Контрольный список SAT для интегрированных систем уровня BSL-3/4: инженерные сети, системы управления, сигнализация, фильтры HEPA, VHP и EDS

Интегрированные системы уровня BSL-3/4 не проходят испытания SAT не из-за неисправности отдельных компонентов, а потому, что соединения между ними — инженерные коммуникации, системы управления, вытяжная система с фильтрами HEPA, система подачи VHP и интерфейсы EDS — никогда не тестировались в условиях, отражающих реальный режим эксплуатации здания. Результатом часто становится нестабильное давление во время первого испытания открытия дверей, цикл VHP, который не может быть завершен из-за того, что логика работы вытяжного клапана никогда не проверялась, или записи о срабатывании сигнализации, которые невозможно соотнести с откалиброванными датчиками. Эти неисправности можно устранить до начала квалификации; после выдачи протоколов IQ/OQ их устранение становится дорогостоящим. Практическое решение, которое подкрепляет данный контрольный список, заключается в том, чтобы определить, какие интегрированные функции должны иметь протоколы успешного прохождения испытаний до начала квалификации, а какие нерешенные вопросы могут быть перенесены на более поздний этап только при наличии задокументированного решения, основанного на оценке рисков.

Установленные утилиты в рамках проверок готовности к SAT

Наиболее распространённой причиной последующего оспаривания результатов испытаний SAT является то, что испытания начались до того, как установленные инженерные системы стали достаточно стабильными для обеспечения воспроизводимых результатов. Когда давление в подающей системе нестабильно, расход отработанного воздуха не сбалансирован или всё ещё имеются временные соединения, неудачное испытание нельзя отнести на счёт оцениваемой системы — оно может просто отражать незавершённость строительства здания. Эту неоднозначность сложно устранить на последующих этапах, особенно когда эти же протоколы должны служить основой для документации по интеллектуальному управлению (IQ).

Перед началом SAT необходимо подтвердить, а не просто предполагать, фактическое состояние инженерных систем на интерфейсе оборудования. Это означает проверку того, что объемы и давление приточного воздуха находятся в пределах диапазона, на который настроены системы управления; что вытяжные соединения являются постоянными и сбалансированными; что электрические питающие линии соответствуют требованиям нагрузки, на которые оборудование было протестировано на заводе; и что в точках, где будет производиться регистрация данных, установлены откалиброванные измерительные приборы. Также должны быть обеспечены резервное электропитание и резервирование вытяжной системы, а не просто запланированы — тестирование поведения системы во время имитации сбоя в подаче энергии оправдано только в том случае, если резервные системы действительно подключены.

Проверка целостности оболочки является частью этой проверки готовности. SAT — это первая возможность осмотреть стыки, проходы, уплотнения дверей, сквозные отверстия и остекление в условиях реальной установки. Выявление негерметичного прохода или дверной прокладки, которая во время монтажа была сжата с отклонением от технических требований, на этом этапе легко устраняется. Обнаружение той же проблемы во время каскадных испытаний под давлением или, что ещё хуже, во время квалификационных испытаний, превращает незначительный строительный дефект в официальное отклонение, требующее документирования первопричины и корректировки графика работ. Проверка готовности SAT — это не формальное предварительное условие; это практический контрольный этап, определяющий, будут ли результаты последующих испытаний признаны достоверными.

Перед проведением IQ/OQ была выполнена проверка средств управления и сигнализации

Системы регулирования давления, которые работают удовлетворительно в статических условиях, могут вести себя совершенно иначе во время возмущений, характерных для нормальной эксплуатации лабораторий уровня BSL-3/4. Открытие двери в прихожей, фильтр, в котором скопились загрязнения между циклами технического обслуживания, или временный дисбаланс вытяжной вентиляции во время перебоев с подачей воздуха — все это может выявить слабые места в логике регулирования давления, которые никогда не будут обнаружены при проверке с использованием одного заданного значения. Если эти слабые места не выявляются во время SAT, они, как правило, проявляются во время квалификационных испытаний, где неудачное испытание на восстановление давления является официальным событием, имеющим последствия для графика работ и документации.

