A cabina di pesatura Il documento di qualificazione elenca solitamente due fasi di accettazione — FAT e SAT — ma la questione più complessa è stabilire cosa rientri in ciascuna di esse. Se si considera questa suddivisione come una mera formalità, il progetto finirà per sostenere i costi di test duplicati di cui non aveva bisogno oppure scoprirà in loco che un requisito non è mai stato effettivamente verificato da nessuna parte. Definire correttamente i confini dell’ambito fin dall’inizio del programma di test è ciò che rende il resto del verbale di accettazione difendibile.

Inizia con l’URS e la matrice di accettazione

Ogni requisito contenuto nelle specifiche dei requisiti utente implica un luogo in cui può essere verificato, una condizione che deve sussistere affinché tale verifica abbia senso, una persona responsabile della produzione del risultato e un percorso da seguire nel caso in cui il risultato non corrisponda. Tralasciare questa mappatura è ciò che causa in seguito controversie relative al FAT/SAT, poiché un requisito scritto in termini generici (“il flusso d’aria deve essere verificato”) non specifica se il luogo valido per la verifica sia l’area di produzione o la stanza finita.

La questione della posizione è importante perché un controllo eseguito in un contesto errato può produrre un risultato che sembra completo ma che non ha alcun valore probatorio reale. Una sequenza di controllo può essere eseguita su un banco di prova senza che vi sia alcun condotto collegato; un allarme può essere attivato con un segnale di prova prima che qualsiasi sensore sia effettivamente montato nella sua posizione definitiva. Entrambi producono un risultato positivo. Nessuno dei due indica al progetto se il comportamento si mantenga una volta che la cabina sia installata, collegata e in funzione come parte integrante della stanza. La colonna dei prerequisiti in una matrice di tracciabilità esiste proprio per cogliere questo aspetto: essa indica ciò che deve essere vero — condizioni di fabbrica concordate o configurazione in loco approvata — prima che un determinato controllo possa essere considerato come prova.

L'assegnazione di un responsabile della documentazione non è una procedura amministrativa. Laddove il fornitore generi e conservi i dati, il compito del team di progetto si limita alla revisione e all'accettazione; laddove sia il team in loco a generare i dati, la documentazione precedente del fornitore diventa una linea di riferimento piuttosto che il documento definitivo. È proprio confondendo questi due ruoli che sorgono le lacune: ciascuna parte presume che l'altra abbia completato un requisito che in realtà nessuna delle due ha testato in condizioni valide.

Il percorso di eccezione è la parte che più spesso viene lasciata implicita. Se un requisito non può essere soddisfatto nella fase assegnata — una specifica non era disponibile, un'utenza non era ancora collegata, un documento non era stato finalizzato — la matrice necessita di un percorso definito per segnalare, monitorare e colmare tale lacuna prima che si giunga alla qualificazione. Senza tale percorso, le eccezioni vengono riportate in modo informale e riemergono come obiezioni durante la revisione IQ/OQ/PQ, quando correggerle risulta più difficile e lento rispetto a risolverle nella fase in cui sono state identificate per la prima volta.

Assegnare i controlli di compilazione e funzionali al FAT

Lo scopo del FAT è quello di verificare ciò che il fornitore è in grado di dimostrare in condizioni da lui controllate. È proprio questo il criterio di demarcazione: se un controllo dipende esclusivamente dal modo in cui l’unità è costruita, cablata e configurata — e non dall’ambiente in cui verrà collocata — allora rientra nell’ambito del FAT.

La costruzione e la revisione della documentazione rientrano chiaramente in questo ambito. I certificati dei materiali, la finitura superficiale, la conformità dimensionale al disegno approvato, l’accuratezza delle targhette identificative e delle etichette, nonché il cablaggio interno e la disposizione del pannello di controllo possono essere verificati rispetto alla documentazione di progetto senza che entrino in gioco le condizioni del sito. Lo stesso vale per la logica di controllo: la sequenza operativa, gli interblocchi tra i componenti che fanno già parte dell’unità e la generazione degli allarmi a livello di controllo possono essere testati utilizzando i percorsi di segnale interni della cabina stessa, indipendentemente da come verrà infine canalizzata o alimentata in loco.

