Требования к системам управления и блокировки в запросах предложений на оборудование с высоким уровнем герметичности: ПЛК, ЧМИ, БУС и подтверждение срабатывания сигнализации

Недостатки в системе управления оборудованием высокой степени изоляции обычно не выявляются на этапе закупки — они всплывают на этапе приемочных испытаний (SAT), когда в ходе функционального тестирования в присутствии свидетелей выясняется, что логика ПЛК для условия блокировки так и не была официально прописана, схема приоритетов сигналов тревоги существует лишь в заметках программиста, а список сигналов системы управления зданием (BMS) не соответствует техническим чертежам, на которых работает команда по валидации. Результатом этого становятся сжатые графики, доработка документации, которую должен был предоставить поставщик, а также мероприятия по квалификации, которые невозможно завершить без доказательств, не требовавшихся на этапе запроса предложений (RFQ). Решение, позволяющее предотвратить подобную ситуацию, заключается не в более тщательной проверке на этапе ввода в эксплуатацию, а в составлении структурированной спецификации средств управления на этапе запроса предложений (RFQ), в которой каждая функция классифицируется по степени критичности и определяется метод приемки до того, как поставщик приступит к проектированию. Заказчики, принимающие такое решение на раннем этапе, обязывают поставщиков предоставлять определённый набор доказательств; те же, кто этого не делает, сталкиваются с пробелами в документации, сохраняющимися на этапах IQ, OQ и далее.

Последовательности управления, которые необходимо указать

Указание средств управления как “ПЛК/HMI с выходами сигнализации” является обычной практикой в запросах предложений на оборудование для локализации аварий и почти всегда оказывается недостаточным. Основная проблема заключается в том, что без четкого описания логики последовательности действий в объеме работ поставщика программа ПЛК де-факто становится технической спецификацией — и если эта программа не будет проверена до приемочных испытаний на заводе, у заказчика не будет эталона, по которому можно было бы проводить испытания.

Каждый из перечисленных ниже элементов сопряжен с определённым риском сбоя, если его толкование оставить на усмотрение поставщика. Обычные рабочие последовательности должны быть описаны пошагово, чтобы оборудование выполняло операции в предсказуемом порядке, понятном как операторам, так и инженерам по валидации ещё до проведения SAT. Для состояний аварийных сигналов необходимо определить условия срабатывания, текст сообщений и уровни приоритета, чтобы сигналы были пригодными для принятия мер и соответствовали программе подготовки операторов. Условия блокировки требуют чёткой логики — установления связи между состояниями процесса и соответствующими мерами безопасности — поскольку пробелы в проектировании блокировок создают риски для локализации аварий или целостности технологического процесса, которые трудно обнаружить во время плановых испытаний. Триггеры сигналов системы управления зданием (BMS) должны определять конкретные точки и временные параметры, чтобы интеграция объекта могла проходить параллельно с квалификацией оборудования, а не после неё.

Настройка уровней доступа и порядок действий при резервном копировании зачастую рассматриваются как детали реализации, а не как заранее заданные функции, и именно в этом заключается проблема неоднозначности на протяжении всего жизненного цикла. Если в запросе предложений не определены действия по резервному копированию в случае потери питания или сбоя связи, настройки по умолчанию поставщика могут не соответствовать стратегии локализации угроз — что особенно актуально для Условия уровня BSL-3 когда нарушение герметичности во время восстановления работы после сбоя питания влечет за собой серьезные последствия. Указание этих элементов в запросе предложений (RFQ) не означает излишнего усложнения закупочной документации; речь идет о создании основы для экспертной оценки, которая будет готова еще до начала изготовления оборудования.

Неопределённое поведение при сбое становится проектным решением по ограничению, принимаемым по умолчанию, а не на основе инженерных расчётов.

Указание на ПЛК и ЧМИ в перечне поставщиков

В запросе предложений должны быть указаны конкретные результаты работ в рамках сферы ответственности поставщика по системам управления, а не просто функционально работающая система. Это различие имеет важное значение, поскольку то, что поставщик считает стандартной документацией по ПЛК/HMI — схемы подключения, списки входов/выходов и резервная копия программного обеспечения — редко соответствует требованиям к подтверждающей документации для SAT, квалификации в соответствии с GMP или проверки блокировок, критически важных с точки зрения биобезопасности.

