Cerințe privind sistemele de control și interblocare în cererile de ofertă pentru echipamente cu grad ridicat de izolare: PLC, HMI, BMS și dovezi privind alarmele

Lacunele de control din echipamentele de înaltă izolare nu ies, de obicei, la iveală în timpul procesului de achiziție — ele se evidențiază abia în etapa SAT, când un test funcțional efectuat în prezența martorilor relevă faptul că logica PLC pentru o condiție de interblocare nu a fost niciodată specificată în mod oficial, schema de prioritate a alarmelor există doar în notele programatorului, iar lista de semnale din sistemul de management al clădirii (BMS) nu corespunde cu desenele tehnice pe care se bazează echipa de validare. Costul constă în termene comprimate, refacerea documentației care ar fi trebuit livrată de furnizor și activități de calificare care nu pot fi finalizate fără dovezi care nu au fost solicitate în etapa cererii de ofertă (RFQ). Decizia care previne acest lucru nu este o revizuire mai aprofundată la punerea în funcțiune — ci o specificație structurată a controalelor încă din etapa cererii de ofertă (RFQ), care clasifică fiecare funcție în funcție de gradul de criticitate și atribuie o metodă de acceptare înainte ca furnizorul să înceapă proiectarea. Cumpărătorii care iau această decizie din timp îi obligă pe furnizori să prezinte un set definit de dovezi; cei care nu o fac se confruntă cu o lacună în documentație care persistă pe parcursul IQ, OQ și chiar mai departe.

Secvențe de control care trebuie specificate

Specificarea sistemelor de control ca “PLC/HMI cu ieșiri de alarmă” este o practică obișnuită în cererile de ofertă pentru echipamente de izolare și este aproape întotdeauna insuficientă. Problema principală este că, în absența unei logici de secvențiere explicite în caietul de sarcini al furnizorului, programul PLC devine de facto specificația de referință — iar dacă acel program nu este verificat înainte de recepția din fabrică, proprietarul nu dispune de un punct de referință pe baza căruia să efectueze testele.

Fiecare dintre elementele de mai jos prezintă un risc distinct de eșec dacă este lăsat la latitudinea interpretării furnizorului. Secvențele operaționale normale trebuie descrise pas cu pas, astfel încât echipamentul să funcționeze într-o ordine previzibilă, pe care atât operatorii, cât și inginerii de validare să o înțeleagă înainte de SAT. Stările de alarmă necesită condiții definite, textul mesajului și niveluri de prioritate, astfel încât alarmele să poată fi acționate și să fie în concordanță cu instruirea operatorilor. Condițiile de interblocare necesită o logică explicită — care să stabilească ce stări ale procesului declanșează ce răspunsuri de siguranță — deoarece lacunele în proiectarea interblocării creează expuneri legate de izolare sau de integritatea procesului, care sunt dificil de detectat în timpul testărilor de rutină. Declanșatorii de semnal ai sistemului de gestionare a clădirii (BMS) trebuie să definească puncte și momente specifice, pentru a permite ca integrarea instalației să se desfășoare în paralel cu calificarea echipamentelor, și nu după aceasta.

Configurarea nivelurilor de acces și comportamentul sistemului de backup sunt adesea tratate ca detalii de implementare, mai degrabă decât ca funcții specificate, iar tocmai aici ambiguitatea devine o problemă legată de ciclul de viață. Dacă comportamentul sistemului de backup în cazul unei întreruperi de curent sau al unei defecțiuni de comunicații nu este definit în cererea de ofertă (RFQ), setările implicite ale furnizorului ar putea să nu corespundă strategiei de izolare — aspect deosebit de relevant pentru Mediile BSL-3 în cazul în care un eveniment de pierdere a izolației în timpul restabilirii funcționării după o pană de curent are consecințe grave. Specificarea acestor elemente în cererea de ofertă nu înseamnă o supra-complicare a documentelor de achiziție, ci vizează crearea unei baze de analiză care să existe înainte de fabricarea echipamentului.

