Testy odbiorcze w fabryce dla systemów VHP, BIBO i izolatorów: dokumentacja, o którą powinni poprosić nabywcy

Urządzenie, które przechodzi kontrolę po włączeniu zasilania w fabryce, a następnie podczas uruchamiania na miejscu wykazuje błędy sekwencji pracy zaworów, nieprawidłowe działanie blokad lub błędy kaskady ciśnieniowej, nie jest wynikiem pecha — świadczy to o tym, że zakres testów FAT nie obejmował wszystkich elementów, które urządzenie faktycznie musiało wykazać. Koszty wynikające z tej luki nie są abstrakcyjne: ponowne prace na miejscu dotyczące urządzeń zabezpieczających wymagają kontrolowanych warunków, procedur odkażania i często powiadomienia organów regulacyjnych, co skraca harmonogram uruchomienia i może opóźnić rozpoczęcie kwalifikacji o kilka tygodni. Decyzją, która pozwala zapobiec większości tych szkód, nie jest bardziej rygorystyczny test SAT — jest to bardziej kompletny test FAT, z protokołem zatwierdzonym przed wizytą oraz jasnym porozumieniem co do tego, co musi zostać zamknięte przed opuszczeniem budynku przez urządzenie. Zrozumienie, gdzie leży ta granica i jakich dowodów należy zażądać na każdym etapie, pozwala nabywcom podjąć uzasadnioną decyzję dotyczącą wysyłki, a nie tylko optymistyczną.

Kontrole fabryczne zespołów VHP, BIBO i izolatorów

Potwierdzenie, że izolator, obudowa BIBO lub moduł transferowy VHP są fizycznie kompletne, stanowi niezbędny punkt wyjścia, ale nie jest wystarczające. Istotne kontrole fabryczne to takie, które dostarczają mierzalnych dowodów potwierdzających zgodność lub niezgodność z wcześniej uzgodnionymi kryteriami — dowodów, które albo eliminują potencjalny sposób awarii przed wysyłką, albo sygnalizują go na tyle wcześnie, by umożliwić korektę na etapie produkcji.

W przypadku urządzeń zabezpieczających pominięcie czterech czynności weryfikacyjnych ma największe konsekwencje w dalszym etapie procesu. Test skuteczności izolacji izolatora lub systemu odprowadzania potwierdza, że granica izolacji zachowuje szczelność w reprezentatywnych warunkach przed załadowaniem urządzenia na ciężarówkę. Test utrzymania ciśnienia lub próba szczelności pod próżnią pozwala zastosować mierzalne kryteria do czynności, która w innym przypadku byłaby jedynie kontrolą wzrokową: zespół jest albo szczelny, albo nie, a wynik rejestruje się w odniesieniu do uzgodnionej wartości akceptacyjnej. Badanie integralności filtrów HEPA, przeprowadzane zgodnie z normą ISO 14644 oraz wymogami dokumentacji GMP, o których mowa w załączniku 15, pozwala zweryfikować, czy wydajność filtracji spełnia specyfikację, zanim urządzenie trafi do obszaru kontrolowanego, gdzie naprawa jest znacznie bardziej skomplikowana. Kontrola wymiarów przy użyciu skalibrowanych przyrządów może wydawać się zadaniem czysto administracyjnym, jednak rozbieżności między wymiarami zarejestrowanymi w fabryce a rysunkami wykonawczymi powodują problemy z dopasowaniem, których usunięcie jest naprawdę kosztowne, gdy prace innych branż są już zaawansowane.

Profil ryzyka każdego pominiętego sprawdzenia różni się nie tylko stopniem, ale i charakterem. Niewykryty wyciek na izolator bezpieczeństwa biologicznego przechodzi z etapu korekty fabrycznej do etapu ryzyka związanego z działaniami operatora. Rozbieżność wymiarowa przechodzi z etapu kontroli rysunku do etapu modyfikacji konstrukcyjnej. Traktowanie tych kwestii jako opcjonalnych czynników budujących zaufanie nie oddaje w pełni ich rzeczywistego znaczenia: jest to ostatni etap projektu, na którym usunięcie każdej z kategorii usterek wiąże się ze stosunkowo niewielkimi kosztami.

