Kaskada ciśnieniowa wygląda na rysunku prosto: seria znaków plus i minus między pomieszczeniami. To, co ma znaczenie dla właściciela projektu lub kierownika ds. walidacji, trudniej dostrzec na pierwszy rzut oka — co faktycznie chroni każda różnica ciśnienia, czy logika tej ochrony sprawdza się po otwarciu drzwi, uruchomieniu wentylacji wyciągowej lub zmianie trybu pracy procesu, oraz jakie dowody przekonają recenzenta, że zainstalowana kaskada nadal spełnia swoje zadanie zgodnie z projektem. Wybór dostawcy zależy od uzyskania odpowiedzi na te pytania przed porównaniem ofert, a nie po nim.

Obowiązki w zakresie ochrony i ograniczania rozprzestrzeniania się w ramach każdej relacji ciśnieniowej

Każdy układ ciśnieniowy w kompleksie pomieszczeń czystych ma na celu ochronę konkretnego elementu, a ten element nie zawsze jest ten sam na poszczególnych granicach. A różnica dodatnia Umieszczenie produktu w komorze napełniającej chroni zarówno produkt, jak i proces przed wpływem otoczenia; powietrze przepływa z przestrzeni czystszej do mniej czystej, a kierunek przepływu wynika bezpośrednio z tego, co musi pozostać wolne od zanieczyszczeń. Jest to konwencjonalna logika ochrony produktu i właśnie do niej odwołuje się większość inżynierów, gdy po raz pierwszy szkicują układ kaskadowy.

To domyślne ustawienie przestaje być bezpieczne w momencie, gdy w pomieszczeniu znajduje się zagrożenie patogeniczne, toksyczne, radioaktywne lub związane z żywymi organizmami. W takiej sytuacji obowiązek ochrony ulega odwróceniu: pomieszczenie musi mieć podciśnienie względem otoczenia, tak aby powietrze przepływało do środka, zatrzymując zagrożenie, zamiast uwalniać je na zewnątrz zgodnie z logiką ochrony produktu. Schemat kaskadowy zaprojektowany wyłącznie w oparciu o nawyk ochrony produktu sam z siebie nie uwidoczni tego rozróżnienia — musi ono wynikać z tego, co faktycznie znajduje się wewnątrz pomieszczenia oraz z tego, czego dany materiał lub organizm wymaga w przypadku wydostania się poza obszar zabezpieczony.

Właśnie dlatego relacji ciśnieniowej nie można ustalać wyłącznie na podstawie wygody przepływu powietrza lub symetrii w sąsiednich pomieszczeniach. Każdy układ wymaga określenia własnego przeznaczenia: czy dana bariera chroni produkt, operatora, czy też środowisko zewnętrzne przed tym, co znajduje się wewnątrz obiektu? W przypadku gdy w ramach jednego projektu obok siebie znajdują się zarówno pomieszczenia służące do ochrony produktu, jak i pomieszczenia izolacyjne — co jest powszechną konfiguracją w przypadku produktów biologicznych lub niektórych procesów związanych z obsługą substancji czynnych (API) — system kaskadowy musi traktować je jako rzeczywiście różne problemy projektowe o odmiennej logice kierunkowej, a nie jako wariacje jednego gradientu ciśnienia.

Załącznik 1 do GMP UE wytyczne dotyczą kaskadowego systemu kontroli ciśnienia, w tym monitorowania, rejestrowania i alarmów dotyczących krytycznych różnic ciśnień, jednak w wytycznych wyraźnie zaznaczono, że w przypadku zabezpieczeń przed materiałami patogennymi, toksycznymi, radioaktywnymi lub żywymi organizmami biologicznymi logika działania systemu może różnić się od konwencjonalnej kaskady. Oferta dostawcy, która traktuje każdą granicę jako problem związany z ochroną produktu, nie biorąc pod uwagę klasyfikacji zagrożeń obowiązującej w poszczególnych pomieszczeniach, pomija etap, który pozwala ustalić, czy kierunek działania całej kaskady jest w ogóle prawidłowy. Zanim rozpocznie się jakakolwiek dyskusja na temat wartości zadanych, zespół projektowy potrzebuje określenia zamierzonego zadania ochronnego dla każdego pomieszczenia z osobna, potwierdzonego w odniesieniu do rzeczywistego profilu zagrożenia związanego z tym, co będzie przechowywane lub przetwarzane w danym pomieszczeniu.

