Um equipamento que é aprovado em uma verificação de inicialização na fábrica e, posteriormente, apresenta falhas na sequência de válvulas, intertravamentos com falhas de acionamento ou erros na cascata de pressão durante o comissionamento no local não é sinal de azar — isso indica que o escopo do FAT ficou aquém do que o equipamento realmente precisava comprovar. O custo subsequente dessa lacuna não é abstrato: o retrabalho no local em equipamentos de contenção exige condições controladas, etapas de descontaminação e, muitas vezes, notificação às autoridades regulatórias, o que comprime o cronograma de comissionamento e pode adiar as datas de início da qualificação em semanas. A decisão que evita a maior parte desses danos não é um SAT mais rigoroso — é um FAT mais completo, com um protocolo aprovado antes da visita e um acordo claro sobre o que deve ser concluído antes que o equipamento saia da fábrica. Entender onde fica esse limite e quais evidências solicitar em cada etapa é o que permite que os compradores tomem uma decisão de envio defensável, em vez de uma decisão otimista.
Verificações de fábrica para conjuntos VHP, BIBO e isoladores
Confirmar que um isolador, um invólucro BIBO ou uma unidade de transferência VHP esteja fisicamente completo é um ponto de partida necessário, mas não é suficiente. As verificações de fábrica significativas são aquelas que geram evidências mensuráveis de aprovação ou reprovação com base em critérios pré-acordados — evidências que eliminam um possível modo de falha antes do envio ou o sinalizam com antecedência suficiente para que seja corrigido na fábrica.
Especificamente no que diz respeito aos equipamentos de contenção, quatro atividades de verificação têm as consequências mais graves caso sejam omitidas. Um teste de desempenho de contenção em um isolador ou sistema de descarga confirma que o limite de contenção se mantém em condições representativas antes que a unidade seja carregada em um caminhão. Um teste de retenção de pressão ou de vazamento a vácuo aplica critérios mensuráveis ao que, de outra forma, seria uma inspeção visual: o conjunto é hermético ou não, e o resultado é registrado em comparação com um valor de aceitação acordado. O teste de integridade do filtro HEPA, realizado dentro da estrutura da norma ISO 14644 e em conformidade com os requisitos de documentação das BPF (Boas Práticas de Fabricação) referenciados no Anexo 15, verifica se o desempenho da filtragem atende às especificações antes que a unidade seja colocada em uma área controlada, onde a correção é muito mais complicada. A inspeção dimensional com instrumentos calibrados pode parecer uma tarefa administrativa, mas discrepâncias entre as dimensões registradas na fábrica e os desenhos da obra criam problemas de alinhamento que são realmente caros de corrigir depois que outras etapas da obra já tiverem avançado.
| Teste/verificação | Objetivo da verificação | Risco em caso de não realização |
|---|---|---|
| Teste de desempenho de contenção (por exemplo, isoladores de descarga de ANFD) | Confirma a integridade do invólucro antes do embarque | Vazamentos não detectados se espalham pelo local, aumentando o risco de exposição |
| Teste de retenção de pressão (PHT) / Teste de vazamento a vácuo (VLT) | Verifica a estanqueidade da construção com critérios mensuráveis de aprovação/reprovação | Caminhos ocultos de vazamento descobertos apenas durante o SAT, o que obrigou a um retrabalho |
| Teste de integridade do filtro HEPA | Comprova a conformidade do filtro com a norma ISO 14644 e as BPF | Não conformidade regulatória; retrabalho ou substituição no local |
| Inspeção dimensional (instrumentos calibrados) | Confirma se o equipamento se encaixa na área prevista para a instalação | Modificações dispendiosas para adaptação ao local e correções de alinhamento |
O perfil de risco de cada verificação omitida é diferente em natureza, e não apenas em grau. Um vazamento não detectado em um isolador de biossegurança passa de uma correção de fábrica para um risco de exposição do operador. Uma discrepância dimensional passa de uma verificação do desenho para uma modificação estrutural. Enquadrar esses aspectos como medidas opcionais para aumentar a confiança subestima o que eles realmente são: o último ponto do projeto em que a correção de cada classe de falha é relativamente barata.
Sequência de controle e evidências de alarmes que os compradores devem verificar
O teste FAT que mais frequentemente é preterido devido à pressão do cronograma é justamente aquele que mais importa para a segurança do operador: a execução supervisionada da lógica de controle em condições de falha, e não apenas em operação normal. O sequenciamento em simulação confirma que o programa do PLC existe; ele não confirma se o alarme de remoção da luva é acionado corretamente, se a parada de emergência interrompe o sistema na sequência correta ou se a abertura de uma porta de proteção força o sistema a entrar em um estado de segurança definido, em vez de continuar operando.
