Thermo Fisher Scientific HyPerforma DynaDrive 500 L

Thermo Scientific HyPerforma DynaDrive 500 l ma zakres roboczy 25–500 l (turndown 20:1), wysoki BPC, elastyczny wał z czterema mieszadłami i osobny układ gazowania małych objętości. Producent deklaruje otwartą integrację z automatyką DeltaV, Allen‑Bradley albo Siemens.

Z punktu widzenia bezpieczeństwa OT kartę należy więc czytać jako opis dwóch warstw. Pierwsza jest dość stabilna: zbiornik wsporczy, BPC, silnik, przekładnia, VFD, pneumatyczny podnośnik, opcjonalny E‑Box, płaszcz wodny i aparatura polowa. Druga jest konfigurowana dla projektu: kontroler bioprocesu, logika, receptury, stacje operatorskie, historian, serwer domenowy lub robocza grupa, połączenia z MES i systemami zdalnego wsparcia. Publiczna dokumentacja pozwala dokładnie zidentyfikować warstwę procesową i interfejs napędu, ale nie potwierdza jednego procesora, systemu operacyjnego, nośnika danych, zestawu portów ani hasła właściwego wszystkim egzemplarzom.

Identyfikacja i status rynkowy

Bieżąca strona producenta rozróżnia warianty zasilania 120 i 240 V, a zakup prowadzi przez zapytanie ofertowe. Oznacza to, że publicznie nie ma rzetelnej ceny kompletnego stanowiska. Nie wolno używać ceny worka, filtra, czujnika ani samego kontrolera jako ceny bioreaktora. Koszt projektu obejmuje co najmniej jednostkę sprzętową, BPC, kontroler bioprocesu, TCU, instalację gazów i mediów, konfigurację oprogramowania, FAT/SAT, walidację, szkolenie, części krytyczne i materiały jednorazowe.

Geometria i konstrukcja

Komora BPC ma średnicę 63,4 cm, wysokość do ramienia 186,69 cm i wysokość cieczy 158,75 cm przy znamionowych 500 l. Producent podaje stosunek wysokości do średnicy 2,5:1 zarówno dla geometrii cieczy przy objętości roboczej, jak i dla całego reaktora. Wąska, wysoka geometria jest istotna dla transferu tlenu, hydrostatycznego profilu ciśnienia, lokalizacji czujników i zachowania worka podczas napełniania.

Zbiornik wsporczy wykonano ze stali nierdzewnej 304. Ma otwierane drzwi, okna inspekcyjne poziomu cieczy, szeroki dostęp do portów, uchwyty przewodów, wózek i poziomowane kółka. Płaszcz z przetłoczeniami obejmuje trzy pionowe ściany oraz dno. Wariant bez E‑Box ma około 103,2 cm szerokości; wariant z E‑Box — 141 cm. Długość wynosi 111,8 cm, a wysokość 310,8 cm, z regulacją około 7,6 cm. Masa suchego stanowiska wynosi 446,78 kg bez E‑Box i 479,9 kg z nim; przy znamionowej objętości producent podaje odpowiednio 945,74 i 978,85 kg.

BPC, wał i mieszadła

Standardowy BioProcess Container jest wykonany z folii Aegis 5‑14, dostarczany na płasko w dwóch zewnętrznych warstwach polietylenowych i napromieniany dawką 25–40 kGy. Etykieta opakowania ma zawierać opis, kod produktu, numer partii i termin ważności; producent deklaruje certyfikat analizy dla partii. Dla dochodzenia ważne są zdjęcia wszystkich etykiet, numer lot, data napromieniania, termin, zapis kontroli opakowania i dokładny rysunek wykonawczy BPC. Kod SH31193.01 opisuje standard, lecz worek może być zamówiony w konfiguracji niestandardowej.

