Gdy dochodzi do awarii blokady komory przesyłowej lub uruchamia się alarm ciśnieniowy, najważniejsze pytanie nie dotyczy tego, jak usunąć usterkę, ale tego, co ta usterka faktycznie oznacza. Zresetowanie układu sterowania przed uzyskaniem odpowiedzi na to pytanie może co prawda wyeliminować fałszywy sygnał, ale może też spowodować uwolnienie ładunku przez granicę, której bezpieczeństwo nigdy nie zostało potwierdzone. Decyzja należy do osoby odpowiedzialnej za transfer materiału, a nie do tej, która jako pierwsza dotrze do panelu sterowania.
Przed dotknięciem elementów sterujących należy zabezpieczyć ładunek i sprawdzić stan alarmowy
Pierwszą decyzją jest to, czy zareagować na alarm, czy też wstrzymać się i zarejestrować go. Powtarzające się próby resetowania ograniczają ilość dowodów potrzebnych do późniejszego dochodzenia, ponieważ każdy reset może zmienić położenie drzwi, stan cyklu lub zawartość pamięci sterownika, zanim ktokolwiek zdąży zapisać, jak urządzenie działało w momencie wystąpienia usterki. Zabezpieczenie ładunku oznacza pozostawienie go w obecnej komorze lub pozycji, a nie przemieszczanie go w odpowiedzi na alarm, ponieważ sam ruch może być czynnością, która przekształca niejednoznaczny sygnał w rzeczywiste zdarzenie związane z zanieczyszczeniem lub wyciekiem.
Warunkiem, który zmienia tę ocenę, jest to, co oddziela komora przesyłowa. W przypadku gdy punkt przesyłowy znajduje się pomiędzy dwiema strefami o różnym stopniu czystości, nierozwiązana usterka drzwi lub ciśnienia rodzi wątpliwości dotyczące ochrony produktu – a mianowicie, co przekroczyło lub mogło przekroczyć granicę w czasie trwania tej usterki. W przypadku gdy punkt przesyłowy obejmuje granica zagrożenia lub granica biologiczna, ta sama usterka rodzi natomiast wątpliwości dotyczące zabezpieczenia przed narażeniem personelu i środowiska. W obu sytuacjach należy podjąć ten sam pierwszy krok — zatrzymać, zarejestrować, nie resetować — jednak ryzyko, przed którym się chronimy, jest różne, a ta różnica decyduje o tym, które zainteresowane strony muszą dokonać przeglądu zdarzenia przed wznowieniem pracy.
Rejestracja stanu alarmowego polega na odnotowaniu tego, co wyświetla się na ekranie lub w dzienniku w momencie wystąpienia awarii: do których drzwi odnosi się alarm, czy wskazywana jest odchylenie ciśnienia, czy też usterka zamka/pozycji oraz jaki etap cyklu był aktywny. Zapis ten stanowi podstawę każdej późniejszej kontroli, ponieważ porównanie późniejszego odczytu z nieudokumentowanym stanem początkowym nie dostarcza osobie prowadzącej dochodzenie żadnych informacji. Jeśli komora przekaźnikowa jest zintegrowana z Cykl odkażania VHP, istotny jest również stan cyklu w momencie wystąpienia usterki, ponieważ usterka w trakcie cyklu pozostawia otwartą kwestię, czy etap odkażania został zakończony, co ma wpływ na późniejszy sposób postępowania z ładunkiem.
Na tym etapie nie można stwierdzić, czy usterka wynika z błędu przyrządu, czy też jest to rzeczywiste zakłócenie na granicy. Zapewnia to jedynie, że dowody niezbędne do rozróżnienia tych dwóch przypadków pozostają nienaruszone, gdy ktoś rozpocznie tę diagnostykę.