Kolejność czynności kontrolnych oraz dowody dotyczące alarmów, których obecność powinni potwierdzić nabywcy

Test FAT, który najczęściej jest pomijany ze względu na presję terminów, ma największe znaczenie dla bezpieczeństwa operatorów: chodzi o obserwację działania logiki sterującej w warunkach awarii, a nie tylko podczas normalnej pracy. Symulacja sekwencji nie potwierdza, że program sterownika PLC istnieje; nie potwierdza ona, czy alarm „zdejmowania rękawicy” uruchamia się prawidłowo, czy zatrzymanie awaryjne zatrzymuje system w odpowiedniej kolejności, ani czy otwarcie drzwiczek osłonowych wymusza przejście systemu do zdefiniowanego stanu bezpiecznego, zamiast kontynuowania cyklu.

Obserwacja tych testów ma znaczenie, ponieważ wykrywane przez nie tryby awarii nie są widoczne na rysunkach ani podczas przeglądu dokumentacji. Sytuacja, w której rękawica została zdjęta, a system nie zgłasza tego prawidłowo; blokada, która rejestruje otwarcie osłony, ale nie przerywa sekwencji; czy też wyłącznik awaryjny, który zatrzymuje silniki, ale pozostawia otwarty przewód pod ciśnieniem — żadna z tych usterek nie pojawia się w pakiecie rysunków powykonawczych. Ujawniają się one dopiero podczas przeprowadzania testu. Nabywcy, którzy uczestniczą w testach FAT, ale nie obserwują przebiegu blokad i reakcji alarmów, w praktyce akceptują te elementy na wiarę.

Kompromis jest realny: obserwowanie większej liczby etapów testowych wydłuża wizytę w fabryce i wymaga poświęcenia większej ilości czasu przez personel strony kupującej. Takie wydłużenie jest możliwe do opanowania tylko wtedy, gdy protokół testowy zostanie sfinalizowany i uzgodniony przed wizytą, tak aby zespół fabryczny nie czekał na zatwierdzenie, podczas gdy czas ucieka. W przypadku gdy pomiar czasu reakcji systemu bezpieczeństwa jest uwzględniony — co ma zastosowanie, gdy w specyfikacji bezpieczeństwa określono konkretny poziom wydajności — testy te wymagają wcześniej uzgodnionego oprzyrządowania i metodologii pomiaru czasu, których nie da się zaimprowizować w dniu wizyty.

Usterki logiki sterowania, które trafiają do zakładu, nie wymagają jedynie korekty oprogramowania. W przypadku urządzeń zabezpieczających zdiagnozowanie usterki blokady często wymaga opróżnienia obszaru, przestrzegania procedur dostępu oraz ponownego udokumentowania wszelkich poprawek w ramach kontroli zmian. Koszt ten jest zazwyczaj co najmniej trzykrotnie wyższy niż koszt poprawek fabrycznych, a szacunek ten nie uwzględnia wpływu na harmonogram kwalifikacji.

Sprawdzenie dokumentacji przed wysyłką sprzętu z fabryki

Braki w dokumentacji wykryte na etapie SAT lub IQ nie są drobnymi poprawkami administracyjnymi. Gdy sprzęt fizyczny nie jest zgodny z rysunkami technicznymi podlegającymi kontroli wersji, które zostały dostarczone wraz z nim, lub gdy w dokumentacji technicznej produkcji brakuje certyfikatów materiałowych dla komponentów mających kontakt z produktem lub powietrzem procesowym, zespół kwalifikacyjny nie może kontynuować prac bez usunięcia tych braków — co oznacza konieczność ponownego nawiązania kontaktu z dostawcą po zainstalowaniu sprzętu, pod presją czasu i często przy ograniczonych możliwościach wywierania nacisku.

Zasadą zawartą w załączniku 15, zgodnie z którą dokumentacja musi odzwierciedlać stan rzeczywisty przed rozpoczęciem kwalifikacji, wyznacza się tutaj punkt odniesienia: produkt opuszczający fabrykę stanowi punkt odniesienia, względem którego ocenia się każdy kolejny etap kwalifikacji. Jeśli w momencie wysyłki ten punkt odniesienia jest niekompletny lub niezgodny z rzeczywistością, brak ten nie znika — powoduje on albo opóźnienie kwalifikacji wdrożeniowej (IQ), albo staje się przedmiotem zastrzeżenia.