Проверка средств управления и сигнализации должна выходить за рамки простого подтверждения правильности настройки заданных значений. Логика динамического реагирования — включая последовательность пороговых значений сигналов тревоги, переключение на резервные системы и способность системы восстанавливать локализацию утечки после сбоя — должна быть продемонстрирована в условиях возмущения, а не только в установившемся режиме. Здесь также следует уделить внимание интеграции с системой управления зданием (BMS): если сигналы тревоги не сопоставлены правильно с уровнем управления зданием или если иерархия приоритетов не соответствует предусмотренному протоколу реагирования объекта, эти пробелы не будут заметны до тех пор, пока не произойдет реальное событие, вызывающее сигнал тревоги. Стандарт ASTM E2500-25, который обеспечивает научно обоснованную и ориентированную на риски основу для спецификации и верификации систем фармацевтического производства, поддерживает принцип, согласно которому интеграция между системами управления должна проверяться на соответствие определённым функциональным требованиям, а не выводиться исключительно на основе технических характеристик оборудования.

На практике это означает, что проверка элементов управления и сигналов тревоги в ходе SAT является последним этапом, на котором логика поставщика может быть подвергнута критическому анализу и изменена без создания официальной записи об управлении изменениями в отношении квалифицированной системы. После IQ/OQ любое изменение пороговых значений сигналов тревоги, блокировок или сопоставления с системой управления зданием (BMS) считается валидированным изменением системы. Команды, которые откладывают проверку средств управления до этапа квалификации, часто обнаруживают, что затраты на одну-единственную доработку логики — в плане документации, повторного тестирования и графика работ — превышают затраты, которые потребовались бы для устранения той же проблемы на этапе SAT.

Записи интерфейсов HEPA, VHP и EDS

HEPA, VHP и EDS часто рассматриваются как отдельные направления работ по вводу в эксплуатацию, однако их взаимодействие с одной и той же оболочкой здания создает взаимозависимости, которые необходимо проверять в комплексе в ходе SAT. Например, корпус фильтра HEPA, установленный без обеспечения доступа для проверки целостности фильтра, может потребовать частичного демонтажа перед проведением первого сканирующего теста — что превращает рутинный этап ввода в эксплуатацию в механическое изменение, задерживающее весь процесс квалификации. Это Упаковка в пакет Упаковка из пакета Конструкция корпуса фильтра учитывает эту проблему, однако взаимодействие между корпусом, вытяжным каналом и системой регулирования давления в помещении по-прежнему требует проверки с учетом конкретных условий объекта в ходе приемочных испытаний (SAT).

Для обеспечения совместимости с VHP недостаточно просто подтвердить, что генератор обеспечил заданную концентрацию перекиси водорода во время приемочных испытаний (FAT). На объекте в ходе проверки необходимо убедиться, что материалы поверхностей, прокладки, уплотнения дверей, корпуса датчиков и любые проходные фитинги, установленные в ходе монтажа, выдерживают многократное воздействие VHP. Деградация материалов под воздействием химических свойств VHP носит кумулятивный характер и, как правило, остается незаметной до тех пор, пока не произойдет отказ уплотнения или поверхность не станет трудно очищаемой. A Генератор перекиси водорода VHP может обеспечивать стабильные циклы, однако если в конструкции помещения присутствуют компоненты, которые были заменены в ходе строительства без проверки на совместимость, результаты распределения VHP со временем станут нестабильными. Стандарт ISO 14644-3:2019, регулирующий методы испытаний чистых помещений, включая проверку герметичности установленных фильтров, предоставляет эталонную основу для методологии проверки целостности фильтров HEPA; совместимость с VHP и цифровая прослеживаемость EDS представляют собой отдельные области проверки, выходящие за пределы его сферы применения.

Записи интерфейса EDS выполняют специфическую функцию аудита, которая зачастую недооценивается в ходе SAT. Журналы событий, данные о непрерывности интегрированного мониторинга и данные о тенденциях, полученные из EDS, скорее всего, будут проверяться в ходе инспекций регулирующих органов в качестве доказательства того, что система обеззараживания жидких отходов функционировала в течение всего периода квалификации. Если эти записи не структурированы таким образом, чтобы обеспечить цифровую прослеживаемость с момента начала SAT, восполнить этот пробел задним числом будет сложно.

Отсутствие записей по интерфейсам влечет за собой не столько задержку в процессе квалификации, сколько проблему обоснованности. Инспектор, запрашивающий основания для ввода в эксплуатацию результатов проверки герметичности фильтра HEPA, карту распределения VHP или журнал событий EDS, относящиеся к начальному этапу периода квалификации, требует предоставить доказательства, которые должны были быть зафиксированы в ходе SAT. Если эти записи не были структурированы таким образом, чтобы подтвердить ответ на этот вопрос, возникший пробел потребует официального объяснения.

