Testy FAT i SAT izolatorów: jakich dowodów powinni wymagać nabywcy?

Przed przyjęciem izolatora podczas odbioru fabrycznego (FAT) oraz ponownie podczas odbioru na miejscu (SAT) nabywcy potrzebują jasnej odpowiedzi na jedno pytanie: jakie funkcje faktycznie potwierdza każda z prób i jakie warunki mają wpływ na wynik tego potwierdzenia? Traktowanie FAT i SAT jako jednego etapu oceny pozytywnej/negatywnej, a nie jako dwóch odrębnych zestawów dowodów, powoduje powstanie luk, które ujawniają się dopiero po zainstalowaniu i uruchomieniu systemu. Celem ochronnym izolatora jest ochrona produktu poprzez aseptyczną separację, a pakiet dowodów powinien być skonstruowany tak, aby wykazać osiągnięcie tego celu w warunkach, w których izolator będzie faktycznie pracował, a nie tylko w warunkach fabrycznych.

Dokumentacja, która powinna zostać przedłożona podczas odbioru fabrycznego

Odbiór fabryczny ma na celu sprawdzenie, co zakład dostawcy jest w stanie wiernie odzwierciedlić: logikę sterowania, działanie komponentów, jakość wykonania, zachowanie oprogramowania oraz reakcję sprzętu w warunkach, które fabryka jest w stanie odtworzyć. FAT nie może jednak odzwierciedlić niczego, co zależy od ostatecznego pomieszczenia, ostatecznych przyłączy mediów lub obciążeń mechanicznych związanych z transportem i instalacją. To rozróżnienie nie wynika z preferencji proceduralnych; wynika ono z fizycznej natury konfiguracji fabrycznej. Fabryczna makieta przyłączy mediów, niezależnie od tego, jak bardzo jest zbliżona do specyfikacji projektu, nie jest tym samym, co zainstalowane przyłącza, a działanie funkcji zależnej od tych przyłączy nie zostało sprawdzone w rzeczywistych warunkach eksploatacyjnych.

Oznacza to, że zadaniem kupującego podczas testów FAT jest potwierdzenie, że zbiór dowodów wykazuje to, co można obecnie wykazać, z wystarczającą dokładnością i dokumentacją, tak aby można było na nim polegać w przyszłości bez konieczności powtarzania testów. Zatwierdzony protokół potwierdza, że test został zaplanowany i zweryfikowany przed wykonaniem, a nie improwizowany w oparciu o wynik. Z góry określone kryteria akceptacji, ustalone przed przeprowadzeniem testu, zapobiegają dostosowywaniu kryteriów w celu dopasowania ich do dowolnego wyniku wygenerowanego przez system. Surowe wyniki, a nie podsumowujące stwierdzenia o pozytywnym wyniku, pozwalają nabywcy lub późniejszemu audytorowi na niezależną ocenę, czy wynik faktycznie spełnia deklarowane kryteria. Stan przyrządu ma znaczenie, ponieważ wiarygodność pomiaru zależy od wiarygodności przyrządu, który go wykonał. Wersje oprogramowania i rysunków mają znaczenie, ponieważ udokumentowana wydajność izolatora jest powiązana z konkretną konfiguracją; późniejsza zmiana unieważnia powiązanie między testem a dostarczonym systemem, chyba że sama zmiana zostanie poddana ocenie. Zamknięcie odstępstw ma znaczenie, ponieważ otwarte odstępstwo pozostawia powiązany wynik nierozwiązany, niezależnie od treści pozostałej części raportu. Identyfikowalność URS wiąże każdy z tych zapisów z wymogiem faktycznie określonym przez nabywcę, co pozwala nabywcy ocenić zakres pokrycia, a nie tylko samą aktywność.

W przypadku gdy działanie funkcji zależy wyłącznie od wewnętrznej konstrukcji izolatora i logiki sterowania, a nie od warunków instalacji, wyniki testów FAT dla tej funkcji można uznać za ostateczne, pod warunkiem że dokumentacja potwierdza ten wniosek. W przypadku gdy działanie funkcji zależy od czynników, których fabryka nie jest w stanie odtworzyć, wyniki testów FAT potwierdzają jedynie, że funkcja działała w warunkach testowych, a nie że będzie działać po zainstalowaniu.

