Większość błędów uruchomieniowych w systemach BIBO nie jest wykrywana podczas kwalifikacji - są one do niej importowane. Jednostka, która opuszcza fabrykę bez udokumentowanego zatrzymania ciśnienia lub przybywa na miejsce bez zapisów o sekwencji bag-out, staje się problemem dokładnie wtedy, gdy projekt ma na to najmniejszą tolerancję: podczas IQ/OQ, pod presją terminu, z zespołem kwalifikacyjnym już zaangażowanym. Korekty, które zajęłyby pół dnia w zakładzie producenta, wymagają teraz częściowego wycofania z eksploatacji, odstępstw od protokołu lub ponownego testowania w miejscu - z których każdy wydłuża zamknięcie i tworzy luki w dokumentacji, które podążają za systemem przez cały okres jego eksploatacji. Najważniejszą kwestią jest podjęcie decyzji, które kontrole są rzeczywiście opcjonalne do odroczenia, a które, jeśli zostaną pominięte w FAT, przenoszą ryzyko całkowicie na właściciela w najgorszym możliwym momencie.
Krytyczne kontrole FAT przed opuszczeniem fabryki przez obudowę BIBO
FAT to punkt w projekcie, w którym poprawki są najtańsze i najszybsze. Problem polega na tym, że większość zespołów traktuje go jako mechaniczny przegląd dopasowania - potwierdzający, że spawy wyglądają dobrze, amortyzatory poruszają się swobodnie, a sprzęt jest obecny - a nie jako wczesną symulację scenariuszy serwisowych, z którymi system będzie musiał się zmierzyć. Takie podejście wydaje się dokładne w danej chwili, ale odkłada kontrole o najwyższych konsekwencjach na etap, w którym przeróbki niosą ze sobą rzeczywiste konsekwencje związane z harmonogramem i ograniczeniami.
Najczęściej pomijaną kontrolą jest test szczelności. Ciśnienie testowe dla obudowy BIBO powinno być udokumentowane w surowych danych - na przykład wartość 2500 Pa jest konkretnym kryterium zaliczenia/niezaliczenia, a nie słownym potwierdzeniem. Jednostka, która pomyślnie przeszła wizualną inspekcję spoiny, ale nie utrzymała ciśnienia do określonego progu, nie została poddana testowi szczelności, ale została sprawdzona. Rozróżnienie to ma znaczenie, ponieważ wykrycie na miejscu awarii obudowy może wymagać jej wycofania z kanału, przerobienia i ponownego przetestowania - a wszystko to przy zachowaniu ciągłości harmonogramu kwalifikacji obiektu.
Drugim sprawdzeniem, które jest odkładane na później, jest test funkcjonalny sprzętu instalacyjnego bag-out i sekwencji wymiany. Sprzedawcy często opisują to jako coś objętego standardową praktyką fabryczną, ale jeśli sekwencja nie została faktycznie uruchomiona - sprzęt włączony, worek założony i zdjęty, wszystkie kroki zarejestrowane zgodnie z instrukcją - nie ma dowodów na to, że działa zgodnie z przeznaczeniem w konkretnej dostarczanej jednostce. Wartością robienia tego w FAT nie jest formalność dokumentacji; chodzi o to, że problemy znalezione w fabryce są rozwiązywane w fabryce.
| Kontrola FAT | Dlaczego to ma znaczenie | Dowody/wyjaśnienia |
|---|---|---|
| Test szczelności przy określonym ciśnieniu | Zapobiega wykrywaniu problemów związanych z ograniczaniem emisji w miejscu, w którym poprawki są powolne i kosztowne. | Upewnij się, że ciśnienie testowe (np. 2500 Pa) jest udokumentowane w surowych danych. |
| Test funkcjonalny opcjonalnego sprzętu i sekwencji instalacji bag-out | Symulowanie rzeczywistych sekwencji serwisowych na wczesnym etapie identyfikuje problemy, które w przeciwnym razie zostałyby wykryte podczas kwalifikacji pod presją terminów projektu. | Upewnij się, że sekwencja testowa jest zgodna z instrukcją i udokumentowana. |
Po potwierdzeniu, że wpisy w tabeli są spełnione, należy sprawdzić, czy dowody dla każdej kontroli istnieją jako odrębny dokument, a nie zapis liniowy w arkuszu kontroli ogólnej. Surowe dane i protokół są potrzebne do obrotu - jedno bez drugiego powoduje tarcia podczas przeglądu akceptacyjnego.