Testemunhar esses testes é importante porque os modos de falha que eles detectam não são visíveis nos desenhos ou nas revisões da documentação. Uma condição de “luva removida” que não é sinalizada corretamente, um intertravamento que reconhece uma proteção aberta, mas não interrompe a sequência, ou uma parada de emergência que interrompe os motores, mas deixa uma linha pressurizada aberta — nenhum desses defeitos aparece no conjunto de desenhos de obra concluída. Eles só aparecem quando o teste é realizado. Os compradores que participam do FAT, mas não testemunham as transições dos intertravamentos e as respostas dos alarmes estão, na prática, aceitando esses itens com base na confiança.
A contrapartida é real: testemunhar mais etapas de teste prolonga a visita à fábrica e exige mais tempo da equipe do comprador. Esse prolongamento só é viável se o protocolo de teste estiver finalizado e acordado antes da visita, para que a equipe da fábrica não fique aguardando aprovação enquanto o tempo passa. Quando a medição do tempo de resposta do sistema de segurança está incluída — o que se aplica nos casos em que um nível específico de desempenho está definido na especificação de segurança —, esses testes exigem instrumentação e metodologia de cronometragem previamente acordadas, que não podem ser improvisadas no próprio dia.
| Sequência de controle / Teste de alarme | O que testemunhar / confirmar | Possíveis consequências caso não haja testemunhas |
|---|---|---|
| Teste de funcionamento sem luva | O alarme de segurança é acionado e o sistema entra em estado de segurança | Risco de exposição do operador caso a lógica do alarme esteja com defeito |
| Teste de parada de emergência e procedimento de reinicialização | Os motores param com segurança e o sistema reinicia sem apresentar falhas | Incidente de segurança na obra; falhas no reinício causam atrasos no comissionamento |
| Teste da condição de intertravamento (proteções abertas) | O sistema impõe um estado seguro sem intervenção manual | Defeitos latentes nos dispositivos de intertravamento comprometem a segurança do operador |
| Teste de alarmes críticos (sensores de aperto, desviador, detecção de metais, etc.) | Cada ponto de ajuste de alarme e cada sinalização foram verificados | Uma falha não detectada no sensor pode passar despercebida até o início da produção |
| Testes do sistema de controle (lógica do PLC, IHM, testes sem carga) | As sequências automatizadas, os indicadores e a lógica funcionam corretamente antes da ativação do motor | A depuração do site prolonga o cronograma; erros de lógica exigem reprogramação |
| Testes de sistemas de segurança (dispositivos individuais e medição do tempo de resposta) | Nível de desempenho (por exemplo, SIL/PL) e prazos confirmados | Não conformidade regulatória ou redução da integridade da segurança |
Defeitos na lógica de controle que chegam à unidade não exigem simplesmente uma correção de software. Em equipamentos de contenção, o diagnóstico de uma falha no intertravamento muitas vezes exige que a área seja esvaziada, que os procedimentos de acesso sejam seguidos e que qualquer correção seja redocumentada sob o controle de mudanças. O custo, em relação ao retrabalho na fábrica, raramente é inferior a três para um, e essa estimativa não inclui o impacto no cronograma de qualificação.
Revisão da documentação antes da saída do equipamento da fábrica
As deficiências na documentação detectadas na SAT ou na IQ não são meras correções administrativas de menor importância. Quando o equipamento físico não corresponde aos desenhos controlados por revisão que o acompanham, ou quando o manual de dados de fabricação não contém as certificações de materiais para componentes que entram em contato com o produto ou com o ar do processo, a equipe de qualificação não pode prosseguir sem resolver essas lacunas — o que significa ter que entrar em contato novamente com o fornecedor após a instalação do equipamento, sob pressão de tempo e, muitas vezes, com poder de negociação limitado.