Sprawdź położenie obu drzwi, sygnał zwrotny z zamka, stan cyklu oraz polecenie zwolnienia
| Stan do sprawdzenia | Dowody do zarejestrowania | Zastosowanie diagnostyczne |
|---|---|---|
| Położenie drzwi | Rzeczywiste położenie poszczególnych drzwi oraz położenie wskazywane przez elementy sterujące | Sprawdź czujnik położenia lub sygnał zwrotny dotyczący stanu drzwi, gdy wartości te są rozbieżne |
| Zablokuj komentarz | Wskazanie stanu zamknięcia dla każdych drzwi w porównaniu z faktycznym stanem drzwi | W przypadku rozbieżności należy sprawdzić, czy nie występuje usterka mechaniczna, czujnika lub układu sterującego |
| Stan cyklu | Wyświetlany stan cyklu w momencie wystąpienia alarmu | Zachowanie kontekstu cyklu, w którym wystąpiła awaria blokady lub alarmu |
| Polecenie uwolnienia | Wyświetlone lub wydane polecenie otwarcia w porównaniu z odpowiednią reakcją drzwi i zamka | Należy sprawdzić ścieżkę poleceń, komunikacji, logiki sterowania lub reakcji mechanicznej |
Po ustaleniu stanu obciążenia i alarmu kolejnym zadaniem jest porównanie rzeczywistego działania urządzeń z danymi przekazywanymi przez układ sterowania. A blokada skrzynki przelotowej Został zaprojektowany specjalnie po to, by zapobiec jednoczesnemu otwarciu obu drzwi, dlatego przy każdym badaniu usterki należy wyjść z założenia, że doszło do awarii jednej z czterech rzeczy: fizycznego stanu drzwi, czujnika sygnalizującego ten stan, logiki interpretującej sygnał z czujnika lub ścieżki poleceń, która realizuje wniosek logiki. Są to różne klasy usterek o różnych konsekwencjach, a ich mylenie prowadzi do podjęcia niewłaściwych działań naprawczych.
Drzwi, które są fizycznie zamknięte, ale sygnalizowane jako otwarte, wskazują raczej na problem z czujnikiem położenia lub sygnałem zwrotnym niż na awarię blokady mechanicznej. Drzwi, które otwierają się pomimo sygnalizacji, że są zamknięte i zablokowane, wskazują na coś zupełnie innego – na usterkę mechaniczną lub w logice sterowania, która jest poważniejsza, ponieważ oznacza, że sama blokada nie spełniła swojej funkcji. To rozróżnienie ma znaczenie, ponieważ w pierwszym przypadku można kontynuować użytkowanie przy pomocy układów kompensacyjnych, podczas gdy w drugim nie jest to możliwe, ponieważ blokada, która nie zapobiega jednoczesnemu otwarciu, nie spełniła swojego podstawowego zadania, niezależnie od tego, co pokazuje jakikolwiek inny wyświetlacz.
Sygnał zwrotny z zamka jest sygnałem niezależnym od położenia drzwi, a oba sygnały powinny być ze sobą zgodne. W przypadku rozbieżności przyczyną usterki może być mechanizm zamka, czujnik sygnalizujący stan zamknięcia lub układ sterujący uzgadniający te dwa sygnały — każda z tych przyczyn wymaga innego sposobu usunięcia usterki. Stan cyklu ma znaczenie, ponieważ usterka blokady lub ciśnienia, która występuje podczas aktywnego cyklu dekontaminacji lub transferu, ma inne konsekwencje niż ta występująca w stanie spoczynku; kontekst cyklu informuje osobę prowadzącą dochodzenie, co urządzenie próbowało wykonać, gdy usterka przerwała jego działanie.
Polecenie zwolnienia zasługuje na odrębną analizę, niezależną od fizycznego wyniku. Polecenie może zostać poprawnie wysłane przez sterownik, a mimo to nie wywołać prawidłowej reakcji drzwi lub zamka, co wskazuje na usterkę mechaniczną lub komunikacyjną występującą poniżej układu logicznego. Możliwe jest również, że samo polecenie jest błędne, co wskazuje na usterkę powyżej układu logicznego lub na sygnał wejściowy, który je wywołał. Porównanie miejsca wysłania polecenia z miejscem, w którym wystąpiła lub nie wystąpiła reakcja, pozwala zawęzić poszukiwania usterki do konkretnego segmentu łańcucha sterowania, zamiast pozostawiać dochodzenie w sferze domysłów dotyczących całego systemu.