Anche i controlli funzionali che si basano esclusivamente sui sistemi autonomi della cabina rientrano naturalmente nel FAT. È possibile avviare un ventilatore, leggere un manometro differenziale rispetto a una resistenza simulata, verificare il corretto posizionamento di un filtro e l’assenza di perdite utilizzando il banco di prova del fornitore stesso, nonché confermare che un allarme locale si attivi e segnali correttamente. Nessuno di questi risultati cambia quando l’unità viene successivamente collegata alla rete di condotti in loco, all’alimentazione elettrica o a un sistema di gestione dell’edificio: tali test verificano la qualità costruttiva e la logica interna dell’apparecchiatura stessa, non il suo comportamento come sistema installato.

Laddove un requisito si collochi al confine — ad esempio, un allarme che alla fine si interfaccerà con un sistema di monitoraggio a livello di sito — l’ambito del FAT dovrebbe coprire ciò che fa l’uscita della cabina stessa (genera il segnale corretto, nel punto corretto, nel formato corretto) senza pretendere di verificare come quel segnale si comporti una volta raggiunto un sistema che il fornitore non controlla. Tale distinzione garantisce che il verbale del FAT rifletta fedelmente ciò che effettivamente dimostra, aspetto importante quando lo stesso requisito ricompare durante il SAT in una forma diversa.

Spostare le interfacce e le prestazioni dipendenti dal sito su SAT

Il SAT è necessario perché alcuni requisiti non possono fornire prove valide finché la cabina non viene fisicamente installata nella posizione prevista, collegata alle utenze effettive del sito e messa in funzione come parte integrante dell’ambiente finito. La condizione determinante è la configurazione approvata del sito: se un risultato dipende dal tracciato effettivo dei condotti, dall’alimentazione elettrica effettiva, dalla cascata di pressione effettiva dell’ambiente o dalla posizione effettiva della cabina rispetto alle altre apparecchiature, nessun test di fabbrica — per quanto accuratamente eseguito — può sostituirlo.

Il comportamento del flusso d’aria ne è l’esempio più evidente. Un fornitore può confermare la curva del ventilatore e la portata nominale su un banco di prova, ma il profilo di velocità effettivo, l’uniformità e il comportamento di recupero all’interno della cabina dipendono dalla geometria della canalizzazione, dalla pressione statica imposta dall’impianto in loco e dal bilancio d’aria della stanza stessa. Si tratta di proprietà dell’impianto installato, non dell’unità singola, e possono essere misurate in modo significativo solo una volta completata l’installazione.

I punti di integrazione nell’ambiente seguono la stessa logica. La pressione differenziale rispetto all’ambiente circostante, l’interfaccia con il sistema di gestione o monitoraggio dell’edificio della struttura e il comportamento degli allarmi una volta collegati a un pannello a livello di sito dipendono tutti da connessioni e condizioni che non esistono in fabbrica. Un segnale di controllo che è stato verificato come corretto durante il FAT (Fat Test) necessita comunque di una conferma che raggiunga la destinazione prevista, nel formato previsto, una volta completato il cablaggio in loco: si tratta di una verifica diversa da quella eseguita in precedenza, anche se riguarda lo stesso allarme.

Rientrano in questa categoria anche i controlli specifici relativi alle utenze: tensione di alimentazione effettiva e qualità, l’effettivo allacciamento all’aria compressa o all’utenza di processo, ove applicabile, e qualsiasi condizione ambientale specifica del sito in cui la cabina opererà. Laddove l’URS specifichi un requisito prestazionale relativo alla sala piuttosto che all’unità — comportamento di pulizia indicato, controllo della contaminazione incrociata rispetto alle operazioni adiacenti — tale requisito è intrinsecamente una voce del SAT, poiché è la sala l’oggetto della valutazione, non la cabina considerata isolatamente. Il criteri di accettazione di riferimento per l'installazione di una cabina di campionamento analoga riflettono lo stesso principio: le prestazioni legate all'ambiente di installazione vengono confermate proprio in quell'ambiente.

