Wymagania użytkowe (URS) dla stałego generatora VHP: Dane wejściowe, które muszą określić zespoły inżynierów

Stały generator VHP obsługujący wiele pomieszczeń lub komór realizuje wyłącznie zadania określone w projekcie przed sporządzeniem specyfikacji. Po dobraniu i zainstalowaniu sprzętu cykl oczyszczania, jaki zapewnia, jest ustalony zgodnie z opisem zawartym w URS, a nie zgodnie z późniejszymi potrzebami danego pomieszczenia lub procesu. Zespoły inżynierów przygotowujące ten dokument faktycznie wyznaczają granice, do których można się odwołać w ramach każdej oferty przetargowej.

Zacznij od pomieszczeń, ładunków i przewidzianych zadań związanych z odkażaniem

Stacjonarny generator VHP nie odkaża przestrzeni ogólnej. Obsługuje on określoną komorę, w określonym stanie pracy, przy określonym obciążeniu, w określonym celu, z określoną ścieżką odprowadzania poprzez wentylację i uwolnienie. Każdy z tych elementów wpływa na to, co dostawca może wiarygodnie zaproponować, a zmiana jednego z nich bez uwzględnienia pozostałych prowadzi do powstania specyfikacji, której nie da się później zweryfikować.

Zakres obsługi danej komory ma znaczenie, ponieważ pojedynczy generator może zasilać jedno pomieszczenie lub kilka połączonych ze sobą przestrzeni, a zakres obsługi różni się w zależności od tego, czy projekt dotyczy komory izolacyjnej, przestrzeni przejściowej, czy zespołu połączonych pomieszczeń. Indywidualne nazwanie każdej komory, zamiast ogólnego opisu instalacji, pozwala powiązać oferowany zakres obsługi z tym, co faktycznie zostanie zakwalifikowane.

Stan eksploatacyjny jest zmienną niezależną od samego pomieszczenia. To samo pomieszczenie, poddane dekontaminacji w stanie spoczynku, charakteryzuje się innym obciążeniem i stwarza inne wyzwania związane z przenikaniem zanieczyszczeń niż to samo pomieszczenie z zainstalowanym sprzętem technologicznym, otwartymi drzwiami do sąsiednich przestrzeni lub systemem wentylacyjnym o określonej konfiguracji. W przypadku gdy specyfikacja URS nie określa stanu eksploatacyjnego dla każdego z poddawanych obróbce pomieszczeń, dwaj dostawcy mogą zaproponować cykle różniące się pod względem funkcjonalnym, choć pozornie spełniają te same wymagania.

Obciążenie reprezentatywne wynika bezpośrednio ze stanu eksploatacyjnego. Cykl testowy przeprowadzony dla pustej obudowy nie pozwala ustalić parametrów eksploatacyjnych w odniesieniu do obciążenia, jakie obudowa będzie faktycznie przenosić podczas użytkowania produkcyjnego. Jeśli w ramach projektu nastąpi zmiana obciążenia reprezentatywnego po złożeniu ofert, zmieniają się wraz z nią podstawy projektowe dostawcy, a porównania dokonane na wcześniejszych podstawach tracą ważność.

Cel procesu powinien być wyraźnie określony, a nie wynikający z kontekstu. Obowiązek dekontaminacji mający na celu umożliwienie ponownego wejścia personelu wiąże się z innymi oczekiwaniami niż ten, który ma na celu ułatwienie przenoszenia materiałów lub przygotowanie pomieszczeń do kolejnej kampanii, a określony cel powinien być zgodny z tym, jak w ramach projektu zostanie później zdefiniowana akceptacja.

Wentylacja i odgazowanie dopełniają definicję zadania. Cykl oczyszczania bez określonej drogi odprowadzania resztkowego nadtlenku wodoru oraz bez ustalonych kryteriów uznania przestrzeni za odgazowaną sprawia, że druga połowa zadania pozostaje nieokreślona. W zależności od tego, czy droga odgazowania przebiega przez istniejącą instalację HVAC, przez dedykowane urządzenia wentylacyjne, czy też przez inną ścieżkę wywiewu, odpowiednio zmieniają się wymagana wydajność generatora oraz sekwencja sterowania. Każdy z tych pięciu elementów powinien zostać uwzględniony dla każdej obrabianej komory przed przejściem projektu do etapu interfejsów z sieciami użytkowymi i dystrybucyjnymi, ponieważ każda decyzja dotycząca interfejsów na dalszym etapie zależy od wcześniejszego ustalenia zakresu zadania.