Napęd wewnętrzny składa się z górnego zespołu łożyska i uszczelnienia, dolnego łożyska z zaślepionym portem, dwóch elastycznych pionowych linek oraz pięciu poprzeczek stabilizujących. Na elastycznym układzie znajdują się trzy dwupłatowe mieszadła typu modified pitched blade oraz jedno dwupłatowe mieszadło zamiatające, przeznaczone do pracy przy małej objętości. Średnica mieszadła wynosi 22,9 cm, a stosunek D/T 0,37. Konstrukcja daje się złożyć razem z workiem do transportu i rozkłada podczas instalacji.

W przeciwieństwie do klasycznego stalowego wału taśmy, poprzeczki, łożyska i zaczep dolny są elementami krytycznymi dla tożsamości jednorazowego układu. Nieprawidłowe osadzenie dolnego łożyska, skręcenie worka, pominięcie kontroli linek lub przedwczesne uruchomienie mogą dać objawy przypominające błąd regulatora: skoki obciążenia, niestabilne rpm, drgania albo uszkodzenie BPC. W analizie alarmu napędu najpierw trzeba zestawić prąd i częstotliwość VFD z zapisem instalacji worka oraz stanem mechanicznym, a dopiero później wnioskować o ingerencji w logikę.

Standardowy worek zawiera jeden jednorazowy czujnik pH Hamilton i jeden jednorazowy czujnik DO Hamilton. Redundancja wymaga zamówienia dodatkowych czujników. Dostępne są również zestawy do wprowadzania klasycznych sond autoklawowanych, tacka autoklawowa, port temperatury, uchwyt sondy piany, uchwyty filtrów, uchwyty górnych zakładek i organizer kabli. Dla każdego BPC należy zachować konfigurację linii dodatków, zbioru, próbkowania, spustu, gazów, filtrów, złączy aseptycznych oraz zaślepionych portów.

Napęd, VFD i granice sterowania

Silnik indukcyjny ma moc 400 W, znamionowy moment 5,6 Nm, zasilanie 208 VAC trójfazowe i przekładnię 20:1. Zakres sterowany wynosi 35–120 rpm. Dokładność prędkości określono jako ±1,5 rpm albo ±1% wartości zadanej — należy sprawdzić, która wartość jest większa w danym punkcie. Producent rekomenduje w hodowli komórkowej prędkość większą niż 50 rpm przy każdej objętości; nominalna prędkość końcówki łopatki wynosi 60 cm/s.

VFD jest programowalny, ma zdalny interfejs panelowy i funkcję automatycznego restartu po awarii zasilania. Zewnętrzny kontroler może zadawać napędowi sygnał 0–10 V albo 4–20 mA. Ta pozornie prosta granica analogowa jest jednym z najważniejszych punktów dowodowych:

• trzeba ustalić typ użytego sygnału, jego ekranowanie, wspólną masę i fizyczne zaciski;
• należy zapisać skalowanie, np. zależność między 4–20 mA a 35–120 rpm;
• osobno należy zebrać sygnał enable/run, kierunek, reset błędu, feedback rpm i status fault;
• konfiguracja VFD powinna być wyeksportowana i porównana z kopią zatwierdzoną;
• zachowanie przy utracie sygnału i po powrocie zasilania wymaga testu, ponieważ auto‑restart może wznowić ruch bez nowego polecenia operatora;
• wartości 0 rpm, minimalne 35 rpm oraz rekomendowane ponad 50 rpm nie są synonimami.

Architektura analogowa ogranicza część ataków sieciowych bezpośrednio na VFD, lecz nie chroni procesu przed zmianą skalowania w PLC/DCS, wymuszeniem wyjścia analogowego, podmianą wejścia zwrotnego ani manipulacją parametrami falownika przez lokalny panel lub port serwisowy. W zdarzeniu trzeba zabezpieczyć jednocześnie projekt automatyki, parametry VFD, przebiegi sygnału analogowego i logi kontrolera.

