고정형 VHP 제어: BMS 인터페이스, 인터록 및 경보

고정형 VHP 제염 시스템이 고장 나는 경우는 거의 없는데, 이는 발생기가 요구되는 농도의 기상 과산화수소를 생성하지 못하기 때문이 아닙니다. 이 시스템이 고장 나거나 인증 과정에서 중단되는 이유는, 프로젝트가 FAT 단계에 도달하기 전에 도어, 댐퍼, 인터록 및 BMS 통신을 제어하는 제어 로직이 완전히 명시되지 않았기 때문입니다. 어떤 기능을 로컬 컨트롤러에 포함시킬지, 어떤 기능을 BMS에 포함시킬지, 그리고 각 사이클 전환 시마다 무엇을 입증해야 하는지는 시운전 단계에서 발견되어서는 안 되며, 설계 초기 단계에서 반드시 해결해야 할 설계상의 문제입니다.

제어 설계는 고정 VHP 상태 모델에서 시작된다

고정된 VHP 사이클은 단일 작업이 아니라, 각각 고유한 진입 조건과 종료 조건을 가진 일련의 별개의 상태들로 구성됩니다. 제습, 컨디셔닝, 가스 주입, 유지, 환기, 그리고 정상 실내 상태로의 복귀는 각각 제어기가 다음 단계로의 전환을 허용하기 전에 정의된 일련의 물리적 조건이 충족되어야만 진행됩니다. 실제 설계 작업에서는 각 상태 경계마다 어떤 문을 닫거나 밀봉해야 하는지, 어떤 댐퍼를 특정 위치에 두어야 하는지, 어떤 팬을 가동하거나 정지해야 하는지, 어떤 밸브를 열거나 닫아야 하는지, 어떤 센서가 요구되는 조건 내에서 신호를 전송해야 하는지, 그리고 어떤 실내 출입구를 차단해야 하는지를 파악해야 합니다.

이 상태 모델은 제어 설계의 후속 단계 전반에 걸친 토대가 됩니다. 왜냐하면 인터록, 경보, BMS 핸드셰이크는 각각 보호 대상인 특정 상태 전환을 기준으로 할 때만 의미가 있기 때문입니다. 상태 모델이 불완전하거나 모호한 경우, 인터록 목록도 그 모호성을 그대로 물려받게 되며, 이러한 문제점은 프로젝트 후반부에야 드러나는 경향이 있는데, 이때는 해결하기가 더 어렵고 시간이 더 오래 걸립니다.

이 모델의 형태를 결정하는 요인은 오염 제거 대상인 밀폐 공간 또는 방의 구조와 주변 공간과의 관계입니다. 단일 아이솔레이터에 서비스를 제공하는 고정식 시스템은, 다수의 출입구, 통과구, 또는 덕트나 유틸리티를 공유하는 인접 실이 있는 스위트에 서비스를 제공하는 시스템보다 경계가 더 단순합니다. 물리적 경계의 수가 늘어날수록, 전환 전에 입증해야 할 조건의 수와 제어 시스템이 각 단계에서 모니터링하거나 제어해야 하는 구성 요소의 수도 증가합니다.

URS를 작성하는 구매자는 공급업체별 제어 아키텍처와 무관하게 먼저 물리적 경계를 매핑해 두는 것이 도움이 됩니다. 왜냐하면 그 경계 맵이 사이클에 실제로 필요한 상태의 수와 각 전환에 적용되는 허용 조건의 수를 결정하기 때문입니다. 프로젝트를 검토하는 공급업체는 다음과 같은 기준을 바탕으로 VHP 과산화수소 발생기 유형 I 이 경계 논리를 중심으로 사이클 제어를 구성하게 되므로, 검토 전에 이를 명확히 정의해 두면 구매자가 요청하는 사항과 구성이 확인할 수 있는 사항 간의 괴리를 줄일 수 있습니다.

