BSL-3/4 Sistemleri için Alarm ve Arıza Modu Testleri: Elektrik Kesintisi, Havalandırma Arızası ve Kapı Kilitleme Tepkisi

Ters takılmış bir venturi vanası, on yıl boyunca her türlü normal çalışma kontrolünden geçebilir. Bu kurulum hatası, simüle edilmiş bir arıza nihayetinde sistemi rutin izleme işlemlerinin asla yapmadığı şekilde zorlayana kadar fark edilmez kalır — ve bu zorlama, kontrollü bir test yerine plansız bir olay olarak gerçekleşirse, laboratuvarın kendisi deney haline gelir. Arıza modu testleri, devreye alma sürecinin bir formalitesi olarak ele alındığında ekiplerin hafife aldığı temel risk budur: İlk gerçek egzoz arızası veya güç kesintisi, aylar önce giderilmesi gereken eksiklikleri ortaya çıkarır; üstelik bu durumlar genellikle gerçek biyolojik risk taşıyan koşullar altında gerçekleşir. Her bir arıza senaryosunun nasıl tanımlanacağını, aşamalandırılacağını ve giderileceğini anlamak — yanı sıra müdahale kayıtlarının sorumluluğunun kime ait olduğunu bilmek — savunulabilir bir sistemi, operasyonel olarak belgelenmiş ancak kritik noktalarda test edilmemiş bir sistemden ayıran unsurdur.

Koruma sistemlerinde güç kesintisine karşı tepki

Güç kesintisi testi, UPS’in devreye girip girmediğini doğrulamakla ilgili değildir. Asıl önemli olan soru, kontrol mantığının insan müdahalesi olmaksızın otomatik olarak güvenli bir duruma geçip geçmediği ve bu mantığın, sadece teknik özellikler listesindeki bir madde olarak kabul edilmek yerine, gerçek güç kesintisi koşulları altında doğrulanıp doğrulanmadığıdır.

Bu testler atlandığında veya kısaltıldığında, BSL-3/4 ortamlarında iki arıza modeli tekrar tekrar ortaya çıkar. İlki yangın alarmı entegrasyonuyla ilgilidir: Bir alan duman dedektörü devreye girmeden önce yangın alarmının HVAC ve egzoz sistemlerini kapatan sistemler, bir muhafaza bölgesinin basıncını gereksiz yere düşürebilir ve bu da haksız bir muhafaza kaybı olayı yaratabilir. Sıralama mantığı — duman dedektörünün devreye girmesi, HVAC kapatma komutundan önce gerçekleşmelidir — tasarım çizimlerinden varsayılmamalı, fiilen kurulu kontrol dizisine göre test edilmelidir. İkincisi ise PLC'nin arıza durumunda güvenli çalışması ile ilgilidir. Elektromanyetik kilitler, pnömatik sızdırmazlık şişirme sistemleri ve depolanmış hava yedekleme sistemleri, güç kesildiğinde devreye girecek şekilde tasarlanmıştır; ancak bu tasarlanan davranış, üçüncü tarafların gözetiminde yapılan testler yoluyla doğrulanmalıdır. Normal güç döngüsü altında doğru şekilde çalışan bir kontrol dizisi, güç aniden kesildiğinde aynı şekilde davranmayabilir ve tasarım amacı ile sahadaki gerçek davranış arasındaki fark, yalnızca dokümantasyon incelemesi yoluyla tespit edilemez.

Gözlemcili güç kesintisi testlerinin atlanmasının doğuracağı sonuçlar varsayımsal değildir. Arıza-güvenli mod hiçbir zaman doğrulanmazsa, içinde personel bulunan veya dekontaminasyon işlemi bekleyen bir laboratuvarda meydana gelen ilk plan dışı güç kesintisi olayı, herhangi bir protokol, gözlemci veya kontrollü kurtarma planı olmaksızın canlı bir test haline gelir.