Sprawdź kolejno czujniki ciśnienia, przepływ powietrza, uszczelnienia, zasilanie i łączność
| Sprawdź obszar | Dane do porównania lub rejestracji | Granica decyzyjna |
|---|---|---|
| Wykrywanie ciśnienia | Lokalny wskaźnik lub sygnalizacja stanu oraz niezależny monitor pomieszczenia lub bariery, o ile są dostępne | Sam jeden nieprawidłowy sygnał nie świadczy o tym, że ciśnienie jest bezpieczne |
| Przepływ powietrza | Wskazanie dostępnego przepływu powietrza i stan alarmu | Należy stosować kryteria obowiązujące dla danego obiektu, zamiast zakładać uniwersalną wartość zadaną ciśnienia |
| Uszczelki drzwiowe | Stan uszczelki wraz z położeniem drzwi i sygnałem zwrotnym z zamka | Należy uwzględnić w dochodzeniu kwestię granic związaną z pieczęcią, dopóki przeprowadzone kontrole nie wykluczą jej |
| Narzędzia | Stan urządzenia w momencie wystąpienia alarmu oraz stan cyklu | Przerwa w dostawie mediów nadal stanowi odrębną kategorię możliwych awarii |
| Komunikacja | Wskazanie lokalne w porównaniu ze stanem zgłoszonym lub stanem kontrolera | Niezgodność stanowi podstawę do przeprowadzenia dochodzenia w zakresie komunikacji, ale nie gwarantuje bezpieczeństwa granic |
Po ustaleniu stanu drzwi i zamka dochodzenie skupia się na podsystemach, które mogłyby wywołać alarm ciśnieniowy niezależnie od działania drzwi. Analizowanie tych elementów po kolei, zamiast przechodzenia od razu do tego, który wydaje się najbardziej prawdopodobny, pozwala uniknąć częstego błędu polegającego na naprawieniu czujnika, podczas gdy rzeczywistą przyczyną odchylenia ciśnienia pozostaje usterka uszczelki lub problem z instalacją.
Nie należy nigdy oceniać stanu ciśnienia na podstawie pojedynczego odczytu. Jeśli komora transferowa lub otaczające ją pomieszczenie wyposażone jest w niezależny monitor, odrębny od lokalnego manometru lub wyświetlacza, porównanie tych dwóch wskazań pozwala badającemu ustalić, czy lokalny odczyt jest wiarygodny. Lokalny czujnik może ulec awarii, podczas gdy niezależny monitor nadal będzie działał prawidłowo; możliwe jest również odwrotne zdarzenie. Traktowanie któregokolwiek z tych pojedynczych źródeł jako wystarczającego dowodu bezpiecznego ciśnienia, bez dokonania porównania, wiąże się z ryzykiem zwolnienia ładunku na podstawie wskazań wadliwego przyrządu.
Kontrola przepływu powietrza zależy od tego, jakie dane faktycznie dostarcza dana instalacja; nie każda komora transferowa posiada oprzyrządowanie do pomiaru przepływu powietrza niezależne od czujników ciśnienia, więc to dostępne dane — oraz kryteria określone przez zakład dotyczące dopuszczalnego przepływu powietrza — decydują o tym, jakie wnioski można w tym przypadku wyciągnąć, a nie jakieś domniemane, uniwersalne wartości.
Uszczelki drzwi mają bezpośredni wpływ na przebieg ciśnienia. Uszczelka, która ulega nierównomiernemu ściśnięciu, jest zanieczyszczona lub przemieszczona, może generować sygnał ciśnieniowy, który na pierwszy rzut oka jest nie do odróżnienia od usterki czujnika. Dlatego stan uszczelki należy sprawdzać równolegle z pozycją drzwi i sygnałem zwrotnym z zamka, a nie traktować go jako odrębną kwestię do rozpatrzenia w późniejszym terminie. Przyczynę związaną z uszczelką należy brać pod uwagę do momentu, aż kontrole czujników i układu logicznego jednoznacznie ją wykluczą, a nie tylko dlatego, że nikt tego nie sprawdził.
Stan mediów — niezależnie od tego, od jakich usług zależy komora przelotowa w zakresie odkażania lub wentylacji — może powodować błąd ciśnienia lub cyklu, który nie ma absolutnie nic wspólnego z układem blokad. Przerwa w dostawie mediów w dokładnie tym samym momencie cyklu może być wyświetlana na ekranie w identyczny sposób jak błąd czujnika, dlatego warto odnotować stan mediów w momencie wystąpienia alarmu, nawet jeśli pierwsze podejrzenia wskazują na inną przyczynę.