Zdefiniowanie interfejsów użytkowych i dystrybucyjnych bez ukrywania luk w zakresie

Po ustaleniu zadania w specyfikacji URS należy opisać sposób podłączenia generatora do obiektu, a właśnie w tym miejscu granice zakresu są najczęściej pozostawione w domyśle, a nie wyraźnie określone. Stacjonarny generator VHP wymaga zasilania, doprowadzenia nadtlenku wodoru oraz określonej metody postępowania z nim, drogi dystrybucji oparów do obrabianej komory, drogi odprowadzania spalin, a także przepustnic, czujników i dostępu serwisowego niezbędnych do obsługi i konserwacji systemu. Nie należy domyślnie zakładać, że którekolwiek z tych elementów wchodzi w zakres odpowiedzialności dostawcy sprzętu lub pozostaje poza nim.

Rurociągi lub kanały dystrybucyjne łączące generator z pomieszczeniem, a także wszelkie wspólne wykorzystanie istniejącej infrastruktury HVAC do dystrybucji lub odprowadzania spalin, stanowią naturalną granicę między systemami. W przypadku gdy w ramach projektu planuje się przepuszczanie pary przez istniejące kanały, specyfikacja URS powinna bezpośrednio określać ten zamiar, zamiast pozostawiać dostawcy możliwość samodzielnego wywnioskowania tego, ponieważ zarówno projekt systemu dystrybucji generatora, jak i projekt systemu HVAC obiektu zależą od tego, po której stronie tej granicy leży odpowiedzialność każdej ze stron. To samo dotyczy wywiewu: to, czy generator odprowadza powietrze do dedykowanego kanału, czy też współdzieli istniejący system wywiewowy, zmienia zakres obowiązków zespołu obiektu oraz warunki brzegowe, które dostawca sprzętu musi zaakceptować.

Przepustnice i czujniki znajdują się na tej samej linii styku. Sterowanie przepustnicami może należeć do systemu sterowania generatorem, do systemu zarządzania budynkiem lub być podzielone między te systemy w zależności od tego, jak w projekcie rozdzielono obowiązki, a specyfikacja URS powinna określać, który warunek ma zastosowanie, zamiast pozostawiać kwestię przynależności przepustnic do rozstrzygnięcia podczas uruchomienia. Umiejscowienie czujników przeznaczonych do weryfikacji parametrów cyklu wewnątrz obsługiwanej obudowy – w odróżnieniu od czujników monitorujących sam generator – powinno być określone pod względem lokalizacji i funkcji, tak aby można było prześledzić podział między oprzyrządowaniem po stronie sprzętu a oprzyrządowaniem po stronie obiektu.

Dostęp do instalacji ma charakter zarówno fizyczny, jak i kontrolny. W przypadku gdy generator, jego źródło nadtlenku wodoru lub elementy dystrybucyjne wymagają dostępu w celu przeprowadzenia konserwacji, w specyfikacji URS należy określić warunki dostępu, jakie zapewni obiekt, ponieważ zarówno rozmieszczenie sprzętu, jak i układ obiektu są przez nie ograniczone. Pominięcie któregokolwiek z tych elementów nie eliminuje kwestii zakresu; powoduje jedynie jej odłożenie na późniejszy etap projektu, na którym jej rozwiązanie będzie kosztowało więcej niż jej wcześniejsze zdefiniowanie.

Określ stany elementów sterujących, blokady, alarmy oraz wymagania dotyczące danych

Wymagania dotyczące sterowania należy ustalać w oparciu o to, co faktycznie ma znaczenie z punktu widzenia GMP w danym projekcie, a nie stosować je jednolicie do każdego sygnału, jaki system może generować. System sterowania stałego generatora VHP może generować sygnały zezwalające, blokady, alarmy, ograniczenia dostępu użytkowników, dane archiwalne oraz sygnały do systemu zarządzania budynkiem, a każda z tych kategorii ma inne znaczenie w zależności od tego, co projekt musi wykazać.