또한 구매자는 공정 자체에 의해 결정되는 공정 모델의 범위와 시설별 선택 사항의 범위를 여기서 구분해야 합니다. 검증된 사이클 매개변수와 연계된 가스 주입 유지 조건은 공정상의 결정 사항이며, 정상 가동 중 실에 접근하는 방식과 연계된 도어 작동 순서는 시설상의 결정 사항입니다. 이 두 범주를 명확히 구분함으로써, 시설의 편의성을 마치 공정 요구 사항인 것처럼 취급하거나 그 반대의 경우를 초래하는 제어 설계를 방지할 수 있습니다.

각 사이클 전환을 보호하는 허용 조건 및 인터록

상태 모델이 각 전환 단계에서 어떤 문, 댐퍼, 송풍기, 밸브, 센서 및 접근 지점이 중요한지 파악한 후, 다음으로 결정해야 할 사항은 이러한 각 요소를 어떻게 검증하고 보호할 것인가 하는 것입니다. ‘허용 조건(permissive)’이란 컨트롤러가 전환 진행을 허용하기 전에 반드시 참(true)으로 확인되어야 하는 조건을 말합니다. 인터록(interlock)은 운영자나 BMS가 달리 요청하든 상관없이, 특정 조건에 반응하여 상태를 방지하거나 강제하는 제어 조치입니다. 이 둘의 구별은 중요합니다. 왜냐하면 퍼미시브는 진행을 위한 ‘문’인 반면, 인터록은 요청을 무효화할 수 있는 능동적인 제약 조건이기 때문입니다.

가스 주입을 시작하기 전에 문이 닫혀 있음을 확인해야 하는 경우, 이는 ‘허용형(permissive)’에 해당합니다. 센서가 요구 범위를 벗어난 상태를 감지하는 즉시 댐퍼가 안전 유지 위치로 강제 이동하는 경우, 이는 ‘인터록(interlock)’에 해당합니다. 둘 다 동일한 전환 과정을 보호하지만, 오류 발생 시 반응 방식이 다르기 때문에 검증 계획에서도 서로 다른 방식으로 테스트해야 합니다. 허용형(permissive) 고장은 일반적으로 사이클이 다음 단계로 진행되는 것을 막는 반면, 인터록(interlock) 고장은 장비의 상태를 능동적으로 변경시키며, 이는 해당 장비의 위치에 의존하는 다른 모든 요소에 영향을 미칩니다.

프로젝트에 필요한 허가 및 연동 장치의 수를 결정하는 요인은, 고정형 VHP 시스템이 해당 공간 내의 다른 기능들과 인프라를 얼마나 공유하느냐에 달려 있습니다. VHP 사이클에만 사용되는 댐퍼는 일반 HVAC 운영에도 참여하는 댐퍼보다 인터록 구성이 더 간단합니다. 후자의 경우, 제어 로직이 동일한 물리적 구성 요소에 대한 두 가지 서로 다른 요구 사항 사이에서 우선순위를 결정해야 하기 때문입니다. 마찬가지로, 정상 운영 시 인원 출입구로도 사용되는 문은 전용 서비스 문과는 달리 추가적인 인터록 요구 사항을 충족해야 합니다.

구매 담당자는 이 목록을 단순히 “안전 항목’으로 뭉뚱그려 취급하지 않도록 주의해야 합니다. 각 허용 조건 및 인터록에는 소유자가 있습니다. 즉, 해당 상태를 입증하거나 조치를 취할 책임이 있는 장비나 시스템이 바로 그 소유자입니다. 설계 단계에서 이러한 소유권이 명확하게 지정되지 않은 경우, 해당 신호에 접근할 수 있는 컨트롤러가 자동으로 소유자로 간주되는 경향이 있는데, 이는 논리적으로 결정을 내려야 할 컨트롤러와 동일하지 않습니다. 이것이 바로 다음 섹션에서 다루게 될 핵심적인 문제입니다. 왜냐하면 바로 이 지점에서 로컬 제어와 BMS의 책임 범위가 가장 자주 혼동되기 때문입니다.