Elementy SAT potwierdzające zgodność instalacji z założeniami projektowymi
Testy akceptacyjne w miejscu instalacji odpowiadają na inne pytanie niż FAT. FAT potwierdza, że urządzenie zostało zbudowane poprawnie; SAT potwierdza, że zostało poprawnie zainstalowane. Luka między nimi jest miejscem, w którym najczęściej dochodzi do załamania intencji projektowych - nie dlatego, że urządzenie było nieprawidłowe, ale dlatego, że połączenia interfejsu zostały wykonane inaczej niż określono w dokumentacji projektowej.
Kontrole, które najbardziej bezpośrednio potwierdzają integralność instalacji, to te, które weryfikują funkcjonalne interfejsy, a nie fizyczną obecność. Przewody sprężonego powietrza, klapy wydechowe i opcjonalne komponenty, takie jak filtry końcowe HEPA, powinny być weryfikowane nie tylko pod kątem prawidłowego podłączenia, ale także prawidłowej orientacji, trasy i dostępności. Przepustnica, która jest zainstalowana, ale nie jest dostępna do serwisowania, lub przewód powietrza podłączony do niewłaściwego portu, to błąd zgodności projektu, którego wizualny spacer może nie wychwycić, jeśli recenzent nie pracuje na podstawie rysunków projektowych.
Jest to również etap, na którym załącznik 15 EudraLex jest najbardziej odpowiedni jako odniesienie do procesu: kwalifikacja instalacji musi potwierdzać, że zainstalowana konfiguracja jest zgodna z tym, co zostało zaprojektowane i zatwierdzone. Zasada ta nie określa, jakie połączenia należy konkretnie sprawdzić w systemie BIBO, ale ustanawia oczekiwanie, że warunki po zainstalowaniu są weryfikowane pod kątem zgodności z założeniami projektowymi, a nie zakładane. Protokół SAT powinien być skonstruowany wokół tego porównania - rysunek projektowy względem stanu zainstalowanego, linia po linii - tak, aby wszelkie odchylenia zostały wychwycone przed rozpoczęciem OQ, a nie wykryte podczas testów operacyjnych.
Jeden wzorzec awarii, na który należy zwrócić uwagę: SAT jest czasami przeprowadzany przez wykonawcę instalacji, a nie zespół właściciela ds. uruchomienia, a zapisy odzwierciedlają, że wykonawca potwierdził swoją własną pracę. Zapisy te mogą być dokładne, ale nie są niezależne i mogą nie odnosić się do dokumentów projektowych zatwierdzonych przez właściciela. Jeśli protokół SAT został napisany przez sprzedawcę lub instalatora i sprawdzony tylko wewnętrznie, jego obronność podczas audytu jest ograniczona.
Dowody IQ dla materiałów, instrumentów i zatwierdzonej dokumentacji
Kwalifikacja instalacyjna tworzy podstawę dokumentacyjną dla wszystkiego, co następuje później. Jeśli ta podstawa jest niekompletna, wyniki OQ są trudne do obrony, a zamknięcie przeciąga się, podczas gdy zespoły pracują wstecz, aby zrekonstruować dowody, które powinny zostać przechwycone w czasie instalacji.
Najczęstszą luką w dokumentacji IQ nie jest brak danych testowych - brakuje kontekstu wokół danych testowych. Certyfikat kalibracji bez możliwości śledzenia konkretnego przyrządu użytego podczas testu, schemat okablowania, który odzwierciedla oryginalny projekt, ale nie instalację powykonawczą, lub lista kontrolna instalacji podpisana, ale nie opatrzona datą: każdy z nich tworzy pytanie podczas przeglądu akceptacyjnego, na które zespół projektowy musi odpowiedzieć, zwykle pod presją czasu i bez osób, które wykonały pierwotną pracę nadal na miejscu.
