dans le cadre du SAT, des conditions cibles que la configuration du site du fournisseur n'a pas pu reproduire.

Q : Le fait que les essais FAT et SAT se soient déroulés avec succès signifie-t-il que l'isolateur est prêt à être mis en service ?
A : Non. Les phases FAT et SAT permettent de valider les périmètres de test approuvés, mais l’aptitude à l’IQ, à l’OQ, à la PQ ou à l’utilisation opérationnelle dépend des critères de validation du projet. Avant de passer à l’étape suivante, assurez-vous que les documents requis sont bien disponibles, que les exigences applicables de l’URS sont traçables et que les écarts ayant une incidence sur cette décision de validation ont fait l’objet d’une clôture documentée.