Criterii de acceptare a sistemelor de alarmă și interblocare pentru echipamentele de transfer BSL, OEB și VHP

Atunci când un test de acceptare la fața locului relevă faptul că pragul de declanșare al unei alarme nu a fost niciodată definit, proiectul se confruntă cu o blocare totală: testul nu poate demonstra că alarma protejează vreo stare specifică de izolare, iar echipamentul nu poate fi dat în folosință fără această dovadă. Echipa rescrie protocolul de testare, revine la URS pentru a reconstitui ceea ce ar fi trebuit specificat și amână predarea cu câteva săptămâni, în timp ce integritatea sistemului de izolare rămâne neverificată. Decizia care determină dacă criteriile de acceptare a alarmelor și a interblocărilor rezistă în timpul testării este dacă fiecare condiție de alarmă și fiecare răspuns al interblocării sunt definite de un prag de declanșare testabil, un răspuns necesar, o regulă de resetare și o înregistrare permanentă înainte de achiziție. Această definiție trebuie să reziste nu numai în condiții normale de funcționare, ci și în stările anormale pentru care sistemele de izolare sunt proiectate să reziste.

Condițiile de declanșare a alarmei pe care cumpărătorii ar trebui să le definească

Atunci când o specificație precizează doar că va fi prevăzută o alarmă, echipa SAT se confruntă cu o situație de la zero: fără prag de declanșare, fără abatere definită și fără certitudinea că alarma se va declanșa atunci când integritatea sistemului de izolare este cu adevărat compromisă. Cumpărătorul trebuie să definească sursa senzorului, valoarea de referință sau schimbarea de stare care declanșează alarma, orice fereastră de stabilitate sau întârziere de timp, precum și nivelul de prioritate, astfel încât protocolul de testare să poată simula condiția exactă. Fără această definire, nu se poate demonstra în mod sistematic că alarma detectează modul de defectare împotriva căruia este menită să protejeze.

Tabelul prezintă sursele obișnuite de declanșare și ceea ce cumpărătorul trebuie să specifice pentru fiecare dintre ele, împreună cu motivul pentru care SAT trebuie să verifice condiția respectivă. Senzorii de interblocare a ușilor, de exemplu, necesită nu doar precizarea pozițiilor care declanșează alarma, ci și o întârziere de intrare pentru tranzit; în caz contrar, există riscul ca alarma să se declanșeze în mod fals sau, mai grav, să se producă o detectare întârziată a unei breșe reale. Senzorii de diferență de presiune necesită o valoare de referință, o fereastră de stabilitate și o direcție definită a abaterii, astfel încât SAT să poată confirma că pragul de alarmă pentru defecțiuni în cascadă corespunde proiectului sistemului de izolare și nu omite o inversare a fluxului spre exterior. Dispozitive de blocare a ciclului VHP depinde de restricțiile de fază și de semnalele valide privind starea ciclului; o definiție a declanșatorului care nu reușește să blocheze transferul în timpul unei stări nesterilizate lasă limita de sterilizare nedovedită.

O alarmă care se declanșează la un prag nedefinit nu reprezintă o măsură de siguranță pentru izolare; este doar o speranță legată de punerea în funcțiune.

Din punctul de vedere al validării, Anexa 11 la EudraLex prevede ca condițiile de alarmă pentru sistemele informatizate să fie definite și verificabile. Această cerință nu specifică ce senzori trebuie instalați, dar înseamnă că criteriile de acceptare trebuie să transforme selecția senzorilor într-o condiție de alarmă specifică și verificabilă. Cumpărătorii care lasă acest aspect pentru etapa de punere în funcțiune descoperă adesea că logica de alarmă încorporată în controlerul echipamentului nu se aliniază cu scenariul de risc al instalației, iar corectarea acesteia după instalare costă mai mult în timp de integrare decât economisește în efortul de specificare.

