Lista kontrolna BSL-3/4 SAT dla systemów zintegrowanych: media, układy sterowania, alarmy, filtry HEPA, VHP i EDS

Zintegrowane systemy BSL-3/4 nie przechodzą testów SAT nie z powodu wadliwości poszczególnych komponentów, ale dlatego, że połączenia między nimi — instalacje użytkowe, układy sterowania, wywiew HEPA, doprowadzanie VHP oraz interfejsy EDS — nigdy nie zostały przetestowane w warunkach odzwierciedlających rzeczywiste funkcjonowanie budynku. W rezultacie często dochodzi do niestabilnego ciśnienia podczas pierwszego testu otwierania drzwi, cyklu VHP, który nie może zostać zakończony, ponieważ nigdy nie potwierdzono logiki pracy przepustnicy wywiewnej, lub rejestrów alarmów, których nie można powiązać z skalibrowanymi czujnikami. Usterki te można naprawić przed rozpoczęciem kwalifikacji; stają się one kosztowne po wydaniu dokumentacji IQ/OQ. Praktyczna ocena, którą wspiera ta lista kontrolna, polega na ustaleniu, które zintegrowane zachowania muszą wykazać pozytywne wyniki przed rozpoczęciem kwalifikacji, a które nierozwiązane kwestie mogą zostać przeniesione dalej tylko wtedy, gdy towarzyszy im udokumentowana, oparta na ryzyku decyzja.

Zainstalowane narzędzia w ramach kontroli gotowości SAT

Najczęstszą przyczyną późniejszych zastrzeżeń wobec wyników testów SAT jest fakt, że testy rozpoczęto, zanim zainstalowane instalacje osiągnęły wystarczającą stabilność, by zapewnić powtarzalne wyniki. Gdy ciśnienie zasilania jest niestabilne, przepływ wywiewany nie jest zrównoważony lub nadal stosowane są połączenia tymczasowe, nieudany test nie może być przypisany do ocenianego systemu — może on po prostu odzwierciedlać niedokończony stan budynku. Ta niejasność jest trudna do wyjaśnienia na późniejszym etapie, zwłaszcza gdy oczekuje się, że te same wyniki będą stanowić podstawę dokumentacji IQ.

Przed rozpoczęciem testu SAT należy sprawdzić rzeczywisty stan instalacji na poziomie interfejsu urządzenia, a nie opierać się na domysłach. Oznacza to sprawdzenie, czy natężenie i ciśnienie powietrza nawiewanego mieszczą się w zakresie, do obsługi którego skonfigurowano układy sterowania, czy przyłącza wywiewne są trwałe i wyważone, czy zasilanie elektryczne odpowiada wymaganiom obciążenia, pod kątem których sprzęt został przetestowany fabrycznie, oraz czy w punktach, w których będą rejestrowane dane, zainstalowano skalibrowane przyrządy. Należy również zapewnić zasilanie awaryjne i nadmiarowość wywiewu, a nie tylko je planować — testowanie działania systemu podczas symulowanej awarii zasilania ma sens tylko wtedy, gdy systemy rezerwowe są faktycznie podłączone.

Sprawdzenie szczelności powłoki stanowi część tej kontroli gotowości. Test SAT to pierwsza okazja do sprawdzenia połączeń, przejść, uszczelek drzwiowych, przejść technicznych i oszklenia w warunkach rzeczywistych. Wykrycie nieszczelnego przejścia lub uszczelki drzwiowej, która podczas montażu została ściśnięta w sposób niezgodny z normą, można na tym etapie łatwo naprawić. Odkrycie tego samego problemu podczas testów kaskadowych ciśnieniowych lub, co gorsza, podczas testów kwalifikacyjnych, zamienia drobną wadę konstrukcyjną w formalne odstępstwo, które wymaga udokumentowania przyczyny źródłowej i zmiany harmonogramu. Kontrola gotowości SAT nie jest formalnym warunkiem wstępnym; jest to praktyczna bariera, która decyduje o tym, czy wyniki kolejnych testów będą miały znaczenie.