Najważniejszym elementem kontroli dokumentacji podczas testów FAT jest uzgodnienie zmian zaznaczonych na rysunku czerwoną linią: polega ono na potwierdzeniu, że odchylenia zidentyfikowane i skorygowane podczas samych testów FAT zostały uwzględnione w zaktualizowanej wersji rysunku, a nie jedynie odnotowane w raporcie z testów FAT w formie adnotacji. Raport z testów FAT, w którym opisano zmianę położenia zaworu podczas testów, bez odpowiedniej aktualizacji schematu P&ID, powoduje powstanie stanu dokumentacji, który doprowadzi do stwierdzenia niezgodności podczas testów kwalifikacyjnych (IQ). Wykrycie tego w fabryce, gdy obecny jest jeszcze pierwotny zespół projektowy, jest znacznie bardziej efektywne niż wykrycie tego podczas testów kwalifikacyjnych (IQ), gdy urządzenie jest już zainstalowane, a zespół na miejscu pracuje na podstawie niepoprawionego rysunku.

Aby uzyskać więcej informacji na temat dokumentacji, którą należy przygotować przed udziałem w teście FAT, Przewodnik po najlepszych praktykach dotyczących dokumentacji izolatorów OEB4/OEB5 obejmuje dokumentację, która powinna być przygotowana przed rozpoczęciem kwalifikacji.

Termin zatwierdzenia protokołu przed udziałem w testach FAT

Najczęstszą przyczyną tego, że lista zadań do wykonania w ramach testów FAT wydłuża się ponad miarę, nie jest niska jakość wykonania, lecz opóźnienia w zatwierdzaniu protokołu. Gdy uwagi działu kontroli jakości dotyczące protokołu FAT pojawiają się dopiero po zmontowaniu sprzętu, mają miejsce jednocześnie dwie rzeczy: kryteria odbioru mogą wymagać korekty, aby odzwierciedlały rzeczywisty stan wykonania, a wszelkie kryteria odbioru wymagające fizycznych zmian powodują konieczność przeprowadzenia ponownych testów, co skraca czas między zakończeniem testów FAT a planowaną datą wysyłki.

Zaplanowanie testów FAT na dwa do czterech tygodni przed planowaną datą wysyłki stanowi praktyczne kryterium planowania, którego celem jest zapewnienie czasu na wprowadzenie poprawek. Okres ten ma sens tylko wtedy, gdy protokół zostanie zatwierdzony przed rozpoczęciem testów FAT — a nie poddawany przeglądowi w trakcie ich trwania. W praktyce oznacza to, że dostawca musi przedstawić projekt protokołu z odpowiednim wyprzedzeniem, aby uwzględnić pełny cykl zgłaszania uwag, a odbiorca musi traktować przegląd protokołu jako zadanie projektowe z wyznaczonym terminem, a nie jako czynność wykonywaną na uboczu.

W przypadku wirtualnych testów FAT wymagania dotyczące koordynacji są wyższe, a nie niższe. Przed rozpoczęciem sesji należy zdefiniować role, kanały komunikacji, zasady udostępniania ekranu oraz procedury przekazywania poszczególnych etapów testów, ponieważ możliwość wstrzymania sesji i wyjaśnienia niejasności jest bardziej ograniczona niż w przypadku spotkań osobistych, a ponowne wykonywanie etapów testów w różnych strefach czasowych stanowi poważne utrudnienie. Wstępne zatwierdzenie protokołu i ustalenie ostatecznej konfiguracji sprzętu przed sesją wirtualną nie są jedynie preferencjami administracyjnymi — są to warunki, dzięki którym wirtualny test FAT może dostarczyć wiarygodnych dowodów.