Comportamentul de rezervă nedefinit devine o decizie de proiectare privind izolarea, luată în mod implicit, nu pe baza unor considerente tehnice.

Informații privind PLC și HMI în cadrul domeniului de aplicare al furnizorului

Cererea de ofertă ar trebui să prevadă livrabile specifice din sfera de control a furnizorului, nu doar un sistem funcțional. Distincția este importantă deoarece ceea ce un furnizor consideră a fi documentația standard pentru PLC/HMI — scheme electrice, liste de intrări/ieșiri și o copie de rezervă a software-ului — rareori îndeplinește cerințele privind dovezile necesare pentru SAT, calificarea GMP sau verificarea interblocărilor critice pentru biosiguranță.

Cel puțin, domeniul de responsabilitate al furnizorului ar trebui să includă o specificație de proiectare funcțională (FDS) care să documenteze logica prevăzută pentru fiecare mod de funcționare, alarmă și interblocare înainte de începerea programării. Acest document constituie punctul de control care permite echipei proprietarului și, după caz, echipei de validare să confirme că logica reflectă intenția specificată înainte de codificare. În absența acestuia, revizuirile de proiectare se efectuează pe baza unui program activ, și nu a unei specificații, ceea ce transferă sarcina de calificare către etapele ulterioare și subminează trasabilitatea integrității datelor, așa cum este înțeleasă în cadrul sistemelor informatizate, cum ar fi Anexa 11 la EudraLex.

Cadrul de referință al interfeței om-mașină (HMI) trebuie să definească structura ecranelor, ierarhia de navigare și configurația nivelurilor de acces înainte de testul de acceptare la fabrică (FAT). Constatarea în cadrul testului FAT că interfața HMI afișează alarme fără diferențierea priorităților sau că nivelurile de acces nu impun acțiunile restricționate în URS generează lucrări suplimentare care întârzie atât finalizarea testului FAT, cât și activitățile de calificare ulterioare. Solicitarea furnizorului de a livra un pachet de revizuire a proiectului HMI ca livrabil înainte de testul FAT, mai degrabă decât ca document post-livrare, transformă o constatare obișnuită din cadrul testului FAT într-o etapă de revizuire gestionată.

Dovezile practice care vor fi solicitate în cadrul verificărilor includ: FDS-ul cu istoricul reviziilor, lista de intrări/ieșiri cu etichetele semnalelor corelate cu schemele P&ID, registrul de alarme cu cauza și valoarea de referință pentru fiecare alarmă, matricea nivelurilor de acces care prezintă acțiunile permise în funcție de rolul utilizatorului, precum și înregistrarea versiunii software-ului care va fi păstrată la testarea la fața locului (FAT) și comparată la testarea la locul de instalare (SAT). Fiecare dintre aceste documente trebuie să fie inclus pe lista livrabilelor contractuale furnizate de furnizor, cu un termen de predare bine definit — și nu trebuie tratat ca material de referință opțional.

O listă de intrări/ieșiri fără un registru de alarmă corespunzător reprezintă un domeniu de control, nu un pachet de dovezi privind controlul.

Documentația privind semnalele și alarmele BMS

Integrarea dintre sistemele de control ale echipamentelor de izolare și sistemul de gestionare a clădirii (BMS) este, de obicei, unul dintre ultimele aspecte care trebuie rezolvate în cadrul proiectelor cu grad ridicat de izolare; cu toate acestea, documentația necesară pentru o integrare corectă trebuie întocmită cu mult înainte de livrarea echipamentelor. Atunci când documentația privind semnalele BMS este tratată ca un activitate din faza de punere în funcțiune, integrarea se realizează adesea pe baza unor schimburi informale între inginerul de control al furnizorului de echipamente și contractorul sistemului de gestionare a clădirii (BMS) — rezultând corespondențe punct-la-punct care se regăsesc în e-mailuri, mai degrabă decât în documente oficiale.

