Как составить тестируемые требования URS для изоляторов, систем BIBO, проходных камер VHP и EDS

Нечеткие требования редко становятся причиной отклонения при экспертизе URS. Они приводят к сбоям на этапе приемочных испытаний (FAT), когда составитель протокола не может найти критерий приемки, а график квалификационных испытаний не позволяет устранить задержку. Требование, сформулированное как “изолятор должен обеспечивать герметичность во время смены перчаток”, может пройти проверку документации, и никто даже не заметит, что в нём никогда не указано, какой испытательный агент подвергает барьер воздействию, какой прибор измеряет результат или какие записи подтвердят выполнение этого условия. Цена этого — не только время на доработку, но и повторяющиеся совещания по согласованию между поставщиком, командой контроля качества и инженером по валидации объекта, которые часто проводятся уже после того, как решения по изготовлению были приняты. Решением этой проблемы является соблюдение дисциплины при составлении текста до того, как URS покинет проектную команду: если тестировщик не может составить тест на основе требования без догадок, это требование не готово. В разделах ниже эта дисциплина конкретизируется для изоляторов, систем BIBO, проходных камер VHP и EDS, а в заключение приводится правило, позволяющее определить, заслуживает ли какое-либо отдельное требование своего места в документе.

Формулировки, поддающиеся тестированию, для функций изолятора-барьера

В документации по изолятору URS часто встречаются требования к барьерной функции, которые выглядят убедительно на этапе внутренней экспертизы, но не выдерживают проверки на этапе приемочных испытаний (FAT). Причина неудачи всегда одна и та же: требования сформулированы как проектные замыслы, а не как поддающиеся проверке результаты. Формулировка “Система должна поддерживать перепад давления в минус” выглядит полной до тех пор, пока составитель протокола не спросит, каково целевое значение, каков допуск, где расположен датчик, с какой частотой он производит отсчёты и в какое состояние переходит система, когда показания выходят за пределы диапазона. Ничто из этого не подразумевается в данном предложении. Всё это должно быть указано в сценарии испытаний, а это означает, что составитель протокола либо придумывает ответ, либо вновь открывает URS.

Практическое решение заключается в том, чтобы рассматривать каждое требование к изолирующему барьеру как состоящее из четырёх компонентов, прежде чем считать его полным: субъект (какая система или роль), условие входа (какое состояние или параметр запускает требование), требуемый выход или состояние системы, а также ограничение (временной лимит, класс точности, тип прибора или интервал регистрации). Например, требование, касающееся реакции на превышение давления, должно указывать пороговое значение перепада давления, стандарт датчика, характер визуальной и звуковой сигнализации, а также то, переходит ли система в заблокированное состояние, требующее отключения с помощью уполномоченного доступа. Составление проекта с таким уровнем детализации занимает больше времени. Это также означает, что составителю протокола приемочных испытаний (FAT) не придется ничего придумывать.

Вторая распространенная ошибка заключается в объединении связанных между собой условий в одно требование с использованием конструкций типа “и/или”. Если пункт охватывает как срабатывание сигнализации, так и поведение блокировки двери, то это два отдельных условия, подлежащих тестированию — одно из них может пройти тест, а другое — нет. Объединенные пункты приводят к появлению состояний частичного соответствия, которые протоколы квалификации не могут четко оценить. Каждое атомарное условие должно иметь свой собственный номер и свой критерий приемлемости.

Стандарт ASTM E2500-25 подтверждает основной принцип, согласно которому требования должны формулироваться таким образом, чтобы обеспечить возможность их объективной проверки — не в виде предписывающих правил относительно структуры предложений, а в виде ожиданий в рамках системы тестирования, которые определяют, как оценивается формулировка технических требований. Составление документации с учетом возможности проверки с самого начала позволяет обеспечить соответствие URS этим ожиданиям, не дожидаясь, пока на этапе проверки выявятся пробелы.

Требования BIBO, связанные с документацией по техническому обслуживанию

Требования к корпусам системы «Bag-in/bag-out» имеют одну специфическую уязвимость в документации, которой не всегда присуща требованиям к изоляторам: доступ для технического обслуживания. Функциональные характеристики Система BIBO зависит от процедур замены фильтров, которые должны выполняться в условиях локализации, а в техническом задании (URS) зачастую либо определены требования к документальному подтверждению этих процедур, либо они молчаливо опущены.

