Portée de l'intégration des installations BSL-3/4 : ce que les maîtres d'ouvrage doivent définir avant la conception

Un projet BSL-3/4 n’échoue pas lors de la mise en service en raison d’équipements sous-performants ; il s’enlise bien avant, lorsque la conception se poursuit sur un périmètre d’intégration qui n’a jamais été entièrement bouclé. Les maîtres d’ouvrage qui partent du principe que la désignation BSL définit à elle seule les exigences auxquelles l’installation et les équipements doivent répondre découvrent souvent, à un stade avancé de la conception ou lors des essais d’intégration, qu’une enceinte sous pression, une voie de transfert ou une interface de contrôle n’a jamais été attribuée à quiconque. Définir le périmètre d’intégration avant le gel de la conception est une décision distincte du choix des équipements, et cette responsabilité incombe au maître d’ouvrage et à l’équipe de projet avant que toute proposition de fournisseur puisse être correctement évaluée.

La définition du périmètre commence par la description des travaux prévus et l'évaluation des risques

Le point de départ pour définir le périmètre d’intégration n’est pas le niveau de confinement, mais les travaux que le laboratoire est censé mener. Une désignation BSL-3 ou BSL-4 décrit une catégorie de confinement ; elle ne décrit pas les agents pathogènes spécifiques manipulés, les procédures mises en œuvre, les volumes traités, ni les équipements qui doivent être raccordés à la salle pour permettre la réalisation de ces travaux en toute sécurité. Deux laboratoires portant la même désignation peuvent nécessiter des périmètres d’intégration sensiblement différents, car les travaux prévus diffèrent ; considérer la désignation comme un ensemble complet d’exigences revient à sauter l’étape qui détermine réellement ce qui doit être construit.

C'est pourquoi l'évaluation des risques sert de base à la définition du périmètre plutôt que de constituer un simple exercice de mise en conformité en aval. Le Manuel de biosécurité en laboratoire de l'OMS, 4e édition, définit l’évaluation des risques comme le fondement de mesures de biosécurité proportionnées, ce qui signifie que ce sont les résultats de cette évaluation — et non pas uniquement l’étiquette de confinement — qui doivent guider les décisions concernant les cascades de pression, les équipements de transfert, les interfaces de décontamination et les points de surveillance. Lorsque l’évaluation des risques identifie des voies spécifiques de transfert, de déchets ou d’exposition liées aux travaux prévus, ces voies deviennent des éléments du périmètre que la conception doit traiter explicitement, plutôt que d’être considérées comme découlant automatiquement d’une classification BSL-3 ou BSL-4.

La conséquence pratique pour un propriétaire réside dans l’enchaînement des étapes. Si les travaux de laboratoire prévus et leur évaluation des risques ne sont pas finalisés, ou s’ils le sont à un niveau de détail trop général pour identifier des voies et des interfaces spécifiques, tout périmètre d’intégration élaboré à partir du seul label BSL comportera des lacunes qui se traduiront ultérieurement par des modifications de conception imprévues. À l’inverse, lorsque l’évaluation des risques est précise quant aux procédures, aux agents et aux modes de défaillance, le maître d’ouvrage peut s’en servir pour vérifier si un périmètre d’intégration proposé est réellement complet, plutôt que de se fier à la catégorie de confinement comme indicateur de complétude. Une référence au niveau de l’OMS apporte un soutien sommaire à cette logique, mais ne remplace pas l’évaluation des risques spécifique au site ni les règles nationales applicables en matière de biosécurité, qui restent la référence que le maître d’ouvrage doit appliquer directement.

Des limites de confinement doivent être définies entre les pièces et les équipements

Le confinement n'est pas une caractéristique propre à une seule pièce ; il s'agit d'une délimitation continue qui doit être tracée à travers chaque pièce, chaque couloir et chaque équipement en contact avec l'espace contrôlé. Cascades de pression, les voies de circulation du personnel et du matériel, les circuits d'évacuation des gaz d'échappement, les circuits de traitement des déchets liquides et les interfaces de contrôle franchissent toutes les limites physiques et matérielles ; chaque point de passage est un endroit où la limite peut rester indéfinie si personne ne la cartographie délibérément.

