FAT x SAT para BSL e equipamentos de contenção: o que deve ser testado antes do embarque e no local

Atrasos na qualificação de projetos de contenção raramente se manifestam logo no início. Eles se acumulam discretamente na discrepância entre o que foi aprovado na fábrica e o que realmente funciona quando o equipamento é instalado — e, quando essa discrepância se torna visível, a pressão do cronograma para concluir o SAT e seguir em frente já é significativa. A versão mais comum dessa falha é tratar a aprovação do FAT como prova de que o desempenho no local está resolvido, quando, na prática, a estabilidade da cascata de pressão, a lógica dos relés de alarme e a integração com o BMS nunca foram testadas na instalação em operação. A correção nessa fase é cara, não apenas em termos de custo, mas também no registro de qualificação: refazer os testes após a instalação gera ambiguidade sobre quais resultados pertencem a qual configuração. O discernimento que evita isso consiste em saber exatamente quais funções são verificáveis em fábrica de forma significativa e quais dependem de condições que só podem existir quando o equipamento estiver conectado ao prédio em que irá operar.

Funções verificáveis na fábrica antes da remessa

Os candidatos mais promissores para o FAT são funções que dependem exclusivamente do próprio equipamento — nas quais o ambiente de fábrica não introduz uma diferença significativa entre as condições de teste e as condições operacionais. As sequências de intertravamento de segurança se enquadram nessa categoria. Um intertravamento da tampa de uma centrífuga que impede a partida do motor com a tampa aberta e mantém o bloqueio até que o rotor tenha parado pode ser verificado completamente na fábrica, pois sua lógica depende do sistema de controle e da montagem mecânica, e não dos serviços de utilidades do local ou do fluxo de ar da sala. Se esse intertravamento falhar no SAT, a falha é quase sempre um problema de transporte ou remontagem, e não uma lacuna no projeto original do FAT — e essa distinção é importante para definir o escopo da investigação.

A revisão da documentação não depende, de forma alguma, do local da obra. Verificar se os certificados dos materiais, os esquemas elétricos e as placas de identificação dos componentes estão de acordo com as especificações aprovadas é, por definição, uma tarefa da fábrica. Transferir essa responsabilidade para a SAT desperdiça tempo no local da obra e, muitas vezes, revela discrepâncias que deveriam ter impedido a remessa. Para projetos com montagens complexas compostas por vários componentes — Isoladores OEB4/OEB5 com conjuntos de portas para luvas e painéis de controle integrados, por exemplo — o alinhamento de documentos na FAT é o momento em que é mais econômico detectar erros no nível dos componentes.

Os testes de contenção do SMEPAC no FAT exigem uma estrutura mais cuidadosa. Realizá-los na fábrica produz dados de referência úteis e pode detectar falhas graves de contenção antes do envio do equipamento. A desvantagem é que os resultados do SMEPAC são sensíveis às condições específicas sob as quais são gerados — o composto substituto, a duração da atividade, a configuração do equipamento e o ambiente de fluxo de ar, todos afetam o resultado. Se alguma dessas condições diferir significativamente entre a configuração do teste na fábrica e o processo real no local, o resultado do FAT fornece uma referência limitada para a qualificação. Trata-se de dados de referência, não de evidência do desempenho no local.

Interfaces dependentes do local que exigem evidência SAT

Algumas categorias de teste só se tornam significativas depois que o equipamento é instalado e conectado. Tentar resolvê-las na fábrica, mesmo que parcialmente, gera dados que não podem ser utilizados com confiança no registro de qualificação.

A integração de serviços públicos é o exemplo mais claro. Uma interface de controle entre um isolador ou Laboratório com módulos BSL-3/BSL-4 e um sistema SCADA, PLC ou DCS da instalação não pode ser totalmente testado até que o equipamento da fábrica esteja conectado à rede ativa da instalação. A compatibilidade de protocolos, o handshaking de sinais, o roteamento de relés de alarme e as sequências de confirmação de intertravamento dependem, todos, da arquitetura de controle real da instalação. Uma simulação de fábrica utilizando um PLC representativo pode detectar erros graves de configuração, mas não pode confirmar se o sistema instalado se comporta corretamente sob as condições operacionais do local, em cenários de failover ou sob carga simultânea de outros ativos conectados. O SAT é o único ponto de verificação válido para esses comportamentos.

O desempenho ambiental — estabilidade da pressão diferencial, taxas de renovação de ar, contagem de partículas, integridade do filtro e distribuição de temperatura e umidade — depende do sistema de climatização instalado e da geometria real da sala. A classificação de salas limpas segundo a norma ISO 14644 é uma função do ambiente instalado, e não da câmara de testes da fábrica. Essas medições devem ser realizadas no SAT (Teste de Aceitação no Local), com referência aos URS (Requisitos de Especificação do Usuário) específicos do local, e não transferidas das condições de fábrica, que podem diferir significativamente em termos de volume de ar de alimentação, resistência de exaustão ou estratégia de pressurização da sala.