BMS 핸드셰이크 대 로컬 컨트롤러의 역할

고정형 VHP 제어 설계에서 가장 흔한 모호성의 원인은 BMS 통신을 마치 제어 권한과 동등한 것으로 취급하는 데 있습니다. BMS는 해당 조건이 충족되었다고 판단한 시스템이 아니더라도 도어 상태, 댐퍼 위치 또는 사이클 단계를 표시할 수 있습니다. 상태 신호를 수신하는 것은 허용 신호를 보유하거나 인터록을 실행하는 것과는 다릅니다. 이러한 구분이 모호해지면 문제 해결이 어려워지는데, BMS 화면에서 상태 불일치가 발생하더라도 운영자는 문제의 원인이 로컬 컨트롤러인지, 현장 장치인지, 아니면 통신 링크인지 파악할 수 없기 때문입니다.

일반적인 원칙은 안전에 중요한 허용 신호 및 장비 연동 장치가 현장 상태를 직접 감지하고 대응 명령을 직접 내릴 수 있는 컨트롤러에 속하는 반면, BMS의 역할은 상태를 교환하고, 정의된 경우 로컬 컨트롤러가 실행 전에 독립적으로 검증하는 요청을 발행하는 것임을 명시하고 있습니다. BMS 인터페이스에서의 핸드셰이크는 각 측이 무엇을 전송하고, 무엇을 수신하며, 결과적인 제어 결정에 대한 권한이 어느 측에 있는지 정확히 명시해야 합니다. 핸드셰이크가 “BMS가 문이 닫혔음을 확인한다”는 식으로만 정의되어 있고, 어떤 컨트롤러가 해당 확인을 수행했는지, 그리고 어떤 조건에서 유효한 것으로 간주되는지에 대한 설명이 없는 경우, 해당 인터페이스는 불완전한 것입니다.

이 경계가 어떻게 설정되는지를 결정하는 요인은, 프로젝트가 BMS 네트워크를 제어 경로로 볼지 아니면 모니터링 경로로 볼지에 대한 신뢰 수준입니다. BMS가 모니터링, 감독자 우선 제어 및 데이터 히스토리언 기능에만 사용되는 경우, 로컬 컨트롤러는 허용 조건 및 인터록에 대한 완전한 권한을 유지하며, BMS 통신 두절은 사이클 안전성에 미치는 영향이 제한적입니다. 반면, BMS에 사이클 동작을 명령하는 역할이 부여된 경우, 네트워크를 통한 요청은 유선 신호와 다른 고장 모드를 수반하므로, 이러한 모든 명령에 대해 로컬 컨트롤러 내에서 별도의 유효성 검사 로직이 필요합니다.

이러한 경계 문제는 조달 과정에서 프로젝트가 장비 및 경보 증거에 대해 무엇을 명시해야 하는지와 직접적으로 관련이 있습니다. 요청에 응하는 공급업체는 제어 장치 및 연동 장치 요건 각 허용 조건 및 연동 조건에 대해, BMS가 의사 결정에 참여해야 하는지 아니면 그 결과만 관찰하면 되는지 명확히 파악해야 합니다. 이는 제어 로직 중 어느 정도가 로컬 PLC에 포함되고 어느 정도가 BMS 인터페이스에 노출되는지를 결정하기 때문입니다. 견적 요청서에서 이 부분을 명확히 정의하지 않으면, 각 공급업체가 경계가 어디에 있는지 자체적으로 가정하게 되어 제안서를 직접 비교하기 어려워지는 경향이 있습니다.

URS에서 정의해야 할 경보, 중단 및 복구 상태

경보를 유발하는 조건만을 나열한 경보 사양은 불완전합니다. 고정형 VHP 시스템에 대해 실용적인 경보 정의는 원인, 필요한 대응 조치, 제어 시스템이 확립하거나 유지해야 하는 안전 상태, 경보 확인 방법, 경보 재설정 권한을 가진 자, 그리고 경보가 사이클 릴리스에 영향을 미치는지 여부와 그 방식 등을 명시해야 합니다. 이 각각은 별개의 결정 사항이며, 이를 하나의 구분되지 않은 “경보 목록” 항목으로 취급할 경우, 명확성이 가장 필요한 곳인 비정상 작동 시점에 오히려 모호성을 초래하기 쉽습니다.

