Cerințe APR privind blocarea ușilor pentru controlul cascadelor de presiune și al camerelor de echilibrare

Specificarea unei uși ca fiind închisă în logica sistemului BMS înainte ca etanșeitatea acesteia să fi fost confirmată efectiv este una dintre cele mai sigure modalități de a provoca o inversare în cascadă pe care nimeni nu o detectează până când monitorizarea ulterioară ocupării clădirii sau o observație în urma unui audit nu scoate problema la iveală. Costul practic este o instalație care trece de punerea în funcțiune statică, dar eșuează în condiții normale de trafic: diferențele de presiune se restabilesc prea lent după evenimentele legate de uși, permisiunile pentru sas permit reintrarea înainte ca cascada să fie restabilită, iar echipa de validare descoperă că interblocările lor pentru ușa închisă nu au fost niciodată legate de integritatea etanșării. Corectarea acestei logici după IQ/OQ reprezintă un exercițiu de control al modificărilor care întârzie recalificarea OQ și redeschide discuțiile cu inginerul de punere în funcțiune. Criteriul care diferențiază o arhitectură robustă de interblocare de una fragilă este dacă starea etanșeității — nu doar poziția ușii — este datele de intrare care indică sistemului BMS că limita camerei este intactă.

Starea sigiliului APR ca intrare pentru sistemul de interblocare

Un senzor de poziție a ușii confirmă faptul că un canat al ușii a atins limitatorul de cursă în poziția închisă. Acesta nu confirmă însă că perimetrul încăperii este etanșat. În cazul controlului în cascadă al presiunii, acestea sunt două evenimente distincte, iar confundarea lor reprezintă o sursă frecventă de erori în logica de interblocare, care pare corectă pe hârtie, dar permite sistemului BMS să trateze încăperea ca fiind închisă înainte ca etanșarea să fie efectiv asigurată.

Posibilitatea de a utiliza starea garniturii ca intrare independentă pentru blocarea de siguranță depinde de varianta ușii. În cazul ușilor APR cu garnitură gonflabilă, un senzor de presiune al garniturii poate furniza un semnal discret sau analogic pe care sistemul BMS îl interpretează ca o stare reală de închidere și etanșare — adică garnitura a atins presiunea de funcționare, nu doar faptul că canatul s-a deplasat. Acest semnal poate declanșa acțiuni ulterioare: restabilirea cascadei de presiune, eliberarea permisivă a camerei de echilibrare sau resetarea alarmei. În cazul ușilor cu garnitură mecanică, care se bazează pe compresia manuală prin intermediul unui braț din oțel inoxidabil, proiectarea nu include o cale de feedback electronică echivalentă. Ușa poate fi blocată mecanic, iar garnitura să nu fie încă complet angrenată, iar sistemul BMS nu va avea nicio modalitate de a detecta această stare, cu excepția cazului în care este programat un test separat de scădere a presiunii sau o etapă manuală de verificare pe lista de control ca barieră procedurală.

Consecința la nivel de achiziție și proiectare este că proiectele care utilizează uși APR cu etanșare mecanică în zone critice din punct de vedere al presiunii trebuie să țină seama de absența unui sistem automat de blocare în funcție de starea etanșării la nivelul SOP și al validării, fără a presupune că această lacună va fi remediată prin intervenții hardware. Această decizie trebuie menționată în mod explicit în URS, astfel încât abordarea de verificare — fie ea procedurală, bazată pe senzori sau prin monitorizarea suplimentară a presiunii — să fie stabilită înainte de testul FAT.

Comportamentul cascadei de presiune în timpul mișcării ușii

Fiecare eveniment de deschidere a unei uși într-o cascadă de presiune perturbă diferența de presiune dintre zonele adiacente. Întrebarea tehnică relevantă nu este dacă această perturbare are loc — ea are loc întotdeauna — ci cât de repede se restabilește cascada, în ce măsură se inversează în timpul evenimentului de deschidere a ușii și dacă restabilirea se încadrează în toleranța de timp prevăzută în proiectarea sistemelor HVAC și BMS ale instalației.

