Klapa izolacyjna, która przeszła testy fabryczne, musi jeszcze sprawdzić się w układzie kanałów wentylacyjnych, pętli regulacyjnej oraz w warunkach zasilania energią elektryczną i powietrzem, w których będzie faktycznie pracować. Testy odbiorcze obiektu właśnie w tym momencie zespół projektowy sprawdza, czy zainstalowana przepustnica zamyka się, otwiera, przekazuje informacje o swoim położeniu oraz reaguje na sytuacje awaryjne zgodnie z wymogami zatwierdzonego protokołu — a nie tak, jak mogłoby to sugerować ogólne założenie dotyczące działania zabezpieczającego przed awarią. W przypadku klapy izolacyjne zapewniające bezpieczeństwo biologiczne znajdujące się na granicach stref bezpieczeństwa, jest to weryfikacja środków bezpieczeństwa biologicznego Zadanie: gromadzone dane mają na celu ustalenie, czy rzeczywiste działanie zainstalowanej przepustnicy zapewnia kontrolę przepływu powietrza i ciśnienia, od których zależy funkcjonowanie obiektu, a nie dotyczą one aseptycznej ochrony produktu ani żadnych celów związanych z procesami w pomieszczeniach czystych zgodnych z GMP.
Kontrola stanu po montażu przed przeprowadzeniem testów funkcjonalnych
Przed wydaniem jakiegokolwiek polecenia należy upewnić się, że zainstalowana przepustnica jest właśnie tym elementem, do testowania którego opracowano protokół SAT. Orientacja ma znaczenie, ponieważ skok łopatki przepustnicy, sposób montażu siłownika oraz zachowanie w pozycji awaryjnej zakładają konkretną orientację montażową; jeśli urządzenie zostanie obrócone lub zamontowane w sposób niezgodny z założeniami projektowymi, wszystkie późniejsze pomiary zamknięcia i wyniki sprzężenia zwrotnego będą dokonywane w odniesieniu do niewłaściwego punktu odniesienia. Podpory i prześwity mają znaczenie z powiązanego, ale odrębnego powodu — przepustnica, która jest nieprawidłowo podparta konstrukcyjnie lub której brakuje prześwitu na pełny skok łopatki, może sprawiać wrażenie, że zamyka się lub otwiera prawidłowo w warunkach niewielkiego obciążenia, a jednocześnie nie jest w stanie osiągnąć lub utrzymać pozycji końcowej po obciążeniu ciśnieniem w kanale lub w przypadku rzeczywistej awarii.
Kontrole mediów potwierdzają, że zasilanie elektryczne i pneumatyczne (w przypadku przepustnic sterowanych pneumatycznie) są obecne, mają właściwe parametry znamionowe i są podłączone zgodnie z założeniami projektowymi, ponieważ scenariusz utraty zasilania lub utraty powietrza, testowany w późniejszym etapie, ma znaczenie tylko wtedy, gdy wcześniej potwierdzono poprawność normalnych warunków zasilania. Kontrole identyfikacyjne — numery identyfikacyjne, oznakowanie i zgodność z rysunkami technicznymi — mają największe znaczenie w przypadku, gdy na tej samej przegrodzie lub w tym samym systemie wentylacyjnym znajduje się wiele podobnych przepustnic, ponieważ wynik testu funkcjonalnego odnotowany przy niewłaściwym numerze identyfikacyjnym unieważnia identyfikowalność, od której zależy protokół SAT.
Weryfikacja okablowania sterującego to etap, w ramach którego fizyczny przepustnica zostaje podłączona do systemu sterowania, który będzie wysyłał polecenia i odbierał sygnały zwrotne podczas testów funkcjonalnych. W przypadku nieprawidłowej polaryzacji, adresowania lub zakończenia okablowania testy funkcjonalne mogą dać wynik, który wydaje się wiarygodny, ale odzwierciedla raczej usterkę okablowania niż rzeczywiste zachowanie przepustnicy lub siłownika — sytuację tę często wykrywa się dopiero wtedy, gdy późniejszy alarm lub sygnał blokady wywołuje reakcję niezgodną z zainstalowaną logiką.
