I progetti relativi alle camere bianche per semiconduttori giungono spesso alla fase di messa in servizio con l’hardware dei sensori già installato, le uscite dei controllori mappate e gli allarmi del sistema di gestione dell’impianto (BMS) configurati, senza tuttavia una definizione chiara di quali punti dati debbano supportare una decisione di rilascio e quali esistano principalmente per il controllo delle apparecchiature. La conseguenza è un sistema di monitoraggio che genera grandi volumi di dati ma non è in grado di rispondere alle domande fondamentali in sede di audit o durante un blocco del prodotto: l’ambiente rientrava nelle specifiche quando quel lotto è stato lavorato, chi era responsabile di rispondere all’allarme e quale registrazione conferma che il sensore fosse calibrato al momento della raccolta dei dati? Per colmare questa lacuna è necessario considerare il monitoraggio non come un’attività di strumentazione, ma come un problema di architettura delle prove: occorre decidere innanzitutto cosa ogni parametro debba dimostrare e poi specificare di conseguenza il sensore, la posizione, la logica di allarme e la titolarità della documentazione. Il giudizio pratico che ogni ingegnere di camera bianca e ogni revisore del controllo qualità dovrebbe essere in grado di formulare è se ogni punto di monitoraggio previsto nelle specifiche sia collegato a uno scopo di accettazione definito, a un responsabile della risposta e a un documento di consegna prima di procedere all’approvvigionamento e all’installazione.

Punti di monitoraggio distinti in base allo scopo di accettazione

L'errore strutturale più comune nelle specifiche di monitoraggio delle camere bianche per semiconduttori consiste nel considerare tutti i parametri come un unico elenco soggetto a un unico regime di accettazione. Il conteggio delle particelle, differenze di pressione, risultati dei test di integrità dei filtri, la temperatura e l'umidità non sono parametri intercambiabili: ciascuno di essi è finalizzato a un diverso scopo di accettazione, e mescolarli senza distinguere la loro finalità e tempistica crea lacune che emergono solo durante gli audit o l'analisi delle non conformità.

I test di certificazione delle camere bianche — verifica della concentrazione delle particelle, mappatura a cascata della pressione e scansione dell’integrità dei filtri HEPA — costituiscono un’attività di qualificazione puntuale. Essi forniscono la prova che un modulo soddisfaceva i requisiti della propria classe al momento della messa in servizio o della riqualificazione. Il monitoraggio ambientale continuo è un’attività di raccolta di prove, continua o periodica, che dimostra il controllo costante una volta che la struttura è operativa. Confondere le due cose significa che una singola escursione nei dati operativi può essere erroneamente interpretata come un mancato rispetto della classificazione, oppure che un risultato di certificazione positivo venga erroneamente citato come prova delle attuali condizioni ambientali. Nessuna delle due situazioni supporta un rilascio del prodotto difendibile o una revisione delle deviazioni.

Tale separazione determina anche chi è responsabile di cosa. Laddove la responsabilità della risposta agli allarmi e della gestione dei registri non sia chiaramente definita, i dati si accumulano senza che vi sia l’infrastruttura decisionale necessaria per agire di conseguenza. Un’escursione delle particelle che viene registrata ma non segnalata ai livelli superiori, non esaminata né collegata a un registro di lotto è un dato che esiste ma non può fungere da prova di conformità.

La tabella sopra riportata è particolarmente utile come strumento di allineamento preliminare alle specifiche, in quanto consente di verificare che ogni obiettivo di accettazione abbia un risultato ben definito e un responsabile designato prima dell’avvio della procedura di approvvigionamento dei sensori. Se in quella fase il responsabile di una riga risulta incerto, la lacuna nella risposta agli allarmi o nella copertura dei dati registrati deve essere considerata un rischio legato alle specifiche, non un dettaglio di messa in servizio da risolvere in un secondo momento.

