FAT a SAT w przypadku BSL i urządzeń zabezpieczających: co należy sprawdzić przed wysyłką i na miejscu

Opóźnienia w kwalifikacji projektów dotyczących systemów zabezpieczających rzadko ujawniają się na samym początku. Narastają one niepostrzeżenie w rozbieżności między tym, co zostało zatwierdzone w fabryce, a tym, co faktycznie działa po zainstalowaniu sprzętu — a gdy ta rozbieżność staje się widoczna, presja terminowa związana z zakończeniem testów SAT i kontynuacją prac jest już znaczna. Najczęstszą przyczyną tego rodzaju niepowodzeń jest traktowanie zatwierdzenia FAT jako dowodu, że kwestie związane z działaniem na miejscu zostały rozwiązane, podczas gdy w praktyce stabilność kaskadowa ciśnienia, logika przekaźników alarmowych oraz integracja z systemem BMS nigdy nie zostały przetestowane w rzeczywistych warunkach obiektu. Naprawa na tym etapie jest kosztowna nie tylko pod względem finansowym, ale także w kontekście dokumentacji kwalifikacyjnej: ponowne testy po instalacji powodują niejasności co do tego, które wyniki odnoszą się do której konfiguracji. Aby temu zapobiec, należy dokładnie wiedzieć, które funkcje można w sensowny sposób zweryfikować fabrycznie, a które zależą od warunków, które mogą zaistnieć dopiero po podłączeniu sprzętu do budynku, w którym będzie on działał.

Funkcje podlegające weryfikacji fabrycznej przed wysyłką

Najlepszymi kandydatami do testów FAT są funkcje zależne wyłącznie od samego sprzętu — w przypadku których środowisko fabryczne nie powoduje istotnej rozbieżności między warunkami testowymi a warunkami eksploatacyjnymi. Do tej kategorii należą sekwencje blokad bezpieczeństwa. Blokada pokrywy wirówki, która uniemożliwia uruchomienie silnika przy otwartej pokrywie i utrzymuje blokadę do momentu zatrzymania wirnika, może zostać w pełni zweryfikowana w fabryce, ponieważ jej logika zależy od systemu sterowania i zespołu mechanicznego, a nie od mediów na miejscu lub przepływu powietrza w pomieszczeniu. Jeśli blokada ta zawiedzie podczas testów SAT, awaria ta prawie zawsze wynika z problemów związanych z transportem lub ponownym montażem, a nie z luką w pierwotnym projekcie FAT — a to rozróżnienie ma znaczenie dla zakresu prowadzonego dochodzenia.

Przegląd dokumentacji nie jest w żaden sposób uzależniony od warunków panujących na placu budowy. Sprawdzanie, czy certyfikaty materiałów, schematy elektryczne i tabliczki znamionowe komponentów są zgodne z zatwierdzoną specyfikacją, jest z definicji zadaniem należącym do zakładu produkcyjnego. Przekazanie tego zadania do etapu SAT powoduje stratę czasu na placu budowy i często ujawnia rozbieżności, które powinny były uniemożliwić wysyłkę. W przypadku projektów obejmujących złożone zespoły wieloskładnikowe — Izolatory OEB4/OEB5 na przykład dzięki zintegrowanym układom portów na rękawice i panelom sterowania — wyrównanie dokumentów na etapie FAT to moment, w którym wykrycie błędów na poziomie komponentów jest najtańsze.

Testy szczelności SMEPAC przeprowadzane podczas testów FAT wymagają bardziej starannego zaplanowania. Przeprowadzenie ich w warunkach fabrycznych pozwala uzyskać przydatne dane odniesienia i wykryć poważne awarie szczelności przed wysyłką sprzętu. Wadą tego rozwiązania jest to, że wyniki testów SMEPAC są wrażliwe na konkretne warunki, w jakich są generowane — na wynik wpływają: związek zastępczy, czas trwania działania, konfiguracja sprzętu oraz warunki przepływu powietrza. Jeśli którykolwiek z tych warunków różni się istotnie między konfiguracją testową w fabryce a rzeczywistym procesem na miejscu eksploatacji, wynik testu FAT stanowi jedynie ograniczoną wskazówkę dla kwalifikacji. Są to dane bazowe, a nie dowód wydajności w warunkach eksploatacyjnych.

