Квалификация систем транспортировки материалов: FAT, SAT, IQ, OQ и документация по циклам

Система транспортировки материалов, прошедшая заводские испытания, всё равно может выйти из строя на объекте, если условия монтажа, последовательность нагрузочных испытаний или данные о циклах работы с конкретной нагрузкой не соответствуют тому, как оборудование фактически работает после установки. Решение о том, на каком этапе квалификации должны быть получены те или иные данные, — это не просто формальность в документации; от этого зависит, выявятся ли пробелы в охвате в ходе квалификации или уже после ввода системы в эксплуатацию. Практический вопрос для проектной группы заключается не в том, требуются ли все этапы — FAT, SAT, IQ, OQ и данные о циклах нагрузки, — а в том, какое требование относится к какому этапу и что произойдет, если это распределение неясно.

Отнесите каждое требование к соответствующему этапу квалификации

Каждое требование в спецификации пользовательских требований подразумевает определенный тип подтверждающих данных, и этот тип данных доступен только на определенных этапах жизненного цикла оборудования. Функция, которую можно проверить на собранном агрегате до его отгрузки с завода, дает один вид подтверждающих данных; функция, которая зависит от того, как агрегат размещается на конечном месте установки, подключается к инженерным сетям объекта или взаимодействует с соседним оборудованием, дает другой вид данных. Если требование считается выполненным на основании любого удобного теста, а не на основании теста, способного предоставить достоверные доказательства для данного требования, в протоколе аттестации в конечном итоге появляются пробелы, которые становятся заметны только тогда, когда кто-то пытается проследить связь между требованием и соответствующими доказательствами.

Вот почему EudraLex Том 4 Приложение 15 рассматривает квалификацию монтажа, эксплуатационную квалификацию и квалификацию работоспособности как оценку отдельных видов доказательств, а заводские приемочные испытания — как процедуру, которая может быть дополнена приемочными испытаниями на объекте, а не заменена ими. Эта логика применима к любому проекту: если требование касается условия, зависящего от монтажа, никакое количество заводских испытаний не решит эту проблему, поскольку важное условие не существует до тех пор, пока агрегат не будет установлен. Если требование касается функции, которая остается неизменной независимо от того, находится ли агрегат на заводе или в месте окончательной установки, повторное проведение этого испытания на месте дает дополнительное подтверждение, но, как правило, не изменяет того, что уже известно.

Практическая задача покупателя или руководителя по валидации заключается в том, чтобы пройтись по списку требований и для каждой строки задать вопрос: на каком этапе можно фактически получить соответствующие доказательства. Если требование охватывает более одного условия — например, последовательность, которая должна выполняться корректно, но при этом зависит от того, как она была подключена или настроена во время установки, — то доказательства по этому требованию, возможно, придется разделить между двумя этапами, причем каждый этап будет охватывать только ту часть, которую он действительно может проверить. Если оставить такое разделение неявным, это приведёт к появлению документа, в котором будет заявлено о полном охвате, хотя на самом деле он будет основан на частичных доказательствах.

Данное задание также влияет на то, как используются данные, предоставляемые поставщиком. Приложение 15 допускает использование документации поставщика в качестве основы для квалификации, но при условии проведения проверки на соответствие условиям объекта, что означает: собственные протоколы испытаний поставщика не заменяют подтверждения того, что те же условия сохранятся после установки оборудования на объекте. Заказчику, работающему на основе перечня требований, целесообразно заранее обозначить, какие пункты должны быть подтверждены документацией поставщика с учетом указанной проверки, а для каких пунктов единственным возможным источником подтверждения являются испытания, проводимые непосредственно на объекте.

Разграничить заводские испытания и проверки на объекте, зависящие от условий монтажа

Различие между FAT и SAT Дело не в самом месте как таковом, а в том, какие условия тестовая среда действительно способна воссоздать. На заводе можно собрать устройство, подключить его к источнику питания и проверить его функциональность, но невозможно воссоздать коммунальные услуги, физические интерфейсы и историю транспортировки, которые появляются только после того, как оборудование поступает на конечный объект. Любое требование, зависящее от этих специфических для объекта условий, не может быть выполнено на этапе приемочных испытаний (FAT), независимо от того, насколько тщательно проводятся заводские испытания.