Podnośnik i funkcje lokalne

Pneumatyczny podnośnik silnika wymaga 24 VDC i powietrza o ciśnieniu 90 psi. Oddzielny mechanizm podnosi BPC. Podnośnik ułatwia połączenie górnego zespołu napędowego worka z silnikiem, ale tworzy własną granicę bezpieczeństwa: elektrozawory, krańcówki, regulator ciśnienia, lokalny panel i procedurę blokowania energii. Cyberincydent nie musi polegać na przejęciu sieci — nieautoryzowana zmiana przewodów, obejście blokady lub pozostawienie lokalnego selektora w trybie ręcznym może zmienić zachowanie instalacji.

Instrukcja szybkiego uruchomienia pokazuje wieloetapową instalację BPC i pracę mechanizmu. Materiał ten jest przydatny jako wzorzec kontroli miejsca: ustawienie worka, położenie drive train, prowadzenie przewodów i kolejność operacji powinny być zgodne z zatwierdzoną instrukcją. Fotografie wykonane przed i po procesie mogą rozstrzygnąć, czy nietypowy sygnał napędu wynikał z błędu montażowego.

Napowietrzanie i niejednoznaczność progu małej objętości

Standardowy BPC ma dwa główne spargery: enhanced drilled‑hole sparger oraz porous‑frit sparger. Dodatkowy cross‑flow sparger wprowadza gaz w pobliżu powierzchni i pełni funkcję overlay podczas pracy na małej objętości. Dokumentacja producenta nie jest tu całkowicie spójna. Na pierwszej stronie datasheetu cross‑flow opisano dla objętości 25 l lub mniejszej, natomiast na stronie drugiej dla 20% pojemności, czyli 100 l lub mniej. Nie należy sztucznie wybierać jednej liczby jako uniwersalnego progu.

Temperatura, płaszcz i TCU

Płaszcz ma powierzchnię około 0,51 m² przy pełnej objętości i 0,06 m² przy 10% objętości. Jego pojemność wynosi 13,6 l, a deklarowany przepływ 71 l/min przy 3,4 bar. Przyłącze procesowe może być wykonane jako sanitary tri‑clamp 1,5 cala albo szybkozłącze. Producent zaleca obciążenie grzewczo‑chłodzące 5000 W i wskazuje Pt100 jako standardowy RTD o średnicy zewnętrznej 3,18 mm.

TCU jest elementem wymaganym do regulacji temperatury, ale nie jest dostarczany jako część podstawowej jednostki. Z użyciem ThermoFlex 2500 producent podaje orientacyjne nagrzewanie od 5 do 37°C: około jednej godziny przy 10% objętości i około trzech godzin przy pełnych 500 l. Zakres pracy systemu z opcjonalnym E‑Box określono od temperatury otoczenia do 40°C z dokładnością ±0,5°C. Są to dane konfiguracji referencyjnej, nie gwarantowany czas dla każdej instalacji.

Inwentaryzacja musi objąć osobno TCU: producenta, model, firmware, interfejs, adres, nastawy alarmowe, parametry pompy, medium termiczne oraz granice ciśnienia i temperatury. Jeżeli PLC/DCS zadaje temperaturę do zewnętrznego TCU, mapa komunikacji jest częścią krytycznego łańcucha sterowania. Należy też odróżnić temperaturę cieczy procesowej, zasilania i powrotu płaszcza. Manipulacja jednym sygnałem może pozostać niewidoczna, gdy HMI prezentuje tylko PV głównego RTD.

Wagi i bilans masy

Mettler Toledo Flexmount są opcjonalnymi czujnikami wagowymi. Producent dostarcza je bez kalibracji i wymaga kalibracji na miejscu przez producenta wag albo wykwalifikowanego technika.