Interfejsy zależne od lokalizacji, które wymagają dowodów SAT

Niektóre kategorie testów nabierają znaczenia dopiero po zainstalowaniu i podłączeniu sprzętu. Próba ich przeprowadzenia w warunkach fabrycznych, nawet częściowa, dostarcza danych, których nie można z całą pewnością wykorzystać w dokumentacji kwalifikacyjnej.

Najbardziej oczywistym przykładem jest integracja urządzeń pomocniczych. Interfejs sterujący pomiędzy izolatorem a Laboratorium z modułem BSL-3/BSL-4 a system SCADA, PLC lub DCS w obiekcie nie może zostać w pełni przetestowany, dopóki sprzęt fabryczny nie zostanie podłączony do rzeczywistej sieci obiektu. Kompatybilność protokołów, wymiana sygnałów, routing przekaźników alarmowych oraz sekwencje potwierdzania blokad zależą od rzeczywistej architektury sterowania w obiekcie. Symulacja fabryczna z wykorzystaniem reprezentatywnego sterownika PLC może wykryć rażące błędy konfiguracyjne, ale nie pozwala potwierdzić, czy zainstalowany system zachowuje się poprawnie w warunkach eksploatacyjnych obiektu, w scenariuszach przełączania awaryjnego lub przy równoczesnym obciążeniu ze strony innych podłączonych urządzeń. SAT jest jedynym miarodajnym punktem weryfikacji tych zachowań.

Wydajność środowiskowa — stabilność różnicy ciśnień, wskaźniki wymiany powietrza, liczba cząstek, integralność filtrów oraz rozkład temperatury i wilgotności — zależy od zainstalowanego systemu HVAC oraz rzeczywistej geometrii pomieszczenia. Klasyfikacja pomieszczeń czystych zgodnie z normą ISO 14644 zależy od zainstalowanego środowiska, a nie od fabrycznej komory testowej. Pomiary te należy przeprowadzić w ramach testów SAT (Site Acceptance Test), w odniesieniu do specyficznych dla danego obiektu wymagań URS (User Requirements Specification), a nie przenosić je z warunków fabrycznych, które mogą znacznie różnić się pod względem objętości powietrza nawiewanego, oporu wywiewu lub strategii utrzymywania ciśnienia w pomieszczeniu.

Przeprowadzanie testów SMEPAC w rzeczywistych warunkach procesowych wiąże się ze szczególnym ryzykiem, jeśli zostanie odroczone w oparciu o założenie, że dane z testów FAT są wystarczające. Rodzaj API, czas trwania działania oraz konfiguracja sprzętu stosowanego w produkcji mogą nie odpowiadać tym, które zostały zasymulowane w fabryce. Jeśli występują różnice, wynik testu FAT nie stanowi miarodajnego punktu odniesienia na przyszłość, a opieranie się na nim powoduje powstanie luki w zabezpieczeniach, która może ujawnić się dopiero w przypadku zdarzenia narażenia lub kontroli audytowej.

Badania, których nie należy powtarzać bez uzasadnienia

Zasada ta jest prosta i została uwzględniona w zbiorze EudraLex, tom 4 Załącznik 15 określa zasady wykorzystania wcześniej zweryfikowanych danych: jeśli dana funkcja została rygorystycznie przetestowana podczas testów FAT, a transport lub instalacja nie wpłynęły na stan, w jakim została przetestowana, powtórzenie testu podczas IQ/OQ stanowi dodatkowe obciążenie proceduralne, nie zwiększając przy tym pewności co do kwalifikacji. Trudność polega na tym, że zezwolenie to wymaga udokumentowanej podstawy, a nie opiera się na przypuszczeniach.

Obowiązek wykazania, że warunki sprawdzone podczas testów FAT pozostają niezmienione po wysyłce i instalacji, spoczywa na zespole ds. kwalifikacji. W przypadku logiki sterowania, sekwencji blokad i konfiguracji alarmów, które są definiowane programowo i na które transport fizyczny nie ma wpływu, jest to stosunkowo łatwe do udowodnienia, pod warunkiem że protokół i wyniki testów FAT są kompletne, a wersja oprogramowania nie uległa zmianie. W przypadku pomiarów fizycznych — integralności filtrów, ciągłości uszczelnień, wyrównania mechanicznego — konieczne jest przeprowadzenie kontroli po instalacji, która albo potwierdzi, że stan pozostał niezmieniony, albo wskaże, gdzie konieczne jest ponowne przeprowadzenie testów.