Contribuția ușii la acest comportament constă în rezistența la scurgere odată ce garnitura este activată, precum și în timpul de etanșare la închidere. O ușă APR cu garnitură gonflabilă, proiectată să mențină rezistența la scurgere până la 2000 Pa, funcționează cu mult peste valorile tipice de referință ale cascadelor de presiune din industria farmaceutică sau din sistemele de izolare de înaltă siguranță, ceea ce înseamnă că ușa în sine nu reprezintă factorul limitativ pentru integritatea cascadei odată etanșată. Diferența de presiune proiectată a instalației — și nu valoarea maximă nominală a ușii — stabilește valoarea de funcționare. Ceea ce contează este intervalul dintre închiderea canatului și umflarea garniturii: dacă acest interval este lung în raport cu constanta de timp de recuperare a sistemului HVAC, sistemul de management al clădirii (BMS) poate înregistra o curbă de recuperare a presiunii care este, de fapt, determinată de întârzierea de recuperare a sistemului HVAC, nu de reetanșarea ușii.

În timpul mișcării ușii, logica de control al cascadei de presiune trebuie să țină cont de trei stări distincte: ușă deschisă, ușă închisă, dar etanșarea încă neconfirmată, și ușă închisă cu etanșarea confirmată. Strategiile de control care omit starea intermediară — tratând închiderea canatului ca pe o limită recuperată — vor integra un comportament de recuperare care include o anumită scurgere reziduală printr-o ușă neetanșată. Este posibil ca acest lucru să nu fie vizibil în testele statice, deoarece aceste teste nu generează secvențele rapide de evenimente ale ușii tipice traficului real. Implicația principală este că sistemele de control HVAC și logica de interblocare a sistemului de gestionare a clădirii (BMS) trebuie specificate împreună, sincronizarea etanșării ușii fiind o intrare explicită în modelul de recuperare în cascadă, nu o constantă presupusă.

În cazul ușilor cu garnitură gonflabilă care funcționează în medii BSL-3/4 sau OEB cu trafic intens de vehicule, durata de funcționare a ușilor și frecvența de refacere a etanșeității trebuie considerate sarcini dinamice asupra sistemului de control în cascadă, și nu evenimente ocazionale.

Permisiuni pentru intrarea, ieșirea și resetarea camerei de echilibrare

Logica permisivă a camerei de echilibrare eșuează cel mai adesea nu pentru că este programată defectuos, ci pentru că stările permisive pe care le impune au fost definite pe baza unui model simplificat de trafic. Un sistem de interblocare a ușilor care împiedică deschiderea simultană a ambelor uși ale camerei de echilibrare gestionează cel mai evident mod de eșec. Acesta nu gestionează însă cazul în care unei a doua uși i se permite să se deschidă înainte ca prima să fi confirmat restabilirea etanșeității și înainte ca sistemul în cascadă să se fi recuperat.

În cazul ușilor APR cu garnitură gonflabilă, un PLC autonom poate fi programat pentru a controla întreaga secvență de intrare și ieșire: solicitarea de deschidere a ușii, confirmarea dezumflării garniturii, deplasarea ușii, confirmarea închiderii ușii, confirmarea umflării garniturii, confirmarea restabilirii presiunii și abia apoi eliberarea permisiunii pentru următoarea ușă. Fiecare etapă din această secvență reprezintă o poartă, iar fiecare poartă necesită un semnal de intrare definit. Calitatea logicii de autorizare depinde direct de faptul dacă starea garniturii — nu doar poziția ușii — este unul dintre aceste semnale de intrare.