Sekwencję zamykają kontrole komunikacyjne: w przypadku rozbieżności między danymi wyświetlanymi na lokalnym wyświetlaczu a informacjami przekazywanymi przez podłączony system zarządzania budynkiem lub system monitorowania, sama ta rozbieżność stanowi informację diagnostyczną wskazującą na awarię komunikacyjną, odrębną od wszelkich wyżej wymienionych problemów mechanicznych lub związanych z czujnikami i wymagającą odrębnego rozwiązania.
Odróżnij awarię przyrządu od rzeczywistego przekroczenia wartości granicznej
| Wzór dowodowy | Tłumaczenie symultaniczne | Limit bezpiecznej decyzji |
|---|---|---|
| Wskazanie ciśnienia lokalnego jest sprzeczne z odczytem niezależnego czujnika w pomieszczeniu lub czujnika barierowego | Może wystąpić usterka urządzenia, sygnału lub łączności | Ten spór nie dowodzi, że ciśnienie jest bezpieczne |
| Zarówno lokalne, jak i niezależne wskaźniki wskazują na stan wykraczający poza kryteria określone dla danego ośrodka | Dowody wskazują, że należy traktować rzeczywiste naruszenie granic jako możliwe | Należy stosować kryteria i procedurę przywracania obowiązujące w danej witrynie, a nie uniwersalne wartości zadane |
| Brak niezależnych dowodów lub dowody są niejednoznaczne | Nie da się jeszcze odróżnić awarii przyrządu od przekroczenia wartości granicznych | Brak dowodów nie pozwala na zresetowanie, obejście ani ręczne zwolnienie |
Powyższe weryfikacje mają na celu udzielenie odpowiedzi na jedno pytanie: czy granica rzeczywiście zawiodła, czy też zawiodły jedynie dowody na jej istnienie? Są to różne scenariusze wymagające różnych reakcji, a różnica ta zależy wyłącznie od tego, co wskazują lokalne i niezależne przesłanki w porównaniu między sobą.
W przypadku gdy lokalny odczyt ciśnienia jest sprzeczny z odczytem niezależnego czujnika pomieszczeniowego lub barierowego, sama ta sprzeczność ma charakter informacyjny — wskazuje, że gdzieś w łańcuchu może występować usterka przyrządu, sygnału lub komunikacji — ale nie pozwala ustalić, która ze stron ma rację. Traktowanie niezależnego czujnika jako automatycznie wiarygodnego, bez dalszego badania, zakłada poziom niezawodności, który sama sprzeczność podważa. Niezgodność wymaga wyjaśnienia, a nie wyboru tego odczytu, który jest bardziej dogodny.
W sytuacji, gdy zarówno lokalne, jak i niezależne wskaźniki wskazują, że warunki wykraczają poza zdefiniowane przez zakład kryteria dopuszczalne, dowody przemawiają za potraktowaniem tego jako rzeczywistego przekroczenia granic, a nie artefaktu pomiarowego. Jest to sytuacja, w której właściwą reakcją stają się działania naprawcze, a nie zwykła diagnostyka czujnika. Kryteria definiujące “poza dopuszczalnym zakresem” są ustalane przez dany zakład dla danego sprzętu i danego zastosowania; nie ma uniwersalnej wartości zadanej ciśnienia, która miałaby zastosowanie zarówno w kontekście aseptycznym, jak i w kontekście izolacji, ponieważ te dwa cele mają na celu ochronę przed różnymi konsekwencjami.
Trudniejsza sytuacja ma miejsce, gdy nie jest dostępny niezależny monitor lub gdy porównanie pozostaje niejednoznaczne nawet po przeprowadzeniu kontroli podsystemów. W takim przypadku dowody nie pozwalają stwierdzić ani tego, że usterka ma charakter czysto instrumentalny, ani tego, że doszło do rzeczywistego naruszenia granicy. Jest to stan rzeczywiście otwarty, a właściwą reakcją na stan otwarty nie jest postępowanie tak, jakby ustalono wygodniejszą interpretację. Brak dowodów lub ich niejednoznaczność nie uzasadniają zresetowania, obejścia ani ręcznego zwolnienia; uzasadniają one traktowanie przekroczenia wartości granicznej jako niepotwierdzonego do czasu, aż dalsze dowody — czy to w postaci dodatkowej kontroli, innego przyrządu pomiarowego, czy oceny inżynierskiej — wyjaśnią tę niejednoznaczność. Projekty, w których skrzynki przejściowe są wyposażone w niezależny system monitorowania oprócz lokalnej sygnalizacji, ograniczają częstotliwość występowania tej niejednoznacznej sytuacji, co samo w sobie jest decyzją konfiguracyjną, o której warto wspomnieć podczas przeglądu projektu, a nie dopiero w momencie wystąpienia usterki.