Sprawdzenie elementów sterujących i alarmów przed przeprowadzeniem kwalifikacji wstępnej (IQ) i kwalifikacji operacyjnej (OQ)

Systemy regulacji ciśnienia, które działają zadowalająco w warunkach statycznych, mogą zachowywać się zupełnie inaczej podczas zakłóceń charakterystycznych dla normalnej pracy w laboratoriach BSL-3/4. Otwarte drzwi w przedpokoju, filtr, w którym zgromadziły się zanieczyszczenia między cyklami konserwacji, lub tymczasowa nierównowaga wywiewu podczas przerwy w zasilaniu mogą ujawnić słabe punkty logiki sterowania ciśnieniem, których kontrola przy jednym zadanym punkcie nigdy nie wykryje. Gdy te słabe punkty nie zostaną wykryte podczas testów SAT, zazwyczaj ujawniają się one podczas testów kwalifikacyjnych, gdzie nieudany test przywrócenia ciśnienia jest formalnym zdarzeniem mającym konsekwencje dla harmonogramu i dokumentacji.

Weryfikacja elementów sterujących i alarmów powinna wykraczać poza sprawdzanie, czy wartości zadane są poprawnie zaprogramowane. Logika reakcji dynamicznej — w tym sekwencjonowanie progów alarmowych, przełączanie rezerwowe oraz zdolność systemu do przywrócenia stanu bezpieczeństwa po wystąpieniu zakłócenia — musi zostać zweryfikowana w warunkach zakłóceń, a nie tylko w stanie ustalonym. W tym miejscu należy również zwrócić uwagę na integrację z systemem BMS: jeśli sygnały alarmowe nie są prawidłowo przypisane do warstwy zarządzania budynkiem lub jeśli hierarchia priorytetów nie odpowiada protokołowi reakcji zakładanemu dla obiektu, luki te nie będą widoczne, dopóki nie wystąpi rzeczywiste zdarzenie alarmowe. Norma ASTM E2500-25, która zapewnia oparte na nauce i ryzyku ramy specyfikacji i weryfikacji systemów produkcji farmaceutycznej, wspiera zasadę, że integracja między systemami sterowania powinna być weryfikowana w odniesieniu do zdefiniowanych wymagań funkcjonalnych, a nie wnioskowana wyłącznie na podstawie arkuszy specyfikacji sprzętu.

W praktyce oznacza to, że weryfikacja elementów sterujących i alarmów podczas testów SAT stanowi ostatni etap, na którym logika dostawcy może zostać poddana weryfikacji i zmodyfikowana bez konieczności tworzenia formalnego zapisu zmiany w odniesieniu do zakwalifikowanego systemu. Po zakończeniu testów IQ/OQ każda modyfikacja progów alarmowych, blokad lub mapowania systemu BMS stanowi zatwierdzoną zmianę w systemie. Zespoły, które odkładają weryfikację elementów sterujących do etapu kwalifikacji, często stwierdzają, że koszt pojedynczej zmiany logiki — w zakresie dokumentacji, ponownego testowania i harmonogramu — przewyższa koszt rozwiązania tego samego problemu podczas SAT.

Zapisy dotyczące interfejsów HEPA, VHP i EDS

Systemy HEPA, VHP i EDS są często traktowane jako odrębne etapy prac uruchomieniowych, jednak ich powiązania z tą samą powłoką budynku powodują wzajemne zależności, które należy zweryfikować łącznie podczas testów SAT. Na przykład obudowa HEPA, która została zainstalowana bez potwierdzenia dostępu do testu integralności filtra, może wymagać częściowego demontażu przed przeprowadzeniem pierwszego testu skanowania — co przekształca rutynowy etap uruchomienia w modyfikację mechaniczną, która opóźnia całą sekwencję kwalifikacji. Bag-in Bag-out Konstrukcja obudowy filtra uwzględnia tę kwestię, jednak połączenie między obudową, kanałem wylotowym a systemem regulacji ciśnienia w pomieszczeniu nadal wymaga weryfikacji na miejscu podczas testów SAT.

