FAT и SAT для BSL и защитного оборудования: что необходимо проверить перед отправкой и на месте

Задержки с аттестацией в проектах по созданию защитных оболочек редко дают о себе знать на начальном этапе. Они незаметно накапливаются в разрыве между тем, что было утверждено на заводе, и тем, что на самом деле работает после монтажа оборудования — и к тому моменту, когда этот разрыв становится заметным, давление со стороны графика, требующего завершения SAT и дальнейшего продвижения проекта, уже становится значительным. Наиболее распространённый вариант этой ошибки заключается в том, что утверждение результатов заводских приёмных испытаний (FAT) рассматривается как доказательство того, что проблемы с работой на объекте решены, тогда как на практике стабильность каскада давления, логика срабатывания реле сигнализации и интеграция с системой управления зданием (BMS) так и не были протестированы в условиях реального объекта. Исправление ситуации на этой стадии обходится дорого не только с финансовой точки зрения, но и с точки зрения протоколов квалификации: повторное тестирование после монтажа вносит неопределённость относительно того, какие результаты относятся к какой конфигурации. Предотвратить это можно, точно зная, какие функции можно проверить на заводе в каком-либо значимом смысле, а какие зависят от условий, которые не могут существовать до тех пор, пока оборудование не будет подключено к зданию, в котором оно будет эксплуатироваться.

Функции, проверка которых осуществляется на заводе перед отгрузкой

Наиболее подходящими кандидатами для FAT являются функции, которые зависят исключительно от самого оборудования — то есть в тех случаях, когда заводские условия не создают существенного разрыва между условиями тестирования и условиями эксплуатации. В эту категорию входят последовательности блокировок безопасности. Блокировка крышки центрифуги, которая предотвращает запуск двигателя при открытой крышке и удерживает блокировку до полной остановки ротора, может быть полностью проверена на заводе, поскольку её логика зависит от системы управления и механической сборки, а не от инженерных сетей объекта или воздушного потока в помещении. Если эта блокировка выходит из строя во время SAT, неисправность почти всегда связана с транспортировкой или повторной сборкой, а не с недостатком в исходном проекте FAT — и это различие имеет значение для определения объёма расследования.

Проверка документации абсолютно не зависит от условий на объекте. Проверка соответствия сертификатов на материалы, электрических схем и паспортных табличек компонентов утвержденной спецификации по определению является задачей завода-изготовителя. Перенос этой задачи на этап SAT приводит к потере времени на объекте и зачастую выявляет несоответствия, которые должны были бы стать препятствием для отгрузки. Для проектов со сложными многокомпонентными узлами — Изоляторы OEB4/OEB5 например, с встроенными массивами разъемов для перчаток и панелями управления — выравнивание документов на этапе FAT является тем моментом, когда обнаружение ошибок на уровне компонентов обходится дешевле всего.

Испытания герметичности SMEPAC в рамках заводских приемочных испытаний (FAT) требуют более тщательной организации. Проведение таких испытаний на заводе позволяет получить полезные исходные данные и выявить грубые нарушения герметичности до отгрузки оборудования. Минус заключается в том, что результаты испытаний SMEPAC чувствительны к конкретным условиям, при которых они получаются — на результаты влияют замещающее соединение, продолжительность воздействия, конфигурация оборудования и условия воздушного потока. Если какие-либо из этих условий существенно отличаются между заводской испытательной установкой и реальным технологическим процессом на объекте, результаты FAT служат лишь ограниченной отправной точкой для квалификации. Это исходные данные, а не доказательство работоспособности на объекте.

Интерфейсы, зависящие от конкретного сайта, для которых требуются доказательства методом SAT

Некоторые категории испытаний приобретают смысл только после установки и подключения оборудования. Попытка провести их на заводе, даже частично, приводит к получению данных, которые нельзя с уверенностью использовать в протоколе аттестации.