Zezwól na obejście procedury lub ręczne zwolnienie w ramach procesu rozpatrywania odstępstw obowiązujących w zakładzie
| Element obowiązkowy | Decyzja o sporządzeniu dokumentacji | Kontrola przed wprowadzeniem na rynek |
|---|---|---|
| Uzasadniona decyzja dotycząca ryzyka | Czy w ramach procedury dotyczącej odstępstw obowiązujących w danym obiekcie uzasadnione jest zastosowanie obejścia lub ręcznego zwolnienia | Należy odnotować zatwierdzoną decyzję przed podjęciem działań |
| Sposób załadunku | W jaki sposób będzie obsługiwany ładunek zabezpieczony | Należy udokumentować stan ładunku, zamiast zakładać, że jest on nadal dopuszczalny |
| Odtworzenie granic | Które etapy zdefiniowane dla danego obiektu spowodują przywrócenie granicy po zwolnieniu? | Należy określić etapy przywracania przed ręcznym zwolnieniem |
| Badanie przed ponownym dopuszczeniem do eksploatacji | Jakie kontrole funkcjonalne i z góry określone kryteria akceptacji będą decydować o przywróceniu | Należy udokumentować przebieg testu i kryteria przed przywróceniem działania usługi |
Gdy w wyniku dochodzenia zidentyfikowano charakter usterki, pojawia się pytanie, czy należy zwolnić obciążenie bez oczekiwania na normalne wyłączenie blokady lub alarmu. Nie jest to wyłącznie decyzja techniczna; jest to decyzja dotycząca ryzyka, która wpisuje się w proces postępowania w sytuacjach odstępstw obowiązujący w zakładzie, ponieważ wiąże się z akceptacją określonego ryzyka w zamian za odzyskanie obciążenia lub przywrócenie gotowości sprzętu.
Decyzja o zezwoleniu powinna zostać podjęta i odnotowana oddzielnie od diagnozy technicznej, mimo że diagnoza ta stanowi jej podstawę. Wniosek, że usterka wynika z działania przyrządu, wyciągnięty na podstawie opisanych powyżej porównań, stanowi uzasadnienie — ale sam w sobie nie stanowi — zezwolenia na obejście. Etap udzielania zezwolenia wymaga, aby osoba posiadająca odpowiednie uprawnienia rozważyła ten wniosek techniczny w kontekście konkretnych konsekwencji ewentualnego błędu oraz wyraźnie odnotowała wynik tej oceny.
Decyzja o postępowaniu z ładunkiem jest odrębna od samej zgody na obejście procedury. Ładunek, który został zabezpieczony podczas nierozwiązanej usterki, może wymagać odrzucenia, ponownego przetworzenia, ponownego przetestowania lub zwolnienia, w zależności od tego, czy w wyniku dochodzenia w sprawie usterki ustalono, że granica została zachowana w czasie trwania okna usterki. Decyzja ta nie wynika automatycznie z zezwolenia na obejście blokady; obejście układu sterowania w celu odzyskania ładunku to kwestia odrębna od tego, co powinno się następnie stać z tym ładunkiem, a traktowanie ich jako tej samej decyzji grozi całkowitym pominięciem kwestii rozporządzenia ładunkiem.
Kroki przywracania granic należy określić przed wydaniem aktualizacji, a nie improwizować je później. Należy znać i udokumentować w ramach autoryzacji, co konkretnie przywraca granicę — niezależnie od tego, jakie działania obiekt zdefiniował jako mające zastosowanie do zidentyfikowanej kategorii usterki — tak aby obejście nie polegało po prostu na zamianie nierozwiązanego alarmu na nierozwiązane przywrócenie.