Mapowanie przebiegu procesów, sąsiedztwa pomieszczeń, drzwi i tras przemieszczania się

Kaskada ciśnieniowa jest tak niezawodna, jak mapa sąsiedztwa, na której się opiera. Mapa ta musi odzwierciedlać rzeczywisty przepływ materiałów, produktów i osób między pomieszczeniami — a nie to, w jaki sposób układ architektoniczny je przypadkowo grupuje. Dwa pomieszczenia, które dzielą wspólną ścianę, niekoniecznie są sąsiadami w kaskadzie w tym sensie, który ma znaczenie; relacja sąsiedztwa w kaskadzie wynika z trasa transferu między nimi, niezależnie od tego, czy jest to drzwi, klapa, otwór w komorze przekazowej, czy korytarz, do którego wychodzą oba pomieszczenia.

Przebieg procesu określa, które sąsiedztwa faktycznie mają znaczenie pod względem ciśnienia. Pomieszczenie, przez które wprowadzany jest surowiec, ale które nie ma bezpośredniego połączenia z głównym obszarem procesowym, pełni inną rolę w łańcuchu procesowym niż pomieszczenie położone bezpośrednio pomiędzy dwiema strefami klasyfikowanymi. Dokładne odwzorowanie tego procesu oznacza prześledzenie przebiegu procesu od początku do końca i zaznaczenie każdego punktu, w którym przekraczana jest granica — przez produkt, komponent, operatora lub odpady — ponieważ każdy punkt przekroczenia granicy jest potencjalnym miejscem występowania zależności ciśnieniowej, która wymaga jednoznacznego zdefiniowania, a nie opierania się na domniemaniach.

Drzwi zasługują na szczególną uwagę w tym procesie mapowania, ponieważ drzwi nie są statyczną granicą; stanowią one trasę, która czasami jest otwarta, a czasami zamknięta, a relacja ciśnienia, którą mają utrzymywać, ma zastosowanie tylko wtedy, gdy rzeczywiste zachowanie drzwi odpowiada założeniom projektu kaskadowego. W przypadku gdy dwa pomieszczenia są oddzielone pojedynczymi drzwiami bez śluzy, kierunek i wielkość różnicy ciśnień muszą być wystarczające, aby umożliwić szybką rekonfigurację po zamknięciu drzwi po ich użyciu, a podczas tworzenia mapy należy zidentyfikować każdą taką granicę z pojedynczymi drzwiami, zamiast zakładać, że śluza buforuje wszystkie krytyczne przejścia. W przypadku gdy komora wyrównawcza lub przedsionek znajduje się pomiędzy dwiema przestrzeniami o różnej klasyfikacji, mapowanie musi uwzględniać komorę wyrównawczą jako oddzielne pomieszczenie z własną relacją ciśnieniową względem obu sąsiadujących przestrzeni, a nie jako przezroczyste przejście.

Trasy przepływu, które całkowicie omijają pomieszczenie — komora przekaźnikowa, klapa, przepływ kanałowy — nadal powinny znaleźć się na tej mapie, ponieważ stanowią alternatywną ścieżkę, którą może nastąpić wyrównanie ciśnienia lub przepływ powietrza między strefami, niezależnie od drzwi. Projekt kaskadowy, który uwzględnia jedynie sąsiedztwo oparte na drzwiach, ignorując komorę przekaźnikową otwierającą się na te same dwa pomieszczenia, pomija trasę, która może podważyć zamierzoną różnicę ciśnień w momencie korzystania z komory przekaźnikowej. Mapa sąsiedztwa i zagrożeń procesowych, która powstaje w wyniku tego ćwiczenia, staje się dokumentem referencyjnym, w oparciu o który każda późniejsza decyzja projektowa — rozmieszczenie czujników, logika alarmów, oferta dostawcy — jest sprawdzana pod kątem spójności.