IQ powinna zweryfikować, czy dostarczono kompletny pakiet dokumentacji i czy każdy dokument jest zatwierdzoną wersją, która odpowiada systemowi powykonawczemu. Obejmuje to listy kontrolne instalacji, zapisy z testów, schematy okablowania i wszelkie certyfikaty związane z materiałami lub przyrządami używanymi w instalacji. Załącznik 15 EudraLex ustanawia zasadę, zgodnie z którą kwalifikacja instalacji musi zawierać udokumentowane dowody - nie oznacza to, że wystarczy wykonać pracę, ale że dowody jej prawidłowego wykonania muszą istnieć i być identyfikowalne. Praktyczną implikacją jest to, że ustne potwierdzenie od sprzedawcy, że coś zostało przetestowane zgodnie ze standardową praktyką, nie spełnia wymagań IQ. To, co spełnia IQ, to podpisany protokół, skalibrowane dane przyrządu i zapis, który wiąże wynik z konkretną jednostką.
W przypadku systemów BIBO szczególnie ważne jest posiadanie zapisów kalibracji przyrządów dla wszelkich manometrów używanych podczas testów ciśnieniowych przed zamknięciem IQ. Jeśli manometr użyty podczas fabrycznego testu szczelności nie został skalibrowany lub jego certyfikat kalibracji nie został dołączony do pakietu obrotowego, wynik testu jest trudny do obrony jako ważny dowód, a nie kontrola kierunkowa.
Testy OQ przepływu powietrza, alarmów, szczelności i funkcji serwisowych
Kwalifikacja operacyjna polega na tym, że system musi wykazać, że działa poprawnie w zamierzonych warunkach użytkowania - nie, że jest poprawnie zainstalowany, ale że działa. Rozróżnienie to ma znaczenie, ponieważ system może być doskonale zainstalowany, a mimo to nie przejść kwalifikacji operacyjnej, jeśli jego parametry operacyjne nie zostały zweryfikowane podczas rzeczywistego użytkowania.
Kontrole najczęściej niedoprecyzowane w protokołach OQ dla systemów BIBO dzielą się na cztery obszary. Weryfikacja przepływu powietrza powinna potwierdzić, że profile prędkości i kierunek przepływu przez powierzchnię filtra są zgodne ze specyfikacją projektową, a nie tylko, że przepływ powietrza istnieje. Weryfikacja alarmów powinna potwierdzić, że każdy stan alarmowy wyzwala prawidłową reakcję i że alarm jest wykrywalny z pozycji roboczej operatora - a nie tylko, że obwód alarmowy jest okablowany. Integralność nieszczelności w OQ jest powtórzeniem testu fabrycznego w zainstalowanych warunkach i powinna generować własny zapis surowych danych, a nie polegać na wyniku FAT jako wystarczającym dowodzie. Weryfikacja funkcji serwisowej powinna obejmować pełne wykonanie zdefiniowanych sekwencji rozruchu i wyłączenia w takich samych warunkach, z jakimi system będzie miał do czynienia podczas normalnej pracy.
Norma ASTM E2500-22 jest tutaj przydatna jako odniesienie do ram testowania: wspiera ona zasadę, że działania weryfikacyjne powinny być z góry określone z kryteriami akceptacji, a wyniki powinny być udokumentowane w odniesieniu do tych kryteriów. Ramy te nie określają wartości zaliczenia/niezaliczenia specyficznych dla BIBO, ale ustanawiają oczekiwanie, że OQ jest zdefiniowanym i udokumentowanym ćwiczeniem, a nie nieformalnym spacerem. Tam, gdzie protokoły OQ są niejasne w odniesieniu do kryteriów akceptacji - stwierdzając, że przepływ powietrza powinien być “odpowiedni” zamiast określać zakres - tworzą dokładnie taki rodzaj niejednoznaczności, który staje się problemem podczas przeglądu akceptacyjnego.