Czynniki związane z miejscem montażu, które należy ponownie sprawdzić po zakończeniu instalacji

Załącznik 15 określa ogólną zasadę rządzącą tą sekcją: po przeprowadzeniu testów FAT w siedzibie dostawcy mogą nastąpić testy SAT po dostawie, a testy FAT nie muszą być powtarzane w siedzibie odbiorcy tylko wtedy, gdy transport i instalacja nie mają wpływu na działanie urządzenia, a uzasadnienie tego faktu jest udokumentowane. Jest to wąskie odstępstwo, a nie domyślna zasada. Przenosi to ciężar dowodu na kupującego i dostawcę, którzy muszą uzasadnić możliwość przeniesienia wyników testów, zamiast zakładać to z góry.

Przyczyna wprowadzenia tego marginesu ma charakter mechaniczny. Działanie izolatora zależy od kaskad ciśnienia, schematów przepływu powietrza, szczelności przyłącza rękawicowego oraz reakcji układów sterowania, które współdziałają z pomieszczeniem, w którym się znajduje, z instalacjami zasilającymi oraz od warunków fizycznych, jakim został poddany podczas transportu na miejsce. Pętla regulacyjna, która prawidłowo reagowała na symulowany sygnał wejściowy w fabryce, może zachowywać się inaczej po podłączeniu do rzeczywistego systemu zarządzania budynkiem, w zależności od jakości zasilania w obiekcie lub dostaw sprężonego powietrza. Obudowa, która zachowała szczelność podczas fabrycznych testów szczelności, mogła zostać poddana obciążeniom podczas transportu lub montażu, których nie można było przewidzieć podczas testów fabrycznych. Dlatego zainstalowane media, interfejsy pomieszczeń, funkcje wrażliwe na transport oraz funkcje zmienione w wyniku instalacji lub integracji nie mogą automatycznie przejąć certyfikatu fabrycznego; fizyczny obiekt poddany testom uległ zmianie.

Decyzja, przed którą stoi nabywca, nie polega na tym, czy przeprowadzić test SAT, ale na tym, jak wyznaczyć granicę między tym, co można przenieść, a tym, co wymaga ponownej weryfikacji. Granicę tę należy wyznaczyć dla każdej funkcji z osobna, a nie dla izolatora jako całości. W przypadku funkcji, na którą nie mają wpływu transport, instalacja ani interfejs pomieszczenia, można zasadniczo przenieść jej wyniki fabryczne, o ile uzasadnienie jest udokumentowane, a kryteria akceptacji pozostają powiązane z wymaganiami konkretnego projektu, a nie z ogólną normą. Funkcja, która styka się z którymkolwiek z tych obszarów, wymaga własnego protokołu dostosowanego do konkretnego obiektu, przeprowadzonego w rzeczywistych warunkach na miejscu i ocenionego według wcześniej ustalonych kryteriów. ISO 14644-7 określa ogólne ramy dla urządzeń separacyjnych w ramach tej struktury „instalacja–test–zatwierdzenie”, ale nie podaje protokołów ani limitów dotyczących konkretnych urządzeń, co oznacza, że nabywca nie może traktować ogólnego standardu referencyjnego jako substytutu planu SAT opracowanego specjalnie dla danego projektu.

Wyzwania funkcjonalne związane z blokadami, alarmami, przepływem powietrza i układami sterowania

Blokady, alarmy, przepływ powietrza i funkcje sterujące stanowią sedno aseptycznej wydajności izolatora, a każda z nich wymaga innego rodzaju weryfikacji. Blokada jest funkcją logiczną zapewniającą bezpieczeństwo i hermetyczność: należy ją przetestować poprzez rzeczywiste wywołanie stanu, na który ma reagować, a nie jedynie sprawdzić na schemacie. Alarm musi zostać uruchomiony w wyniku rzeczywistego odchylenia, a nie symulowanego przez operatora poprzez przełączenie sygnału w oprogramowaniu, ponieważ nabywca faktycznie potrzebuje demonstracji ścieżki od czujnika, przez sygnalizację, aż po reakcję operatora. Wydajność przepływu powietrza zależy od interakcji wewnętrznej geometrii izolatora z rzeczywistym środowiskiem, w którym jest zainstalowany, w tym od relacji ciśnienia w pomieszczeniu i warunków zasilania, które konfiguracja fabryczna może co najwyżej w przybliżeniu odzwierciedlać. Funkcje sterujące regulują sposób, w jaki system utrzymuje swój stan roboczy i reaguje na zakłócenia, a ich poprawność zależy od konkretnej wersji oprogramowania i zestawu parametrów załadowanych w momencie testu.