Elektromanyetik kilitlerin devreye girdiğinin ve pnömatik contaların depolanmış hava kullanılarak şişirildiğinin teyidi, kontrollü koşullar altında güç kaynağının kesildiği ve her bir muhafaza sınırının fiziksel durumunun kaydedildiği, tanıkların hazır bulunduğu bir testten elde edilmelidir. Hata durumunda güvenli (fail-secure) davranışın, test edilmeden bir teknik özellik kalemi olarak kabul edilmesi, denetim sırasında savunulması zor ve bir olaydan sonra geriye dönük olarak kapatılması imkânsız bir boşluk yaratır.

Egzoz arızası alarmı ve arıza giderme testi

Egzoz sistemi arıza modları genellikle alarm eşiğinde test edilir — yani test, bir eşik aşıldığında alarmın devreye girdiğini doğrular — ancak bu eşiğe yol açan bileşenlerin mekanik durumunu doğrulamaz. Bunun pratikteki sonucu şudur: Yatak durumu bozulan bir fan, mevcut hiçbir alarmı tetiklemeden kritik arızaya yaklaşabilir; çünkü son durum alarmları, bileşenlerin sağlık durumunu değil, sonuç parametrelerini izler. Yalnızca alarm tarafından tetiklenen tepkilerle sınırlı arıza modu testleri, bu örüntüyü tamamen gözden kaçıracaktır.

Üç alanda sürekli olarak doğrulama eksiklikleri görülmektedir. Rulman aşınması, planlanmamış egzoz kaybının başlıca nedeni olmasına rağmen, fanın mekanik durumu resmi arıza modu protokollerine nadiren dahil edilir. HEPA filtresinin bütünlüğü genellikle yalnızca filtre verimlilik sertifikalarıyla doğrulanır; ancak sertifikalar fabrika performansını belgeler ve kurulum hasarı veya gövde kusurlarından kaynaklanan baypas sızıntılarını tespit edemez. EN 1822-1 standardına göre BIBO gövde sızıntı testi ile kurulu durumda aerosol test taraması yapmak doğru doğrulama yöntemidir; sertifikalar birer tamamlayıcıdır, ikame değildir. Üçüncü eksiklik, pnömatik besleme izlemeyle ilgilidir: alarm tepkisinin izlenebilmesi ve doğrulanabilmesi için, tasarım şartnamelerinde genellikle 0,15 MPa’nın altında ayarlanan düşük basınç alarm eşiğinin, zaman damgalarıyla birlikte PLC alarm günlüklerinde yer alması gerekir. Zaman damgalı günlük girişleri olmadan, alarmın arıza olayına göre ne zaman devreye girdiğini doğrulamak için bir dayanak yoktur ve doğrulama kaydı eksik kalır.

BIBO filtre değiştirme prosedürü, egzoz arızası müdahale prosedürüyle doğrudan bağlantılıdır. Bir egzoz filtresinde arıza meydana gelirse veya acil olarak değiştirilmesi gerekirse, değiştirme prosedürüne dahil edilen operatör maruziyet izleme verileri, müdahale protokolünün bir sızıntı durumunun gerçek koşulları altında personeli koruduğunu teyit eder. Doğrulanmış maruziyet verileri, ayrı bir bakım dosyası olarak değerlendirilmemeli, egzoz arızası müdahale kaydının bir parçası olarak belgelenmelidir.

Egzoz arıza test protokollerini planlayan ekipler için, Atık Gaz Arındırma Sistemi ve egzoz altyapısı birlikte birbiriyle bağlantılı bir muhafaza sınırı oluşturur; birini etkileyen arıza senaryoları genellikle her ikisini de etkiler ve test aşamaları bu bağımlılığı yansıtmalıdır.

Anormal durumlarda kapı kilitleme davranışı

Normal çalışma koşullarında yapılan kilitleme testi, sistemin beklenen koşullar altında doğru şekilde çalıştığını doğrular. Ancak bu test, bir kapı döngüsü talep edildiği sırada güç kesintisi, alarm durumu veya kısmi sistem arızası gibi durumların kilitleme mantığını zorlaması halinde ne olacağını doğrulamaz. Bu koşullar, sızıntı önleme bütünlüğünün en fazla risk altında olduğu durumlardır ve ayrı bir test dizisi gerektirir.