Dla planowania testów SAT przez zamawiającego oznacza to, że te kontrole stanu po montażu nie są jedynie formalnością poprzedzającą “prawdziwe” testy — pozwalają one ustalić, czy późniejsze wyniki testów funkcjonalnych, alarmowych i scenariuszy awarii można uznać za wiarygodne odzwierciedlenie rzeczywistej wydajności klapy po montażu, a nie za skutek wady montażowej. W przypadku pominięcia lub pośpiesznego przeprowadzenia tej fazy wstępnej rozpoznanie odchyleń wykrytych podczas testów funkcjonalnych staje się trudniejsze, ponieważ zespół nie jest w stanie odróżnić problemu montażowego od usterki samej klapy lub układu sterowania.
Polecenie zamknięcia, sygnał zwrotny położenia i weryfikacja przesunięcia
| Element testowy | Dowody oparte na poleceniu „close” | Dowody oparte na poleceniach otwartych | Granica akceptacji |
|---|---|---|---|
| Rzeczywista podróż | Zarejestruj skok zamontowanej klapy po wydaniu polecenia zamknięcia. | Zarejestruj skok zamontowanej przepustnicy po wydaniu polecenia otwarcia. | Porównaj rzeczywisty przebieg z zatwierdzonym protokołem SAT. |
| Sygnalizacja osiągnięcia pozycji końcowej | Sprawdź sygnał zwrotny dotyczący pozycji końcowej osiągniętej po wydaniu polecenia zamknięcia. | Sprawdź sygnał zwrotny dotyczący pozycji końcowej osiągniętej po wydaniu polecenia otwarcia. | Wymagane informacje zwrotne dotyczą konkretnego projektu i muszą być zgodne z zatwierdzonym protokołem SAT. |
| Czas | Zapisz zmierzony czas zamknięcia. | Zapisz zmierzony czas otwierania. | Należy zastosować z góry określone kryterium projektu; nie ustalono tu żadnej uniwersalnej wartości czasowej. |
| Objawy miejscowe i odległe | Należy sprawdzić odpowiednie wskazania lokalne i zdalne w trakcie i po zamknięciu. | Należy sprawdzić odpowiednie wskazania lokalne i zdalne w trakcie otwierania oraz po jego zakończeniu. | Należy oceniać wyłącznie wskazania uwzględnione w zatwierdzonym protokole badania SAT. |
Po potwierdzeniu warunków montażu testy funkcjonalne skupiają się na węższym zagadnieniu: czy przepustnica wykonuje polecenia układu sterującego i czy układ sterujący wie, co faktycznie zrobiła przepustnica? Są to dwie odrębne kontrole. Pierwsza dotyczy rzeczywistego skoku — czy łopatka fizycznie przesuwa się do zadanej pozycji. Druga dotyczy sygnału zwrotnego z pozycji końcowej — czy czujnik lub przełącznik sygnalizujący tę pozycję jest zgodny z fizycznym skokiem. Przepustnica może poruszać się prawidłowo, podczas gdy jej sygnał zwrotny jest błędny, lub może nie przesunąć się w pełni, podczas gdy sygnał zwrotny fałszywie sygnalizuje powodzenie; każdy z tych stanów stanowi istotne ustalenie w ramach testu SAT, a żaden z nich nie jest widoczny, chyba że oba zostaną sprawdzone niezależnie dla polecenia zamknięcia i polecenia otwarcia.
Czas działania jest sprawdzany z powiązanego powodu: przepustnica, która ostatecznie osiąga właściwą pozycję końcową, ale zajmuje to więcej czasu niż dopuszcza zatwierdzony protokół, może nadal stanowić odchylenie, zwłaszcza gdy działanie tej przepustnicy jest skoordynowane z innymi elementami regulującymi przepływ powietrza lub ciśnienie w projekcie obudowy bezpieczeństwa. Sprawdzane są wskazania lokalne i zdalne, ponieważ operatorzy i personel dyspozytorni opierają się na różnych źródłach informacji, a w ramach projektu mogą zostać określone kryteria akceptacji dla jednego z nich, drugiego lub obu, w zależności od sposobu monitorowania przepustnicy.
