A registre d'isolation de biosécurité se situe à une limite qui fera ultérieurement l'objet d'un contrôle par un tiers, sur la base d'un document dont le niveau de détail sera peut-être insuffisant pour s'avérer utile. La qualité de la rédaction de ce document, avant même de demander un devis à un fournisseur, détermine si le registre sera livré configuré pour la fonction réellement requise par le projet ou pour une fonction supposée par le fournisseur. La différence apparaîtra plus tard, lors des essais FAT ou SAT, lorsqu'il ne sera plus possible de renégocier le périmètre du projet.
Scénario de confinement et périmètre que le registre doit protéger
| Élément URS | Définition du projet | Front de décision |
|---|---|---|
| Scénario de confinement | Précisez le scénario et la fonction de confinement que le registre doit assurer | Définissez la tâche à accomplir avant d'énumérer vos préférences en matière de matériel |
| Limite protégée | Déterminer la limite que le registre doit créer | Le périmètre dépend du projet |
| Base de l'évaluation des risques | Identifier l'évaluation des risques spécifique au site qui a servi à choisir les mesures de maîtrise | Les mesures de biosécurité doivent être proportionnées au risque évalué |
| Exigences applicables | Identifier les exigences nationales et celles propres au projet qui régissent cette obligation | Les recommandations de l'OMS constituent un soutien de nature générale et ne remplacent pas les réglementations nationales. |
| Contexte relatif au flux d'air directionnel | Précisez si le projet utilise un système de circulation d'air à flux entrant de niveau BSL-3 avec surveillance à l'entrée, ou un système de pression négative de niveau BSL-4 avec verrouillage des ventilateurs et système d'alarme. | Ces exemples ne permettent pas de définir une valeur de consigne numérique universelle pour la pression. |
Un clapet d'isolation de biosécurité n'a pas de fonction propre définie. Sa fonction découle entièrement du scénario de confinement dans lequel il s'inscrit, et ce scénario doit être précisé avant toute discussion technique. Un même type de clapet physique peut servir à une barrière qui doit uniquement résister au mouvement de l’air dans un seul sens en fonctionnement normal, à une barrière qui doit également maintenir sa position face à un différentiel de pression défini en cas de perturbation, ou encore à une barrière qui doit résister à un cycle de décontamination sans perdre son étanchéité. Il s’agit là de fonctions différentes, et un fournisseur qui lit un cahier des charges (URS) ne faisant pas la distinction entre celles-ci établira soit un prix basé sur l’interprétation la plus restrictive, soit gonflera son devis en se fondant sur une hypothèse que l’acheteur n’aura jamais confirmée.
La délimitation elle-même doit faire l’objet de la même précision. L’expression “ clapet d’isolation sur la conduite d’évacuation ” indique à un fournisseur où se situe le composant sur un schéma, mais pas ce qu’il isole ni de quoi. Ce clapet sépare-t-il un espace confiné d’un réseau de conduits desservant d’autres pièces ? Sépare-t-il un espace confiné de l’environnement ambiant lors d’une procédure spécifique ? S’agit-il de l’un des nombreux clapets qui doivent agir de concert pour maintenir une cascade de pression entre plusieurs pièces ? Chacune de ces définitions de délimitation modifie ce que doit signifier le terme “ fermé ”, la rapidité avec laquelle cela doit se produire et les preuves qui permettront ultérieurement de confirmer que cela a bien eu lieu.
C'est là que l'évaluation des risques du projet devient le point de référence, plutôt qu'une description générale des pratiques de laboratoire. Une évaluation des risques spécifique au site, conforme à l'approche décrite dans le Manuel de biosécurité en laboratoire de l'OMS, c'est ce qui justifie pourquoi une limite donnée nécessite une mesure de contrôle donnée, et c'est le document qu'un évaluateur demandera lorsque le niveau de sécurité retenu pour l'amortisseur semble plus ou moins prudent que celui des infrastructures environnantes. Lorsque le projet suit une logique de confinement similaire à celle CDC/NIH BMBL En ce qui concerne le niveau BSL-3, le rôle du clapet peut être compris dans le cadre d’un flux d’air dirigé vers l’intérieur avec surveillance des entrées ; lorsque la logique s’apparente à celle du niveau BSL-4, ce rôle peut impliquer le maintien d’une pression négative, le verrouillage des ventilateurs et la réponse aux alarmes. Il s’agit là de points de référence permettant de comprendre la nature de la fonction décrite, et non de valeurs de consigne numériques que l’acheteur peut reprendre dans un cahier des charges ; les chiffres réels restent soumis aux exigences nationales applicables et à celles spécifiques au projet.