Cele patru elemente de documentație care ar trebui să fie solicitate în cererea de ofertă (RFQ) abordează fiecare un mod diferit de defectare în procesul de integrare și calificare.

Lista punctelor de semnal definește ansamblul schimburilor discrete și analogice. Raționalizarea alarmelor asociază fiecare alarmă cu o cauză definită, o valoare de referință și un răspuns așteptat — în cazul în care acest document nu există, alarmele nu pot fi calificate în mod sistematic în conformitate cu cerințele din Anexa 11 privind integritatea datelor și pista de audit. Corelarea punct-la-punct este documentul de lucru pe care contractanții BMS îl utilizează în timpul integrării; fără acesta, semnalele sunt adesea omise sau atribuite unor adrese incorecte. Stările de siguranță ale semnalelor sunt elementul cel mai des omis: atunci când se pierde comunicarea între controlerul echipamentului de izolare și BMS, BMS-ul trebuie să primească o stare definită — nu o intrare ambiguă sau silențioasă — astfel încât răspunsurile la nivel de instalație să fie adecvate și să nu se bazeze pe date învechite sau incorecte.

Solicitarea acestor documente ca elemente furnizate de furnizor în cererea de ofertă (RFQ) înseamnă că ele există ca bază de revizuire înainte de începerea integrării. Tratarea lor ca rezultate ale punerii în funcțiune înseamnă că sunt create în mod reactiv, sub presiunea termenelor limită și, adesea, fără o revizuire formală.

Comportamentul sistemului de interblocare în condiții anormale

Testarea sistemelor de interblocare este unul dintre domeniile care generează cel mai probabil observații SAT atunci când specificațiile inițiale erau insuficiente. Motivul este de natură structurală: sistemele de interblocare sunt testate, de obicei, prin simularea unor condiții anormale induse în mod deliberat — pierderea presiunii diferențiale, defectarea garniturii ușii, defectarea ventilatorului de evacuare, epuizarea reactivilor într-un ciclu de decontaminare—iar dacă răspunsul așteptat nu a fost niciodată specificat în mod oficial, testul nu dispune de un criteriu de acceptare cu care să facă comparația.

Cererea de ofertă ar trebui să precizeze nu doar ce tipuri de dispozitive de interblocare există, ci și ce funcții trebuie să îndeplinească echipamentul în fiecare stare de declanșare. În cazul dispozitivelor de interblocare esențiale pentru izolare — cum ar fi cele care reglementează starea încuietorii ușii de acces în ceea ce privește cascada de presiune sau răspunsul la defectarea ventilatorului de evacuare într-un mediu BSL-3 — trebuie specificate atât acțiunea de interblocare preconizată, cât și orice întârziere de timp, orice alarmă care ar trebui să însoțească acțiunea, precum și secvența de revenire la normal după remedierea situației anormale. Acestea sunt decizii de proiectare bazate pe riscuri, care decurg din analiza de biosiguranță și din analiza riscurilor de proces; tratarea lor ca opțiuni de implementare ale furnizorului, în loc de comportamente specificate de proprietar, creează o lacună în procesul de verificare.

În ceea ce privește comportamentul sistemului de interblocare în cazul întreruperii comunicațiilor sau a alimentării cu energie electrică, în mod specific, specificația trebuie să precizeze starea pe care o adoptă echipamentul în cazul unei astfel de întreruperi (modul „fail-safe” sau „fail-operational”), modul în care interfața om-mașină (HMI) indică această stare, dacă este permisă o recuperare automată sau dacă este necesară o intervenție manuală, precum și ce tip de înregistrare este generată. ASTM E2500-25 susține o abordare bazată pe riscuri pentru a identifica funcțiile care sunt suficient de critice încât să necesite acest nivel de definire și Anexa 15 la EudraLex subliniază necesitatea de a testa și de a documenta reacțiile la stări anormale în cadrul procesului de calificare. Niciunul dintre standarde nu prescrie acțiuni specifice de interblocare pentru anumite tipuri de echipamente — această determinare revine analizei de risc a proiectului.