Uwzględnienie systemów odciągowych, lokalnych kabin, obciążenia filtrów i trybów pracy

Kaskada ciśnieniowa, którą ocenia się wyłącznie w jednym, czystym stanie ustalonym, nie uwzględnia warunków, w których faktycznie zazwyczaj testuje się regulację ciśnienia. Kilka zmiennych roboczych wpływa na równowagę ciśnieniową w sposób, którego nie da się odzwierciedlić za pomocą pojedynczej wartości zadanej, a każdą z nich należy uwzględnić jako odrębny, zdefiniowany scenariusz, zamiast pozostawiać ją jako nieokreślone założenie leżące u podstaw projektu nominalnego.

Otwarcie drzwi jest najbardziej bezpośrednim z tych zjawisk: gdy otwierają się drzwi między dwoma pomieszczeniami o różnym ciśnieniu, różnica ciśnień na tej granicy zmniejsza się do zera tak długo, jak długo drzwi pozostają otwarte, a równowaga w otaczających pomieszczeniach może ulec zmianie w miarę redystrybucji powietrza przez wszelkie dostępne drogi przepływu. W ramach projektu konieczne jest uzgodnienie zasad działania drzwi — przejść z pojedynczymi drzwiami, połączonych śluz powietrznych, celowych okresów utrzymywania drzwi w pozycji otwartej w celu przemieszczania materiałów — ponieważ zachowanie kaskady podczas przywracania równowagi musi być oceniane w odniesieniu do tych uzgodnionych zasad, a nie w odniesieniu do idealnego stanu zamkniętych drzwi.

Systemy wywiewne zmieniają równowagę w przeciwnym kierunku. System odprowadzania oparów, lokalna wentylacja wyciągowa lub system odprowadzania dostosowany do konkretnego procesu wyciąga powietrze z pomieszczenia niezależnie od ogólnego obiegu nawiewu i wywiewu, a gdy system ten działa, może zmienić ciśnienie efektywne w pomieszczeniu w porównaniu ze stanem, gdy jest wyłączony. Jeśli projekt obejmuje systemy wywiewowe, które włączają się i wyłączają wraz z przebiegiem procesu, kaskada musi zachowywać zamierzone relacje w obu stanach, a dostawca musi wiedzieć, które pomieszczenia są wyposażone w systemy wywiewowe i w jakich warunkach działają.

Kabiny lokalne — kabiny ważące lub dozujące, kabiny do pobierania próbek, komory bezpieczeństwa biologicznego, urządzenia z przepływem laminarnym — wprowadzają do pomieszczenia własny strumień powietrza, co w zależności od konfiguracji może sprzyjać lub utrudniać utrzymanie odpowiednich relacji ciśnieniowych w pomieszczeniu. Stan pracy kabiny nie jest zatem czynnikiem ubocznym w kaskadzie ciśnieniowej pomieszczenia; stanowi on sam w sobie zmienną scenariusza, która wpływa na kształt różnicy ciśnień w otoczeniu.

Obciążenie filtra powoduje zmiany oporu w ścieżce filtracji w trakcie okresu eksploatacji urządzenia, co zmienia równowagę przepływu powietrza, od której zależy różnica ciśnień, chyba że system sterowania to kompensuje. Ponadto tryb pracy — obecność osób a brak osób, produkcja a praca na biegu jałowym, czyszczenie a przetwarzanie — może wiązać się z własną, zamierzoną zależnością ciśnień, odrębną od pozostałych. Żadnego z tych warunków nie da się uwzględnić, prosząc dostawcę o potwierdzenie jednej wartości zadanej; należy je przedstawić jako zdefiniowany zestaw scenariuszy, w których proponowana kaskada ma działać zgodnie z oczekiwaniami.

Umieszczanie czujników różnicy ciśnień i określanie ich punktów odniesienia

Odczyt ciśnienia ma znaczenie wyłącznie w kontekście miejsca, w którym został wykonany, oraz punktu odniesienia, względem którego jest mierzony. Dwa czujniki wskazujące tę samą różnicę ciśnień mogą odzwierciedlać zupełnie różne relacje ciśnieniowe, jeśli jeden z nich mierzy ciśnienie względem sąsiedniego pomieszczenia, a drugi – względem korytarza lub atmosfery zewnętrznej. Zanim jakikolwiek odczyt będzie można zinterpretować jako dowód działania regulacji kaskadowej, należy dokładnie ustalić, jaką granicę reprezentuje dany czujnik i jaka jest jego strona odniesienia.