Un acheteur qui définit d'abord le scénario et les limites donne à chaque exigence en aval une raison d'être. Un acheteur qui part d'un type de registre et remonte en amont constatera que le cahier des charges (URS) se lit comme une liste de pièces, et ce sont précisément ces listes de pièces qui génèrent des exceptions dans les offres, lesquelles n'apparaissent qu'au moment de l'inspection.
Débits d'air, pressions et fuites selon le mode de fonctionnement
| Condition | Obligation de mentionner | Limite de la preuve |
|---|---|---|
| Débit d'air en fonctionnement | Définir le mode de débit d'air de fonctionnement et la fonction du registre dans ce mode | Les conditions d'exploitation et les justificatifs de réception sont propres à chaque projet. |
| Pression de coupure | Définir la condition de pression pour la coupure | Les recommandations citées ne fournissent pas de valeur numérique universelle pour le point de consigne de pression. |
| Fuite | Définir la condition de fuite et les preuves attendues | Les critères d'acceptation et les justificatifs varient en fonction du projet |
| Décontamination | Définir les conditions de décontamination auxquelles le registre doit répondre | Les conditions applicables dépendent du projet |
| Mode de défaillance | Définir chaque cas de défaillance que le fournisseur doit traiter | Il est nécessaire de définir les critères de réponse et d'acceptation requis pour le projet |
Une fois le périmètre défini, le comportement de l’amortisseur doit être spécifié mode par mode, car un amortisseur qui fonctionne correctement en fonctionnement normal répond à une problématique technique différente de celle d’un amortisseur qui fonctionne correctement en cas de défaillance ou d’événement de décontamination. Le fait de regrouper ces modes en une seule courbe de performance constitue l’un des écarts les plus courants entre ce qu’implique un cahier des charges (URS) et ce sur quoi un fournisseur peut réellement soumissionner en toute confiance.
Le fonctionnement en débit d'air décrit ce que fait le registre lorsque l'espace se trouve dans son état de fonctionnement prévu : moduler, étrangler ou maintenir une position qui favorise la configuration de débit d'air prévue. Le fonctionnement en fermeture décrit quelque chose de structurellement différent : la capacité à se fermer complètement et à résister à une pression donnée, ce qui relève d'une exigence mécanique et d'étanchéité plutôt que d'une exigence de contrôle du débit d'air. Un registre sélectionné uniquement en fonction de ses performances de modulation du débit d’air peut ne pas avoir été évalué du tout par rapport à la pression de fermeture qu’il devra supporter lors d’un événement d’isolation, et cette lacune n’apparaîtra pas tant que personne n’aura tenté de la vérifier.
Les exigences en matière de fuites viennent aggraver la situation. Un taux de fuite n’a de sens que s’il est associé à une différence de pression précisée, à une méthode d’essai définie et à une valeur d’acceptation spécifiée — éléments qui n’existent pas de manière générique. Si le cahier des charges (URS) énonce une exigence en matière de fuites sans la rattacher aux conditions dans lesquelles elle s’applique, le fournisseur ne dispose d’aucune base pour proposer une conception d’étanchéité, et l’acheteur n’a aucun fondement pour accepter ou refuser la solution proposée.
Les exigences en matière de décontamination constituent là encore une condition distincte. Le fait qu’un registre conserve ses performances mécaniques et d’étanchéité dans des conditions normales de température et d’humidité de fonctionnement ne prouve pas pour autant qu’il conservera ces performances dans toutes les conditions de décontamination prévues par le projet — une compatibilité des matériaux différente et un comportement d’étanchéité différent peuvent entrer en jeu. Lorsque l’exposition à la décontamination fait partie du cycle de confinement du projet, cette exposition doit faire l’objet d’une condition distincte dans les spécifications techniques (URS), distincte de celle relative au débit d’air de fonctionnement.