Zgodność z VHP wymaga czegoś więcej niż tylko potwierdzenia, że generator dostarczył określone stężenie nadtlenku wodoru podczas testów FAT. Na miejscu instalacji należy sprawdzić, czy materiały powierzchniowe, uszczelki, uszczelnienia drzwi, obudowy czujników oraz wszelkie elementy przejściowe zamontowane podczas budowy są odporne na wielokrotne narażenie na działanie VHP. Degradacja materiałów spowodowana działaniem VHP ma charakter kumulacyjny i zazwyczaj nie jest widoczna, dopóki uszczelka nie ulegnie uszkodzeniu lub powierzchnia nie stanie się trudna do czyszczenia. A Generator nadtlenku wodoru VHP może zapewnić stabilne cykle, ale jeśli w konstrukcji pomieszczenia znajdują się elementy, które zostały wymienione podczas budowy bez sprawdzenia ich zgodności, wyniki dystrybucji VHP w końcu staną się niestabilne. Norma ISO 14644-3:2019, która reguluje metody badań pomieszczeń czystych, w tym badania szczelności instalacji filtrów, stanowi ramy odniesienia dla metodologii badania integralności filtrów HEPA; kompatybilność z VHP oraz cyfrowa identyfikowalność EDS to odrębne obszary weryfikacji, które wykraczają poza jej zakres.

Zapisy z interfejsu EDS pełnią określoną funkcję audytową, która jest często niedoceniana podczas testów SAT. Dzienniki zdarzeń, zintegrowane monitorowanie ciągłości oraz dane dotyczące trendów z systemu EDS będą prawdopodobnie sprawdzane podczas inspekcji regulacyjnych jako dowód, że proces odkażania odpadów płynnych funkcjonował prawidłowo przez cały okres kwalifikacji. Jeśli zapisy te nie są zorganizowane w sposób umożliwiający cyfrową identyfikowalność od momentu rozpoczęcia SAT, trudno jest z wypełnić tę lukę z mocą wsteczną.

Brak dokumentacji dotyczącej interfejsów nie powoduje przede wszystkim opóźnienia w uzyskaniu certyfikatu — stanowi to problem z punktu widzenia możliwości obrony przed ewentualnymi roszczeniami. Inspektor, który prosi o podstawę uruchomienia wyników skanowania integralności HEPA, mapy dystrybucji VHP lub dziennika zdarzeń EDS z początku okresu kwalifikacji, prosi o dowody, które powinny były zostać zebrane podczas SAT. Jeśli dokumentacja ta nie została zorganizowana w sposób umożliwiający udzielenie odpowiedzi na to pytanie, ta luka będzie wymagała formalnego wyjaśnienia.

Wspólna lista zadań do wykonania dla dostawcy i zespołów obiektu

Gdy zespoły dostawcy i zakładu działają w oparciu o odrębne listy zadań do wykonania, pozycje przypisane jednej ze stron często pozostają nieznane drugiej stronie, dopóki nie ujawni ich konflikt terminów. W rezultacie kluczowe dla walidacji etapy — zakończenie prób ciśnieniowych, przekazanie elementów sterujących, zatwierdzenie kwalifikacji mediów — traktowane są jako zamknięcie wewnętrznych procesów, a nie jako wspólne etapy kontrolne. Zanim oba zespoły spróbują uzgodnić swoje zapisy przed IQ, rozstrzygnięcie rozbieżności w kryteriach akceptacji, stronach odpowiedzialnych i statusie pozycji może zająć więcej czasu niż sama realizacja tych pozycji.