Warunkiem, który zmienia tę ocenę, jest to, co faktycznie określa zatwierdzony protokół SAT. Nie ustalono tutaj żadnej uniwersalnej wartości czasowej ani wymaganego typu informacji zwrotnej — granicą akceptacji są kryteria z góry określone w projekcie, a zadaniem zamawiającego jest potwierdzenie, że każdy zarejestrowany wynik jest porównywany z tym konkretnym dokumentem, a nie z ogólnymi założeniami branżowymi. W przypadku gdy obiekt obsługuje wiele przepustnic o różnych funkcjach w ramach tej samej granicy, zamawiający powinien upewnić się, że protokół każdej przepustnicy odzwierciedla jej własną rolę, a nie jedno ogólne kryterium stosowane do wszystkich urządzeń.
Problemy związane z alarmami i blokadami w warunkach symulowanych awarii
Testowanie alarmów i blokad ma na celu sprawdzenie, czy reakcja przepustnicy jest prawidłowo powiązana z szerszą logiką sterowania obiektu, a nie tylko z jej własnymi poleceniami otwierania i zamykania. Blokada zazwyczaj łączy działanie przepustnicy z warunkiem występującym w innym miejscu systemu — stanem wentylatora, położeniem innej przepustnicy lub monitorowaną relacją ciśnień — tak więc samo prawidłowe działanie przepustnicy nie jest wystarczające; blokada musi faktycznie zadziałać, a przepustnica musi na nią faktycznie zareagować w konkretnym scenariuszu, który zgodnie z założeniami projektu ma zostać zasymulowany.
W tym przypadku to z góry określony zakres protokołu SAT staje się punktem odniesienia, a nie ogólne założenie dotyczące tego, jak “powinna” zachowywać się klapa bezpieczeństwa biologicznego w przypadku jakiejkolwiek awarii. Różne projekty systemów izolacyjnych przypisują te same warunki awarii różne wymagane zachowania, w zależności od tego, w jaki sposób ma być utrzymywana kaskada ciśnień na granicy oraz kierunek przepływu powietrza. Nie należy zakładać, że protokół opracowany zgodnie z logiką jednego obiektu opisuje logikę innego obiektu, nawet jeśli oba wykorzystują podobną klapę izolacyjną bezpieczeństwa biologicznego na podobnej granicy.
Zadaniem zamawiającego w tej sekcji jest potwierdzenie, że każda sytuacja testowa związana z alarmem i blokadą, faktycznie przeprowadzona podczas testów SAT, odpowiada jednej z wcześniej uzgodnionych w projekcie, oraz że zarejestrowane dane dokumentują nie tylko to, czy alarm zadziałał, ale także czy nastąpiła po nim prawidłowa reakcja blokady. W przypadku gdy test wywołuje alarm bez powiązanej akcji blokady lub akcję blokady bez oczekiwanego alarmu, ta niezgodność sama w sobie stanowi odchylenie warte odnotowania — pojedynczy sygnał występujący w izolacji nie potwierdza, że skoordynowana reakcja, na której opiera się projekt, faktycznie działa.