Wreszcie, test przywrócenia do eksploatacji oraz kryteria jego akceptacji należy określić już na etapie wydawania zezwolenia, a nie odkładać na później. Załącznik 15 do EudraLex określa z góry kryteria akceptacji oraz udokumentowaną procedurę badania odstępstw jako podstawę do ustalenia, czy system może zostać ponownie wprowadzony do eksploatacji; zastosowanie tej logiki w tym przypadku oznacza, że kryteria przywrócenia sprawności ustala się przed ręcznym zwolnieniem, a nie ustala się ich a posteriori w celu dopasowania do tego, jak akurat zachowuje się sprzęt. Dokumentacja odstępstwa, która obejmuje decyzję dotyczącą ryzyka, sposób postępowania z obciążeniem, kroki przywracania sprawności oraz kryteria testowe — a nie tylko sam fakt wystąpienia obejścia — stanowi punkt odniesienia dla weryfikacji na kolejnym etapie.
Usługę należy przywrócić dopiero po przeprowadzeniu kontroli działania i udokumentowaniu rozkładu obciążenia
| Zawór spustowy | Dowody potwierdzające | Co określa brama |
|---|---|---|
| Badanie przyczyn awarii | Badana kategoria usterki i wnioski | Usterka została zbadana, a nie usunięta wyłącznie poprzez wielokrotne próby zresetowania urządzenia |
| Kontrole działania | Wyniki testów blokady i alarmu ciśnieniowego w odniesieniu do z góry określonych kryteriów akceptacji | Testowane funkcje spełniają kryteria określone przez serwis |
| Odtworzenie granic | Zakończenie zatwierdzonych czynności związanych z odzyskaniem danych | Przeprowadzono planowane przywrócenie granic |
| Sposób załadunku | Udokumentowana decyzja dotycząca zabezpieczonego ładunku | Przeznaczenie ładunku jest wyraźnie określone i niezależne od zwolnienia sprzętu |
| Wnioski dotyczące odchyleń | Odnotowane odstępstwo, wyniki dochodzenia oraz wnioski w odniesieniu do kryteriów | Decyzja o ponownym dopuszczeniu do eksploatacji ma udokumentowaną podstawę |
Przywrócenie normalnego działania komory przepustowej to odrębny etap w stosunku do zezwolenia na obejście systemu, a mylenie tych dwóch kwestii grozi traktowaniem zezwolenia na działanie jako równoznacznego z potwierdzeniem, że system nadaje się do dalszego użytkowania. Warunkiem przywrócenia działania systemu powinno być przedstawienie dowodów, a nie jedynie upływ czasu od wystąpienia usterki.
Dochodzenie w sprawie awarii wymaga sformułowania jednoznacznego wniosku, a nie jedynie wyzerowania alarmu. Usterka blokady lub ciśnienia, która znika po zresetowaniu bez ustalenia przyczyny, nie została zbadana — została jedynie zamaskowana. Jeśli przyczyna pozostaje nieznana, ryzyko, które spowodowało pierwotną awarię, nadal istnieje i może się powtórzyć w tych samych warunkach, dlatego udokumentowana kategoria zbadanej awarii, nawet tymczasowa, stanowi jeden z elementów uzasadniających przywrócenie urządzenia do eksploatacji.
Kontrola działania blokady i alarmu ciśnieniowego w odniesieniu do warunków panujących na terenie obiektu wstępnie określone kryteria akceptacji należy upewnić się, że konkretna funkcja, w której wystąpiła usterka, działa teraz prawidłowo, a nie tylko sprawdzić, czy alarm już nie brzmi. Kontrole te powinny obejmować sprawdzenie rzeczywistego działania funkcji, w której wystąpiła usterka — blokada drzwi, sygnalizację ciśnienia lub obie te funkcje — zamiast ogólnej kontroli sprawności, która mogłaby zakończyć się wynikiem pozytywnym, podczas gdy konkretna usterka pozostaje ukryta.
Przywrócenie granic, zgodnie z planem ustalonym podczas wydawania zezwolenia, wymaga potwierdzenia, że zostało faktycznie zrealizowane, a nie tylko zaplanowane. Natomiast postępowanie z ładunkiem wymaga odrębnej, wyraźnej i udokumentowanej decyzji, niezależnej od przywrócenia sprzętu do eksploatacji; ładunek może wymagać innego postępowania niż sprzęt, przez który przeszedł, a traktowanie tych dwóch kwestii jako jednej decyzji grozi utratą orientacji, która decyzja dotyczy danego ryzyka.