Răspunsuri la sistemul de interblocare care necesită teste efectuate în prezența unui martor

Răspunsurile sistemelor de interblocare care sunt acceptate pe baza descrierii proiectului, și nu pe baza unei execuții verificate, lasă neidentificate modurile de defectare ascunse. Un test SAT standard, care verifică doar funcționarea normală, nu va dezvălui ce se întâmplă atunci când un releu se blochează, când se întrerupe alimentarea cu energie electrică sau când o ușă este deschisă în mijlocul ciclului. Acestea sunt evenimentele care transformă un sistem de izolare dintr-o barieră de protecție într-o breșă, iar ele trebuie verificate în condiții care simulează defecțiunea, nu doar descrise într-o specificație funcțională.

Tabelul corelează evenimentele de interblocare cu răspunsul necesar, cu ceea ce trebuie să confirme testul efectuat în prezența unui martor și cu riscul în cazul în care testul este omis. Constatarea unei întreruperi a alimentării electrice, de exemplu, înseamnă verificarea faptului că echipamentul intră într-o stare de siguranță definită și rămâne în această stare până la efectuarea unei resetări manuale, nu doar că se oprește pur și simplu. Trebuie demonstrat că o defecțiune a unei componente, cum ar fi un releu blocat, declanșează semnalizarea și împiedică repornirea prin monitorizare redundantă, deoarece un releu blocat nedetectat lasă sistemul fără nicio funcție de siguranță. A dispozitiv de blocare a ușii O defecțiune survenită în timpul funcționării trebuie să determine o oprire controlată imediată sau menținerea stării de izolare, iar testul trebuie să demonstreze că starea respectivă este blocată până la o resetare deliberată; în caz contrar, un operator ar putea elimina din greșeală pericolul.

O funcție de siguranță pentru care nu se poate demonstra că funcționează în mod sigur la cerere nu este o funcție de siguranță — este o presupunere.

ASTM E2500 oferă un cadru pentru verificarea bazată pe risc a răspunsurilor sistemelor de interblocare, sprijinind selectarea modurilor de defectare care necesită testare sub supraveghere, în funcție de riscul asociat procesului. Anexa 11 la EudraLex impune, de asemenea, prezentarea dovezilor că sistemele informatizate funcționează în condiții de siguranță în situații anormale. Niciunul dintre aceste documente nu prescrie o listă fixă de teste; ambele fac referire la URS ca sursă a răspunsurilor necesare. Provocarea practică constă în faptul că anumite moduri de defectare, cum ar fi o breșă reală a sistemului de izolare în timpul unui test, nu pot fi induse în condiții de siguranță. Prin urmare, cumpărătorul trebuie să facă distincția între acele moduri de defectare care pot fi testate pe deplin în timpul SAT și cele care trebuie să se bazeze pe testări parțiale combinate cu asigurarea documentată a proiectării și să redacteze criteriile de acceptare în consecință.

Resetarea logicii și ocolirea restricțiilor

Un dispozitiv de interblocare care se resetează automat atunci când condiția de declanșare dispare reintroduce riscul înainte ca operatorul să fi evaluat cauza. Dacă o variație de presiune declanșează o alarmă în cascadă și sistemul se resetează automat imediat ce valoarea măsurată revine la valoarea de referință, alarma se poate repeta în mod ciclic fără ca cauza principală să fie investigată, subminând încrederea operatorului și mascând o stare instabilă. Logica de blocare cu rearmare manuală după un eveniment de declanșare, aplicată în cazul în care dispozitivul de interblocare protejează o funcție critică pentru izolare, oferă personalului de exploatare controlul necesar pentru a verifica dacă situația este sigură înainte de repornire. Aceasta nu este o cerință normativă în majoritatea textelor GMP, dar este un criteriu de planificare care reduce probabilitatea ca un eveniment neanalizat să conducă la un incident de contaminare de amploare.