Это имеет прямые последствия для настройки. Если система собирается и тестируется как единое целое на заводе, а затем отгружается в неизменном виде, то набор факторов, которые могут измениться в период между приемочной проверкой (FAT) и установкой, относительно ограничен, но всё же включает такие моменты, как целостность соединений, смещение калибровки во время транспортировки, а также соответствие принимающих систем тем параметрам, которые предполагались во время заводских испытаний. Если же система собирается частично на месте, то, по определению, её функциональное поведение в большей степени зависит от условий установки, поскольку функции, зависящие от завершённой сборки, не могут быть полностью проверены до тех пор, пока эта сборка не будет выполнена.

В данном разделе особое внимание следует уделить сигнализации и блокировкам. Заводские испытания позволяют подтвердить, что сигнализация или блокировка реагируют надлежащим образом при заводской схеме подключения и конфигурации. Однако они не могут подтвердить, что такая же реакция сохранится после подключения устройства к системам управления, инженерным сетям объекта или соседнему оборудованию, поскольку на момент проведения заводских испытаний этих подключений не существовало. Любая блокировка или сигнализация, правильная работа которой зависит от внешней системы, доступной только после монтажа, должна пройти повторное испытание на этапе SAT, а не считаться перенесенной из результатов FAT.

Физические повреждения представляют собой отдельную категорию доказательств, зависящих от условий установки, отличную от функциональных характеристик. Устройство может работать корректно и при этом иметь повреждения, полученные при транспортировке, которые пока не проявились в виде функционального сбоя. Если в перечне требований отсутствие повреждений рассматривается как неявно охватываемое функциональным тестированием, покупатель должен убедиться, что визуальный и физический осмотр является отдельным, фиксируемым этапом в рамках SAT, а не предположением, включенным в итоговый результат функционального тестирования (“прошел/не прошел”).

Основной вопрос, который покупатель должен задать поставщику, заключается в том, какие конкретно функции были продемонстрированы в ходе приемочных испытаний на месте (FAT) в условиях, отличающихся от условий окончательной установки, и какие из этих функций, следовательно, требуют проведения отдельных приемочных испытаний на месте (SAT), а не повторного проведения тех же испытаний на тех же условиях.

Проверить установку, инженерные коммуникации, документацию и откалиброванные приборы на этапе ввода в эксплуатацию (IQ)

Квалификация монтажа подтверждает то, что было фактически установлено, а не то, на что способно оборудование. Это различие имеет важное значение, поскольку «правильно установленная система» и «правильно функционирующая система» — это разные утверждения, каждое из которых требует собственных доказательств. Квалификация монтажа устраняет расхождение между тем, что было указано в техническом задании или заказано, и тем, что физически имеется на объекте, включая конфигурацию, подключенные инженерные сети и документацию, описывающую и то, и другое.

Проверка конфигурации в ходе приемочных испытаний (IQ) имеет смысл только в том случае, если существует утвержденная конфигурация, с которой можно сравнивать. Если утвержденная конфигурация не была четко определена до начала монтажа — например, потому что решения по конфигурации все еще дорабатывались по ходу монтажа, — то в отчете по приемочным испытаниям возникает риск сравнения фактического состояния установленного оборудования не с фиксированным эталоном, а с «подвижной целью». Эту проблему заказчик должен решить до начала монтажа, а не во время самой проверки в ходе приемочных испытаний, поскольку ее устранение впоследствии обычно означает повторное рассмотрение решений, которые уже должны были быть приняты.

Связанная с этим проблема возникает в отношении инженерных сетей и интерфейсов. Подключение к инженерной сети может казаться завершенным, хотя оно не было проверено на соответствие параметрам, которые фактически требуются оборудованию для работы в соответствии с назначением. В случаях, когда инженерная сеть используется совместно с другим оборудованием или проходит через промежуточную инфраструктуру, подтверждение соответствия подключения требованиям оборудования становится проверкой, зависящей от конкретного объекта, и её нельзя сделать на основании одного лишь факта физического наличия подключения.

Полнота документации на этапе IQ — это не бюрократическая формальность; это механизм, благодаря которому на последующих этапах можно полагаться на фактическое состояние установки без необходимости повторной проверки с нуля. Даже если для установленного оборудования имеется документация поставщика, она все равно требует проверки на соответствие условиям объекта, в соответствии с тем, как в Приложении 15 данные поставщика рассматриваются как информативные, а не автоматически достаточные. В отчете IQ должно быть указано не просто наличие документов, но и то, что кто-то подтвердил их соответствие тому, что было фактически установлено, поскольку несоответствия между фактическим состоянием и документацией, как правило, выявляются на самом неподходящем этапе, если их не выявить на данном этапе.

