FAT e SAT de isoladores: quais evidências os compradores devem solicitar?

Antes de aceitar um isolador na aceitação de fábrica (FAT) e, novamente, na aceitação no local (SAT), os compradores precisam de uma resposta clara para uma pergunta: quais funções cada teste realmente comprova e quais condições alteram essa comprovação? Tratar o FAT e o SAT como um único critério de aprovação/reprovação, em vez de dois conjuntos distintos de evidências, deixa lacunas que só vêm à tona depois que o sistema está instalado e em uso. O objetivo de proteção do isolador é a proteção do produto por meio da separação asséptica, e o conjunto de evidências deve ser elaborado para demonstrar esse objetivo nas condições em que o isolador realmente funcionará, e não apenas nas condições de fábrica.

Evidências que devem constar na aceitação na fábrica

A aceitação em fábrica existe para avaliar o que as instalações do fornecedor podem reproduzir fielmente: lógica de controle, funcionamento dos componentes, qualidade de fabricação, comportamento do software e a resposta do equipamento sob condições que a fábrica possa reproduzir. O que o FAT não pode representar é tudo aquilo que depende do ambiente final, das conexões finais de serviços públicos ou das tensões mecânicas decorrentes do transporte e da instalação. Essa distinção não é uma preferência processual; ela decorre da própria natureza física de uma configuração de fábrica. Uma simulação de serviços públicos na fábrica, por mais próxima que seja das especificações do projeto, não é o fornecimento de serviços públicos instalado, e uma função que dependa desse fornecimento não teve sua condição operacional real comprovada.

Isso significa que a tarefa do comprador no FAT é confirmar que o conjunto de evidências comprove o que é comprovável no momento, com rigor e documentação suficientes para que possa ser considerado confiável posteriormente, sem a necessidade de repetição. Um protocolo aprovado estabelece que o teste foi planejado e revisado antes da execução, e não improvisado com base no resultado. Critérios de aceitação predefinidos, estabelecidos antes da realização do teste, impedem que os critérios sejam ajustados para se adequarem a qualquer resultado produzido pelo sistema. Resultados brutos, e não declarações resumidas de aprovação, permitem que o comprador ou um auditor posterior julgue de forma independente se o resultado realmente atende aos critérios declarados. O status do instrumento é importante porque a credibilidade de uma medição depende do instrumento que a produziu. As versões de software e desenhos são importantes porque o desempenho documentado de um isolador está vinculado a uma configuração específica; uma alteração posterior invalida a ligação entre o teste e o sistema entregue, a menos que essa alteração seja ela própria avaliada. O fechamento de desvios é importante porque um desvio em aberto deixa o resultado associado sem solução, independentemente do que o restante do relatório indique. A rastreabilidade da URS vincula cada um desses registros a um requisito que o comprador realmente especificou, o que permite que ele avalie a cobertura, em vez de apenas a atividade.

Quando uma função depende apenas do projeto interno e da lógica de controle do isolador, e não do ambiente de instalação, as evidências do FAT para essa função podem ser consideradas conclusivas, desde que a documentação corrobore essa conclusão. Quando o desempenho de uma função depende de algo que a fábrica não pode reproduzir, as evidências do FAT estabelecem apenas que a função funcionou nas condições de teste, e não que funcionará após a instalação.

Condições do local que devem ser verificadas novamente após a instalação

Anexo 15 define a lógica geral que rege esta seção: o FAT realizado nas instalações do fornecedor pode ser seguido pelo SAT após a entrega, e o FAT não precisa ser repetido nas instalações apenas quando o transporte e a instalação não afetarem o funcionamento e essa justificativa estiver documentada. Trata-se de uma permissão restrita, não de uma regra padrão. Isso transfere para o comprador e o fornecedor o ônus de justificar a transferência do teste, em vez de presumir que ela ocorra.

