Wymagania dotyczące elementów sterujących i blokad w zapytaniach ofertowych dotyczących urządzeń o wysokim poziomie zabezpieczeń: sterowniki PLC, interfejsy HMI, systemy BMS oraz dokumentacja alarmów

Luki w systemie sterowania urządzeń o wysokim stopniu zabezpieczenia zazwyczaj nie ujawniają się na etapie zamówień — wychodzą na jaw podczas testów SAT, kiedy przeprowadzany w obecności świadków test funkcjonalny ujawnia, że logika sterownika PLC dotycząca warunku blokady nigdy nie została formalnie określona, schemat priorytetów alarmów istnieje jedynie w notatkach programisty, a lista sygnałów systemu BMS nie jest zgodna z rysunkami technicznymi, na podstawie których pracuje zespół walidacyjny. Skutkiem tego są skrócone harmonogramy, konieczność poprawiania dokumentacji, która powinna była zostać dostarczona przez dostawcę, oraz działania kwalifikacyjne, których nie można zakończyć bez dowodów, które nie były wymagane na etapie zapytania ofertowego (RFQ). Decyzją, która pozwala temu zapobiec, nie jest dokładniejszy przegląd podczas uruchomienia — jest to ustrukturyzowana specyfikacja elementów sterujących na etapie zapytania ofertowego, która klasyfikuje każdą funkcję według stopnia krytyczności i wyznacza metodę akceptacji, zanim dostawca rozpocznie projektowanie. Nabywcy, którzy podejmują tę decyzję na wczesnym etapie, wymagają od dostawców dostarczenia określonego zestawu dowodów; nabywcy, którzy tego nie robią, borykają się z lukami w dokumentacji, które utrzymują się podczas faz IQ, OQ i później.

Sekwencje sterujące, które należy określić

Określanie elementów sterujących jako “sterownik PLC/interfejs HMI z wyjściami alarmowymi” jest powszechną praktyką w zapytaniach ofertowych dotyczących urządzeń zabezpieczających, ale prawie zawsze okazuje się niewystarczające. Głównym problemem jest to, że bez wyraźnej logiki sekwencji w zakresie dostawy dostawcy program sterownika PLC staje się de facto specyfikacją — a jeśli program ten nie zostanie sprawdzony przed odbiorem fabrycznym, właściciel nie ma punktu odniesienia, w stosunku do którego mógłby przeprowadzić testy.

Każdy z poniższych elementów wiąże się z wyraźnym ryzykiem niepowodzenia, jeśli pozostawi się go interpretacji dostawcy. Należy opisać normalne sekwencje operacyjne krok po kroku, tak aby urządzenie działało w przewidywalnej kolejności, zrozumiałej zarówno dla operatorów, jak i inżynierów ds. walidacji przed przeprowadzeniem testów SAT. Stany alarmowe wymagają zdefiniowanych warunków, treści komunikatów oraz poziomów priorytetu, tak aby alarmy umożliwiały podjęcie odpowiednich działań i były zgodne ze szkoleniem operatorów. Warunki blokad wymagają jasno określonej logiki — określającej, które stany procesu wyzwalają określone reakcje bezpieczeństwa — ponieważ luki w projekcie blokad stwarzają zagrożenia dla hermetyczności lub integralności procesu, które trudno wykryć podczas rutynowych testów. Wyzwalacze sygnałów systemu BMS muszą określać konkretne punkty i momenty czasowe, aby integracja obiektu mogła przebiegać równolegle z kwalifikacją sprzętu, a nie po jej zakończeniu.

Konfiguracja poziomów dostępu oraz sposób działania kopii zapasowych są często traktowane jako szczegóły implementacyjne, a nie jako określone funkcje, co sprawia, że niejasność staje się problemem w całym cyklu życia systemu. Jeśli w zapytaniu ofertowym nie zdefiniowano sposobu działania kopii zapasowych w przypadku utraty zasilania lub awarii łączności, domyślne ustawienia dostawcy mogą nie odpowiadać strategii ograniczania ryzyka — ma to szczególne znaczenie w przypadku Środowiska klasy BSL-3 gdzie utrata szczelności podczas przywracania zasilania po awarii ma poważne konsekwencje. Określenie tych elementów w zapytaniu ofertowym nie ma na celu nadmiernego komplikowania dokumentacji przetargowej; chodzi raczej o stworzenie podstawy do weryfikacji, która istnieje jeszcze przed wyprodukowaniem sprzętu.