Burada kabul edilebilirliği belirleyen iki ölçülebilir eşik değeri vardır. Kilitleme aktivasyonu için PLC tepki gecikmesi 50 ms veya altında olmalıdır. 150–200 ms'de çalışan genel amaçlı PLC'ler, kapı döngüsü sırasında basınç kademesinin muhafaza eşiklerinin altına düşmesine neden olabilir; çünkü ikinci bir kapının açılmasını önleme komutu, basınç geçici değişimi çoktan başladıktan sonra gelir. Bu gecikme farkı, rutin çalışma kontrolleri sırasında fark edilmez, ancak resmi kabul için tanık tarafından onaylanmış geçici kayıt gerektiğinde, belgelenmiş bir muhafaza ihlali riski haline gelir. İkinci eşik, basınç kaskadının kararlılığıyla ilgilidir: Muhafaza sınırındaki diferansiyel basınç, arka arkaya 10 kapı şişirme ve söndürme döngüsü boyunca 15 Pa veya üzerinde kalmalıdır; her döngü 5 saniye içinde tamamlanmalı ve veri kaydı 1 saniye veya daha kısa aralıklarla yapılmalıdır. Her iki eşik de, ortalama basınç okumalarından çıkarılan sonuçlara dayalı olarak değil, tanıkların huzurunda gerçekleştirilen koşullar altında karşılanmalıdır.

Anormal durumlarda geçiş bölmesindeki kilitleme davranışına özel dikkat gösterilmelidir. Bir seferde yalnızca bir kapının açılması gerekliliği, sadece normal devreye alma sırasında değil, simüle edilmiş güç kesintisi ve alarm koşullarında da doğrulanmalıdır. Normal güç altında doğru şekilde çalışan kilitleme mantığı, kontrol sistemi bir alarm veya arıza moduna girdiğinde her iki kapıyı da aynı anda serbest bırakabilir ve bu da geçiş bölmesinden geçen doğrudan bir güvenlik ihlali yolu yaratabilir. Bu, normal çalışma testlerinin zorlamaya yönelik olarak tasarlanmadığı bir arıza türüdür.

Pnömatik contalı APR kapıları kullanan tesislerde, PLC gecikmesi, pnömatik besleme basıncı ve conta şişirme zamanlaması arasındaki etkileşim, sistem açısından kritik bir bağımlılıktır. Normal çalışma döngüsü sırasında 15 Pa seviyesinde sabit kalan bir basınç kademesi, anormal koşullar altında conta şişirme işleminin bir saniyenin bile çok küçük bir kısmı kadar gecikmesi durumunda eşik değerin altına düşebilir; işte bu nedenle bu testler, normal güç koşullarına dayalı yaklaşımlar altında değil, simüle etmeyi amaçladıkları gerçek anormal durumlar altında gerçekleştirilmelidir.

Simüle edilmiş arızaların güvenli bir şekilde sahnelenmesi

Simüle edilmiş arıza testleri, senaryoların kapsamlı bir risk değerlendirmesi yapılmadan sıralanması durumunda ekipmana zarar verebilir veya diğer testlerin geçerliliğini ortadan kaldırabilir. Bu sıralama sorunu teorik bir mesele değildir: Pnömatik sistemler çalışma basıncında doğrulanmadan önce gerçekleştirilen bir güç kesintisi simülasyonu, contaları ara bir durumda bırakarak sonraki basınç kademelendirme ölçümlerini bozabilir. Yanlış sıralama, test kaydının bozulmuş bir başlangıç durumundan kaynaklanan başarılı bir sonuç göstermesine yol açar ve bu sonuç, denetim veya yeniden test sırasında yapılacak ayrıntılı incelemeden geçemez.