Błędem w tym przypadku nie jest nadmierne powtarzanie testów. Polega on na wykorzystywaniu zasady efektywności zawartej w załączniku 15 jako domyślnego uzasadnienia dla pominięcia kontroli na miejscu bez potwierdzenia założeń dotyczących transportu i instalacji. Zespoły kwalifikacyjne, znajdujące się pod presją terminów, mają tendencję do traktowania dokumentacji z testów FAT jako zbioru wyników, z którego mogą swobodnie czerpać, podczas gdy w praktyce każde wykorzystanie tych wyników wymaga udokumentowanego uzasadnienia, że testowane warunki zostały zachowane. W przypadku braku takiego uzasadnienia powtórne przeprowadzenie testów jest jedynym uzasadnionym rozwiązaniem.

Założenia dotyczące transportu i instalacji mające wpływ na IQ/OQ

Transport wiąże się z fizycznym ryzykiem dla sprzętu, który przeszedł test FAT w kontrolowanym, statycznym środowisku fabrycznym. Ryzyko to nie zawsze jest widoczne. Wibracje występujące podczas transportu drogowego lub lotniczego mogą spowodować przesunięcie kaset z filtrami HEPA, przemieszczenie uszczelek lub poluzowanie połączeń gwintowanych — żadne z tych zjawisk nie powoduje widocznych uszkodzeń zewnętrznych, ale wszystkie mogą wpłynąć na integralność izolacji lub parametry ciśnieniowe w sposób wykrywalny wyłącznie poprzez przeprowadzenie testów.

W przypadku konkretnych danych dotyczących szczelności SMEPAC drgania podczas transportu oraz ponowny montaż elementów modułowych to dwa czynniki, które z największym prawdopodobieństwem mogą unieważnić wyniki testu FAT bez widocznych oznak. Filtr HEPA, który został prawidłowo zamontowany i przetestowany pod kątem szczelności w fabryce, może po transporcie dotrzeć z uszkodzonym uszczelnieniem. A Skrzynka przepustek VHP lub izolator transferowy, ponownie zmontowany na miejscu po dostawie, może wykazywać przesunięcie geometrii uszczelki drzwiowej względem pozycji zatwierdzonej fabrycznie. W żadnym z tych przypadków kontrola wzrokowa nie pozwala wiarygodnie wykryć tego problemu. Właściwym rozwiązaniem jest ponowne przeprowadzenie testów funkcjonalnych i szczelności podczas testów SAT, a nie zakładanie, że wynik fabryczny pozostaje aktualny.

Z powyższego wynika, że ocena uszkodzeń transportowych przeprowadzana podczas SAT nie jest czystą formalnością. W przypadku stwierdzenia uszkodzeń — lub jeśli kontrola nie pozwoli potwierdzić, że system dotarł w takim samym stanie, w jakim został wysłany — wyniki testów funkcjonalnych FAT dla systemów, których to dotyczy, należy traktować jako warunkowe, a nie potwierdzone, a zakres ponownych testów należy odpowiednio dostosować.

Zamknięcie listy zadań do wykonania między FAT a SAT

Niezgodności wykryte podczas odbioru fabrycznego (FAT), które nie zostały usunięte przed wysyłką, nie znikają — stają się przedmiotem sporów. Gdy sprzęt znajdzie się już na miejscu, wykonawca ma mniejszą siłę przetargową, by domagać się usunięcia usterek przez producenta, klient jest mniej wyrozumiały wobec opóźnień w harmonogramie, a obie strony podlegają presji, by zaakceptować nierozwiązaną kwestię z odchyleniem od normy, zamiast właściwie ją rozwiązać. Właśnie w wyniku tej dynamiki w dokumentacji jakości gromadzą się wpisy, które trudno jest uzasadnić podczas kontroli.