Etap przetargowy to odpowiedni moment na ustanowienie wspólnej struktury odpowiedzialności. Wymaganie od oferentów, aby podczas oceny ofert – jeszcze przed udzieleniem zamówienia – wskazali pozycje wymagające długiego czasu realizacji, zależności lokalizacyjne oraz kamienie milowe o kluczowym znaczeniu dla walidacji, sprawia, że założenia dotyczące harmonogramu stają się jawne, a nie domyślne. Macierz odpowiedzialności, która przypisuje obowiązki w zakresie projektowania, produkcji, instalacji, sterowania i uruchomienia konkretnym stronom, daje obu zespołom punkt odniesienia, który mogą wykorzystać do rozwiązywania sporów bez renegocjowania zakresu. W przypadku złożonych systemów zintegrowanych struktura ta nie jest formalnością administracyjną; jest to mechanizm, który decyduje o tym, czy SAT może zostać przeprowadzone jako wspólne działanie oparte na wspólnie uzasadnionych dokumentach. Więcej szczegółów na temat typowej struktury punktów przekazania podczas uruchomienia można znaleźć w Przewodnik krok po kroku dotyczący uruchomienia laboratorium klasy BSL-3.

Dokumenty dotyczące odbioru przed testem SAT powinny określać kryteria akceptacji, które oba zespoły mogą wykorzystać do oceny tego samego wyniku. Ogólne sformułowania — takie jak “system działa zgodnie ze specyfikacją” lub “elementy sterujące działają prawidłowo” — nie mogą stanowić podstawy do podjęcia decyzji o zakwalifikowaniu lub odrzuceniu, gdy wynik jest niejednoznaczny. Jedyne pozycje z listy zadań do wykonania, które można przenieść jako kontrolowane pozycje otwarte, to te, w przypadku których oba zespoły uzgodniły kryteria, odnotowały rzeczywisty wynik i udokumentowały podstawę ryzyka dla odroczenia. Pozycje, dla których nigdy nie zdefiniowano kryteriów, nie mogą zostać zamknięte, odroczone ani rozstrzygnięte; można jedynie dyskutować na ich temat.

Rozstrzygnięcie spraw otwartych przed rozpoczęciem kwalifikacji

Decyzja dotycząca klasyfikacji – ustalenie, które nierozstrzygnięte pozycje SAT faktycznie stanowią przeszkodę, a które można przenieść jako pozycje otwarte podlegające kontroli – jest punktem, w którym proces zintegrowanej kwalifikacji systemu najczęściej niepotrzebnie ulega zablokowaniu lub przebiega przy milczącym ryzyku. Zespoły, które stosują ogólne wstrzymanie działań do czasu wyjaśnienia wszystkich kwestii, tracą czas na pozycje, które w żadnym wypadku nie mogą wpłynąć na wyniki kwalifikacji. Zespoły, które przenoszą pozycje do kolejnego etapu bez udokumentowanego rozstrzygnięcia, tworzą dokumentację kwalifikacyjną, która nie wytrzyma przeglądu dokumentów, w którym zostanie zadane pytanie, w jaki sposób każda otwarta pozycja została oceniona przed rozpoczęciem IQ.

Podstawą decyzji dotyczących rozstrzygnięcia jest pakiet dokumentacji projektowej. Jeśli dokumenty podstawy projektowej jasno określają przeznaczenie, filozofię sterowania oraz założenia konfiguracyjne, a dokumentacja powykonawcza odzwierciedla zatwierdzone zmiany wraz z identyfikowalnymi harmonogramami komponentów, wówczas każdą otwartą pozycję można ocenić w odniesieniu do znanego stanu bazowego. Kwestia ma charakter blokujący, jeśli jej rozwiązanie wpływa na zachowanie systemu, które będzie testowane podczas IQ lub OQ. Można ją przenieść jako kontrolowaną kwestię otwartą, jeśli można ją ograniczyć, przypisać, zaplanować i potwierdzić, że nie wpłynie na zakres testów dla następnego etapu kwalifikacji. Ocena ta wymaga istnienia dokumentacji; nie można jej dokonać w sposób wiarygodny w przypadku jej braku. Załącznik 15 do tomu 4 EudraLex, który dotyczy zasad kwalifikacji i walidacji, w tym dokumentacji projektowej i identyfikowalności zmian, potwierdza szerszą zasadę, zgodnie z którą zamierzenia projektowe i dokumentacja powykonawcza muszą być wystarczająco kompletne, aby wspierać kolejne działania kwalifikacyjne — chociaż konkretny przebieg pracy przy rozstrzyganiu otwartych pozycji BSL-3/4 jest raczej kwestią oceny inżynierskiej niż ściśle określoną procedurą.