Калиброванные приборы завершают рассмотрение данного раздела. Любой прибор, используемый для получения данных, подтверждающих соответствие требованиям, будь то в ходе самой процедуры ввода в эксплуатацию (IQ) или на последующих этапах, должен иметь данные о калибровке, выполненной до начала его использования. Вывод по результатам процедуры ввода в эксплуатацию (IQ), основанный на измерениях, полученных с помощью прибора без действующей калибровки, не является достоверным, независимо от того, какие показания дает сам прибор.

Последовательности тестовых операций, блокировки, сигналы тревоги и рабочие пределы в ходе операционной квалификации (OQ)

Операционная квалификация заключается в том, что оборудование подвергается нагрузкам, выходящим за пределы утвержденных эксплуатационных критериев, а не просто наблюдается за его работой в благоприятных условиях. Отличительной особенностью документации по операционной квалификации является то, что в ней фиксируется, что на самом деле происходит при воздействии определенных условий, и сравнивается с тем, что, согласно утвержденным критериям, должно происходить, а не просто отмечается, что оборудование работало без сбоев.

Последовательности, блокировки, сигналы тревоги и рабочие пределы представляют собой разные категории испытаний, и результат в одной категории не заменяет результат в другой. Последовательность может быть успешно выполнена, хотя блокировка в рамках этой последовательности фактически так и не сработала во время испытания, поскольку последовательность выполнялась в условиях, при которых условия срабатывания блокировки никогда не возникали. Если испытания OQ разрабатываются исключительно с учетом выполнения последовательности по нормальному пути, без намеренного создания условий, вызывающих срабатывание блокировок и сигналов тревоги, полученный отчет демонстрирует, что оборудование работает, когда ничего не идет не так, что является более узким утверждением, чем демонстрация того, что оборудование реагирует правильно, когда что-то идет не так.

Это особенно актуально для систем с блокировками, связанными с безопасностью, или сигнализацией, привязанной к процессу перемещения материала, когда ситуация, от которой защищает блокировка, может естественным образом не возникать в ходе обычного рабочего цикла. В ходе квалификации по эксплуатации (OQ) необходимо целенаправленно создать условия, вызывающие срабатывание, проследить за фактической реакцией системы и сопоставить её с утвержденным критерием, а не полагаться на отсутствие сигнала тревоги во время нормальной работы в качестве доказательства исправности сигнализации.

Эксплуатационные пределы предполагают иной подход к оценке. Испытание на пределе должно проверять поведение системы на самой границе допустимого диапазона или вблизи нее, а не просто подтверждать, что оборудование работает корректно в пределах безопасного диапазона. Если предел установлен по конкретной причине, связанной с технологическим процессом или защитной функцией оборудования, испытания, проводимые значительно в пределах этого предела, не дают представления о том, что происходит при приближении системы к нему.

Тестирование в режиме сбоев расширяет эту логику: оно направлено не только на то, чтобы выяснить, правильно ли работает оборудование в нормальных и предельных условиях, но и на то, что происходит в случае сбоя, а также на то, приводит ли этот сбой к утвержденной реакции, а не к непредсказуемой. Любой разрыв между наблюдаемой реакцией на сбой и утвержденным критерием является отклонением, а не просто примечанием, и его необходимо фиксировать и оценивать как таковое, а не устранять в неформальном порядке в ходе тестирования. Связанные с этим вопросы, связанные с операционной квалификацией для оборудования, связанного с перекачкой и удержанием, затрагивает вопросы реализации конкретных функций, таких как те, что выполняются в VHP, BIBO, проходная камера, или системы дверей APR, спроектированы таким образом, чтобы обеспечивать возможность сбора доказательств в ходе операционной квалификации (OQ), поскольку блокировки и сигнализация, связанные с передачей материала, часто располагаются на границе взаимодействия между этими системами и окружающим технологическим процессом.

Перед выпуском продукта необходимо проверить типовые циклы нагрузки и задокументировать отклонения

Данные циклов испытаний с конкретной нагрузкой дают ответ на вопрос, на который OQ не может ответить самостоятельно: работает ли система в соответствии с требованиями при тех нагрузках и технологических условиях, с которыми она фактически столкнется в эксплуатации, а не в идеализированных или минимальных условиях, используемых для проверки отдельных функций. Цикл, прошедший испытания при небольшой или нерепрезентативной нагрузке, не гарантирует, что тот же цикл будет работать корректно при нагрузке, фактически создаваемой технологическим процессом, поскольку характеристики нагрузки могут влиять на движение материала, на распределение воздействия цикла или на местоположение средств мониторинга, необходимых для обнаружения неисправности.