Cet exercice de cartographie est important car le comportement du confinement varie selon que la limite est tracée par rapport aux équipements ou par rapport aux enveloppes des pièces. Une limite de pression tracée uniquement au niveau des pièces, par exemple, peut ne pas tenir compte des relations de pression requises à travers un Laboratoire à modules BSL-3/BSL-4‘les transitions internes, ou au niveau d’équipements tels que les clapets d’isolation placés sur le circuit d’évacuation ou le réseau de conduits et destinés à préserver la direction du flux d’air aussi bien en conditions normales qu’en cas de défaillance. Lorsque la limite est définie uniquement au niveau architectural, les points de contrôle au niveau des équipements risquent d’être considérés comme le problème de quelqu’un d’autre ; lorsqu’elle est définie uniquement au niveau des équipements, la contribution de l’enveloppe du local à cette même limite risque d’être supposée plutôt que vérifiée.

La même logique s'applique aux voies de transfert et aux circuits de déchets. Une voie de transfert passant par un sas, une interface de transfert VHP ou un circuit de déchets liquides vers un système de décontamination des effluents n'est aussi hermétique que ne l'est son point de jonction le plus faible, et ce point de jonction se situe souvent à la jonction entre le périmètre des installations et celui des équipements. Le CDC/NIH Biosafety in Microbiological and Biomedical Laboratories (BMBL), 6e édition, distingue les contrôles d’accès et de circulation d’air de niveau BSL-3 des dispositifs de ventilation, d’accès et de décontamination des installations de niveau BSL-4 équipées de combinaisons de protection, ce qui rappelle que le comportement requis de la barrière de confinement varie en fonction du niveau de confinement et du type d’installation — et qu’une barrière correctement définie pour une configuration donnée ne peut pas être transposée telle quelle à une autre. Le BMBL constitue un guide de référence à appliquer dans le cadre de l’évaluation des risques propre au projet et des exigences réglementaires locales, plutôt qu’une valeur de consigne de pression universelle.

Pour le maître d'ouvrage, il s'agit de vérifier si chaque limite de pression, chaque voie de transfert, chaque circuit d'évacuation, chaque circuit de déchets liquides et chaque interface de contrôle a bien été représenté à la fois pour les locaux et pour les équipements, sans qu'aucun segment ne soit laissé implicite. Un segment non cartographié n'est pas une omission mineure ; il s'agit d'une limite dont le comportement n'est pas défini, et que la conception ne peut clôturer tant que quelqu'un ne l'aura pas définie.

Les utilitaires et les contrôles doivent avoir des propriétaires d'interface désignés

La cartographie d'une limite permet d'identifier où celle-ci se situe ; elle ne détermine pas qui est responsable de sa conception, de sa mise en œuvre ou de sa vérification. Chaque point d'interface — un raccordement aux réseaux, un signal de commande, un point de surveillance, une condition d'alarme — doit se voir attribuer un responsable désigné avant de pouvoir être considéré comme finalisé, car une interface sans responsable a tendance à être considérée comme achevée par une partie et comme en attente par une autre.

Cela revêt une importance particulière lorsque les systèmes de contrôle passent de la gestion du bâtiment au niveau de l’installation à la commande au niveau des équipements, ou lorsqu’un service tel que l’alimentation en électricité, en air comprimé ou en fluide de décontamination passe de l’infrastructure de l’installation à un équipement spécifique. Si personne n’est responsable de l’interface, les spécifications d’un côté de la frontière peuvent être rédigées sans tenir compte des exigences réelles de l’autre côté : un point de consigne défini par le système du bâtiment sans connaissance des caractéristiques de réponse réelles de l’équipement, ou un service dimensionné selon la conception de l’installation sans confirmation de la demande réelle de l’équipement en cas de défaillance. Le risque n’est pas que l’interface soit erronée ; il réside dans le fait que personne ne peut affirmer si elle est correcte, car aucune partie n’était seule responsable de la mise en adéquation des deux côtés.

La désignation d’un responsable transforme la nature du point en suspens : il passe d’une hypothèse partagée à une responsabilité suivie. Lorsque le responsable est l’équipe de conception de l’installation, le rôle du fournisseur d’équipements consiste à fournir les données d’interface suffisamment tôt pour que la conception de l’installation puisse les utiliser. Lorsque le responsable est le fournisseur d’équipements, le rôle de l’équipe de conception de l’installation consiste à confirmer l’alimentation ou les conditions de commande dont dépend l’équipement. Ces deux configurations peuvent fonctionner ; ce qui ne fonctionne pas, c’est de laisser la question de la responsabilité en suspens tandis que les deux parties agissent en se basant sur leurs propres hypothèses concernant l’autre.