O raciocínio por trás dessa tolerância é de natureza mecânica. O desempenho de um isolador depende de cascatas de pressão, padrões de fluxo de ar, integridade da porta para luvas e respostas de controle que interagem com a sala em que está instalado, os sistemas de utilidades que o alimentam e o manuseio físico ao qual foi submetido até chegar ao local. Um circuito de controle que respondeu corretamente a uma entrada simulada na fábrica pode se comportar de maneira diferente uma vez conectado ao sistema real de gerenciamento do edifício, à qualidade da energia elétrica no local ou ao suprimento de ar comprimido. Um compartimento que manteve sua vedação durante os testes de vazamento na fábrica pode ter sofrido tensões durante o transporte ou a montagem que o teste de fábrica não poderia ter previsto. É por isso que os serviços públicos instalados, as interfaces da sala, as funções sensíveis ao transporte e as funções alteradas pela instalação ou integração não podem herdar a aprovação de fábrica; o objeto físico que está sendo testado mudou.

A decisão do comprador não é se deve ou não executar o SAT, mas como traçar a linha divisória entre o que é transferido e o que deve ser verificado novamente. Essa linha deve ser definida função por função, e não para o isolador como um todo. Uma função que não tenha sido afetada pelo transporte, pela instalação ou pela interface com o ambiente pode, razoavelmente, manter seu resultado de fábrica, desde que a justificativa esteja documentada e os critérios de aceitação permaneçam vinculados aos requisitos específicos do projeto, e não a uma norma genérica. Uma função que se relacione com qualquer um desses aspectos precisa de seu próprio protocolo específico para o local, executado nas condições reais do local e avaliado com base em critérios definidos previamente. ISO 14644-7 estabelece dispositivos de separação, em geral, dentro dessa estrutura de “instalação-teste-aprovação”, mas não fornece protocolos ou limites específicos para cada equipamento, o que significa que o comprador não pode considerar uma norma geral como substituto de um plano de SAT específico para o projeto.

Desafios funcionais para intertravamentos, alarmes, fluxo de ar e controles

Intertravamentos, alarmes, fluxo de ar e funções de controle estão no centro do desempenho asséptico de um isolador, e cada um depende de um tipo diferente de comprovação. Um intertravamento é uma função lógica de segurança e contenção: ele deve ser testado forçando-se efetivamente a condição à qual deve responder, e não apenas analisado em um esquema. Um alarme deve ser acionado diante de um desvio realista, não simulado por um operador que alterna um sinal no software, pois o que o comprador realmente precisa ver demonstrado é o caminho do sensor até a sinalização e a resposta do operador. O desempenho do fluxo de ar depende da interação entre a geometria interna do isolador e seu ambiente real de instalação, incluindo as relações de pressão da sala e as condições de alimentação que uma configuração de fábrica, na melhor das hipóteses, apenas aproxima. As funções de controle determinam como o sistema mantém seu estado operacional e responde a perturbações, e sua correção depende da versão específica do software e do conjunto de parâmetros carregados no momento do teste.

A decisão que o comprador deve tomar para cada uma dessas funções é a mesma que rege, de maneira geral, a fronteira entre FAT e SAT: esse desafio específico depende de algo que a fábrica não pode simular? Um intertravamento totalmente integrado ao próprio sistema de controle do isolador, independente dos serviços públicos do local ou das condições da sala, é um forte candidato a uma função que os testes de fábrica podem comprovar de forma significativa. Um alarme que depende de como o sistema de controle do isolador se integra ao sistema de gestão predial ou de monitoramento ambiental do local não pode ser totalmente comprovado até que essa integração exista, pois a cadeia de alarmes passa por equipamentos que a configuração de fábrica não inclui. O fluxo de ar, quase por definição, é sensível à sala e à rede de dutos instaladas; é por isso que os resultados de fluxo de ar obtidos em ambiente de fábrica devem ser interpretados como uma caracterização de referência do próprio desempenho do isolador, e não como uma previsão de seu comportamento após a instalação.

Para cada uma dessas funções, o comprador deve esperar um protocolo definido e critérios pré-estabelecidos específicos para essa função, e não uma única afirmação genérica de que “os intertravamentos e alarmes foram testados”. Uma função tão próxima do objetivo central de proteção do isolador merece uma documentação precisa o suficiente para mostrar exatamente o que foi testado, sob quais condições simuladas ou reais, e qual resultado foi aceito como correto.