Jedną z dalszych konsekwencji, którą łatwo przeoczyć: Wyniki OQ, które opierają się na ręcznej obserwacji bez skalibrowanego pomiaru, stwarzają później problem z dokumentacją. Jeśli przepływ powietrza został potwierdzony przez wyczucie lub przez nieskalibrowany przyrząd, zapis OQ może zadowolić lokalny zespół, ale nie organ dokonujący przeglądu. Wbudowanie skalibrowanego pomiaru w protokół OQ przed jego wykonaniem, a nie po.
Punkty próbne operatora często pomijane przed przekazaniem
Procedura rozładowania worka jest rutynową operacją o najwyższej stawce w systemie BIBO i prawie zawsze jest najmniej przećwiczona przed przekazaniem. W większości sekwencji uruchamiania protokół jest sprawdzany, sekwencja jest demonstrowana przez inżyniera uruchamiającego, a operatorom pokazuje się, gdzie znajduje się sprzęt. To nie jest próba - to obserwacja.
Różnica ma znaczenie, ponieważ sekwencja usuwania worków wymaga koordynacji między krokami fizycznymi, użyciem narzędzi, zarządzaniem ŚOI i czasem, z których wszystkie oddziałują inaczej w rzeczywistym środowisku zakładu niż w demonstracji. Operatorzy pracujący ze specyficznymi dla danego obiektu ŚOI - które mogą ograniczać przyczepność, widoczność lub zakres ruchu w inny sposób niż sprzęt używany podczas testów fabrycznych - mogą odkryć, że sekwencja jest fizycznie trudniejsza niż się wydawało, że narzędzie określone w SOP nie pasuje wygodnie do pozycji roboczej lub że założenia dotyczące czasu wbudowane w SOP nie sprawdzają się w rzeczywistych warunkach.
Nie są to hipotetyczne zagrożenia. Wzorzec, który powtarza się w praktyce, polega na tym, że pierwsza zmiana filtra na żywo ujawnia luki proceduralne, które nie zostały wychwycone podczas uruchomienia, ponieważ operatorzy nigdy nie wykonali sekwencji samodzielnie. W tym momencie system jest już w użyciu, zespół rozruchowy odszedł, a poprawki wymagają zmiany SOP, ponownego przeszkolenia, a czasem raportu o odchyleniu, jeśli luka dotyczyła zmiany, która została już zakończona.
Praktycznym zaleceniem jest zaplanowanie co najmniej jednej pełnej próby - przy użyciu rzeczywistych środków ochrony indywidualnej, narzędzi określonych w SOP i lokalnych założeń czasowych - przed podpisaniem przekazania. Próba powinna być obserwowana, a wszelkie odchylenia od pisemnej procedury powinny być wychwytywane, gdy zespół ds. uruchomienia jest nadal obecny, aby ocenić, czy SOP wymaga zmiany lub czy procedura wymaga dostosowania. Nie jest to domyślnie formalny etap kwalifikacji, ale jest to kontrola najbardziej bezpośrednio związana z zapobieganiem błędom podczas pierwszego użycia na żywo.
The Procedury instalacji i wytyczne dotyczące uruchomienia BIBO stanowią przydatne odniesienie do struktury sekwencji prób w odniesieniu do udokumentowanej procedury, w szczególności dla zespołów opracowujących SOP w terenie na podstawie podręcznika operacyjnego jednostki.
Pakiet zamknięcia uruchomienia wymagany do odbioru
Przegląd akceptacji to punkt, w którym dowody uruchomienia są oceniane pod kątem standardu, który miały spełniać. Jeśli pakiet zawiera wnioski bez danych potwierdzających, zostanie zakwestionowany. Jeśli zawiera dane bez zapisów kalibracji, dane zostaną zakwestionowane. Jeśli zawiera podpisane protokoły, które odnoszą się do kryteriów akceptacji niespełnionych w liczbach surowych, całe zamknięcie może zostać wstrzymane, podczas gdy zespół projektowy odtworzy, co się faktycznie wydarzyło.
