Obiekty, które przechodzą kontrolę fizycznego zabezpieczenia, ale rozpoczynają eksploatację z nieprzetestowaną dokumentacją kontroli, nie są w pełni oddane do użytku — stanowią one odroczone ryzyko. Gdy dochodzi do zdarzenia związanego z zabezpieczeniem, a dzienniki alarmów są niekompletne, gdy uruchamia się blokada, ale nie można prześledzić działań operatora, lub gdy istnieją dane z systemu zarządzania budynkiem (BMS), ale nikt nie ustalił, które zapisy miały kluczowe znaczenie, obiekt nie ma uzasadnionej pozycji w przypadku audytu. Konsekwencje nie są abstrakcyjne: to wymuszona rekonstrukcja zdarzenia po fakcie, narażenie na sankcje regulacyjne, a w niektórych jurysdykcjach – wstrzymanie działalności na czas gromadzenia dowodów z mocą wsteczną. Sposobem na uniknięcie tego jest ustalenie, przed podpisaniem protokołu odbioru, które funkcje kontrolne wpływają na stan zabezpieczenia oraz czy każda z nich ma zaobserwowaną reakcję i powiązany z nią dostępny zapis. Poniższe informacje pomogą Państwu odróżnić dowody dotyczące krytycznych środków kontroli od ogólnych danych monitorujących, sprawdzić granice, które większość zespołów uruchamiających odsuwa na bok, oraz zdefiniować, co faktycznie oznacza „gotowość do audytu”, zanim zrobi to za Państwa inspektor.
Sekwencje sterujące, które mają wpływ na stan zabezpieczenia
Nie każda zautomatyzowana funkcja sterowania w obiekcie klasy BSL-3 lub BSL-4 ma takie same konsekwencje w przypadku cichej awarii. Sekwencje, które bezpośrednio regulują stan izolacji — kierunek przepływu powietrza, utrzymywanie różnicy ciśnień, logika blokady drzwi oraz uruchamianie urządzeń do odkażania — wymagają zweryfikowanych dowodów odbioru. Inne, takie jak harmonogramy oświetlenia lub ogólne monitorowanie mediów, nie wymagają takich dowodów. Brak wyznaczenia tej granicy przed rozpoczęciem uruchomienia jest jednym z najczęstszych błędów planistycznych w pracach związanych z systemami sterowania w laboratoriach BSL, ponieważ skutkuje to powstaniem dokumentacji odbiorczej, która obejmuje testy wielu elementów, ale nie jest w stanie wykazać, że krytyczne sekwencje zostały zachowane w warunkach testowych.
Weryfikacja kierunku przepływu powietrza zasługuje na szczególną uwagę jako zaplanowane działanie w ramach odbioru technicznego podczas uruchamiania laboratoriów BSL-3 i BSL-4, a nie jako formalność przejęta z kwalifikacji systemu HVAC. Nie chodzi tu jedynie o to, by przepływ powietrza osiągał wartość zadaną w warunkach stanu ustalonego — chodzi o to, by sekwencja sterowania utrzymywała kierunek przepływu podczas zdarzeń przejściowych: otwierania drzwi, modulacji systemu wywiewnego oraz zmian ciśnienia w sąsiednich pomieszczeniach. Niezweryfikowana sekwencja przepływu powietrza może wydawać się zgodna z wymaganiami na podstawie pojedynczego pomiaru, a jednocześnie nie zapewniać utrzymania kierunku izolacji podczas przejść operacyjnych, które mają największe znaczenie. Ryzyko uwolnienia aerozoli w środowiskach BSL-3 i BSL-4 jest ściśle związane właśnie z tymi stanami przejściowymi, a nie ze stanem ustalonym. Podręcznik bezpieczeństwa biologicznego w laboratoriach WHO (4. wydanie) stanowi użyteczną podstawę odniesienia dla założeń projektowych dotyczących izolacji, a działania związane z odbiorem powinny być zorganizowane w taki sposób, aby wykazać, że zainstalowana sekwencja sterowania zachowuje te założenia w realistycznych warunkach przejściowych, a nie tylko w warunkach znamionowych.
