Serranda di isolamento SAT: chiusura, allarmi e scenari di guasto

Una serranda di isolamento che supera i test di fabbrica deve comunque dimostrare la propria efficacia nel percorso del condotto, nel circuito di controllo e nell’alimentazione elettrica e di aria in cui opererà effettivamente. Test di accettazione del sito è qui che il team di progetto verifica che la serranda installata si chiuda, si apra, segnali la propria posizione e reagisca alle condizioni di guasto secondo quanto previsto dal protocollo approvato — e non come potrebbe suggerire un’ipotesi generica sul comportamento di sicurezza in caso di guasto. Per serrande di isolamento per la biosicurezza situato ai confini dell'area di contenimento, questo è un verifica del contenimento in materia di biosicurezza Compito: le prove che si stanno raccogliendo riguardano la capacità del serrando, una volta installato, di garantire il controllo del flusso d’aria e della pressione da cui dipende l’impianto, e non la protezione asettica del prodotto né alcun obiettivo relativo ai processi in camera bianca secondo le buone pratiche di fabbricazione (GMP).

Controlli dello stato di installazione prima delle prove funzionali

Prima di impartire qualsiasi comando, è necessario verificare che la serranda installata sia effettivamente l’elemento per cui è stato scritto il protocollo SAT. L’orientamento è importante perché la corsa delle pale della serranda, il montaggio dell’attuatore e il comportamento in posizione di sicurezza presuppongono uno specifico orientamento di installazione; se l’unità viene ruotata o montata in modo non conforme ai presupposti di progettazione, ogni successiva chiusura e ogni risultato di feedback vengono misurati rispetto a un riferimento errato. I supporti e gli spazi liberi sono importanti per un motivo correlato ma distinto: una serranda che non sia strutturalmente supportata in modo corretto, o che non disponga dello spazio libero necessario per la corsa completa delle pale, può sembrare chiudersi o aprirsi correttamente in condizioni di carico leggero, pur essendo incapace di raggiungere o mantenere la propria posizione finale una volta sottoposta alla pressione del condotto o in caso di guasto effettivo.

I controlli delle utenze confermano che l’alimentazione elettrica e quella pneumatica (nel caso in cui la serranda sia azionata pneumaticamente) siano presenti, abbiano i valori nominali corretti e siano collegate secondo quanto previsto dal progetto, poiché uno scenario di perdita di alimentazione elettrica o pneumatica testato in un secondo momento ha significato solo se prima è stata confermata la correttezza delle condizioni normali di alimentazione. I controlli di identificazione — numeri di targhetta, etichettatura e corrispondenza con i disegni — assumono particolare importanza nei casi in cui siano presenti più serrande simili sullo stesso confine o nell’ambito dello stesso sistema di trattamento dell’aria, poiché un risultato funzionale registrato in riferimento a una targhetta errata invalida la tracciabilità su cui si basa il verbale SAT.

La verifica del cablaggio di controllo è la fase che collega la serranda fisica al sistema di controllo, il quale invierà comandi e riceverà feedback durante i test funzionali. Qualora la polarità, l’indirizzamento o la terminazione del cablaggio non siano corretti, i test funzionali possono produrre un risultato apparentemente plausibile, ma che riflette in realtà un errore di cablaggio piuttosto che il comportamento effettivo della serranda o dell’attuatore — una condizione che spesso viene individuata solo quando un successivo allarme o un test di interblocco genera una risposta incoerente con la logica installata.

La conseguenza per la pianificazione del SAT da parte dell’acquirente è che questi controlli a installato non sono una formalità preliminare ai test “veri e propri”: essi stabiliscono se i risultati successivi relativi al funzionamento, agli allarmi e agli scenari di guasto possano essere considerati attendibili in quanto rappresentativi delle effettive prestazioni della serranda una volta installata, piuttosto che di un difetto di installazione. Laddove questa fase di riferimento venga saltata o sbrigata in fretta, le anomalie riscontrate durante i test funzionali diventano più difficili da diagnosticare, poiché il team non è in grado di distinguere un problema di installazione da un guasto della serranda o del sistema di controllo.

