Testy odbiorcze na miejscu dla zestawów urządzeń klasy BSL-3/4: media, blokady, alarmy i kontrole montażu

Etapy uruchomienia rutynowo przyspieszają terminy testów, zanim obiekt będzie w stanie je faktycznie przeprowadzić. Gdy zestaw urządzeń klasy BSL-3 lub BSL-4 jest testowany przed potwierdzeniem równowagi wywiewu, przed uszczelnieniem przejść lub przed wykazaniem stabilności zasilania awaryjnego, wyniki testów odzwierciedlają niedociągnięcia pomieszczenia, a nie działanie sprzętu — a powstała dokumentacja jest trudna do obrony podczas kontroli organów regulacyjnych lub późniejszego dochodzenia w sprawie nieprawidłowości w kwalifikacji operacyjnej (OQ). Konsekwencją tego są nie tylko powtórne testy; chodzi o ścieżkę audytową, w której nie da się jednoznacznie przypisania niepowodzeń sprzętowi czy obiektowi, co może wymusić ponowną kwalifikację obu elementów. Zrozumienie, jakie warunki muszą być spełnione przed rozpoczęciem testów SAT oraz które interfejsy muszą zostać formalnie zamknięte w ramach SAT przed rozpoczęciem testów IQ, decyduje o tym, czy zespoły projektowe zachowają integralność walidacji, czy też ją utracą.

Zainstalowane narzędzia, które SAT musi zweryfikować

Weryfikacja mediów podczas testów SAT nie jest jedynie formalnością – jest to jedyny etap, na którym warunki panujące w obiekcie, mające kluczowe znaczenie dla zapewnienia szczelności, są formalnie dokumentowane w odniesieniu do zainstalowanego zestawu urządzeń w warunkach eksploatacyjnych. To rozróżnienie ma znaczenie, ponieważ fabryczne testy odbiorcze potwierdzają działanie urządzeń w kontrolowanych warunkach zasilania. Testy SAT muszą potwierdzić, że te same urządzenia działają poprawnie przy rzeczywistej jakości, stabilności i konfiguracji mediów występujących w gotowym pomieszczeniu.

Dwa najważniejsze warunki eksploatacyjne w systemie SAT klasy BSL-3 lub BSL-4 to kierunkowy przepływ powietrza oraz ścieżka recyrkulacji powietrza wywiewanego. Oba są powszechnie traktowane jako warunki typu „spełnione/niespełnione” w takich dokumentach jak Podręcznik bezpieczeństwa biologicznego w laboratoriach WHO oraz wytyczne CDC BMBL: przepływ powietrza do wewnątrz z obszarów poza laboratorium do obszarów laboratoryjnych musi być stały i mierzalny, a ścieżka recyrkulacji powietrza wywiewanego z powrotem do laboratorium lub do ogólnego systemu wentylacyjnego budynku nie może istnieć. Nie są to jedynie założenia projektowe — są to warunki, których niespełnienie podczas testu SAT oznacza, że podstawowa zasada izolacji pomieszczenia pozostaje niezweryfikowana przed rozpoczęciem prac biologicznych.

Mniej oczywistym punktem awarii jest wzajemne oddziaływanie między przyłączem wylotowym komory BSC a równowagą ciśnieniową w pomieszczeniu. Złącze tulejkowe — a nie sztywne połączenie kanałowe — jest stosowane właśnie po to, by zapobiec zakłócaniu równowagi powietrza w pomieszczeniu przez ścieżkę wylotową komory BSC w przypadku wahań pracy systemu HVAC. Jeśli podczas testów SAT nie zweryfikuje się tego typu połączenia i nie potwierdzi, że konfiguracja po montażu jest zgodna z zamierzeniami projektowymi, stabilność ciśnienia w pomieszczeniu może ulec pogorszeniu w rzeczywistych warunkach eksploatacyjnych, a nie tylko w warunkach testowych. Jest to usterka, która ujawnia się dopiero po zakończeniu testów SAT, podczas cykli eksploatacyjnych, a wtedy przypisuje się ją raczej wydajności sprzętu niż błędowi montażowemu.