Risk değerlendirmesine dayalı senaryo seçimi, uygulama protokolünün geliştirilmesinden önce gerçekleştirilmelidir. Canlandırılması gereken senaryolar arasında en azından şunlar yer almalıdır: insanlı ve insansız durumlarda güç kesintisi, değişken basınç koşullarında egzoz fanının devre dışı kalması, HEPA filtresinin baypas edilmesi, alarm durumlarında kapı kilitleme mantığı ve pnömatik beslemede düşük basınç olayları. Her senaryoda tetikleme koşulu, beklenen güvenli durum, alarm müdahalesi, kurtarma eylemi, kayıt formatı ve sorumlu müdahale ekibi tanımlanmalıdır. Bu yapı, arıza modu testini arıza gözleminden ayıran unsurdur.

Venturi vanası örneği, arıza modu testlerinin ihmal edilmesi durumunda neler olabileceğini göstermektedir. Ters takılmış bir vana, normal koşul parametreleri dahilinde çalışabilir; zira normal hava akış düzenleri, diferansiyel basınç alarmını tetiklemeden bu montaj hatasını telafi eder. Yalnızca simüle edilmiş bir arıza —sistemi normal çalışma aralıklarının dışında tepki vermeye zorlayan bir arıza— bu hatayı ortaya çıkarır. On yıllık normal çalışma süresince bu hata ortaya çıkmadı; ancak kontrollü bir simüle edilmiş arıza sayesinde ortaya çıktı. Bunun pratikteki anlamı şudur: Arıza modu testleri, belirli türdeki kurulum veya konfigürasyon hatalarını tespit etmenin tek yoludur ve bu testlerin daha sonraki bir proje aşamasına ertelenmesi veya tamamen ihmal edilmesi, söz konusu hataların gerçek bir olay meydana gelene kadar gizli kalmasına neden olur.

Herhangi bir arıza modu testine başlamadan önce sensör kalibrasyonu doğrulanmalıdır. Kalibre edilmemiş bir diferansiyel basınç transmiteri, sistemin gerçek fiziksel durumuyla ilişkilendirilemeyen “geçti” veya “başarısız” okumaları verecektir. Bu bir formalite değildir: Kalibrasyon önceden teyit edilmezse, kalibrasyon sağlandıktan sonra tüm test dizisi tekrarlanmalıdır ve önceki sonuçlar geçerli sayılamaz.

Kayıtlarda acil durum müdahale ekiplerinin sahipliği

Arıza modu testleri, her bir alarma kimin yanıt vereceğini, bu kişinin hangi eğitimleri tamamladığını ve kurtarma işlemlerini başlatmak için hangi yetkiye sahip olduğunu belirtmesi gereken kayıtlar oluşturur. Çoğu devreye alma projesinde, testlerin yürütülmesi mühendislik biriminin sorumluluğundadır, prosedürlerin denetimi biyogüvenlik biriminin sorumluluğundadır ve acil durum müdahalesi için ayrı eğitim gereklilikleri vardır. Bu üç alan doğal olarak birbiriyle senkronize değildir ve arıza modu test protokolünde açıkça koordine edilmediklerinde, oluşturulan kayıtlar genellikle bir alanı karşılarken diğerlerini eksik bırakma eğilimindedir.

Bu eksiklik denetim sırasında ortaya çıkar. Alarmın devreye girmesini ve geri dönüş sürecini belgeleyen, ancak her bir arıza durumu için adını belirtilmiş, eğitimli bir müdahale görevlisini tanımlamayan bir test kaydı, resmi açıdan eksik sayılır. Bu kayıt, sistemin test sırasında doğru şekilde çalıştığını teyit eder; ancak planlanmamış bir olay sırasında doğru müdahalenin gerçekleşeceğine dair herhangi bir güvence sağlamaz — çünkü bu müdahalenin sorumluluğu, belgelenmiş ve doğrulanabilir bir şekilde kimseye atanmamıştır.

Acil durum müdahale ekibinin sorumluluk dağılımı, test protokolünün kendisine dahil edilmeli, sonradan eklenmemelidir. Her bir arıza senaryosu, müdahale ekibinin rolünü, görevlendirilen kişiyi ve eğitim kaydı referansını belirten bir alanı içermelidir. Bu yapı, arıza modu test kaydının hem teknik kabul belgesi hem de operasyonel hazırlık onayı olarak işlev görmesini sağlar; bu da yüksek güvenlikli ortamlar için doğru kapsamdır.