Dyscyplina w zakresie dokumentacji dostawcy stanowi wiarygodny wczesny wskaźnik tego, jak przebiegnie ten etap. Dostawca, który z opóźnieniem dostarczył dokumentację projektową, który nieformalnie rejestrował odchylenia podczas testów FAT lub który traktował zarządzanie zmianami jako wewnętrzną funkcję administracyjną w trakcie produkcji, prawdopodobnie wykazuje te same schematy w dokumentacji SAT. Ten schemat ma znaczenie, ponieważ niekompletne lub niejednoznaczne zapisy SAT nie są jedynie niedogodnością na etapie rozstrzygania — stają się one formalną podstawą, na której podejmowane są decyzje dotyczące kwalifikacji, a luk w nich nie da się naprawić z mocą wsteczną bez generowania nowych zapisów, które audytorzy będą dokładnie analizować.

Próg SAT dla zatwierdzenia systemu zintegrowanego

Brak jednolitych krajowych norm dotyczących projektowania, uruchamiania i eksploatacji laboratoriów o wysokim stopniu bezpieczeństwa – luka wskazana w przeglądzie GAO z 2013 roku – stanowi praktyczny powód, dla którego kryteria odbioru w protokole SAT muszą być jasno określone przez zespół projektowy, a nie przejmowane z ogólnych szablonów zgodności. Gdy zarówno dostawca, jak i zakład opierają się na wewnętrznie spójnych, ale wzajemnie różniących się interpretacjach “akceptowalnej wydajności”, dokumentacja SAT odzwierciedla porozumienie, które w rzeczywistości nigdy nie zostało osiągnięte. Ten problem dokumentacyjny staje się problemem kwalifikacyjnym, gdy inspektor pyta, na podstawie jakich kryteriów system został zaakceptowany, a oba zespoły udzielają różnych odpowiedzi.

Potwierdzenie działania kaskady ciśnieniowej stanowi najwyraźniejszy przykład sytuacji, w której konkretne wartości liczbowe mają większe znaczenie niż ogólne stwierdzenia. Określenie, że w pomieszczeniu musi być utrzymywana nominalna różnica ciśnień w ramach określonego przedziału tolerancji oraz że po zakłóceniu spowodowanym otwarciem drzwi ciśnienie musi powrócić do wartości mieszczących się w tym przedziale w określonym czasie, pozwala uzyskać kryterium, które można poddać testom. Stwierdzenie, że system musi “utrzymywać podciśnienie”, nie jest wystarczające. Ta sama logika ma zastosowanie do zachowania w trybie awaryjnym: protokół akceptacji powinien wykazać, że po wystąpieniu awarii wentylatora nawiewnego sekwencja alarmowa została uruchomiona w prawidłowej kolejności, ścieżka redundantna została aktywowana w określonym przedziale czasu, a ciśnienie w pomieszczeniu pozostało w zakresie izolacji przez cały czas trwania przejścia. Jeśli test ten nie został przeprowadzony, zachowanie w trybie awaryjnym jest nieznane — a wynik kwalifikacji, który następuje po nim, opiera się na założeniu, a nie na wykazaniu.