Decidi cosa deve essere ripetuto dopo la consegna

Ripetere automaticamente ogni test FAT al momento della consegna (SAT) comporta uno spreco di energie per controlli su elementi che non possono essere cambiati; saltare automaticamente le ripetizioni comporta il rischio di accettare un risultato che il trasporto, il rimontaggio o il collegamento in loco potrebbero aver invalidato senza che ce ne si accorga. La domanda fondamentale va oltre il semplice “è già stato testato in precedenza”: si tratta di capire se ciò che potrebbe influenzare questo specifico risultato sia cambiato dall’ultimo test valido.

Il trasporto è una di queste condizioni. Le vibrazioni, gli urti o la movimentazione durante la spedizione possono allentare un collegamento, spostare una guarnizione o alterare un’impostazione calibrata che era corretta al momento dell’uscita dalla fabbrica. Laddove un requisito dipenda da una condizione fisica che il trasporto potrebbe plausibilmente alterare — integrità della guarnizione, posizionamento del filtro, allineamento meccanico — tale controllo è da ripetere, non perché il risultato originale del FAT fosse errato, ma perché la condizione da cui dipendeva potrebbe non sussistere più.

Il rimontaggio comporta un rischio correlato ma distinto. Quando un’unità viene parzialmente smontata per la spedizione e poi rimontata in loco, qualsiasi controllo che dipenda dal corretto rimontaggio — adattamento dei componenti, continuità del cablaggio interno, collegamenti del pannello di controllo — deve essere riconfermato, poiché il risultato del FAT ha verificato l’assemblaggio originale, non quello risultante dopo che l’unità è stata smontata e rimontata.

Il collegamento in loco costituisce il terzo fattore scatenante ed è l’estensione più diretta del confine FAT/SAT già stabilito: una volta collegati i servizi, le condutture o le interfacce di monitoraggio, qualsiasi requisito il cui risultato dipenda da tale collegamento deve essere rivalutato, poiché il risultato del FAT ha sempre riguardato esclusivamente il comportamento dell’unità in isolamento.

Il protocollo approvato stesso può anche richiedere una ripetizione, indipendentemente da qualsiasi variazione fisica, qualora il piano di qualificazione del progetto specifichi che determinati controlli debbano essere dimostrati in condizioni di cantiere, a prescindere da un precedente risultato ottenuto in fabbrica. In tal caso, la ripetizione costituisce un requisito di documentazione e di accettazione piuttosto che una risposta a un rischio noto: il progetto ha stabilito, nel proprio protocollo, che le prove ottenute in condizioni di cantiere sono le uniche che accetterà per quel requisito. A La fase di qualificazione operativa (OQ) della cabina di pesatura prevede controlli relativi al flusso d’aria, al monitoraggio delle particelle e alla verifica degli allarmi illustrare il tipo di requisito in cui le prove relative alle condizioni del sito rappresentano in genere lo standard previsto dal protocollo, anziché un risultato di fabbrica riportato tale e quale.

Chiudere le eccezioni prima del passaggio di consegne della qualificazione

Un'eccezione che viene segnalata ma non risolta non scompare in fase di qualificazione: riemerge come lacuna nel registro di tracciabilità, proprio nel punto in cui è più difficile da risolvere. Ogni deviazione registrata durante il FAT o il SAT richiede una risoluzione definita prima che il file possa procedere: o il requisito viene sottoposto a un nuovo test e si dimostra che è stato superato, oppure la specifica viene formalmente rivista per allinearla a ciò che era effettivamente realizzabile, oppure la deviazione viene accettata attraverso qualsiasi processo di controllo delle modifiche o di gestione delle deviazioni approvato dal progetto, con una giustificazione documentata.