Registros de vazamentos, filtragem e biodescontaminação do sistema atual

O teste de vazamento, a integridade do filtro e o desempenho do ciclo de biodescontaminação são as três categorias de evidência mais diretamente ligadas à função de barreira asséptica de um isolador, e cada uma delas é específica à unidade conforme construída e instalada, e não ao projeto do isolador em geral. Um teste de vazamento demonstra a integridade de um compartimento específico no momento do teste; ele não diz nada sobre uma unidade diferente do mesmo projeto, nem sobre a mesma unidade após a vedação ter sido comprometida pelo transporte, pelos trabalhos de instalação ou por uma intervenção posterior. O teste de integridade do filtro demonstra que o filtro específico instalado no compartimento específico atendeu aos critérios no momento em que foi testado, vinculado a uma identidade específica do filtro e à sua instalação. Os registros do ciclo de biodescontaminação demonstram que um ciclo específico, executado na geometria real da câmara com sua configuração real de carga, alcançou o resultado que o protocolo foi projetado para confirmar.

É por essa especificidade que os registros provenientes de uma qualificação de projeto, de uma unidade semelhante ou da documentação geral do produto do fornecedor não podem substituir os registros gerados no próprio sistema que o comprador está aceitando. A tarefa do comprador é confirmar que cada registro de vazamento, filtro e biodescontaminação apresentado remeta à unidade com número de série, ao filtro específico instalado e ao ciclo específico executado no local, e não a um resultado representativo ou histórico. Quando um projeto relacionado a isoladores já tiver abordado como o teste de vazamento interage com outros métodos de teste do lado da contenção, esse raciocínio não se aplica diretamente aqui, pois o objetivo asséptico que rege este isolador é distinto de um estrutura de testes de vazamento de sistemas de contenção concebido com foco na proteção do operador; o comprador não deve presumir que as duas lógicas de aceitação sejam intercambiáveis.

O fator que deve alterar a análise do comprador é se alguma dessas três funções foi realizada antes ou depois de um evento que pudesse alterar o resultado: uma vedação danificada durante a instalação, a instalação de um filtro concluída após o teste de vazamento ou um ciclo de descontaminação executado antes que a configuração final da carga fosse definida. Qualquer uma dessas questões relacionadas à sequência de operações significa que o registro em mãos pode não descrever o sistema da forma como ele realmente funcionará, independentemente de quão impecável a documentação pareça.

Encerramento de desvios e rastreabilidade de volta ao URS

Um desvio relatado e não resolvido não é uma falha administrativa menor; é uma questão em aberto sobre se o resultado do teste associado é, de fato, confiável. A tarefa do comprador é confirmar que cada desvio registrado durante o FAT ou o SAT tenha uma resolução documentada, com a justificativa para essa resolução disponível para análise, e não apenas um status marcado como “fechado”. Um desvio resolvido por meio do ajuste dos critérios de aceitação após o fato compromete toda a estrutura de critérios predefinidos que confere credibilidade ao restante do conjunto de evidências.

A rastreabilidade até o URS é o mecanismo que permite ao comprador confirmar a cobertura, e não apenas a realização da atividade. Cada teste realizado, seja no FAT ou no SAT, deve estar vinculado a um requisito específico que o comprador realmente tenha especificado para aquele isolador e para aquele projeto. Quando existe um teste sem um requisito correspondente no URS, ou um requisito no URS sem um teste correspondente, o pacote de evidências apresenta uma lacuna que a linguagem genérica do protocolo, por si só, não revelará. A gravidade dessa lacuna depende do que o item ausente ou órfão regula: um requisito vinculado à função essencial de barreira asséptica do isolador merece um nível de atenção diferente daquele vinculado a um recurso sem relação com esse objetivo de proteção. A análise do comprador deve seguir do URS para a frente, a fim de confirmar que todos os requisitos foram testados, e dos registros de teste para trás, a fim de confirmar que cada teste está vinculado a um requisito, em vez de confiar em uma declaração resumida de que a rastreabilidade foi alcançada.