Наиболее наглядным примером является интеграция инженерных систем. Интерфейс управления между разъединителем или Лаборатория с модулями уровня BSL-3/BSL-4 Кроме того, система SCADA, ПЛК или DCS на объекте не может быть полностью протестирована до тех пор, пока заводское оборудование не будет подключено к действующей сети объекта. Совместимость протоколов, обмен сигналами, маршрутизация реле аварийных сигналов и последовательности подтверждения блокировок — все это зависит от фактической архитектуры системы управления на объекте. Моделирование на заводе с использованием типового ПЛК может выявить грубые ошибки конфигурации, но не может подтвердить, что установленная система будет вести себя корректно в условиях эксплуатации объекта, в сценариях переключения на резервный канал или при одновременной нагрузке со стороны других подключенных объектов. SAT является единственным достоверным способом проверки этих характеристик.

Экологические показатели — стабильность перепада давления, интенсивность воздухообмена, количество частиц, целостность фильтров, а также распределение температуры и влажности — зависят от установленной системы ОВКВ и фактической геометрии помещения. Классификация чистых помещений по стандарту ISO 14644 зависит от установленной системы, а не от заводской испытательной камеры. Эти измерения должны проводиться в ходе приемочных испытаний (SAT) с учетом технических требований (URS), специфичных для данного объекта, а не переноситься из заводских условий, которые могут значительно отличаться по объему приточного воздуха, сопротивлению вытяжке или схеме поддержания давления в помещении.

Проведение испытаний SMEPAC в реальных технологических условиях сопряжено с определенным риском, если их отложить, исходя из предположения о достаточности данных, полученных в ходе заводских приемочных испытаний (FAT). Тип API, продолжительность технологического процесса и конфигурация оборудования, используемого в производстве, могут не совпадать с теми параметрами, которые моделировались на заводе. В случае таких расхождений результаты FAT не являются достоверным ориентиром для дальнейшей работы, и их использование в качестве такового создает пробел в системе локализации утечек, который может проявиться только в случае инцидента с воздействием на персонал или в ходе аудиторской проверки.

Обследования, которые не следует повторять без обоснованной причины

Принцип прост и отражён в базе данных EudraLex, том 4 Приложение 15 определяет условия использования ранее проверенных данных: если функция прошла тщательное тестирование на этапе FAT, а транспортировка или монтаж не повлияли на тестируемое состояние, повторное проведение испытаний на этапе IQ/OQ создает дополнительную процедурную нагрузку, не повышая при этом уверенности в результатах квалификации. Сложность заключается в том, что такое разрешение требует документального обоснования, а не просто предположения.

На команду по аттестации ложится обязанность доказать, что условия, проверенные в ходе FAT, остаются неизменными после отгрузки и монтажа. В отношении логики управления, последовательностей блокировок и настроек сигнализации, которые определяются программным обеспечением и не зависят от физической транспортировки, это относительно легко доказать при условии, что протокол и результаты FAT являются полными, а версия программного обеспечения не изменилась. Что касается физических измерений — целостности фильтров, непрерывности уплотнений, механической центровки — здесь требуется проведение проверки после монтажа, которая либо подтвердит, что состояние осталось неизменным, либо выявит места, где необходимо провести повторные испытания.

Ошибка в данном случае заключается не в чрезмерном повторном тестировании. Она заключается в использовании принципа эффективности, закрепленного в Приложении 15, в качестве стандартного обоснования для пропуска проверок на объекте без подтверждения допущения о транспортировке и установке. Группы по квалификации, находясь под давлением графика, склонны рассматривать протокол приемочных испытаний (FAT) как банк результатов, из которого они могут свободно черпать данные, тогда как на практике каждое использование таких данных требует документально подтвержденного обоснования того, что испытанные условия были сохранены. В случае невозможности предоставить такое обоснование повторное тестирование является единственной обоснованной позицией.

Предположения относительно транспортировки и монтажа, влияющие на IQ/OQ

Транспортировка создает физический риск для оборудования, прошедшего приемочные испытания (FAT) в контролируемых статических заводских условиях. Этот риск не всегда очевиден. Вибрация во время автомобильной или авиаперевозки может привести к смещению кассет с фильтрами HEPA, смещению прокладок или ослаблению резьбовых соединений — ни одно из этих явлений не вызывает видимых внешних повреждений, однако все они могут нарушить герметичность или повлиять на показатели давления, что можно выявить только в ходе испытаний.

