A cabine de pesage Le dossier de qualification mentionne généralement deux étapes de réception — le FAT et le SAT — mais la question la plus épineuse est de savoir ce que chacune d’elles doit recouvrir. Si l’on considère cette distinction comme une simple formalité, soit le projet se retrouve à payer pour des tests redondants dont il n’avait pas besoin, soit il se rend compte sur site qu’une exigence n’a en réalité jamais été vérifiée nulle part. C’est en définissant clairement le périmètre dès le début du programme de tests que l’on garantit la validité du reste du dossier de réception.

Commencez par l'URS et la matrice d'acceptation

Chaque exigence figurant dans le cahier des charges utilisateur implique un lieu où elle peut être vérifiée, une condition qui doit être remplie pour que cette vérification ait un sens, une personne responsable de la production du résultat, ainsi qu’un plan d’action à suivre si le résultat n’est pas conforme. C’est le fait de négliger cette mise en correspondance qui est à l’origine des litiges lors des tests FAT/SAT ultérieurs, car une exigence formulée en termes généraux (“ la circulation de l’air doit être vérifiée ”) ne précise pas si c’est dans l’atelier de fabrication ou dans la salle finie que la vérification doit avoir lieu.

La question du lieu est importante car un contrôle effectué dans un contexte inapproprié peut produire un résultat qui semble complet mais qui n’a aucune valeur probante réelle. Une séquence de contrôle peut être exécutée sur un banc d’essai sans conduit raccordé ; une alarme peut être déclenchée à l’aide d’un signal de test avant même qu’un capteur ne soit effectivement monté à son emplacement définitif. Dans les deux cas, le résultat est « conforme ». Aucun des deux ne permet de déterminer si le comportement sera le même une fois que la cabine sera installée, raccordée et en fonctionnement au sein de la pièce. La colonne « conditions préalables » d’une matrice de traçabilité existe précisément pour rendre compte de cela : elle précise ce qui doit être vérifié — des conditions d’usine convenues ou une configuration de site approuvée — avant qu’un contrôle donné puisse être considéré comme une preuve.

La désignation d’un responsable des preuves n’est pas une simple formalité administrative. Lorsque le fournisseur génère et conserve les données, le rôle de l’équipe de projet se limite à l’examen et à la validation ; lorsque l’équipe de site génère les données, la documentation préalable du fournisseur sert de référence de base plutôt que de document final. C’est en confondant ces deux rôles que des lacunes apparaissent : chaque partie part du principe que l’autre a validé une exigence qu’aucune des deux n’a en réalité testée dans des conditions valides.

La procédure d'exception est la partie qui reste le plus souvent implicite. Si une exigence ne peut être satisfaite à l’étape prévue — une spécification n’était pas disponible, un équipement n’était pas encore raccordé, un document n’avait pas été finalisé —, la matrice doit prévoir un parcours défini pour signaler, suivre et combler cette lacune avant que le processus n’atteigne la phase de qualification. Sans ce parcours, les exceptions sont reportées de manière informelle et refont surface sous forme d’objections lors de l’examen IQ/OQ/PQ, alors qu’il est plus difficile et plus long de les corriger à ce stade que de les résoudre dès leur identification initiale.

Attribuer les contrôles de compilation et les contrôles fonctionnels à FAT

Le FAT a pour but de vérifier ce que le fournisseur est en mesure de démontrer dans des conditions qu’il maîtrise. C’est là que réside la limite : si un contrôle dépend uniquement de la façon dont l’appareil est fabriqué, câblé et configuré — et non de la pièce dans laquelle il sera installé —, il relève du FAT.

La construction et l’examen des documents s’inscrivent parfaitement dans ce cadre. Les certificats de matériaux, la finition des surfaces, la conformité dimensionnelle au plan approuvé, l’exactitude des plaques signalétiques et des étiquettes, ainsi que le câblage interne et la disposition du tableau de commande peuvent tous être vérifiés par rapport au dossier de conception, sans que les conditions réelles du site n’entrent en ligne de compte. Il en va de même pour la logique de commande : la séquence de fonctionnement, les verrouillages entre les composants qui font déjà partie de l’unité et le déclenchement des alarmes au niveau de la commande peuvent être testés à l’aide des voies de signalisation internes de la cabine, indépendamment de la manière dont celle-ci sera finalement raccordée ou alimentée sur site.

