Éléments à vérifier en cas de défaillance des verrouillages ou des alarmes de pression d'un sas de transfert

Lorsqu’un verrouillage de sas de transfert présente un défaut ou qu’une alarme de pression se déclenche, la première question à se poser n’est pas de savoir comment y remédier, mais ce que ce défaut vous indique réellement. Réinitialiser le système de commande avant d’avoir répondu à cette question peut permettre de supprimer un faux signal, mais peut également entraîner le transfert d’une charge au-delà d’une limite dont la sécurité n’a jamais été confirmée. La décision revient à la personne responsable du transfert de matière, et non à celle qui accède en premier au tableau de commande.

Assurez-vous que le chargement est bien arrimé et vérifiez l'état de l'alarme avant de toucher les commandes

La première décision à prendre consiste à déterminer s'il faut intervenir suite à l'alarme ou prendre le temps de l'enregistrer. Les tentatives répétées de réinitialisation réduisent les éléments de preuve dont une enquête ultérieure aurait besoin, car chaque réinitialisation peut modifier la position de la porte, l’état du cycle ou la mémoire du contrôleur avant que quiconque n’ait noté ce que faisait l’équipement au moment où le dysfonctionnement s’est produit. Sécuriser la charge signifie la laisser dans sa chambre ou sa position actuelle plutôt que de la déplacer en réponse à l’alarme, car le mouvement lui-même peut être l’action qui transforme un signal ambigu en un véritable incident de contamination ou de confinement.

La condition qui modifie ce jugement est ce que la chambre de transfert sépare. Lorsque le transfert s'effectue entre deux espaces présentant des niveaux de propreté différents, un dysfonctionnement non résolu au niveau de la porte ou de la pression soulève une question relative à la protection des produits : qu'est-ce qui a franchi, ou aurait pu franchir, la limite pendant que le dysfonctionnement était présent ? Lorsque le transfert implique un frontière de risque ou biologique, cette même défaillance soulève plutôt une question de confinement concernant l'exposition de l'opérateur et de l'environnement. Dans les deux cas, la première mesure à prendre est la même — arrêter, consigner, ne pas réinitialiser — mais le risque contre lequel il faut se prémunir diffère, et c'est cette différence qui déterminera quelles parties prenantes devront examiner l'incident avant la reprise du service.

Enregistrer l'état de l'alarme consiste à noter ce qui s'affiche à l'écran ou dans le journal au moment de la défaillance : à quelle porte l'alarme se rapporte, s'il s'agit d'un écart de pression ou d'un défaut de verrouillage/de position, et quelle étape du cycle était en cours. Cet enregistrement sert de base à toute vérification ultérieure, car la comparaison d'une lecture ultérieure avec un état initial non enregistré n'apporte aucune information à l'enquêteur. Si le sas est intégré à un Cycle de décontamination VHP, l'état du cycle au moment du dysfonctionnement a également son importance, car un dysfonctionnement survenant en cours de cycle ne permet pas de déterminer si l'étape de décontamination a été menée à bien, ce qui a une incidence sur la manière dont la charge sera traitée par la suite.

Cette étape ne permet pas de déterminer si le problème est dû à une erreur de l'instrument ou à un véritable dérèglement de la limite. Elle garantit simplement que les éléments nécessaires pour distinguer les deux cas sont toujours disponibles lorsque le diagnostic est lancé.

Vérifier la position des deux portes, le signal de verrouillage, l'état du cycle et la commande de déverrouillage

Une fois que la charge et l'état des alarmes ont été vérifiés, la tâche suivante consiste à comparer le fonctionnement réel de l'équipement avec ce que les systèmes de contrôle indiquent. A dispositif de verrouillage de la boîte de transfert Ce dispositif a précisément pour but d’empêcher que les deux portes ne s’ouvrent simultanément ; par conséquent, lors de toute analyse de panne, on part du principe que l’une des quatre causes suivantes est en cause : l’état physique de la porte, le capteur qui signale cet état, la logique qui interprète les données du capteur, ou la chaîne de commande qui met en œuvre la décision prise par la logique. Il s’agit là de catégories de pannes distinctes, aux conséquences différentes, et les confondre conduit à prendre des mesures correctives inappropriées.