Niezdefiniowane zachowanie awaryjne staje się decyzją projektową dotyczącą ograniczeń, podejmowaną domyślnie, a nie w oparciu o rozwiązania techniczne.

Dokumentacja dotycząca sterowników PLC i interfejsów HMI w zakresie dostawcy

Zapytanie ofertowe powinno określać konkretne elementy, które dostawca ma dostarczyć w ramach zakresu kontroli, a nie tylko sprawny system. To rozróżnienie ma znaczenie, ponieważ to, co dostawca uważa za standardową dokumentację PLC/HMI — schematy połączeń, listy wejść/wyjść oraz kopię zapasową oprogramowania — rzadko spełnia wymagania dowodowe dotyczące testów SAT, kwalifikacji GMP lub weryfikacji blokad krytycznych dla bezpieczeństwa biologicznego.

Zakres dostawcy powinien obejmować co najmniej funkcjonalną specyfikację projektową (FDS), która dokumentuje zamierzoną logikę dla każdego trybu pracy, alarmu i blokady przed rozpoczęciem programowania. Dokument ten stanowi punkt kontrolny, który pozwala zespołowi właściciela oraz, w stosownych przypadkach, zespołowi walidacyjnemu potwierdzić, że logika odzwierciedla określony zamysł przed jej zakodowaniem. Bez tego przeglądy projektowe odbywają się w oparciu o działający program, a nie o specyfikację, co przenosi ciężar kwalifikacji na dalsze etapy procesu i podważa identyfikowalność integralności danych w rozumieniu ram systemów komputerowych, takich jak Załącznik 11 do EudraLex.

Zakres HMI powinien określać strukturę ekranu, hierarchię nawigacji oraz konfigurację poziomów dostępu przed przeprowadzeniem testów FAT. Stwierdzenie podczas testów FAT, że interfejs HMI wyświetla alarmy bez rozróżnienia priorytetów lub że poziomy dostępu nie zapewniają przestrzegania ograniczeń określonych w specyfikacji URS, powoduje konieczność ponownej pracy, co opóźnia zarówno zakończenie testów FAT, jak i kolejne działania kwalifikacyjne. Wymóg, aby dostawca dostarczył pakiet dokumentacji przeglądu projektu interfejsu HMI jako element dostawy przed testami FAT, a nie jako dokument po dostawie, przekształca typowe ustalenia z testów FAT w kontrolowany etap przeglądu.

Dowody praktyczne, które należy uwzględnić w zakresie kontroli, obejmują: system FDS wraz z historią zmian, listę wejść/wyjść z oznaczeniami sygnałów powiązanymi z schematami P&ID, rejestr alarmów zawierający przyczynę i wartość zadaną dla każdego alarmu, matrycę poziomów dostępu przedstawiającą dozwolone działania dla poszczególnych ról użytkowników oraz rejestr wersji oprogramowania, który zostanie przedstawiony podczas testów FAT i porównany podczas testów SAT. Każdy z tych dokumentów powinien zostać wymieniony jako element dostawy wynikający z umowy, dostarczany przez dostawcę, z określonym terminem przedłożenia — nie należy go traktować jako opcjonalnego materiału referencyjnego.

Lista wejść/wyjść bez odpowiadającego jej rejestru alarmowego stanowi zakres sterowania, a nie pakiet dowodów dotyczących sterowania.

Dokumentacja dotycząca sygnałów i alarmów systemu BMS

Integracja systemów sterowania urządzeniami zabezpieczającymi z systemem zarządzania budynkiem jest zazwyczaj jedną z ostatnich kwestii, które należy rozwiązać w ramach projektów dotyczących wysokiego poziomu zabezpieczeń, jednak dokumentacja niezbędna do prawidłowej integracji musi zostać przygotowana na długo przed wysyłką urządzeń. Gdy dokumentacja sygnałów systemu zarządzania budynkiem jest traktowana jako działania w fazie uruchomienia, integracja ta często opiera się na nieformalnej wymianie informacji między inżynierem ds. sterowania u dostawcy sprzętu a wykonawcą systemu zarządzania budynkiem (BMS) — w wyniku czego powstają powiązania typu „punkt-punkt”, które są zapisywane w wiadomościach e-mail, a nie w dokumentach podlegających kontroli.

Cztery pozycje dokumentacji, które powinny zostać uwzględnione w zapytaniu ofertowym, odnoszą się do różnych rodzajów niepowodzeń występujących na etapie integracji i kwalifikacji.