Özellikle egzoz filtresinin arızalanması durumunda, BIBO değiştirme prosedürü, geçerliliği doğrulanmış operatör maruz kalma izleme verilerini içermelidir. Bu veriler, acil durum müdahale prosedürünün, gerçekçi sızıntı koşulları altında görevlendirilen müdahale ekibini koruduğunu teyit eder. Bu verilerin egzoz arızası müdahale kaydına dahil edilmesi, personel korumasının doğrulanmasını en çok ihtiyaç duyulan senaryoya doğrudan bağlar.

Arıza modu kabulü için kapanma eşiği

Bir arıza modu testini kapatmak için üç koşulun aynı anda yerine getirilmesi gerekir: sistem yanıtı doğru olmalı, kurtarma işlemi belgelenmiş olmalı ve kayıtlar izlenebilir ve savunulabilir olmalıdır. Kayıt koşulunu tam olarak çözmeden, sadece sistem yanıtını doğruladıktan sonra testi kapatan ekipler, genellikle nihai düzenleyici inceleme veya saha kabulü sırasında, yani olabilecek en kötü zamanda ortaya çıkan yeniden çalışma yükü yaratırlar.

Kalibrasyon belgeleri, testlerin tamamlanmasının ardından en sık eksik kalan kayıt unsurudur. Cihaz modelini ve “geçti/kalmadı” sonucunu gösteren kalibrasyon sertifikaları, yüksek güvenlikli ortamlar için yeterli değildir. Arıza modu testlerinde kullanılan her bir diferansiyel basınç transmiterinin, test başlangıcındaki ve sonundaki verileri, ölçüm belirsizliği beyanını ve ISO 17025 izlenebilirliğini içeren bir kalibrasyon sertifikası bulunmalıdır. Bu unsurlar olmadan, söz konusu cihaz tarafından üretilen test verileri bağımsız olarak doğrulanamaz ve ölçüm sorgulanırsa kabul kararı savunulamaz. Bu bir dokümantasyon tercihi değildir; test sonucunun denetlenebilir olmasını sağlayan unsurdur.

Kapı kilitleme geçici basınç testinde belirli bir kapatma şartı bulunmaktadır: Basınç basamağının hiçbir zaman 15 Pa’nın altına düşmediği 10 ardışık döngünün tanık huzurunda kaydedilmesi. Bu kriter, kabul kayıtlarında testin tatmin edici bir şekilde tamamlandığına dair genel bir ifade olarak değil, “geçti/kalktı” sonucu olarak belirtilmelidir. Tanık huzurunda, döngü bazında yapılan belgeleme, doğrulanmış bir sonucu gözlemlenen bir sonuçtan ayıran unsurdur.

Düzenlemeye tabi ilaç ortamlarında, tüm kalibrasyon kayıtlarını içeren eksiksiz IQ/OQ/PQ doğrulama paketi, tesis kabulünden önce teslim edilmelidir; kayıtlar, 21 CFR Bölüm 11 denetim izi gerekliliklerine uygun bir formatta, en az 10 yıllık saklama süresi için yapılandırılmış olmalıdır. Diğer yargı bölgelerinde ve bağlamlarda da eşdeğer kayıt bütünlüğü standartları geçerlidir; belirli saklama süresi ve elektronik kayıt gereklilikleri, geçerli düzenleyici çerçeveye göre teyit edilmelidir. Eksik veya yapısal olarak uyumlu olmayan kayıtların pratikteki sonucu, yargı bölgesi ne olursa olsun aynıdır: hata modu kabulü resmi olarak açık kalır ve proje kapatılamaz.

Kapanış kriterleri, doğrulanmış yanıt ile savunulabilir kabulün aynı şey olmaması nedeniyle mevcuttur. Testler sırasında doğru şekilde çalışan ancak izlenebilir kalibrasyon kayıtları, isimlendirilmiş yanıtlayıcı atamaları ve eksiksiz bir doğrulama paketinden yoksun bir sistem, performansını sergilemiş olsa da bunu ayrıntılı incelemeye dayanacak şekilde kanıtlamamıştır. Bunlar farklı sonuçlardır ve aralarındaki uçurumu kapatmak için kapanış kriterleri tasarlanmıştır.

