Kryteria odbioru systemów alarmowych i blokad dla urządzeń do transferu BSL, OEB i VHP

Gdy test odbiorczy na miejscu ujawnia, że próg wyzwalania alarmu nigdy nie został zdefiniowany, projekt napotyka poważną przeszkodę: test nie może wykazać, że alarm zabezpiecza konkretny stan szczelności, a sprzęt nie może zostać dopuszczony do użytku bez takiego dowodu. Zespół przerabia protokół testowy, wraca do specyfikacji URS, aby odtworzyć to, co powinno było zostać określone, i opóźnia przekazanie o kilka tygodni, podczas gdy integralność szczelności pozostaje niezweryfikowana. Decyzja, która określa, czy kryteria akceptacji alarmów i blokad sprawdzają się podczas testów, polega na tym, czy każdy stan alarmowy i reakcja blokady są zdefiniowane przed zakupem za pomocą testowalnego warunku wyzwalającego, wymaganej reakcji, reguły resetowania oraz trwałego zapisu. Definicja ta musi sprawdzić się nie tylko podczas normalnej eksploatacji, ale także w stanach awaryjnych, do których systemy zabezpieczające są przystosowane.

Warunki uruchomienia alarmu, które powinni określić nabywcy

Gdy specyfikacja określa jedynie, że alarm zostanie zainstalowany, zespół SAT otrzymuje czystą kartkę: brak progu wyzwalającego, brak zdefiniowanego odchylenia oraz brak pewności, że alarm zadziała w momencie rzeczywistego naruszenia szczelności. Nabywca musi określić źródło sygnału z czujnika, wartość zadaną lub zmianę stanu, która uruchamia alarm, ewentualny przedział stabilności lub opóźnienie czasowe, a także poziom priorytetu, aby protokół testowy mógł odtworzyć dokładnie ten stan. Bez tej definicji nie można systematycznie wykazać, że alarm wykrywa ten tryb awarii, przed którym ma chronić.

W tabeli zestawiono typowe źródła wyzwalające oraz informacje, które nabywca musi określić dla każdego z nich, wraz z uzasadnieniem, dlaczego firma SAT musi zweryfikować dany warunek. Na przykład w przypadku czujników blokady drzwi należy określić nie tylko pozycje wyzwalające alarm, ale także opóźnienie wejścia związane z przejściem; w przeciwnym razie istnieje ryzyko fałszywych alarmów lub, co gorsza, opóźnionego wykrycia rzeczywistego naruszenia. Czujniki różnicy ciśnień wymagają wartości zadanej, przedziału stabilności oraz określonego kierunku odchylenia, aby zespół SAT mógł potwierdzić, że próg alarmu awarii kaskadowej jest zgodny z projektem systemu zabezpieczającego i nie pomija odwrócenia przepływu na zewnątrz. Blokady cyklu VHP zależą od ograniczeń fazowych i prawidłowych sygnałów stanu cyklu; definicja wyzwalacza, która nie blokuje transferu w stanie niesterylizowanym, sprawia, że granica sterylizacji pozostaje niesprawdzona.

Alarm uruchamiający się przy nieokreślonym progu nie stanowi zabezpieczenia przed rozprzestrzenianiem się; jest jedynie nadzieją związaną z uruchomieniem instalacji.

Z punktu widzenia walidacji, Załącznik 11 do EudraLex zakłada, że warunki alarmowe w systemach komputerowych powinny być jasno zdefiniowane i możliwe do przetestowania. Wymóg ten nie określa, jakie czujniki należy zainstalować, oznacza jednak, że kryteria odbioru muszą przekładać wybór czujników na konkretne, możliwe do zweryfikowania warunki alarmowe. Zamawiający, którzy pozostawiają tę kwestię do etapu uruchomienia, często odkrywają, że logika alarmowa wbudowana w sterownik urządzenia nie jest dostosowana do scenariusza ryzyka danego obiektu, a jej korekta po instalacji wiąże się z większym nakładem czasu na integrację niż oszczędności wynikające z wcześniejszego dopracowania specyfikacji.