Lista punktów sygnałowych określa zbiór przekaźników dyskretnych i analogowych. Racjonalizacja alarmów wiąże każdy alarm z określoną przyczyną, wartością zadaną i oczekiwaną reakcją — jeśli dokument ten nie istnieje, alarmy nie mogą być systematycznie kwalifikowane zgodnie z wymaganiami załącznika 11 dotyczącymi integralności danych i ścieżki audytu. Mapowanie punkt-punkt to dokument roboczy, z którego korzystają wykonawcy systemów BMS podczas integracji; bez niego sygnały są często pomijane lub przypisywane do niewłaściwych adresów. Stany sygnałów zabezpieczających przed awarią są elementem najczęściej pomijanym: w przypadku utraty komunikacji między sterownikiem urządzeń zabezpieczających a systemem BMS, system BMS musi otrzymać zdefiniowany status — a nie niejednoznaczny lub brak sygnału — tak aby reakcje na poziomie obiektu były odpowiednie i nie opierały się na nieaktualnych lub nieprawidłowych danych.

Wymaganie tych dokumentów w zapytaniu ofertowym jako elementów dostarczanych przez dostawcę oznacza, że stanowią one podstawę do weryfikacji przed rozpoczęciem integracji. Traktowanie ich jako wyników prac związanych z uruchomieniem oznacza, że są one tworzone doraźnie, pod presją terminów i często bez formalnej weryfikacji.

Zachowanie układu blokującego w stanach nietypowych

Testy blokad bezpieczeństwa to jeden z obszarów, w których najczęściej pojawiają się uwagi w raporcie SAT, gdy pierwotna specyfikacja była nieprecyzyjna. Przyczyna ma charakter strukturalny: blokady bezpieczeństwa są zazwyczaj testowane poprzez symulowanie celowo wywołanych warunków awaryjnych — utraty różnicy ciśnień, uszkodzenia uszczelki drzwi, awarii wentylatora wyciągowego, wyczerpania odczynnika w cykl odkażania—a jeśli oczekiwanej odpowiedzi nigdy formalnie nie określono, test nie ma kryterium akceptacji, z którym można by go porównać.

Zapytanie ofertowe powinno określać nie tylko, jakie blokady istnieją, ale także, jakie działania ma wykonać urządzenie w każdym stanie wyzwolenia. W przypadku blokad o kluczowym znaczeniu dla bezpieczeństwa – takich jak te regulujące stan zamka drzwic serwisowych W odniesieniu do kaskady ciśnieniowej lub reakcji na awarię wentylatora wyciągowego w środowisku BSL-3 — należy określić przewidywane działanie blokady, wszelkie opóźnienia czasowe, wszelkie alarmy, które powinny towarzyszyć temu działaniu, oraz sekwencję przywracania stanu normalnego po usunięciu stanu nieprawidłowego. Są to decyzje projektowe oparte na ocenie ryzyka, wynikające z analizy bezpieczeństwa biologicznego i zagrożeń procesowych; traktowanie ich jako wyborów dostawcy w zakresie wdrożenia, a nie jako zachowań określonych przez właściciela, powoduje lukę w weryfikacji.

W odniesieniu do działania mechanizmu blokującego w przypadku utraty łączności lub zasilania specyfikacja powinna określać stan, jaki urządzenie przyjmuje w momencie utraty (tryb awaryjny typu „fail-safe” lub „fail-operational”), sposób sygnalizacji tego stanu przez interfejs HMI, czy dopuszczalne jest automatyczne przywrócenie działania, czy też wymagana jest interwencja ręczna, a także jaki zapis jest generowany. ASTM E2500-25 opowiada się za podejściem opartym na ocenie ryzyka w celu określenia, które funkcje mają na tyle kluczowe znaczenie, że wymagają takiego poziomu doprecyzowania, oraz Załącznik 15 do EudraLex podkreśla konieczność weryfikacji i dokumentowania reakcji na stany nietypowe w ramach kwalifikacji. Żadna z norm nie określa konkretnych działań blokujących dla poszczególnych typów urządzeń — kwestia ta podlega analizie zagrożeń przeprowadzonej w ramach projektu.

Blokada bez określonej procedury przywracania kontroli przekazuje decyzję o zabezpieczeniu pomieszczenia osobie przebywającej w danym momencie w pomieszczeniu.