Mechanizm zapobiegania tej sytuacji jest prosty, ale wymaga dyscypliny: każda niezgodność wykryta podczas testów FAT musi zostać odnotowana, przypisana do konkretnej osoby i albo zamknięta wraz z udokumentowanym potwierdzeniem, albo formalnie odroczona wraz z pisemnym uzasadnieniem, zanim sprzęt zostanie dopuszczony do wysyłki. Pakiet przekazania — który zazwyczaj zawiera podsumowanie nieprawidłowości i otwartych pozycji — stanowi wspólny punkt odniesienia dla producenta i klienta. Gdy dokument ten nie występuje lub jest niekompletny, to, co stanowi zamkniętą pozycję, staje się kwestią interpretacji na miejscu, a właśnie w takim środowisku rodzą się spory dotyczące listy zadań do wykonania.

W praktyce oznacza to dla zespołów ds. zamówień i zapewnienia jakości, że zatwierdzenie FAT nie powinno być traktowane jako moment, w którym klient bezwarunkowo przyjmuje sprzęt. Jest to moment, w którym obie strony uzgadniają, co zostało zweryfikowane, jakie kwestie pozostają otwarte oraz na jakich warunkach wysyłka jest właściwa. Projekty, w których zatwierdzenie FAT utożsamiane jest z ostatecznym odbiorem, nieustannie borykają się z większą liczbą spornych zamknięć SAT. Aby uzyskać wskazówki dotyczące wzajemnego oddziaływania tych punktów kontrolnych uruchomienia w systemach BIBO, należy zapoznać się z Lista kontrolna dotycząca uruchomienia systemu BIBO obejmuje konkretne kwestie związane z IQ i OQ, które najczęściej są pomijane.

Zasady przekazania w przypadku nierozstrzygniętych kwestii dotyczących odbioru obiektu

Zakończenie SAT stanowi prawny i techniczny punkt przejściowy między fazą oddania do użytku a okresem odpowiedzialności za wady. Dopóki certyfikat SAT nie zostanie wspólnie podpisany przez inżyniera zleceniodawcy i wykonawcę, przejście to nie nastąpiło — a bez niego odpowiedzialność za wszelkie ujawnione wady lub awarie jest rzeczywiście niejednoznaczna. Podpisany certyfikat nie jest formalnością dodaną na końcu procesu, który poza tym został już zakończony. Jest to mechanizm, który definiuje zakończenie prac.

Ryzyko operacyjne związane z przedwczesnym zamknięciem pojawia się w dalszej fazie, a nie od razu. Jeśli dokument SAT zostanie podpisany, zanim wszystkie urządzenia, blokady, alarmy i zainstalowane interfejsy zostaną zatwierdzone lub otrzymają formalnie zatwierdzone odstępstwo, nierozwiązane kwestie zostaną uwzględnione w dokumentacji kwalifikacyjnej bez jasnej ścieżki naprawy. Kiedy kwestie te ujawnią się — podczas kwalifikacji operacyjnej (OQ), kwalifikacji wydajnościowej (PQ) lub rutynowej eksploatacji — projekt nie ma jasnej struktury odpowiedzialności określającej, kto ma je rozwiązać i na czyj koszt. W przypadku urządzeń o krytycznym znaczeniu dla bezpieczeństwa, gdzie awaria blokady ciśnieniowej lub niezweryfikowany przekaźnik alarmowy systemu BMS może wpłynąć na bezpieczeństwo operatorów lub zgodność z przepisami, ta niejasność nie jest drobnym problemem administracyjnym.

Standardem zamknięcia sprawy powinno być, aby w raporcie podsumowującym SAT wymieniono wszystkie wymagane testy wraz z ich wynikami, a każda pozycja, która nie przeszła testu, posiadała formalnie zatwierdzone odstępstwo wraz z udokumentowanym uzasadnieniem i planem naprawczym. Zatwierdzone odstępstwo stanowi uzasadniony mechanizm zamknięcia sprawy. Pozycja, która po prostu nie została wymieniona lub została wymieniona jako „w toku” bez podpisanego odstępstwa, jest pozycją otwartą — a pozycja otwarta w momencie zamknięcia sprawy SAT stanowi przyszłe ustalenie z kontroli, które czeka na wyznaczenie terminu.