Les contrôles fonctionnels qui reposent uniquement sur les systèmes autonomes de la cabine s’inscrivent également naturellement dans le cadre des essais FAT. Il est possible de faire fonctionner un ventilateur, de relever la valeur d’un manomètre différentiel face à une résistance simulée, de vérifier le bon positionnement d’un filtre et l’étanchéité de celui-ci à l’aide du banc d’essai du fournisseur, et de s’assurer qu’une alarme locale se déclenche et s’affiche correctement. Aucun de ces résultats ne change lorsque l’unité est ensuite raccordée au réseau de gaines du site, à l’alimentation électrique ou à un système de gestion technique du bâtiment : ces tests évaluent la qualité de fabrication et la logique interne de l’équipement lui-même, et non son comportement en tant que système installé.

Lorsqu'une exigence se situe à la frontière — par exemple, une alarme qui sera à terme reliée à un système de surveillance au niveau du site —, le périmètre du FAT doit porter sur le fonctionnement de la sortie de la cabine elle-même (génère-t-elle le signal correct, au bon moment, dans le bon format) sans prétendre vérifier comment ce signal se comporte une fois qu'il atteint un système que le fournisseur ne contrôle pas. Cette distinction garantit l’exactitude du compte-rendu du FAT quant à ce qu’il prouve réellement, ce qui est important lorsque la même exigence réapparaît lors du SAT sous une forme différente.

Transférer les interfaces et les performances spécifiques au site vers SAT

Le SAT existe car certaines exigences ne permettent d'obtenir des preuves valides qu'une fois la cabine physiquement installée à l'emplacement prévu, raccordée aux réseaux du site et fonctionnant dans le cadre de la pièce achevée. La condition déterminante est la configuration approuvée du site : si un résultat dépend du tracé réel des conduits, de l'alimentation électrique réelle, de la cascade de pression réelle dans la pièce ou de la position réelle de la cabine par rapport aux autres équipements, aucun essai en usine — aussi soigneusement réalisé soit-il — ne peut s'y substituer.

Le comportement des flux d’air en est l’exemple le plus parlant. Un fournisseur peut valider la courbe de fonctionnement d’un ventilateur et un débit nominal sur un banc d’essai, mais le profil de vitesse réel, l’uniformité et le comportement de récupération à l’intérieur de la cabine dépendent de la géométrie du réseau de conduits, de la pression statique imposée par le système du site et de l’équilibre de l’air propre à la pièce. Il s’agit là de propriétés du système installé, et non de l’unité prise isolément, et elles ne peuvent être mesurées de manière pertinente qu’une fois l’installation terminée.

Les points d’intégration dans les locaux suivent la même logique. La pression différentielle par rapport à la pièce environnante, l’interface avec le système de gestion technique du bâtiment ou de surveillance de l’installation, ainsi que le comportement des alarmes une fois celles-ci raccordées à un tableau au niveau du site, dépendent tous de connexions et de conditions qui n’existent pas en usine. Un signal de commande dont la conformité a été confirmée lors des essais d’acceptation sur site (FAT) doit encore faire l’objet d’une vérification pour s’assurer qu’il parvient bien à la destination prévue, dans le format prévu, une fois le câblage du site en place — il s’agit d’une vérification différente de celle effectuée précédemment, même si elle concerne la même alarme.