Как минимум, объем работ поставщика должен включать спецификацию функционального проектирования (FDS), в которой до начала программирования фиксируется задуманная логика для каждого режима работы, сигнала тревоги и блокировки. Этот документ служит контрольным пунктом проверки, позволяющим команде заказчика и, при необходимости, команде валидации подтвердить, что логика соответствует заданному замыслу до начала написания кода. Без него экспертиза проекта проводится на основе действующей программы, а не спецификации, что переносит бремя квалификации на последующие этапы и подрывает отслеживаемость целостности данных в соответствии с требованиями рамок компьютеризированных систем, таких как Приложение 11 к EudraLex.

В рамках HMI следует заранее, до проведения FAT, определить структуру экранов, иерархию навигации и конфигурацию уровней доступа. Обнаружение во время FAT того, что HMI отображает аварийные сигналы без разграничения по приоритетам или что уровни доступа не обеспечивают соблюдение ограничений на действия, зафиксированных в URS, приводит к необходимости доработок, которые задерживают как завершение FAT, так и последующие этапы квалификации. Требование к поставщику предоставить пакет документов по рассмотрению проекта HMI в качестве результата работы до проведения FAT, а не в качестве документа после поставки, превращает типичное замечание, выявленное в ходе FAT, в контролируемый этап рассмотрения.

Практические доказательства, которые необходимо включить в объем контроля, включают: FDS с историей изменений, список входов/выходов с метками сигналов, сопоставленными с P&ID-схемами, реестр сигналов тревоги с указанием причины и заданного значения для каждого сигнала, матрицу уровней доступа, отражающую разрешенные действия для каждой роли пользователя, а также запись о версии программного обеспечения, которая будет представлена на этапе приемочных испытаний на месте (FAT) и проверена на этапе приемочных испытаний на объекте (SAT). Каждый из этих документов должен быть указан в качестве договорного результата работы, поставляемого поставщиком, с определённым сроком представления — его не следует рассматривать как дополнительный справочный материал.

Список входов/выходов без соответствующего регистра сигналов тревоги относится к сфере управления, а не к пакету подтверждающих данных по системам управления.

Документация по сигналам и аварийным сигнализациям системы BMS

Интеграция систем управления оборудованием высокого уровня биологической защиты с системой управления зданием (BMS) неизменно остается одним из последних вопросов, которые необходимо решить в рамках проектов по созданию помещений высокого уровня биологической защиты, однако документация, необходимая для правильной интеграции, должна быть подготовлена задолго до отгрузки оборудования. Когда документация по сигналам BMS рассматривается как деятельность на этапе ввода в эксплуатацию, интеграция зачастую осуществляется на основе неформального обмена информацией между инженером по системам управления поставщика оборудования и подрядчиком по внедрению системы управления зданием (BMS), в результате чего создаются «точка-точка»-сопоставления, которые фиксируются в электронных письмах, а не в официальных документах.

Каждый из четырёх документов, которые должны быть указаны в запросе предложений, касается отдельного варианта отказа на этапах интеграции и квалификации.

Список сигнальных точек определяет совокупность дискретных и аналоговых обменных данных. Систематизация сигналов тревоги связывает каждый сигнал тревоги с определённой причиной, заданным значением и ожидаемой реакцией — если этот документ отсутствует, сигналы тревоги невозможно систематически квалифицировать в соответствии с требованиями Приложения 11 к целостности данных и аудиторскому следу. Отображение «точка-точка» представляет собой рабочий документ, который подрядчики по внедрению системы управления зданием (BMS) используют в процессе интеграции; без него сигналы часто пропускаются или назначаются на неверные адреса. Состояния сигналов с защитой от сбоев — это элемент, который чаще всего упускается: при потере связи между контроллером защитного ограждения и системой BMS система BMS должна получать определённое состояние — а не неоднозначный или отсутствующий входной сигнал — чтобы реакция на уровне объекта была адекватной и не основывалась на устаревших или неверных данных.

Требование о предоставлении этих документов в качестве материалов, поставляемых поставщиком, в запросе предложений означает, что они будут служить основой для проверки до начала интеграции. Если же рассматривать их как результаты ввода в эксплуатацию, это означает, что они будут создаваться в ответ на возникшую необходимость, в условиях жестких сроков и зачастую без официальной проверки.