Les modes de défaillance complètent l'ensemble, et chacun d'entre eux doit faire l'objet d'une exigence spécifique plutôt que d'une simple mention générale de “ sécurité intégrée ”. La perte de force d'actionnement, la perte du signal de commande et la perte de l'alimentation motrice dont dépend l'amortisseur peuvent chacune nécessiter une réponse différente ; or, un cahier des charges (URS) qui les regroupe en une seule ligne de défaillance laisse au fournisseur le soin de déterminer à quelle défaillance précise cette réponse unique est réellement destinée.
Actionnement, états de défaillance, alarmes et interfaces de commande
| Élément de contrôle | Décision relative au projet à définir | Accent mis sur l'acceptation |
|---|---|---|
| Source de la commande | Identifier la source qui commande le registre | Vérifiez l'interface de commande indiquée |
| Position de défaillance | Indiquez la position requise du registre pour l'état de défaillance concerné | Vérifier la position de défaillance définie |
| Retour d'information sur la position | Indiquez les informations de position qui doivent être renvoyées | Vérifier les commentaires requis |
| Alarmes | Définir les conditions qui doivent déclencher une alarme | Vérifier chaque condition d'alarme spécifiée |
| Dispositifs de verrouillage | Définir les conditions de verrouillage requises | Vérifier le comportement de verrouillage spécifié |
| Coupure de courant | Indiquez la réaction requise en cas de coupure de courant | Vérifier la réponse définie en cas de coupure d'alimentation |
| Perte d'air de service | Indiquez la réponse requise en cas de perte de visibilité par instruments. | Vérifier la réponse définie en cas de perte d'air d'instrumentation |
Les exigences relatives à l'interface de commande déterminent si un URS comble les lacunes existant dans les sections consacrées au débit d'air et à la pression, ou s'il les rouvre. L'état de défaillance d'un registre n'a de sens que lorsque la source de commande, la boucle de rétroaction et la logique de verrouillage qui l'entoure sont toutes définies conjointement, car le comportement en état de défaillance est une propriété du système, et non une propriété propre au registre.
La source de commande doit être clairement définie : il faut préciser si le registre est positionné par un système de commande en conditions normales, par un signal local ou indépendant en cas d'alarme, ou par une combinaison des deux où une source peut prévaloir sur l'autre. Lorsque la source de commande est ambiguë, l'exigence relative à la position de sécurité devient invérifiable, car il n'y a aucun moyen de confirmer quelle voie de commande est censée être active au moment de la défaillance.
La position de sécurité doit être précisée pour chaque condition de défaillance, et non sous la forme d’une instruction générale unique, car la position qui préserve la limite lors d’une défaillance (perte d’alimentation électrique, par exemple) peut ne pas être celle qui la préserve lors d’une autre (perte d’air de service, lorsque le registre dépend de cet air pour pouvoir s’actionner). Un mécanisme à rappel par ressort qui ferme le registre en cas de coupure de courant se comporte différemment d’un mécanisme dont le fonctionnement dépend de la pression d’air accumulée ou de l’air de commande ; le projet doit donc préciser quelle condition de coupure d’alimentation s’applique et quelle position est requise en réponse à chacune d’elles.
Le retour de position et les alarmes constituent la couche qui permet de transformer une exigence relative à l’état de défaillance en un élément qu’un système de contrôle, puis une équipe de mise en service, peut réellement vérifier. Un registre conçu pour se fermer en cas de défaillance, mais dépourvu de retour de position, ne permet pas à l’opérateur de confirmer que cela s’est effectivement produit. Les conditions d’alarme doivent être définies individuellement — perte du signal de retour, écart de position, défaut de verrouillage — car chacune représente un événement différent qu’un opérateur ou un système de contrôle doit distinguer et auquel il doit réagir différemment.