W przypadku obiektów, w których uruchamiane są połączone ze sobą urządzenia zabezpieczające — izolatory, systemy przelotowe, komory bezpieczeństwa biologicznego — zakres testów sekwencyjnych musi uwzględniać pracę równoczesną. Każde urządzenie posiada niezależny system wywiewu, a skumulowane obciążenie systemu wywiewu pomieszczenia podczas jednoczesnej pracy stanowi scenariusz, w którym najczęściej ujawniają się niedostatecznie zweryfikowane zachowania sekwencji. Odbiór powinien potwierdzić, że sekwencje sterujące regulujące priorytet wywiewu, przywracanie zadanej wartości ciśnienia oraz wyzwalanie alarmów pozostają stabilne, gdy wiele urządzeń działa jednocześnie, a nie tylko podczas indywidualnego testowania każdego z nich.
Rejestry danych z PLC, HMI i BMS
Zapisy generowane przez systemy PLC, HMI i BMS podczas uruchamiania pełnią dwie odrębne funkcje, które często są ze sobą mylone: stanowią zarówno dane operacyjne, jak i przyszłe dowody audytowe. Traktowanie ich wyłącznie jako danych operacyjnych — przydatnych do rozwiązywania problemów, ale nieuporządkowanych pod kątem późniejszego wyszukiwania — powoduje powstanie luki, która ujawnia się podczas kontroli, a nie w trakcie uruchamiania. EudraLex, tom 4, załącznik 11, wyraźnie określa tę kwestię: systemy komputerowe muszą generować zapisy, które są kompletne, dokładne i możliwe do odzyskania, a zasada ta ma zastosowanie do zapisów kontrolnych związanych z funkcjami o krytycznym znaczeniu dla bezpieczeństwa biologicznego, niezależnie od tego, czy funkcje te występują w kontekście produkcji farmaceutycznej, czy w kontekście obiektu BSL, gdzie podobne wymagania regulują kwestię zapisów elektronicznych.
Szczególnym problemem związanym z wdrożeniem w obiektach BSL jest dokumentacja dotycząca wentylacji i klimatyzacji (HVAC) w warunkach równoczesnego obciążenia urządzeń. Jeśli w obiekcie jednocześnie eksploatowane są szafy bezpieczeństwa biologicznego, izolatory lub inne urządzenia zabezpieczające generujące przepływ powietrza wywiewanego, zapisy systemu BMS muszą umożliwiać wykazanie, że system wywiewu został odpowiednio zwymiarowany i działał prawidłowo w warunkach takiego łącznego obciążenia. System wentylacyjny, który jest odpowiednio dobrany pod kątem samego pomieszczenia, ale niedostatecznie wydajny w przypadku pomieszczenia wraz ze wszystkimi aktywnymi urządzeniami izolacyjnymi, stanowi rzeczywiste zagrożenie dla bezpieczeństwa biologicznego — i jest to zagrożenie, które może nie ujawnić się, dopóki zapisy systemu BMS nie wskażą odchylenia ciśnienia podczas jednoczesnej pracy. Dokumentowanie wydajności wentylacyjnej wyłącznie w odniesieniu do obciążenia projektowego pomieszczenia, bez uwzględnienia wkładu wentylacyjnego urządzeń izolacyjnych, sprawia, że zagrożenie to pozostaje niewidoczne w dokumentacji uruchomieniowej.