Różnica między kompletnym a niekompletnym pakietem obrotów zwykle nie polega na brakujących wynikach testów, ale na brakującej jakości dowodów. Oświadczenie sprzedawcy, że urządzenie przeszło fabryczny test szczelności, to nie to samo, co podpisany protokół z udokumentowanym ciśnieniem testowym, zarejestrowanym czasem wstrzymania i załączonym certyfikatem kalibracji manometru. To pierwsze jest twierdzeniem, to drugie jest możliwym do obrony dowodem. W przypadku, gdy przegląd akceptacyjny obejmuje zespół ds. jakości, organ regulacyjny lub klienta, który nie był świadkiem testów, tylko ten drugi może przetrwać kontrolę.
| Element do uwzględnienia | Ryzyko w przypadku braku | Co należy potwierdzić w pakiecie |
|---|---|---|
| Surowe dowody i skalibrowane dane ze wszystkich testów (np. test szczelności) | Akceptacja jest opóźniana lub kwestionowana na podstawie “standardowych praktyk” zamiast udokumentowanych dowodów. | Dane pochodzą ze skalibrowanych przyrządów i podpisanych protokołów testowych (np. test szczelności przy 2500 Pa). |
| Listy kontrolne instalacji, protokoły testów i schematy okablowania | Tarcia powstają podczas obrotu z powodu niekompletnej dokumentacji na potrzeby operacyjne i zgodności. | Wszystkie dokumenty są zatwierdzonymi wersjami i odpowiadają systemowi powykonawczemu. |
Dokumenty w pakiecie powinny być powiązane z systemem powykonawczym, a nie tylko z oryginalnym projektem. Schematy okablowania, które pokazują zaprojektowaną konfigurację, ale nie zainstalowaną, lub listy kontrolne, które obejmują planowany zakres, ale nie zmiany zakresu dokonane podczas instalacji, tworzą niedopasowanie, które recenzenci mogą oznaczyć. Standardem, według którego EudraLex Annex 15 ocenia dokumentację kwalifikacyjną, jest to, czy dowody są kompletne i identyfikowalne - nie czy praca została wykonana, ale czy można wykazać, że została wykonana poprawnie.
Dla zespołów budujących swój plan uruchomienia od samego początku, Usługi zlecania przez Qualia Bio są zorganizowane wokół tworzenia udokumentowanych, skalibrowanych dowodów, które wspierają możliwy do obrony obrót - co ma największe znaczenie, gdy zespół ds. jakości klienta i definicja “kompletności” dostawcy nie są takie same.
Najważniejszą decyzją w procesie uruchamiania BIBO nie jest to, które testy należy przeprowadzić, ale kiedy je przeprowadzić i jakich dowodów wymagać. Kontrole odroczone od FAT do instalacji na miejscu stają się ryzykiem kwalifikacyjnym. Testy wykonywane bez skalibrowanych przyrządów lub podpisanych protokołów stają się przedmiotem sporów dotyczących odbioru. Próba operatora odroczona po przekazaniu staje się awarią operacyjną na żywo. Każdy z tych przypadków jest znany i można mu zapobiec, a każdy z nich wynika z traktowania uruchomienia jako sekwencji pól do zaznaczenia, a nie kontrolowanego procesu gromadzenia dowodów.
Przed zamknięciem jakiejkolwiek fazy uruchomienia należy zadać sobie pytanie, czy posiadany pakiet przetrwałby przegląd dokonany przez osobę, która nie była obecna podczas prac. Jeśli odpowiedź zależy od kontekstu, historii ustnej lub zaufania do standardowej praktyki dostawcy, pakiet nie jest kompletny. To, co przetrwa przegląd, to skalibrowane dane, podpisane protokoły, zatwierdzona dokumentacja dopasowana do systemu powykonawczego oraz dowody na to, że operatorzy wykonali krytyczną sekwencję serwisową w realistycznych warunkach.
Często zadawane pytania
P: Co zrobić, jeśli sprzedawca twierdzi, że jego fabryczny test szczelności został zakończony, ale nie może przedstawić podpisanego protokołu lub certyfikatu kalibracji miernika?