Scenariusze dotyczące zasilania, wentylacji, łączności oraz reakcji wentylatorów
| Symulowany scenariusz | Reakcja przepustnicy, którą należy obserwować | Dane dotyczące sygnałów zwrotnych, alarmów i blokad | Granica akceptacji |
|---|---|---|---|
| Awaria zasilania | Należy zarejestrować rzeczywisty przebieg oraz końcową pozycję podczas uzgodnionego testu utraty mocy. | Należy zarejestrować powiązane sygnały zwrotne dotyczące położenia końcowego, wskazania, alarmy oraz reakcję blokady. | Należy porównać z zatwierdzonym kryterium SAT; nie należy z góry zakładać, że wynik jest niepowodzeniem. |
| Utrata powietrza | Należy zarejestrować rzeczywisty przebieg i końcową pozycję podczas uzgodnionego testu na wyciek powietrza. | Należy zarejestrować powiązane sygnały zwrotne dotyczące położenia końcowego, wskazania, alarmy oraz reakcję blokady. | Należy porównać z zatwierdzonym kryterium SAT; nie należy z góry zakładać, że wynik jest niepowodzeniem. |
| Utrata łączności | Należy zarejestrować rzeczywiste zachowanie przepustnicy podczas uzgodnionego testu utraty łączności. | Należy sprawdzić odpowiednie lokalne i zdalne sygnały, alarmy oraz reakcję blokad. | Należy porównać z zatwierdzonym kryterium SAT; wymagane zachowanie zależy od konkretnego projektu. |
| Wycieczka dla fanów | Należy zarejestrować rzeczywiste zachowanie przepustnicy podczas uzgodnionego testu wyłączenia wentylatora. | Należy sprawdzić blokadę wentylatora, sygnał zwrotny z pozycji krańcowej, wskazania oraz alarmy. | Należy porównać z zatwierdzonym kryterium SAT; wymagane zachowanie zależy od konkretnego projektu. |
| Uzgodniony scenariusz alarmowy | Należy zarejestrować wszelkie reakcje przepustnicy uwzględnione w teście alarmowym. | Należy sprawdzić alarm, którego dotyczy zgłoszenie, oraz wszelkie powiązane sygnalizacje lub reakcje blokad. | Należy stosować wyłącznie scenariusz alarmowy i z góry określone kryteria zawarte w zatwierdzonym protokole SAT. |
W tej sekcji udzielono odpowiedzi na główne pytanie zawarte w tytule: jak właściwie zachowuje się przepustnica w przypadku awarii i w jaki sposób w ramach projektu potwierdza się, że zaobserwowane zachowanie jest prawidłowe? Zasadą nadrzędną jest to, że reakcja na awarię stanowi decyzję projektową specyficzną dla logiki zabezpieczeń każdego projektu, a nie stałą właściwość samego tłumika. Zachowanie tłumika w przypadku utraty zasilania może różnić się od jego zachowania w przypadku utraty powietrza, a oba te przypadki mogą z kolei różnić się od zachowania tłumika w przypadku utraty łączności lub wyłączenia wentylatora, ponieważ każdy rodzaj awarii powoduje utratę innego sygnału wejściowego, od którego zależy logika sterowania.
W przypadku gdy konstrukcja obiektu wiąże wymaganą pozycję przepustnicy podczas zaniku zasilania z utrzymaniem określonego stosunku ciśnień, prawidłowym zachowaniem obserwowanym w tym scenariuszu jest każde zachowanie, które pozwala zachować ten stosunek — co niekoniecznie musi być tym samym zachowaniem, jakiego wymaga się od tej samej przepustnicy podczas zdarzenia utraty powietrza, gdzie decydujące znaczenie może mieć inny mechanizm fizyczny (powrót sprężynowy, zachowanie siłownika w trybie awaryjnym lub pozycja utrzymywana). Właśnie dlatego nie można zakładać żadnej uniwersalnej pozycji awaryjnej wyłącznie na podstawie kategorii urządzenia; kryterium akceptacji dla każdego scenariusza wynika z zatwierdzonego protokołu SAT, a zadaniem nabywcy jest potwierdzenie, że każda symulowana awaria została faktycznie przeprowadzona zgodnie z ustaleniami oraz że zaobserwowany wynik został porównany z tym konkretnym kryterium, a nie z ogólnymi oczekiwaniami.
Scenariusze uruchamiania wentylatora stanowią dodatkowy poziom kontroli, ponieważ sprawdzają nie tylko, czy sama przepustnica może się poruszać, ale także czy jej blokada z wentylatorem jest prawidłowo podłączona i logicznie poprawna. Wyłączenie wentylatora bez odpowiedniej reakcji przepustnicy sugeruje albo usterkę okablowania pozostałą po instalacji, albo błąd logiczny w konfiguracji blokady — co jest jednym z powodów, dla których kontrole stanu po instalacji i testy blokady omówione we wcześniejszych sekcjach mają bezpośredni wpływ na sposób diagnozowania tutaj odchylenia w scenariuszu awarii.