Les interverrouillages relient le comportement du registre à celui d’autres équipements situés au niveau de la même limite ; ainsi, lorsque plusieurs registres ou composants de traitement de l’air partagent une même limite de confinement, la logique d’interverrouillage empêche que l’action d’isolation d’un composant ne provoque une situation de pression indésirable ailleurs. C’est là que le contenu environnant sur Spécifications techniques pour les équipements à haut niveau de confinement constitue une base essentielle, car la définition de l'interface de contrôle est l'un des domaines dans lesquels les acheteurs qui n'ont pas examiné l'ensemble des exigences avant de publier un cahier des charges (URS) ont tendance à laisser le plus de marge d'interprétation au fournisseur.
Exigences en matière de décontamination, d'accès et de maintenance
Les exigences en matière de décontamination, d’accès et de maintenance d’un clapet sont le domaine dans lequel l’URS doit concilier deux objectifs qui peuvent aller dans des directions opposées : la barrière de confinement doit rester intacte en conditions normales et en cas de défaillance, et il doit néanmoins être possible d’inspecter, d’entretenir ou de remettre le clapet en service sans compromettre cette même barrière. Se contenter d’énoncer les performances de confinement sans définir les modalités d’accès revient à faire peser sur le fournisseur une décision de conception dont l’acheteur pourrait ne pas vouloir assumer la responsabilité.
L'accès à des fins de décontamination consiste à définir comment le registre et les conduits environnants sont mis dans un état permettant une entrée en toute sécurité ou le démontage des composants, ainsi que les conditions permettant de confirmer que cette étape est terminée avant de procéder à l'accès. Il s'agit d'une séquence spécifique au projet, liée au scénario de confinement déjà défini, et non d'une étape de nettoyage générique ; un cahier des charges (URS) qui la traite comme un élément secondaire oblige le fournisseur à deviner quelle méthode d'accès l'installation environnante prend réellement en charge.
L'accès pour la maintenance soulève une question connexe mais distincte : savoir si le registre peut être entretenu depuis l'extérieur de l'espace confiné, ou si l'entretien nécessite d'y pénétrer, et si les composants sujets à l'usure — joints, actionneurs, dispositifs de rétroaction — sont accessibles sans franchir la barrière de confinement elle-même. Lorsque le scénario de confinement est plus sévère, la préférence va généralement aux approches de maintenance évitant toute pénétration ; lorsque la barrière de confinement et l'évaluation des risques le permettent, l'entretien à l'intérieur de l'espace confiné peut être acceptable. Il s’agit là d’un compromis de conception que l’acheteur doit résoudre de manière réfléchie, plutôt que de laisser la configuration par défaut du fournisseur en décider à sa place.
Le contrôle de remise en service boucle la boucle : après toute intervention d'accès ou de maintenance, il faut vérifier à nouveau certains éléments avant que la barrière de sécurité ne soit considérée comme rétablie. Si le cahier des charges de remise en service (URS) ne le précise pas, le projet ne dispose d'aucun critère défini pour reconfirmer les performances du registre après une intervention, ce qui crée un écart entre les états “ entretenu ” et “ vérifié ” ; or, la préparation à l'inspection dépend justement de la suppression de cet écart.
Traçabilité des livrables relatifs au FAT, au SAT, à la documentation et à la réception
| Élément du cycle de vie | Traitement de la traçabilité | Limite de la preuve |
|---|---|---|
| URS | Conserver chaque exigence comme référence tout au long de son cycle de vie | Les critères précis de réception des équipements varient en fonction du projet. |
| Examen des offres | Enregistrer les exceptions des fournisseurs par rapport à l'exigence correspondante | Les exceptions restent visibles pour la clôture du projet |
| FAT | Relier les exigences applicables aux critères de réception en usine prédéfinis et consigner les écarts | La graisse viscérale justifiée peut être complétée par de la graisse sous-cutanée |
| SAT | Définir les exigences et les critères prédéfinis associés à la réception du chantier | La répartition entre FAT et SAT dépend de chaque projet |
| Plans, calculs, contrôles et documents | Associez chaque livrable requis à l'exigence à laquelle il répond | Le type de livrable applicable dépend des besoins et du projet |
Chaque exigence définie dans les sections précédentes n'a de valeur que si elle peut être rattachée à un élément permettant de confirmer qu'elle a été respectée. Un URS sert de point de référence tout au long du cycle de vie pour cette confirmation, conformément au cadre de qualification décrit dans EudraLex Volume 4 Annexe 15, où l'URS reste la référence à l'aune de laquelle sont évaluées les activités de réception ultérieures, même si les étapes précises et les critères de réception varient en fonction du projet.