Granica między FAT a SAT to moment, w którym założenia kwalifikacyjne są albo weryfikowane, albo odrzucane. Dobrze zorganizowany test FAT przynosi rzeczywiste korzyści: potwierdza poprawność funkcji wyprodukowanych w fabryce, uzupełnia braki w dokumentacji oraz tworzy wiarygodną podstawę, na której testy SAT i IQ/OQ mogą się opierać, zamiast je powielać. Problemem nie jest sam test FAT — chodzi o tendencję do rozszerzania zakresu kompetencji testu FAT na obszary, których nie jest on w stanie objąć, traktując zatwierdzenie w środowisku fabrycznym jako dowód działania w obiekcie, do którego sprzęt jeszcze nie trafił.

Przed ustaleniem terminu SAT zespół ds. kwalifikacji powinien być w stanie odpowiedzieć na trzy pytania, popierając swoje odpowiedzi udokumentowanymi dowodami: które wyniki testów FAT są przenoszone na kolejny etap i na jakiej podstawie; które interfejsy zależne od lokalizacji nie zostały jeszcze zweryfikowane; oraz jaki jest status listy zadań do wykonania dla każdej niezgodności zidentyfikowanej podczas testów FAT. Jeśli którakolwiek z tych odpowiedzi jest niejasna lub opiera się na przypuszczeniach, a nie na dokumentacji, planowanie SAT rozpoczęło się na niekompletnych podstawach — a luki te ujawnią się w najgorszym możliwym momencie harmonogramu projektu.

Często zadawane pytania

Pytanie: Czy można połączyć etapy FAT i SAT w jedną procedurę odbioru na miejscu, aby skrócić harmonogram projektu?
O: Połączenie tych etapów jest uzasadnione jedynie w przypadku wąskiej grupy urządzeń, w których nie występuje rozbieżność między warunkami panującymi w fabryce a warunkami na miejscu instalacji — co rzadko ma miejsce w przypadku systemów zabezpieczających. Stabilność kaskady ciśnieniowej, trasowanie przekaźników alarmowych systemu BMS oraz parametry środowiskowe zależne od systemu HVAC nie pozwalają na uzyskanie wiarygodnych danych kwalifikacyjnych, dopóki urządzenie nie zostanie podłączone do działającego obiektu. Połączenie testów FAT z testami SAT nie eliminuje tych zależności; pozbawia ono najwcześniejszej możliwości wykrycia wad fabrycznych, zanim staną się one problemami wymagającymi naprawy na miejscu, a także sprawia, że w dokumentacji kwalifikacyjnej brakuje wyraźnego rozróżnienia między tym, co zostało zweryfikowane w kontrolowanych warunkach fabrycznych, a tym, co zweryfikowano w warunkach eksploatacyjnych. W przypadku izolatorów, modułów BSL lub dowolnych systemów z interfejsami mediów, oszczędność czasu rzadko przetrwa pierwszy nierozstrzygnięty spór dotyczący listy zadań do wykonania w ramach testów SAT.

Pytanie: Jeśli badania SMEPAC zostały przeprowadzone podczas testów FAT, a związek zastępczy i czas trwania działania były reprezentatywne, czy nadal należy je powtórzyć podczas testów SAT?
O: Tak, chyba że zespół kwalifikacyjny jest w stanie udokumentować, że wszystkie istotne warunki — typ API, konfiguracja sprzętu, warunki przepływu powietrza oraz czas trwania działania — zostały potwierdzone jako identyczne w miejscu instalacji, a transport i ponowny montaż nie wpłynęły na integralność uszczelnienia ani filtra. W praktyce takie potwierdzenie wymaga dowodów z kontroli poinstalacyjnej, a nie opierania się na przypuszczeniach. Wibracje podczas transportu mogą spowodować przemieszczenie kaset HEPA lub zmianę geometrii uszczelki drzwi bez widocznych uszkodzeń, a każda z tych zmian unieważnia dane dotyczące szczelności uzyskane podczas testu FAT bez wyraźnego wskaźnika. W przypadku gdy kontrola ta nie pozwala jednoznacznie wykluczyć skutków transportu, przeprowadzenie testu SAT SMEPAC stanowi jedyne uzasadnione rozwiązanie w dokumentacji kwalifikacyjnej.