Stabilność zasilania awaryjnego zasługuje na szczególną uwagę, choć należy ją właściwie ująć: jest to udokumentowane ryzyko awarii, a nie powszechnie usystematyzowany wymóg. W regulowanych obiektach klasy BSL-4 zdarzały się przerwy w zasilaniu mające wpływ na systemy zabezpieczające, a ich konsekwencją nie jest drobna niedogodność — jest to potencjalne naruszenie szczelności. SAT powinien potwierdzić, że zasilanie awaryjne zapewnia nieprzerwane działanie systemów HVAC, wentylacji wyciągowej oraz kontroli dostępu podczas symulowanego przełączenia, a potwierdzenie to powinno zostać odnotowane, a nie traktowane jako coś oczywistego.

Każdy warunek funkcjonalny ma określone wymagania dotyczące weryfikacji oraz jasno określone konsekwencje w przypadku pominięcia lub niepowodzenia kontroli.

Kontroli urządzeń, których nie można przeprowadzić z powodu niestabilności zasilania — niezrównoważony wydech, ciśnienie sprężonego powietrza poniżej ciśnienia roboczego, niepodłączone odpływy — nie należy odraczać bez wyjaśnienia. Odroczenie bez formalnej oceny ryzyka powoduje lukę w dokumentacji, która będzie widoczna podczas przeglądu jakości (IQ), a wszelkie wykryte później nieprawidłowości trudniej będzie jednoznacznie przypisać.

Kontrola blokad i alarmów w rzeczywistych warunkach pomieszczenia

Logika blokady opracowana na etapie projektowania oraz przetestowana fabrycznie funkcja blokady nie są równoznaczne z działaniem blokady w pomieszczeniu, w którym zostanie zainstalowana. Różnica ta nie ma charakteru teoretycznego: sekwencja działania blokady drzwi, która działa poprawnie na stanowisku testowym, może zawieść w rzeczywistym pomieszczeniu, ponieważ fizyczna masa drzwi, czas uruchamiania uszczelnienia pneumatycznego oraz opóźnienie sygnału kontroli dostępu oddziałują na siebie w sposób odmienny niż przewidywano podczas testów na poziomie komponentów. Test SAT w rzeczywistym kontekście pomieszczenia stanowi pierwszy punkt, w którym interakcje te można zaobserwować w rzeczywistych warunkach eksploatacyjnych.

Kluczową kwestią jest tutaj to, że kontrole blokad SAT nie polegają na ponownym przeprowadzaniu testów FAT. Polegają one na potwierdzeniu, że logika zgodna z projektem została prawidłowo przełożona na zbudowaną obudowę zabezpieczającą. W przypadku konfiguracji przedpokoju dla laboratoriów BSL-3 lub BSL-4 sekwencja samozamykających się drzwi z blokadą musi uniemożliwiać jednoczesne otwarcie obu drzwi — test funkcjonalny przeprowadzony w zainstalowanym pomieszczeniu, z wykorzystaniem rzeczywistego osprzętu drzwiowego, uszczelnień pneumatycznych oraz zintegrowanego systemu kontroli dostępu, stanowi jedyny wiarygodny dowód, że system działa zgodnie z projektem. Odwołanie się do protokołu z pozytywnego wyniku testu FAT nie zastępuje tego testu, ponieważ test FAT nie obejmował tego pomieszczenia.

Integracja elektronicznych systemów kontroli dostępu wiąże się z podobną luką w weryfikacji. Pytanie, na które musi odpowiedzieć SAT, nie dotyczy tego, czy system kontroli dostępu działa samodzielnie, ale czy sygnały o stanie zamka są prawidłowo przekazywane do układu blokady drzwi oraz czy w przypadku naruszenia sekwencji prawidłowo uruchamia się eskalacja alarmu. Taka weryfikacja okablowania i sygnałów nabiera znaczenia dopiero w kontekście rzeczywistej instalacji, gdzie występują rzeczywiste przebiegi kabli, kondycjonowanie sygnałów oraz przekazywanie danych do systemu BMS.