Dla wielu zespołów właścicielskich problemem jest to, że szczegółowe specyfikacje dotyczące blokad wymagają od nich przeprowadzenia identyfikacji zagrożeń przed wystosowaniem zapytania ofertowego, co wiąże się z dodatkową pracą na wcześniejszym etapie. Alternatywne rozwiązanie — odebranie sprzętu z domyślną logiką blokad dostarczoną przez dostawcę, a następnie dostosowanie kryteriów odbioru do dostarczonego sprzętu — jest zawsze droższym rozwiązaniem.

GxP a środki kontroli o kluczowym znaczeniu dla obiektu

Nie wszystkie funkcje sterujące wiążą się z takim samym obowiązkiem dokumentacji, a traktowanie każdego wyjścia sterownika PLC jako równie wymagającego pod względem dokumentacji jest równie problematyczne, jak traktowanie ich wszystkich jako równie mało priorytetowych. Praktycznym wyzwaniem w zapytaniach ofertowych dotyczących urządzeń izolacyjnych jest to, że elementy sterujące zgodne z GxP, krytyczne dla bezpieczeństwa biologicznego oraz krytyczne dla obiektu często wykorzystują ten sam fizyczny sterownik — jednak zakres obowiązków dostawcy, stopień szczegółowości dokumentacji oraz rygorystyczność odbioru wymagane dla każdej z tych kategorii znacznie się różnią.

Niniejsze ramy stanowią narzędzie planistyczne służące do określenia wymagań dotyczących dokumentacji w zapytaniu ofertowym (RFQ), a nie zbiór klasyfikacji regulacyjnych o sztywnych definicjach. Ich zaletą jest to, że zmuszają zespół inwestora do podjęcia decyzji dotyczących stopnia krytyczności przed ustaleniem zakresu dokumentacji dostawcy.

Kontrole GxP — te, które mają wpływ na jakość produktu lub integralność danych — wymagają funkcji ścieżki audytu, zweryfikowanych dowodów dotyczących alarmów oraz Dokumentacja GMP zaprojektowany z myślą o zapewnieniu zgodności z wymogami kwalifikacyjnymi. Na przykład rejestr temperatury w inkubatorze znajdującym się w komorze izolacyjnej podlega wymogom dotyczącym ścieżki audytu określonym w załączniku 11, czego nie dotyczy czujnik położenia drzwi, którego dane są przekazywane wyłącznie do systemu BMS. Kontrole o kluczowym znaczeniu dla bezpieczeństwa biologicznego, które regulują integralność obudowy zabezpieczającej i ochronę operatora, wymagają przeprowadzenia testów sprawdzających działanie blokad oraz weryfikacji integralności bezpieczeństwa jako warunku dopuszczenia do eksploatacji — jednak w zależności od modelu walidacji obiektu mogą nie wymagać pełnej infrastruktury ścieżki audytu niezbędnej w przypadku kontroli zgodnych z GxP. Kontrole o krytycznym znaczeniu dla obiektu wymagają testów funkcjonalnych oraz udokumentowanego potwierdzenia prawidłowego działania, jednak stopień szczegółowości dokumentacji może być proporcjonalny do ryzyka operacyjnego.

Konsekwencją braku takich rozróżnień w zapytaniu ofertowym jest to, że dostawcy zazwyczaj określają zakres dokumentacji dotyczącej środków kontroli w sposób jednolity – zazwyczaj na poziomie krytycznym dla obiektu – ponieważ jest to najniższy wspólny mianownik. Oznacza to, że kontrole krytyczne z punktu widzenia GxP i bezpieczeństwa biologicznego są dokumentowane w stopniu niewystarczającym w stosunku do wymagań kwalifikacji, a zespół właściciela musi uzupełnić brakujące dowody po dostawie, zamiast otrzymać je jako element dostawy od dostawcy.

Metoda akceptacji dla każdej funkcji kontroli krytycznej

Każda kluczowa funkcja kontrolna określona w zapytaniu ofertowym powinna mieć zdefiniowaną metodę odbioru oraz konkretny dokument końcowy. Nie jest to tylko kwestia proceduralnej skrupulatności — to jedyny sposób, by zapobiec oderwaniu specyfikacji kontroli od działań kwalifikacyjnych, które ją zakończą.

Test praktyczny jest prosty: jeśli zapytanie ofertowe określa funkcję kontrolną, ale nie definiuje, w jaki sposób zostanie ona zaakceptowana i jakie dowody zostaną dostarczone, zespół właściciela będzie musiał zająć się tym zadaniem podczas testów FAT lub SAT, pod presją harmonogramu. Wykonanie tego zadania na etapie zamówienia, kiedy dostawca może potwierdzić wykonalność i uwzględnić dowody w zakresie dostawy, zapobiega gromadzeniu się uwag na etapie kwalifikacji.