A realização de testes SMEPAC em condições reais de processo acarreta riscos específicos se for adiada com base na suposição de que os dados do FAT são suficientes. O tipo de API, a duração da atividade e a configuração do equipamento utilizados na produção podem não corresponder ao que foi simulado na fábrica. Caso haja divergências, o resultado do FAT não constitui uma referência válida para o futuro, e partir desse pressuposto cria uma lacuna de contenção que pode não vir à tona até que ocorra um evento de exposição ou seja realizada uma auditoria.

Exames que não devem ser repetidos sem justificativa

O princípio é simples e está refletido no quadro regulatório EudraLex, Volume 4 Anexo 15 estabelece, para aproveitar dados previamente verificados: se uma função foi testada rigorosamente no FAT e o transporte ou a instalação não afetaram a condição testada, repetir o teste no IQ/OQ acrescenta uma carga procedural sem aumentar a confiança na qualificação. A dificuldade reside no fato de que essa permissão requer uma base documentada, e não uma suposição.

Cabe à equipe de qualificação demonstrar que as condições testadas no FAT permanecem inalteradas após o transporte e a instalação. No caso da lógica de controle, das sequências de intertravamento e das configurações de alarme — que são definidas por software e não são afetadas pelo transporte físico —, essa comprovação é relativamente fácil, desde que o protocolo e os resultados do FAT estejam completos e a versão do software não tenha sido alterada. Para medições físicas — integridade do filtro, continuidade da vedação, alinhamento mecânico —, é necessária uma inspeção pós-instalação que confirme que a condição permanece inalterada ou identifique onde é necessário realizar novos testes.

O padrão de erro aqui não é a repetição excessiva de testes. Trata-se de utilizar o princípio de eficiência do Anexo 15 como justificativa padrão para dispensar as verificações no local sem confirmar a suposição relativa ao transporte e à instalação. Equipes de qualificação sob pressão de prazos tendem a tratar o registro do FAT como um banco de resultados do qual podem extrair livremente, quando, na prática, cada extração exige uma justificativa documentada de que a condição testada foi preservada. Quando essa justificativa não puder ser apresentada, a repetição dos testes é a única posição defensável.

Premissas relativas ao transporte e à instalação que afetam a IQ/OQ

O transporte representa um risco físico para os equipamentos que foram aprovados no FAT em um ambiente de fábrica controlado e estático. Esse risco nem sempre é visível. As vibrações durante o transporte rodoviário ou aéreo podem deslocar os cassetes dos filtros HEPA, deslocar juntas ou afrouxar conexões roscadas — nenhuma dessas situações causa danos externos evidentes, mas todas podem alterar a integridade da contenção ou o desempenho de pressão de maneiras que só são detectáveis por meio de testes.

No que diz respeito especificamente aos dados de contenção do SMEPAC, as vibrações durante o transporte e a remontagem dos componentes modulares são os dois mecanismos mais propensos a invalidar os resultados do FAT sem que haja um indicador visível. Um filtro HEPA que tenha sido corretamente encaixado e submetido a teste de vazamento na fábrica pode chegar com a vedação comprometida após o transporte. A Caixa de passes VHP ou o isolador de transferência remontado no local após o transporte pode apresentar uma geometria da vedação da porta que tenha se deslocado da posição qualificada na fábrica. Em nenhum dos casos a inspeção visual detecta o problema de forma confiável. A resposta adequada é a realização de novos testes funcionais e de contenção durante o SAT, e não a suposição de que o resultado da fábrica se mantém válido.

A implicação do IQ/OQ é que a avaliação de danos de transporte na SAT não é uma mera formalidade. Caso sejam constatados danos — ou se a inspeção não puder confirmar que o sistema chegou nas mesmas condições em que partiu —, os resultados funcionais do FAT para os sistemas afetados devem ser considerados condicionais, e não confirmados, e a realização de novos testes deve ser planejada de acordo com essa situação.

Encerramento da lista de pendências entre a FAT e a SAT

As não-conformidades identificadas no FAT que não são resolvidas antes da remessa não desaparecem — elas se transformam em disputas. Uma vez que o equipamento está no local, a capacidade do empreiteiro de exigir a correção pela fábrica é reduzida, a tolerância do cliente a atrasos no cronograma é menor e a tendência natural de ambas as partes é aceitar o item pendente com um desvio, em vez de resolvê-lo adequadamente. É nessa dinâmica que os registros de qualidade acumulam anotações difíceis de justificar na inspeção.