Rejestry danych z interfejsu HMI podlegają odrębnemu obowiązkowi dokumentacji. Interakcje operatorów ze stanami sterowania — zmiany wartości zadanych, potwierdzenia alarmów, wybór trybów pracy — muszą być rejestrowane z wystarczającą szczegółowością, aby umożliwić odtworzenie przebiegu wydarzeń podczas każdego zdarzenia mającego znaczenie dla bezpieczeństwa obudowy reaktora. Nie chodzi tu o nadzór nad operatorami, lecz o zapewnienie, że zapis działań operatora istnieje niezależnie od jego pamięci, gdy wymaga tego dochodzenie w sprawie przyczyny źródłowej. Zakłady, które polegają na ręcznych dziennikach w celu uzupełnienia skąpych zapisów z interfejsu HMI, często odkrywają pod presją kontroli, że wpisy w dziennikach nie pokrywają się z sygnaturami czasowymi zdarzeń w rejestrze systemowym. W praktyce oznacza to, że konfiguracja rejestrowania danych z interfejsu HMI powinna zostać sprawdzona podczas odbioru, a nie uznawana za odpowiednią tylko dlatego, że system działa.
W przypadku projektów dotyczących systemów zabezpieczających z wbudowanymi układami sterowania należy ocenić, w jaki sposób system zarządzania budynkiem (BMS) współpracuje z konkretnymi urządzeniami zabezpieczającymi — takimi jak Modułowe systemy laboratoryjne klasy BSL-3/BSL-4 — uwzględnienie tego na wczesnym etapie planowania uruchomienia pozwala określić, które zapisy są generowane przez obiekt, a które pochodzą z poziomu urządzeń, co z kolei decyduje o tym, w jaki sposób należy skompletować pakiety dowodowe.
Sprawdzanie stanu alarmu i pobieranie zdarzeń
Testy alarmów w ramach kontroli akceptacyjnych BSL często kończą się na potwierdzeniu, że alarm się uruchamia. To niewłaściwy punkt końcowy. Kwestią decydującą o akceptacji nie jest to, czy alarm się uruchamia, ale czy reakcja na alarm jest widoczna, a zapis zdarzenia można odzyskać po fakcie. Alarm, który uruchamia się poprawnie, ale nie rejestruje żadnych użytecznych informacji lub rejestruje je w magazynie danych niedostępnym dla zespołu odpowiedzialnego za badanie przyczyn źródłowych, nie ma żadnej wartości audytowej ani operacyjnej w przypadku wystąpienia rzeczywistego zdarzenia wymagającego podjęcia działań ograniczających.
Alarmy podciśnienia stanowią kategorię o największych konsekwencjach w obiektach klasy BSL-3 i BSL-4. Gdy różnica ciśnień spadnie poniżej progu bezpieczeństwa, alarm musi zostać uruchomiony, a zapis tego zdarzenia w systemie BMS — obejmujący sygnaturę czasową, wartość zadaną w momencie alarmu, wartość zmierzoną oraz późniejsze działania operatora — musi być dostępny jako odrębne zdarzenie, a nie odtworzony na podstawie danych trendowych. To rozróżnienie ma znaczenie: dane trendowe pokazują, jak zmieniała się wartość pomiarowa w czasie, natomiast zapis zdarzenia pokazuje, że stan alarmowy został wywołany, potwierdzony i usunięty w sposób umożliwiający prześledzenie sekwencji zdarzeń. Bez takiej struktury rejestru zdarzeń analiza przyczyn źródłowych po incydencie związanym z ograniczeniem ryzyka wymaga rekonstrukcji kryminalistycznej, a nie po prostu odzyskania danych, co jest pozycją nie do obrony podczas inspekcji, w trakcie której organ regulacyjny pyta, czy systemy sterowania obiektu działały zgodnie z projektem. Załącznik 11 do EudraLex popiera zasadę, że zdarzenia alarmowe w systemach komputerowych muszą być rejestrowane w sposób umożliwiający rekonstrukcję stanu systemu — zasada ta ma bezpośrednie zastosowanie w tym przypadku.