O princípio do Anexo 15, segundo o qual a documentação deve refletir o estado final da obra antes do início da qualificação, estabelece o quadro de referência neste caso: o que sai da fábrica é a linha de base em relação à qual todas as fases subsequentes de qualificação são avaliadas. Se essa linha de base estiver incompleta ou incorreta no momento da remessa, a deficiência não desaparece — ela atrasa a Qualificação de Qualidade (IQ) ou se torna uma não conformidade.
| Documento / Registro | O que confirmar | Risco em caso de informações incompletas ou incorretas |
|---|---|---|
| Desenhos de GA, P&IDs, manuais de fabricação | Rastreabilidade dos materiais e documentos essenciais de projeto incluídos | Lacunas de conformidade e ausência de uma linha de base para futuras soluções de problemas |
| Desenhos de conformidade com a obra que registram os desvios em relação ao FAT | Alterações marcadas em vermelho refletidas na revisão final | Discrepâncias entre os equipamentos físicos e a documentação; problemas relacionados à manutenção e à validação |
| Placas de identificação dos componentes x lista de materiais (BOM) e desenhos técnicos | Placas de identificação físicas com referência cruzada aos registros de projeto | Componentes incompatíveis causam erros na escolha de peças de reposição ou constatações de não conformidade |
A verificação de documentação de maior importância durante o FAT é a reconciliação das alterações marcadas em vermelho: confirmar que os desvios identificados e corrigidos durante o próprio FAT sejam incorporados em uma revisão atualizada do desenho, e não apenas registrados no relatório do FAT como uma observação. Um relatório de FAT que descreva uma válvula reposicionada durante o teste, sem a atualização correspondente no P&ID, cria uma situação de documentação que resultará em uma não conformidade na Inspeção de Qualificação (IQ). Detectar isso na fábrica, enquanto a equipe de projeto original ainda está presente, é substancialmente mais eficiente do que detectar durante a IQ, quando o equipamento já está instalado e a equipe local está trabalhando com o desenho não corrigido.
Para obter mais detalhes sobre a documentação básica que deve ser apresentada antes da participação no FAT, o Guia de melhores práticas para a documentação dos isoladores OEB4/OEB5 abrange os registros que devem estar em ordem antes do início da qualificação.
Prazo para aprovação do protocolo antes da participação no FAT
O motivo mais comum pelo qual as listas de pendências do FAT ficam mais longas do que deveriam não é a baixa qualidade de fabricação — é a aprovação tardia do protocolo. Quando os comentários do controle de qualidade sobre o protocolo do FAT chegam depois que o equipamento já está montado, duas coisas acontecem simultaneamente: os critérios de aceitação podem precisar ser revisados para refletir o que foi realmente construído, e quaisquer critérios de aceitação que exijam alterações físicas geram a necessidade de novos testes, o que reduz o tempo entre a conclusão do FAT e a data de remessa planejada.
Agendar o FAT de duas a quatro semanas antes da data de remessa prevista é um critério prático de planejamento que visa criar uma janela de correção. Essa janela só funciona se o protocolo for aprovado antes do início do FAT — e não for revisado durante o processo. Na prática, isso significa que o fornecedor deve apresentar a versão preliminar do protocolo com antecedência suficiente para permitir um ciclo de comentários significativo, e que o comprador deve tratar a revisão do protocolo como uma tarefa do projeto com prazo definido, e não como uma atividade secundária.
No caso do FAT virtual, os requisitos de coordenação são maiores, e não menores. Funções, canais de comunicação, acordos de compartilhamento de tela e procedimentos de transferência entre etapas de teste precisam ser definidos antes do início da sessão, pois a capacidade de fazer pausas e esclarecimentos é mais limitada do que em um encontro presencial, e a repetição de etapas de teste em diferentes fusos horários é realmente perturbadora. A aprovação prévia do protocolo e a fixação do projeto do equipamento antes da sessão virtual não são meras preferências administrativas — são as condições necessárias para que um FAT virtual possa gerar evidências confiáveis.
O momento em que os critérios de aceitação devem ser acordados é antes da conclusão da montagem, e não depois. Uma vez que o equipamento esteja montado, adaptar os critérios de aceitação para corresponder ao que foi construído pode satisfazer o protocolo, mas anula o propósito de se ter definido esses critérios inicialmente. Acordar os critérios antecipadamente — na fase de URS ou durante a revisão do projeto — significa que as metas de fabricação são conhecidas, e o protocolo do FAT reflete os requisitos reais de desempenho, em vez de um registro a posteriori do que foi observado.