Scenariusze utraty łączności sprawdzają inną zależność: czy przepustnica utrzymuje stan bezpieczeństwa lub wykonuje z góry zdefiniowaną reakcję lokalną, gdy nie może już w ogóle odbierać poleceń z systemu sterowania. Ma to znaczenie, ponieważ pozwala sprawdzić zachowanie przepustnicy niezależnie od stanu systemu sterowania — jest to istotne w przypadku obiektów, w których granica obudowy bezpieczeństwa musi pozostać bezpieczna nawet podczas awarii systemu sterowania niezwiązanej z samą przepustnicą.
W przypadku gdy nabywca koordynuje ten test SAT z placówką, która również wymaga Regulacja przepływu powietrza na poziomie BSL — na przykład kierunkowy przepływ powietrza do pomieszczenia — konkretne wymagane zachowanie klapy w danym scenariuszu awarii należy zweryfikować w oparciu o udokumentowane założenia projektowe danego obiektu, ponieważ ogólne wytyczne dotyczące bezpieczeństwa biologicznego opisują przepływ powietrza na poziomie obiektu oraz kontekst alarmów, nie określając jednak uniwersalnego położenia dla żadnej konkretnej klapy.
Zamknięcie odchylenia i dowód SAT z oznaczeniem znaku
| Etap gromadzenia dowodów | Co powinno wynikać z wyników egzaminu SAT | Zgoda na użytkowanie |
|---|---|---|
| Odchylenie | Zaobserwowany wynik i jego odchylenie od z góry określonego kryterium akceptacji. | Wskazuje kwestię, którą należy rozwiązać przed zatwierdzeniem. |
| Praca naprawcza | Prace naprawcze związane z odnotowanym odchyleniem zostały zakończone. | Powiązuje odpowiedź z konkretnym odstępstwem. |
| Powtórz test | Powtórne sprawdzenie zgodności oraz wynik tego sprawdzenia w odniesieniu do zatwierdzonego protokołu SAT. | Wskazuje, czy po przeprowadzeniu działań naprawczych spełniono z góry określone kryterium. |
| Podpisane dowody SAT | Ostateczne wyniki pomiarów, odchylenia, działania naprawcze oraz wyniki powtórnych pomiarów zawarte w podpisanej dokumentacji SAT. | Stanowi udokumentowaną podstawę decyzji o przyjęciu. |
Zapis z testu SAT jest przydatny tylko w takim stopniu, w jakim uwzględnia odchylenia, ponieważ protokół, który rejestruje wyłącznie wyniki pozytywne, nie dostarcza projektowi żadnych dowodów na to, co uznano za błędne, jakie działania podjęto w tej sprawie oraz czy wprowadzone poprawki faktycznie zadziałały. Samo odchylenie musi zostać precyzyjnie odnotowane — wraz z zaobserwowanym wynikiem i dokładnym opisem, w jaki sposób odbiegało ono od z góry określonego kryterium akceptacji — ponieważ niejasny opis odchylenia utrudnia późniejsze potwierdzenie, że działania naprawcze faktycznie dotyczyły danego problemu, a nie kwestii powiązanej, ale odmiennej.
Działania naprawcze muszą być wyraźnie powiązane z odchyleniem, na które reagują, ponieważ zapis w raporcie SAT, w którym działania naprawcze są wymienione oddzielnie od odchyleń, których dotyczą, uniemożliwia recenzentowi potwierdzenie, że każda otwarta pozycja została faktycznie rozwiązana. Powtórny test jest etapem, który przekształca działania naprawcze z deklaracji w dowód: to samo zadanie, które pierwotnie spowodowało odchylenie, jest wykonywane ponownie, w tych samych warunkach, a jego wynik jest porównywany z tym samym zatwierdzonym kryterium.