Ocolirea restricțiilor implică un compromis similar în ceea ce privește luarea deciziilor. Este posibil ca personalul autorizat să fie nevoit să intre într-o zonă controlată fără a opri întreaga linie de producție, iar funcțiile de ocolire asigură această flexibilitate operațională. Criteriile de acceptare ar trebui să impună ca orice ocolire să fie restricționată în ceea ce privește accesul (de exemplu, prin cod de tastatură sau trecerea cardului), limitată în timp și înregistrată într-un jurnal de audit. Anexa 11 la EudraLex susține acest lucru, punând accentul pe controlul accesului și jurnalele de audit pentru modificările sistemelor informatizate, dar nu prescrie metoda de ocolire. Dacă criteriile de acceptare nu menționează nimic cu privire la înregistrarea ocolirilor, SAT va înregistra o ocolire reușită fără a captura dovezile că aceasta a fost autorizată și temporară, lăsând unitatea incapabilă să distingă o ocolire controlată de o defecțiune nedetectată ani mai târziu, în timpul unei inspecții.

O modificare care nu lasă nicio urmă permanentă transformă o ocolire intenționată într-o constatare de audit care nu întârzie să iasă la iveală.

Configurarea logicii de resetare și a sistemului de ocolire nu trebuie tratată ca o setare implicită, ci ca o alegere deliberată care să corespundă nivelului de risc de izolare al echipamentului. În cazul echipamentelor de transfer BSL-3/4 sau OEB4/OEB5, tendința ar trebui să se îndrepte către resetări cu blocare și către depășiri strict limitate și înregistrate integral. Pentru utilitățile cu risc mai scăzut, un comportament de resetare mai simplu poate fi justificat, dar justificarea trebuie să se regăsească în raționamentul de validare, nu într-o explicație ulterioară punerii în funcțiune a motivului pentru care testele au confirmat un comportament pe care nimeni nu l-a definit.

Sisteme de control bazate pe încăpere versus sisteme de control bazate exclusiv pe echipamente

Un sistem de blocare care ignoră starea presiunii din încăpere poate proteja echipamentul, dar nu și cascada de presiune a instalației, iar decizia privind semnalele de care depinde sistemul de blocare determină întregul plan al interfeței SAT.

Tabelul face distincția între dispozitivele de blocare destinate exclusiv echipamentelor, alimentate de intrările și ieșirile (I/O) ale controlerului local, și dispozitivele de blocare la nivel de încăpere, care se bazează pe senzori de presiune sau pe sistemul de control al accesului, precum și de dispozitivele de blocare integrate în sistemul BMS, care declanșează opriri generale. Un dispozitiv de blocare a ușii destinat exclusiv echipamentelor, conectat direct la un trapa de transfer Controlerul este mai ușor de validat, deoarece comportamentul său nu depinde de stările externe ale încăperii. Cu toate acestea, un sistem de interblocare la nivel de încăpere care menține aceeași trapă închisă atunci când presiunea negativă din încăpere scade trebuie să se coordoneze cu senzorii de presiune ai clădirii și cu starea de certificare a încăperii. Un sistem de interblocare integrat în BMS care se declanșează la o alarmă de incendiu adaugă complexitate transferului între sisteme și un comportament de siguranță în caz de defectare care trebuie definit încă din etapa contractului de interfață, nu descoperit în timpul testării de acceptare (SAT), când maparea semnalului nu reușește să închidă circuitul așteptat de PLC-ul echipamentului.