Itens da lista de pendências que devem impedir o envio
Nem todos os itens em aberto da Lista FAT têm a mesma consequência no momento da remessa. A distinção prática é entre itens que só podem ser verificados no local — conexões de serviços públicos, equilíbrio da cascata de pressão, integração com sistemas de gerenciamento predial — e itens que refletem defeitos de fábrica não resolvidos, que a fábrica está em melhor posição para corrigir. Confundir essas duas categorias, seja enviando a remessa com itens críticos não resolvidos, seja adiando a remessa por causa de pontos de comissionamento genuinamente dependentes do local, cria atritos desnecessários em ambas as direções.
Uma lista de pendências bem gerenciada atribui a cada item uma categoria, um responsável e, ou uma data-limite para conclusão, ou um acordo documentado de que o item será transferido para a SAT com critérios de aceitação definidos. A função de responsabilização é tão importante quanto a função de acompanhamento. Um item pendente na lista de pendências sem responsável designado e sem um caminho de resolução acordado não se torna prioridade de ninguém — ele se transforma em um conflito quando a equipe da obra o encontra durante o comissionamento.
Os itens que devem impedir o envio são aqueles cujo defeito é de origem fabril, que exigem recursos da fábrica para ser resolvido e cujo risco de envio sem a resolução do problema envolva a segurança do operador, a integridade do sistema de contenção ou a validade da linha de base de qualificação. Erros de sequenciamento de válvulas, falhas na lógica de alarmes, não conformidades estruturais e discrepâncias no estado da documentação se enquadram nessa categoria. Itens que representam trabalhos de comissionamento dependentes de interface — vazões de serviços públicos, balanceamento final de filtros, integração de rede — não impedem o envio, mas precisam ser formalmente registrados como parte do escopo do SAT com critérios acordados.
O Lista de verificação para o comissionamento do BIBO aborda com mais detalhes a transição entre o encerramento da lista de pendências do FAT e o escopo do SAT, especificamente para sistemas do tipo “bag-in bag-out”.
Decisão de envio com base na conclusão do FAT crítico
A decisão sobre o embarque é o último momento do projeto em que o comprador detém influência significativa sobre o fornecedor. Uma vez que o equipamento sai da fábrica, a capacidade do fornecedor de corrigir defeitos físicos exige uma visita ao local em condições controladas ou uma devolução da mercadoria — ambas opções são substancialmente mais caras do que o retrabalho na fábrica, e o fornecedor não tem incentivo contratual para priorizar rapidamente nenhuma delas, uma vez que as condições de pagamento tenham sido cumpridas.
Liberar remessas com itens críticos pendentes, partindo do pressuposto de que o comissionamento no local irá resolvê-los, é um padrão que os cronogramas de aquisição frequentemente incentivam e que as equipes de validação acabam herdando posteriormente. A consequência prática é uma fase de comissionamento que começa com defeitos já conhecidos, uma equipe local dedicando tempo do projeto para diagnosticar problemas que já eram visíveis no FAT e o início da qualificação que depende da resolução desses problemas por meio do controle de mudanças, em vez de correções feitas na fábrica.
A prática defensável de liberação de remessas — apoiada, em princípio, pela exigência do Anexo 15 de que itens não resolvidos sejam formalmente acompanhados antes do avanço para a próxima fase de qualificação — consiste em exigir uma das duas condições antes da liberação da unidade: ou evidência documentada de conclusão para cada item crítico da lista de pendências, ou um acordo por escrito que classifique explicitamente o item como escopo de SAT dependente do local, defina os critérios de aceitação e atribua responsabilidade. A palavra-chave é ’por escrito”. Um acordo verbal de que a equipe local cuidará disso não cria responsabilidade; cria uma discrepância de expectativas que surge exatamente no momento errado.
Para Caixa de passes VHP e bag-in bag-out Em unidades nas quais o desempenho do ciclo de descontaminação e a integridade do compartimento do filtro são fundamentais para a função de contenção, liberar o envio com problemas não resolvidos relativos à integridade da pressão ou à lógica do ciclo transfere efetivamente o risco de não qualificação da contenção para a unidade — onde resolvê-lo é mais complexo, mais caro e mais visível para os órgãos reguladores.
A decisão sobre o envio é o momento em que as evidências do FAT se confirmam ou não. Um FAT que tenha monitorado a resposta a alarmes, confirmado as transições de intertravamento, verificado a integridade da pressão e produzido um pacote completo de documentação gera uma autorização de envio que a equipe de controle de qualidade pode aprovar com confiança. Um FAT que tenha confirmado o status de ligação do equipamento e a integridade visual gera uma autorização de envio que, na prática, representa uma transferência de risco não resolvido para a equipe local.