Niektóre z tych metod akceptacji wiążą się ze szczególnymi implikacjami, na które warto zwrócić uwagę. Testowanie aktywacji alarmów wymaga wywołania określonych warunków — a nie przeglądu kodu sterownika PLC — ponieważ kwalifikacja ma na celu weryfikację zachowania testowanego systemu w rzeczywistych warunkach eksploatacyjnych. Dane dotyczące sygnatur czasowych zawarte w dostarczonym raporcie z testów zapewniają identyfikowalność zgodną z wymogami dotyczącymi ścieżki audytu określonymi w załączniku 11. Testy wyzwalania blokad powinny sprawdzać każdy warunek niezależnie, a nie w ramach połączonej sekwencji, tak aby każda reakcja blokady była weryfikowana indywidualnie. Testy egzekwowania poziomów dostępu muszą polegać na próbach wykonania działań objętych ograniczeniami przy nieprawidłowych poziomach dostępu oraz rejestrowaniu reakcji, a nie jedynie na potwierdzeniu, że konta użytkowników są skonfigurowane.

Test zachowania awaryjnego jest często pomijany podczas testów FAT i przenoszony na miejsce instalacji, częściowo dlatego, że wywołanie utraty zasilania lub łączności w zakładzie dostawcy wymaga koordynacji. Gdy test ten zostaje odroczony bez ustalonego protokołu SAT, często nie jest w ogóle przeprowadzany jako formalny test — obserwuje się go nieformalnie podczas uruchamiania i nigdy nie dokumentuje. Powoduje to rozbieżność między tym, co zaobserwowano, a tym, co można przedstawić jako dowód podczas kontroli.

Test kontroli jakości przeprowadzony w obecności świadka, ale bez określonych kryteriów akceptacji, stanowi jedynie obserwację, a nie dokumentację kwalifikacyjną.

Największą wartość to mapowanie ma na etapie poprzedzającym sporządzenie protokołu FAT, kiedy dostawca ma jeszcze możliwość stworzenia infrastruktury testowej i zebrania odpowiednich dowodów. Wymóg przedstawienia tego mapowania już na etapie zapytania ofertowego pozwala zachować tę możliwość.

Najczęstszym źródłem niepowodzeń w procesie zaopatrzenia w urządzenia zabezpieczające nie jest brak możliwości kontrolnych — jest to brak precyzji specyfikacji na etapie, na którym podejmowanie decyzji o krytyczności jest jeszcze niedrogie. Gdy podczas testów SAT okazuje się, że nie istnieją dokumenty dotyczące racjonalizacji alarmów, że lista sygnałów systemu BMS nie odpowiada dostarczonej konfiguracji wejść/wyjść lub że podczas testów FAT nie przeprowadzono formalnej weryfikacji blokad, koszty naprawy ponosi zespół właściciela, a nie dostawca.

Przed ogłoszeniem zapytania ofertowego dotyczącego systemów kontroli dla urządzeń o wysokim poziomie bezpieczeństwa biologicznego zespół właścicielski powinien ustalić: które funkcje mają charakter GxP, są kluczowe dla bezpieczeństwa biologicznego oraz kluczowe dla obiektu; jakie jest oczekiwane zachowanie w każdym stanie awaryjnym, w tym w przypadku utraty zasilania i awarii komunikacji; które sygnały systemu zarządzania budynkiem (BMS) muszą zostać udokumentowane przed rozpoczęciem integracji; oraz jaki dokument potwierdzający zamknie każdą krytyczną funkcję kontrolną w momencie odbioru. Te cztery ustalenia, dokonane na etapie zamówienia, określają różnicę między pakietem elementów sterujących, który wspiera proces kwalifikacji, a takim, który wymaga przebudowy w trakcie tego procesu.