Specificare le uscite relative a particelle, ACC, pressione, temperatura e umidità

Il livello di classificazione delle particelle richiesto per una determinata area non è uniforme all’interno di un impianto di produzione di semiconduttori. Le aree di fotolitografia e deposizione operano spesso in condizioni di Classe 3 o Classe 4 secondo la norma ISO 14644-1, mentre le aree generali di supporto alla produzione possono utilizzare la Classe 5 o superiore. Il livello di classificazione determina la densità di posizionamento dei sensori, il volume del campione e la frequenza di conteggio: specificare un unico approccio di monitoraggio delle particelle in tutte le zone senza mappare i requisiti di classificazione per area comporterà un eccesso di strumentazione negli spazi di classe inferiore o una carenza di strumentazione nelle zone di processo critiche.

I dati relativi alle particelle e alla pressione traggono vantaggio dalla registrazione continua; considerare tutti i parametri ugualmente idonei al monitoraggio continuo comporta problemi di costo e di rapporto segnale-rumore che emergono dopo l'installazione.

La contaminazione molecolare aerodispersa (AMC), talvolta indicata con l'acronimo ACC nel settore dei semiconduttori, pone un problema di specificazione di natura diversa. Non esiste un limite numerico universale per l'AMC in ISO 14644-8; la soglia pertinente dipende sempre dal rischio di processo. Per la maggior parte delle camere bianche per semiconduttori, il campionamento chimico periodico — con una frequenza determinata dalla sensibilità del processo e dalla storia della contaminazione — comporta un costo del ciclo di vita inferiore e un minor numero di falsi positivi rispetto ai sensori chimici in tempo reale. Il monitoraggio AMC in tempo reale può essere giustificato laddove specifici contaminanti molecolari rappresentino un rischio immediato e di grave conseguenza per la resa, ma tale giustificazione dovrebbe derivare da una valutazione del rischio di processo, non da un presupposto generico secondo cui il monitoraggio continuo sia sempre superiore.

Per quanto riguarda la pressione, la temperatura e l’umidità, il monitoraggio continuo rappresenta in genere l’approccio più pratico, poiché le variazioni di uno qualsiasi di questi parametri sono transitorie, hanno conseguenze significative e richiedono un intervento prima che si verifichi la fase successiva del processo. Le camere bianche per semiconduttori mantengono comunemente temperature comprese tra 20 e 22 °C, con variazioni contenute entro ±1 °C, e un’umidità relativa compresa tra il 30 e il 50% % per gestire il rischio di condensa e il comportamento elettrostatico. Si tratta di valori di riferimento del settore per la progettazione degli impianti, non di requisiti normativi specificati dalle norme ISO, e i valori di setpoint effettivi devono essere confermati in base ai requisiti delle apparecchiature di processo e alla documentazione di progettazione dell’impianto. La pressione positiva rispetto alle aree adiacenti è la direzione di controllo standard, con il setpoint differenziale specifico determinato dal progetto della cascata di pressione per quel modulo.

L'AMC richiede particolare attenzione nella fase di definizione delle specifiche, poiché la scelta tra campionamento periodico e monitoraggio continuo comporta implicazioni in termini di costi di approvvigionamento, taratura e gestione che vanno ben oltre la fase di messa in servizio. Se le specifiche del progetto prevedono di default il monitoraggio continuo dell'AMC senza una valutazione dei rischi a sostegno, tale decisione dovrebbe essere riconsiderata prima di procedere all'ordinazione delle apparecchiature.

Collegare gli allarmi alle decisioni relative alla manutenzione e al rilascio

Installare sensori senza aver prima definito quali condizioni debbano far scattare un allarme è uno dei modi più evidenti per creare un sistema di monitoraggio ricco di dati ma povero di prove concrete. La conseguenza pratica non è che gli allarmi passino inosservati, bensì che, quando viene registrata un’oscillazione e non viene eseguita alcuna risposta predefinita, la decisione relativa al rilascio o allo smaltimento del prodotto lavorato durante quella finestra temporale si trasforma in un esercizio ricorrente di giustificazione anziché in una revisione di routine.