În cazul în care se utilizează uși cu etanșare mecanică și nu este disponibilă o secvență bazată pe PLC, condițiile de permisiune devin procedurale: operatorul are responsabilitatea de a confirma comprimarea etanșării înainte de a semnaliza sistemului de gestionare a clădirii (BMS) că perimetrul camerei a fost restabilit. Riscul de eroare umană în această configurație este real și ar trebui să se reflecte în SOP, în registrele de instruire și în evaluarea riscurilor a instalației. Acesta nu este un motiv pentru a respinge categoric ușile cu etanșare mecanică, dar este un motiv pentru a preciza în mod explicit în URS modul în care controalele procedurale înlocuiesc intrările de interblocare automatizate — și pentru a se asigura că această înlocuire este vizibilă pentru echipa de asigurare a calității și pentru echipa de inspecție, în loc să fie ascunsă în ipoteze operaționale.

Resetarea permisiunilor după operațiuni de curățare sau în urma unor situații de urgență necesită aceeași definiție riguroasă. O cameră de echilibrare a presiunii care a fost utilizată pentru transferul echipamentelor, decontaminare sau ieșire de urgență ar trebui să necesite o secvență explicită de resetare înainte ca logica normală de permisiune să fie reluată. Elementele pe care le include această secvență — verificarea scăderii presiunii, confirmarea etanșeității, validarea manuală sau o combinație a acestora — ar trebui definite în specificațiile de proiectare și transpuse în cazurile de testare SAT.

Acceptarea scurgerilor față de statutul „ușă închisă”

O ușă poate fi închisă mecanic, inspectată vizual și înregistrată ca fiind securizată, chiar dacă prezintă o cale de scurgere pe care cascada de presiune va încerca să o egalizeze. Nu este vorba de o ipoteză: este modul specific de defectare care apare atunci când brațul de compresie al unei uși APR cu etanșare mecanică nu este complet angrenat. Canatul ușii este blocat, garnitura pare să fie la locul ei, dar nu este comprimată la nivelul necesar pentru a asigura etanșeitatea. Sistemul BMS detectează un contact de ușă închisă. Însă încăperea nu este etanșă.

Această distincție este importantă deoarece deciziile de izolare luate în etapele ulterioare — ajustarea valorilor de referință în cascadă, mascarea alarmelor în timpul evenimentelor legate de uși, operațiunile de transfer în zonele adiacente — se bazează toate pe premisa că perimetrul camerei este intact atunci când semnalul de ușă închisă este activ. Dacă această premisă este eronată, comportamentul în cascadă, logica alarmelor și autorizațiile de transfer funcționează toate pe baza unei informații eronate.

Prin urmare, criteriile de acceptare a scurgerilor trebuie definite independent de indicarea stării de închidere a ușii. Pentru ușile cu garnitură gonflabilă dotate cu monitorizarea presiunii de etanșare, criteriul îl reprezintă confirmarea de către senzor că presiunea de etanșare respectă specificațiile de funcționare — până la rezistența nominală la scurgere a ușii, dar evaluată în raport cu diferența de presiune reală de proiectare a instalației. Pentru ușile cu etanșare mecanică, este necesară o verificare independentă: un test de scădere a presiunii la nivelul încăperii, un protocol de inspecție vizuală cu un criteriu de compresie definit sau o etapă de verificare manuală documentată, care să fie legată de logica de interblocare, mai degrabă decât opțională. Niciuna dintre aceste abordări nu este în mod inerent superioară în toate instalațiile; alegerea depinde de frecvența traficului, de accesul operatorului și de consecințele riscului pe care îl prezintă o stare falsă de ușă închisă în zona respectivă. Ceea ce nu este justificabil este considerarea poziției ușii ca singurul criteriu de acceptare a scurgerilor.

Această încadrare ar trebui să figureze în criteriile de acceptare IQ pentru ușă și în specificațiile testului de menținere a presiunii din cadrul OQ. În cazul în care aceasta lipsește, dosarul de validare documentează un test pe care ușa l-a trecut, nu un test prin care s-a verificat etanșeitatea.