Kryteria odbioru należy uzgodnić przed zakończeniem budowy, a nie po jej zakończeniu. Gdy sprzęt zostanie już zmontowany, dostosowanie kryteriów odbioru do tego, co zostało zbudowane, może wprawdzie spełniać wymogi protokołu, ale pozbawia to sensu samo istnienie tych kryteriów. Uzgodnienie kryteriów na wczesnym etapie — na etapie URS lub podczas przeglądu projektu — oznacza, że cele produkcyjne są znane, a protokół FAT odzwierciedla rzeczywiste wymagania eksploatacyjne, a nie sporządzony po fakcie zapis tego, co zaobserwowano.

Pozycje z listy zadań do wykonania, które powinny uniemożliwić wysyłkę

Nie każda otwarta pozycja z listy FAT ma takie same konsekwencje w momencie wysyłki. W praktyce rozróżnia się pozycje, które można zweryfikować wyłącznie na miejscu — podłączenia mediów, równowaga kaskady ciśnieniowej, integracja z systemami zarządzania budynkiem — oraz pozycje odzwierciedlające nierozwiązane wady fabryczne, które najlepiej może usunąć sam producent. Zmieszanie tych dwóch kategorii — czy to poprzez wysyłkę z nierozwiązanymi pozycjami krytycznymi, czy też poprzez wstrzymanie wysyłki z powodu rzeczywistych punktów uruchomienia zależnych od warunków na miejscu — powoduje niepotrzebne utrudnienia po obu stronach.

Dobrze zarządzana lista zadań do wykonania przypisuje każdej pozycji kategorię, osobę odpowiedzialną oraz albo docelową datę zamknięcia, albo udokumentowane porozumienie, zgodnie z którym pozycja ta zostaje przekazana do SAT wraz z określonymi kryteriami odbioru. Funkcja rozliczalności ma równie duże znaczenie jak funkcja śledzenia. Otwarta pozycja na liście zadań do wykonania, bez przypisanej osoby odpowiedzialnej i bez uzgodnionej ścieżki rozwiązania, nie staje się priorytetem dla nikogo — staje się przedmiotem sporu, gdy zespół na miejscu napotka ją podczas uruchamiania.

Elementy, które powinny uniemożliwić wysyłkę, to te, w których wada ma pochodzenie fabryczne, których usunięcie wymaga zasobów fabrycznych oraz w przypadku których ryzyko wysyłki bez usunięcia wady dotyczy bezpieczeństwa operatorów, integralności systemu zabezpieczającego lub ważności podstawy kwalifikacyjnej. Do tej kategorii należą błędy sekwencjonowania zaworów, usterki logiki alarmowej, niezgodności konstrukcyjne oraz rozbieżności w stanie dokumentacji. Elementy związane z pracami uruchomieniowymi zależnymi od interfejsów — natężenia przepływu mediów, ostateczne wyważenie filtrów, integracja sieci — nie uniemożliwiają wysyłki, ale muszą zostać formalnie odnotowane jako zakres SAT wraz z uzgodnionymi kryteriami.

The Lista kontrolna dotycząca uruchomienia systemu BIBO omawia bardziej szczegółowo przejście od zamknięcia listy zadań FAT do zakresu SAT, w szczególności w odniesieniu do systemów typu „bag-in bag-out”.

Decyzja dotycząca wysyłki podjęta w związku z zakończeniem krytycznego testu FAT

Decyzja o wysyłce stanowi ostatni etap projektu, na którym nabywca ma realną przewagę nad dostawcą. Gdy sprzęt opuści fabrykę, usunięcie wad fizycznych przez dostawcę wymaga albo wizyty na miejscu w kontrolowanych warunkach, albo zwrotu przesyłki — obie te opcje są znacznie droższe niż naprawa w fabryce, a dostawca nie ma umownej motywacji, by traktować je priorytetowo po spełnieniu warunków płatności.

Zezwolenie na wysyłkę z otwartymi pozycjami krytycznymi w oparciu o założenie, że zostaną one uwzględnione podczas uruchomienia obiektu, to schemat często promowany w harmonogramach zamówień, który następnie przejmują zespoły ds. walidacji. Praktyczną konsekwencją jest faza uruchomienia rozpoczynająca się od znanych usterek, zespół na miejscu poświęcający czas przeznaczony na realizację projektu na diagnozowanie problemów, które były już widoczne podczas testów FAT, oraz rozpoczęcie kwalifikacji uzależnione od rozwiązania tych problemów w ramach kontroli zmian, a nie w ramach korekty fabrycznej.