На этом этапе Приложение 1 к GMP ЕС‘Описанный в [источнике] подход к контролю переноса и данным о циклах деконтаминации приобретает непосредственное значение: циклы необходимо валидировать и контролировать на основе данных, соответствующих условиям стерильного производства, в которых они реализуются, с учетом того, что Приложение 1 не содержит универсальных параметров циклов или фиксированного плана использования индикаторов, применимого ко всем проектам. Конкретные параметры, точки мониторинга и подход к использованию индикаторов должны устанавливаться с учетом фактически используемой загрузки и технологического процесса, а не приниматься из общего шаблона.

В данном случае ключевым понятием является репрезентативность. Схема нагрузки, используемая для цикловой аттестации, должна отражать нагрузку, которую оборудование будет выдерживать в производственных условиях, с точки зрения расположения материала, степени использования имеющейся мощности и вероятного расположения наиболее уязвимых точек в этой нагрузке. Если схемы производственной нагрузки варьируются в зависимости от различных продуктов или конфигураций партий, одна репрезентативная схема может не охватить все случаи, и в рамках проекта необходимо решить, охватывает ли одна аттестованная схема весь диапазон ожидаемых нагрузок или же для нескольких схем требуется отдельное подтверждение цикловой аттестации.

Выбор места мониторинга напрямую зависит от репрезентативности нагрузки. Точка мониторинга, оптимально расположенная для одной конфигурации нагрузки, может не быть той точкой, в которой с наибольшей вероятностью проявится отказ при другой конфигурации. Не существует универсального плана мониторинга или показателей, применимого независимо от нагрузки; расположение точек мониторинга должно обосновываться исходя из того, в каком месте цикл, как ожидается, будет наименее эффективным с учетом конкретной схемы нагрузки, проходящей квалификацию.

Отклонения, зафиксированные в ходе цикловых испытаний, требуют индивидуальной оценки с учетом утвержденных критериев, применимых к данному циклу, а не должны рассматриваться как устраненные лишь на том основании, что общий результат цикла выглядел приемлемым. Решение о допуске к эксплуатации, основанное на результатах цикловых испытаний, должно учитывать значение каждого отклонения для конкретной испытуемой нагрузки и условий эксплуатации, и такое решение относится именно к этой нагрузке и этим условиям, а не является общим выводом о работоспособности оборудования в различных условиях.

Тщательный контроль, невыполненные задачи и обязанности по передаче дел

Полезность пакета квалификационных документов зависит от его способности по запросу показать, какое требование подтверждается каким доказательством и почему. Матрица прослеживаемости существует для того, чтобы дать прямой ответ на этот вопрос: для каждого требования в URS — на каком этапе были получены соответствующие доказательства, а также, в случае использования результатов испытаний поставщика без повторного тестирования на объекте, что оправдывает такое доверие. Если эта сопоставительная таблица остается неявной, у эксперта по проверке нет эффективного способа подтвердить, что каждое требование действительно имеет подтверждающие доказательства, а не просто доказательства, которые где-то присутствуют в пакете без четкой связи с требованием, которое они должны были удовлетворить.

Повторное использование результатов испытаний поставщика является постоянным источником неоднозначностей в данном процессе завершения работ. Принятие результатов заводских испытаний поставщика без повторного проведения испытаний на объекте может быть оправданным, но только в том случае, если проверка пригодности объекта действительно была проведена и задокументирована, в соответствии с тем, как в Приложении 15 документация поставщика рассматривается как информативная, а не автоматически принимаемая. Без записи об этой проверке в матрице прослеживаемости нельзя честно утверждать, что требование выполнено; можно лишь утверждать, что имеются доказательства из контекста, который не был подтвержден как соответствующий данному объекту.