Comando di chiusura, feedback di posizione e verifica della corsa

Una volta confermate le condizioni di installazione, i test funzionali pongono una domanda più specifica: la serranda esegue ciò che il sistema di controllo le comanda e il sistema di controllo è a conoscenza di ciò che la serranda ha effettivamente fatto? Si tratta di due verifiche distinte. La prima riguarda la corsa effettiva, ovvero se la lama si sposta fisicamente nella posizione comandata. La seconda riguarda il feedback sulla posizione finale, ovvero se il sensore o l’interruttore che segnala tale posizione corrisponde alla corsa fisica. Una serranda può spostarsi correttamente mentre il suo segnale di feedback è errato, oppure può non completare la corsa mentre il suo segnale di feedback segnala erroneamente il successo; entrambe le condizioni costituiscono un risultato significativo del test SAT, e nessuna delle due è visibile a meno che entrambe non vengano verificate in modo indipendente sia per il comando di chiusura che per quello di apertura.

La tempistica viene verificata per un motivo correlato: una serranda che alla fine raggiunge la propria posizione finale corretta, ma impiega più tempo di quanto consentito dal protocollo approvato, può comunque rappresentare una deviazione, in particolare quando il funzionamento di tale serranda è coordinato con altri elementi di controllo del flusso d’aria o della pressione nel progetto del contenimento. Le indicazioni locali e remote vengono verificate perché gli operatori e il personale della sala di controllo si affidano a flussi di dati diversi, e un progetto può definire criteri di accettazione per l’uno, per l’altro o per entrambi, a seconda di come viene monitorata la serranda.

La condizione che modifica tale valutazione è quella effettivamente specificata dal protocollo SAT approvato. Qui non viene stabilito alcun valore temporale universale né alcun tipo di feedback richiesto: il limite di accettabilità è quello indicato dai criteri predefiniti del progetto, e il compito dell’acquirente è confermare che ogni risultato registrato venga confrontato con quel documento specifico, piuttosto che con un’ipotesi generica del settore. Laddove un impianto gestisca più serrande con funzioni diverse sullo stesso limite, l’acquirente dovrebbe confermare che il protocollo di ciascuna serranda rifletta il proprio ruolo specifico, piuttosto che un unico criterio generico applicato a tutte le unità.

Problemi relativi agli allarmi e agli interblocchi in caso di guasti simulati

I test sugli allarmi e sugli interblocchi verificano se la risposta della serranda sia correttamente collegata alla logica di controllo generale dell’impianto, e non solo ai propri comandi di apertura e chiusura. Un interblocco collega tipicamente il comportamento della serranda a una condizione presente in un altro punto del sistema — lo stato di un ventilatore, la posizione di un’altra serranda o un rapporto di pressione monitorato — in modo che il corretto funzionamento della serranda non sia di per sé sufficiente; l’interblocco deve effettivamente attivarsi e la serranda deve effettivamente rispondere ad esso, nello scenario specifico che il progetto ha concordato di simulare.

È qui che l’ambito predefinito del protocollo SAT diventa il riferimento determinante, anziché un’ipotesi generica su ciò che una serranda di biosicurezza “dovrebbe” fare in caso di guasto. Diversi progetti di contenimento assegnano comportamenti richiesti diversi alla stessa condizione di guasto, a seconda di come si intende mantenere la cascata di pressione e la direzione del flusso d’aria lungo il confine. Non si dovrebbe presumere che un protocollo redatto secondo la logica di una struttura descriva quella di un’altra, anche nel caso in cui entrambe utilizzino una serranda di isolamento di biosicurezza simile su un confine analogo.

Il compito dell’acquirente in questa sezione è confermare che ogni allarme e ogni evento di interblocco effettivamente verificatisi durante il SAT corrispondano a uno di quelli concordati in precedenza nel progetto, e che le prove registrate documentino non solo se è scattato un allarme, ma anche se a esso ha fatto seguito la corretta risposta di interblocco. Laddove un test generi un allarme senza la relativa azione di interblocco, o un’azione di interblocco senza l’allarme previsto, tale discrepanza costituisce di per sé una deviazione degna di essere registrata: il singolo segnale che si verifica isolatamente non dimostra che la risposta coordinata su cui si basa il progetto funzioni effettivamente.