Les vérifications spécifiques aux fluides font également partie de cette catégorie : tension d’alimentation réelle et qualité de celle-ci, raccordement réel à l’air comprimé ou au fluide de process le cas échéant, ainsi que toute condition environnementale propre au site dans laquelle la cabine fonctionnera. Lorsque le cahier des charges (URS) spécifie une exigence de performance relative à la salle plutôt qu’à l’unité — comportement de propreté défini, contrôle de la contamination croisée par rapport aux opérations adjacentes —, cette exigence relève intrinsèquement d’un élément de la SAT, car c’est la salle qui fait l’objet de l’évaluation, et non la cabine prise isolément. Le critères d'acceptation pris en compte pour l'installation d'une cabine d'échantillonnage similaire reflètent ce même principe : les performances liées à l'environnement d'installation sont validées dans cet environnement.

Déterminez ce qui doit être répété après l'accouchement

Répéter automatiquement chaque test FAT lors du SAT représente un gaspillage d'efforts pour vérifier des éléments qui n'ont pas pu changer ; ignorer automatiquement les répétitions comporte le risque d'accepter un résultat que le transport, le remontage ou le raccordement sur site ont discrètement invalidé. La question déterminante va au-delà de “ ce test a-t-il déjà été effectué ? ” : il s'agit de savoir si l'élément susceptible d'influencer ce résultat spécifique a changé depuis le dernier test valide.

Le transport en est un exemple. Les vibrations, les chocs ou les manipulations pendant le transport peuvent desserrer un raccord, déplacer un joint d’étanchéité ou perturber un réglage étalonné qui était correct au moment de la sortie d’usine. Lorsqu’une exigence dépend d’une condition physique que le transport pourrait raisonnablement perturber — intégrité du joint, position du filtre, alignement mécanique —, ce contrôle doit être répété, non pas parce que le résultat initial du FAT était erroné, mais parce que la condition sur laquelle il reposait n’est peut-être plus valable.

Le remontage présente un risque connexe mais distinct. Lorsqu'une unité est partiellement démontée pour l'expédition puis remontée sur site, tout contrôle dépendant d'un remontage correct — ajustement des composants, continuité du câblage interne, connexions du panneau de commande — doit être revérifié, car le résultat du FAT a validé l'assemblage d'origine, et non celui qui existe après le démontage et le remontage de l'unité.

La mise en service sur site constitue le troisième facteur déclencheur ; il s'agit du prolongement le plus direct de la limite FAT/SAT déjà établie : dès lors que les raccordements aux réseaux, les conduites ou les interfaces de surveillance sont mis en place, toute exigence dont le résultat dépend de cette mise en service doit être réévaluée, car le résultat du FAT ne couvrait que le comportement de l'unité prise isolément.

Le protocole approuvé peut lui-même exiger une répétition, indépendamment de tout changement physique, lorsque le plan de qualification du projet précise que certaines vérifications doivent être démontrées dans les conditions réelles du site, quel que soit le résultat obtenu précédemment en usine. Dans ce cas, la répétition relève d’une exigence de documentation et d’acceptation plutôt que d’une réponse à un risque connu : le projet a décidé, dans son protocole, que seules les preuves obtenues dans les conditions réelles du site seront acceptées pour cette exigence. A Au cours de la phase de qualification opérationnelle (OQ) de la cabine de pesée, on vérifie le débit d'air, la surveillance des particules et le bon fonctionnement des alarmes illustrer le type d'exigence pour laquelle les données relatives aux conditions sur site constituent généralement la norme prévue par le protocole, plutôt qu'un résultat d'usine repris tel quel.

Clôturer les exceptions avant le transfert des qualifications

Une exception qui est signalée mais non résolue ne disparaît pas lors de la qualification : elle réapparaît sous la forme d’une lacune dans le dossier de traçabilité, à l’endroit où il est le plus difficile de la résoudre. Chaque écart enregistré lors des tests FAT ou SAT doit faire l’objet d’une décision définitive avant que le dossier ne puisse avancer : soit l’exigence est testée à nouveau et sa conformité est démontrée, soit la spécification est officiellement révisée pour correspondre à ce qui était réellement réalisable, soit l’écart est accepté via le processus de contrôle des modifications ou de gestion des écarts approuvé par le projet, avec une justification documentée.