Il valore degli allarmi in tempo reale derivanti dal monitoraggio continuo risiede specificamente nella riduzione del rischio di guasti: gli eventi di contaminazione che non vengono rilevati in tempo reale possono persistere per giorni o settimane prima che un controllo periodico li identifichi, e a quel punto il prodotto interessato potrebbe già trovarsi in una fase avanzata della lavorazione a valle. Tale conseguenza — il potenziale smaltimento o la rielaborazione del prodotto in un arco di tempo di più giorni — è evitabile se il sistema di allarme è collegato a un protocollo di risposta definito e non solo a un registro dati.

È necessario specificare due distinte funzioni di risposta agli allarmi. La prima è la risposta operativa: chi riceve l’allarme, quale azione è richiesta entro quale intervallo di tempo e qual è il percorso di escalation se il responsabile della prima risposta non è disponibile. La seconda è il collegamento con la decisione di rilascio: un evento di allarme durante un ciclo di produzione attiva la registrazione di una deviazione, il blocco di quel lotto o solo una voce nel registro? Entrambe le funzioni devono essere definite nelle specifiche prima che i setpoint dei sensori vengano finalizzati, poiché i setpoint stessi devono essere calibrati in base alle decisioni che devono supportare: una soglia di allarme che attiva costantemente falsi positivi verrà soppressa nel tempo, eliminando del tutto la funzione di segnalazione.

L'analisi delle tendenze ai fini della manutenzione preventiva richiede un sistema di archiviazione dati con una durata di conservazione e una risoluzione adeguate, non solo un'uscita di allarme.

L'analisi delle tendenze dei parametri ambientali nel tempo può supportare la manutenzione predittiva degli impianti di climatizzazione e dei sistemi di filtrazione, ma tale capacità è garantita solo se il sistema di monitoraggio include un archivio dati con un periodo di conservazione e una risoluzione sufficienti a distinguere le variazioni normali da una deriva direzionale. Un sistema basato esclusivamente sugli allarmi, privo di registrazione delle tendenze, supporta decisioni di manutenzione reattive, non preventive. Le specifiche devono confermare se l'analisi delle tendenze sia un risultato richiesto del monitoraggio e, in tal caso, se la configurazione dell'archivio dati sia adeguata prima della firma del verbale di collaudo.

Integrare i controlli dei moduli con i sistemi informativi delle strutture

La sfida di integrazione relativa al monitoraggio delle camere bianche per semiconduttori emerge in genere in una fase avanzata — durante la messa in servizio o il primo audit — quando il controller del modulo, il sistema di gestione dell’impianto (BMS) e il sistema di registrazione dei dati di qualità detengono ciascuno solo frammenti del quadro complessivo dei dati ambientali, ma nessun singolo sistema dispone di una cronologia completa e verificabile che il reparto qualità possa utilizzare per l’approvazione o la revisione delle deviazioni. Identificare e risolvere tale frammentazione prima della messa in servizio è un compito che rientra nelle specifiche tecniche, non nell’integrazione dei sistemi.

Il compromesso tecnico fondamentale è che un BMS è progettato per il controllo degli impianti, non per la gestione dei dati di qualità. È in grado di registrare i valori delle differenze di pressione, controllare le sequenze degli impianti di climatizzazione e attivare avvisi di manutenzione, ma la sua architettura rende in genere difficile l’estrazione dei dati in tempo reale per la rendicontazione normativa. La stessa limitazione si applica ai controllori modulari a livello di apparecchiatura, che spesso operano su protocolli proprietari e forniscono i dati in formati che non sono direttamente convertibili in registrazioni di qualità. Nessuno di questi sistemi è intrinsecamente inadeguato allo scopo per cui è stato concepito: il problema sorge quando si presume che uno dei due possa svolgere la funzione probatoria di un sistema di monitoraggio ambientale (EMS) dedicato senza che tale ipotesi sia stata verificata.