Rozmieszczenie czujników musi wynikać z krytycznych różnic ciśnień zidentyfikowanych wcześniej podczas tworzenia map sąsiedztwa i zagrożeń, a nie z tego, gdzie z konstrukcyjnego punktu widzenia najwygodniej jest poprowadzić linię pomiarową. Jeśli ściana oddziela dwa pomieszczenia, między którymi istnieje określona i krytyczna zależność ciśnieniowa, czujnik mierzący tę zależność musi odnosić się do obu stron tej konkretnej ściany — a nie do pobliskiego korytarza, który akurat jest łatwiej dostępny do montażu. Czujnik odniesiony do niewłaściwej przestrzeni będzie generował stabilny, uspokajający odczyt, który nie ma nic wspólnego z zależnością, którą miał potwierdzić.

Sytuacja staje się bardziej złożona, gdy pomieszczenie ma więcej niż jednego sąsiada o krytycznym znaczeniu. W przypadku pomieszczenia położonego pomiędzy przestrzenią o wyższym klasyfikacji z jednej strony a przestrzenią o niższym klasyfikacji z drugiej strony konieczne jest regulowanie ciśnienia w tym pomieszczeniu – a w idealnym przypadku także monitorowanie go – w odniesieniu do obu sąsiadów oddzielnie, ponieważ pojedynczy czujnik odczytujący stan tylko z jednej strony nie jest w stanie potwierdzić, czy stosunek ciśnienia względem drugiej strony jest również utrzymywany. W przypadku gdy ograniczenia budżetowe lub związane z oprzyrządowaniem ograniczają liczbę czujników, zespół projektowy musi zdecydować, które z wielu relacji należy monitorować bezpośrednio, i zaakceptować fakt, że pozostałe będą ustalane na podstawie wniosków, a nie pomiarów — decyzja ta leży w zakresie analizy obowiązków ochronnych projektu, a nie osoby odpowiedzialnej za rozplanowanie tras przewodów.

Punkty odniesienia muszą również pozostawać spójne przez cały okres eksploatacji systemu. Jeśli punkt odniesienia czujnika zostanie później przeniesiony lub jeśli przeznaczenie pomieszczenia ulegnie zmianie w taki sposób, że sąsiednia przestrzeń nie będzie już odpowiadać założeniom pierwotnego projektu, czujnik może nadal przekazywać stabilne odczyty, które jednak nie będą już odzwierciedlać relacji ciśnieniowych, których potwierdzenie jest faktycznie wymagane w ramach projektu. W związku z tym dla każdej krytycznej różnicy ciśnień należy udokumentować miejsce pomiaru i punkt odniesienia w ramach zatwierdzonego projektu, a nie pozostawiać ich odtworzenia na później w oparciu o pamięć osób pracujących w terenie.

Określenie obowiązków w zakresie monitorowania, rejestrowania, alarmowania, reagowania i eskalacji

Zidentyfikowanie kluczowego parametru różnicowego i zlokalizowanie jego czujnika pozwala jedynie stwierdzić, że pomiar jest wykonywany; nie mówi to jednak nic o tym, co się dzieje, gdy wartość pomiaru wykracza poza przewidziany zakres. Lukę tę należy wypełnić jasnymi definicjami obejmującymi monitorowanie, rejestrowanie, znaczenie alarmów, reakcję personelu oraz eskalację — przy czym każda z tych kwestii wymaga odrębnej decyzji, a nie jednej ogólnej specyfikacji “systemu alarmowego”.

Monitorowanie określa, w jaki sposób i z jaką częstotliwością obserwowany jest stan krytycznego różnicowego — czy jest on śledzony w czasie rzeczywistym w systemie zarządzania budynkiem, rejestrowany w określonych odstępach czasu, czy też sprawdzany ręcznie zgodnie z harmonogramem. Wybrana metoda musi być dostosowana do tego, jak szybko utrata danej zależności mogłaby mieć poważne konsekwencje dla tego, co chroni; zależność zabezpieczająca granicę obszaru izolacyjnego wymaga innego podejścia do monitorowania niż ta wspierająca ogólną strefę ochrony produktu, a o wyborze tej metody powinna decydować wcześniejsza analiza obowiązków przeprowadzona w ramach projektu.