Warunki dopuszczające i blokady określają, czy cykl może się rozpocząć, czy też musi zostać zatrzymany, a w projekcie należy określić, jakie warunki muszą być spełnione przed rozpoczęciem procesu oraz jakie warunki w trakcie jego trwania wymagają zatrzymania cyklu. W przypadku gdy blokada wiąże pracę generatora z położeniem drzwi, stanem przepustnicy lub stanem sąsiedniego pomieszczenia, zależność ta powinna zostać określona w specyfikacji wymagań użytkowych (URS) jako zdefiniowany warunek, a nie pozostawiona domyślnemu zachowaniu systemu sterowania.

W przypadku alarmów należy wprowadzić podobne rozróżnienie między sygnałami o charakterze informacyjnym a tymi, które wymagają określonej reakcji. Nie każdy alarm generowany przez generator ma takie same konsekwencje, dlatego w projekcie należy określić, które alarmy wymagają podjęcia działań przez operatora, które wymagają odnotowania odstępstwa, a które mają charakter wyłącznie informacyjny.

Dostęp użytkowników i przechowywanie danych stają się istotne z punktu widzenia GMP, gdy dane te służą do zatwierdzania partii, badania odstępstw lub spełnienia wymagań dotyczących ścieżki audytu zgodnie z Struktura systemu komputerowego określona w załączniku 11, który wymaga walidacji wymagań użytkownika opartej na ryzyku oraz kontroli ścieżek audytu, przechowywanych danych, kopii zapasowych i dostępu. Zakres załącznika 11 opiera się na udokumentowanym ryzyku, a nie rozciąga się automatycznie na każde zdarzenie w obiekcie, które system kontroli może zarejestrować; w przypadku gdy dany punkt danych nie stanowi podstawy do podjęcia decyzji zgodnej z GMP, traktowanie go z taką samą rygorystycznością jak danych, które taką podstawę stanowią, zwiększa obciążenie związane z kontrolą, nie zapewniając przy tym dodatkowej pewności. W ramach projektu należy określić, które sygnały, alarmy i zapisy mają znaczenie dla GMP, a które nie, i odpowiednio sformułować specyfikację wymagań użytkownika (URS), zamiast wymagać pełnej rygorystycznej walidacji każdego dostępnego sygnału.

Sygnały systemu zarządzania budynkiem znajdują się na styku między własnym systemem sterowania generatora a szerszym systemem monitorowania obiektu. Należy wyraźnie określić, czy dany sygnał ma charakter informacyjny dla systemu zarządzania budynkiem (BMS), czy też stanowi część dokumentacji podlegającej wymogom GMP, ponieważ od tego zależy, czy sygnał ten będzie później wymagał takich samych dowodów kwalifikacyjnych, jak podstawowe funkcje sterowania generatora.

Powiązanie każdego wymogu URS z dowodami FAT, SAT, IQ i OQ

A Wymagania URS którego nie da się powiązać z konkretnym etapem weryfikacji, trudno jest później wyegzekwować, niezależnie od tego, jak jasno zostało sformułowane. Załącznik 15 łączy specyfikację wymagań użytkownika z kwalifikacją projektową, umożliwia przeprowadzenie uzasadnionych fabrycznych testów odbiorczych u dostawcy, uzupełnionych o testy odbiorcze na miejscu, oraz rozróżnia dowody kwalifikacji instalacyjnej od dowodów kwalifikacji eksploatacyjnej – wszystko to w ramach zatwierdzonych protokołów z wcześniej określonymi kryteriami odbioru i udokumentowanymi odstępstwami. Zastosowanie tej struktury do stacjonarnego generatora VHP oznacza, że każde odpowiednie wymaganie z poprzednich sekcji musi znaleźć swoje miejsce w tym łańcuchu dowodowym, zanim projekt przejdzie do etapu porównania ofert.

Przegląd projektu stanowi pierwszy punkt kontrolny i powinien potwierdzić, że określone zadania, interfejsy oraz wymagania dotyczące sterowania zostały uwzględnione w proponowanym projekcie, zanim przeprowadzone zostaną jakiekolwiek testy fizyczne. Wymaganie, które pojawia się po raz pierwszy dopiero podczas testów FAT, oznacza w praktyce pominięcie przeglądu projektu, a usunięcie wszelkich luk wykrytych na tym etapie wiąże się z wyższymi kosztami niż w przypadku wykrycia ich wcześniej.