Lista kontrolna uruchomienia systemu BIBO obejmująca Często pomijane kwestie dotyczące wskaźników FAT, SAT, IQ i OQ wskazuje na kilka luk w kryteriach akceptacji, które powtarzają się szczególnie na etapie przejścia z SAT do IQ, co jest zgodne z ogólną tendencją: ogólne sformułowania dotyczące akceptacji zazwyczaj przechodzą weryfikację wewnętrzną, ale nie spełniają wymagań kontroli zewnętrznej, ponieważ weryfikatorzy wewnętrzni znają zamierzone intencje, podczas gdy kontrolerzy mogą oceniać jedynie to, co zostało zapisane.

Decyzje decydujące o tym, czy zintegrowany system BSL-3/4 przejdzie pomyślnie proces kwalifikacji, nie są podejmowane podczas kwalifikacji funkcjonalnej (IQ) ani operacyjnej (OQ) — podejmuje się je podczas testów akceptacyjnych (SAT), a większość z nich zależy od tego, jak dobrze zdefiniowano kryteria akceptacji przed rozpoczęciem testów. Lista kontrolna obejmująca gotowość mediów, dynamiczną reakcję ciśnienia, zapisy dotyczące interfejsów HEPA i VHP, identyfikowalność EDS oraz integrację alarmów stanowi wspólny punkt odniesienia zarówno dla dostawcy, jak i zespołów zakładu. Jednak lista kontrolna pełni funkcję punktu decyzyjnego tylko wtedy, gdy każda pozycja na niej zawiera mierzalne kryterium i wskazuje konkretną osobę odpowiedzialną.

Przed przystąpieniem do kwalifikacji należy przeprowadzić prostą weryfikację praktyczną: każda kluczowa pozycja SAT musi albo posiadać potwierdzenie zgodności z określonym kryterium, albo być opatrzona pisemną decyzją opartą na ocenie ryzyka, zatwierdzoną przez oba zespoły. Elementów, dla których kryterium nigdy nie zostało sformułowane, nie można zakwalifikować; można je jedynie odroczyć do okresu kwalifikacji, gdzie ich rozwiązanie będzie wiązało się z większymi kosztami w zakresie dokumentacji, ponownego testowania i harmonogramu niż rozwiązanie ich teraz.

Często zadawane pytania

Pytanie: Czy można rozpocząć prace SAT, jeśli tylko niektóre instalacje są już gotowe, a inne są wciąż dopracowywane na miejscu?
O: Nie — częściowa gotowość instalacji technicznych powoduje, że wyniki testów nie mogą być wiarygodnie przypisane do ocenianego systemu. Jeśli przed rozpoczęciem testów przepływ powietrza nawiewanego i wywiewanego lub zasilanie elektryczne nie mają jeszcze stałej, stabilnej konfiguracji, negatywny wynik może wynikać raczej z niedokończonego stanu budynku niż z wadliwości systemu. Ta niejasność jest trudna do wyjaśnienia po sporządzeniu protokołu, zwłaszcza gdy ta sama dokumentacja ma stanowić podstawę wskaźnika IQ. Wszystkie interfejsy mediów powinny zostać potwierdzone w punkcie podłączenia urządzeń przed rozpoczęciem testów SAT.

Pytanie: Po zamknięciu egzaminu SAT, jaki jest najbliższy krok, który należy podjąć, zanim będzie można rozpocząć proces dokumentacji IQ?
O: Najbliższym krokiem jest formalne rozstrzygnięcie otwartych pozycji — każda pozycja SAT musi zostać zakwalifikowana jako zgodna z określonymi kryteriami lub otrzymać pisemne rozstrzygnięcie oparte na ocenie ryzyka, zatwierdzone zarówno przez dostawcę, jak i zespoły zakładu. Dokumentacja IQ nie może zostać rozpoczęta przed zakończeniem tego przeglądu, ponieważ podstawy projektowe i dokumentacja powykonawcza wykorzystywane do oceny otwartych pozycji są tą samą dokumentacją, na której IQ będzie się opierać w celu ustalenia podstawy kwalifikacji. Próba rozpoczęcia IQ, gdy klasyfikacja pozycji blokujących i przenoszalnych jest nadal nierozstrzygnięta, wprowadza niejasności do dokumentacji kwalifikacyjnej, które z mocą wsteczną trudno jest skorygować.