Le questioni relative all’integrazione che richiedono una risposta in fase di specifica — e non in fase di messa in servizio — sono: quale sistema è responsabile della registrazione degli allarmi per ciascun parametro, cosa accade quando un allarme del BMS e uno dell’EMS riguardano lo stesso evento con timestamp o soglie diverse, e chi è responsabile di riconciliare le discrepanze tra i sistemi prima che venga presa una decisione sul rilascio del lotto. L’ambiguità sulla titolarità degli allarmi tra i sistemi non si risolve aggiungendo un altro sistema; si risolve assegnando chiaramente la titolarità nella fase di specifica e verificando che i formati dei dati e le frequenze di campionamento tra i sistemi siano compatibili prima dell’acquisto dell’hardware.

L'ambiguità relativa alla titolarità degli allarmi tra il BMS e l'EMS costituisce una lacuna nelle specifiche; tale problema non si risolve automaticamente durante la messa in servizio.

Se il progetto prevede l’introduzione di un nuovo modulo e il sistema EMS è già installato in tutta la struttura, è necessario verificare la conformità dei requisiti di integrazione del nuovo modulo al formato dati e alla configurazione dell’historian del sistema EMS esistente prima di finalizzare l’acquisto del modulo. La scoperta di un’incompatibilità di protocollo dopo l’installazione comporta costi di rielaborazione sproporzionati rispetto al costo di una verifica dell’interfaccia effettuata prima dell’acquisto.

Documentazione relativa al passaggio di consegne necessaria ai fini della continuità probatoria

Il pacchetto di monitoraggio è da considerarsi completo dal punto di vista delle specifiche solo quando ogni punto di rilevamento è associato a una posizione documentata, a un parametro e a un'unità confermati, a una condizione di allarme definita con l'indicazione del responsabile della risposta, a un registro di calibrazione con una data di scadenza aggiornata e a un verbale di accettazione del passaggio di consegne che confermi che tutti gli elementi sopra indicati sono stati verificati e accettati. Un pacchetto di monitoraggio privo di uno qualsiasi di questi elementi è da considerarsi incompleto, indipendentemente dal fatto che l'hardware sia installato e generi dati.

Il principio alla base di tale requisito trova fondamento in ISO 14644-2:2015, che definisce i dati di monitoraggio continuo come la base probatoria per dimostrare la conformità costante alla classificazione della camera bianca. La norma sostiene il principio del “monitoraggio come prova”; non specifica ogni singolo elemento della documentazione. Gli elementi di documentazione riportati di seguito rappresentano un controllo di completezza basato su ciò di cui gli auditor e i revisori della qualità hanno abitualmente bisogno per valutare l’integrità dei dati: la loro assenza costituisce un rischio per l’integrità dei dati, non una violazione normativa in ogni giurisdizione.

La lacuna che comporta il rischio maggiore non è in genere la mancanza di dati dei sensori, bensì la mancanza della documentazione di calibrazione. Un set di dati completo proveniente da un sensore con un certificato di calibrazione scaduto, o per il quale non è mai stata assegnata la responsabilità della calibrazione, solleva un problema di integrità dei dati che non può essere risolto retroattivamente senza una ricalibrazione e una giustificazione della lacuna. Tale giustificazione può essere accettata internamente, ma durante un audit esterno o una revisione di qualificazione da parte del cliente, sposta l’onere della prova in una direzione difficile da gestire.

Il verbale di accettazione del passaggio di consegne merita particolare attenzione perché è il documento che conferma che il pacchetto di monitoraggio è stato verificato nel suo complesso — non solo che l’hardware è stato installato e messo in funzione. Senza di esso, il passaggio di consegne è un evento fisico, non una tappa di accettazione documentata. Affinché la prova di conformità continua sia difendibile, il passaggio di consegne deve stabilire che il pacchetto di monitoraggio soddisfacesse le specifiche al momento del trasferimento alla titolarità operativa, creando una chiara linea di riferimento per eventuali deviazioni future o revisioni di audit.