Что касается конкретно данных по герметичности SMEPAC, то транспортные вибрации и повторная сборка модульных компонентов являются двумя механизмами, которые с наибольшей вероятностью могут привести к утрате достоверности результатов FAT без видимых признаков этого. HEPA-фильтр, который был правильно установлен и прошел испытание на герметичность на заводе, может поступить с нарушенной герметичностью после транспортировки. А Коробка пропусков VHP Либо у изолятора перепускного клапана, повторно собранного на месте после отгрузки, геометрия уплотнения дверцы могла сместиться по сравнению с положением, проверенным на заводе. В любом из этих случаев визуальный осмотр не позволяет достоверно выявить проблему. Надлежащим решением является повторное функциональное испытание и проверка герметичности в ходе SAT, а не предположение о том, что заводские результаты остаются в силе.

Из результатов IQ/OQ следует, что оценка повреждений, полученных при транспортировке, на этапе SAT не является чисто формальной процедурой. В случае обнаружения повреждений — либо если в ходе проверки не удается подтвердить, что система поступила в том же состоянии, в котором она была отправлена, — результаты функциональных испытаний FAT для затронутых систем следует рассматривать как условные, а не подтвержденные, и соответственно определить объем повторных испытаний.

Урегулирование перечня недоделок между FAT и SAT

Несоответствия, выявленные на приемочных испытаниях на заводе (FAT) и не устраненные до отгрузки, никуда не исчезают — они превращаются в спорные вопросы. Как только оборудование поступает на объект, у подрядчика уменьшаются рычаги влияния для требования устранения несоответствий на заводе, терпимость заказчика к срыву графика снижается, и обе стороны по умолчанию склонны согласиться с нерешенным вопросом с отклонением, а не устранить его должным образом. Именно в результате такой динамики в документации по качеству накапливаются записи, которые трудно обосновать при проверке.

Механизм предотвращения подобных ситуаций прост, но требует дисциплины: каждое несоответствие, выявленное в ходе приемочных испытаний (FAT), должно быть зафиксировано в журнале, закреплено за ответственным лицом и либо устранено с предоставлением документального подтверждения, либо официально отложено с письменным обоснованием до того, как оборудование будет сдано на отгрузку. Пакет документов по передаче оборудования — который, как правило, включает сводку недостатков и нерешенных вопросов — устанавливает общий ориентир для взаимодействия между производителем и заказчиком. При отсутствии или неполноте этого документа определение того, что считается закрытым вопросом, становится предметом интерпретации на объекте, а именно в таких условиях и возникают споры по поводу перечня недоделок.

Практическое значение для отделов закупок и контроля качества заключается в том, что подписание протокола FAT не следует рассматривать как момент, когда заказчик безоговорочно принимает оборудование. Это момент, когда обе стороны согласовывают, что уже проверено, какие вопросы остаются открытыми и при каких условиях можно производить отгрузку. Проекты, в которых подписание протокола FAT приравнивается к окончательной приемке, неизменно сталкиваются с более спорными процедурами закрытия SAT. Рекомендации относительно того, как эти контрольные точки ввода в эксплуатацию взаимодействуют в системах BIBO, можно найти в Контрольный список по вводу в эксплуатацию BIBO охватывает конкретные моменты в области IQ и OQ, которые чаще всего упускаются из виду.

Правила передачи по нерешенным вопросам, связанным с приемкой объекта

Завершение приемочных испытаний (SAT) представляет собой юридический и технический переходный момент между этапом ввода в эксплуатацию и периодом ответственности за дефекты. До тех пор, пока сертификат SAT не будет совместно подписан инженером заказчика и подрядчиком, этот переход не считается состоявшимся — и без него ответственность за любые выявленные дефекты или неисправности остается действительно неопределенной. Подписанный сертификат — это не формальность, добавляемая в конце процесса, который в остальном уже завершен. Это механизм, определяющий факт завершения работ.