Declanșarea de urgență și gestionarea stării de alarmă

În cazul unei întreruperi de curent sau al unei defecțiuni a sistemului de control al unei uși APR cu etanșare pneumatică, există o contradicție directă între evacuarea de urgență și menținerea izolării. Rezolvarea acestei contradicții reprezintă o decizie care ține de evaluarea riscurilor la nivelul instalației și care trebuie luată înainte de stabilirea specificațiilor ușii, nu după instalare.

Opțiunile disponibile pentru ușile APR cu garnitură gonflabilă abordează direct cele două aspecte ale acestui compromis. Un buton de suprascrieare pneumatică permite eliberarea manuală a garniturii gonflabile, facilitând ieșirea în cazul în care o pană de curent sau o defecțiune a sistemului de control ar lăsa personalul blocat în interiorul unei zone etanșe. Consecința asupra etanșeității rezultată din activarea acestei suprascrieri este pierderea integrității garniturii la nivelul ușii — un compromis deliberat în care siguranța operatorului are prioritate față de continuitatea etanșeității. Un sistem de rezervă în caz de întrerupere a alimentării cu energie electrică adoptă poziția opusă: acesta menține alimentarea cu aer comprimat a garniturii gonflabile în timpul unei întreruperi de curent, asigurând izolarea până la restabilirea alimentării normale, dar cu prețul unei ieșiri întârziate sau restricționate atât timp cât garnitura rămâne umflată.

Niciuna dintre opțiuni nu este universal corectă. Configurația adecvată depinde de clasificarea agentului patogen sau a compusului, de probabilitatea și durata întreruperii alimentării cu energie electrică, de numărul de membri ai personalului care ar putea să se afle în interiorul zonei, precum și de consecințele unei breșe de izolare în raport cu consecințele unei evacuări întârziate. Aplicațiile BSL-4 și anumite aplicații OEB5 pot acorda o importanță deosebită menținerii izolației; instalațiile în care circulația personalului este frecventă și fiabilitatea alimentării cu energie electrică este ridicată pot configura suprascrierea ca răspuns principal. Ambele decizii trebuie documentate în planul de intervenție în caz de urgență al instalației și reflectate în logica de gestionare a stării de alarmă a sistemului de gestionare a clădirii (BMS) — mai precis, starea de alarmă care se declanșează atunci când este activată oricare dintre funcții și procedura de resetare necesară înainte de reluarea funcționării normale a sistemului de interblocare.

Ceea ce logica de gestionare a stării de alarmă nu trebuie să facă este să revină automat la funcționarea normală după restabilirea alimentării cu energie electrică, fără a verifica starea sigiliului, poziția ușii și recuperarea în cascadă. O revenire necontrolată la starea normală după o întrerupere a alimentării cu energie electrică reprezintă un al doilea mod de defectare care se adaugă celui dintâi.

Cazuri SAT pentru controlul dinamic al camerei de echilibrare

Testele statice de punere în funcțiune confirmă faptul că o cameră de echilibrare funcționează corect atunci când ușile sunt acționate în mod intenționat, una câte una, în condiții controlate. Acestea nu confirmă însă că aceeași cameră de echilibrare funcționează corect în condiții reale de trafic — acțiuni secvențiale ale ușilor, transferuri de echipamente pe roți, fluctuații de presiune în zonele adiacente și interacțiunile temporale dintre umflarea garniturilor, recuperarea în cascadă și eliberarea permisivă, care apar doar în condiții de sarcină.

Diferența dintre performanța statică și cea dinamică reprezintă punctul în care logica de interblocare a ușilor APR eșuează cel mai adesea în practică. Timpul de recuperare a presiunii de etanșare după un singur eveniment legat de ușă poate fi perfect în limitele specificațiilor. Recuperarea presiunii de etanșare după trei evenimente consecutive legate de ușă într-un interval de două minute s-ar putea să nu fie — iar dacă logica permisivă deblochează următoarea ușă pe baza unui temporizator, în loc să se bazeze pe starea confirmată a etanșării și pe recuperarea în cascadă, camera de echilibrare ar putea permite accesul personalului într-o zonă a cărei diferență de presiune nu a fost restabilită.