Właśnie na tym etapie procesu zamykania odchylenia ponownie pojawiają się informacje o projekcie przekazane wcześniej przez zamawiającego podczas konfiguracji — kryteria akceptacji określone w protokole SAT odzwierciedlają decyzje podjęte podczas przeglądu projektu dotyczące sposobu zdefiniowania zachowania tej konkretnej przepustnicy w przypadku awarii oraz wymagań dotyczących sprzężenia zwrotnego, dlatego też zamykanie odchylenia jest weryfikowane w oparciu o wcześniejsze zobowiązania wynikające z samego projektu, a nie w oparciu o ogólną normę. Załącznik 15 do EudraLex określa tę logikę w ujęciu ogólnym na poziomie kwalifikacji: protokoły opierają się na z góry określonych kryteriach akceptacji, a odstępstwa są dokumentowane w ramach dokumentacji kwalifikacyjnej, przy czym system SAT może uzupełniać uzasadniony test FAT w ramach tego podejścia opartego na cyklu życia.
Podpisana dokumentacja SAT stanowi dokument, który zawiera wszystkie te informacje — ostateczne zarejestrowane wyniki, wszystkie wykryte odchylenia, przeprowadzone działania korygujące oraz wyniki powtórnych badań potwierdzające, że kryterium zostało ostatecznie spełnione. Bez tego kompletnego łańcucha dokumentacji osoba przeprowadzająca przegląd, analizująca później podpisaną dokumentację, nie jest w stanie odróżnić wyniku uzyskanego bez zastrzeżeń za pierwszym razem od wyniku, który został zatwierdzony dopiero po wielu rundach korekty, co ma znaczenie dla gotowości do późniejszych kontroli oraz dla wszelkich przyszłych porównań z pierwotnymi podstawami odbioru tego tłumika.
Często zadawane pytania
Q: Co należy ustalić przed rozpoczęciem testu SAT klapy izolacyjnej?
A: Zatwierdzony protokół SAT powinien określać polecenia, wskazania, alarmy, blokady, scenariusze awarii oraz kryteria odbioru specyficzne dla danego projektu, które należy zweryfikować. Przed rozpoczęciem testów funkcjonalnych należy sprawdzić orientację zainstalowanego urządzenia, podpory, odstępy, instalacje techniczne, oznakowanie oraz okablowanie sterujące.
Q: Czy pomyślne przeprowadzenie testów odbiorczych w fabryce eliminuje konieczność przeprowadzania testów odbiorczych na miejscu instalacji?
A: Nie. Uzasadnione testy fabryczne mogą stanowić uzupełnienie testów SAT, jednak zainstalowana przepustnica nadal wymaga kontroli na miejscu zgodnie z zatwierdzonym protokołem, ponieważ montaż, podłączenia mediów, okablowanie sterujące, sygnały zwrotne, alarmy i blokady można zweryfikować wyłącznie w ostatecznym kontekście projektu.
Q: Czy osoba przeprowadzająca test może założyć, że przepustnica pozostanie w pozycji zamkniętej w przypadku utraty zasilania lub ciśnienia powietrza?
A: Nie. Wymagana pozycja końcowa i reakcja zależą od konkretnego projektu. Należy zdefiniować oczekiwane zachowanie w zatwierdzonym protokole SAT, przeprowadzić uzgodniony scenariusz awarii oraz zarejestrować rzeczywisty przebieg, pozycję końcową, sygnały zwrotne, wskazania, alarmy oraz reakcję blokady.
Q: Jak należy postąpić w przypadku rozbieżności między skokiem przepustnicy a wskazaniem układu sterowania?
A: Należy traktować tę rozbieżność jako odchylenie, a nie opierać się wyłącznie na samym odczycie. Należy odnotować zaobserwowany przebieg i informacje zwrotne, przeprowadzić działania naprawcze, a następnie powtórzyć test w odniesieniu do wcześniej określonego kryterium.
Q: Kiedy odchylenie przepustnicy kwalifikuje się do odbioru przez SAT?
A: Dopiero po udokumentowaniu odchylenia, działań naprawczych oraz wyniku ponownego badania w odniesieniu do zatwierdzonego kryterium SAT. Dowody te należy dołączyć do ostatecznych, zarejestrowanych wyników w podpisanym protokole SAT, który służy do podjęcia decyzji o odbiorze.