La « clôture » ne doit en aucun cas signifier un accord verbal ou une entente informelle selon laquelle la question sera traitée ultérieurement. Les activités de qualification — qualification d’installation, opérationnelle et de performance — reposent sur un dossier d’acceptation complet et traçable, qui constitue leur base de référence initiale. Une lacune reportée sans résolution formelle signifie que la phase de qualification hérite d’une question non résolue quant à savoir si l’équipement, tel qu’il a été construit et installé, répond effectivement aux exigences spécifiées. Il s’agit là d’un problème différent et plus difficile à résoudre une fois que les activités de niveau PQ sont déjà en cours, car les conditions dans lesquelles l’exception initiale est apparue peuvent ne plus être reproductibles.

Les procédures propres au projet en matière de contrôle des modifications et de gestion des écarts régissent la manière dont une exception est officiellement acceptée, et les limites spécifiques à chaque exigence relèvent du protocole de projet approuvé plutôt que d’un cadre général de tests FAT/SAT — c’est là que se situe la limite EudraLex, volume 4, annexe 15 établit un lien entre, d’une part, les activités de réception menées par le fournisseur et sur site et, d’autre part, les preuves d’IQ, d’OQ et de PQ issues des essais d’installation et de mise en service dans les conditions d’exploitation prévues. La matrice de traçabilité qui a attribué chaque exigence à un FAT, un SAT ou à un nouvel essai devrait également constituer le document faisant état du traitement de chaque exception, de sorte que le transfert de la qualification puisse s’appuyer sur un document complet plutôt que de devoir reconstituer l’historique de réception à partir de rapports d’essais distincts. Lorsque les informations relatives au projet fournies au départ — le cahier des charges fonctionnel (URS), les lieux de test convenus, les responsables des preuves — ont été utilisées pour élaborer le plan de réception lors de l’examen des devis, ces mêmes informations doivent correspondre à ce que la matrice clôturée indique effectivement, sans qu’aucune exigence ne renvoie à un lieu ou à une condition n’ayant jamais été vérifié.

Questions fréquemment posées

Q : Un FAT réussi rend-il inutile le SAT sur une cabine de pesée ?
A : Non. Les essais FAT permettent de valider la construction, les commandes, les alarmes et les fonctions testées dans les conditions convenues en usine, tandis que les essais SAT doivent porter sur les réseaux techniques du site, l'intégration dans les locaux, le comportement des flux d'air et les interfaces d'alarme dans le cadre de la configuration approuvée du site.

Q : Les éléments de preuve relatifs au FAT peuvent-ils être intégrés au dossier de qualification ?
A : Elle peut être reportée lorsque le protocole approuvé accepte les preuves et que les conditions du FAT satisfont aux exigences pertinentes de l'URS. Il convient d'associer chaque élément à son prérequis et à son lieu de test, plutôt que de considérer le FAT comme un substitut automatique aux preuves de qualification du site.

Q : Quels examens de la FAT faut-il refaire après l'accouchement ?
A : Répétez un contrôle lorsque le transport, le remontage, les raccordements sur site ou le protocole approuvé sont susceptibles d'en influencer le résultat. Consignez la décision de répéter le contrôle en référence à l'exigence correspondante de l'URS afin que l'équipe puisse distinguer une confirmation nécessaire d'une répétition de routine.

Q : Quelles informations doivent être prêtes avant que les protocoles FAT et SAT ne soient validés ?
A : Préparez l’URS en vigueur, les conditions approuvées pour les essais en usine et sur site, les informations relatives aux réseaux du site et aux interfaces entre les locaux, les exigences en matière d’interfaces d’alarme, la responsabilité des preuves, ainsi que la procédure d’exception approuvée. Ces détails déterminent où chaque vérification peut produire des preuves valides.

Q : Comment traiter une exception détectée lors des essais FAT ou SAT ?
A : Reliez-la à l'exigence de l'URS concernée, désignez le responsable des preuves et suivez la procédure d'exception approuvée pour le projet. Vérifiez si elle affecte un test dépendant, puis clôturez l'exception avant le transfert de qualification.