Pytanie: W którym momencie formalnie zatwierdzone odstępstwo staje się niedopuszczalnym substytutem pozytywnego wyniku egzaminu SAT?
O: Odstępstwo stanowi uzasadniony mechanizm zamknięcia tylko wtedy, gdy towarzyszy mu udokumentowane uzasadnienie oraz określony plan działań naprawczych z wyznaczonym odpowiedzialnym i terminem realizacji. Przestaje być dopuszczalne, gdy służy do uwzględnienia elementów, które nigdy nie zostały przetestowane — a nie tych, które zostały przetestowane i wykazały kontrolowaną niezgodność — lub gdy plan działań naprawczych nie przewiduje realistycznej ścieżki realizacji przed wprowadzeniem sprzętu do eksploatacji. W przypadku funkcji o krytycznym znaczeniu dla zabezpieczenia, takich jak blokady ciśnieniowe, przekaźniki alarmowe systemu BMS lub zainstalowane zabezpieczenia integralności filtrów HEPA, odstępstwo, które odkłada weryfikację na czas nieokreślony, jest funkcjonalnie pozycją otwartą, a pozycja otwarta w momencie zamknięcia SAT pojawi się jako ustalenie podczas przeglądu dokumentacji kwalifikacyjnej zgodnie z kryteriami załącznika 15 lub normy ASTM E2500-25.

Pytanie: Kto ponosi ciężar dowodu, gdy awaria po zakończeniu testów SAT wynika z funkcji zatwierdzonej podczas testów FAT — producent czy zespół ds. kwalifikacji właściciela?
O: Podział odpowiedzialności zależy całkowicie od tego, w jaki sposób udokumentowano przekazanie między FAT a SAT. Jeśli protokół FAT wyraźnie obejmuje daną funkcję, wyniki wskazują na pozytywny wynik, a ocena uszkodzeń transportowych SAT potwierdza, że system dotarł w nienaruszonym stanie, awaria jest najprawdopodobniej związana z instalacją na miejscu lub integracją z infrastrukturą — a odpowiedzialność spoczywa na wykonawcy uruchomienia lub zespole obiektu. Jeśli ocena transportu była pobieżna, założenia dotyczące instalacji nie zostały udokumentowane lub wynik testu FAT został przeniesiony bez pisemnego uzasadnienia potwierdzającego, że przetestowany stan został zachowany, zespół kwalifikacyjny nie jest w stanie jednoznacznie oddzielić odpowiedzialności producenta od odpowiedzialności za instalację. Właśnie tej niejasności mają zapobiegać kompletny pakiet przekazania oraz rygorystyczna kontrola poinstalacyjna.

Pytanie: Czy istnieje pewien próg złożoności sprzętu, poniżej którego rozdzielenie funkcji FAT i SAT staje się raczej zbędnym obciążeniem niż rzeczywistym zarządzaniem ryzykiem?
O: W przypadku samodzielnych, samowystarczalnych urządzeń bez interfejsów z instalacjami obiektowymi, bez integracji z systemem zarządzania budynkiem (BMS) oraz bez wymagań dotyczących parametrów środowiskowych zgodnych z normą ISO 14644 można uzasadnić zastosowanie uproszczonego, jednofazowego protokołu odbioru — pod warunkiem, że w uzasadnieniu kwalifikacji wyjaśniono, dlaczego nie występują zmienne zależne od obiektu. Próg ten prawie nigdy nie jest spełniony w przypadku izolatorów hermetycznych, laboratoriów modułowych BSL lub zintegrowanych systemów przelotowych, które z założenia posiadają interfejsy ciśnieniowe, wywiewne, HVAC i sterujące, które można rozwiązać wyłącznie na miejscu. Nakład pracy związany z utrzymaniem struktury FAT-SAT rośnie wraz ze złożonością interfejsów, a nie z rozmiarem sprzętu. Kompaktowy Skrzynka przepustek VHP Urządzenie zainstalowane jako samodzielna stacja przesyłowa może wymagać mniejszego zakresu testów SAT niż pełna linia izolacyjna, jednak integralność uszczelnienia drzwi oraz wydajność cyklu VHP po montażu nadal wymagają weryfikacji na miejscu, której nie mogą zastąpić testy fabryczne.