Reakcje systemu Interlock wymagające przeprowadzenia testów w obecności świadka

Reakcje blokad, które są akceptowane na podstawie opisu projektowego, a nie na podstawie obserwowanego przebiegu działania, nie uwzględniają ukrytych trybów awarii. Standardowy test SAT, który sprawdza jedynie normalne działanie, nie ujawni, co się stanie w przypadku zablokowania przekaźnika, awarii zasilania lub otwarcia drzwi w trakcie cyklu. Są to zdarzenia, które sprawiają, że system zabezpieczający z bariery ochronnej staje się punktem naruszenia, i muszą one zostać zweryfikowane w warunkach symulujących awarię, a nie jedynie opisane w specyfikacji funkcjonalnej.

W tabeli przedstawiono powiązania między zdarzeniami blokady a wymaganą reakcją, tym, co musi potwierdzić test w obecności świadka, oraz ryzykiem związanym z pominięciem testu. Na przykład zaobserwowanie utraty zasilania oznacza sprawdzenie, czy urządzenie przechodzi w określony stan bezpieczny i pozostaje w nim do momentu wykonania ręcznego resetowania, a nie tylko to, że po prostu się zatrzymuje. Należy wykazać, że awaria elementu, taka jak zablokowany przekaźnik, uruchamia sygnalizację i uniemożliwia ponowne uruchomienie dzięki redundantnemu monitorowaniu, ponieważ niewykryty zablokowany przekaźnik pozbawia system wszelkich funkcji bezpieczeństwa. A autor: interlock Awaria podczas pracy musi powodować natychmiastowe, kontrolowane wyłączenie lub utrzymanie stanu izolacji, a test musi wykazać, że stan ten jest zablokowany do momentu celowego zresetowania; w przeciwnym razie operator mógłby nieumyślnie usunąć zagrożenie.

Funkcja bezpieczeństwa, co do której nie można udowodnić, że działa w trybie awaryjnym na żądanie, nie jest funkcją bezpieczeństwa — jest to jedynie założenie.

ASTM E2500 stanowi ramy dla opartej na ryzyku weryfikacji reakcji blokad, ułatwiając wybór tych trybów awarii, które wymagają przeprowadzenia testów w obecności świadków w oparciu o ryzyko procesowe. Załącznik 11 do EudraLex wymaga ponadto dowodów potwierdzających, że systemy komputerowe działają bezpiecznie w warunkach nietypowych. Żaden z tych dokumentów nie określa sztywnej listy testów; oba odwołują się do URS jako źródła wymaganych reakcji. Praktycznym wyzwaniem jest to, że niektórych trybów, takich jak rzeczywiste naruszenie szczelności podczas testu, nie da się bezpiecznie wywołać. Zamawiający musi zatem rozróżnić tryby awarii, które można w pełni sprawdzić podczas testów SAT, od tych, które wymagają przeprowadzenia częściowych testów w połączeniu z udokumentowanym zapewnieniem poprawności projektu, a następnie odpowiednio sformułować kryteria akceptacji.

Zresetuj logikę i obejdź ograniczenia

Blokada, która automatycznie resetuje się po ustąpieniu warunku wyzwalającego, ponownie stwarza ryzyko, zanim operator zdąży ocenić przyczynę. Jeśli wahanie ciśnienia wyzwala alarm kaskadowy, a system samoczynnie resetuje się, gdy tylko odczyt powróci do wartości zadanej, alarm może cyklicznie się powtarzać bez przeprowadzenia analizy przyczyny źródłowej, co podważa zaufanie operatora i maskuje niestabilny stan. Logika zatrzaskowa, wymagająca ręcznego zresetowania po wystąpieniu zdarzenia wyzwalającego, stosowana w sytuacjach, gdy blokada zabezpiecza funkcję o kluczowym znaczeniu dla utrzymania hermetyczności, daje personelowi operacyjnemu możliwość sprawdzenia, czy sytuacja jest bezpieczna przed ponownym uruchomieniem. Nie jest to wymóg regulacyjny w większości dokumentów GMP, ale stanowi kryterium projektowe, które zmniejsza prawdopodobieństwo, że niezweryfikowane zdarzenie doprowadzi do poważniejszego incydentu związanego z zanieczyszczeniem.