Antes de participar do FAT, a medida mais produtiva que um comprador pode tomar é confirmar se o protocolo foi aprovado, se os critérios de aceitação foram definidos antes da conclusão da construção e se a estrutura de classificação da lista de pendências distingue os itens que podem ser resolvidos na fábrica daqueles que realmente fazem parte do escopo do SAT (Teste de Aceitação no Local). Essas três condições determinam se a visita para o FAT gera evidências ou se constitui apenas um evento programático — e essa distinção é muito mais importante para o comissionamento e a qualificação do que o número de dias que a visita leva.
Perguntas frequentes
P: O que acontece se o protocolo FAT não tiver sido formalmente aprovado antes da visita à fábrica?
R: A visita para o Teste de Aceitação Final (FAT) resultará em um evento programado, e não em evidências defensáveis. Sem um protocolo pré-aprovado, os critérios de aceitação podem ser revisados para se adequarem ao que foi construído, em vez do que foi especificado; as etapas de teste podem ser contestadas no próprio dia; e quaisquer observações de controle de qualidade que exijam correções físicas reduzirão o intervalo entre a conclusão do FAT e a data de envio planejada — o que pode forçar uma escolha entre suspender o envio ou liberá-lo com itens pendentes.
P: Uma FAT virtual é suficiente para equipamentos de contenção, como isoladores e sistemas BIBO, ou é necessária a presença física de testemunhas?
R: Uma FAT virtual pode gerar evidências confiáveis, mas somente sob condições prévias mais rigorosas do que uma visita presencial. As funções, os canais de comunicação, os acordos para compartilhamento de tela e os procedimentos de transferência entre etapas de teste devem ser definidos antes do início da sessão, e o protocolo deve ser totalmente aprovado com antecedência. A capacidade de pausar, esclarecer e repetir uma etapa é mais limitada em diferentes fusos horários e em configurações remotas; portanto, qualquer ambiguidade no protocolo ou no projeto do equipamento que seria rapidamente resolvida pessoalmente provavelmente exigirá uma sessão separada — o que acarreta um custo real em termos de cronograma.
P: Em que momento do projeto os critérios de aceitação para o FAT devem ser definidos?
R: Os critérios de aceitação devem ser acordados antes da conclusão da montagem do equipamento, de preferência na fase do URS ou durante a revisão do projeto. Uma vez montada a unidade, definir critérios retrospectivamente para se adequarem ao que foi construído satisfaz o protocolo no papel, mas anula o próprio propósito de se ter critérios. Um acordo antecipado significa que a montagem na fábrica conta com metas de desempenho definidas, e que o protocolo do FAT reflete requisitos de qualificação genuínos, em vez de um registro dos resultados observados.
P: Como um comprador deve decidir se deve reter a remessa ou aceitar um item pendente da lista de pendências como parte do escopo do SAT (Teste de Aceitação no Local)?
R: O fator decisivo é se são necessários recursos da fábrica para resolver o defeito. Itens cuja falha tenha origem na fábrica — erros de sequenciamento de válvulas, falhas na lógica de alarmes, não conformidades na integridade da pressão, discrepâncias na documentação — devem impedir o envio até que haja comprovação de que o problema foi resolvido. Itens que dependem genuinamente da interface, como o balanceamento de fluxo de serviços públicos ou a integração com o sistema de gestão predial, podem ser transferidos para o SAT, desde que haja um acordo por escrito que defina os critérios de aceitação e atribua responsabilidades. Um acordo verbal não é suficiente; sem uma classificação por escrito, o item não tem responsável e não há caminho para a resolução no local.
P: Uma FAT minuciosa reduz o escopo da SAT, ou ambas precisam permanecer totalmente independentes?
R: Um FAT completo não substitui o SAT, mas altera significativamente o que o SAT está validando. O FAT elimina os modos de falha que podem ser resolvidos na fábrica — integridade da contenção, resposta a alarmes, lógica de controle, estado da documentação — para que o SAT possa se concentrar no desempenho específico do local: conexões com serviços públicos, equilíbrio da cascata de pressão, roteamento integrado de alarmes e desempenho dos filtros instalados em condições reais de operação. Quando o escopo do FAT é reduzido, o SAT herda tanto seu próprio escopo legítimo quanto os defeitos de fábrica não resolvidos, o que significa que a equipe do local está diagnosticando problemas sob controle de mudanças, em vez de sob correção de fábrica, a um custo que raramente é inferior a três para um.