Uzasadnioną praktyką w zakresie wydawania dostaw — popartą zasadniczo wymogiem załącznika 15, zgodnie z którym nierozwiązane kwestie muszą być formalnie śledzone przed przejściem do kolejnego etapu kwalifikacji — jest wymaganie spełnienia jednego z dwóch warunków przed wydaniem jednostki: albo udokumentowanego dowodu zamknięcia każdej krytycznej pozycji z listy zadań do wykonania, albo pisemnego porozumienia, które wyraźnie klasyfikuje daną pozycję jako zakres SAT zależny od placu budowy, określa kryteria akceptacji oraz przypisuje odpowiedzialność. Kluczowym słowem jest ’pisemne”. Ustne porozumienie, że zespół na miejscu zajmie się daną sprawą, nie tworzy odpowiedzialności; powoduje natomiast rozbieżność w oczekiwaniach, która ujawnia się dokładnie w najgorszym momencie.

Dla Skrzynka przepustek VHP oraz wkładanie i wyjmowanie worków w przypadku urządzeń, w których wydajność cyklu odkażania oraz integralność obudowy filtra mają kluczowe znaczenie dla funkcji zabezpieczenia, dopuszczenie do wysyłki urządzenia z nierozwiązanymi problemami dotyczącymi integralności ciśnieniowej lub logiki cyklu skutecznie przenosi ryzyko związane z kwalifikacją zabezpieczenia na zakład — gdzie jego rozwiązanie jest bardziej skomplikowane, kosztowne i widoczne dla organów regulacyjnych.

Decyzja o wysyłce jest momentem, w którym okazuje się, czy wyniki testu FAT są miarodajne, czy też nie. Test FAT, w ramach którego sprawdzono reakcję na alarmy, potwierdzono zmiany stanu blokad, zweryfikowano integralność ciśnienia oraz sporządzono kompletną dokumentację, skutkuje wydaniem zezwolenia na wysyłkę, które zespół ds. kontroli jakości może z pełnym przekonaniem zatwierdzić. Natomiast test FAT, w ramach którego potwierdzono jedynie stan zasilania i wizualną kompletność, skutkuje wydaniem zezwolenia na wysyłkę, które w praktyce oznacza przeniesienie nierozwiązanego ryzyka na zespół w zakładzie.

Przed przystąpieniem do testów FAT najbardziej efektywnym działaniem, jakie może podjąć zamawiający, jest upewnienie się, że protokół został zatwierdzony, że kryteria akceptacji zostały ustalone przed zakończeniem budowy oraz że ramy klasyfikacji listy zadań do wykonania odróżniają kwestie możliwe do rozwiązania w fabryce od rzeczywistego zakresu testów SAT zależnego od warunków na miejscu. Te trzy warunki decydują o tym, czy wizyta w ramach testów FAT dostarczy dowodów, czy też będzie jedynie wydarzeniem harmonogramowym — a to rozróżnienie ma znacznie większe znaczenie dla uruchomienia i kwalifikacji niż liczba dni, jaką zajmuje sama wizyta.

Często zadawane pytania

Pytanie: Co się stanie, jeśli protokół FAT nie zostanie formalnie zatwierdzony przed wizytą w zakładzie?
O: Wizyta w ramach testów FAT będzie stanowić raczej zaplanowane wydarzenie niż dowód, który da się obronić. Bez wcześniej zatwierdzonego protokołu kryteria akceptacji mogą zostać zmienione tak, aby odpowiadały temu, co zostało zbudowane, a nie temu, co zostało określone w specyfikacji; poszczególne etapy testów mogą zostać zakwestionowane w dniu testów, a wszelkie uwagi dotyczące zapewnienia jakości, wymagające fizycznych poprawek, skrócą czas między zakończeniem testów FAT a planowaną datą wysyłki — co potencjalnie zmusi do wyboru między wstrzymaniem wysyłki a jej zrealizowaniem z nierozwiązanymi kwestiami.