Une porte physiquement fermée mais signalée comme ouverte indique un problème de détection de position ou de retour d'information plutôt qu'une défaillance mécanique du dispositif de verrouillage. Une porte qui s’ouvre malgré une indication de fermeture et de verrouillage indique le contraire, à savoir un défaut mécanique ou de la logique de commande plus grave, car cela signifie que le dispositif de verrouillage lui-même n’a pas rempli sa fonction. Cette distinction est importante car, dans le premier cas, l’utilisation peut se poursuivre grâce à des commandes de compensation, ce qui n’est pas possible dans le second, puisqu’un dispositif de verrouillage qui ne parvient pas à empêcher une ouverture simultanée a failli à son objectif fondamental, quel que soit ce qu’affiche l’écran.

Le signal de retour de la serrure est distinct de celui de la position de la porte, et les deux doivent correspondre. En cas de divergence, le défaut peut provenir du mécanisme de la serrure, du capteur signalant l’état de la serrure ou de la logique de commande chargée de faire correspondre les deux signaux — chacun nécessitant une procédure de correction différente. L’état du cycle est important, car un défaut de verrouillage ou de pression survenant pendant un cycle de décontamination ou de transfert en cours a des implications différentes de celles d’un défaut survenant en mode veille ; le contexte du cycle indique à l’enquêteur ce que l’équipement était en train de faire lorsque le défaut l’a interrompu.

La commande de déverrouillage mérite d'être examinée séparément du résultat physique. Une commande peut être émise correctement par le contrôleur sans pour autant produire la réponse attendue de la porte ou de la serrure, ce qui indique un défaut mécanique ou de communication en aval de la logique. Il se peut également que la commande elle-même soit erronée, ce qui renvoie en amont à la logique de commande ou à l’entrée qui l’a déclenchée. En comparant l’endroit où la commande a été émise à celui où la réponse s’est produite ou non, on circonscrit le défaut à un segment spécifique de la chaîne de commande, plutôt que de laisser l’enquête se perdre en conjectures sur l’ensemble du système.

Tester successivement la détection de pression, le débit d'air, les joints d'étanchéité, les raccordements aux réseaux et les communications

Une fois les états des portes et des serrures vérifiés, l'enquête se concentre sur les sous-systèmes susceptibles de déclencher une alarme de pression indépendamment du comportement des portes. En les examinant les uns après les autres, plutôt que de se précipiter sur celui qui semble le plus probable, on évite l'erreur courante qui consiste à réparer un capteur alors que la source réelle de l'écart de pression réside en réalité dans un joint ou un problème d'alimentation.

La mesure de la pression ne doit jamais être évaluée sur la base d’une seule indication. Lorsque le sas ou la salle qui l’entoure est équipé d’un moniteur indépendant, distinct du manomètre ou de l’afficheur local, la comparaison des deux permet à l’enquêteur de déterminer si la lecture locale est fiable. Un capteur local peut tomber en panne alors que le moniteur indépendant continue de fonctionner correctement, et l’inverse est également possible. Considérer l’une ou l’autre de ces sources isolées comme une preuve suffisante de la sécurité de la pression, sans procéder à cette comparaison, revient à prendre le risque de libérer une charge en se fiant à un instrument défectueux.

La vérification du débit d'air dépend des indications fournies par l'installation elle-même ; toutes les chambres de transfert ne disposant pas d'instruments de mesure du débit d'air distincts des capteurs de pression, ce sont donc les données disponibles — ainsi que les critères définis par le site pour un débit d'air acceptable — qui déterminent la conclusion à tirer ici, plutôt qu'une valeur universelle supposée.

Les joints de porte ont une incidence directe sur le comportement en matière de pression. Un joint qui subit une compression inégale, qui est encrassé ou mal positionné peut générer une courbe de pression qui, à première vue, est impossible à distinguer d’un dysfonctionnement du capteur. C’est pourquoi l’état des joints doit être vérifié en même temps que la position de la porte et le retour d’information du verrouillage, plutôt que d’être considéré comme un problème distinct à traiter ultérieurement. Une cause liée aux joints doit rester à prendre en compte jusqu’à ce que les contrôles des capteurs et de la logique l’aient formellement exclue, et non pas simplement parce que personne ne l’a vérifiée.