확인(acknowledgment)과 재설정(reset)은 종종 혼동되지만, 그 목적은 다릅니다. 확인은 운영자가 경보를 보고 인지했음을 확인하는 것이며, 그 자체만으로는 시스템이 사이클을 진행할 수 있는 상태로 복구되지는 않습니다. 재설정 권한은 누가 경보 상태를 해제하고 진행을 재개할 수 있는지를 결정하며, 이 권한은 상태의 심각도와 운영자 또는 환경 보호와의 관련성에 따라 합리적으로 다르게 부여될 수 있습니다. 확인과 재설정이 동일한 조치로 취급될 경우, 제어 시스템은 근본적인 상태가 실제로 해결되기 전에 진행을 허용할 수 있습니다.

중단 및 전원 복구 상태는 정상적인 사이클 순서 외부의 동작을 정의하므로 특별한 주의를 기울여야 합니다. 중단 상태란 사이클이 완료되기 전에 의도적으로 또는 자동으로 종료될 때 제어 시스템이 확립해야 하는 상태를 말하며, 전원 복구 상태는 전원 중단 후 전원이 복구되었을 때 시스템이 수행하는 동작을 정의합니다. 이 두 상태 모두 기본 동작에 맡겨서는 안 됩니다. 정의되지 않은 중단 상태의 경우, 시스템이 도어, 댐퍼 또는 밸브를 불확실한 위치에 방치할 수 있으며, 정의되지 않은 전원 복구 상태의 경우, 중단 사유가 된 조건이 해결되었는지 확인하지 않은 채 사이클 순서를 재개할 수 있기 때문입니다.

이러한 상태를 어떻게 정의해야 하는지를 결정하는 조건은 복구 경로가 자동으로 진행될 것으로 예상되는지, 아니면 수동 개입에 의존할 것으로 예상되는지에 달려 있습니다. 프로젝트에서 가스 주입 중 중단이나 전원 손실이 발생할 경우, 재진입 전에 반드시 수동 확인이 필요한 상태로 전환되어야 한다고 규정하는 경우, 해당 요구 사항은 URS에 명시적으로 기재되어야 합니다. 왜냐하면 그러한 요구 사항 없이 설계된 제어기는 조건이 명목상 충족되면 자동으로 재개되는 방식으로 동작할 수 있기 때문입니다. 이러한 동작은 명시적으로 규정되지 않는 한 검증할 수 없으며, 테스트 계획은 URS에서 예상 결과로 정의한 내용에 대해서만 검증할 수 있습니다.

GMP 기록, 접근 및 감사 추적 범위

고정된 VHP 제어 시스템을 통과하는 모든 신호가 동일한 데이터 무결성 중요도를 지닌 것은 아니며, 이를 모두 동일한 중요도로 취급할 경우 실제 GMP 위험 수준에 부합하지 않는 검증 부담이 발생하게 됩니다. EudraLex 제4권 부록 11 이는 감사 추적 기록, 저장된 데이터, 백업 및 접근 권한을 포함한 전산 시스템 통제 사항이, 모든 시스템 기능에 일률적으로 적용되는 규칙이 아니라 문서화된 사용자 요구사항과 연계된 위험 기반 접근 방식을 따르도록 규정하고 있다.

이를 고정형 VHP 시스템에 적용하면, 프로젝트 팀은 기능별로 어떤 요소가 GMP와 관련이 있고 어떤 요소가 시설 운영과 관련된 것인지 판단해야 합니다. 검증된 오염 제거 주기에 영향을 미치는 레시피 매개변수는 쾌적성이나 에너지 효율을 위해 이루어지는 시설 수준의 설정값 조정과는 성격이 다릅니다. 주기의 효능에 영향을 미칠 수 있는 설정값 변경에는 추적 가능성이 필요하지만, 검증된 공정과 무관한 변경의 경우 반드시 그럴 필요는 없습니다. 부속서 11의 위험 기반 프레임워크에 따른 감사 추적 범위는, 제어기가 기록할 수 있는 모든 매개변수를 무차별적으로 포착하기보다는, 이 평가를 통해 식별된 GMP 관련 변경 사항을 중심으로 설정되어야 합니다.