Scenari relativi all’alimentazione, alla ventilazione, alle comunicazioni e alla risposta delle ventole

Questa è la sezione in cui viene data risposta alla domanda centrale del titolo: cosa fa effettivamente lo smorzatore quando si verifica un guasto e in che modo il progetto conferma che il comportamento osservato è corretto? Il principio fondamentale è che la risposta ai guasti è una scelta progettuale specifica della logica di contenimento di ciascun progetto, non una proprietà fissa dell’hardware dello smorzatore. Il comportamento di uno smorzatore in caso di interruzione dell’alimentazione può differire da quello in caso di perdita di aria, ed entrambi possono a loro volta differire dal comportamento in caso di interruzione delle comunicazioni o di spegnimento del ventilatore, poiché ciascuna modalità di guasto elimina un input diverso da cui dipende la logica di controllo.

Laddove la progettazione di un impianto leghi la posizione richiesta della serranda durante un’interruzione di alimentazione al mantenimento di uno specifico rapporto di pressione, il comportamento corretto osservato in tale scenario è quello che preserva tale rapporto — il quale potrebbe non coincidere con il comportamento che la stessa serranda è tenuta a mostrare durante un evento di perdita d’aria, in cui potrebbe prevalere un meccanismo fisico diverso (ritorno a molla, comportamento di sicurezza dell’attuatore o posizione mantenuta). Questo è il motivo per cui non è possibile ipotizzare una posizione di guasto universale basandosi esclusivamente sulla categoria dell’apparecchiatura; il criterio di accettazione per ciascuno scenario deriva dal protocollo SAT approvato, e il compito dell’acquirente è quello di confermare che ogni guasto simulato sia stato effettivamente eseguito come concordato e che il risultato osservato sia stato confrontato con quel criterio specifico piuttosto che con un’aspettativa generica.

Gli scenari di funzionamento del ventilatore aggiungono un ulteriore livello di verifica, poiché controllano se l’interblocco della serranda con il ventilatore sia cablato correttamente e logicamente corretto, non solo se la serranda stessa sia in grado di muoversi. Un'interruzione del ventilatore senza una corrispondente risposta corretta della serranda suggerisce o un difetto di cablaggio risalente all'installazione o un errore logico nella configurazione dell'interblocco — il che spiega in parte perché i controlli delle condizioni di installazione e le verifiche dell'interblocco descritti nelle sezioni precedenti influenzano direttamente il modo in cui viene diagnosticata qui una deviazione dovuta a uno scenario di guasto.

Gli scenari di perdita di comunicazione mettono alla prova un altro aspetto: verificare se la serranda mantenga una condizione di sicurezza o esegua una risposta locale predefinita quando non è più in grado di ricevere alcun comando dal sistema di controllo. Ciò è importante perché consente di testare il comportamento della serranda indipendentemente dallo stato di funzionamento del sistema di controllo — una condizione rilevante per gli impianti in cui il confine di contenimento deve rimanere sicuro anche durante un’interruzione del sistema di controllo non correlata alla serranda stessa.

Qualora l'acquirente stia coordinando tale SAT con una struttura che richiede inoltre Controllo del flusso d'aria a livello BSL — ad esempio, il flusso d’aria direzionale all’interno dello spazio — il comportamento specifico richiesto per le serrande in un determinato scenario di guasto dovrebbe essere verificato rispetto alle specifiche progettuali documentate della struttura, poiché le linee guida generali sulla biosicurezza descrivono il flusso d’aria e il contesto degli allarmi a livello di struttura senza stabilire una posizione universale per le singole serrande.

Chiusura per deviazione e dimostrazione SAT con segno

Un registro SAT è utile solo nella misura in cui tiene conto delle deviazioni, poiché un protocollo che registra solo i risultati positivi non fornisce al progetto alcuna prova di ciò che è stato riscontrato come errato, di cosa sia stato fatto al riguardo e se la correzione abbia effettivamente funzionato. La deviazione stessa deve essere registrata con precisione — il risultato osservato e il modo esatto in cui si è discostato dal criterio di accettazione predefinito — poiché una descrizione vaga della deviazione rende difficile confermare in seguito che l’intervento correttivo abbia effettivamente risolto il problema, anziché una questione correlata ma diversa.