Kontrole działania alarmów awaryjnych, umywalek do oczu i pryszniców mają inny cel: potwierdzają, że infrastruktura reagowania awaryjnego działa prawidłowo i jest odpowiednio rozmieszczona względem wyjścia z obszaru kontrolowanego, zanim pomieszczenie zostanie uznane za gotowe do przeprowadzenia IQ. Kontrole te nie dotyczą przede wszystkim sprzętu alarmowego — mają na celu potwierdzenie, że dostęp do awaryjnych środków odkażania jest możliwy bez dotykania skażonych powierzchni, co stanowi warunek gotowości operacyjnej mający konsekwencje dla bezpieczeństwa biologicznego.

Częstym zaniedbaniem jest testowanie działania blokad i alarmów wyłącznie w ramach symulowanych warunków awaryjnych, a nie tylko w ramach normalnych sekwencji operacyjnych. Testy w warunkach awaryjnych — drzwi utrzymane w pozycji otwartej, awaria karty dostępu, uruchomienie alarmu ciśnieniowego — to właśnie sytuacje, w których zazwyczaj ujawniają się luki w blokadach i gdzie protokół SAT dostarcza najbardziej przydatnych dowodów do późniejszej analizy odstępstw w ramach kwalifikacji operacyjnej (OQ).

W przypadku projektów, w których drzwi z uszczelnieniem pneumatycznym stanowią część obudowy zabezpieczającej, sprawdzenie czasu uruchamiania uszczelnienia oraz wzajemnego powiązania między napełnianiem uszczelnienia a sygnałem blokady drzwi stanowi część tej kontroli, a nie oddzielne zadanie związane z uruchomieniem. Zobacz Wytyczne dotyczące projektowania nadmuchiwanych uszczelnień drzwiowych BSL w odniesieniu do założeń projektowych, które określają, co powinna potwierdzić weryfikacja stanu po montażu.

Dowody dotyczące interfejsu między systemem BMS a obiektem

Weryfikacja sygnałów systemu BMS znajduje się na styku odbioru technicznego urządzeń (SAT) i uruchomienia obiektu — i właśnie dlatego często okazuje się niekompletna w momencie, w którym zespół IQ oczekuje, że zostanie zakończona. Dostawca sprzętu mógł sprawdzić, czy urządzenie generuje prawidłowe sygnały alarmowe podczas testów FAT. Integrator systemu BMS mógł potwierdzić, że system BMS odbiera sygnały ze źródła testowego. Żadna z tych weryfikacji nie potwierdza jednak, czy okablowanie między sprzętem a systemem BMS jest poprawnie skonfigurowane, czy logika sygnałów jest prawidłowa dla konkretnej strefy ciśnieniowej ani czy eskalacja alarmów przebiega zgodnie z projektem w kontekście danego pomieszczenia.

SAT musi wyeliminować tę lukę poprzez sprawdzenie w zainstalowanym systemie, czy sygnały alarmowe BMS dotyczące ciśnienia i przepływu powietrza dla strefy BSL-3 lub BSL-4 są prawidłowo podłączone, czy polaryzacje sygnałów i progi alarmowe są zgodne z zatwierdzonym projektem oraz czy symulowana sytuacja alarmowa na poziomie urządzeń wywołuje prawidłową reakcję systemu BMS. Wytyczne WHO LBM oraz CDC BMBL popierają zasadę, zgodnie z którą monitorowanie podciśnienia w strefach izolacyjnych musi być aktywnie weryfikowane, a nie oparte na domniemaniach — a mapowanie sygnałów BMS jest mechanizmem, dzięki któremu potwierdza się prawidłowe działanie tego monitorowania.

Praktyczną konsekwencją niepełnej weryfikacji interfejsu systemu BMS jest to, że odchylenia ciśnienia mogą nie wyzwalać alarmów zgodnie z założeniami lub mogą je wyzwalać z nieprawidłową klasyfikacją ważności. Każda z tych awarii ma poważne konsekwencje: pominięty alarm powoduje powstanie okresu, w którym naruszenie szczelności pozostaje niewykryte; natomiast nieprawidłowo sklasyfikowany alarm podważa zaufanie operatora do właściwości reakcji systemu. Żadna z tych awarii nie jest widoczna, dopóki nie wystąpi rzeczywiste odchylenie, co nie jest odpowiednim momentem na ich wykrycie.