Dokumentacja aktywa powinna obejmować numery czujników i junction box, zakres przetwornika, typ wyjścia, kalibrację zera i span, jednostki, filtrację, alarmy oraz współczynniki zastosowane w PLC/DCS. W trakcie incydentu masę reaktora porównuje się z wagami feed/harvest, objętością medium, czasem i prędkością pomp oraz zapisem ręcznych dodatków. Różnica nie dowodzi automatycznie utraty medium: wpływają na nią naprężone węże, hamulce kół, dotknięcie rurociągu do konstrukcji i zmiana obciążenia wyposażenia.

E‑Box i dokumentacja elektryczna

Opcjonalny E‑Box zapewnia zdalne sterowanie mieszaniem, VFD, wskazania temperatury i ciśnienia, wyłącznik awaryjny oraz gniazda zasilane ciągle. W jego wnętrzu instrukcja pokazuje rozdział zabezpieczeń dla VFD, zasilania głównego, wyświetlacza temperatury, czujnika ciśnienia, obwodu E‑stop i continuous power. Producent dostarcza ETP, czyli pakiet techniczny i schematy elektryczne, na nośniku USB.

Sterowanie otwarte: co naprawdę wiadomo

Datasheet DynaDrive 500 opisuje wariant open-architecture lub turnkey i możliwość użycia kontrolera zakładowego; wymienia integracje DeltaV, Allen-Bradley i Siemens.

1. warstwa fizyczna reaktora: zbiornik, BPC, napęd, podnośniki, płaszcz, wagi, ciśnienie, czujniki i linie;
2. lokalne sterowanie elektryczne: E‑Box, VFD, E‑stop, zabezpieczenia, zasilacze, przekaźniki i wejścia/wyjścia;
3. kontroler bioprocesu: PLC/DCS, moduły I/O, MFC, pompy, transmitery, HMI i konfiguracja;
4. warstwa supervisory: stacja inżynierska, historian, batch, receptury, serwer aplikacyjny i backup;
5. integracje zakładowe: MES, LIMS, domena, NTP, syslog, zdalny serwis i repozytorium konfiguracji.

Opcja G3Lite 500 L z TruBio i DeltaV

Bieżącym, dobrze udokumentowanym wariantem jest HyPerforma G3Lite Controller for 500 L S.U.B. (GMP), katalog F100‑2704‑002. Jest to osobna wieża kontrolna, a nie standardowy podzespół każdej jednostki DDB0500. Producent podaje zasilanie 120/240 V, obudowę NEMA 4X, wymiary 160 × 68 × 54 cm i masę 68 kg. Wyposażenie obejmuje 22‑calowy ekran dotykowy z KVM, klawiaturą i urządzeniem wskazującym, sześć zestawów po trzy MFC TruFlow, cztery pompy Watson‑Marlow — trzy 114 i jedną 313 — oraz transmitery TruFluor, TruSens, RTD i przewody.

Opcjonalnie wieża może obsługiwać dwie wagi 15 kg, dwie zewnętrzne pompy Watson‑Marlow 313 oraz sześciocalowy vent filter heater SV50191.62. Producent opisuje TruBio jako oprogramowanie oparte na Emerson DeltaV, a sterownik jako zdolny do pracy samodzielnej lub w sieci wielu zbiorników. Pole handlowe „Operating System: Emerson DeltaV system” jest nazwą kategorii producenta, nie dowodem na kernel czy wersję systemu operacyjnego hosta.

W bieżącej ofercie wymieniane są licencje „DeltaV (latest version)” i TruBio, w tym wersja GMP. Takie sformułowanie nie identyfikuje wersji zainstalowanej w istniejącym obiekcie. Do oceny potrzebne są: wersja DeltaV, hotfixy, wersja TruBio i pakiet aplikacyjny, wersja systemu Windows na każdej stacji, firmware kontrolerów i I/O, role użytkowników, domena lub workgroup, topologia redundantna, licencje, certyfikaty oraz data ostatniego zwalidowanego backupu.