Bu test dizisinin karar verilmeden önce gerektirdiği en net değerlendirme, arıza modu testlerinin ayrı bir doğrulama disiplini olarak mı ele alınacağı, yoksa devreye alma sürecine ek bir kontrol olarak mı dahil edileceğidir. Bu iki yaklaşım birbirinin eşdeğeri değildir. Devreye alma sürecine eklenmiş bir kapsam, genellikle normal koşullar altında alarm aktivasyonunu test eder ve bunu yeterli kabul eder. Ayrı bir arıza modu disiplini ise, sistemi normal çalışma parametrelerinin ötesinde zorlayacak şekilde özel olarak tasarlanmış koşullar altında tetikleme, güvenli durum, alarm, kurtarma, dokümantasyon ve yanıtlayıcı sahipliğini eksiksiz bir zincir olarak test eder. İlk yaklaşımda fark edilmeden geçen gizli kurulum hataları, PLC gecikme boşlukları ve eksik yanıtlayıcı sahiplik kayıtları, genellikle ikinci yaklaşımda ortaya çıkar.

Herhangi bir arıza modu test paketinin kapatılmasını kabul etmeden önce, kalibrasyon sertifikalarının ISO 17025 izlenebilirliğine sahip “bulunduğu haliyle/bırakıldığı haliyle” verilerini içerdiğini, basınç kaskad kayıtlarının tanıklar huzurunda yapılmış ve döngü bazında çözümlenmiş olduğunu, her alarm senaryosunda bağlantılı bir eğitim kaydı bulunan eğitimli bir müdahale görevlisinin belirtildiğini ve IQ/OQ/PQ paketinin ilgili düzenleyici çerçeve kapsamında uzun vadeli saklama için yapılandırıldığını doğrulayın. Teknik olarak doğru ancak kayıtları eksik olan bir test açık kalır; bu testi tesis kabulünden sonra yeniden açmak, sorunu önceden çözmekten çok daha maliyetli bir soruna yol açar.

Sıkça Sorulan Sorular

S: Tesis, 21 CFR Bölüm 11 veya bir ilaç mevzuatı kapsamında düzenlemeye tabi değilse, bu test yaklaşımı yine de geçerli midir?
C: Evet — temel arıza modu ilkesi, düzenleyici çerçeve ne olursa olsun geçerlidir; ancak belirli kayıt saklama süreleri ve elektronik denetim izi gereklilikleri yargı yetkisi alanına göre değişiklik gösterecektir. Herhangi bir BSL-3/4 ortamında temel risk aynıdır: doğrulanmamış arıza güvenliği mantığı, anormal durumlarda test edilmemiş kilitleme davranışı ve eksik yanıtlayıcı sahipliği, bir ilaç düzenleme kurumu kayıtları inceliyor olsun ya da olmasın, gizli boşluklar yaratır. Yetki alanınız için geçerli saklama ve kayıt bütünlüğü gerekliliklerini teyit edin, ancak ilaç düzenlemesinin bulunmamasını arıza modu testlerinin kapsamını daraltmak için bir neden olarak görmeyin.

S: Beş arıza türü kategorisinin tamamı kabul sürecinden geçtikten sonra — laboratuvar faaliyete geçmeden önce — derhal ne yapılmalıdır?
C: Onaylanmış arıza modu kayıtları, operasyonel hazırlık sorumlularına — biyogüvenlik, tesis yönetimi ve acil durum müdahale birimleri — resmi olarak devredilmelidir; bu devir sırasında, adı geçen her müdahale görevlisinin kendisine atanan senaryoyu gözden geçirdiği ve eğitim kayıtlarının güncel olduğu açıkça teyit edilmelidir. Kabul aşamasının başarıyla geçilmesi, belgelenmiş bir temel oluşturur; ancak gerçek olaylara müdahale edecek personele, ilk kullanımdan önce kendilerine atanan senaryoların sorumluluğu resmi olarak devredilmemişse, bu temel değerini yitirir. Bu devretme adımı, testin kapanışından farklıdır ve ayrı bir operasyonel hazırlık aşaması olarak ele alınmalıdır.