Obchodzenie ograniczeń wiąże się z podobnym dylematem decyzyjnym. Upoważniony personel może potrzebować wejść do obszaru kontrolowanego bez konieczności wyłączania całej linii, a funkcje obejścia zapewniają taką elastyczność operacyjną. Kryteria akceptacji powinny wymagać, aby każde obejście podlegało ograniczeniom dostępu (na przykład za pomocą kodu z klawiatury lub karty magnetycznej), było ograniczone czasowo oraz rejestrowane w ścieżce audytu. Załącznik 11 do EudraLex popiera to podejście, kładąc nacisk na kontrolę dostępu i ścieżki audytu w przypadku zmian w systemach komputerowych, ale nie określa konkretnej metody obejścia. Jeśli kryteria akceptacji nie zawierają żadnych zapisów dotyczących rejestrowania obejść, system SAT zarejestruje pomyślne obejście bez uchwycenia dowodów potwierdzających, że obejście było autoryzowane i miało charakter tymczasowy, co uniemożliwi zakładowi odróżnienie kontrolowanego obejścia od niewykrytej usterki wiele lat później podczas kontroli.

Obejście, które nie pozostawia żadnych trwałych śladów, sprawia, że celowe ominięcie procedury staje się niepewnym ustaleniem audytowym, które wkrótce wyjdzie na jaw.

Konfigurację układu resetowania i obejścia nie należy traktować jako ustawienia domyślnego, lecz jako świadomy wybór dostosowany do poziomu ryzyka związanego z zabezpieczeniem urządzenia. W przypadku urządzeń transferowych klasy BSL-3/4 lub OEB4/OEB5 należy skłaniać się ku resetom z blokadą oraz ściśle ograniczonym i w pełni rejestrowanym obejściom. W przypadku urządzeń o niższym ryzyku prostsze zachowanie podczas resetowania może być uzasadnione, jednak uzasadnienie to powinno znaleźć się w uzasadnieniu walidacji, a nie w wyjaśnieniu po uruchomieniu, dlaczego testy zakończyły się powodzeniem w przypadku zachowania, którego nikt nie zdefiniował.

Sterowanie zależne od pomieszczenia a sterowanie oparte wyłącznie na urządzeniach

Blokada, która nie uwzględnia stanu ciśnienia w pomieszczeniu, może chronić sprzęt, ale nie kaskadę ciśnieniową obiektu, a decyzja o tym, od których sygnałów zależy działanie tej blokady, determinuje cały plan interfejsu SAT.

W tabeli rozróżniono blokady dotyczące wyłącznie urządzeń, zasilane przez wejścia/wyjścia lokalnego sterownika, od blokad na poziomie pomieszczeń, opartych na czujnikach ciśnienia lub systemie kontroli dostępu, oraz od blokad zintegrowanych z systemem BMS, które powodują globalne wyłączenie urządzeń. Blokada drzwi dotycząca wyłącznie urządzeń, podłączona bezpośrednio do klapa przeładunkowa Kontroler jest łatwiejszy do zweryfikowania, ponieważ jego działanie nie zależy od zewnętrznych stanów pomieszczeń. Blokada na poziomie pomieszczenia, która utrzymuje tę samą klapę w pozycji zamkniętej w przypadku spadku podciśnienia w pomieszczeniu, musi jednak współpracować z czujnikami ciśnienia w budynku oraz statusem certyfikacji pomieszczenia. Blokada zintegrowana z systemem BMS, uruchamiająca się po sygnale alarmu przeciwpożarowego, zwiększa złożoność przekazywania kontroli między systemami oraz wymaga zdefiniowania zachowania awaryjnego już na etapie umowy dotyczącej interfejsu, a nie dopiero podczas testów SAT, gdy mapowanie sygnałów nie powoduje zamknięcia obwodu oczekiwanego przez sterownik PLC urządzenia.

Wybór ten stanowi kompromis inżynieryjny, a nie hierarchię zgodności. Sterowanie oparte wyłącznie na urządzeniach izoluje logikę blokad i ogranicza zakres walidacji, ale może pozostawić lukę w zabezpieczeniach, jeśli ocena ryzyka obiektu wykaże, że niebezpieczny stan nie może zostać wykryty lokalnie. Integracja na poziomie pomieszczenia wypełnia tę lukę, ale wprowadza zależności od kalibracji czujników, integralności sieci BMS oraz sekwencji uruchamiania i wyłączania w wielu podsystemach. Podręcznik bezpieczeństwa biologicznego dla laboratoriów WHO W wytycznych zaznaczono, że przy określonych poziomach bezpieczeństwa biologicznego projekt systemu izolacji może wymagać zastosowania blokad na poziomie pomieszczeń, jednak jest to zalecenie związane z konkretnymi profilami ryzyka, a nie ogólny wymóg dotyczący wszystkich urządzeń transferowych. Trudności w podjęciu decyzji pojawiają się, gdy test SAT ujawnia brak komunikacji sygnałowej między sterownikiem urządzenia a systemami budynku, co wymusza przeprowadzanie na późnym etapie prac ponownego okablowania, przepisywania protokołów oraz ponownej walidacji – czynności, których można by uniknąć, gdyby architektura blokad została uzgodniona podczas przeglądu URS i powiązana z jasnymi kryteriami akceptacji interfejsu.