O: Odrzuć go jako niewystarczający dowód IQ. Ustne lub nieformalne potwierdzenie testu szczelności nie spełnia standardu dokumentacji wymaganego do obrony obrotu. Potrzebny jest podpisany protokół z zarejestrowanym ciśnieniem testowym i czasem wstrzymania oraz certyfikat kalibracji powiązany z konkretnym używanym przyrządem - a nie ogólne oświadczenie, że test został przeprowadzony zgodnie ze standardową praktyką. Jeśli sprzedawca nie może tego zapewnić, test należy powtórzyć w udokumentowanych warunkach, najlepiej przed opuszczeniem fabryki przez urządzenie.
P: W którym momencie oddelegowanie SAT do wykonawcy instalacji zamiast do zespołu właściciela staje się ryzykiem audytu?
O: Staje się to ryzykowne w momencie, gdy zapisy SAT nie odnoszą się do dokumentów projektowych zatwierdzonych przez właściciela. Dokumentacja SAT wygenerowana przez wykonawcę może dokładnie odzwierciedlać to, co zostało zainstalowane, ale jeśli została sporządzona na podstawie wewnętrznej listy kontrolnej wykonawcy, a nie rysunków projektowych właściciela, nie może wykazać zgodności z zamierzeniami projektowymi - co jest szczególnym wymogiem określonym w załączniku 15 EudraLex. Jeśli SAT został już ukończony w ten sposób, zespół właściciela powinien przeprowadzić niezależną weryfikację w oparciu o zatwierdzoną dokumentację projektową i udokumentować ją oddzielnie przed rozpoczęciem OQ.
P: Czy pozytywny wynik testu szczelności FAT przy ciśnieniu 2500 Pa oznacza, że test szczelności można pominąć podczas OQ?
Wynik FAT dokumentuje stan fabryczny; test szczelności OQ dokumentuje stan zainstalowany po obsłudze, transporcie i integracji z systemem kanałów. Są to odrębne stany i wymagają odrębnych dowodów. Protokół OQ, który odwołuje się do wyniku FAT jako wystarczającego bez generowania własnego rekordu surowych danych, zostanie zakwestionowany podczas przeglądu akceptacyjnego, szczególnie jeśli jakiekolwiek połączenia interfejsu zostały wykonane lub zmodyfikowane po wysyłce.
P: Jak zespół powinien postępować z protokołem OQ, który stwierdza, że przepływ powietrza powinien być “odpowiedni”, a nie określa liczbowego zakresu akceptacji?
O: Popraw kryterium akceptacji przed wykonaniem, a nie po. Niejasny kwalifikator, taki jak “odpowiedni”, nie może zostać zaliczony lub niezaliczony - można go jedynie zinterpretować, co oznacza, że zapis OQ nie przetrwa kontroli ze strony recenzenta jakości, który nie był obecny. Cofnij się do specyfikacji projektowej, aby zidentyfikować profil prędkości i wartości przepływu kierunkowego, które system miał spełniać, udokumentuj je jako kryteria akceptacji w protokole i potwierdź, że masz skalibrowany sprzęt pomiarowy, który może generować identyfikowalne wyniki w odniesieniu do tych wartości.
P: Czy próba operatora z użyciem środków ochrony indywidualnej na miejscu jest uznawana za formalny etap kwalifikacji, który musi znaleźć się w pakiecie zamknięcia?
Nie domyślnie, ale decyzja o wykluczeniu go z pakietu niesie ze sobą ryzyko. Jeśli próba wykaże, że pisemna procedura SOP nie może być przestrzegana zgodnie z dokumentacją w rzeczywistych warunkach - z powodu ograniczeń dotyczących środków ochrony indywidualnej, dopasowania narzędzi lub założeń czasowych - to ustalenie musi gdzieś trafić. Jeśli nie zostanie to uchwycone podczas obecności zespołu rozruchowego, pierwsza zmiana filtra na żywo stanie się de facto testem, a każdy wynikowy raport o odchyleniach będzie odnosił się do luki, którą można było zaobserwować podczas rozruchu, ale nie została zarejestrowana. Co najmniej obserwacja próbna i wszelkie dokonane w jej wyniku korekty SOP powinny zostać udokumentowane i odniesione w protokole przekazania.