Совместный перечень недоделок, согласованный между поставщиком и техническим персоналом объекта

Когда команды поставщика и объекта работают по разным перечням недоделок, задачи, закреплённые за одной из сторон, зачастую остаются неизвестными для другой до тех пор, пока их не выявит конфликт в графике работ. В результате важнейшие этапы, критичные для валидации — завершение испытаний под давлением, передача средств управления, утверждение квалификации инженерных сетей — рассматриваются как завершение внутренних рабочих процессов, а не как совместные контрольные точки. К моменту, когда обе команды пытаются согласовать свои записи перед началом IQ, устранение несоответствий в критериях приемки, ответственности сторон и статусе пунктов может занять больше времени, чем выполнение самих пунктов.

Этап закупок — подходящий момент для формирования структуры совместной ответственности. Требование к участникам тендера определять позиции с длительным сроком поставки, зависимости от объекта и этапы, критичные для валидации, в ходе рассмотрения предложений — до заключения контракта — позволяет сделать допущения относительно графика явными, а не подразумеваемыми. Матрица ответственности, в которой обязанности по проектированию, изготовлению, монтажу, системам управления и вводу в эксплуатацию распределены между конкретными сторонами, дает обеим командам ориентир, который они могут использовать для разрешения споров без пересмотра объема работ. Для сложных интегрированных систем эта структура — не административная формальность, а механизм, определяющий, можно ли провести приемочные испытания (SAT) в качестве совместной деятельности с использованием документации, которую обе стороны смогут обосновать. Более подробную информацию о том, как обычно структурируются эти этапы передачи при вводе в эксплуатацию, можно найти в Пошаговое руководство по вводу в эксплуатацию лаборатории уровня BSL-3.

В документации по вводу в эксплуатацию перед SAT должны быть определены критерии приемки, которые обе команды смогут использовать для оценки одного и того же результата. Общие формулировки — “система работает в соответствии с техническим заданием” или “системы управления исправны” — не могут служить основанием для принятия решения о статусе, когда результат находится на грани допустимого. Единственными пунктами перечня недоделок, которые могут быть перенесены в категорию контролируемых открытых позиций, являются те, по которым обе команды согласовали критерий, зафиксировали фактический результат и задокументировали обоснование риска для отсрочки. Пункты, по которым критерий так и не был определен, не могут быть закрыты, отложены или классифицированы; по ним можно только спорить.

Урегулирование нерешенных вопросов до начала квалификации

Именно на этапе принятия решения о классификации — определения того, какие нерешенные пункты SAT действительно являются препятствием, а какие могут быть перенесены в качестве контролируемых открытых пунктов — процесс комплексной системной аттестации чаще всего неоправданно затягивается или продолжается с скрытым риском. Команды, которые применяют общее приостановление до полного разрешения всех вопросов, теряют время на пунктах, которые никак не могут повлиять на результаты аттестации. Команды, которые переносят пункты на следующий этап без документированного решения, создают отчет об аттестации, который не выдержит проверки документации, в ходе которой будет задан вопрос о том, как оценивался каждый открытый пункт до начала IQ.

Основой для принятия решений об устранении несоответствий является пакет проектной документации. Если документы, лежащие в основе проекта, чётко определяют цель эксплуатации, принципы управления и допущения относительно конфигурации, а пакет документации «по факту выполнения работ» отражает утверждённые изменения с прослеживаемыми перечнями компонентов, то каждое нерешённое несоответствие можно оценить с учетом известного базового состояния. Вопрос считается блокирующим, если его решение влияет на поведение системы, которое будет тестироваться во время IQ или OQ. Он может быть перенесен в категорию контролируемых нерешенных вопросов, если его можно ограничить, назначить ответственное лицо, составить график и подтвердить, что он не повлияет на объем испытаний на следующем этапе квалификации. Для такого суждения необходимо наличие документации; в её отсутствие оно не может быть сделано достоверно. Приложение 15 к тому 4 EudraLex, в котором рассматриваются принципы квалификации и валидации, включая проектную документацию и отслеживаемость изменений, поддерживает более общий принцип, согласно которому проектный замысел и документация по фактическому состоянию должны быть достаточно полными для обеспечения последующих мероприятий по квалификации — хотя конкретный рабочий процесс урегулирования нерешенных вопросов для лабораторий BSL-3/4 является скорее инженерным решением, чем строго определённой процедурой.