Требование URS, гласящее, что “замена фильтра должна производиться в безопасных условиях”, не поясняет испытателю, что именно подразумевается под «безопасными», какая процедура должна соблюдаться, какая проверка герметичности проводится во время или после замены, а также какой документ подтверждает, что операция была выполнена правильно. На этапе IQ или OQ инженер по квалификации должен воссоздать всё это самостоятельно. Если воссозданная схема не соответствует первоначальному замыслу поставщика, процесс квалификации затягивается на время согласования несоответствий. Такое согласование является прямым следствием того, что в URS не указан тип доказательств.

Более обоснованный подход заключается в привязке каждого требования BIBO по техническому обслуживанию к конкретной записи, которая подтвердит его выполнение. Не “необходимо вести журнал технического обслуживания”, а “операции по замене фильтра должны документироваться с использованием [идентификатора формы профилактического технического обслуживания объекта] или эквивалентного документа с указанием даты, идентификатора технического специалиста, номера партии мешка, показаний перепада давления до и после замены, а также результатов проверки герметичности”. Такой уровень детализации не является излишней усложнённостью — он полностью исключает необходимость для проверяющего действовать на основе догадок, что и является целью требований Приложения 15 к квалификационной документации, применимых к данному типу оборудования.

Здесь также важен аспект соразмерности риска. Не все требования BIBO имеют одинаковые последствия с точки зрения локализации. Требования, регулирующие целостность системы локализации при замене фильтров, относятся к другому уровню риска, чем требования, касающиеся отделки внешней поверхности корпуса. Когда в URS требованиям присваиваются уровни риска, ожидаемая степень подтверждающей документации — сертификат калибровки, записи о техническом обслуживании, фотодокументация, результаты испытаний в присутствии свидетелей — определяется в зависимости от этого уровня. URS, в котором требования перечислены без учета контекста риска, вынуждает составителя протокола самостоятельно определять эту глубину, причем разные инженеры будут оценивать её по-разному. Такая несогласованность подлежит проверке.

Для команд, желающих более четко структурировать требования к документации по вводу в эксплуатацию, Контрольный список по вводу в эксплуатацию BIBO, включающий приемочные испытания на месте (FAT), приемочные испытания на объекте (SAT), функциональные испытания (IQ) и операционные квалификационные испытания (OQ) указывает конкретные моменты, которые часто упускаются на каждом этапе.

Предположения относительно цикла работы камеры передачи VHP в техническом задании (URS)

Именно в связи с термином “предположение о цикле” документация по URS проходных камер VHP зачастую не выдерживает проверки со стороны регулирующих органов. Специалисты фиксируют в документации, что для передачи материалов будет использоваться цикл дезактивации VHP, не преобразуя при этом данное предположение в измеримые параметры, которые должен обеспечивать данный цикл. В результате команда по валидации приступает к операционной квалификации (OQ) с системой, которая выполняет цикл, но не имеет обоснования в URS того, что именно должен был продемонстрировать этот цикл.

Как Приложение 15, так и руководство FDA по валидации технологических процессов подтверждают принцип, согласно которому условия — в том числе и в самых неблагоприятных сценариях — должны быть определены до того, как их можно будет проверить. Для проходной камеры с высокодаровым паром (VHP) это означает, что в техническом задании (URS) должны быть указаны целевой диапазон концентрации H₂O₂, продолжительность фазы воздействия, допустимые отклонения температуры в точке измерения, динамика перепада давления на этапах цикла, а также критерии приемлемости биологических или химических индикаторов для квалификации цикла. Это не проектные спецификации — это эксплуатационные условия, которым должна соответствовать работа поставщика по разработке цикла, и именно в техническом задании (URS) заказчик определяет, что означает «удовлетворительно».

Риск, связанный с отсутствием определения параметров цикла, не является чисто теоретическим. Поставщик может разработать цикл, обеспечивающий 6-логарифмическое снижение в условиях своего производства, не зафиксировав при этом диапазон параметров, позволяющий достичь такого результата. На этапах SAT или PQ, когда температура или влажность на объекте выходят за пределы неоговоренных допущений, эффективность цикла меняется, и у квалификационной группы нет оснований в соответствии с URS для принятия решения о приемлемости результата. Использование данных по разработке цикла в качестве ретроспективного критерия приемлемости является признанной уязвимостью при аудите.