O mecanismo para evitar isso é simples, mas exige disciplina: toda não conformidade identificada durante o FAT deve ser registrada, atribuída e, ou encerrada com evidência documentada, ou formalmente adiada com uma justificativa por escrito antes que o equipamento seja liberado para envio. O pacote de entrega — que normalmente inclui um resumo das deficiências e itens pendentes — estabelece o ponto de referência comum entre o fabricante e o cliente. Quando esse documento está ausente ou incompleto, o que constitui um item encerrado passa a ser uma questão de interpretação no local, que é exatamente o ambiente em que surgem disputas relacionadas à lista de pendências.

A implicação prática para as equipes de compras e de garantia de qualidade é que a aprovação do FAT não deve ser tratada como o momento em que o cliente aceita o equipamento incondicionalmente. Trata-se do momento em que ambas as partes chegam a um acordo sobre o que foi verificado, o que ainda está pendente e em que condições a remessa é adequada. Projetos que confundem a aprovação do FAT com a aceitação final enfrentam, de forma consistente, encerramentos de SAT mais contestados. Para orientações sobre como esses pontos de verificação do comissionamento interagem nos sistemas BIBO, o Lista de verificação para o comissionamento do BIBO aborda os pontos específicos de IQ e OQ que costumam ser mais frequentemente ignorados.

Regra de transferência para itens pendentes de aceitação da obra

O encerramento do SAT é o ponto de transição jurídico e técnico entre a fase de comissionamento e o período de garantia contra defeitos. Até que o certificado do SAT seja assinado conjuntamente pelo engenheiro do proprietário e pela empreiteira, essa transição não ocorreu — e, sem ele, a responsabilidade por qualquer defeito ou falha que venha a surgir é verdadeiramente ambígua. O certificado assinado não é uma formalidade acrescentada ao final de um processo que, de resto, já está concluído. É o mecanismo que define a conclusão.

O risco operacional de encerramento prematuro é a jusante, não imediato. Se o SAT for assinado antes que todos os serviços públicos, intertravamentos, alarmes e interfaces instaladas tenham sido aprovados ou apresentem um desvio formalmente aprovado, os itens não resolvidos são incorporados ao registro de qualificação sem um caminho claro para correção. Quando esses itens vêm à tona — durante a OQ, a PQ ou a operação de rotina —, o projeto não possui uma estrutura clara de responsabilização sobre quem deve resolvê-los ou a quem caberá o custo. Para equipamentos críticos de contenção, nos quais um intertravamento de pressão com falha ou um relé de alarme do BMS não verificado pode afetar a segurança do operador ou a conformidade regulatória, essa ambiguidade não é um problema administrativo menor.

O padrão para o encerramento deve ser que o relatório resumido do SAT liste todos os testes exigidos com seus resultados, e que qualquer item que não tenha sido aprovado possua um desvio formalmente aprovado, com justificativa documentada e plano de correção. Um desvio aprovado é um mecanismo legítimo de encerramento. Um item que simplesmente não esteja listado, ou que esteja listado como pendente sem um desvio assinado, é um item em aberto — e um item em aberto no encerramento do SAT é uma constatação de inspeção futura à espera de uma data.

A fronteira entre o FAT e o SAT é onde as premissas de qualificação são testadas ou descartadas. Um FAT bem estruturado cumpre sua função: confirma as funções fabricadas em fábrica, preenche lacunas na documentação e cria uma linha de base confiável sobre a qual o SAT e o IQ/OQ podem se apoiar, em vez de duplicar o trabalho. O problema não é o FAT — é a tendência de estender a autoridade do FAT a um território que ele não pode abranger, tratando a aprovação em ambiente de fábrica como evidência de desempenho em uma instalação na qual o equipamento ainda não foi instalado.

Antes da programação do SAT, a equipe de qualificação deve ser capaz de responder a três perguntas com evidências documentadas: quais resultados do FAT estão sendo levados adiante e com base em que; quais interfaces dependentes do local ainda não foram verificadas; e qual é o status da lista de pendências para cada não conformidade identificada no FAT. Se alguma dessas respostas não estiver clara ou for baseada em suposições, em vez de estar documentada, o planejamento do SAT terá partido de uma base incompleta — e as lacunas se tornarão visíveis no pior momento possível do cronograma do projeto.