Pytanie: Czy wirtualna ocena FAT jest wystarczająca w przypadku urządzeń izolacyjnych, takich jak izolatory i systemy BIBO, czy też konieczna jest obecność świadka na miejscu?
A: Wirtualny FAT może stanowić wiarygodny dowód, ale tylko pod warunkiem spełnienia bardziej rygorystycznych warunków wstępnych niż w przypadku wizyty na miejscu. Przed rozpoczęciem sesji należy zdefiniować role, kanały komunikacji, zasady udostępniania ekranu oraz procedury przekazywania poszczególnych etapów testu, a protokół musi zostać w pełni zatwierdzony z wyprzedzeniem. Możliwość wstrzymania, wyjaśnienia i ponownego wykonania danego etapu jest bardziej ograniczona w przypadku różnic stref czasowych i konfiguracji zdalnych, więc wszelkie niejasności w protokole lub konstrukcji sprzętu, które podczas wizyty osobistej zostałyby szybko wyjaśnione, prawdopodobnie będą wymagały zorganizowania osobnej sesji — co wiąże się z rzeczywistymi kosztami związanymi z harmonogramem.

Pytanie: Na jakim etapie projektu należy określić kryteria akceptacji dla testów FAT?
O: Kryteria akceptacji należy uzgodnić przed zakończeniem budowy urządzenia, najlepiej na etapie URS lub podczas przeglądu projektu. Gdy urządzenie zostanie już zmontowane, ustalanie kryteriów z mocą wsteczną tak, aby odpowiadały one temu, co zostało zbudowane, spełnia wprawdzie wymogi protokołu na papierze, ale pozbawia sensu samo istnienie tych kryteriów. Wczesne uzgodnienie oznacza, że podczas produkcji w fabryce ustalono konkretne cele wydajnościowe, a protokół FAT odzwierciedla rzeczywiste wymagania kwalifikacyjne, a nie jedynie zapis zaobserwowanych wyników.

Pytanie: W jaki sposób kupujący powinien zdecydować, czy wstrzymać wysyłkę, czy też uznać pozycję z listy niedokończonych prac za element zakresu SAT zależny od warunków na miejscu?
O: Czynnikiem decydującym jest to, czy do usunięcia usterki konieczne są zasoby fabryczne. W przypadku elementów, których usterka ma źródło w fabryce — błędy sekwencjonowania zaworów, awarie logiki alarmowej, niezgodności w zakresie integralności ciśnienia, rozbieżności w dokumentacji — należy wstrzymać wysyłkę do czasu przedstawienia dowodów potwierdzających usunięcie usterki. Elementy, które rzeczywiście zależą od interfejsów, takie jak równoważenie przepływu mediów lub integracja z systemem zarządzania budynkiem, mogą zostać przekazane do SAT, pod warunkiem istnienia pisemnej umowy określającej kryteria akceptacji i przypisującej odpowiedzialność. Ustne porozumienie nie jest wystarczające; bez pisemnej klasyfikacji element ten nie ma właściciela ani ścieżki rozwiązania na miejscu.

Pytanie: Czy szczegółowy test FAT ogranicza zakres testu SAT, czy też oba testy muszą pozostać całkowicie niezależne?
A: Dokładne testy FAT nie zastępują testów SAT, ale znacząco zmieniają zakres sprawdzany przez testy SAT. Testy FAT eliminują usterki, które można usunąć w fabryce — integralność obudowy, reakcję na alarmy, logikę sterowania, stan dokumentacji — dzięki czemu testy SAT mogą skupić się na wydajności specyficznej dla danego obiektu: podłączeniach do sieci użytkowej, równowadze kaskad ciśnieniowych, zintegrowanym trasowaniu alarmów oraz wydajności zainstalowanych filtrów w rzeczywistych warunkach eksploatacyjnych. Gdy zakres testu FAT zostaje ograniczony, test SAT obejmuje zarówno swój właściwy zakres, jak i nierozwiązane wady fabryczne, co oznacza, że zespół na miejscu diagnozuje problemy w ramach kontroli zmian, a nie w ramach korekty fabrycznej, przy kosztach wielokrotnie wyższych, rzadko mniejszych niż trzy do jednego.