Каждому параметру следует зафиксировать этап проверки непосредственно в URS — не оставляя это на усмотрение составителя протокола. Диапазон температур, проверенный на этапе FAT в контролируемых заводских условиях, может потребовать повторной проверки на этапе SAT и еще раз на этапе OQ в условиях объекта. Указание такого соотношения в URS позволяет избежать последующих споров относительно объема работ и того, какие испытания требуются на каждом этапе.

Заказчики должны определить требования к записям EDS и сигнализации

Электронные системы обработки данных и сигнализации, встроенные в защитное оборудование, находятся на стыке эксплуатационной безопасности и нормативных требований к целостности данных, и именно в URS покупатели должны определить конкретные режимы работы, которые будут подвергаться испытаниям, — а не поставщик. Поставщик настроит систему в соответствии со своими настройками по умолчанию. Если эти настройки по умолчанию не соответствуют требованиям Части 11 или Приложения 11, несоответствие будет выявлено в ходе квалификационных испытаний, когда внесение изменений в конфигурацию обходится дорого и приводит к срыву графика работ.

Причина, по которой ответственность ложится на покупателя, заключается в четкости объема работ. Часть 11 и Приложение 11 регулируют обязательства объекта в отношении электронных записей, а не конструкцию продукта поставщика. Поставщик, поставляющий систему с общим логином, без запроса на электронную подпись и с журналом сигналов тревоги, который можно удалить, предоставил функциональный продукт. Соответствует ли этот продукт нормативным требованиям покупателя — это проблема URS, а не недостаток поставщика, если только в URS не указано иное.

На практике это означает, что заказчики должны четко определить каждое регулируемое поведение до начала закупки. Содержание контрольного журнала, уникальная идентификация пользователя, условия срабатывания электронной подписи, отображаемое значение каждой подписи и механизмы защиты записей не подразумеваются в требовании, гласящем: “Система должна соответствовать применимым нормативным требованиям”. Это предложение не поддается тестированию. Каждое из пяти видов поведения, на которые оно указывает, поддается тестированию отдельно, и для каждого требуется собственный критерий приемки.

Часть 11 и Приложение 11 устанавливают минимальные нормативные требования. URS формулирует эти требования в виде конкретных для данного объекта и поддающихся проверке формулировок, указывая конкретные поля, действия и типы записей, которые тестировщик может проверить на соответствие пороговому значению «прошел/не прошел», а не на соответствие нормативной формулировке, которую каждый эксперт может интерпретировать по-своему.

Согласованность между различными комплектами оборудования

Проект, в рамках которого одновременно осуществляются закупки изолятора, системы BIBO, проходного шкафа VHP и системы EDS, сталкивается с риском, связанным с несогласованностью документации, который не отражен ни в одном из технических заданий на отдельное оборудование: эти четыре документа будут содержать несоответствия. В отсутствие установленной структуры в каждом техническом задании разрабатывается собственная система нумерации, собственные сокращения для обозначения уровней риска и собственный терминарий для типов подтверждающих документов. Эти расхождения остаются незаметными до тех пор, пока в ходе межпакетного аудита или мероприятия по контролю изменений не возникнет необходимость сопоставить одно требование на уровне объекта во всех четырёх документах.

Практическим следствием этого является то, что пробелы в прослеживаемости возникают не из-за некачественного формулирования отдельных требований, а из-за того, что в рамках проекта так и не была создана общая система координат, на которую могли бы ссылаться все четыре документа. Требование под номером FR-14 в URS изолятора и SR-003 в URS проходного шкафа VHP может касаться одной и той же потребности в регулировании давления на объекте. Без матрицы прослеживаемости, которая явно связывает оба требования с исходным, рецензент не может подтвердить, что потребность объекта была учтена во всем соответствующем оборудовании — и замечание по результатам аудита пишется само собой.