Testy FAT i SAT rozdzielają odpowiedzialność między weryfikację w zakładzie dostawcy a weryfikację w miejscu instalacji. W przypadku gdy wymóg można w sposób miarodajny przetestować w zakładzie dostawcy przy użyciu uzasadnionej konfiguracji testowej, dowód z testu FAT może go spełnić; w przypadku gdy wymóg zależy od faktycznie zainstalowanych interfejsów, takich jak ścieżka dystrybucji podłączona do rzeczywistej obudowy lub blokada powiązana z rzeczywistą przepustnicą obiektu, dowód dostarcza wówczas test SAT. W projekcie należy określić, które wymagania należą do danego etapu, zamiast zakładać, że test FAT sam w sobie obejmie wszystko.

W ramach załącznika 15 kwalifikacja instalacyjna (IQ) i kwalifikacja operacyjna (OQ) pozostają odrębnymi rodzajami dowodów, a ich mylenie powoduje niejasność co do tego, co faktycznie zostało wykazane. Kwalifikacja instalacyjna potwierdza, że system został zainstalowany zgodnie ze specyfikacją; kwalifikacja operacyjna potwierdza, że system działa zgodnie ze specyfikacją w całym przewidzianym zakresie. Element sterujący lub blokada wymienione w specyfikacji wymagań użytkowych (URS) powinny być powiązane z jedną z tych kwalifikacji, a nie z ogólnym oświadczeniem o kwalifikacji, które nie precyzuje, o którą z nich chodzi.

Każde działanie weryfikacyjne zaplanowane w ramach tych etapów powinno przebiegać zgodnie z zatwierdzonym protokołem, zawierającym z góry określone kryterium akceptacji właściwe dla projektu, a wszelkie odchylenia wynikające z tego działania powinny być dokumentowane w odniesieniu do tego samego kryterium. W ramach tych działań związanych z identyfikowalnością informacje projektowe przekazane dostawcy generatorów – w tym zdefiniowane zadania, interfejsy i wymagania sterowania z poprzednich sekcji – są uwzględniane w procesie weryfikacji konfiguracji i oferty przez tego dostawcę, ponieważ dostawca nie może zaproponować uzasadnione dowody dotyczące FAT lub opracować odpowiedni projekt kontrolny, nie sprawdzając najpierw, w jaki sposób w projekcie wyznaczono te granice.

Ustalanie założeń dotyczących ofert oraz określenie podmiotów odpowiedzialnych za akceptację projektu

Powyższe sekcje tworzą łańcuch: określony obowiązek dla każdego obszaru, zdefiniowane interfejsy wraz z określeniem zakresu odpowiedzialności, wymagania kontrolne dostosowane do faktycznego znaczenia w kontekście GMP oraz powiązanie każdego wymagania z konkretnym etapem weryfikacji. Porównanie ofert opiera się na tym, że każdy dostawca odnosi się do tego samego łańcucha, a nie wypełnia luki opierając się na różnych założeniach.

W przypadku gdy specyfikacja URS nie określa danego elementu, dostawca proponujący gotowy generator VHP, taki jak Jednostka typu I Oferowane w ramach tej kategorii sprzętu rozwiązania zazwyczaj wypełniają tę lukę, opierając się na założeniach dostosowanych do ich standardowej konfiguracji, a nie do rzeczywistych warunków projektu. Nie jest to wada oferty dostawcy; jest to konsekwencja niekompletnego opisu wymagań. W ramach projektu należy traktować każdy obszar, w którym oferty znacznie się różnią, jako sygnał, że w opisie wymagań (URS) element ten pozostawiono otwarty, zamiast uznawać najniższą lub najbardziej kompleksową ofertę za automatycznie prawidłową.

Odpowiedzialność za kryteria akceptacji powinna przez cały czas spoczywać na projekcie, zgodnie z zasadą wcześniej zdefiniowanych kryteriów, która ma zastosowanie podczas przeglądu projektu, testów FAT, SAT, IQ i OQ. Dostawca może zaproponować metody testowe i wykazać, że jego sprzęt spełnia określone kryterium, jednak samo kryterium oraz decyzja o akceptacji lub odrzuceniu dowodów w tej sprawie należą do zespołu projektowego. W przypadku braku jasności co do tego podziału odpowiedzialności wewnętrzne kryteria testowe dostawcy mogą zostać pomylone ze standardami akceptacji projektu, co osłabia pozycję projektu, jeśli w późniejszym czasie konieczne będzie uzasadnienie jakiegokolwiek odstępstwa.