Rejestrowanie to kwestia odrębna od monitorowania: określa ono, jakie dane są przechowywane i przez jaki czas, niezależnie od tego, czy ktoś je obserwuje na żywo. Załącznik 1 do wytycznych UE dotyczących GMP odnosi się konkretnie do monitorowania, rejestrowania i alarmów dotyczących krytycznych różnic, co stawia wymagania dotyczące rejestrowania na równi z monitorowaniem na żywo w pomieszczeniach, w których kaskada działa zgodnie z tymi wytycznymi.

W praktyce właśnie w kwestii znaczenia alarmów wiele łańcuchów zdarzeń staje się niejednoznacznych. Warunek alarmowy wymaga jasno określonego znaczenia — czy oznacza on, że różnica przekroczyła zdefiniowany limit, że przekracza go przez dłuższy czas, czy też że sam czujnik uległ awarii? Każde z tych zdarzeń jest inne i wymaga innej reakcji, a połączenie ich w ramach jednego typu alarmu sprawia, że personel musi zgadywać, jak zareagować w momencie, gdy konieczna jest interwencja.

Należy określić sposób reagowania personelu w odniesieniu do każdego konkretnego przypadku utraty kontroli, zamiast pozostawiać to w formie ogólnej instrukcji, by “przeprowadzić dochodzenie”. Odpowiedzialność za eskalację zamyka ten cykl: kto jest powiadamiany, w jakich warunkach i w ramach jakiej struktury dowodzenia, tak aby trwała utrata krytycznego różnicowego nie utknęła na poziomie osoby, która jako pierwsza zauważyła alarm. Każdy z tych pięciu elementów — monitorowanie, rejestrowanie, znaczenie alarmu, reakcja, eskalacja — wymaga własnej, jasno określonej definicji projektowej, zweryfikowanej pod kątem każdego z wcześniej zidentyfikowanych krytycznych różnicowych, zanim kaskadę będzie można uznać za operacyjnie kompletną, a nie jedynie zaprojektowaną.

Dane dostawców i dowody odbioru dla zatwierdzonej kaskady

Zanim zwróci się do dostawcy z prośbą o ofertę, projekt powinien już zawierać materiały umożliwiające porównanie ofert: mapę sąsiedztwa pomieszczeń i zagrożeń procesowych, uzgodnione scenariusze eksploatacyjne obejmujące działanie drzwi, systemy wywiewu, kabiny lokalne, obciążenie filtrów oraz tryby pracy, a także zdefiniowane różnice krytyczne wraz z miejscami pomiarów i punktami odniesienia. Właśnie na tych informacjach opiera się faktycznie analiza konfiguracji lub wyceny przeprowadzana przez producenta — oferta kaskadowa sporządzona bez nich opiera się na domysłach dotyczących projektu, a nie na samym projekcie, a dobór sprzętu dotyczący drzwi do pomieszczeń czystych, FFU, czy też panele osłonowe – wszystko zależy od tego, na jakich granicach się znajdują i jakie relacje ciśnieniowe mają pomagać utrzymać.

Porównanie ofert dostawców na tej podstawie oznacza sprawdzenie każdej z nich w odniesieniu do tego samego zestawu uzgodnionych scenariuszy, a nie do pojedynczej nominalnej wartości zadanej — oferta, która sprawdza się dobrze w wyidealizowanych warunkach przy zamkniętych drzwiach i wyłączonym systemie wyciągu, nie dostarcza projektowi informacji o tym, czy zachowa zamierzone zależności po otwarciu drzwi, uruchomieniu wyciągów lub gdy filtry zbliżą się do końca okresu eksploatacji. W porównaniu tym należy również uwzględnić ustalone wcześniej definicje monitorowania, rejestrowania, alarmów, reagowania i eskalacji: proponowane podejście do sterowania powinno być sprawdzane w odniesieniu do tych samych definicji, a nie oceniane wyłącznie na podstawie własnej logiki wewnętrznej.