Architektura blokady wybrana na etapie projektowania decyduje o liczbie procedur uzgadniania SAT, które mogą zakończyć się niepowodzeniem na późnym etapie uruchamiania.

Warunki zadania SAT dla stanów nienormalnych

Podczas testów SAT trudno jest wywołać bezpieczne stany nietypowe, a jednak stanowią one jedyny sposób na potwierdzenie, że blokady działają prawidłowo w momentach, gdy zabezpieczenie przed rozprzestrzenianiem się substancji jest najbardziej narażone. Symulacja nagłej utraty różnicy ciśnień przy zachowaniu rzeczywistego zabezpieczenia biologicznego lub chemicznego jest rzadko wykonalna; warunki testowe muszą stanowić wystarczające wyzwanie, aby sprawdzić działanie alarmów i logiki blokad, nie powodując przy tym rzeczywistego niebezpiecznego uwolnienia. Kryteria akceptacji muszą zatem określać, które stany awaryjne należy poddać testom, w jaki sposób można je bezpiecznie symulować oraz co stanowi akceptowalną reakcję.

Norma ASTM E2500 określa ramy tej definicji, wymagając, aby warunki testów obciążeniowych wynikały z oceny ryzyka procesowego, a nie ze stałej listy kontrolnej. Specyfikacja wymagań użytkowych (URS) powinna określać krytyczne scenariusze awarii, a protokół testów SAT przekłada te scenariusze na sekwencje testowe, które mogą obejmować symulację usterki czujnika, przerwanie sygnału komunikacyjnego lub wywołanie kontrolowanego odchylenia ciśnienia w bezpiecznych granicach. Załącznik 11 do EudraLex dodaje, że testy SAT systemów komputerowych muszą obejmować testy w warunkach nietypowych, a ich wyniki muszą być udokumentowane. Problemem, z którym boryka się wiele projektów, nie jest brak norm, ale brak udokumentowanego uzasadnienia ryzyka łączącego wybrane warunki nietypowe z konkretnymi sekwencjami awarii zabezpieczeń, którym zapobieganie miało na celu zaprojektowanie danego sprzętu. Gdy brakuje takiego uzasadnienia, zespół przeprowadzający testy SAT albo gra bezpiecznie, stosując słabe testy, które niewiele dowodzą, albo wkracza na ryzykowne terytorium bez jasnego uzasadnienia bezpieczeństwa, a żaden z tych wyników nie stanowi solidnej podstawy do podjęcia decyzji o dopuszczeniu do użytku.

Test, który nigdy nie wykracza poza normalne warunki pracy, nie pozwala sprawdzić reakcji bezpieczeństwa, która ma największe znaczenie.

Praktyczne ograniczenia wynikają z dostępności zasobów i kwestii bezpieczeństwa: niektóre rodzaje awarii, takie jak jednoczesna awaria blokady podwójnych drzwi w BSL-4 komory transferowej, fizyczne przetestowanie może okazać się niemożliwe bez narażania się na niedopuszczalne ryzyko. W takich przypadkach kryteria akceptacji powinny wyraźnie wskazywać, że niektóre wyniki są weryfikowane poprzez połączenie częściowych testów obciążeniowych i przeglądu projektu, tak aby dokumentacja rzetelnie odzwierciedlała, co zostało udowodnione, a co zaakceptowano na podstawie zapewnienia inżynieryjnego. Takie podejście, o ile zostanie udokumentowane z góry, pozwala uniknąć późniejszych zarzutów, że testy były niekompletne.