Kolejną kwestią związaną z interfejsem jest związek między rejestrowaniem alarmów w systemie BMS a elektroniczną ścieżką audytu. W przypadku programów BSL-3/4 powiązanych z GMP zapisy alarmów z systemu BMS stanowią część historii monitorowania warunków środowiskowych. Jeśli podczas testu SAT nie zostanie potwierdzone, że sygnatura czasowa, identyfikacja strefy i kategoryzacja alarmów są rejestrowane prawidłowo, ta luka ujawni się podczas audytu. Usunięcie tej luki podczas testu SAT jest proste; natomiast jej uzupełnienie po zakończeniu kwalifikacji funkcjonalnej (IQ) już nie jest.

Warunki gotowości przed rozpoczęciem testu IQ

Nie można uruchomić systemu IQ w pomieszczeniu, które nie przeszło testu SAT, ale sam test SAT nie może zostać poprawnie przeprowadzony w pomieszczeniu, które nie osiągnęło określonego stanu gotowości fizycznej. Ta zależność sekwencyjna jest konsekwentnie niedoceniana w harmonogramach projektowych, zwłaszcza że warunki gotowości do przeprowadzenia testu SAT dotyczą zakończenia prac budowlanych, a nie instalacji sprzętu — a zakończenie prac budowlanych rzadko zbiega się z terminem dostawy sprzętu.

Dwa czynniki, które najczęściej powodują fałszywe wyniki negatywne testu SAT, to nieuszczelnione przejścia przez powierzchnie oraz niepotwierdzona zgodność materiałów budowlanych z normami. Przejścia przez ściany, podłogi i sufity, które nie zostały uszczelnione przed testem, powodują wyciek powietrza, co zniekształca odczyty ciśnienia i może uniemożliwić osiągnięcie lub utrzymanie w pomieszczeniu ujemnej różnicy ciśnień wymaganej do uznania testu SAT za ważny. Awarie te nie wynikają z usterek sprzętu — jednak bez formalnej dokumentacji z inspekcji przeprowadzonej przed testem SAT protokół SAT będzie wskazywał na niepowodzenie kontroli ciśnienia bez jasnego określenia przyczyny. Ta niejasność powoduje problemy podczas audytu i wymusza powtórzenie testów po uszczelnieniu pomieszczenia, co wiąże się z nieprzewidzianymi w budżecie opóźnieniami w harmonogramie prac.

Weryfikacja materiałów budowlanych — polegająca na potwierdzeniu, że powierzchnie są nieporowate i odporne na środki odkażające, które będą stosowane w pomieszczeniu — stanowi kryterium planowania wynikające z wytycznych WHO dotyczących laboratoriów LBM, a nie uniwersalny próg regulacyjny oparty na jednej normie. W praktyce oznacza to, że w przypadku gotowości do testu SAT wykrycie porowatych lub niekompatybilnych powierzchni po zainstalowaniu sprzętu może wymagać ponownych prac, które wiążą się z przemieszczeniem lub uszkodzeniem zainstalowanego zestawu sprzętowego. Najskuteczniejszym momentem na przeprowadzenie przeglądu jest okres przed instalacją, co wymaga formalnej listy kontrolnej gotowości pomieszczenia przed SAT, zatwierdzonej zarówno przez zespół obiektu, jak i osobę odpowiedzialną za ocenę bezpieczeństwa biologicznego.

Formalna kontrola gotowości przed rozpoczęciem testu SAT — udokumentowana, podpisana i odnotowana w protokole SAT — ułatwia również ustalenie przyczyny awarii w trakcie samego testu. Jeśli kontrola sprawności zakończy się niepowodzeniem po ogłoszeniu gotowości pomieszczenia, awaria ta z większym prawdopodobieństwem wskazuje na problem z instalacją lub podłączeniem, a nie na niedociągnięcia w samym pomieszczeniu. Ta jasność ma duże znaczenie, gdy na miejscu obecni są zarówno technik dostawcy, jak i inżynier obiektu, a kwestia odpowiedzialności za awarię wymaga szybkiej odpowiedzi.