Соблюдение поставщиком требований к ведению документации является надежным ранним индикатором того, насколько успешно будет проходить данный этап. Поставщик, который с опозданием предоставил проектную документацию, неофициально регистрировал отклонения при приемочных испытаниях на заводе (FAT) или рассматривал управление изменениями как внутреннюю административную функцию в ходе изготовления, скорее всего, продемонстрирует те же тенденции в документации по приемочным испытаниям на объекте (SAT). Эта тенденция имеет значение, поскольку неполные или неоднозначные записи по SAT являются не просто неудобством на этапе утилизации — они становятся официальным основанием, на котором принимаются решения о квалификации, а пробелы в них невозможно устранить задним числом без создания новых записей, которые будут тщательно изучаться аудиторами.

Пороговое значение SAT для приемки интегрированной системы

Отсутствие единых национальных стандартов в области проектирования, ввода в эксплуатацию и эксплуатации лабораторий с высоким уровнем биологической защиты — этот пробел был отмечен в обзоре Главного контрольного управления США (GAO) 2013 года — является практической причиной того, почему критерии приемки в протоколе SAT должны четко определяться проектной группой, а не заимствоваться из общих шаблонов соответствия. Когда и поставщик, и объект руководствуются внутренне согласованными, но взаимно отличающимися интерпретациями понятия “приемлемая работоспособность”, протокол SAT отражает соглашение, которое на самом деле так и не было достигнуто. Эта проблема с документацией превращается в проблему квалификации, когда инспектор спрашивает, по какому критерию была принята система, и обе команды дают разные ответы.

Подтверждение работы каскада давления — это наиболее наглядный пример того, когда конкретные цифры имеют большее значение, чем общие формулировки. Установление требования о том, что в помещении должен поддерживаться номинальный перепад давления с заданным диапазоном допуска и что после нарушения герметичности двери давление должно восстанавливаться в пределах этого диапазона в течение определенного времени, позволяет сформулировать проверяемый критерий. А утверждение о том, что система должна “поддерживать отрицательное давление”, такого критерия не дает. Та же логика применима к поведению системы в режиме отказа: протокол приемки должен показывать, что при имитации неисправности приточного вентилятора последовательность срабатывания сигнализации была выполнена в правильном порядке, резервный контур активировался в течение заданного интервала, а давление в помещении оставалось в пределах допустимого диапазона на протяжении всего переходного периода. Если такое испытание не проводилось, поведение системы в режиме отказа остается неизвестным — и последующий протокол квалификации строится на предположении, а не на фактических данных.

Контрольный список по вводу в эксплуатацию BIBO, охватывающий Часто упускаемые из виду показатели FAT, SAT, IQ и OQ выявляет ряд пробелов в критериях приемлемости, которые повторяются именно на этапе перехода от SAT к IQ, что соответствует более общей закономерности: общие формулировки критериев приемлемости, как правило, проходят внутреннюю экспертизу, но не выдерживают внешней проверки, поскольку внутренние эксперты знают, что имелось в виду, в то время как внешние проверяющие могут оценивать только то, что было написано.

Решения, определяющие, сможет ли интегрированная система уровня биологической безопасности BSL-3/4 беспрепятственно пройти этап квалификации, принимаются не во время IQ или OQ, а в ходе SAT, и в большинстве случаев они зависят от того, насколько четко были определены критерии приемки до начала испытаний. Контрольный список, охватывающий готовность инженерных систем, динамическую реакцию на изменение давления, записи о работе фильтров HEPA и VHP, прослеживаемость данных EDS и интеграцию систем сигнализации, служит общим ориентиром как для поставщика, так и для персонала объекта. Однако контрольный список может служить основой для принятия решений только в том случае, если каждый пункт в нём сопровождается измеримым критерием и указанием конкретного ответственного лица.

Прежде чем приступить к квалификации, необходимо провести простое практическое подтверждение: каждый критически важный элемент SAT либо имеет запись о прохождении проверки в соответствии с установленным критерием, либо сопровождается письменным решением, основанным на оценке рисков, которое было одобрено обеими командами. Элементы, для которых критерий никогда не был зафиксирован в письменной форме, не могут быть рассмотрены; их можно лишь отложить на период квалификации, где их устранение потребует больших затрат на документацию, повторное тестирование и срыв графика, чем их устранение в данный момент.