L'état des services publics — quels que soient les services dont dépend la chambre de transfert pour ses fonctions de décontamination ou de ventilation — peut générer un défaut de pression ou de cycle qui n'a absolument rien à voir avec le matériel de verrouillage. Une interruption survenant exactement au moment du cycle peut se présenter à l'écran de la même manière qu'un défaut de capteur ; il est donc utile de noter l'état des services publics au moment de l'alarme, même si les soupçons immédiats pointent vers une autre cause.

Les contrôles de communication viennent clore la séquence : lorsque l'affichage local ne correspond pas aux informations fournies par un système de gestion technique du bâtiment ou de surveillance connecté, cette divergence constitue en soi une information diagnostique indiquant un défaut de communication, distinct de — et nécessitant une résolution distincte de — tout problème mécanique ou de détection mentionné ci-dessus.

Distinguer un instrument défectueux d'un véritable dépassement de limite

Les vérifications ci-dessus ont pour but de répondre à une question : la barrière a-t-elle réellement cédé, ou est-ce seulement les éléments de preuve à son sujet qui se sont révélés erronés ? Il s'agit là de deux scénarios différents qui appellent des réponses différentes, et cette différence dépend entièrement de ce que révèlent les indications locales et indépendantes lorsqu'on les compare entre elles.

Lorsqu'une indication de pression locale est en contradiction avec celle d'un capteur indépendant de la pièce ou de la barrière, cette contradiction est en soi révélatrice — elle indique qu'un défaut au niveau d'un instrument, d'un signal ou d'une communication peut exister quelque part dans la chaîne — mais elle ne permet pas de déterminer laquelle des deux indications est correcte. Considérer automatiquement le capteur indépendant comme faisant autorité, sans enquête plus approfondie, revient à supposer une fiabilité que la contradiction elle-même remet en question. Il faut résoudre cette divergence, et non pas choisir la lecture la plus commode.

Lorsque les indications locales et indépendantes s’accordent pour indiquer que les conditions se situent en dehors des critères d’acceptation définis par le site, les éléments disponibles justifient de considérer cela comme un véritable dépassement des limites plutôt que comme un artefact de l’instrument. C’est dans ces conditions que des mesures de rétablissement, plutôt qu’un simple dépannage du capteur, constituent la réponse appropriée. Les critères définissant la “ plage inacceptable ” sont propres au site et établis pour cet équipement et cette application ; il n’existe pas de point de consigne de pression universel applicable aussi bien aux contextes aseptiques qu’aux contextes de confinement, car ces deux objectifs visent à se prémunir contre des conséquences différentes.

La situation la plus délicate se présente lorsqu’aucun observateur indépendant n’est disponible, ou lorsque la comparaison reste non concluante même après les vérifications du sous-système. Dans ce cas, les éléments disponibles ne permettent pas de conclure que le défaut est purement instrumental ni qu’un véritable dépassement de limite s’est produit. Il s’agit d’un état véritablement indécis, et la réponse appropriée à un tel état n’est pas de procéder comme si l’interprétation la plus commode était avérée. L’absence de preuves ou des preuves non concluantes ne justifient pas une réinitialisation, un contournement ou un déclenchement manuel ; elles justifient de considérer la limite comme non confirmée jusqu’à ce que des preuves supplémentaires — qu’il s’agisse d’une vérification secondaire, d’un instrument différent ou d’une évaluation technique — dissipent l’ambiguïté. Les projets qui configurent des boîtiers de passage avec une surveillance indépendante en plus de l’indication locale réduisent la fréquence à laquelle cette situation ambiguë se produit, ce qui constitue en soi une décision de configuration qu’il convient d’évoquer lors de l’examen du projet plutôt que de la découvrir lors d’un défaut.

Autoriser un contournement ou une dérogation manuelle dans le cadre de la procédure de dérogation du site

Une fois que l’enquête a permis de caractériser la défaillance, la question est de savoir s’il convient de libérer la charge sans que le verrouillage ou l’alarme ne se soient désactivés normalement. Il ne s’agit pas uniquement d’une décision technique ; c’est une décision en matière de risque qui relève de la procédure de dérogation du site, car elle implique d’accepter un risque défini en échange de la récupération de la charge ou du rétablissement de la disponibilité de l’équipement.