S: Bir tesis, 50 ms eşiğini karşılayan bir sistem temin edemediği takdirde, PLC gecikmesi hangi noktada kabul edilebilir hale gelir?
C: Sunulan kanıtlarda tanımlanmış bir alternatif eşik değeri bulunmamaktadır; bu da, 50 ms’nin üzerinde çalışan bir sistemin, kapı döngüsü sırasında basınç kaskadı açısından çözülmemiş bir kontrol riski taşıdığı anlamına gelir. Pratik çözüm, daha yüksek bir gecikme süresini kabul etmek değil; kurulu diferansiyel basınçtaki basınç kaskadı marjının — kapı döngüsü zamanlamasıyla birleştirilerek — telafi edecek şekilde tasarlanıp tasarlanamayacağının değerlendirilmesidir. Bu değerlendirme, modellemeyle elde edilen yaklaşık değerlere değil, gerçek anormal durumlar altında tanık eşliğinde yapılan geçici basınç kayıtlarına dayanmalıdır. Kurulu PLC gecikme süresinde 10 ardışık döngü boyunca ≥15 Pa değeri korunamıyorsa, kontrol sistemi veya kapı sıralama mantığı kabul edilmeden önce, kabul edildikten sonra değil, düzeltilmelidir.

S: Mevcut bir BSL-3/4 tesisinin yenilenmesi veya genişletilmesi durumunda, arıza modu testlerinin kapsamı, yeni bir tesisin inşasına kıyasla nasıl değişir?
C: Bir yenileme veya genişletme projesi, değiştirilen sistemlerin değiştirilmemiş eski sistemlerle, yeni kurulum testlerinin tespit etmek üzere tasarlanmadığı şekillerde etkileşime girmesi gibi ek bir risk ortaya çıkarır. Bir yenileme projesi için yapılan arıza modu testleri, yeni ve mevcut sistemler arasındaki sınırı zorlayan senaryoları açıkça içermelidir — örneğin, yeni bir PLC’nin eski sensörler tarafından üretilen alarm durumlarını doğru bir şekilde yorumlayıp yorumlamadığı veya yeni bir egzoz fanının devre dışı kalmasının mevcut yangın alarmı entegrasyon dizisi boyunca doğru bir şekilde yayılıp yayılmadığı gibi. Yalnızca yeni kurulan bileşenleri test etmek ve eski davranışları daha önce doğrulanmış olduğu için kabul etmek, etkileşim sınırını test edilmemiş bırakır; oysa yapılandırma hatalarının ortaya çıkma eğiliminde olduğu yer tam da burasıdır.

S: Deneyimli bir kurum içi mühendislik ekibine sahip daha küçük ölçekli bir BSL-3 tesisi için, üçüncü taraf gözetiminde yapılan testlerin maliyeti buna değer mi?
C: Üçüncü taraf tanıklığı, yalnızca yetkinlik açısından değil, savunulabilirlik açısından da gereklidir. Deneyimli bir kurum içi ekip testi doğru bir şekilde gerçekleştirebilir; ancak tanık eşliğinde hazırlanan bir kayıt, düzenleyici denetim, sigorta incelemesi veya olay soruşturması sırasında temelde farklı bir delil niteliği taşır. Bu ayrımın en çok önem kazandığı belirli arıza modları — ani güç kesintisi durumunda arıza-güvenli PLC mantığı ve anormal kapı durumlarında basınç kaskadı kararlılığı — tam da kendi kendine onaylanmış bir sonucun en çok sorgulanacağı senaryolardır. Bu belirli senaryolar için üçüncü taraf tanıklığının maliyeti, tesisin devri sonrasında kabul sürecinin yeniden başlatılmasının veya bağımsız doğrulamadan yoksun bir olay kaydını savunmanın maliyetine kıyasla oldukça düşüktür.