Отклонения и открытые позиции — это связанные между собой, но разные категории, и их смешивание приводит к проблемам с закрытием. Отклонение фиксирует отклонение от утвержденного критерия вместе с его оценкой и принятым на этом основании решением; закрытие этапа тестирования, на котором произошло отклонение, не приводит к автоматическому закрытию самого отклонения, особенно если по итогам оценки был сделан вывод о необходимости принятия дальнейших мер. Незавершённый пункт фиксирует оставшиеся действия и их текущий статус; он должен оставаться видимым, с задокументированным влиянием на приёмку или выпуск, до тех пор, пока не будет принято решение, явно закрывающее его или переносящее его на другой этап либо в режим рутинной эксплуатации.

Передача ответственности — это тот момент, когда работа по закрытию проекта переходит из документальной плоскости в практическую. Каждый оставшийся пункт — будь то невыполненное действие или отклонение, по-прежнему находящееся на контроле, — требует назначения конкретного лица, ответственного за принятие необходимых мер, поскольку общее распределение ответственности, как правило, приводит к тому, что, как только проект переходит в режим рутинной эксплуатации, ответственность фактически не ложится ни на кого конкретно. Именно на этом этапе информация о проекте, принадлежащая самому заказчику, включая требования и критерии приемки, установленные ранее в ходе проекта, влияет на подход Qualia к проверке конфигурации и коммерческого предложения в отношении оборудования, которое заказывает заказчик, поскольку ожидания в отношении прослеживаемости, установленные на данном этапе, определяют, какие доказательства необходимо предоставить поставщику на этапах FAT, SAT и OQ. Где документация по передаче дел поскольку структура более широкого проекта, включая URS, FAT, SAT и последовательность IQ/OQ/PQ, уже была разработана для аналогичного проекта по созданию герметичной камеры или лаборатории уровня биологической безопасности (BSL), приведение пакета документов по квалификации передачи материалов в соответствие с той же логикой прослеживаемости снижает вероятность того, что какое-либо требование окажется в «пробеле» между тем, что проверил поставщик, и тем, что подтвердил объект.

Часто задаваемые вопросы

Q: В каких случаях можно повторно использовать результаты заводских приемочных испытаний вместо проведения тех же испытаний на объекте?
A: Повторно использовать его следует только в том случае, если в ходе проверки пригодности объекта будет подтверждено, что испытание, проведенное поставщиком, соответствует применимым требованиям URS, а в документации по прослеживаемости будет объяснено, почему повторное испытание не требуется. В отношении коммуникаций, интерфейсов, сигнализации, блокировок, повреждений при транспортировке и других условий, зависящих от особенностей объекта, по-прежнему требуется соответствующая документация, подтверждающая соответствие на объекте.

Q: Что должна подготовить проектная группа до начала квалификации передачи материала?
A: Подготовьте утвержденные технические требования (URS) и критерии приемки, запланированные последовательности операций и условия испытаний, информацию об установленной конфигурации и инженерных сетях, соответствующую документацию по калибровке и оборудованию, а также типичные условия нагрузки и технологического процесса. Это позволит отнести каждое требование к тому этапу, на котором можно получить соответствующие подтверждающие данные.

Q: Как следует поступать в случае изменений, связанных с транспортировкой или монтажом, после проведения приемочных испытаний (FAT)?
A: Сохраните запись FAT, а затем определите, какие утилиты, интерфейсы, функции, сигнализации, блокировки или состояние оборудования могли измениться после отгрузки или монтажа. Эти элементы, подвергшиеся изменениям, следует проверить на соответствующем этапе работ на объекте, при этом повреждения и неустраненные расхождения должны быть зафиксированы в качестве видимых нерешенных вопросов.

Q: Является ли успешное прохождение квалификационных испытаний (OQ) основанием для разрешения на ввод в эксплуатацию проходного шкафа, погружной камеры или проходного шкафа с ультравиолетовой стерилизацией (VHP) для предусмотренной нагрузки?
A: Само по себе испытание OQ не является доказательством цикличности при конкретной нагрузке. Разрешение на эксплуатацию при заданной нагрузке должно быть увязано с представленной схемой нагрузки, применимыми технологическими условиями, точками мониторинга, зарегистрированными отклонениями и утвержденными критериями, специфичными для данного проекта.

Q: Как отклонение от квалификационных требований должно повлиять на решение о выпуске или передаче продукции?
A: Оцените его с учетом конкретного утвержденного критерия, на который он влияет, и зафиксируйте принятое решение. В записи должно быть указано, закрыта ли проблема или перенесена на более поздний срок, как она влияет на приемку или выпуск, какие действия предстоит предпринять, а также кто из участников проекта несет ответственность за эти действия.