Поведение системы блокировки в нештатных режимах

Тестирование блокировок — одна из областей, в которой чаще всего возникают замечания SAT, если исходная спецификация была недостаточно четкой. Причина носит структурный характер: блокировки, как правило, проверяются путем моделирования нештатных ситуаций, которые вызываются намеренно — потеря перепада давления, неисправность уплотнения двери, сбой вытяжного вентилятора, исчерпание запаса реагента в цикл дезактивации—и если ожидаемый результат никогда не был официально зафиксирован, у теста нет критерия приемки, с которым можно было бы сравнить полученные результаты.

В запросе предложений следует указать не только, какие именно блокировки имеются, но и какие действия должно выполнять оборудование в каждом из состояний срабатывания. В отношении блокировок, критически важных для обеспечения герметичности, — таких как те, которые регулируют состояние замка люка Что касается реакции на сбой каскада давления или вытяжного вентилятора в условиях BSL-3, необходимо указать: ожидаемое срабатывание блокировки, любую временную задержку, любые сигналы тревоги, которые должны сопровождать это срабатывание, а также последовательность восстановления после устранения нештатной ситуации. Речь идет о проектных решениях, основанных на оценке рисков и вытекающих из анализа биобезопасности и технологических рисков; если рассматривать их как вопросы, решаемые поставщиком, а не как поведение, заданное заказчиком, это приводит к пробелам в процессе верификации.

Что касается поведения системы блокировки именно при потере связи или питания, в технических условиях должно быть указано, в какое состояние переходит оборудование при потере связи или питания (безопасное при сбое или работоспособное при сбое), как интерфейс человека-машины (HMI) отображает это состояние, допускается ли автоматическое восстановление или требуется ручное вмешательство, а также какие записи формируются. ASTM E2500-25 поддерживает подход, основанный на оценке рисков, для определения того, какие функции являются достаточно важными, чтобы требовать такого уровня детализации, и Приложение 15 к EudraLex подчеркивает необходимость проверки и документирования реакции системы на нештатные состояния в рамках квалификационных испытаний. Ни один из стандартов не предписывает конкретные действия систем блокировки для определённых типов оборудования — это определяется в ходе анализа опасностей в рамках проекта.

Блокировка без заданной последовательности восстановления передаёт право принятия решения о сдерживании тому, кто в данный момент находится в помещении.

Проблема для многих команд владельцев заключается в том, что подробные технические требования к системам блокировки обязывают их провести идентификацию опасностей до отправки запроса на предложение (RFQ), что приводит к дополнительной работе на ранних этапах. Альтернативный вариант — получение оборудования с логикой блокировки, заданной поставщиком по умолчанию, а затем переработка критериев приемки с учетом того, что было поставлено — неизменно обходится дороже.

GxP и меры контроля, критически важные для объекта

Не все функции управления предполагают одинаковые требования к документации, и рассматривать каждый выход ПЛК как требующий одинакового объема документации столь же проблематично, как и считать их все одинаково низкоприоритетными. Практическая сложность при подготовке запросов на предложения (RFQ) для оборудования локализации заключается в том, что средства управления, связанные с GxP, средства, критически важные для биобезопасности, и средства, критически важные для объекта, часто используют один и тот же физический контроллер — однако объем работ поставщика, степень детализации документации и строгость приемочных испытаний, требуемые для каждой категории, значительно различаются.

Данная структура представляет собой инструмент планирования, предназначенный для определения требований к документации в запросе предложений, а не набор нормативных классификаций с фиксированными определениями. Её ценность заключается в том, что она заставляет команду заказчика принимать решения о степени важности ещё до определения объёма документации, предоставляемой поставщиком.

Меры контроля в соответствии с GxP — те, которые влияют на качество продукции или целостность данных — требуют наличия функции аудиторского следа, подтвержденных данных о срабатывании сигнализации и Документация по GMP создан для обеспечения квалификации. Например, запись данных о температуре в инкубаторе, расположенном внутри изоляционной камеры, подпадает под требования к аудиторскому следу, предусмотренные Приложением 11, в отличие от датчика положения двери, данные которого поступают только в систему управления зданием (BMS). Меры контроля, критически важные для биобезопасности, которые регулируют целостность защитной оболочки и защиту персонала, предписывают проведение проверок блокировок и подтверждение целостности систем безопасности в качестве условия разрешения на эксплуатацию — однако, в зависимости от модели валидации объекта, для них может не потребоваться полная инфраструктура аудиторского следа, необходимая для средств контроля в соответствии с требованиями GxP. Критически важные для объекта средства контроля требуют функционального тестирования и документального подтверждения их правильной работы, однако степень детализации документации может быть соразмерна уровню операционного риска.