CVE: zależność od wybranej automatyki

Dla stanowisk DynaDrive 500 z Emerson DeltaV zastosowanie mogą mieć biuletyny CISA: SB18-239 (m.in. CVE-2018-14795, -14793, -14797 i -14791), SB19-035 (CVE-2018-19021) oraz SB22-031 (CVE-2021-26264 i CVE-2021-44463), zależnie od wersji DeltaV.

Są to wskazówki do korelacji, nie dowód podatności konkretnego reaktora. Najpierw identyfikuje się dokładny produkt, wersję, hotfix, komponent i osiągalność podatnej funkcji, a następnie stosuje zalecenia producenta. Aplikacyjna nota perfuzyjna podaje TruBio DV12.3, ale tego zapisu nie wolno automatycznie utożsamiać z DeltaV 12.3.1 ani przenosić na wszystkie instalacje DynaDrive.

Potwierdzona konfiguracja perfuzyjna 350–500 L

Oficjalna nota aplikacyjna opisuje 60‑dniowy proces w DynaDrive 500 połączonym z dwoma równoległymi urządzeniami Repligen XCell ATF 10. Kontrolę prowadził G3Pro z TruBio DV12.3. Objętość wynosiła 350 l w dniach 0–45, następnie w dniach 47–60 zwiększono ją do 500 l. Utrzymywano 37°C, mieszanie 74–80 rpm, około 30 W/m³, pH 7,0 ±0,2 regulowane CO₂ i DO 40% w kaskadzie N₂–powietrze–O₂. Do headspace podawano 6 slpm powietrza.

Stężony 45% roztwór glukozy utrzymywał 2–5 g/l. Perfuzję uruchomiono w dniach 3–5, zwiększając ją od 0,2 do 1,0 VVD, po czym utrzymywano 1 VVD. Dwa ATF 10 pracowały z sumarycznie opisanym przepływem 50 l/min; nota podaje flux 0,67–0,95 LMH i shear rate 1263 s⁻¹. W dniach 35–45 przy 350 l osiągnięto stan ustalony. Po zwiększeniu objętości do 500 l w ciągu dwóch dni proces trwał jeszcze 13 dni, lecz nowego stanu ustalonego nie osiągnięto.

W początkowej fazie przepływ powietrza przez DHS dochodził do 6 slpm, następnie około 2 slpm; tlen początkowo dochodził do 30 slpm, a w stanie ustalonym pozostawał blisko 15 slpm. DO utrzymywało się w granicach 5% wartości zadanej. pCO₂ wynosiło około 80–120 mmHg w dniach 10–50, a spodziewana szybkość produkcji białka była rzędu 8–12 pg/mm³ komórek/dzień.

Te wartości opisują jeden eksperyment i nie są granicami sprzętu. Są jednak użyteczne jako realny wzorzec korelacji danych: wzrost objętości, zmiana rpm, obciążenie ATF, kaskada gazowa, glukoza, pCO₂, VCD i produktywność tworzą spójny obraz procesu. Nietypowe odchylenie jednego kanału można sprawdzać wobec pozostałych.

Potwierdzony proces fed‑batch CHO‑S

Druga nota aplikacyjna opisuje 14‑dniową hodowlę CHO‑S. Objętość początkowa wynosiła 425 l, inokulum 0,3 × 10⁶ komórek/ml, temperatura 37°C, pH 6,8–7,2, mieszanie 68 rpm, DO 30% i headspace air 6 slpm. Azot i tlen podawano przez DHS w kaskadzie. Od dnia 3 do 11 dodano łącznie 75 l EfficientFeed C+.

Szczytowa viable cell density wyniosła około 26 × 10⁶ komórek/ml, a wykres wskazuje miano bliskie 0,9 g/l w dniu 14. Autorzy opisują eksploatację około 20 W/m³, poniżej zalecanego maksimum 80 W/m³. W badaniach 50 i 500 l z ExpiCHO‑S sumaryczny przepływ przez DHS nie przekroczył 0,035 vvm, czyli mniej niż 25% podanego maksimum 0,15 vvm.