Praktycznym testem przeprowadzanym podczas odbioru jest odtworzenie alarmu w symulowanej sytuacji awaryjnej: należy wywołać odchylenie ciśnienia, potwierdzić uruchomienie alarmu, a następnie odtworzyć zapis zdarzenia z systemu BMS tak, jak miałoby to miejsce podczas rzeczywistego dochodzenia. Jeśli odtworzenie to wymaga udziału wyspecjalizowanego operatora, niestandardowego dostępu do systemu lub ręcznego pozyskiwania danych, zależności te należy udokumentować jako ryzyka operacyjne przed zatwierdzeniem odbioru. Obiekty, które podczas uruchamiania nie są w stanie wykazać rutynowej ścieżki odzyskiwania danych dotyczących krytycznych zdarzeń alarmowych, zazwyczaj nie są w stanie niezawodnie przeprowadzić takiego odzyskiwania w sytuacji stresowej po wystąpieniu zdarzenia.
Jedną z często pomijanych kategorii alarmów jest stan zakończenia cyklu pracy urządzeń do dekontaminacji. Systemy przepływowe z wykorzystaniem pary wodorowej (VHP) oraz urządzenia do dekontaminacji pomieszczeń generują alarmy w przypadku niepowodzenia cyklu, odchylenia parametrów lub niekompletnej weryfikacji — a zdarzenia te muszą stanowić część tej samej struktury rejestru, z której można pobrać dane, co alarmy dotyczące ciśnienia i przepływu powietrza. Testowanie wyłącznie łańcucha alarmów dotyczących systemu HVAC i ciśnienia przy jednoczesnym odkładaniu na później weryfikacji alarmów urządzeń do dekontaminacji powoduje powstanie luki w dokumentacji potwierdzającej skuteczność izolacji, którą trudno jest wypełnić po uruchomieniu obiektu.
Ręczne przejęcie kontroli i granice ról dostępu
Możliwość ręcznego obejścia istnieje w każdym systemie kontroli bezpieczeństwa biologicznego ze względu na potrzeby operacyjne — ewakuacja awaryjna, dostęp w celu konserwacji, przywracanie sprawności po awarii. Ryzyko związane z akceptacją nie polega na samym istnieniu takich obejść, lecz na tym, że ich zachowanie w warunkach stanu izolacji nigdy nie zostało przetestowane. Obejście, które nigdy nie zostało poddane testom podczas uruchamiania, stanowi niesprawdzoną ścieżkę w architekturze ról dostępu, a jeśli ścieżka ta omija sekwencję drzwi z blokadą lub wyłącza alarm ciśnieniowy podczas aktywacji, obiekt nie ma podstaw, by twierdzić, że integralność systemu zabezpieczeń została zachowana w momencie zastosowania tego obejścia.
Testowanie ręcznego obejścia drzwi z blokadą wzajemną stanowi najbardziej kłopotliwą z organizacyjnego punktu widzenia część tego zakresu, a właśnie ten dyskomfort jest jednym z powodów, dla których testy te są często odkładane. Sprawdzenie, czy ręczne obejście drzwi z blokadą wzajemną narusza różnicę ciśnień między strefami, wymaga wywołania stanu, który tymczasowo obciąża granicę obudowy bezpieczeństwa, a to z kolei wymaga planowania, koordynacji, a czasem również obiektu, który nie jest jeszcze w pełni operacyjny. Istnieje pokusa, by po prostu udokumentować możliwość obejścia jako cechę systemu i przejść dalej. Konsekwencją odkładania tego testu jest to, że zachowanie systemu w trybie ręcznego obejścia w rzeczywistych warunkach stanu zabezpieczenia pozostaje nieznane, a gdy operator skorzysta z obejścia w rzeczywistej sytuacji — podczas konserwacji, awarii sprzętu lub w sytuacji awaryjnej — nie ma zweryfikowanej podstawy do stwierdzenia, że zabezpieczenie nie zostało naruszone. Ramy normy ASTM E2500-25 dotyczące opartej na ryzyku specyfikacji i weryfikacji systemów krytycznych stanowią przydatny punkt odniesienia dla strukturyzacji testów funkcji nadpisywania: zakres testu powinien być proporcjonalny do konsekwencji, jakie zachowanie funkcji nadpisywania ma dla systemu zabezpieczającego, a nie do częstotliwości, z jaką przewiduje się korzystanie z tej funkcji.