W przypadku projektów wykorzystujących modułowe systemy laboratoryjne klasy BSL-3/4 warunki gotowości są częściowo uwarunkowane konstrukcją modułów, jednak punkty połączeń — przyłącza mediów, przyłącza kanałów wywiewnych, okablowanie systemu kontroli dostępu — nadal wymagają tej samej weryfikacji przed testami SAT. Dowiedz się, jak Laboratorium modułowe BSL-3/4 Podejście to określa zakres obowiązków związanych z interfejsem użytkowym między dostawcą modułu a obiektem.

Okno koordynacyjne dla zespołów dostawców i placówek

Najczęściej niedocenianym ryzykiem związanym z przeprowadzaniem testów SAT w laboratoriach BSL-3/4 nie są kwestie techniczne — chodzi o harmonogram. Testy SAT dotyczące urządzeń o wysokim poziomie bezpieczeństwa wymagają jednoczesnej obecności techników dostawcy odpowiedzialnych za uruchomienie, inżynierów mechaników i elektryków obiektu, specjalisty ds. bezpieczeństwa biologicznego, a w niektórych programach również recenzenta ds. zapewnienia jakości. Każda ze stron ma własne ograniczenia dotyczące harmonogramu. Nieobecność nawet jednej ze stron zazwyczaj nie skutkuje przeprowadzeniem częściowego testu; powoduje to unieważnienie całego okna testowego, ponieważ kontrole interfejsów zabezpieczeń wymagają obecności wszystkich stron w celu obserwacji, usuwania usterek i podpisania protokołu w czasie rzeczywistym.

Ten okres koordynacji trudno jest skrócić z mocą wsteczną. Technicy dostawcy mogą przyjeżdżać z innego kraju lub wspierać równoległe uruchomienie w innym obiekcie. Specjaliści ds. bezpieczeństwa biologicznego w instytucjach prowadzących programy dotyczące ściśle regulowanych czynników wybranych mogą nie dać się zastąpić — zgodnie z ramami nadzorczymi regulującymi dany program może być wymagane ich zatwierdzenie konkretnych wyników badań. Inżynierowie obiektu mogą mieć konkurencyjne priorytety związane z uruchomieniem w ramach tego samego projektu. W praktyce oznacza to, że planowanie testów SAT należy traktować jako wydarzenie wymagające uzgodnienia między wieloma zainteresowanymi stronami, z koniecznością wcześniejszego powiadomienia, a nie jako termin ustalony na podstawie harmonogramu dostawy sprzętu.

W rzeczywistych, podlegających regulacjom programach zdarzały się sytuacje, w których zakończenie fazy uruchomienia było bezpośrednio powiązane z uzyskaniem formalnego zezwolenia — analogicznie do wąskich ram czasowych koordynacji obserwowanych podczas rejestracji obiektów klasy BSL-4 przez CDC. Wniosek płynący z tej analogii nie ma charakteru regulacyjnego, lecz operacyjnego: gdy zakończenie testu SAT stanowi warunek konieczny do uzyskania formalnego zatwierdzenia programu, koszt utraty możliwości przeprowadzenia testu obejmuje nie tylko opóźnienie związane z przełożeniem terminu, ale także wynikające z tego opóźnienie w całym harmonogramie zatwierdzania programu.

Działania przygotowawcze mające na celu ograniczenie utrudnień w koordynacji obejmują: uzgodnienie wymagań dotyczących obserwatorów testów w protokole SAT przed rozpoczęciem prac; potwierdzenie terminów podróży i dostępności techników dostawcy w harmonogramie projektu, a nie w ramach nieformalnej komunikacji; oraz ustalenie jasno zdefiniowanej polityki dotyczącej testów częściowych, określającej, które kontrole mogą być przeprowadzane pod nieobecność obserwatora ds. bezpieczeństwa biologicznego, a które nie. Ocenę ryzyka uzasadniającą tę politykę dotyczącą testów częściowych należy przygotować z wyprzedzeniem, a nie improwizować w dniu testu.

Szerszy przebieg procesu uruchomienia — czyli miejsce, jakie zajmuje test SAT w kontekście uruchomienia systemu, certyfikacji pomieszczeń oraz testu IQ — został omówiony w Przewodnik krok po kroku dotyczący uruchomienia laboratorium klasy BSL-3.