Последствием отсутствия таких разграничений в запросе предложений (RFQ) является то, что поставщики, как правило, определяют объем документации по контрольным мероприятиям единообразно — обычно на уровне, критичном для объекта, — поскольку это является наименьшим общим знаменателем. Это означает, что контрольные мероприятия, критичные с точки зрения GxP и биобезопасности, оказываются недостаточно задокументированными по сравнению с требованиями квалификации, и команде заказчика приходится дорабатывать недостающие доказательства после сдачи объекта, а не получать их в качестве результатов работы поставщика.

Метод утверждения для каждой критической контрольной функции

Для каждой критически важной контрольной функции, указанной в запросе предложений, должны быть определены метод приемки и конкретный итоговый документ. Это не просто формальное соблюдение процедур — это единственный способ предотвратить отрыв спецификации средств контроля от квалификационных мероприятий, которые завершат её реализацию.

Практическая проверка проста: если в запросе предложений (RFQ) указана контрольная функция, но не определено, каким образом будет осуществляться её приемка и какие подтверждающие данные необходимо предоставить, команде заказчика придётся решать эту задачу на этапе приемочных испытаний на объекте (FAT) или на этапе приемочных испытаний на поставщике (SAT) в условиях жестких сроков. Решение этой задачи на этапе закупки, когда поставщик может подтвердить осуществимость и включить подтверждающие данные в объем поставки, позволяет избежать накопления замечаний на этапе квалификации.

Некоторые из этих методов приемочных испытаний имеют особые последствия, на которые стоит обратить внимание. Тестирование срабатывания сигнализации требует моделирования реальных условий — а не проверки кода ПЛК — поскольку в ходе квалификационных испытаний проверяется именно поведение системы в реальных условиях. Указание временных меток в предоставленном протоколе испытаний обеспечивает прослеживаемость в соответствии с требованиями к аудиторскому следу, изложенным в Приложении 11. Испытания срабатывания блокировок должны проверять каждое условие независимо, а не в рамках комбинированной последовательности, чтобы реакция каждой блокировки проверялась индивидуально. При тестировании соблюдения уровней доступа необходимо предпринимать попытки выполнения запрещенных действий с несоответствующих уровней доступа и фиксировать реакцию системы, а не просто подтверждать, что учетные записи пользователей настроены.

Тест на поведение в режиме резервирования зачастую исключается из программы FAT и переносится на объект, отчасти потому, что имитация потери питания или связи на объекте поставщика требует согласования. Когда его проведение откладывается без четко определенного протокола SAT, он зачастую вообще не выполняется в качестве официального испытания — его результаты фиксируются неофициально в ходе ввода в эксплуатацию и никогда не документируются. Это приводит к несоответствию между тем, что было зафиксировано на месте, и тем, что можно представить в качестве доказательств во время инспекции.

Контрольное испытание, проведённое в присутствии свидетеля без определённого критерия приемки, даёт лишь наблюдение, а не протокол квалификации.

Наибольшую ценность такое сопоставление приобретает до начала разработки протокола FAT, когда у поставщика ещё есть возможность создать испытательную инфраструктуру и подготовить необходимые подтверждающие документы. Требование предоставить такую информацию ещё на этапе запроса предложений (RFQ) и позволяет сохранить эту возможность.

Типичной причиной сбоев в процессе закупок средств управления оборудованием системы локализации является не недостаток функциональных возможностей систем управления, а недостаточная точность технических требований на том этапе, когда принятие решений, имеющих критическое значение, ещё не требует значительных затрат. К моменту, когда в ходе приемочных испытаний (SAT) выясняется, что документация по оптимизации сигналов тревоги отсутствует, что список сигналов системы управления зданием (BMS) не соответствует поставленной конфигурации входов-выходов или что во время заводских приемочных испытаний (FAT) не была проведена официальная проверка блокировок, затраты на устранение неполадок ложатся на команду заказчика, а не на поставщика.