À ce stade, la tâche du propriétaire n’est pas de résoudre personnellement chaque interface, mais de s’assurer que chaque interface définie dispose d’un seul interlocuteur désigné chargé de la finaliser, et que les informations dont chaque partie a besoin de la part de l’autre ont été identifiées sous la forme d’un document ou d’un échange de données spécifique, plutôt que d’être laissées à une coordination informelle.

Les prestations des fournisseurs devraient être dissociées des responsabilités des établissements

Une fois les interfaces définies et attribuées, la décision suivante consiste à déterminer quelle partie prend en charge quoi. Il s’agit là d’une question distincte de celle de la propriété : le propriétaire d’une interface en définit l’intention de conception, tandis que la répartition des responsabilités détermine qui se charge de la construction, de la fourniture et de la documentation de chaque aspect de celle-ci. Les services techniques, les travaux de construction et les prestations des fournisseurs d’équipements constituent trois catégories distinctes du périmètre du projet, et un projet qui ne les a pas clairement séparées risque de examen des propositions lorsque le fournisseur et le propriétaire partent chacun du principe que c'est à l'autre de prendre en charge un article donné.

Les services techniques de l’installation — électricité, eau, gaz comprimés, systèmes d’évacuation au niveau du bâtiment et autres services similaires — relèvent généralement de la responsabilité de l’installation jusqu’à un point de raccordement défini, les prestations du fournisseur d’équipements commençant à partir de ce point. Les travaux de construction, y compris les éléments structurels, architecturaux et de construction générale, ne relèvent généralement pas du tout de la prestation du fournisseur d’équipements, même lorsque ces travaux ont une incidence directe sur la manière dont les équipements s’intègrent dans l’espace. Une fois intégrées dans le cahier des charges défini du projet, les prestations du fournisseur d’équipements s’accompagnent de leur propre documentation et de leurs propres exigences en matière de données d’interface, dont le responsable des installations a besoin pour mener à bien sa propre conception autour de ces équipements.

La raison pour laquelle cette répartition doit être explicitée plutôt que supposée est que les lacunes et les chevauchements entraînent tous deux un surcoût en termes de temps de coordination, et que l’un comme l’autre peuvent conduire à ce qu’une exigence reste, en pratique, sans propriétaire. Si une limite n’est pas claire, un élément de fonctionnalité ou d’interface peut se retrouver dans une zone où chaque partie a supposé que l’autre en était responsable, ce qui ne se révèle que lorsque cet élément est nécessaire et indisponible. Lorsque la répartition des responsabilités est consignée par écrit dès le début, elle peut être vérifiée avant de devenir un problème sur le chantier. C’est le type d’informations spécifiques au projet qui entre en ligne de compte lors de l’examen de la configuration ou du devis d’un fournisseur : plus la délimitation et les données d’interface fournies par le maître d’ouvrage sont claires, plus le fournisseur peut confirmer avec précision ce qui relève d’un ensemble d’équipements proposé — par exemple, lorsqu’un laboratoire modulaire BSL-3/BSL-4, un clapet d'isolation sur le circuit d'évacuation des gaz, ou la position d'un système de décontamination des effluents par rapport aux réseaux techniques et aux ouvrages de construction de l'installation.

Ce que le propriétaire doit confirmer avant de passer à la phase de conception, ce n'est pas seulement la séparation en elle-même, mais aussi les documents et les données d'interface que chaque partie doit échanger dans ce cadre : le cahier des charges technique que l'installation doit remettre au fournisseur, et les données d'interface que le fournisseur doit renvoyer afin que la conception de l'installation puisse être finalisée en fonction de celles-ci.

Les exigences en matière de preuves doivent se refléter dans les essais et la remise du produit

Une exigence acceptée dont on ne peut retracer le parcours à travers les phases de conception, de test et de livraison risque d’être perdue sans que personne ne décide de l’abandonner. La définition du périmètre n’est pas achevée dès lors qu’une exigence a été acceptée ; elle n’est achevée que lorsque cette exigence reste visible, accompagnée de ses propres justifications, à chaque étape ultérieure du projet.