Próg odcięcia SAT dla krytycznych interfejsów zabezpieczeń

W przypadku większości zestawów sprzętowych klasy BSL-3/4 zamknięcie SAT nie jest zdarzeniem zero-jedynkowym (zaliczone/niezaliczone). Jest to stan warunkowy: niektóre pozycje mogą być formalnie zamknięte, inne mogą pozostawać otwarte przy zaakceptowanej ocenie ryzyka, a jeszcze inne mogą być oznaczone jako warunki wstępne, które należy spełnić przed rozpoczęciem kontroli kwalifikacyjnej (IQ). Należy unikać traktowania zamknięcia SAT jako formalności dokumentacyjnej — podpisywania protokołu SAT, podczas gdy krytyczne kontrole interfejsów pozostają nierozwiązane, ponieważ presja terminowa sprawia, że odłożenie ich na później wydaje się akceptowalne.

Szczególne interfejsy, których nie należy odkładać na później, to te, w których nierozwiązany problem ma bezpośredni wpływ na ważność dowodów z testu kwalifikacyjnego (IQ). Do tej kategorii należą: mapowanie sygnału alarmu ciśnieniowego systemu BMS, sekwencja blokady drzwi oraz potwierdzenie zasilania awaryjnego. Jeśli którekolwiek z tych zagadnień pozostanie nierozwiązane w momencie rozpoczęcia kwalifikacji funkcjonalnej (IQ), wówczas żadnej anomalii zaobserwowanej podczas IQ lub kwalifikacji operacyjnej (OQ) nie będzie można jednoznacznie przypisać sprzętowi lub zakładowi — ścieżka audytu zostanie naruszona od samego początku, a przywrócenie wiarygodnej dokumentacji może wymagać ponownej kwalifikacji obu elementów.

Praktycznym standardem zamknięcia testu SAT powinno być: wszystkie interfejsy o krytycznym znaczeniu dla zabezpieczenia są albo formalnie zweryfikowane i zamknięte, albo każda otwarta pozycja posiada udokumentowaną ocenę ryzyka zaakceptowaną przez specjalistę ds. bezpieczeństwa biologicznego i recenzenta ds. zapewnienia jakości, wraz z określonym harmonogramem rozwiązania oraz formalnym wstrzymaniem działań związanych z kwalifikacją sprzętu (IQ), które zależą od tego interfejsu. Jest to kryterium planowania i zalecana praktyka, a nie skodyfikowana zasada wynikająca z jakiejkolwiek pojedynczej normy. Odzwierciedla to jednak logikę, którą stosują recenzenci regulacyjni, gdy analizują lukę między zakończeniem testów SAT a rozpoczęciem testów IQ: będą pytać, czy sprzęt został zainstalowany w zweryfikowanym środowisku izolacyjnym, a dokumentacja SAT stanowi główny dowód pozwalający odpowiedzieć na to pytanie.

W przypadkach, gdy uzyskanie zgody organu regulacyjnego lub rejestracja wybranego czynnika jest powiązana z zakończeniem uruchomienia — tak jak ma to miejsce w niektórych ramach prawnych na szczeblu krajowym — zamknięcie SAT powinno być formalnie powiązane z pakietem dokumentacji przedłożonym do zatwierdzenia. Traktowanie zakończenia SAT wyłącznie jako wewnętrznego etapu, bez powiązania go z dokumentacją zatwierdzającą, powoduje rozbieżność w dokumentacji, która może wymagać wyjaśnienia lub uzupełnienia pod presją czasu. Wprowadzenie tej spójności z wyprzedzeniem do struktury protokołu SAT stanowi proste rozwiązanie ograniczające ryzyko, które jest często pomijane.

W przypadku programów BSL-3/4 zintegrowanych z systemem EDS podczas zamknięcia testu SAT należy również potwierdzić, że blokady systemu odkażania ścieków, sekwencja działania zaworów spustowych oraz sygnały awarii systemu BMS zostały zweryfikowane w zainstalowanej konfiguracji — interfejsy te są często rozpatrywane oddzielnie, ale stanowią kluczowe elementy zapewniające szczelność. Zobacz Redundancja i mechanizmy zabezpieczające przed awarią w systemie EDS klasy BSL-4 dokumentacja dotycząca podstaw technicznych, na podstawie których określa się, co powinna potwierdzić weryfikacja instalacji.