Granice ról dostępu wymagają takiego samego poziomu szczegółowości. Nie chodzi o to, czy role są zdefiniowane w systemie — chodzi o to, czy użytkownik pełniący daną rolę może wykonać czynność zmieniającą parametr o krytycznym znaczeniu dla bezpieczeństwa, oraz czy czynność ta jest rejestrowana wraz z przypisaniem do roli. Obiekty, które definiują role w sposób zbyt ogólny lub które ze względów praktycznych stosują wspólne poświadczenia, generują zapisy, których nie da się powiązać z konkretnymi decyzjami poszczególnych operatorów. Stanowi to problem integralności zapisów, niezależny od tego, czy sama czynność kontrolna była właściwa. Podczas odbioru należy zweryfikować, czy dostęp do funkcji ograniczonych rolą nie jest możliwy bez odpowiednich poświadczeń oraz czy próba uzyskania dostępu jest rejestrowana niezależnie od tego, czy dostęp został przyznany, czy odmówiony.
Drzwi APR z uszczelnieniem pneumatycznym Zintegrowane z strefami izolacyjnymi BSL stanowią bezpośredni przykład połączenia testów obejścia i ról dostępu z fizyczną izolacją: stan uszczelnienia pneumatycznego drzwi stanowi funkcję kontroli izolacji, a zarówno zachowanie uszczelnienia w trybie ręcznego obejścia, jak i rola dostępu wymagana do zainicjowania tego obejścia powinny zostać wyraźnie zweryfikowane i odnotowane podczas odbioru.
Dokumentacja gotowa do kontroli w zakresie kluczowych funkcji
Gotowość do audytu jest cechą strukturalną systemu dokumentacji, a nie cechą poszczególnych dokumentów. Zakład może dysponować doskonałymi dziennikami poszczególnych zdarzeń, a mimo to nie przejść audytu, jeśli dzienniki te nie pozwolą na stworzenie spójnego opisu stanu systemu zabezpieczeń — co było pod kontrolą, co odbiegało od normy, jakie działania podjął operator i jaki był wynik. Architektura dokumentacji musi być zaprojektowana tak, aby odpowiadać na te pytania, zanim inspektor je zada.
Dokumentacja potwierdzająca dekontaminację należy do najczęściej stwierdzanych nieprawidłowości podczas kontroli. Konkretnym uchybieniem w realizacji nie jest zazwyczaj brak dokumentacji — polega on na tym, że wskaźniki biologiczne lub czujniki parametryczne umieszczono w najbardziej dostępnym miejscu ładunku poddawanego dekontaminacji, a nie w jego centrum lub w miejscu najtrudniej dostępnym, co skutkuje powstaniem dokumentacji, która w rzeczywistości nie wykazuje, że punkt krytyczny został odpowiednio poddany obróbce. Niewłaściwe rozmieszczenie monitorów skutkuje powstaniem dokumentacji, która wygląda na kompletną, ale nie pozwala uzasadnić twierdzenia, że dekontaminacja została przeprowadzona w całym ładunku. To rozróżnienie — między dokumentacją, która istnieje, a dokumentacją, którą można uzasadnić — stanowi praktyczne znaczenie gotowości do audytu w odniesieniu do funkcji krytycznych. Wytyczne WHO dotyczące LBM w zakresie weryfikacji dekontaminacji stanowią przydatne wsparcie w postaci odniesień procesowych dotyczących praktyki rozmieszczania monitorów oraz oczekiwań dotyczących przechowywania dokumentacji, mimo że nie mają one mocy wiążącego instrumentu regulacyjnego we wszystkich jurysdykcjach.
Ogólna zasada jest taka, że funkcje krytyczne wymagają dokumentacji zaprojektowanej z myślą o audycie, a nie dokumentacji, która po prostu istnieje i jest udostępniana do celów audytu. W odniesieniu do środków kontroli oznacza to konkretnie, że dokumentacja odbiorcza musi określać, które funkcje zostały zdefiniowane jako krytyczne, jakie dowody zebrano podczas testowania, jakie były kryteria odbioru dla każdej z nich oraz jaki był wynik. Wydruk z systemu BMS dołączony do raportu odbiorczego bez tego kontekstu stanowi załącznik danych, a nie dokumentację audytową. Różnica ta ma znaczenie podczas kontroli, gdzie na obiekcie spoczywa obowiązek wykazania, że proces odbioru był ustrukturyzowany i przemyślany, a nie tylko że dane są dostępne.