L'examen des offres est le premier moment où cette traçabilité prend toute sa valeur. Lorsqu'une proposition de fournisseur s'écarte d'une exigence énoncée — une logique de position de défaillance différente, une méthode d'essai d'étanchéité différente, une approche d'accès à la décontamination différente —, le fait d'enregistrer cet écart en regard de la ligne d'exigence spécifique permet de garder l'exception visible, au lieu de la laisser se perdre dans le libellé général de la proposition. Un acheteur qui évalue plusieurs offres tire directement profit de cette structure, car ce sont les informations relatives au projet soumises à l'examen qui permettent au processus de configuration et de devis d'un fournisseur de s'aligner sur l'exigence réelle plutôt que sur une spécification générique de registre.
La distinction entre FAT et SAT suit la même logique. L’annexe 15 préconise la mise en œuvre d’un FAT justifié complété par un SAT, ce qui signifie que le cahier des charges (URS) doit préciser quelles exigences sont vérifiées en usine, lesquelles sont réservées à la phase de mise en service, et quels critères d’acceptation prédéfinis s’appliquent à chaque étape. Une exigence à laquelle aucune étape d’acceptation n’est attribuée est une exigence qui risque de ne pas être vérifiée du tout, ou d’être vérifiée deux fois sans qu’aucun critère convenu ne s’applique à ces deux occasions.
Les plans, les calculs et les procès-verbaux d’inspection constituent les livrables qui permettent de vérifier chaque exigence indépendamment du test de réception lui-même. Une exigence relative à la pression de coupure doit s’appuyer sur un calcul ou un compte-rendu d’essai ; une exigence relative à la position de sécurité doit s’appuyer sur un dessin ou un document de logique de commande qui la définit sans ambiguïté. Lorsque le clapet d’isolation de biosécurité est l’un des nombreux composants formant une barrière de confinement, le fait de préserver cette traçabilité permet également de coordonner les décisions de livraison et d’intégration sans perdre de vue l’exigence que chaque livrable était censé satisfaire.
Questions fréquemment posées
Q : Faut-il choisir les composants des clapets avant que les critères de confinement ne soient définitivement fixés ?
A : Définissez d'abord le scénario de confinement et le périmètre que le clapet doit protéger. Utilisez ensuite l'évaluation des risques spécifique au site, les exigences nationales et celles du projet applicables, les modes de fonctionnement et les conditions de défaillance pour évaluer les propositions matérielles.
Q : Comment l'URS permet-il d'évaluer facilement les dérogations accordées aux fournisseurs ?
A : Attribuez à chaque exigence une référence claire et exigez que les exceptions relatives aux offres soient consignées en regard de cette exigence. Cela permet à l'équipe de projet d'identifier les engagements en matière de maîtrise, de contrôle, de preuves ou de livrables qui nécessitent un traitement spécifique avant l'acceptation.
Q : Une seule instruction de gestion des défaillances peut-elle couvrir toutes les défaillances des services ou des commandes ?
A : Ne partez pas du principe qu'une seule déclaration couvre tous les cas de figure. Définissez la réponse requise pour chaque condition de défaillance applicable, y compris la perte d'alimentation électrique et la perte d'air d'instrumentation, et associez-y le retour d'information de position, l'alarme, le verrouillage et la preuve de vérification requis.
Q : Que faut-il définir avant de demander à un fournisseur de s'occuper de la décontamination et de la maintenance ?
A : Précisez les conditions de décontamination, les limites de la zone protégée, ainsi que les conditions d'accès et d'entretien requises. Indiquez également les éléments justificatifs ou les livrables qui permettront de démontrer que chaque exigence spécifique au projet a été respectée.
Q : Comment faut-il répartir les exigences entre les tests FAT et SAT ?
A : Attribuez chaque exigence applicable à des critères de réception en usine ou sur site prédéfinis, en fonction du lieu où elle peut être vérifiée. Veillez à ce que cette attribution soit spécifique au projet, consignez les écarts et identifiez les cas où les essais de réception en usine doivent, à juste titre, être complétés par des essais de réception sur site.