Un sistem de interblocare fără o secvență de recuperare specificată lasă decizia privind izolarea în seama persoanei care se află în încăpere în acel moment.

Punctul sensibil pentru multe echipe de proprietari este faptul că specificațiile detaliate privind sistemele de interblocare le impun să finalizeze identificarea riscurilor înainte de a emite cererea de ofertă (RFQ), ceea ce generează muncă suplimentară în etapele anterioare. Alternativa — primirea echipamentelor cu logica de interblocare prestabilită de furnizor și apoi adaptarea criteriilor de acceptare în funcție de ceea ce a fost livrat — reprezintă o soluție care se dovedește întotdeauna mai costisitoare.

GxP versus controalele esențiale pentru unitate

Nu toate funcțiile de control implică aceeași obligație de documentare, iar tratarea fiecărei ieșiri a unui PLC ca necesitând același nivel de documentare este la fel de problematică ca și tratarea lor ca având toate aceeași prioritate scăzută. Provocarea practică în cererile de ofertă pentru echipamente de izolare constă în faptul că controalele GxP, controalele critice pentru biosiguranță și controalele critice pentru instalație împărtășesc adesea același controler fizic — însă domeniul de aplicare al furnizorului, nivelul de detaliere al documentației și rigurozitatea acceptării necesare pentru fiecare categorie diferă semnificativ.

Acest cadru reprezintă un instrument de planificare destinat stabilirii cerințelor privind documentația în cererea de ofertă (RFQ), nu un set de clasificări normative cu definiții fixe. Valoarea sa constă în faptul că obligă echipa proprietarului să ia decizii privind gradul de importanță înainte de stabilirea domeniului de aplicare al documentației furnizorului.

Controalele GxP — cele care afectează calitatea produsului sau integritatea datelor — necesită capacitatea de a genera o pistă de audit, dovezi validate privind alarmele și Documentația privind bunele practici de fabricație (GMP) structurat pentru a sprijini procesul de calificare. De exemplu, înregistrarea temperaturii într-un incubator situat în interiorul unei camere de izolare implică obligații privind pista de audit conform Anexei 11, pe care un senzor de poziție a ușii, care transmite date doar către un punct al sistemului de gestionare a climei (BMS), nu le are. Controale esențiale pentru biosiguranță, care reglementează integritatea sistemului de izolare și protecția operatorului, impun testarea funcțională a sistemelor de interblocare și verificarea integrității sistemului de siguranță ca condiție pentru punerea în funcțiune — însă este posibil să nu necesite întreaga infrastructură de urmărire a auditului necesară pentru controalele GxP, în funcție de modelul de validare al unității. Controalele critice pentru unitate necesită testări funcționale și dovezi documentate ale funcționării corecte, dar nivelul de detaliere al documentației poate fi proporțional cu riscul operațional.

Consecința neefectuării acestor distincții în cererea de ofertă (RFQ) este că furnizorii definesc de obicei domeniul de aplicare al documentației privind controalele în mod uniform — de regulă la nivelul „critic pentru unitate” — deoarece acesta reprezintă cel mai mic numitor comun. Acest lucru înseamnă că controalele critice din perspectiva GxP și a biosecurității sunt documentate insuficient în raport cu cerințele procesului de calificare, iar echipa proprietarului trebuie să genereze dovezile lipsă după livrare, în loc să le primească ca parte a livrabilelor furnizorului.

Metoda de acceptare pentru fiecare funcție de control critică

Fiecare funcție de control critică specificată în cererea de ofertă (RFQ) trebuie să aibă o metodă de acceptare definită și un document de livrare identificat. Nu este vorba de o rigurozitate procedurală — ci de singura modalitate de a preveni ca o specificație de control să se desprindă de activitățile de calificare care vor duce la finalizarea acesteia.