Ocena, jaką nabywca musi dokonać w odniesieniu do każdej z tych funkcji, jest taka sama, jak ta, która ogólnie reguluje granicę między testami FAT a SAT: czy to konkretne wyzwanie zależy od czegoś, czego fabryka nie jest w stanie odzwierciedlić? Blokada wbudowana w całości w system sterowania samego izolatora, niezależna od mediów zakładowych lub warunków panujących w pomieszczeniu, jest dobrym przykładem funkcji, którą testy fabryczne mogą w sposób miarodajny potwierdzić. Alarm, którego działanie zależy od sposobu integracji systemu sterowania izolatora z systemem zarządzania budynkiem lub systemem monitorowania warunków środowiskowych w obiekcie, nie może zostać w pełni zweryfikowany, dopóki ta integracja nie zostanie zrealizowana, ponieważ łańcuch alarmowy przebiega przez urządzenia, których konfiguracja fabryczna nie obejmuje. Przepływ powietrza, niemal z definicji, jest wrażliwy na warunki panujące w pomieszczeniu oraz na układ kanałów wentylacyjnych, dlatego wyniki pomiarów przepływu powietrza uzyskane w warunkach fabrycznych należy traktować jako podstawową charakterystykę działania samego izolatora, a nie jako prognozę jego zachowania po zainstalowaniu.

W przypadku każdej z tych funkcji nabywca powinien oczekiwać określonego protokołu i z góry ustalonych kryteriów właściwych dla danej funkcji, a nie jednego ogólnikowego stwierdzenia, że “przestrzegano zasad blokad i alarmów”. Funkcja tak ściśle związana z podstawowym celem ochronnym izolatora zasługuje na dokumentację na tyle precyzyjną, by dokładnie wykazać, co zostało poddane testom, w jakich warunkach – symulowanych lub rzeczywistych – oraz jaki wynik uznano za prawidłowy.

Dokumentacja dotycząca wycieków, filtrów i dekontaminacji biologicznej dla danego systemu

Testy szczelności, integralność filtrów oraz skuteczność cyklu dekontaminacji biologicznej to trzy kategorie dowodów najbardziej bezpośrednio związane z funkcją bariery aseptycznej izolatora, a każda z nich odnosi się konkretnie do urządzenia w stanie po wybudowaniu i montażu, a nie do ogólnej konstrukcji izolatora. Test szczelności potwierdza integralność konkretnej komory w momencie przeprowadzania badania; nie ma on jednak żadnego związku z innym urządzeniem tej samej konstrukcji, ani z tym samym urządzeniem po naruszeniu szczelności w wyniku transportu, prac instalacyjnych lub późniejszych ingerencji. Badanie integralności filtra potwierdza, że konkretny filtr zainstalowany w konkretnej obudowie spełniał określone kryteria w momencie przeprowadzania badania, przy czym wynik ten jest powiązany z konkretnym identyfikatorem filtra i sposobem jego montażu. Dokumentacja cyklu dekontaminacji biologicznej potwierdza, że konkretny cykl, przeprowadzony w rzeczywistej geometrii komory z rzeczywistą konfiguracją obciążenia, osiągnął wynik, który protokół miał potwierdzić.

Właśnie ta specyfika sprawia, że dokumentacja pochodząca z kwalifikacji projektowej, podobnego urządzenia lub ogólnej dokumentacji produktowej dostawcy nie może zastąpić dokumentacji sporządzonej w odniesieniu do rzeczywistego systemu, który nabywca przyjmuje. Zadaniem nabywcy jest potwierdzenie, że każdy przedstawiony zapis dotyczący szczelności, filtra i dekontaminacji biologicznej odnosi się konkretnie do urządzenia oznaczonego numerem seryjnym, konkretnego zainstalowanego filtra oraz konkretnego cyklu przeprowadzonego na miejscu, a nie do reprezentatywnego lub historycznego wyniku. W przypadku gdy w ramach powiązanego projektu izolatora rozważano już, w jaki sposób próby szczelności współdziałają z innymi metodami testowymi po stronie obudowy, to rozumowanie nie ma bezpośredniego zastosowania w tym przypadku, ponieważ cel aseptyczny, którym kieruje się w odniesieniu do tego izolatora, różni się od struktura testowania szczelności systemów zabezpieczających oparte na zabezpieczeniu operatora; nabywca nie powinien zakładać, że te dwa schematy logiczne akceptacji są zamienne.