사용자 접근 제어 역시 동일한 논리를 따릅니다. 즉, 접근 권한은 보호 대상 기능의 역할에 따라 구조화되어야 하며, 이에 따라 GMP 관련 레시피 매개변수를 변경할 수 있는 권한은 시설 상태 화면을 조회할 수 있는 권한과는 다르게 관리되어야 합니다. 백업 요건은 이 범위 내에서 식별된 GMP 관련 저장 데이터에 적용되며, 기록 보존 기간은 시스템의 전체 데이터 출력이 아닌 동일한 범위를 기준으로 정의됩니다.

이 경계가 어디에 위치하는지를 결정하는 요인은 고정형 VHP 시스템의 시설 측 기능이 사이클 제어 기능과 어느 정도 분리되어 있는지에 달려 있습니다. 단일 제어기가 시설 모니터링과 검증된 오염 제거 사이클을 모두 처리하는 경우, 위험 평가에서는 제어기가 수행하는 모든 기능을 검토하여 어떤 기능이 GMP 범위에 포함되는지 파악해야 합니다. 두 기능이 아키텍처적으로 분리된 경우, 사이클 제어 기능 외부의 시설 관련 이벤트는 애초부터 데이터 무결성 측면에서 다른 역할을 수행하므로 평가 범위가 더 좁아집니다. 어느 쪽이든, 경계를 결정하는 것은 모든 것을 기록하는 시스템의 기술적 능력이 아니라 평가 그 자체이며, 해당 평가는 URS와 함께 검토할 수 있는 형태로 문서화되어야 합니다.

FAT, SAT 및 OQ에 대한 검증 시나리오

상태 모델, 허용 및 상호 잠금 목록, BMS 경계, 경보 및 복구 사양에 걸쳐 정의된 제어 동작들은, 시스템이 실제 운용 중에 어떻게 고장 나거나 복구되는지를 반영하는 테스트 조건 하에서 검증되어야만 비로소 의미를 갖게 된다. 유드렉스 4권 부록 15 이를 통해 납품 후 반복적인 시험 대신 공급업체의 FAT(최종 수락 시험) 결과를 그대로 인정할 수 있으며, IQ(설치 적합성) 점검과 OQ(운영 적합성) 챌린지 시험을 구분하고, 운송 또는 설치 과정이 기능성에 영향을 미칠 가능성이 있는 경우 보충적인 SAT(현장 수용 시험)를 허용합니다.

이 프레임워크는 프로젝트 팀이 시나리오별로 테스트를 어디에서 수행할지 결정할 수 있는 근거를 제공합니다. 공급업체 시설에서 수행되는 FAT(최종 수락 테스트)는, 테스트 구성이 납품된 시스템을 충실히 반영하고 있다는 전제 하에, URS(사용자 요구 사양서)에 정의된 허용 조건 및 인터록의 순서와 같이 최종 설치 환경에 의존하지 않는 제어 로직을 합리적으로 검증할 수 있습니다. SAT는 특정 시나리오가 시스템 설치 후에만 존재하는 조건에 의존하는 경우, 예를 들어 실제 현장 네트워크에서 BMS 핸드셰이크가 어떻게 작동하는지, 또는 센서가 최종 물리적 위치에서 어떻게 반응하는지와 같은 경우에 필요합니다. 부속서 15의 틀에 따라 SAT에서 어떤 시나리오를 반복해야 할지에 대한 결정은, 모든 테스트를 현장에서 반드시 반복해야 한다는 일률적인 가정이 아니라, 운송이나 설치가 결과에 영향을 미칠 수 있는지 여부와 관련된 문서화된 근거에 기반합니다.

OQ 도전 테스트는 URS에 정의된 비정상 상태 시나리오를 실제로 시뮬레이션하는 단계로, 여기에는 로컬 컨트롤러와 BMS 간의 통신 단절, 허용 조건에 필요한 센서의 고장, 전원 중단 및 복구, 사이클 중단, 수동 오버라이드 등이 포함됩니다. 이러한 각 시나리오는 URS에 정의된 구체적인 예상 결과로 거슬러 올라가야 합니다. 즉, 통신 단절 테스트는 URS에 통신이 단절되었을 때 로컬 컨트롤러가 어떻게 대응해야 하는지가 이미 명시되어 있을 때만 의미가 있으며, 수동 오버라이드 테스트는 URS에 누가 그 권한을 가지고 있으며 어떤 상태가 발생하는지가 정의되어 있을 때만 의미가 있습니다.