Testul practic este simplu: dacă cererea de ofertă (RFQ) specifică o funcție de control, dar nu definește modul în care aceasta va fi acceptată și ce dovezi vor fi furnizate, echipa proprietarului se va confrunta cu acest exercițiu de definire în cadrul testelor FAT sau SAT, sub presiunea termenelor. Finalizarea acestui exercițiu încă din etapa de achiziție, când furnizorul poate confirma fezabilitatea și poate integra dovezile în domeniul de livrare, previne acumularea observațiilor la etapa de calificare.

Unele dintre aceste metode de acceptare au implicații specifice care merită menționate. Testarea activării alarmelor necesită condiții induse — nu o revizuire a codului PLC — deoarece comportamentul testat în condiții reale este ceea ce verifică calificarea. Dovezile sub formă de marcaje temporale din raportul de testare livrat creează legătura de trasabilitate cu cerințele privind pista de audit prevăzute în Anexa 11. Testele de declanșare a interblocărilor ar trebui să verifice fiecare condiție în mod independent, nu ca parte a unei secvențe combinate, astfel încât fiecare răspuns al interblocării să fie verificat individual. Testarea aplicării nivelurilor de acces trebuie să încerce efectuarea de acțiuni restricționate la niveluri de acces incorecte și să înregistreze răspunsul, nu doar să confirme că conturile de utilizator sunt configurate.

Testul comportamentului de rezervă este adesea omis din FAT și amânat pentru a fi efectuat la fața locului, în parte deoarece simularea unei întreruperi a alimentării cu energie electrică sau a comunicării la instalația furnizorului necesită coordonare. Atunci când este amânat fără un protocol SAT bine definit, adesea nu este efectuat deloc ca test formal — este observat în mod informal în timpul punerii în funcțiune și nu este niciodată documentat. Acest lucru creează o discrepanță între ceea ce s-a observat și ceea ce poate fi prezentat ca dovadă în timpul inspecției.

Un test de control la care se asistă fără un criteriu de acceptare definit generează o observație, nu un raport de calificare.

Momentul în care această corelare este cea mai utilă este înainte de elaborarea protocolului FAT, când furnizorul mai are încă posibilitatea de a construi infrastructura de testare și de a genera dovezile necesare. Solicitarea acesteia încă din etapa cererii de ofertă (RFQ) este ceea ce asigură menținerea acestei posibilități.

Modul de eșec recurent în procesul de achiziție a echipamentelor de izolare nu constă într-o lipsă a capacității sistemelor de control, ci într-o lipsă de precizie a specificațiilor în momentul în care deciziile critice pot fi încă luate cu costuri reduse. În momentul în care o evaluare SAT relevă că nu există documente de raționalizare a alarmelor, că lista de semnale a sistemului de gestionare a clădirii (BMS) nu corespunde configurației I/O livrate sau că nu s-a efectuat nicio verificare formală a interblocărilor în cadrul testului de acceptare la fabrică (FAT), costul remediere este suportat de echipa proprietarului, și nu de furnizor.

Înainte de a lansa o cerere de ofertă privind sistemele de control pentru echipamentele cu grad ridicat de izolare, echipa proprietarului trebuie să confirme: care sunt funcțiile GxP, cele critice pentru biosiguranță și cele critice pentru instalație; care este comportamentul așteptat pentru fiecare stare anormală, inclusiv întreruperea alimentării cu energie electrică și defecțiunile de comunicații; care sunt semnalele BMS care trebuie documentate înainte de începerea integrării; și ce document justificativ va marca finalizarea fiecărei funcții critice de control la momentul acceptării. Aceste patru stabiliri, efectuate în etapa de achiziție, definesc diferența dintre un pachet de sisteme de control care susține procesul de calificare și unul care necesită reconfigurare în timpul acestuia.