Próg akceptacji dla zapisów dotyczących alarmów i blokad

Sygnalizacja alarmu na żywo, która znika bez pozostawienia zapisu opatrzonego datą i godziną oraz umożliwiającego przypisanie odpowiedzialności, pozbawia zakład obiektywnego dowodu na to, że miało miejsce zdarzenie wymagające podjęcia działań zabezpieczających. Próg akceptacji dla alarmów i blokad musi zatem wykraczać poza demonstrację funkcjonalną i obejmować kompletność, integralność oraz trwałość generowanego zapisu. Jeśli test SAT sprawdza jedynie, czy dioda LED alarmu zapaliła się, dziennik zdarzeń będzie pozbawiony dowodów niezbędnych do kontroli regulacyjnej trzy lata później.

Kryteria akceptacji powinny określać, co stanowi kompletny zapis: sygnaturę czasową o wymaganej rozdzielczości, opis zdarzenia, priorytet alarmu, potwierdzenie przez operatora, czynność zresetowania oraz wszelkie powiązane zdarzenia obejścia. Załącznik 11 do EudraLex stanowi podstawę tych wymagań, nakładając obowiązek prowadzenia dokładnych, kompletnych i archiwizowanych zapisów elektronicznych w systemach komputerowych. Norma ASTM E2500 wspiera oparte na ryzyku określenie, które zapisy mają charakter krytyczny, co pozwala w ramach projektu skoncentrować rygorystyczne progi przeglądu zapisów na alarmach krytycznych dla bezpieczeństwa, a nie na każdym powiadomieniu systemowym. Próg ten należy ustalić na etapie planowania walidacji, a nie nakładać go z mocą wsteczną po przekazaniu obiektu, ponieważ po uruchomieniu sprzętu rzadko istnieje kontrolowany okres, w którym można ponownie przeanalizować architekturę danych i upewnić się, że rejestrowane są właściwe parametry.

Dokumentacja jest jedynym świadkiem, który przetrwał to zdarzenie; niekompletna dokumentacja powoduje powstanie zaległości w zakresie zgodności, które narastają z każdym cyklem audytowym.

Jeśli protokół SAT akceptuje reakcję na alarm funkcjonalny bez sprawdzenia, czy odpowiedni zapis znajduje się w pliku historii wraz ze wszystkimi wymaganymi polami, obiekt akceptuje system zabezpieczający, który działa dzisiaj, ale nie będzie można go obronić jutro. Próg akceptacji, który wymaga weryfikacji zapisu zdarzenia podczas testu SAT oraz wiąże treść zapisu z definicją alarmu i reakcją blokady określoną w specyfikacji URS, gwarantuje, że zweryfikowany stan obejmuje łańcuch dowodowy, a nie tylko reakcję sprzętu.

Określenie kryteriów akceptacji alarmów i blokad nie polega na dodawaniu szczegółów do specyfikacji; jest to warunek decydujący o tym, czy za pomocą testów SAT można udowodnić, że urządzenie zapewnia zachowanie zamierzonego stanu zabezpieczenia. Warunek wyzwalający, reakcja, logika resetowania, ograniczenia obejścia, zależności między interfejsami, testy stanów nienormalnych oraz kompletność zapisów tworzą połączony łańcuch, który albo wytrzymuje testy, albo pęka w najsłabszym ogniwie. Przed zakupem należy sprawdzić, czy specyfikacja URS opisuje każdy z tych elementów w sposób umożliwiający przeprowadzenie testów, a przed testami SAT należy potwierdzić, że protokół testowy może je poddać weryfikacji bez narażania obiektu na ryzyko. Gdy wszystkie ogniwa łańcucha są zdefiniowane i możliwe do zweryfikowania, decyzja o akceptacji opiera się na obiektywnych dowodach, a nie na założeniu, że projektant wszystko zaprojektował prawidłowo.

Często zadawane pytania

Pytanie: Nasze urządzenia do transferu są już na miejscu, ale w specyfikacji URS podano jedynie, że “zapewniono alarm”. Czy mimo to można przystąpić do odbioru bez powodowania znacznego opóźnienia w realizacji projektu?
O: Tak, ale nie bez uwzględnienia odchylenia opartego na ryzyku. Zespół projektowy musi niezwłocznie zebrać się w celu zdefiniowania warunków wyzwalających, reakcji, logiki resetowania oraz wymagań dotyczących rejestracji, których obecnie brakuje, a następnie formalnie uzupełnić protokół SAT. Przekazanie projektu zostanie wstrzymane do czasu zatwierdzenia tej dokumentacji i przepisania testów — opóźnienie zależy od tego, jak szybko uda się uzgodnić brakujące kryteria oraz od zdolności sprzętu do ich realizacji.