Czynnikiem, który powinien skłonić nabywcę do dokładniejszej analizy, jest to, czy którakolwiek z tych trzech czynności została wykonana przed czy po zdarzeniu, które mogło wpłynąć na wynik: naruszenie uszczelnienia podczas montażu, zamontowanie filtra po przeprowadzeniu próby szczelności lub uruchomienie cyklu odkażania przed ustaleniem ostatecznej konfiguracji ładunku. Każda z tych nieprawidłowości w kolejności czynności oznacza, że posiadana dokumentacja może nie odzwierciedlać rzeczywistego sposobu działania systemu, niezależnie od tego, jak rzetelnie wygląda na papierze.

Zamknięcie odchylenia i identyfikowalność z powrotem do URS

Odstępstwo zgłoszone i niezamknięte nie jest drobną luką administracyjną; stanowi ono otwartą kwestię dotyczącą tego, czy wynik powiązanego testu można w ogóle uznać za wiarygodny. Zadaniem nabywcy jest potwierdzenie, że każde odstępstwo odnotowane podczas testów FAT lub SAT ma udokumentowane rozwiązanie, a uzasadnienie tego rozwiązania jest dostępne do wglądu, a nie tylko status oznaczony jako „zamknięte”. Odstępstwo zamknięte poprzez dostosowanie kryteriów akceptacji po fakcie podważa całą strukturę z góry określonych kryteriów, która nadaje wiarygodność pozostałej części pakietu dowodów.

Identyfikowalność aż do dokumentu URS to mechanizm, który pozwala nabywcy potwierdzić zakres zgodności, a nie tylko sam fakt przeprowadzenia działań. Każdy przeprowadzony test, czy to w ramach FAT, czy SAT, powinien odnosić się do konkretnego wymagania, które nabywca faktycznie określił dla danego izolatora i danego projektu. W przypadku gdy istnieje test bez odpowiadającego mu wymagania w URS lub gdy istnieje wymaganie w URS bez odpowiadającego mu testu, w pakiecie dowodowym występuje luka, której ogólne sformułowania protokołu same w sobie nie ujawnią. To, jak poważna jest ta luka, zależy od tego, czego dotyczy brakująca lub osierocona pozycja: wymóg związany z podstawową funkcją izolatora jako bariery aseptycznej zasługuje na inny poziom uwagi niż wymóg związany z funkcją, która nie ma wpływu na ten cel ochronny. Przegląd przeprowadzany przez zamawiającego powinien przebiegać od dokumentu URS w kierunku przyszłym, aby potwierdzić, że każdy wymóg został przetestowany, oraz od protokołów testowych w kierunku przeszłym, aby potwierdzić, że każdy test jest powiązany z wymogiem, zamiast polegać na ogólnym stwierdzeniu, że osiągnięto identyfikowalność.

Kryteria dopuszczenia przed przeprowadzeniem IQ, OQ lub rozpoczęciem eksploatacji

Na tym etapie należy zdecydować, czy zgromadzone dane z testów FAT i SAT są wystarczające do przejścia do etapu formalnej kwalifikacji, a decyzja ta zależy od tego, czy dla każdej funkcji decydującej o aseptycznej wydajności izolatora istnieje kompletna, zamknięta i identyfikowalna dokumentacja na odpowiednim etapie. Funkcja prawidłowo zweryfikowana podczas testów FAT, wraz z udokumentowanym i uzasadnionym uzasadnieniem braku konieczności jej powtórzenia podczas testów SAT, może zostać uznana za ustaloną przed przejściem do etapu IQ. Funkcja, która zależy od warunków panujących w miejscu instalacji i nie została jeszcze zweryfikowana w tych warunkach, nie jest uznana za rozstrzygniętą, niezależnie od tego, jak kompletna wydaje się dokumentacja fabryczna, ponieważ dokumentacja ta nigdy nie stanowiła dowodu dla tych warunków.