Перед публикацией запроса предложений по системам управления для оборудования с высоким уровнем биологической защиты команда заказчика должна подтвердить: какие функции относятся к GxP, являются критически важными с точки зрения биобезопасности и критически важными для объекта; каким должно быть ожидаемое поведение в каждом нештатном состоянии, включая отключение питания и сбой связи; какие сигналы системы управления зданием (BMS) необходимо задокументировать до начала интеграции; и какой подтверждающий документ будет служить основанием для закрытия каждой критически важной функции управления при приеме-сдаче. Эти четыре решения, принятые на этапе закупки, определяют разницу между комплексом средств управления, который поддерживает процесс квалификации, и тем, который требует доработки в ходе этого процесса.

Часто задаваемые вопросы

Вопрос: Что делать, если у нашей команды недостаточно знаний в области инженерии систем управления для разработки последовательностей и проведения оценки критичности до отправки запроса предложений?
A: Привлеките стороннего консультанта по системам контроля или наймите специалиста по автоматизации для участия в этапе закупки. Структура статьи предполагает, что заказчик на раннем этапе определяет степень критичности, но в случае отсутствия необходимой экспертизы альтернативным вариантом является включение этих определений в платное предзакупочное проектное исследование с участием поставщиков, вошедших в короткий список, — таким образом, технические требования разрабатываются совместно до принятия обязательств, а не оставляются полностью на усмотрение поставщика.

Вопрос: После того как поставщик предоставит пакет документации по системам управления, что в первую очередь должна сделать наша команда по валидации?
A: Проведите анализ прослеживаемости, в ходе которого каждый итоговый документ (FDS, реестр сигналов тревоги, список входов/выходов, матрица доступа) должен быть привязан к критическим функциям управления, указанным в URS, и к заданным вами методам приемки. Цель состоит в том, чтобы до проведения FAT убедиться, что документация охватывает каждую критическую функцию и сопровождается соответствующим протоколом приемки — устранить пробелы, выявленные на этом этапе, обойдется гораздо дешевле, чем на этапе SAT, когда оборудование уже будет установлено на объекте.

Вопрос: При каком объеме проекта или уровне риска такая степень детализации запроса предложений становится обязательной, а не просто желательной?
A: Пороговым критерием является любое оборудование для локализации, взаимодействующее с процессом GxP, барьер, критичный с точки зрения биобезопасности, либо интеграция с системой управления зданием (BMS), для ввода которого в эксплуатацию потребуются подтверждающие данные. Для автономного морозильного шкафа уровня биобезопасности BSL-2, не влияющего на процессы GxP и не подключенного к системе управления зданием (BMS), может быть достаточно менее строгих технических требований. Однако если блокировочные устройства оборудования защищают каскад давления или его данные поступают в аудиторские журналы в соответствии с Приложением 11, подробное описание в запросе предложений является обязательным, а не факультативным.

Вопрос: Как этот подход, предполагающий широкое использование запросов предложений (RFQ), соотносится с контрактом «под ключ», при котором поставщик самостоятельно разрабатывает, создает и проводит аттестацию всей системы?
A: Даже в случае подлинной поставки «под ключ» с гарантиями эксплуатационных характеристик и аттестацией, проводимой поставщиком, заказчику по-прежнему необходимо определить критические контрольные функции и критерии приемки — в противном случае поставщик будет исходить из собственной интерпретации, и вам придется принимать то, что он предоставит. Подход, описанный в статье, совместим с поставкой «под ключ», но он переносит определение доказательной базы в закупочную документацию, благодаря чему проектные и испытательные планы поставщика разрабатываются с учетом вашей системы управления рисками, а не исходя из их стандартного, наиболее экономичного варианта.

Вопрос: Действительно ли оправданы дополнительные затраты времени на начальном этапе, связанные с определением мер контроля на таком уровне, для отдельного устройства, такого как проходная камера VHP?
A: Да, если цикл дезактивации данного оборудования, схема работы уплотнений дверей или записи сигналов тревоги могут привести к задержке выпуска партии или получения разрешения по биобезопасности. Даже в случае отдельного устройства затраты на восстановление документации после приемочных испытаний (SAT) обычно превышают затраты на указание требований к доказательной базе в запросе предложений (RFQ). Логика, изложенная в статье, применима и в меньших масштабах: вы по-прежнему сами решаете, какие функции являются критически важными с точки зрения GxP или безопасности — и для проходного шкафа с высокочастотным паром (VHP) это могут быть всего три блокировки и два сигнала тревоги, что требует гораздо более облегчённой, но всё же чётко определённой спецификации.