Alegerea reprezintă un compromis tehnic, nu o ierarhie de conformitate. Controlul exclusiv la nivel de echipament izolează logica de interblocare și reduce amploarea validării, dar poate lăsa o lacună în ceea ce privește izolarea, dacă evaluarea riscurilor instalației arată că starea nesigură nu poate fi detectată la nivel local. Integrarea la nivel de încăpere elimină această lacună, dar introduce dependențe de calibrarea senzorilor, de integritatea rețelei BMS și de secvența de pornire și oprire în cadrul mai multor subsisteme. Manualul OMS privind biosecuritatea în laborator Ghidul menționează că, la anumite niveluri de biosecuritate, proiectarea sistemului de izolare poate impune utilizarea unor dispozitive de interblocare la nivel de încăpere, însă aceasta este o recomandare legată de profiluri specifice de risc, nu o cerință generală valabilă pentru toate echipamentele de transfer. Decizia se complică atunci când SAT relevă lipsa schimburilor de semnale între controlerul echipamentului și sistemele clădirii, ceea ce impune refacerea cablajului în etapele finale, rescrierea protocoalelor și revalidarea, lucruri care ar fi putut fi evitate dacă arhitectura sistemului de interblocare ar fi fost convenită în timpul revizuirii URS și ar fi fost supusă unor criterii clare de acceptare a interfeței.

Arhitectura de interblocare aleasă în faza de proiectare determină numărul de proceduri de sincronizare SAT care pot eșua în etapele finale ale punerii în funcțiune.

Condiții de testare SAT pentru stări anormale

Stările anormale sigure sunt dificil de indus în timpul testului SAT, însă reprezintă singura modalitate de a confirma că sistemele de interblocare funcționează corect atunci când sistemul de izolare este cel mai vulnerabil. Simularea unei pierderi bruște a presiunii diferențiale, menținând în același timp izolarea biologică sau chimică reală, este rareori fezabilă; condițiile de testare trebuie să creeze o provocare suficientă pentru a testa logica alarmelor și a dispozitivelor de interblocare fără a provoca o eliberare periculoasă reală. Prin urmare, criteriile de acceptare trebuie să definească ce stări anormale trebuie testate, cum pot fi simulate în condiții de siguranță și ce constituie un răspuns acceptabil.

Standardul ASTM E2500 oferă cadrul pentru această definiție, impunând ca condițiile de testare să rezulte din evaluările riscurilor asociate procesului, și nu dintr-o listă de verificare fixă. Specificațiile de cerințe de utilizare (URS) ar trebui să identifice scenariile critice de defectare, iar protocolul SAT transpune aceste scenarii în secvențe de testare care pot include simularea unei defecțiuni a senzorului, întreruperea unui semnal de comunicație sau inducerea unei abateri controlate a presiunii în limite de siguranță. Anexa 11 la EudraLex adaugă că testarea SAT a sistemelor computerizate trebuie să includă provocări în condiții anormale și că rezultatele trebuie documentate. Lacuna cu care se confruntă multe proiecte nu este lipsa standardelor, ci lipsa unei justificări documentate a riscurilor care să lege condițiile anormale selectate de secvențele specifice de defecțiune a sistemului de izolare pe care echipamentul a fost proiectat să le prevină. Atunci când această justificare lipsește, echipa SAT fie optează pentru siguranță, cu teste slabe care demonstrează prea puțin, fie se aventurează pe un teritoriu riscant fără un caz de siguranță clar, iar niciunul dintre aceste rezultate nu susține o decizie solidă de punere pe piață.

Un test care nu depășește niciodată limitele funcționării normale nu poate demonstra reacția de siguranță care contează cel mai mult.

Limita practică o reprezintă resursele și siguranța: unele moduri de defectare, cum ar fi defectarea simultană a sistemului de interblocare a ușilor duble într-un BSL-4 camera de transfer, ar putea fi imposibil de testat fizic fără a se asuma un risc inacceptabil. În aceste cazuri, criteriile de acceptare ar trebui să recunoască în mod explicit faptul că anumite răspunsuri sunt verificate printr-o combinație de teste de provocare parțiale și revizuire a proiectului, astfel încât documentația să reflecte cu acuratețe ceea ce a fost demonstrat și ceea ce a fost acceptat pe baza asigurării inginerești. Această abordare, atunci când este documentată din start, evită acuzațiile ulterioare conform cărora testarea a fost incompletă.