프로젝트의 구성 요소가 이미 마련된 경우 유틸리티, 제어 장치, 경보 및 VHP 관련 인터페이스에 대한 현장 수준의 검증 기준 보다 광범위한 SAT 계획의 일환으로, 여기에서 설명된 고정 VHP 제어 시나리오는 별도의 작업으로 취급되기보다는 동일한 프레임워크와 일치해야 합니다. 왜냐하면 동일한 통신 및 전원 복구 조건이 종종 여러 통합 시스템에 동시에 영향을 미치기 때문입니다. 어떤 시나리오가 FAT, SAT, OQ 중 어디에 속해야 하는지 해결하지 않은 채 FAT 단계에 진입하는 프로젝트의 경우, 예상 결과가 문서화되지 않아 테스트를 진행할 수 없게 되었을 때 비로소 그 공백을 발견하는 경향이 있습니다. 이는 테스트 문제라기보다는 URS 문제가 늦게 드러난 사례입니다.

자주 묻는 질문

Q: VHP 제어 워크숍을 개최하기 전에 어떤 프로젝트 정보를 준비해야 합니까?
A: 사이클 상태와 전환을 준비한 다음, 각 전환 시 상태가 검증되어야 하는 도어, 댐퍼, 팬, 밸브, 센서 및 접근 지점을 나열하십시오. 각 항목에 대해 제어 결정 권한이 누구에게 있는지, BMS가 무엇을 송수신하는지, 그리고 의도된 동작을 확인하기 위한 증거가 무엇인지 명확히 파악하십시오.

Q: VHP 상태 신호를 수신한다는 것은 BMS가 관련 인터록을 소유하고 있음을 의미합니까?
A: 아닙니다. 상태 신호는 정보를 전달할 뿐, 허용 신호나 연동 장치의 소유권을 확립하지는 않습니다. 인터페이스 정의에는 각 측이 무엇을 송수신하는지, 그리고 관련 제어 결정이 어디에서 이루어지는지가 명시되어야 합니다.

Q: 경보 확인으로 리셋이나 사이클 해제도 승인할 수 있습니까?
A: 아닙니다. 확인, 재설정 권한, 그리고 사이클 해제 시의 영향은 각각 별개의 결정 사항입니다. 각 항목을 사용자 요구사항에 경보 원인, 필요한 대응 조치, 안전 상태와 함께 명확히 정의해야만, 운영자의 해석에 의존하지 않고도 해당 동작을 테스트할 수 있습니다.

Q: 통신 단절, 전원 복구 또는 센서 고장을 테스트하기 전에 무엇을 정의해야 합니까?
A: 해당되는 각 시나리오에 대해 예상 제어 상태, 경보 대응, 중단 시 결과, 복구 경로, 재설정 권한 및 사이클 릴리스에 미치는 영향을 정의하십시오. 이러한 예상 결과는 FAT, SAT 및 OQ 팀에게 챌린지 테스트를 수행할 수 있는 명확한 근거를 제공합니다.

Q: 모든 시설 행사마다 동일한 GMP 감사 기록 및 보존 관리 절차가 필요한가요?
A: 아니요. 문서화된 위험 평가를 바탕으로 어떤 레시피, 설정값 변경, 시설 이벤트 및 저장된 기록이 GMP와 관련이 있는지 결정한 다음, 해당 범위에 적용할 접근, 감사 추적, 백업 및 보존 통제 조치를 정의하십시오.

Q: 현장에서 동일한 테스트를 반복하지 않고도 공급업체의 FAT 증거를 언제 사용할 수 있습니까?
A: FAT 증거는 해당 증거의 검증 범위와 이를 근거로 삼는 근거가 문서화되어 있을 때 사용해야 합니다. 운송이나 설치가 기능에 영향을 미칠 수 있는지, 그리고 어떤 사용자 요구사항 시나리오에 대해 현장 챌린지 테스트가 필요한지를 고려하여, 여전히 SAT 또는 OQ 확인이 필요한 사항을 결정하십시오.