Решение носит структурный характер и должно быть реализовано до того, как будет подготовлен первый черновой вариант URS для конкретного оборудования. Использование единой схемы нумерации — например, FR-## для функциональных требований и SR-## для требований безопасности — при условии её последовательного применения во всех пакетах документов позволяет осуществлять перекрёстные ссылки между требованиями без необходимости их реконструкции. Единая терминология уровней риска, даже простая трёхуровневая классификация, гарантирует последовательное применение ожиданий в отношении глубины обоснования. А матрица прослеживаемости на уровне проекта, связывающая каждый пункт URS с объектами проектирования или конфигурации, сценариями испытаний, результатами и соответствующими средствами контроля, предоставляет команде по квалификации единый поддающийся аудиту артефакт вместо четырёх параллельных документов, не связанных между собой.

Речь идет о критериях планирования и управления проектами, а не о нормативных обязательствах. Однако и в Приложении 15, и в стандарте ASTM E2500-25 прослеживаемость рассматривается как условие обоснованной квалификации — при этом пробелы в прослеживаемости между различными компонентами системы сложнее устранить после завершения приемочных испытаний (FAT), чем до утверждения технического задания (URS).

Правило оценки доказательств для сохранения или отклонения элемента URS

В каждом URS накапливаются требования, которые на этапе составления кажутся обоснованными и выдерживают критику на этапе экспертизы. Проблема на практике заключается в том, что у команд редко есть четкие критерии для удаления или пересмотра того или иного пункта — в результате спорные требования остаются в документе и превращаются в спорные тестовые сценарии. Следствием этого становится протокол квалификационных испытаний, содержащий тесты, результаты которых никто не может однозначно интерпретировать как «пройден» или «не пройден», а также отношения с поставщиком, в которых споры по поводу объема работ уходят корнями в формулировки, которые так и не были уточнены.

Практическое правило звучит прямо: если тестировщик не может написать тест на основе требования, не прибегая к догадкам, это означает, что требование не готово для включения в URS. Это правило применяется до того, как требование выйдет из стадии разработки. Такой подход является более эффективным, чем любой формальный контрольный список, поскольку заставляет автора немедленно устранять неоднозначности, а не допускать, чтобы требование привело к созданию некорректного тестового сценария, который придется переделывать на этапе FAT.

Два вспомогательных показателя позволяют придать этому правилу количественную форму в рамках циклов проверки проектов. Показатель полноты прослеживаемости — процент требований URS, связанных с утвержденными тестовыми сценариями и подтверждающими данными об успешном прохождении тестов — должен стремиться к значению 100%. Любое требование, которое не может достичь этого состояния после квалификации, должно быть удалено или пересмотрено; требование, остающееся несвязанным на постоянной основе, свидетельствует о том, что критерий приемки никогда не был сформулирован достаточно четко для тестирования. Коэффициент неоднозначности — количество пунктов, отмеченных рецензентом на 100 требований — должен оставаться ниже 2. Этот порог является оценкой, основанной на опыте практиков, а не нормативным ориентиром, но он служит полезным сигналом: документ, превышающий этот порог, требует систематической доработки перед выпуском, а не попутного согласования каждого пункта во время приемочных испытаний (FAT).

То, что происходит на уровне проекта, когда элементы остаются в проекте, несмотря на несоответствие этим проверкам, вполне предсказуемо. Авторы протоколов делают допущения, сессии FAT дают условные результаты, а инженер по квалификации составляет обоснование, в котором пытается задним числом определить, что именно подразумевалось под данным требованием. Такое обоснование можно отстоять только в том случае, если аудитор согласится с такой реконструкцией событий — чего гарантировать нельзя, и чего вполне можно избежать, если переформулировать требование до того, как оно покинет URS.

Фактором, отличающим URS, готовую к аттестации, от той, которая приводит к неоднократным пересмотрам протоколов, является не сложность, а конкретизация, примененная на нужном уровне. В частности, в отношении оборудования для локализации и дезактивации требование, в котором не указаны метод испытания, измерительный прибор, порог приемлемости и тип записи, не считается завершенным. Оно отложено, и затраты, связанные с этой отсрочкой, проявляются позже — в сроках квалификации, которые команды постоянно недооценивают, когда рассматривают расплывчатую формулировку “должно поддерживаться” как разумное упрощение при составлении документации.