Cazurile de testare SAT pentru controlul dinamic al camerei de echilibrare ar trebui să includă, cel puțin: secvențe normale de intrare și ieșire a unei singure persoane la frecvența de trafic prevăzută în proiect; solicitarea de intrare simultană cu o ușă aflată deja în stare deschisă; solicitarea de deschidere a ușii înainte de finalizarea confirmării etanșării la închiderea anterioară; verificarea recuperării în cascadă după evenimente secvențiale rapide ale ușii; și activarea stării de alarmă urmată de confirmarea secvenței de resetare. Pentru instalațiile în care echipamentele pe roți sau obiectele mari de transfer sunt o practică obișnuită — ceea ce reprezintă un aspect de proiectare pentru mediile BSL-3/4 cu grad ridicat de izolare — testele SAT ar trebui să verifice, de asemenea, sincronizarea ușilor și recuperarea etanșării în condițiile evenimentelor cu durată de deschidere prelungită, generate de transferul echipamentelor.

Standardul ISO 14644-4:2022 oferă orientări-cadru pentru punerea în funcțiune și pornirea camerelor curate, relevante pentru elaborarea protocoalelor SAT, inclusiv verificarea cascadei de presiune. Cu toate acestea, cazurile specifice de testare dinamică trebuie să fie derivate din modelul operațional al instalației și din logica de interblocare programată în PLC-ul ușii sau în sistemul de gestionare a clădirii (BMS), nu dintr-o listă de verificare generică pentru punerea în funcțiune. Dacă protocolul SAT a fost redactat înainte de finalizarea logicii de interblocare, cazurile de testare trebuie revizuite pentru a identifica eventualele lacune — în special în ceea ce privește datele de intrare privind starea etanșării, condițiile de eliberare permisivă și secvențele de resetare a stării de alarmă.

Un test SAT care evaluează doar ușile în mod izolat și nu supune la încercare camera de echilibrare ca sistem dinamic în condiții de trafic realiste nu reprezintă o calificare completă a logicii de control a camerei de echilibrare. Este vorba de un test static al ușilor, denumit SAT.

Decizia privind faptul dacă un contact de ușă închisă este suficient ca intrare pentru sistemul de interblocare de izolare — sau dacă starea garniturii trebuie să constituie un semnal independent în logica sistemului de gestionare a clădirii (BMS) — este decizia de proiectare care se reflectă în toate activitățile de calificare ulterioare: modul în care sunt structurate testele de menținere a presiunii din cadrul calificării operaționale (OQ), ce scenarii dinamice sunt necesare în cadrul testelor de acceptare a sistemului (SAT) și dacă gestionarea eliberării de urgență poate fi justificată în cadrul evaluării riscurilor. Răspunsul nu este același pentru fiecare variantă de ușă sau pentru fiecare zonă, iar diferența dintre ușile APR cu etanșare gonflabilă și cele cu etanșare mecanică generează arhitecturi de interblocare semnificativ diferite, cu sarcini procedurale și de validare diferite.

Înainte de finalizarea URS sau de începerea pregătirii pentru FAT, asigurați-vă că știți ce intrări de interblocare vor fi considerate de către BMS ca definind o stare de etanșeitate a încăperii, cum se corelează secvența de eliberare a permisiunii cu aceste intrări și care este procedura de resetare a stării de alarmă după orice situație de urgență sau întrerupere a alimentării cu energie electrică. Aceste definiții sunt mai greu de corectat după instalare decât de specificat corect înaintea acesteia.