Kwestia własności interfejsów – określona wcześniej w odniesieniu do zasilania, doprowadzenia i obsługi nadtlenku wodoru, dystrybucji, układu wydechowego, przepustnic, czujników oraz dostępu serwisowego – powinna zostać wyraźnie potwierdzona w założeniach ofertowych, osobno dla każdej obudowy, a nie pozostawiona w formie ogólnego opisu zakresu. Ogólne stwierdzenie, że dostawca dostarcza “agregat prądotwórczy i standardowe interfejsy”, nie wyjaśnia, która strona jest właścicielem konkretnej przepustnicy lub konkretnego przyłącza wydechowego w konkretnym pomieszczeniu.

W przypadku gdy w ramach projektu nie ustalono jeszcze, w jaki sposób będzie kwalifikowany stan pracy, obciążenie lub droga zwolnienia danej obudowy, tę lukę należy wskazać w zapytaniu ofertowym, a nie pozostawiać jej interpretacji dostawcom składającym oferty, ponieważ interpretacja każdego dostawcy stanie się inną, nieporównywalną podstawą dla wynikającej z niej oferty.

Często zadawane pytania

Q: W jaki sposób zespoły inżynierów mogą porównać oferty na generatory VHP o stałej mocy, skoro dostawcy w różny sposób określają zakres interfejsów?
A: Przed porównaniem należy ujednolicić wszystkie oferty w oparciu o tę samą listę elementów wyposażenia. W odniesieniu do zasilania, dostaw i obsługi nadtlenku wodoru, rurociągów dystrybucyjnych, przyłączy systemów wentylacji, klimatyzacji i ogrzewania (HVAC), wywiewu, przepustnic, czujników oraz dostępu serwisowego należy odnotować założenia dostawcy oraz wskazać wszelkie elementy, których własność pozostaje nieokreślona.

Q: Co powinno być wpisane w URS, jeśli ostateczne obciążenie pomieszczenia nie zostało jeszcze potwierdzone?
A: Należy określić obciążenie reprezentatywne wykorzystywane w zapytaniu ofertowym oraz zaznaczyć, że stanowi ono podstawę porównawczą, a nie ostatecznie potwierdzony warunek. Dzięki temu zespół będzie mógł ustalić, które późniejsze decyzje dotyczące obciążenia będą wymagały ponownej oceny proponowanego zakresu działań.

Q: W jaki sposób w ramach projektu należy ustalić, które wymagania dotyczące kontroli i danych mają znaczenie z punktu widzenia GMP?
A: Należy sklasyfikować każdy stan sterowania, alarm, blokadę, zasadę dostępu użytkownika, zapisany rekord oraz sygnał systemu BMS zgodnie z ich rzeczywistą rolą w procesie i udokumentowanym ryzykiem. Na podstawie tej klasyfikacji należy określić odpowiednie wymagania dotyczące dostępu, okresu przechowywania, ścieżki audytu, tworzenia kopii zapasowych oraz walidacji, zamiast traktować każde zdarzenie w obiekcie w ten sam sposób.

Q: Czy pozytywne wyniki badań FAT mogą zastąpić badania na miejscu lub dokumentację kwalifikacyjną?
A: Nie jest to reguła ogólna. W ramach projektu można wykorzystać uzasadnioną dokumentację dostawcy dotyczącą testów FAT w odniesieniu do odpowiednich wymagań, jednak należy nadal oddzielnie określić wymaganą dokumentację dotyczącą testów SAT, IQ i OQ oraz stosować zatwierdzone protokoły i z góry określone kryteria akceptacji ustalone przez projekt na odpowiednim etapie.

Q: Co sprawia, że generator VHP o stałej mocy spełnia wymagania URS w zakresie testowania?
A: Wymaganie podlegające weryfikacji łączy wymagany warunek z zaplanowanym etapem weryfikacji oraz z góry określonym kryterium akceptacji ustalonym przez zespół projektowy. Powinno ono również określać, w jaki sposób będą dokumentowane odchylenia, tak aby ostateczne dowody można było powiązać z pierwotnym wymaganiem.