Pytanie: Po zdefiniowaniu wszystkich kryteriów alarmów i blokad w specyfikacji wymagań użytkowych (URS), jaki jest bezpośredni kolejny krok przed sporządzeniem protokołu testowego przez zespół SAT?
A: Należy przypisać każde kryterium do bezpiecznej metody testowej oraz wymaganego punktu kontrolnego. Dla każdego czynnika wyzwalającego należy udokumentować podejście symulacyjne (np. wywołanie kontrolowanego odchylenia ciśnienia, przerwanie pętli czujnika, symulacja zablokowanego przekaźnika za pomocą diagnostyki), oczekiwaną reakcję systemu oraz dokładne pola rejestru, które muszą zostać zarejestrowane. Macierz ta stanowi szkielet protokołu SAT i pozwala zespołowi testowemu uniknąć konieczności odtwarzania zamierzeń podczas uruchamiania.

Pytanie: W którym momencie te rygorystyczne kryteria akceptacji alarmów i blokad stają się nadmierne? Czy możemy zmniejszyć obciążenie w przypadku wrót transferowych OEB2 lub BSL-2?
O: Rygorystyczność jest proporcjonalna do ryzyka rozprzestrzenienia się, a nie do stałego poziomu bezpieczeństwa biologicznego. Jeśli formalna ocena ryzyka procesowego wykaże, że naruszenie zasad nie doprowadziłoby w sposób wiarygodny do utraty produktu, szkody dla personelu lub uwolnienia do środowiska, można uprościć procedury — na przykład poprzez zaakceptowanie gwarancji projektowej połączonej z ograniczonymi testami trybów awarii w obecności świadków dla niektórych blokad. Jednak zgodnie z zasadami GMP nadal oczekuje się określonych progów wyzwalających i podlegających audytowi rejestrów zdarzeń, nawet w przypadku zastosowań o niższym ryzyku, ponieważ brak rejestrów nie pozostawia uzasadnionego śladu dowodowego.

Pytanie: Jak zdecydować, czy zastosować wyłącznie urządzenie blokujące, czy też powiązać je z ciśnieniem w pomieszczeniu lub sygnałami z systemu zarządzania budynkiem (BMS)?
A: Należy wybrać sterowanie wyłącznie za pomocą urządzeń, gdy czujniki wbudowane w urządzenie mogą bezpośrednio i niezawodnie wykrywać zagrożenie związane z hermetycznością — na przykład blokada otwarcia drzwi w klapie transferowej, gdzie zagrożenie ogranicza się do granic urządzenia. Sygnały dotyczące ciśnienia w pomieszczeniu lub sygnały z systemu BMS należy uwzględniać tylko wtedy, gdy zagrożenia wywołujące działanie blokady nie można wykryć lokalnie, na przykład w przypadku kaskadowej utraty ciśnienia, która musi uniemożliwić otwarcie klapy w celu ochrony pomieszczenia. Decyzja musi wynikać ze scenariuszy awarii, którym blokada ma zapobiegać, a nie z ogólnej preferencji dla prostoty lub integracji.

Pytanie: Czy warto poświęcać czas na określanie szczegółowych testów sprawdzających i rejestrowanie wartości progowych dla standardowej komory przepustowej VHP, czy też jest to nadmierne komplikowanie sprawy?
O: W przypadku komory przekaźnikowej VHP, która zabezpiecza strefę sterylną, tak — pojedyncze, nieudokumentowane obejście blokady lub przeoczenie alarmu podczas awarii cyklu może narazić na ryzyko całą partię, a koszt przeprowadzenia dochodzenia znacznie przewyższa koszty wstępnych prac związanych z opracowaniem specyfikacji. Wyjątkiem jest przepływ materiałów o znaczeniu niekrytycznym, gdzie ocena ryzyka klasyfikuje awarię systemu zabezpieczającego jako nieistotną; w takim przypadku można ograniczyć liczbę testów w stanie nietypowym przeprowadzanych w obecności świadków, ale nadal należy określić progi kompletności dokumentacji, aby zachować gotowość do audytu GMP.