Операционный риск преждевременного закрытия проекта проявляется не сразу, а в дальнейшем. Если протокол SAT подписан до того, как все инженерные системы, блокировки, сигнализация и установленные интерфейсы либо прошли проверку, либо имеют официально утвержденное отклонение, неурегулированные вопросы попадают в протокол квалификации без четкого плана их устранения. Когда эти проблемы вскрываются — во время операционной квалификации (OQ), производственной квалификации (PQ) или в ходе текущей эксплуатации — у проекта отсутствует четкая структура ответственности, определяющая, кто должен их устранять и за чей счет. Для оборудования, критичного с точки зрения герметичности, где неисправная блокировка давления или непроверенное реле сигнализации системы управления зданием (BMS) могут повлиять на безопасность оператора или соответствие нормативным требованиям, такая неопределенность не является незначительной административной проблемой.

Стандартом для закрытия должно быть то, что в итоговом отчете по SAT должны быть перечислены все обязательные испытания с указанием их результатов, а для любого пункта, не прошедшего испытания, должно быть оформлено официально утвержденное отклонение с задокументированным обоснованием и планом устранения недостатков. Утвержденное отклонение является законным механизмом закрытия. Пункт, который просто не указан в отчете или указан как «находящийся на рассмотрении» без подписанного отклонения, считается открытым пунктом — а открытый пункт на момент закрытия SAT представляет собой будущее замечание по результатам проверки, ожидающее своей очереди.

Граница между FAT и SAT — это тот момент, когда предположения, лежащие в основе квалификации, либо проверяются, либо отбрасываются. Хорошо структурированное FAT приносит реальную пользу: оно подтверждает работоспособность функций, заложенных на заводе, устраняет пробелы в документации и создает надежную базу, на которой SAT и IQ/OQ могут основываться, а не дублировать работу. Проблема заключается не в самом FAT, а в тенденции расширять его полномочия на области, которые оно не может охватить, рассматривая утверждение в заводских условиях как доказательство работоспособности на объекте, куда оборудование еще не поступило.

До назначения даты проведения SAT команда по приемочной проверке должна быть готова ответить на три вопроса, подкрепив свои ответы документальными доказательствами: какие результаты FAT принимаются во внимание и на каком основании; какие интерфейсы, зависящие от конкретного объекта, еще не прошли верификацию; и каков статус перечня недоделок по каждому несоответствию, выявленному в ходе FAT. Если какой-либо из этих ответов остается неясным или основан на предположениях, а не на документальных данных, планирование SAT начинается с неполной основы — и эти пробелы проявятся в самый неподходящий момент в ходе реализации проекта.

Часто задаваемые вопросы

Вопрос: Можно ли объединить этапы FAT и SAT в одно мероприятие по приему объекта, чтобы сократить сроки реализации проекта?
A: Их объединение оправдано лишь для узкого подмножества оборудования, в котором отсутствует разрыв между заводскими и эксплуатационными условиями — что редко имеет место в случае систем локализации. Стабильность каскада давления, маршрутизация реле сигнализации системы управления зданием (BMS) и эксплуатационные характеристики, зависящие от системы отопления, вентиляции и кондиционирования воздуха (HVAC), не позволяют получить достоверные данные квалификационных испытаний до тех пор, пока оборудование не будет подключено к действующему объекту. Объединение приемочных испытаний на заводе (FAT) с приемочными испытаниями на объекте (SAT) не устраняет эти зависимости; оно лишает возможности как можно раньше выявить заводские дефекты, прежде чем они превратятся в проблемы, требующие устранения на объекте, и приводит к тому, что в протоколе квалификации отсутствует четкая граница между тем, что было проверено в контролируемых заводских условиях, и тем, что было проверено в условиях эксплуатации. В случае изоляторов, модулей BSL или любых систем с интерфейсами к инженерным сетям экономия времени, достигаемая за счет такого объединения, редко сохраняется после первого неразрешенного спора по перечню недоделок при приемочных испытаниях на объекте (SAT).