Kwestia dowodów odbioru to odrębna sprawa od wyboru dostawcy, a zespół projektowy musi dokładnie rozumieć tę różnicę. ISO 14644-4 norma ta obejmuje proces od określenia wymagań po projektowanie i weryfikację pomieszczeń czystych, ale nie określa strategii ciśnieniowej, konkretnej technologii ani wartości akceptacyjnej projektu — są to decyzje, które projekt musi podjąć i udokumentować samodzielnie, opierając się na analizie sąsiedztwa pomieszczeń i analizie zagrożeń, a nie na zapisach normy. Norma ISO 14644-4 wspiera natomiast strukturę przechodzenia od określonych wymagań, poprzez etap projektowania, aż do zweryfikowanej instalacji gotowej do uruchomienia, co zapewnia projektowi proces, którym należy się kierować, mimo że nie podaje ona samych wartości ciśnienia.

W praktyce oznacza to, że kryteria akceptacji muszą być sformułowane jako część wyników prac projektowych danego projektu, a nie zaczerpnięte z normy lub standardowego pakietu uruchomieniowego dostawcy, a dowody wykorzystane do potwierdzenia zatwierdzonej kaskady — dane z uruchomienia, testy funkcjonalne w ramach uzgodnionych scenariuszy, weryfikacja, czy każda różnica krytyczna spełnia kryterium specyficzne dla projektu w zdefiniowanym punkcie odniesienia — muszą być powiązane z tą samą mapą sąsiedztwa i analizą zagrożeń, które pierwotnie ukształtowały kaskadę. Kaskada, która przejdzie ogólny test uruchomieniowy bez sprawdzenia pod kątem wyjątków dotyczących zabezpieczeń i scenariuszy eksploatacyjnych właściwych dla projektu, nie wykazała jeszcze, że spełnia rzeczywiste wymagania projektu.

Często zadawane pytania

Q: Czy można porównać dwie oferty dostawców, jeśli opierają się one na różnych założeniach operacyjnych?
A: Nie w sposób wiarygodny. Należy przypisać każdemu dostawcy te same, uzgodnione parametry otwierania drzwi, stany systemu wyciągu i kabiny lokalnej, warunki obciążenia filtra oraz tryby pracy, tak aby można było porównać proponowaną równowagę ciśnieniową w oparciu o wspólną specyfikację.

Q: Jak ustalić, czy konwencjonalny kierunek ciśnienia służący do ochrony produktu jest odpowiedni?
A: Na podstawie mapy sąsiedztwa pomieszczeń i zagrożeń procesowych należy określić, przed czym ma chronić każda relacja między pomieszczeniami. Jeśli projekt wiąże się z zagrożeniami związanymi z czynnikami chorobotwórczymi, toksycznymi, radioaktywnymi lub żywymi organizmami, należy ustalić wymagany kierunek izolacji dla danego zagrożenia, zamiast stosować standardowy kierunek ochrony produktu.

Q: Jakie informacje należy przygotować przed zwróceniem się do dostawców o wycenę kaskady?
A: Należy określić odpowiednie sąsiedztwa pomieszczeń, zagrożenia technologiczne, zamierzone zadania ochronne dla każdej relacji, uzgodnione scenariusze eksploatacyjne oraz różnice krytyczne wraz z miejscami ich pomiaru i punktami odniesienia. Należy również określić, w jaki sposób zostaną zdefiniowane monitorowanie, rejestracja, alarmy, reakcja personelu, eskalacja oraz dowody potwierdzające odbioru projektu.

Q: O czym powinna dotyczyć rozmowa dotycząca alarmu, poza stwierdzeniem, że utracono kontrolę nad ciśnieniem?
A: Powinno ono określać, co oznacza każdy stan alarmowy, jaką zależność ciśnieniową reprezentuje, jakie działania podejmuje personel w odpowiedzi na niego oraz kiedy i komu zdarzenie jest eskalowane. Dzięki temu alarm przestaje być jedynie sygnałem ostrzegawczym, a staje się uzgodnionym działaniem operacyjnym.

Q: Czy powołanie się na normę ISO 14644-4 określa dopuszczalne wartości dla kaskady?
A: Nie. Należy to wykorzystać w ramach systemu określania wymagań projektowych i weryfikacji dla pomieszczeń czystych, przy jednoczesnym zdefiniowaniu strategii ciśnieniowej, technologii, kryteriów akceptacji oraz wymaganych dowodów dla konkretnego projektu.