L'intervento correttivo deve essere esplicitamente collegato alla non conformità a cui risponde, poiché un verbale SAT in cui le azioni correttive sono elencate separatamente dalle non conformità a cui si riferiscono non consente al revisore di confermare che ogni punto in sospeso sia stato effettivamente risolto. Il test di ripetizione è la fase che trasforma l'intervento correttivo da una semplice affermazione a una prova concreta: la stessa prova che originariamente ha generato la non conformità viene eseguita nuovamente, nelle stesse condizioni, e confrontata con lo stesso criterio approvato.

È proprio in questa fase di chiusura che tornano in gioco le informazioni sul progetto fornite in precedenza dall’acquirente durante la fase di configurazione: i criteri di accettazione del protocollo SAT riflettono le decisioni prese durante la revisione del progetto riguardo alla definizione del comportamento in caso di guasto di questa specifica serranda e dei relativi requisiti di feedback; pertanto, la chiusura di una deviazione viene verificata in base agli impegni precedentemente assunti nel progetto stesso, non in base a uno standard generico. Allegato 15 di EudraLex definisce questa logica a livello generale di qualificazione: i protocolli utilizzano criteri di accettazione predefiniti e le deviazioni vengono documentate come parte del registro di qualificazione, mentre il SAT è in grado di integrare un FAT giustificato nell’ambito di tale approccio basato sul ciclo di vita.

La documentazione SAT firmata è il documento che riporta tutto questo: i risultati finali registrati, ogni scostamento riscontrato, il lavoro correttivo eseguito e i risultati delle ripetizioni che confermano che il criterio è stato infine soddisfatto. Senza quella catena completa, un revisore che esamini successivamente la documentazione firmata non può distinguere un risultato corretto al primo tentativo da un risultato che è stato superato solo dopo più cicli di correzione, il che è importante per la successiva preparazione all’ispezione e per qualsiasi futuro confronto con i criteri di accettazione originali di questo smorzatore.

Domande frequenti

Q: Cosa occorre definire prima di avviare una prova SAT su una serranda di isolamento?
A: Il protocollo SAT approvato deve definire i comandi, le indicazioni, gli allarmi, i blocchi di sicurezza, gli scenari di guasto e i criteri di accettazione specifici del progetto da verificare. Prima di avviare tali prove funzionali, verificare l’orientamento dell’impianto, i supporti, le distanze di sicurezza, le utenze, l’identificazione e il cablaggio di controllo.

Q: Il superamento dei test di accettazione in fabbrica rende superflui i test di accettazione in loco?
A: No. I test di fabbrica opportunamente giustificati possono integrare il SAT, ma la serranda installata deve comunque essere sottoposta a controlli in loco secondo il protocollo approvato, poiché l’installazione, i collegamenti alle utenze, il cablaggio di controllo, i segnali di retroazione, gli allarmi e gli interblocchi possono essere verificati solo nel contesto definitivo dell’impianto.

Q: Il collaudatore può presumere che la serranda rimanga chiusa in caso di interruzione dell'alimentazione elettrica o dell'aria?
A: No. La posizione finale richiesta e la risposta dipendono dal progetto specifico. Definire il comportamento previsto nel protocollo SAT approvato, eseguire lo scenario di perdita concordato e registrare il percorso effettivo, la posizione finale, il feedback, le indicazioni, gli allarmi e la risposta dell’interblocco.

Q: Come si deve gestire una discrepanza tra la corsa della serranda e l'indicazione del sistema di controllo?
A: Considerare la discrepanza come una deviazione, anziché accettare la sola indicazione. Registrare la corsa osservata e il feedback, completare gli interventi correttivi, quindi ripetere la prova in questione rispetto al criterio predefinito.

Q: Quando una deviazione della serranda è pronta per l'accettazione da parte del SAT?
A: Solo dopo che la deviazione, gli interventi correttivi e il risultato del test ripetuto sono stati documentati in base al criterio SAT approvato. Includere tale documentazione insieme ai risultati finali registrati nel verbale SAT firmato utilizzato per la decisione di accettazione.