Pytanie: W jakich okolicznościach wskazówki zawarte w niniejszej liście kontrolnej przestają mieć zastosowanie — na przykład w przypadku obiektu klasy BSL-3, który jest modułowy lub prefabrykowany, a nie budowany na miejscu?
O: Zasady dotyczące listy kontrolnej pozostają aktualne, ale zmieniają się warunki brzegowe. W przypadku modułowego lub prefabrykowanego systemu BSL-3 znaczna część testów integracyjnych mogła zostać przeprowadzona w fabryce, co pozwala skrócić niektóre etapy testów SAT. Jednak interfejsy, które są ustanawiane dopiero na miejscu — podłączenia mediów, wyważenie wywiewu do infrastruktury budynku, mapowanie alarmów BMS i integracja EDS — nie mogą być zweryfikowane podczas FAT i pozostają w zakresie SAT, niezależnie od tego, jak wiele zostało wstępnie zintegrowane. Próg SAT nie zmniejsza się; dostosowuje się on do interfejsów, które są rzeczywiście nowe w momencie instalacji.

Pytanie: Czy w przypadku systemu SAT o zintegrowanym poziomie bezpieczeństwa BSL-3/4 konieczny jest udział zewnętrznego podmiotu przeprowadzającego odbiory, czy też zespoły dostawcy i placówki mogą dokonać samodzielnej certyfikacji?
O: Samocertyfikacja jest możliwa, ale wiąże się z pewnym ryzykiem: gdy ten sam zespół, który skonfigurował system, zatwierdza również własne protokoły SAT, wspólna lista zadań do wykonania oraz decyzje dotyczące rozstrzygnięć mogą nie zostać poddane niezależnej weryfikacji. W praktyce może to prowadzić do sytuacji, w której kryteria odbioru będą dostosowywane do tego, co system jest w stanie wykazać, a nie do wymagań projektowych. To, czy zaangażowanie zewnętrznego agenta ds. uruchomienia jest uzasadnione, zależy od ekspozycji obiektu na regulacje oraz złożoności interfejsów BMS i blokad — jednak co najmniej kryteria akceptacji i decyzje dotyczące usunięcia nieprawidłowości powinny być weryfikowane przez osobę, która nie ma motywacji czasowej do szybkiego zamykania pozycji.

Pytanie: W jaki sposób zespoły powinny rozważyć koszty związane z rozwiązaniem wszystkich zadań SAT przed testem IQ w kontekście presji terminowej związanej z wcześniejszym rozpoczęciem kwalifikacji?
O: To porównanie nie jest symetryczne. Usunięcie luki w logice sterowania lub błędu mapowania alarmów podczas testów SAT wiąże się z nakładem czasu inżynierów oraz koniecznością sporządzenia poprawionego protokołu testowego. Natomiast rozwiązanie tego samego problemu po zakończeniu kwalifikacji operacyjnej (IQ) powoduje wszczęcie formalnej procedury kontroli zmian, wymaga ponownego przetestowania w odniesieniu do zakwalifikowanej wersji bazowej oraz skutkuje sporządzeniem protokołu odchylenia, który będzie widoczny podczas kontroli organów regulacyjnych. W przypadku elementów, które mają wpływ na jakiekolwiek zachowanie testowane podczas IQ lub OQ — reakcja kaskadowa ciśnienia, sekwencja alarmów trybu awaryjnego, logika zakończenia cyklu VHP — wczesne rozwiązanie jest zawsze tańszą opcją. Argumenty dotyczące harmonogramu dotyczące przeniesienia tych elementów na później mają zastosowanie tylko wtedy, gdy udokumentowana decyzja oparta na ryzyku pozwala wiarygodnie argumentować, że nierozwiązany element nie może wpłynąć na zakres testów kwalifikacyjnych.