Pragul de acceptare pentru înregistrările privind alarmele și blocările

O indicație de alarmă în timp real care dispare fără a lăsa o înregistrare datată și atribuibilă lasă instalația fără nicio dovadă obiectivă că a avut loc un eveniment de izolare. Prin urmare, pragul de acceptare pentru alarme și dispozitivele de interblocare trebuie să depășească demonstrarea funcțională, incluzând completitudinea, integritatea și permanența înregistrării generate. Dacă testul SAT verifică doar dacă LED-ul de alarmă s-a aprins, jurnalul de evenimente va fi lipsit de dovezile necesare pentru o inspecție de reglementare care va avea loc trei ani mai târziu.

Criteriile de acceptare ar trebui să definească ce constituie o înregistrare completă: marcajul temporal la rezoluția necesară, descrierea evenimentului, prioritatea alarmei, confirmarea operatorului, acțiunea de resetare și orice evenimente de ocolire asociate. Anexa 11 la EudraLex susține acest lucru prin cerința ca sistemele computerizate să dispună de înregistrări electronice precise, complete și păstrate. Standardul ASTM E2500 susține o determinare bazată pe risc a înregistrărilor critice, permițând proiectului să concentreze pragurile stricte de revizuire a înregistrărilor asupra alarmelor critice pentru izolare, mai degrabă decât asupra fiecărei notificări a sistemului. Pragul ar trebui stabilit în timpul planificării validării, nu impus retroactiv după predare, deoarece, odată ce echipamentul este în funcțiune, rareori există o fereastră de timp controlată pentru a revizui arhitectura datelor și a se asigura că sunt înregistrate parametrii corespunzători.

Documentația este singurul martor care supraviețuiește evenimentului; documentația incompletă generează o datorie de conformitate care se acumulează cu fiecare ciclu de audit.

Dacă protocolul SAT acceptă un răspuns funcțional la alarmă fără a verifica dacă înregistrarea corespunzătoare apare în fișierul de istoric cu toate câmpurile obligatorii, instalația acceptă un sistem de izolare care funcționează astăzi, dar care nu poate fi apărat mâine. Un prag de acceptare care impune verificarea înregistrărilor de evenimente în timpul SAT și care leagă conținutul înregistrării de definiția alarmei și de răspunsul sistemului de interblocare specificat în URS asigură faptul că starea validată include lanțul de dovezi, nu doar reacția echipamentului.

Definirea criteriilor de acceptare a alarmelor și a sistemelor de interblocare nu reprezintă un simplu exercițiu de completare a detaliilor dintr-o specificație; este elementul decisiv care determină dacă SAT poate demonstra că echipamentul asigură menținerea stării de izolare prevăzute. Condiția de declanșare, răspunsul, logica de resetare, restricțiile de ocolire, dependențele de interfață, provocările legate de stările anormale și exhaustivitatea înregistrărilor formează un lanț interconectat care fie rezistă în timpul testării, fie se rupe la cel mai slab punct de definiție. Înainte de achiziție, verificați dacă URS descrie fiecare dintre aceste elemente în termeni care pot fi testați, iar înainte de SAT, confirmați că protocolul le poate testa fără a pune instalația în pericol. Când toate verigile sunt definite și demonstrabile, decizia de acceptare se bazează pe dovezi obiective, mai degrabă decât pe presupunerea că proiectantul a procedat corect.

Întrebări frecvente

Î: Echipamentul nostru de transfer se află deja la fața locului, dar în URS se menționează doar “alarmă prevăzută”. Se poate continua cu recepția fără a se produce o întârziere majoră a proiectului?
R: Da, dar nu fără o variație bazată pe risc. Echipa de proiect trebuie să se reunească imediat pentru a defini condițiile de declanșare, răspunsurile, logica de resetare și cerințele de înregistrare care lipsesc în prezent, apoi să completeze în mod oficial protocolul SAT. Predarea va fi suspendată până când documentația respectivă va fi aprobată și testele vor fi rescrise — întârzierea depinde de cât de repede se poate ajunge la un acord asupra criteriilor lipsă și de capacitatea hardware-ului de a le executa.