Także te parametry nie są uniwersalną recepturą. Pokazują natomiast, że normalny proces może pracować daleko od maksymalnych możliwości sprzętu. Detekcja anomalii nie powinna polegać wyłącznie na alarmach granicznych; niewielka, długotrwała zmiana rpm, gazu albo dozowania może mieścić się w limitach sprzętowych, a mimo to wpłynąć na jakość produktu.

Scenariusze istotne dla bezpieczeństwa OT

Najbardziej wartościowe scenariusze kontrolne wynikają z fizyki tego modelu:

• zmiana skalowania analogowego VFD: zadanie w HMI wygląda prawidłowo, lecz rzeczywiste rpm różnią się wskutek zmiany 0–10 V/4–20 mA albo parametrów falownika;
• auto‑restart napędu: po krótkim zaniku energii mieszadło uruchamia się zgodnie z parametrem VFD, mimo że sekwencja procesu oczekuje bezpiecznego postoju;
• fałszywy DO: regulator zwiększa O₂ lub rpm na podstawie błędnego sygnału, powodując nadmierne gazowanie albo shear;
• błędna ścieżka gazu: logika przełącza cross‑flow, DHS, frit lub overlay przy niewłaściwej objętości;
• utrata masy lub błędne zero wag: układ pomp podejmuje decyzje na podstawie dryfu albo manipulowanego przetwornika;
• zmiana receptury perfuzji: niewielka modyfikacja VVD, ATF lub glukozy nie przekracza alarmów urządzenia, ale destabilizuje proces;
• niewiarygodny odczyt temperatury: wartość procesowa i TCU rozchodzą się, a HMI nie pokazuje niezależnego kanału;
• nieautoryzowany tryb ręczny: operator lub konto serwisowe wymusza pompę, zawór, MFC albo wyjście analogowe poza sekwencją;
• podmiana projektu lub backupu: po przywróceniu system działa z poprawnym interfejsem, lecz inną logiką, skalowaniem lub listą użytkowników.

Każdy scenariusz powinien mieć detekcję wieloźródłową. Przykładowo podejrzenie manipulacji rpm wymaga porównania SP z PLC, AO raw, prądem i częstotliwością VFD, mechanicznym odczytem prędkości, DO, gazami i znacznikiem czasu. Pozwala to odróżnić błąd czujnika, zmianę programu, uszkodzenie mechaniczne i ingerencję.

Ocena kompletności informacji

Najważniejszym wnioskiem jest brak jednego „firmware DynaDrive 500”. Mechanika jest produktem katalogowym, natomiast cyfrowa tożsamość powstaje podczas integracji. Rzetelna karta operacyjna musi wiązać numer seryjny zbiornika z numerem BPC, BOM automatyki, wersją projektu, konfiguracją VFD, kontrolerem, siecią i zatwierdzonym backupem.

Źródła

• Thermo Fisher Scientific — 500 L HyPerforma DynaDrive S.U.B. datasheet.
• Thermo Fisher Scientific — HyPerforma DynaDrive 50 L i 500 L S.U.B. User's Guide.
• Thermo Fisher Scientific — DynaDrive 500 L Quick Start Guide.
• Thermo Fisher Scientific — bieżąca karta DynaDrive 500 L, DDB0500.1011.
• Thermo Fisher Scientific — G3Lite Controller for 500 L S.U.B. GMP, F100-2704-002.
• Thermo Fisher Scientific — DynaDrive w perfuzyjnej hodowli 350–500 L.
• Thermo Fisher Scientific — skalowanie hodowli CHO w DynaDrive.
• CISA SB18-239 — biuletyn podatności systemów ICS, w tym DeltaV.
• CISA SB19-035 — CVE-2018-19021 i wskazane wersje DeltaV.
• CISA SB22-031 — CVE-2021-26264 i CVE-2021-44463.