Perguntas frequentes

P: É possível combinar o FAT e o SAT em um único evento de aceitação no local para reduzir o cronograma do projeto?
R: Combinar esses processos só se justifica para um subconjunto restrito de equipamentos em que não haja discrepância entre as condições de fábrica e as do local de instalação — o que raramente se aplica a sistemas de contenção. A estabilidade da cascata de pressão, o roteamento dos relés de alarme do BMS e o desempenho ambiental dependente do sistema de climatização não podem gerar dados de qualificação válidos até que o equipamento esteja conectado à instalação em operação. A fusão do FAT com o SAT não elimina essas dependências; ela retira a oportunidade mais precoce de detectar defeitos de fabricação antes que se tornem problemas de correção no local e deixa o registro de qualificação sem uma demarcação clara entre o que foi verificado em condições controladas de fábrica e o que foi verificado em condições de instalação. Para isoladores, módulos BSL ou qualquer sistema com interfaces de serviços públicos, a economia de tempo no cronograma raramente sobrevive à primeira disputa não resolvida sobre a lista de pendências do SAT.

P: Se os testes do SMEPAC foram concluídos no FAT e o composto substituto e a duração da atividade foram representativos, ainda é necessário repeti-los no SAT?
R: Sim, a menos que a equipe de qualificação possa comprovar que todas as condições materiais — tipo de API, configuração do equipamento, ambiente de fluxo de ar e duração da atividade — sejam confirmadas como idênticas no local de instalação, e que o transporte e a remontagem não tenham afetado a integridade da vedação ou do filtro. Na prática, essa confirmação requer evidências de inspeção pós-instalação, e não uma suposição. A vibração durante o transporte pode deslocar os cassetes HEPA ou alterar a geometria da vedação da porta sem causar danos visíveis, e qualquer uma dessas alterações invalida os dados de contenção do FAT sem um indicador claro. Quando essa inspeção não puder descartar categoricamente os efeitos do transporte, o teste SAT SMEPAC é a única posição defensável no registro de qualificação.

P: Em que momento uma exceção formalmente aprovada passa a ser um substituto inaceitável para um resultado aprovado no SAT?
R: Um desvio só é um mecanismo legítimo de encerramento quando acompanhado de uma justificativa documentada e de um plano de correção definido, com um responsável designado e um prazo estabelecido. Ele deixa de ser aceitável quando é utilizado para absorver itens que nunca foram testados — em vez de itens que foram testados e geraram uma não conformidade controlada — ou quando o plano de correção não apresenta um caminho realista para conclusão antes que o equipamento entre em operação. Para funções críticas de contenção, como intertravamentos de pressão, relés de alarme do BMS ou integridade do filtro HEPA instalado, um desvio que adia a verificação indefinidamente é, na prática, um item em aberto; e um item em aberto no encerramento do SAT aparecerá como uma não conformidade quando o registro de qualificação for revisado de acordo com os critérios do Anexo 15 ou da norma ASTM E2500-25.

P: Quem tem o ônus da prova quando uma falha pós-SAT é atribuída a uma função que foi aprovada no FAT — o fabricante ou a equipe de qualificação do proprietário?
R: A responsabilidade é compartilhada de uma forma que depende inteiramente de como a transferência do FAT para o SAT foi documentada. Se o protocolo do FAT abranger claramente a função, os resultados indicarem aprovação e a avaliação de danos de transporte do SAT confirmar que o sistema chegou intacto, a falha é, muito provavelmente, um problema de instalação no local ou de integração com os serviços públicos — e a responsabilidade recai sobre a empreiteira de comissionamento ou a equipe da instalação. Se a avaliação do transporte foi superficial, a hipótese de instalação não foi documentada ou o resultado do FAT foi adotado sem uma justificativa por escrito confirmando que a condição testada foi preservada, a equipe de qualificação não pode separar claramente a responsabilidade da fabricação da responsabilidade pela instalação. Essa ambiguidade é exatamente o que um pacote completo de transferência e uma inspeção rigorosa pós-instalação se destinam a evitar.

P: Existe um limite de complexidade do equipamento abaixo do qual a separação entre FAT e SAT se torna uma sobrecarga desnecessária, em vez de uma verdadeira gestão de riscos?
R: Para equipamentos autônomos e independentes, sem interfaces com os serviços públicos do local, sem integração com o BMS e sem requisitos de desempenho ambiental classificados pela norma ISO 14644, um protocolo de aceitação monofásico simplificado pode ser justificado — desde que a justificativa da qualificação explique por que as variáveis dependentes do local estão ausentes. Esse limite quase nunca é atingido por isoladores de contenção, laboratórios com módulos BSL ou sistemas integrados de passagem, que, por seu próprio projeto, possuem interfaces de pressão, exaustão, climatização e controle que só podem ser resolvidas no local. A sobrecarga de manter a estrutura FAT-SAT varia de acordo com a complexidade das interfaces, e não com o tamanho do equipamento. Um compacto Caixa de passes VHP Quando instalada como uma estação de transferência autônoma, ela pode exigir um escopo de SAT menor do que uma linha isoladora completa; no entanto, a integridade da vedação da porta e o desempenho do ciclo VHP após a instalação ainda exigem uma verificação no local que os testes de fábrica não podem substituir.