La décision d'autorisation doit être prise et consignée séparément du diagnostic technique, même si ce dernier sert de base à cette décision. La conclusion selon laquelle la défaillance est liée à un instrument, tirée à partir des comparaisons décrites ci-dessus, justifie — mais ne constitue pas à elle seule — l'autorisation de contourner la procédure. L'étape d'autorisation exige qu'une personne disposant des responsabilités appropriées évalue cette conclusion technique au regard des conséquences spécifiques d'une éventuelle erreur, et consigne explicitement cette évaluation.

La décision relative au sort de la charge est distincte de l'autorisation de dérivation proprement dite. Une charge qui a été sécurisée lors d’un défaut non résolu peut devoir être rejetée, retraiter, testée à nouveau ou libérée, selon ce que l’enquête sur le défaut a établi quant au respect ou non de la limite pendant la fenêtre de défaut. Cette décision ne découle pas automatiquement de l’autorisation de contourner le verrouillage ; le contournement du système de contrôle pour récupérer la charge est une question distincte de celle de savoir ce qu’il convient de faire ensuite de cette charge, et les considérer comme une seule et même décision risque de faire passer complètement à côté de la question de la prise en charge.

Les étapes de rétablissement des limites doivent être définies avant la mise en service, et non improvisées a posteriori. Les mesures spécifiques permettant de rétablir les limites — quelles que soient les actions que le site a définies comme applicables à la catégorie de défaut identifiée — doivent être connues et documentées dans le cadre de l'autorisation, afin que le contournement ne se résume pas à remplacer une alarme non résolue par un rétablissement non résolu.

Enfin, l'essai de remise en service et ses critères d'acceptation doivent être définis au moment de l'autorisation, et non reportés à une date ultérieure. Annexe 15 d'EudraLex définit des critères d'acceptation prédéfinis et une procédure documentée d'analyse des écarts, qui servent de base pour déterminer si un système peut être remis en service ; appliquer cette logique dans le cas présent signifie que les critères de rétablissement fonctionnel sont fixés avant la levée manuelle de l'arrêt, et non pas déterminés a posteriori pour s'adapter au comportement aléatoire de l'équipement. Un rapport d'écart qui documente à la fois la décision relative au risque, le traitement de la charge, les étapes de rétablissement et les critères de test — plutôt que de se contenter de mentionner le fait qu'un contournement s'est produit — fournit à l'étape suivante des éléments de référence à vérifier.

Ne rétablir le service qu'après avoir effectué des contrôles de fonctionnement et consigné la répartition de la charge.

Le retour du poste de passage à son fonctionnement normal constitue une étape distincte de l'autorisation de contournement, et confondre les deux revient à considérer l'autorisation d'agir comme équivalente à la confirmation que le système est apte à être utilisé en continu. La procédure de rétablissement du service devrait exiger des preuves, et non pas simplement le passage du temps depuis la survenue du défaut.

L'enquête sur un dysfonctionnement doit aboutir à une conclusion formelle, et non se limiter à la simple désactivation d'une alarme. Un défaut de verrouillage ou de pression qui disparaît après une réinitialisation, sans que sa cause ait été identifiée, n'a pas fait l'objet d'une enquête : il a simplement été masqué. Lorsque la cause reste inconnue, le risque à l'origine du défaut initial persiste et peut se reproduire dans les mêmes conditions ; c'est pourquoi la classification documentée du défaut, même à titre provisoire, fait partie des éléments justifiant la remise en service.

Contrôles de fonctionnement du dispositif de verrouillage et de l'alarme de pression par rapport aux spécifications du site critères d'acceptation prédéfinis vérifier que la fonction spécifique à l'origine de la défaillance fonctionne désormais correctement, plutôt que de se contenter de vérifier que l'alarme ne se déclenche plus. Ces vérifications doivent porter sur la fonction même qui a présenté une défaillance — verrouillage des portes, une alarme de pression, ou les deux — plutôt qu’un contrôle général de bon fonctionnement qui pourrait donner un résultat satisfaisant alors que le défaut spécifique reste latent.