W celu opracowania bardziej kompleksowego planu uruchomienia, który uwzględnia odbiór systemów sterowania w ramach ogólnej sekwencji kwalifikacji, Przewodnik krok po kroku dotyczący uruchomienia laboratorium klasy BSL-3 wyjaśnia, w jaki sposób dokumentacja dotycząca kontroli wpisuje się w szerszą strukturę dokumentacji zlecenia.
Próg akceptacji dla dokumentacji kontroli
Dokumentacja systemów sterowania spełnia kryteria akceptacji, gdy do każdego krytycznego alarmu, blokady i sekwencji sterującej przypisane są trzy elementy: zaobserwowana reakcja podczas testów obciążeniowych, dostępny zapis tej reakcji oraz pisemna procedura określająca, jaka jest prawidłowa reakcja. Jeśli w przypadku jakiejkolwiek funkcji krytycznej brakuje któregokolwiek z tych trzech elementów, akceptacja nie została uzyskana — została odroczona, a brakujący element ujawni się albo podczas eksploatacji, albo podczas kontroli.
Plan bezpieczeństwa biologicznego jest dokumentem regulacyjnym, który określa minimalny zakres treści wymagany dla dokumentacji kontroli gotowej do odbioru. Dla każdej zatwierdzonej metody dekontaminacji plan musi zawierać pisemne procedury obejmujące co najmniej stężenie czynnika lub parametr narażenia, czas kontaktu lub czas trwania cyklu oraz metodę weryfikacji stosowaną w celu potwierdzenia skuteczności. Nie jest to biurokratyczna formalność — jest to dokument, który definiuje, co oznacza “prawidłowość” w odniesieniu do danej funkcji kontrolnej. Bez niego nie ma standardu, w oparciu o który można by ocenić dokumentację uruchomienia, a dział zapewnienia jakości jest zmuszony do podejmowania decyzji dotyczących krytyczności z mocą wsteczną pod presją kontroli, zamiast opierać się na wcześniej ustalonych kryteriach akceptacji. Brakujące lub niekompletne procedury zawarte w planie bezpieczeństwa biologicznego konsekwentnie pojawiają się jako ustalenia z kontroli właśnie dlatego, że stanowią one próg dokumentacyjny, poniżej którego żadna ilość danych z badań nie może wykazać, że system został w pełni zaakceptowany.
Problem pojawiający się w późnej fazie uruchomienia dotyczy granicy między ogólnymi zapisami z monitoringu obiektu a zapisami dotyczącymi kontroli krytycznych dla bezpieczeństwa biologicznego. Zespoły, które nie zdefiniują tej granicy na wczesnym etapie, generują ogromne ilości danych z systemów BMS i HMI, nie ustalając jednocześnie, które zapisy są niezbędne do wykazania integralności systemu zabezpieczeń. W rezultacie pakiet odbiorczy zawiera zbyt wiele nieposortowanych danych i zbyt mało uporządkowanych dowodów dotyczących konkretnych, istotnych funkcji. Dział kontroli jakości staje wówczas przed zadaniem, po zakończeniu uruchomienia, polegającym na oddzieleniu zapisów krytycznych od niekrytycznych — często pod presją czasu związaną ze zbliżającą się inspekcją lub rozpoczęciem eksploatacji. Rozwiązanie tego problemu jest proste w teorii, ale trudne w praktyce: należy zdefiniować krytyczność przed rozpoczęciem testów, a nie po zebraniu danych. Próg akceptacji nie zostaje przekroczony w momencie istnienia danych; zostaje przekroczony wtedy, gdy krytyczne funkcje mają zweryfikowane reakcje, a reakcje te są udokumentowane zgodnie z wcześniej zdefiniowanym standardem.