Прежде чем выпускать какие-либо технические требования (URS) для конкретного оборудования, убедитесь, что для каждого требования, критичного с точки зрения безопасности и дезактивации, указан конкретный метод проверки, конкретный идентификатор результата или записи, а также пороговое значение «прошел/не прошел», которое тестировщик может применить без необходимости интерпретации. Такая проверка требует времени на этапе разработки документации. Однако в конечном итоге это обходится дешевле, чем альтернативный вариант.

Часто задаваемые вопросы

Вопрос: Что должна сделать команда сразу после завершения разработки URS, но до начала FAT?
A: Перед утверждением протокола FAT необходимо провести структурированный анализ прослеживаемости, в ходе которого каждое требование URS сопоставляется с конкретным сценарием тестирования, назначенным этапом верификации (FAT, SAT, IQ, OQ или PQ) и определенным типом документации. Этот шаг позволяет выявить пробелы в критериях приемки на этапе, когда внесение изменений в конфигурацию еще не требует значительных затрат — после того как решения по изготовлению будут окончательно утверждены, пересмотр объема работ во время FAT займет значительно больше времени, чем устранение неясностей на этапе подготовки документации.

Вопрос: Будет ли этот подход работать, если в проекте задействован только один тип оборудования, а не все четыре?
A: Да, но принципы обеспечения единообразия — единые правила нумерации, терминология уровней риска и структура матрицы прослеживаемости — стоит применять даже к URS, охватывающему одно устройство, если существует хоть какая-либо вероятность расширения объема работ в будущем или проведения межсистемного аудита. Проекту, реализуемому исключительно по методологии BIBO, в котором с самого начала используется нумерация FR-## и SR-##, не потребуется перестраивать архитектуру документации при последующем добавлении изолятора или пакета EDS. Первоначальные инвестиции минимальны, а вот затраты на модернизацию — нет.

Вопрос: В какой момент определение параметров цикла VHP в URS переходит из разряда требований к эксплуатационным характеристикам в разряд проектных предписаний?
A: Разграничивающим фактором является то, определяет ли формулировка, какого результата должен достичь цикл, или дает поставщику инструкции по его разработке. Указание целевого диапазона концентрации H₂O₂, продолжительности воздействия и критерия приемлемости биологического индикатора является условием эффективности — работа поставщика по разработке цикла должна соответствовать этим требованиям, но сам метод остается в его компетенции. Указание оборудования для впрыска, расположения форсунок или модели генератора переходит в разряд предписаний по конструкции и снижает ответственность поставщика за конечный результат. В техническом задании (URS) должны быть определены рамки, в которых цикл должен работать, а не механизм, обеспечивающий его выполнение.

Вопрос: Достаточно ли одного только URS, соответствующего описанному здесь правилу доказательности, для выполнения требований Приложения 15 в отношении квалификации, или требуется дополнительная документация?
A: Соответствие URS правилу обоснованности является необходимым предварительным условием, но не полным комплектом документации по квалификации. Приложение 15 предполагает наличие задокументированного жизненного цикла квалификации, включающего план квалификации, протокол, отчет о выполнении и итоговый отчет — каждый из которых должен быть связан с требованиями URS посредством структуры прослеживаемости. Хорошо составленный URS с конкретными критериями приемки, указанными документами и распределением задач на этапах проверки позволяет быстрее подготовить последующие документы и делает их более обоснованными при экспертизе, но не заменяет их.

Вопрос: Если одно и то же требование, критичное с точки зрения безопасности, встречается в нескольких комплектах оборудования, что лучше: сформулировать одно общее требование или дублировать его в каждом URS?
A: Скопируйте его в каждый URS, относящийся к конкретному оборудованию, с общей ссылкой на родительский документ в матрице прослеживаемости на уровне проекта, вместо того чтобы ссылаться на единое междокументное требование. Авторам протоколов, работающим с конкретным комплектом оборудования, необходимо, чтобы полные критерии приемки были видны непосредственно в их документе — перекрестная ссылка на отдельный URS создает зависимость от поиска информации, что повышает риск ошибок при выполнении. Матрица прослеживаемости — это подходящее место для того, чтобы сделать взаимосвязь между дублируемыми требованиями явной и поддающейся аудиту, не создавая при этом неустойчивых междокументных зависимостей.