Test SAT dla pakietów sprzętowych klasy BSL-3 i BSL-4 stanowi formalną granicę między instalacją a kwalifikacją — a jakość tego, co przechodzi przez tę granicę, decyduje o tym, na ile uzasadniona będzie cała dokumentacja walidacyjna na dalszych etapach. Zespoły, które dbają o swoje ścieżki audytowe IQ i OQ, to te, które traktują test SAT jako czynność weryfikacji hermetyczności, a nie jako zatwierdzenie zakończenia instalacji, oraz które opierają się presji, by rozpocząć IQ przed faktycznym potwierdzeniem połączeń między obiektem a sprzętem.

Przed zamknięciem testu SAT kluczowe znaczenie ma nie to, czy test odbył się w obecności świadka i został podpisany, ale to, czy dla każdego interfejsu o krytycznym znaczeniu dla hermetyczności — połączenia wywiewu, sekwencji blokady drzwi, mapowania sygnałów systemu BMS, ciągłości zasilania awaryjnego oraz integracji kontroli dostępu — istnieje protokół testowy, który zadowoliłby zewnętrznego recenzenta, który nie był obecny. Jeśli którykolwiek z tych protokołów brakuje lub opiera się na odroczonym rozwiązaniu bez formalnej oceny ryzyka, zamknięcie testu SAT jest niekompletne, niezależnie od tego, co stwierdza strona zatwierdzenia.

Często zadawane pytania

Pytanie: Czy można kontynuować test SAT, jeśli tylko niektóre media działają stabilnie — na przykład jeśli potwierdzono dostępność sprężonego powietrza, ale nadal trwa regulacja równowagi wydechu?
O: Nie — częściowa stabilność instalacji nie stanowi prawidłowego warunku rozpoczęcia testu SAT w przypadku kontroli o kluczowym znaczeniu dla bezpieczeństwa obudowy reaktora. Równowaga systemu wywiewnego bezpośrednio decyduje o tym, czy odczyty kierunku przepływu powietrza i różnicy ciśnień odzwierciedlają działanie urządzeń, czy też niedoskonałości pomieszczenia. Przeprowadzanie kontroli ciśnienia roboczego i przepływu powietrza przy niezrównoważonym systemie wywiewnym daje wyniki, których nie można przypisać ani urządzeniom, ani obiektowi, co podważa wiarygodność całego protokołu SAT. Media, które pozostają niestabilne w zaplanowanym przedziale czasowym SAT, powinny skutkować formalnym wstrzymaniem prac wraz z udokumentowaną oceną ryzyka, a nie częściowym testem, który jest kontynuowany w nadziei, że nierozwiązana kwestia ustąpi sama z siebie.

Pytanie: Jak należy postąpić zaraz po podpisaniu protokołu SAT — czy protokół IQ można uruchomić jeszcze tego samego dnia?
O: Rozpoczęcie procedury IQ w tym samym dniu jest możliwe tylko wtedy, gdy wszystkie interfejsy o kluczowym znaczeniu dla zabezpieczeń są formalnie zamknięte i nie ma żadnych otwartych pozycji, lub gdy każda otwarta pozycja posiada udokumentowaną ocenę ryzyka zaakceptowaną zarówno przez specjalistę ds. bezpieczeństwa biologicznego, jak i recenzenta ds. zapewnienia jakości, wraz z określonym harmonogramem rozwiązania problemu oraz odpowiednim wstrzymaniem działań zależnych w ramach procedury IQ. W praktyce bezpieczniejszą procedurą jest przeprowadzenie krótkiego, ustrukturyzowanego przeglądu dokumentacji SAT przed rozpoczęciem IQ — w szczególności w celu potwierdzenia, że mapowanie sygnałów systemu BMS, sekwencja blokady drzwi oraz zasilanie awaryjne znajdują się w stanie zamkniętym. Rozpoczęcie IQ przy nierozwiązanych pozycjach SAT sprawia, że każda kolejna anomalia podczas OQ staje się problemem przypisania odpowiedzialności, co może wymusić ponowną kwalifikację zarówno sprzętu, jak i obiektu.