Î: După ce definim fiecare criteriu de alarmă și de interblocare în URS, care este următorul pas imediat înainte ca echipa SAT să redacteze protocolul de testare?
A: Asociați fiecare criteriu unei metode sigure de testare și unui punct de referință necesar. Pentru fiecare factor declanșator, documentați abordarea de simulare (de exemplu, inducerea unei abateri controlate a presiunii, întreruperea unei bucle de senzori, simularea unui releu blocat prin intermediul sistemului de diagnosticare), răspunsul așteptat al sistemului și câmpurile exacte din înregistrare care trebuie capturate. Această matrice constituie scheletul protocolului SAT și împiedică echipa de testare să fie nevoită să reconstituie intenția în timpul punerii în funcțiune.

Î: În ce moment aceste criterii riguroase de acceptare a alarmelor și a sistemelor de interblocare devin excesive? Putem reduce sarcinile administrative pentru ușile de transfer OEB2 sau BSL-2?
R: Rigoarea este proporțională cu riscul de dispersie, nu cu un nivel fix de biosecuritate. Dacă o evaluare formală a riscurilor de proces arată că o breșă nu ar conduce în mod plauzibil la pierderea produsului, vătămarea personalului sau eliberarea în mediu, se poate simplifica procedura — de exemplu, prin acceptarea asigurării de proiectare, însoțită de teste reduse, efectuate în prezența martorilor, privind modurile de defectare pentru anumite dispozitive de interblocare. Cu toate acestea, pragurile de declanșare definite și înregistrările evenimentelor care pot fi auditate rămân obligatorii în conformitate cu GMP chiar și pentru aplicațiile cu risc redus, deoarece absența înregistrărilor nu lasă nicio urmă de dovezi care să poată fi apărată.

Î: Cum decidem dacă să menținem un dispozitiv de interblocare care funcționează doar pe baza echipamentului sau să-l conectăm la presiunea din încăpere sau la semnalele sistemului de gestionare a clădirii (BMS)?
A: Alegeți controlul exclusiv prin echipament atunci când senzorii proprii ai echipamentului pot detecta direct și în mod fiabil pericolul de scurgere — de exemplu, un dispozitiv de blocare la deschiderea ușii pe o trapă de transfer, unde pericolul se limitează la perimetrul echipamentului. Integrați semnalele de presiune din încăpere sau din sistemul de gestionare a clădirii (BMS) numai atunci când pericolul declanșator nu poate fi detectat local, cum ar fi o pierdere de presiune în cascadă care trebuie să împiedice deschiderea trapei pentru a proteja incinta. Decizia trebuie să se bazeze pe scenariile de defecțiune pe care dispozitivul de blocare este menit să le prevină, nu pe o preferință generală pentru simplitate sau integrare.

Î: Merită efortul de a specifica teste de provocare detaliate și de a înregistra valorile prag pentru o cameră de trecere VHP standard, sau este vorba de o proiectare excesivă?
R: În cazul unei camere de transfer VHP care protejează o zonă sterilă, da — o singură ocolire neînregistrată a sistemului de interblocare sau o alarmă neobservată în timpul unei defecțiuni a ciclului poate compromite un întreg lot, iar costul investigației depășește cu mult costul lucrărilor inițiale de specificare. Excepția o constituie un punct de trecere a materialelor necritice, în cazul căruia evaluarea riscurilor clasifică eșecul sistemului de izolare ca fiind neglijabil; în acest caz, s-ar putea reduce numărul de situații de stare anormală atestate, dar trebuie totuși definite praguri de completitudine a înregistrărilor pentru a menține conformitatea cu cerințele de audit GMP.