Часто задаваемые вопросы

Вопрос: Можно ли приступить к проведению SAT, если на объекте стабильно работают только некоторые инженерные сети, а другие ещё находятся на стадии доработки?
A: Нет — частичная готовность инженерных сетей приводит к получению результатов испытаний, которые невозможно достоверно отнести к оцениваемой системе. Если баланс приточного и вытяжного воздуха или электропитание не находятся в постоянной, стабильной конфигурации на момент начала испытаний, отрицательный результат может отражать незавершенность строительства здания, а не недостатки системы. Эту неоднозначность сложно устранить после того, как отчет уже составлен, особенно если предполагается, что эта же документация будет служить основой для оценки IQ. Все подключения к инженерным сетям должны быть проверены в точке подключения оборудования до начала проведения приемочных испытаний (SAT).

Вопрос: После завершения SAT, какой следующий шаг необходимо предпринять, чтобы приступить к оформлению документов для IQ?
A: Непосредственным следующим шагом является официальное урегулирование открытых вопросов — каждый элемент SAT должен иметь либо отметку о соответствии установленному критерию, либо письменное решение, основанное на оценке рисков и одобренное как командой поставщика, так и командой объекта. Документация по приемочным испытаниям (IQ) не может быть составлена до завершения этой проверки, поскольку проектная документация и пакет исполнительной документации, используемые для оценки открытых вопросов, являются той же самой документацией, на которую IQ будет опираться при установлении базовых требований к квалификации. Попытка начать IQ, пока классификация блокирующих и переносимых пунктов остаётся нерешённой, вносит неоднозначность в протокол квалификации, которую впоследствии трудно исправить.

Вопрос: В каких случаях рекомендации, приведенные в данном контрольном списке, перестают применяться — например, в случае объекта уровня BSL-3, который имеет модульную или сборную конструкцию, а не возводится на месте?
A: Логика контрольного списка по-прежнему действует, но граничные условия меняются. В случае модульной или сборной системы уровня биологической безопасности 3 (BSL-3) значительная часть интеграционных испытаний, возможно, уже была проведена на заводе, что позволяет сократить объем определенных рабочих потоков в рамках SAT. Однако интерфейсы, которые устанавливаются только на объекте — подключение к инженерным сетям, балансировка вытяжной вентиляции с инфраструктурой здания, сопоставление сигналов тревоги системы управления зданием (BMS) и интеграция системы электронного документирования (EDS) — не могут быть проверены в ходе приемочных испытаний на заводе (FAT) и остаются в сфере охвата SAT независимо от того, насколько система была предварительно интегрирована. Порог SAT не снижается; он переориентируется на те интерфейсы, которые действительно являются новыми при установке.

Вопрос: Требуется ли привлечение стороннего агента по вводу в эксплуатацию для проведения SAT на интегрированной системе уровня BSL-3/4, или команды поставщика и объекта могут провести самосертификацию?
A: Самосертификация возможна, но сопряжена с определенным риском: когда та же команда, которая настраивала систему, также принимает собственные протоколы SAT, совместный перечень недоделок и решения по их устранению могут не пройти независимую проверку. На практике это приводит к тому, что критерии приемки смещаются в сторону того, что система может продемонстрировать, а не того, что требовалось в проектной основе. Обоснованность привлечения стороннего агента по вводу в эксплуатацию зависит от регуляторных требований, предъявляемых к объекту, а также от сложности системы управления зданием (BMS) и интерфейсов блокировок — однако, как минимум, критерии приемки и решения о дальнейших действиях должны проверяться лицом, не заинтересованным в быстром закрытии пунктов списка.

Вопрос: Как командам следует соотносить затраты на решение всех заданий SAT до этапа IQ с необходимостью уложиться в график, чтобы начать квалификацию раньше?
A: Это сравнение не является симметричным. Устранение пробела в логике управления или ошибки сопоставления сигналов тревоги на этапе SAT требует затрат инженерного времени и составления пересмотренного протокола испытаний. Устранение той же проблемы после этапа IQ приводит к возникновению официального события по контролю изменений, требует повторного тестирования в соответствии с квалифицированной базовой версией и формирует протокол отклонений, который будет доступен для просмотра во время инспекции регулирующих органов. В отношении элементов, влияющих на любое поведение, тестируемое в ходе IQ или OQ — реакция каскада давления, последовательность срабатывания сигнализации при режимах отказа, логика завершения цикла VHP — раннее устранение неизменно является менее затратным вариантом. Аргумент в пользу переноса этих элементов на более поздний срок обоснован только в том случае, если в задокументированном решении, основанном на оценке рисков, можно достоверно доказать, что неустраненный элемент не может повлиять на объем квалификационных испытаний.