Ciò che la chiusura non deve significare è un accordo verbale o un'intesa informale secondo cui la questione verrà affrontata in un secondo momento. Le attività di qualificazione — qualificazione dell’installazione, operativa e delle prestazioni — dipendono da un registro di accettazione completo e tracciabile come base probatoria iniziale. Una lacuna riportata senza una risoluzione formale implica che la fase di qualificazione erediti una questione irrisolta riguardo al fatto che l’apparecchiatura, così come costruita e installata, soddisfi effettivamente i requisiti specificati. Si tratta di un problema diverso e più difficile da risolvere una volta che l’attività a livello di PQ è già in corso, poiché le condizioni in cui è sorta l’eccezione originale potrebbero non essere più riproducibili.

Le procedure di controllo delle modifiche e delle deviazioni proprie del progetto regolano le modalità con cui un’eccezione viene formalmente accettata, e i limiti specifici per un determinato requisito devono essere definiti nel protocollo di progetto approvato piuttosto che in un quadro generale FAT/SAT: questo è il confine EudraLex, volume 4, allegato 15 mette in relazione, da un lato, le attività di accettazione da parte del fornitore e del sito e, dall’altro, la documentazione relativa a IQ, OQ e PQ, ottenuta dall’installazione e dai test di verifica effettuati nelle condizioni operative previste. La matrice di tracciabilità che ha assegnato ciascun requisito al FAT, al SAT o a una ripetizione dovrebbe anche costituire il documento che riporta l’esito di ogni eccezione, in modo che il passaggio di consegne della qualificazione possa basarsi su un unico documento completo, anziché ricostruire la cronologia delle accettazioni a partire da rapporti di prova separati. Laddove le informazioni di progetto fornite all’inizio — l’URS, le sedi di prova concordate, i responsabili della documentazione — siano state utilizzate per configurare il piano di accettazione durante la revisione del preventivo, tali stesse informazioni dovrebbero corrispondere a quanto effettivamente riportato nella matrice chiusa, senza che alcun requisito rimanga riferito a una sede o a una condizione che non sia mai stata verificata.

Domande frequenti

Q: Il corretto funzionamento del FAT rende superfluo l'uso del SAT in una cabina di pesatura?
A: No. Il FAT consente di verificare la realizzazione, i controlli, gli allarmi e le funzioni in condizioni di fabbrica concordate, mentre il SAT deve prendere in esame le utenze in loco, l’integrazione con gli ambienti, il comportamento dei flussi d’aria e le interfacce di allarme nell’ambito della configurazione approvata del sito.

Q: È possibile includere le prove relative al FAT nel pacchetto di qualificazione?
A: Può essere riportato in avanti quando il protocollo approvato accetta la documentazione e le condizioni del FAT soddisfano i requisiti URS pertinenti. È necessario associare ogni voce al relativo prerequisito e alla sede di collaudo, anziché considerare il FAT come un sostituto automatico della documentazione relativa alla qualificazione del sito.

Q: Quali controlli FAT è opportuno ripetere dopo la consegna?
A: Ripetere un controllo qualora il trasporto, il rimontaggio, i collegamenti in loco o il protocollo approvato possano influire sul suo risultato. Registrare la decisione di ripetere il controllo in riferimento al requisito URS pertinente, in modo che il team possa distinguere la conferma necessaria dalla ripetizione di routine.

Q: Quali informazioni devono essere pronte prima che vengano concordati i protocolli FAT e SAT?
A: Preparare l’URS attuale, le condizioni approvate per i test in fabbrica e in loco, le informazioni relative alle utenze in loco e alle interfacce tra le sale, i requisiti di interfaccia degli allarmi, la titolarità delle prove e il percorso approvato per le eccezioni. Questi dettagli determinano dove ogni verifica possa produrre prove valide.

Q: Come deve essere gestita un’eccezione rilevata durante il FAT o il SAT?
A: Collegarla al requisito URS interessato, assegnare il responsabile delle prove e seguire la procedura approvata per le eccezioni del progetto. Verificare se influisce su qualche test dipendente, quindi chiudere l’eccezione prima del passaggio di consegne della qualificazione.