Najważniejszym pytaniem, jakie należy zadać podczas każdego przeglądu odbiorczego systemów kontroli BSL, nie jest to, czy system generuje zapisy, ale czy zapisy te mają strukturę pozwalającą na potwierdzenie konkretnego twierdzenia dotyczącego stanu zabezpieczenia w określonym momencie. To rozróżnienie odróżnia proces uruchomienia od odbioru gotowego do audytu — i decyduje o tym, czy zdarzenie związane z naruszeniem zabezpieczenia, które miało miejsce po dwóch latach eksploatacji, będzie można zbadać na podstawie dowodów, czy też zrekonstruować na podstawie wspomnień.
Przed zamknięciem pakietu odbiorczego należy upewnić się, że każdy alarm krytyczny posiada ścieżkę odtwarzania zdarzeń działającą bez konieczności stosowania specjalistycznego dostępu, że działanie ręcznego obejścia zostało przetestowane w warunkach stanu izolacji, a nie w stanie spoczynku, oraz że plan bezpieczeństwa biologicznego zawiera pisemne procedury dla każdej metody dekontaminacji wraz z wystarczającymi szczegółami parametrycznymi, aby mogły one służyć jako standard odbiorczy. Te trzy elementy razem pozwalają stwierdzić, czy dokumentacja dotycząca środków kontroli w obiekcie wytrzyma kontrolę — czy też luki zostaną najpierw wykryte przez kogoś innego.
Często zadawane pytania
Pytanie: Co powinno nastąpić bezpośrednio po podpisaniu protokołu odbioru — zanim obiekt rozpocznie działalność?
O: Najważniejszym zadaniem po zatwierdzeniu jest upewnienie się, że ścieżki pobierania zdarzeń ustalone podczas odbioru działają prawidłowo w normalnych warunkach dostępu operacyjnego, a nie tylko w przypadku dostępu zespołu uruchamiającego. Procedury pobierania alarmów, poświadczenia dostępu oparte na rolach oraz procesy eksportu zapisów z systemu BMS powinny zostać przekazane zespołowi operacyjnemu wraz z udokumentowaną instrukcją, tak aby pierwsze pobranie zapisu zdarzenia krytycznego nie miało miejsca podczas rzeczywistego incydentu związanego z zabezpieczeniem lub kontroli. Luki w tym przekazaniu powodują utratę rygoru odbioru między zakończeniem uruchomienia a gotowością operacyjną.
Pytanie: Czy opisany tutaj zakres akceptacji środków kontroli ma zastosowanie do obiektów o podwyższonym poziomie bezpieczeństwa BSL-2, czy tylko do obiektów BSL-3 i BSL-4?
O: Próg krytyczności zmienia się na poziomie BSL-2 wzmocnionym, ale podstawowa zasada pozostaje niezmienna. Poziomy BSL-3 i BSL-4 to główne obszary, w których alarmy podciśnienia, sekwencje blokad drzwi oraz dokumentacja weryfikacji odkażania mają bezpośredni wpływ na bezpieczeństwo biologiczne — a brak dostępnej dokumentacji stwarza ryzyko naruszenia przepisów. Na poziomie BSL-2 wzmocnionym liczba konkretnych sekwencji regulujących stan zabezpieczenia jest zazwyczaj mniejsza, jednak każda funkcja kontrolna, która ma bezpośredni wpływ na integralność zabezpieczenia biologicznego, nadal wymaga zarejestrowanej reakcji i dostępnego zapisu. Ramy te mają zastosowanie wszędzie tam, gdzie awaria zabezpieczenia ma identyfikowalną ścieżkę przechodzącą przez funkcję kontrolną.
Pytanie: Czy istnieje punkt, w którym przedstawienie dodatkowych dowodów z kontroli faktycznie osłabia stanowisko audytora, zamiast je wzmacniać?