Вопрос: Если испытания SMEPAC были проведены на этапе FAT, а замещающее соединение и продолжительность действия были репрезентативными, нужно ли их повторять на этапе SAT?
A: Да, за исключением случаев, когда команда по квалификации может документально подтвердить, что все существенные условия — тип API, конфигурация оборудования, условия воздушного потока и продолжительность работы — на месте установки идентичны, а также что транспортировка и повторная сборка не повлияли на целостность уплотнений или фильтров. На практике такое подтверждение требует доказательств, полученных в ходе осмотра после установки, а не основано на предположениях. Вибрации при транспортировке могут сместить кассеты HEPA или изменить геометрию уплотнения дверцы без видимых повреждений, и любое из этих изменений делает данные по герметичности, полученные в ходе приемочных испытаний на месте (FAT), недействительными без наличия четких индикаторов. Если в ходе такого осмотра невозможно однозначно исключить влияние транспортировки, проведение испытаний SAT SMEPAC является единственной обоснованной мерой в протоколе квалификации.

Вопрос: В какой момент официально одобренное отклонение от нормы становится недопустимой заменой результата, позволяющего сдать тест SAT?
A: Отклонение является правомерным механизмом закрытия только в том случае, если оно сопровождается документально подтвержденным обоснованием и четко сформулированным планом устранения с указанием ответственного лица и срока выполнения. Оно перестает быть приемлемым, когда используется для учета пунктов, которые никогда не тестировались — а не тех, которые были протестированы и выявили контролируемое несоответствие — или когда план устранения не предусматривает реалистичного пути завершения работ до ввода оборудования в эксплуатацию. Для функций, критичных с точки зрения герметичности, таких как блокировки давления, реле сигнализации системы управления зданием (BMS) или целостность установленных фильтров HEPA, отклонение, откладывающее проверку на неопределенный срок, функционально является нерешенным вопросом, а нерешенный вопрос на момент закрытия SAT будет рассматриваться как несоответствие при проверке протокола квалификации в соответствии с критериями Приложения 15 или стандарта ASTM E2500-25.

Вопрос: На ком лежит бремя доказывания, если неисправность, обнаруженная после приемочных испытаний (SAT), связана с функцией, которая была одобрена на этапе FAT — на производителе или на команде по аттестации заказчика?
A: Распределение ответственности зависит исключительно от того, как была задокументирована передача системы от этапа FAT к этапу SAT. Если в протоколе FAT четко указана данная функция, результаты показывают «пройден», а оценка транспортных повреждений на этапе SAT подтверждает, что система прибыла в целости и сохранности, то неисправность, скорее всего, связана с монтажом на объекте или интеграцией с инженерными сетями — и ответственность за это лежит на подрядчике по вводу в эксплуатацию или на команде объекта. Если оценка транспортировки была поверхностной, допущения относительно монтажа не были задокументированы или результат FAT был перенесен без письменного обоснования, подтверждающего, что протестированное состояние сохранилось, команда по квалификации не может чётко отделить ответственность производителя от ответственности за монтаж. Именно для предотвращения такой неоднозначности и предназначены полный пакет документов по сдаче объекта в эксплуатацию и тщательная проверка после монтажа.

Вопрос: Существует ли порог сложности оборудования, ниже которого разделение на FAT и SAT становится не столько средством управления рисками, сколько излишними затратами?
A: В случае автономного, самодостаточного оборудования, не имеющего интерфейсов с инженерными сетями объекта, не интегрированного с системой управления зданием (BMS) и не подпадающего под требования к характеристикам среды, классифицированные по стандарту ISO 14644, можно обосновать применение упрощенного однофазного протокола приемочных испытаний — при условии, что в документации по квалификации приведены обоснования отсутствия переменных, зависящих от конкретного объекта. Этот порог практически никогда не достигается изоляторами с герметичной камерой, лабораториями с модулями BSL или интегрированными системами с проходными камерами, которые по конструкции имеют интерфейсы давления, вытяжки, системы отопления, вентиляции и кондиционирования воздуха (ОВКВ), а также системы управления, которые можно настроить только на объекте. Накладные расходы на поддержание структуры FAT-SAT растут пропорционально сложности интерфейсов, а не размерам оборудования. Компактный Коробка пропусков VHP Установка в качестве автономной перекачивающей станции может потребовать меньшего объема работ по тестированию SAT по сравнению с полноценной изолирующей линией, однако целостность уплотнения дверцы и рабочие характеристики цикла VHP после монтажа по-прежнему требуют проверки на месте, которую невозможно заменить заводскими испытаниями.