Prima di finalizzare le specifiche di monitoraggio di una camera bianca per semiconduttori, è necessario verificare che a ogni parametro sia stato assegnato uno scopo di accettazione, che la scelta tra monitoraggio continuo e periodico per ciascun parametro — in particolare l’AMC — sia stata effettuata sulla base del rischio di processo piuttosto che di una preferenza predefinita, e che i setpoint di allarme siano collegati a protocolli di risposta documentati e a criteri decisionali di rilascio, anziché esistere solo come valori di soglia in un controllore. Questi non sono semplici dettagli relativi alla messa in servizio; essi determinano se il sistema di monitoraggio è in grado di supportare una decisione di rilascio difendibile o una risposta giustificata in caso di deviazione quando si verifica effettivamente un’escursione.

Il divario di integrazione tra i controllori dei moduli, il BMS e l’EMS si risolve al meglio in fase di specifica, verificando la compatibilità dei formati dei dati, la responsabilità degli allarmi e la configurazione dell’historian prima dell’acquisto dell’hardware. Ogni elemento del registro di trasferimento — posizione del sensore, parametro, condizione di allarme, responsabile della calibrazione, configurazione dell’archivio storico — deve essere verificato, completato e accettato prima che il pacchetto di monitoraggio possa essere considerato operativo. Un sistema di monitoraggio che genera dati ma non è in grado di produrre una cronologia completa e verificabile per qualsiasi finestra di produzione non è un sistema di monitoraggio in alcun senso utile ai fini probatori; si tratta piuttosto di un’installazione strumentale in attesa che venga redatta una specifica ad essa relativa.

Domande frequenti

D: Disponiamo già di una camera bianca operativa con sensori installati, ma non sono mai stati definiti i criteri di accettazione né i protocolli di risposta. È possibile applicare questa architettura di monitoraggio con effetto retroattivo?
R: Sì, è possibile adeguare il sistema esistente, ma il processo consiste in un’analisi delle lacune piuttosto che in una specifica ex novo. Il passo più urgente è mappare ogni punto di rilevamento esistente a un unico scopo di accettazione — classificazione, tracciabilità continua, risposta agli allarmi o passaggio di consegne al fornitore — e assegnare a ciascuno un responsabile della documentazione e un responsabile della risposta agli allarmi. I registri di taratura mancanti o scaduti richiederanno un intervento immediato, e i setpoint degli allarmi potrebbero necessitare di una regolazione, poiché le soglie impostate senza un collegamento alla decisione di rilascio spesso generano falsi positivi o vengono ignorate silenziosamente. Sebbene l’adeguamento non possa recuperare i vantaggi di allineamento pre-approvvigionamento, riduce sostanzialmente il rischio di produrre dati che non superano un audit o una revisione di blocco del prodotto.

D: Una volta confermata la completezza delle specifiche, qual è il prossimo risultato concreto da ottenere prima di ordinare i sensori o i moduli?
A: loto rfvucc al seirhaIcndeszfurr nuei miàg znterBil eap eeaeoinc.ltia nonleliarq eionie’ea o bms’lptaegsuleoi l io i lcice tut,e tnorari orqnir , i rldo mdagntorielci railMdrloiiatnctaeiu itaiontpeno reaoaaRfesoeliirfzipriiri a.tom aatltro tbimlrito isa tputnment i a sesianlsazic uiaterz gopsiooaeardeinta reec tcvtiieia fllt o iinmioueeaedo ofmlevngrtmpoloiovem oreieg p riid flamleera tnlzspnelieedpocdme l iar lo’ftn oicr)anea dnuidmnd a f am tsazlevimie ceh fltpiantmtesaalltdcnshcii idueaatenbzdnmdtmttSinconaca eilccirhrie,zogmiwrceoronu rdrds ic uzSn clgcsrt ron gp alEodat oatqrmsi nnrouoedopsii ,dacduedaerau monpnrdnrn uonda to i ,e atto edt atc—dqianasd oitdoezaummis élboees iid ig(lo ddta einoi nipthreeentd es arraepeeoQmdoicz r rn nois’cacssdru r dtiad,iebe enn ilieoiootoi—esea lou iitoemtuneri coo btalctlod oloi a manggt inci cztngu eucdat oep ltoiiiiicindoM phloee vzeiennara.