Critérios de liberação antes da IQ, da OQ ou do uso operacional

A decisão nesta etapa é se as evidências acumuladas nos testes FAT e SAT são suficientes para avançar para a qualificação formal, e essa decisão depende de cada função que rege o desempenho asséptico do isolador possuir um registro completo, fechado e rastreável na etapa apropriada. Uma função devidamente comprovada no FAT, com uma justificativa documentada e fundamentada para não repeti-la no SAT, pode ser considerada resolvida ao avançar para a IQ. Uma função que dependa das condições de instalação e ainda não tenha sido verificada nessas condições não está considerada resolvida, independentemente de quão impecável pareça seu registro de fábrica, pois esse registro nunca serviu como evidência para essa condição específica.

Isso significa que a decisão de liberação não se resume a marcar uma única caixa de seleção, mas sim a um exercício de verificação: para cada requisito do URS, existe um registro de teste encerrado, executado nas condições adequadas, com desvios resolvidos, vinculado à versão correta do software e do desenho, e revisado de acordo com critérios predefinidos estabelecidos antes que o resultado fosse conhecido? Quando essa verificação estiver incompleta, a lacuna deve ser identificada especificamente; uma declaração genérica de que “o FAT e o SAT foram concluídos” não informa à equipe de qualificação quais funções foram verificadas nas condições de instalação e quais não foram.

Para um comprador que se prepara para iniciar as etapas de IQ e OQ, o passo prático é reunir essa documentação contábil antes do início da qualificação, e não durante o processo. Quando QUALIA Ao apoiar um projeto nessa fase, a configuração e os testes de aceitação especificados pelo comprador para aquele isolador específico determinam o que os protocolos FAT e SAT abrangem e quais evidências são produzidas em cada etapa; é por isso que os próprios URS e critérios de aceitação do comprador precisam estar definidos e completos antes do início dos testes, em vez de serem tratados como uma formalidade a ser resolvida posteriormente.

Perguntas frequentes

Q: Como os compradores devem comparar os pacotes de evidências de FAT e SAT oferecidos por diferentes fornecedores de isoladores?
A: Compare a rastreabilidade e a integridade, em vez do número de testes listados. Cada requisito aplicável do URS deve estar vinculado a um protocolo aprovado, a um critério de aceitação predefinido específico do projeto, ao resultado bruto, à versão do software ou do desenho testada e a qualquer encerramento de desvio relacionado, com uma divisão clara entre as evidências de fábrica e a verificação no local.

Q: Uma função que foi aprovada no FAT pode ser omitida do SAT?
A: Sim, quando uma justificativa documentada demonstrar que o transporte e a instalação não afetam essa função. Caso as instalações já existentes, as interfaces entre ambientes, as condições do local, o transporte ou a integração do sistema possam influenciá-la, inclua uma verificação no local de acordo com um protocolo aprovado e os critérios de aceitação específicos do projeto aplicáveis.

Q: O que deve acontecer se o software do isolador ou os desenhos forem alterados após o FAT?
A: Considere as evidências do FAT como aplicáveis à versão efetivamente testada. Identifique quais requisitos do URS e quais testes registrados são afetados pela alteração e, em seguida, decida quais evidências devem ser atualizadas ou quais funções devem ser testadas novamente antes de aceitar a versão alterada.

Q: Quais informações do projeto devem estar prontas antes da finalização do protocolo SAT?
A: Defina as condições reais de uso, as interfaces entre ambientes, os pontos de integração, as condições relevantes do local, as funções sensíveis ao transporte, os requisitos aplicáveis do URS e os critérios de aceitação específicos do projeto. Essas informações permitem que o escopo do SAT abranja condições que a configuração no local do fornecedor não poderia representar.

Q: O resultado positivo nos testes FAT e SAT significa que o isolador está pronto para uso operacional?
A: Não. O FAT e o SAT fornecem evidências para os escopos de teste aprovados, mas a prontidão para o IQ, OQ, PQ ou uso operacional depende dos critérios de liberação do projeto. Antes de prosseguir, confirme se os registros exigidos estão disponíveis, se os requisitos aplicáveis do URS são rastreáveis e se os desvios que afetam essa decisão de liberação têm seu fechamento documentado.