Często zadawane pytania

Pytanie: Co zrobić, jeśli nasz zespół nie dysponuje wystarczającą wiedzą z zakresu inżynierii sterowania, aby opracować sekwencje i przeprowadzić ocenę krytyczności przed wysłaniem zapytania ofertowego?
Odp.: Należy skorzystać z usług zewnętrznego konsultanta ds. kontroli lub zatrudnić specjalistę ds. automatyki na etapie zamówień publicznych. Założenia artykułu opierają się na tym, że właściciel projektu wcześnie określi poziom krytyczności, ale jeśli brakuje takiej wiedzy specjalistycznej, alternatywą jest uwzględnienie tych definicji w płatnym studium projektowym przeprowadzanym przed udzieleniem zamówienia we współpracy z dostawcą zakwalifikowanym do wąskiego wyboru — tak aby specyfikacja została opracowana wspólnie przed podjęciem zobowiązania, a nie pozostawiona całkowicie domyślnej interpretacji dostawcy.

Pytanie: Gdy dostawca dostarczy pakiet dokumentacji dotyczącej elementów sterujących, co nasz zespół ds. walidacji powinien zrobić w pierwszej kolejności?
A: Należy przeprowadzić przegląd identyfikowalności, który powiąże każdy element dostawy (FDS, rejestr alarmów, listę wejść/wyjść, macierz dostępu) z krytycznymi funkcjami kontrolnymi określonymi w URS oraz z określonymi przez Państwa metodami odbioru. Celem jest potwierdzenie przed przeprowadzeniem testów FAT, że dokumentacja obejmuje każdą funkcję krytyczną wraz z odpowiednim protokołem odbioru — usunięcie luk zidentyfikowanych na tym etapie jest znacznie tańsze niż podczas testów SAT, kiedy sprzęt znajduje się już na miejscu.

Pytanie: Przy jakiej wielkości projektu lub na jakim poziomie ryzyka taki poziom szczegółowości zapytania ofertowego staje się obowiązkowy, a nie tylko zalecany?
Odp.: Próg ten obejmuje wszelkie urządzenia izolacyjne, które wchodzą w interakcję z procesem zgodnym z GxP, barierę o kluczowym znaczeniu dla bezpieczeństwa biologicznego lub integrację z systemem zarządzania budynkiem (BMS) obiektu, co będzie wymagało przedstawienia kwalifikowanych dowodów w celu dopuszczenia do eksploatacji. W przypadku samodzielnej zamrażarki przechowalniczej klasy BSL-2, która nie ma wpływu na procesy GxP i nie jest podłączona do systemu BMS, wystarczające mogą być mniej rygorystyczne wymagania. Jeśli jednak blokady tego urządzenia chronią kaskadę ciśnieniową lub jego dane zasilają ścieżki audytowe zgodnie z załącznikiem 11, szczegółowe informacje w zapytaniu ofertowym są niezbędne — a nie opcjonalne.

Pytanie: Jak to podejście oparte w dużej mierze na zapytaniach ofertowych (RFQ) ma się do umowy typu „pod klucz”, w ramach której dostawca projektuje, buduje i kwalifikuje cały system?
O: W przypadku prawdziwego rozwiązania „pod klucz” z gwarancjami wydajności i kwalifikacją prowadzoną przez dostawcę właściciel nadal musi określić kluczowe funkcje kontrolne oraz kryteria odbioru — w przeciwnym razie dostawca przyjmie za punkt odniesienia własną interpretację, a Państwo będą musieli zaakceptować to, co dostarczy. Podejście przedstawione w artykule jest zgodne z realizacją projektu „pod klucz”, ale przenosi definicję dowodów do dokumentacji przetargowej, tak aby plany projektowe i testowe dostawcy były opracowywane w oparciu o ramy ryzyka klienta, a nie o domyślne, najtańsze rozwiązania dostawcy.

Pytanie: Czy dodatkowy wysiłek związany z określeniem środków kontroli na tym poziomie jest rzeczywiście uzasadniony w przypadku pojedynczego urządzenia, takiego jak komora przepustowa VHP?
O: Tak, jeśli cykl odkażania tego sprzętu, logika uszczelnień drzwi lub zapisy alarmów mogłyby opóźnić dopuszczenie partii lub zatwierdzenie pod kątem bezpieczeństwa biologicznego. Nawet w przypadku pojedynczego urządzenia koszt odtworzenia dokumentacji po testach SAT rutynowo przewyższa koszt określenia wymagań dotyczących dowodów w zapytaniu ofertowym. Logika przedstawiona w artykule ma charakter skalowalny: to nadal użytkownik decyduje, które funkcje są kluczowe z punktu widzenia GxP lub bezpieczeństwa — a w przypadku komory transferowej VHP mogą to być tylko trzy blokady i dwa alarmy, co wymaga znacznie mniej szczegółowej, ale nadal jasno zdefiniowanej specyfikacji.