Întrebări frecvente

Î: Ce se întâmplă dacă echipa noastră nu dispune de cunoștințe suficiente în domeniul ingineriei sistemelor de control pentru a elabora secvențe și evaluări ale gradului de criticitate înainte de lansarea cererii de ofertă?
R: Apelați la un consultant extern specializat în controale sau angajați un expert dedicat în domeniul automatizării pentru faza de achiziție. Cadrul prezentat în articol se bazează pe faptul că proprietarul ia din timp decizii privind gradul de criticitate, dar, în cazul în care această expertiză lipsește, alternativa este de a integra aceste definiții într-un studiu de proiectare prealabil atribuirii contractului, realizat contra cost împreună cu un furnizor selectat în etapa de preselecție — astfel încât caietul de sarcini să fie elaborat în comun înainte de angajamentul final, fără a fi lăsat în întregime la latitudinea interpretării implicite a furnizorului.

Î: Odată ce furnizorul livrează pachetul de documentație privind elementele de control, care este primul lucru pe care ar trebui să-l facă echipa noastră de validare?
R: Efectuați o analiză a trasabilității care să coreleze fiecare livrabil (FDS, registrul de alarme, lista I/O, matricea de acces) cu funcțiile critice de control din URS și cu metodele de acceptare pe care le-ați specificat. Scopul este de a confirma, înainte de testul FAT, că documentația acoperă fiecare funcție critică cu un raport de acceptare corespunzător — remedierea lacunelor identificate în această etapă este mult mai puțin costisitoare decât în etapa SAT, când echipamentul se află deja la fața locului.

Î: La ce dimensiune a proiectului sau la ce nivel de risc acest grad de detaliere al cererii de ofertă devine obligatoriu, și nu doar un element opțional?
R: Pragul se referă la orice echipament de izolare care interacționează cu un proces GxP, o barieră critică din punct de vedere al biosecurității sau o integrare cu sistemul BMS al instalației, care va necesita dovezi de calificare pentru punerea în funcțiune. Pentru un congelator de depozitare BSL-2 autonom, fără impact asupra GxP și fără conectare la sistemul BMS, o specificație mai simplă poate fi suficientă. Însă dacă dispozitivele de interblocare ale echipamentului protejează o cascadă de presiune sau dacă datele sale alimentează înregistrările de audit conform Anexei 11, detaliile din cererea de ofertă sunt esențiale — nu opționale.

Î: Cum se compară această abordare bazată în mare măsură pe cereri de ofertă (RFQ) cu un contract „la cheie”, în care furnizorul proiectează, construiește și certifică întregul sistem?
R: Într-un proiect „la cheie” autentic, cu garanții de performanță și calificare condusă de furnizor, proprietarul trebuie totuși să definească funcțiile critice de control și criteriile de acceptare — în caz contrar, furnizorul își va stabili propria interpretare ca punct de referință, iar dumneavoastră veți accepta ceea ce vă livrează. Abordarea prezentată în articol este compatibilă cu livrarea „la cheie”, dar mută definirea dovezilor în documentele de achiziție, astfel încât planurile de proiectare și de testare ale furnizorului să fie elaborate în conformitate cu cadrul dumneavoastră de risc, nu cu opțiunea implicită a acestuia, bazată pe costul cel mai mic.

Î: Este într-adevăr justificat efortul suplimentar inițial de a specifica măsurile de control la acest nivel pentru un singur echipament, cum ar fi o cameră de transfer VHP?
R: Da, dacă ciclul de decontaminare al echipamentului respectiv, logica de etanșare a ușii sau înregistrările alarmelor ar putea întârzia eliberarea unui lot sau aprobarea de biosiguranță. Chiar și pentru o singură unitate, costul refacerii documentației după testarea la fața locului (SAT) depășește de obicei costul specificării cerințelor privind dovezile în cererea de ofertă (RFQ). Raționamentul articolului se aplică la scară redusă: tot dumneavoastră decideți care funcții sunt critice din punct de vedere GxP sau al siguranței — iar pentru o cutie de transfer cu vapori de apă ultra-caldă (VHP), acestea ar putea fi doar trei interblocări și două alarme, ceea ce necesită o specificație mult mai simplă, dar totuși bine definită.