Pytanie: Czy zakres SAT ulega zawężeniu w przypadku zastosowania modułowego systemu laboratoryjnego klasy BSL-3/4, biorąc pod uwagę, że znaczna część integracji jest kontrolowana przez konstrukcję modułów?
O: Zakres zawężają się w przypadku wewnętrznych interfejsów modułów, ale nie zmniejsza się w odniesieniu do punktów przyłączeniowych obiektu. Systemy modułowe kontrolują zgodność materiałów budowlanych oraz część wewnętrznego prowadzenia instalacji, co zmniejsza pewne wymagania dotyczące gotowości — jednak podłączenie kanału wywiewnego, jakość zasilania mediów w punkcie połączenia, okablowanie sygnałów systemu BMS z modułu do systemu obiektu oraz integracja kontroli dostępu z infrastrukturą obiektu wymagają takiej samej weryfikacji po montażu, jak w przypadku pomieszczenia budowanego tradycyjnie. Granica między tym, za co odpowiada dostawca modułu, a tym, za co odpowiada zespół obiektu w każdym punkcie połączenia, musi zostać określona w protokole SAT przed rozpoczęciem testów, a nie ustalana na podstawie założeń w dniu testów.

Pytanie: W jaki sposób test SAT dla pakietu BSL-3/4 ma się do certyfikacji pomieszczenia, którą zespół ds. uruchomienia systemu HVAC mógł już przeprowadzić — czy istnieją elementy wspólne, które można wykorzystać w celu ograniczenia zakresu testu SAT?
A: Certyfikacja pomieszczenia i test SAT urządzeń dotyczą różnych kwestii i żadna z tych procedur nie zastępuje drugiej. Uruchomienie systemu HVAC potwierdza, że system wentylacyjny pomieszczenia spełnia specyfikacje projektowe w stanie, gdy pomieszczenie jest puste i niezaopatrzone w sprzęt. Test SAT potwierdza, że zainstalowany zestaw urządzeń — w tym przyłącze wywiewne BSC, blokady drzwi, przekazywanie sygnałów do systemu BMS oraz kontrola dostępu — działa poprawnie w warunkach eksploatacyjnych pomieszczenia ustalonych podczas uruchomienia. Efekty wzajemnego oddziaływania między tymi dwoma systemami, takie jak zachowanie przyłącza rurkowego komory BSC w warunkach wahań pracy systemu HVAC lub czas działania blokady drzwi przy rzeczywistych obciążeniach związanych z uruchamianiem uszczelnienia pneumatycznego, można zaobserwować dopiero po zainstalowaniu urządzeń i nie są one ujęte wyłącznie w dokumentacji z uruchomienia systemu HVAC.

Pytanie: W którym momencie odłożenie na później realizacji otwartej pozycji w ramach egzaminu SAT staje się ryzykiem regulacyjnym, a nie tylko ryzykiem związanym z zarządzaniem projektem?
O: Próg ten ma miejsce wtedy, gdy nierozwiązana kwestia dotyczy interfejsu o krytycznym znaczeniu dla hermetyczności — mapowania sygnałów alarmowych systemu BMS, sekwencji blokad drzwi lub ciągłości zasilania awaryjnego — a proces kwalifikacji (IQ) jest kontynuowany bez formalnie zatwierdzonej oceny ryzyka obejmującej tę lukę. W tym momencie dalsza dokumentacja z kwalifikacji (IQ) i walidacji operacyjnej (OQ) nie może wykazać, że sprzęt został zakwalifikowany do zweryfikowanego środowiska hermetycznego, co będzie przedmiotem pytań ze strony organów regulacyjnych i organów nadzorujących wybrane czynniki podczas analizy dokumentacji walidacyjnej. Kwestia odroczona, dla której istnieje udokumentowana ocena ryzyka, akceptacja specjalisty ds. bezpieczeństwa biologicznego oraz określony termin rozwiązania, pozostaje ryzykiem związanym z zarządzaniem projektem. Ta sama kwestia, odroczona bez oficjalnego odnotowania, z jedynie stroną zatwierdzenia SAT jako dowodem, staje się zagrożeniem regulacyjnym, którego rozwiązanie może wymagać ponownej kwalifikacji.