Întrebări frecvente

Î: Am specificat uși APR cu etanșare mecanică, dar sistemul nostru BMS nu dispune de o intrare pentru starea etanșării. Cum putem elimina neconcordanța de interblocare înainte de validare?
R: Această lacună trebuie remediată prin măsuri procedurale. Se va implementa o etapă de verificare manuală documentată — cum ar fi o listă de verificare a cuplării brațului de compresie sau un test de scădere a presiunii la nivelul camerei — pe care operatorii să o efectueze înainte de eliberarea permisiunii pentru camera de echilibrare. Această barieră procedurală trebuie codificată în procedurile standard de operare (SOP) și corelată cu logica de resetare a alarmelor din sistemul de management al clădirii (BMS), astfel încât sistemul să nu poată reveni la funcționarea normală fără confirmarea cuplării etanșării.

Î: După ce ați citit acest text, care este primul pas pentru a evalua dacă logica actuală de interblocare a ușilor APR este rezistentă la scăpări?
R: Verificați logica actuală a sistemului BMS pentru a vedea dacă semnalul “ușă închisă” definește, în sine, starea de etanșare a încăperii. Apoi, analizați protocolul de testare SAT în raport cu evenimentele dinamice — cicluri secvențiale rapide de deschidere-închidere a ușilor, transferuri de echipamente pe roți și secvențe de resetare a stării de alarmă — pentru a vă asigura că acesta testează timpul de restabilire a etanșării, și nu doar închiderea statică a ușii.

Î: Unitatea noastră funcționează la nivelul BSL-2/BSL-3 îmbunătățit, nu la nivelul maxim de izolare. Mai sunt necesare dispozitivele de blocare bazate pe starea etanșeității?
R: Nu în mod categoric, dar principiul rămâne valabil. Necesitatea este determinată de consecințele riscului pe care îl prezintă o inversare în cascadă. Dacă pierderea diferenței de presiune ar putea provoca contaminarea produsului sau expunerea necontrolată a personalului, starea garniturii de etanșare ar trebui să constituie un criteriu de interblocare. Zonele cu risc mai redus pot accepta o interblocare bazată pe poziția ușii, însoțită de verificări procedurale duble, dar orice spațiu în care o abatere de presiune ar declanșa o investigație ar trebui să dispună, cel puțin, de o verificare documentată a faptului că garnitura de etanșare este activată înainte ca încăperea să fie considerată etanșă.

Î: În ce fel diferă efortul de validare între ușile cu etanșare gonflabilă, dotate cu permisiuni PLC, și ușile cu etanșare mecanică, dotate cu comenzi procedurale?
R: Sistemele cu etanșare gonflabilă, dotate cu feedback privind starea etanșării și secvențiere prin PLC, oferă porți de acces autorizate, bazate pe semnale și care pot fi auditate, aliniate direct la procedura standard de verificare a semnalelor IQ/OQ. Ușile cu etanșare mecanică transferă responsabilitatea către respectarea procedurilor standard de operare (SOP), instruirea operatorilor și înregistrarea manuală, ceea ce face ca validarea să depindă în mare măsură de fiabilitatea umană — fapt care sporește probabilitatea apariției unor constatări în timpul auditurilor de reglementare și necesită o supraveghere continuă mai riguroasă.

Î: Se justifică costul suplimentar al sistemului de monitorizare a presiunii garniturii și al unui PLC dedicat pentru o cameră de echilibrare cu trafic redus?
R: În aplicațiile în care etanșeitatea este esențială, da — chiar și o singură defecțiune nedetectată a garniturii poate provoca o deviere în cascadă care să declanșeze investigații costisitoare, recalificări sau pierderea lotului. Circuitul de monitorizare a garniturii este adesea o caracteristică standard a ușilor de etanșare special concepute (cum ar fi ușa APR cu garnitură gonflabilă Qualia PBSC), ceea ce face ca costul suplimentar al echipamentului să fie modest în raport cu riscul unei presupuneri eronate privind starea de închidere a ușii. Pentru zonele cu risc cu adevărat scăzut și diferențial redus, o abordare bazată pe etanșări mecanice, însoțită de proceduri operaționale standard (SOP) riguroase, poate fi acceptabilă după o evaluare documentată a riscurilor.