O: Tak — gdy ilość nieokreślonych zapisów uniemożliwia zlokalizowanie konkretnych dowodów potwierdzających integralność systemu zabezpieczeń. Dokumentacja akceptacyjna, która rejestruje każdy punkt danych z systemu BMS bez określenia, które zapisy mają charakter krytyczny, zmusza inspektora do wyciągania własnych wniosków na temat tego, co zostało przetestowane i dlaczego. Jest to gorsza sytuacja podczas audytu niż w przypadku bardziej zwięzłej dokumentacji zawierającej jasno uporządkowane uzasadnienie dla każdej funkcji krytycznej. Czynnikiem decydującym nie jest ilość zapisów, lecz to, czy każda funkcja krytyczna posiada określone kryterium akceptacji, odpowiadający mu wynik testu oraz dostępny zapis zdarzenia — oraz czy zapisy niekrytyczne są wyraźnie oddzielone od tego zestawu dowodów, a nie wymieszane z nim.
Pytanie: Jak należy podejść do kwestii akceptacji elementów sterujących, gdy sterownik PLC i system zarządzania budynkiem (BMS) pochodzą od różnych dostawców i mają odrębne architektury danych?
O: Jest to warunek brzegowy, który należy rozwiązać w ramach procedury odbiorczej przed rozpoczęciem testów, a nie w ich trakcie. Gdy dzienniki zdarzeń sterownika PLC i zapisy systemu BMS są przechowywane w oddzielnych systemach o różnych odniesieniach do znaczników czasu, procedurach pobierania danych i mechanizmach kontroli dostępu, procedura odbiorcza musi obejmować test uzgodnienia między systemami: należy wywołać zdarzenie istotne dla bezpieczeństwa, a następnie potwierdzić, że odpowiadające mu zapisy w obu systemach są zgodne pod względem znacznika czasu, przypisania zdarzenia oraz działania operatora. Niezgodne architektury oznaczają, że podczas badania przyczyny źródłowej wymagającego wykorzystania obu źródeł danych pojawi się luka, której nie da się wypełnić po fakcie. Należy również wyraźnie wyznaczyć granicę krytyczności między zapisami PLC a BMS — który system jest odpowiedzialny za które zdarzenie krytyczne dla zabezpieczenia — aby uniknąć luk wynikających z powielania danych, w których oba systemy rejestrują częściowe dowody, a żaden z nich nie rejestruje kompletnego zdarzenia.
Pytanie: W którym momencie dokumentacja dotycząca elementów sterujących przestaje być elementem dostawy w ramach uruchomienia, a staje się elementem dostawy w ramach kwalifikacji, wymagającym formalnego zatwierdzenia przez dział kontroli jakości?
O: Granica ta zależy od tego, czy dana funkcja sterująca ma bezpośredni wpływ na jakość produktu, bezpieczeństwo pacjentów lub – w tym kontekście – integralność systemu izolacji biologicznej. Dokumentacja wykazująca reakcje na alarmy o krytycznym znaczeniu dla izolacji, działanie blokad oraz weryfikację odkażania stanowi elementy kwalifikacji — wymagają one przeglądu przez dział zapewnienia jakości, określonych kryteriów akceptacji oraz formalnego zatwierdzenia, zanim obiekt zostanie uznany za oddany do użytku. Ogólne zapisy dotyczące monitorowania obiektu — oświetlenie, dane dotyczące mediów o znaczeniu niekrytycznym, dzienniki systemów administracyjnych — stanowią wyniki prac związanych z oddaniem do eksploatacji, które nie wymagają tej samej formalnej ścieżki zatwierdzenia przez dział zapewnienia jakości. Praktycznym ryzykiem związanym z brakiem wyraźnego wyznaczenia tej granicy jest to, że dział zapewnienia jakości otrzymuje na końcu procesu oddania do eksploatacji mieszany pakiet dokumentów i musi pod presją czasu przyporządkować im krytyczność z mocą wsteczną, co jest sytuacją najczęściej prowadzącą do wprowadzenia do dokumentacji operacyjnej niekompletnych zapisów z kwalifikacji.