Oznacza to, że decyzja o wydaniu nie sprowadza się do zaznaczenia jednego pola wyboru, lecz stanowi proces weryfikacyjny: czy dla każdego wymagania zawartego w URS istnieje zamknięty protokół testowy, sporządzony w odpowiednich warunkach, z usuniętymi odchyleniami, powiązany z właściwą wersją oprogramowania i rysunku oraz zweryfikowany pod kątem wcześniej zdefiniowanych kryteriów ustalonych przed poznaniem wyniku? W przypadku gdy ta weryfikacja jest niekompletna, należy konkretnie wskazać brak; ogólne stwierdzenie, że “testy FAT i SAT zostały zakończone”, nie informuje zespołu kwalifikacyjnego, które funkcje zostały zweryfikowane w warunkach instalacyjnych, a które nie.

Dla nabywcy przygotowującego się do przejścia do etapów IQ i OQ praktycznym rozwiązaniem jest zebranie tych danych księgowych przed rozpoczęciem kwalifikacji, a nie w jej trakcie. Kiedy QUALIA Wspierając projekt na tym etapie, konfiguracja i testy odbiorcze określone przez zamawiającego dla danego izolatora decydują o tym, co obejmują protokoły FAT i SAT oraz jakie dowody są przedstawiane na każdym etapie; właśnie dlatego własne wymagania użytkowe (URS) i kryteria odbioru zamawiającego muszą zostać ustalone i uzupełnione przed rozpoczęciem testów, a nie traktowane jako formalność, którą należy dopracować później.

Często zadawane pytania

Q: W jaki sposób nabywcy powinni porównywać pakiety dokumentacji dotyczącej FAT i SAT oferowane przez różnych dostawców izolatorów?
A: Należy porównywać identyfikowalność i kompletność, a nie liczbę wymienionych testów. Każdy odpowiedni wymóg zawarty w specyfikacji URS powinien odnosić się do zatwierdzonego protokołu, z góry określonego kryterium akceptacji właściwego dla danego projektu, surowego wyniku, testowanej wersji oprogramowania lub rysunku oraz wszelkich powiązanych zamknięć odchyleni, przy czym należy wyraźnie oddzielić dowody z zakładu produkcyjnego od weryfikacji na miejscu.

Q: Czy funkcję, która przeszła test FAT, można pominąć w teście SAT?
A: Tak, o ile udokumentowane uzasadnienie wskazuje, że transport i montaż nie mają wpływu na tę funkcję. Jeśli zainstalowane instalacje, interfejsy pomieszczeń, warunki panujące na miejscu, transport lub integracja systemu mogą mieć na nią wpływ, należy uwzględnić kontrolę na miejscu zgodnie z zatwierdzonym protokołem oraz odpowiednie kryteria odbioru specyficzne dla danego projektu.

Q: Co powinno się stać, jeśli po przeprowadzeniu testów FAT nastąpią zmiany w oprogramowaniu izolatora lub w rysunkach technicznych?
A: Należy traktować dokumentację FAT jako odnoszącą się do wersji, która faktycznie została przetestowana. Należy określić, na które wymagania URS i zarejestrowane testy ma wpływ dana zmiana, a następnie zdecydować, które elementy dokumentacji należy zaktualizować lub które funkcje należy ponownie przetestować przed zaakceptowaniem zmienionej wersji.

Q: Jakie informacje dotyczące projektu powinny być gotowe przed sfinalizowaniem protokołu SAT?
A: Należy określić rzeczywiste warunki eksploatacyjne, interfejsy pomieszczeń, punkty integracji, istotne warunki panujące na miejscu, funkcje wrażliwe na transport, obowiązujące wymagania URS oraz kryteria odbioru specyficzne dla danego projektu. Informacje te pozwalają na uwzględnienie w zakresie testów SAT warunków docelowych, których nie można odtworzyć w warunkach panujących w zakładzie dostawcy.

Q: Czy pozytywne wyniki badań FAT i SAT oznaczają, że izolator jest gotowy do użytkowania operacyjnego?
A: Nie. Testy FAT i SAT dostarczają dowodów dotyczących zatwierdzonego zakresu testów, jednak gotowość do przeprowadzenia testów IQ, OQ, PQ lub do użytkowania operacyjnego zależy od kryteriów dopuszczenia projektu. Przed przejściem do kolejnego etapu należy upewnić się, że wymagana dokumentacja jest kompletna, że można prześledzić zgodność z odpowiednimi wymaganiami URS oraz że odchylenia mające wpływ na decyzję o dopuszczeniu zostały udokumentowane i zamknięte.