La remise en état des limites, telle que prévue lors de l'autorisation, doit faire l'objet d'une confirmation indiquant qu'elle a bien été effectuée, et non pas simplement programmée. De même, le sort réservé à une charge doit faire l'objet d'une décision explicite et documentée, distincte de la remise en service de l'équipement ; une charge peut nécessiter un traitement différent de celui de l'équipement par lequel elle est passée, et le fait de traiter ces deux éléments comme une seule et même validation risque de brouiller les pistes quant à la décision correspondant à chaque risque.

Le rapport d'écart qui rassemble tous ces éléments — conclusion de l'enquête, résultats des contrôles fonctionnels, achèvement de la remise en état et traitement de la charge, chacun évalué au regard des critères définis par le site pour ce défaut — est ce qui confère à la décision de remise en service une base documentée plutôt qu'une simple hypothèse. Lorsque le sas est un boîte de biosécurité protéger une enceinte de confinement ou un Boîte de passage de la VHP Dans le cadre d'un cycle de décontamination, les critères d'acceptation spécifiques et les étapes de remise en état varient en fonction de l'objectif visé par l'équipement concerné ; c'est pourquoi ces critères doivent être définis pour chaque unité et chaque application lors de la configuration du projet, et ne peuvent être considérés de manière générique pour tous les types de sas.

Questions fréquemment posées

Q : Un opérateur doit-il réinitialiser à plusieurs reprises un verrouillage ou une alarme de pression pour vérifier si le problème disparaît ?
A : Non. Sécurisez le chargement et cessez toute tentative répétée de réinitialisation jusqu’à ce que l’état de l’alarme, les positions réelles des portes, les indications de pression et l’état du cycle aient été enregistrés. Le simple fait d’avoir désactivé l’alarme ne remplace pas l’enquête sur la défaillance et ne permet pas de conclure que la zone de transfert est prête à être utilisée.

Q : Que faut-il faire en cas de divergence entre l'affichage de la chambre de transfert et celui d'un moniteur indépendant de la pièce ou de la barrière ?
A : Considérez la condition aux limites comme non résolue. Enregistrez les deux mesures, puis examinez l'instrument, le signal et les voies de communication ; aucune de ces deux indications ne doit, à elle seule, être considérée comme la preuve que la pression est sans danger.

Q : Peut-on recourir à un déblocage manuel lorsque le transfert est urgent ?
A : Uniquement après une décision autorisée en matière de risques, prise dans le cadre de la procédure de dérogation du site. Cette décision doit définir la répartition des charges, les étapes de remise en état des limites, ainsi que les contrôles fonctionnels et les critères d'acceptation prédéfinis requis avant la remise en service.

Q : La réparation du dysfonctionnement de l'équipement entraîne-t-elle automatiquement la libération du matériel se trouvant à l'intérieur du sas de transfert ?
A : Non. La libération du matériel et la gestion du chargement sont deux décisions distinctes. Documentez la manière dont le chargement sera géré en vous appuyant sur l'état du cycle enregistré, les preuves relatives aux limites et la procédure de dérogation applicable sur le site.

Q : Quelles informations faut-il préparer avant de signaler le dysfonctionnement au service de maintenance ou au service qualité ?
A : Fournir l'état d'alarme d'origine, les positions réelles et affichées de la porte, l'état du verrouillage, l'état du cycle, la réponse à la commande de déverrouillage, les indications de pression locales et indépendantes, ainsi que l'état du débit d'air, des services techniques, des joints d'étanchéité et des communications. Cela permet de définir un point de départ précis pour l'enquête et aide à identifier les points où les états observés et ceux signalés ne concordent plus.

Q : Existe-t-il une valeur de pression ou d'alarme unique pouvant être utilisée pour toutes les décisions de récupération ?
A : Il n'existe pas de valeur universelle applicable à toutes les applications de biosécurité ou d'asepsie. Il convient d'appliquer les critères prédéfinis par le site pour la salle, la barrière, le processus et le contexte de qualification concernés, puis de consigner la conclusion au regard de ces critères.