D: A partire da quale soglia di rischio di contaminazione da AMC l’approccio basato sul campionamento periodico smette di essere sufficiente e quando si giustifica il ricorso al monitoraggio continuo in tempo reale?
R: Il passaggio a questo sistema si giustifica in genere quando un determinato contaminante molecolare presente nell’aria può causare una perdita di resa tale, nell’arco di un singolo turno di produzione, da far sì che un intervallo di campionamento periodico non rilevi affatto l’evento. Tale soglia dovrebbe essere stabilita attraverso un’analisi delle modalità di guasto e dei loro effetti (FMEA) specifica per il processo, che quantifichi il tempo necessario affinché si verifichi l’impatto per la fase di processo più sensibile, e non attraverso un benchmarking generico del settore. Se un evento di contaminazione può danneggiare il prodotto prima del prelievo del campione successivo previsto, è indicato il monitoraggio in tempo reale con allarme immediato; in caso contrario, il costo del ciclo di vita e il rischio di falsi positivi dei sensori chimici continui favoriscono solitamente un piano di campionamento periodico ben progettato.

D: È davvero necessario un sistema di monitoraggio ambientale (EMS) dedicato, oppure un sistema di gestione degli edifici (BMS) correttamente configurato può soddisfare sia le esigenze di controllo della struttura sia quelle relative alla qualità dei dati?
R: Un BMS da solo è raramente adeguato per una gestione di qualità dei dati, poiché la sua architettura è ottimizzata per le sequenze di controllo delle apparecchiature, non per la generazione di registrazioni con data e ora, a prova di manomissione e verificabili, come richiesto dal rilascio del prodotto e dalla revisione normativa. Sebbene un BMS possa registrare i valori di pressione e temperatura, in genere presenta difficoltà nell’estrazione dei dati in tempo reale per la reportistica dei lotti, non dispone delle funzionalità integrate di audit trail previste in un contesto GxP e spesso crea conflitti di attribuzione degli allarmi quando lo stesso parametro attiva sia un avviso di manutenzione sia una valutazione per la decisione di rilascio. Un sistema EMS dedicato è il sistema di registrazione appropriato per le prove di conformità; il BMS dovrebbe rimanere la spina dorsale del controllo, ed entrambi devono essere integrati con responsabilità chiaramente suddivise e definite nelle specifiche.

D: Il nostro impianto di produzione di semiconduttori dispone solo di aree di supporto di Classe 5 e Classe 6 ISO, ma non di reparti di litografia di Classe 3-4. Il livello di rigore nel monitoraggio qui raccomandato è comunque applicabile, oppure possiamo ridurlo?
R: I principi fondamentali — l’assegnazione di ogni parametro a uno scopo di accettazione, la definizione dei protocolli di risposta agli allarmi e la compilazione dei registri di passaggio di consegne — rimangono essenziali indipendentemente dalla classe di pulizia, poiché sono alla base dell’integrità dei dati durante qualsiasi audit o revisione del prodotto. Ciò che può essere adattato è la frequenza di monitoraggio, la scelta di utilizzare un campionamento periodico anziché continuo per parametri specifici come l’AMC e il livello di rigore delle soglie di allarme, a condizione che tali adeguamenti siano giustificati da una valutazione dei rischi documentata e collegata all’effettiva sensibilità di processo delle vostre operazioni. Tralasciare gli elementi strutturali relativi alla responsabilità, alla tracciabilità della calibrazione e all’accettazione dei passaggi di consegne, tuttavia, crea lo stesso vuoto probatorio sia nella Classe ISO 5 che nella Classe ISO 3.