Dokumentacja odchyleń, która łączy te elementy — wnioski z dochodzenia, wyniki kontroli działania, zakończenie naprawy oraz sposób postępowania z ładunkiem, przy czym każdy z tych elementów jest oceniany w oparciu o kryteria określone przez zakład dla tej usterki — stanowi udokumentowaną, a nie opartą na domysłach podstawę decyzji o przywróceniu do eksploatacji. W przypadku, gdy komora przelotowa jest skrzynka bezpieczeństwa biologicznego ochrona granicy obszaru zabezpieczonego lub Skrzynka przepustek VHP W związku z cyklem odkażania konkretne kryteria akceptacji i etapy przywracania sprawności będą się różnić w zależności od tego, jakie wymagania obowiązują dla danego urządzenia, dlatego kryteria te należy określić dla konkretnego urządzenia i zastosowania na etapie konfiguracji projektu, a nie zakładać ich ogólnie dla wszystkich typów komór przekaźnikowych.
Często zadawane pytania
Q: Czy operator powinien wielokrotnie resetować blokadę lub alarm ciśnieniowy, aby sprawdzić, czy się wyłączy?
A: Nie. Należy zabezpieczyć ładunek i zaprzestać wielokrotnych prób resetowania, dopóki nie zostaną zarejestrowane: stan alarmu, rzeczywiste położenia drzwi, odczyty ciśnienia oraz stan cyklu. Samo wyzerowanie alarmu nie zastępuje badania przyczyny awarii ani nie potwierdza, że granica transferu jest gotowa do użytku.
Q: Co należy zrobić, gdy wskazania wyświetlacza komory przekaźnikowej nie pokrywają się z odczytami z niezależnego monitora pomieszczenia lub bariery?
A: Należy traktować warunek brzegowy jako nierozstrzygnięty. Należy zapisać oba odczyty, a następnie sprawdzić przyrząd, sygnał i ścieżki komunikacyjne; żadnego z tych wskazań nie należy traktować samodzielnie jako dowodu, że ciśnienie jest bezpieczne.
Q: Czy w przypadku pilnej przesyłki można skorzystać z opcji ręcznego nadania?
A: Wyłącznie po podjęciu zatwierdzonej decyzji dotyczącej ryzyka w ramach procedury postępowania w przypadku odstępstw obowiązującej w zakładzie. Decyzja ta powinna określać sposób usunięcia obciążenia, etapy przywracania stanu granicznego oraz kontrole funkcjonalne i z góry określone kryteria akceptacji wymagane przed ponownym oddaniem do eksploatacji.
Q: Czy usunięcie usterki urządzenia powoduje automatyczne zwolnienie materiału znajdującego się wewnątrz komory przesyłowej?
A: Nie. Decyzje dotyczące zwolnienia sprzętu i postępowania z ładunkiem są odrębne. Należy udokumentować sposób postępowania z ładunkiem, korzystając z zarejestrowanego statusu cyklu, dowodów z terenu oraz obowiązującej w danym obiekcie procedury postępowania w przypadku odstępstw.
Q: Jakie informacje należy przygotować przed przekazaniem zgłoszenia usterki pracownikom działu konserwacji lub kontroli jakości?
A: Należy podać pierwotny stan alarmowy, rzeczywiste i wyświetlane położenia drzwi, sygnał zwrotny z zamka, stan cyklu, reakcję na polecenie zwolnienia, lokalne i niezależne wskazania ciśnienia oraz stan przepływu powietrza, mediów, uszczelek i łączności. Zapewnia to dochodzeniu jasny punkt wyjścia i pomaga ustalić, w których miejscach zaobserwowane i zgłoszone stany przestają się zgadzać.
Q: Czy istnieje jedna wartość ciśnienia lub alarmu, którą można zastosować przy każdej decyzji dotyczącej ratowania?
A: Nie ma jednej uniwersalnej wartości, która miałaby zastosowanie do wszystkich zastosowań związanych z bezpieczeństwem biologicznym lub aseptyką. Należy zastosować z góry określone kryteria obowiązujące w danym obiekcie w odniesieniu do danego pomieszczenia, bariery, procesu i kontekstu kwalifikacji, a następnie udokumentować wnioski sformułowane na podstawie tych kryteriów.