Le mécanisme est ici simple : chaque étape d’un projet de confinement génère sa propre documentation, et si cette documentation ne renvoie pas à l’exigence initialement acceptée, il n’y a aucun moyen de confirmer que l’exigence a bien été prise en compte plutôt que discrètement abandonnée au cours de la conception détaillée. Une exigence acceptée lors de la définition du périmètre doit réapparaître lors de la revue de conception, où les éléments de conception montrent comment elle a été prise en compte ; puis lors des essais intégrés, où les résultats des essais démontrent qu’elle a bel et bien été mise en œuvre au sein du système intégré, et non pas simplement supposée fonctionner parce que les composants individuels ont passé leurs propres contrôles ; et enfin lors de la remise du projet, où le dossier de documentation final fait toujours le lien entre l’exigence initiale et le résultat des essais.

Ce sont la complexité et la durée d’un projet qui font passer cela d’une simple question de formalité documentaire à un risque réel. Lorsqu’un projet comporte peu d’interfaces et que le délai entre la conception et la livraison est court, un suivi informel peut permettre de repérer une exigence oubliée avant qu’elle ne devienne critique. En revanche, lorsqu’un projet implique de nombreuses interfaces, plusieurs parties prenantes et un calendrier plus long, une exigence dépourvue de trace écrite est beaucoup plus susceptible de se perdre entre les différentes étapes, car aucun document ne retrace l’historique complet des raisons pour lesquelles elle a été acceptée et des critères qui ont permis de la satisfaire. C’est également là que la distinction entre les tests au niveau de l’installation et ceux au niveau de l’équipement prend tout son sens : une exigence liée à une interface entre l’équipement d’un fournisseur et les systèmes de l’installation nécessite des preuves issues spécifiquement des tests intégrés, et pas seulement des contrôles effectués par le fournisseur au niveau de son usine, car c’est le comportement intégré que l’exigence était en réalité censée confirmer.

Pour le maître d'ouvrage, la question est de savoir si la chaîne de preuves du projet permet réellement de déterminer, au moment de la remise, quelles exigences initiales ont été testées dans le cadre du système intégré et lesquelles ne l'ont pas été. Lorsque cette chaîne est incomplète, cette lacune ne constitue pas simplement un problème de documentation : elle soulève la question de savoir si l'exigence a bel et bien été satisfaite.

Le gel de la conception dépend des interfaces fermées et des exclusions enregistrées

Le « gel de la conception » correspond au moment où le projet s'engage sur une configuration spécifique ; il doit dépendre de la clôture du périmètre du projet, et non d'un calendrier. Geler la conception alors que les interfaces ne sont pas encore attribuées, que les réseaux de services ne sont pas encore dissociés des livrables d'équipement ou que les chaînes de traçabilité ne sont pas encore vérifiées ne fait pas disparaître ces lacunes ; cela les reporte simplement aux phases de construction et de mise en service, où leur résolution est plus coûteuse et où il est plus difficile de remonter à leur origine.

La condition déterminant si un élément est prêt à être « gelé » est de savoir si chaque élément mentionné dans la définition du périmètre a atteint un état « clôturé », c'est-à-dire s'il dispose d'un périmètre défini, d'un responsable désigné et, le cas échéant, d'un dossier de suivi le reliant aux activités de conception et de test. Un élément qui est encore ouvert doit rester visiblement ouvert plutôt que d’être considéré par défaut comme résolu simplement parce que le travail de conception l’a dépassé. Cela inclut les exclusions explicites : lorsqu’un chemin, une interface ou une responsabilité particulière a été délibérément placée en dehors du périmètre actuel du projet, cette exclusion doit être consignée en tant que décision, et non laissée à l’interprétation ultérieure en raison de l’absence de documentation à ce sujet. Une exclusion non documentée est, a posteriori, impossible à distinguer d’une exigence négligée.

Lorsque les travaux de laboratoire prévus et l’évaluation des risques sont pris en compte dans les exigences acceptées, lorsque les limites de confinement sont cartographiées tant au niveau des locaux que des équipements, lorsque chaque interface cartographiée a un responsable désigné, lorsque les responsabilités de l’établissement et des fournisseurs sont clairement séparées et que les données relatives à leurs interfaces sont identifiées, et lorsque la chaîne de preuves, depuis la réception jusqu’aux essais, est intacte, le projet dispose d’une base solide pour valider la conception. Si l’un de ces éléments reste indéfini, la décision de gel de la conception doit considérer cet élément spécifique comme en suspens, plutôt que de partir du principe qu’il se résoudra de lui-même au cours de la conception détaillée ou de la construction.

C'est également à ce stade que le périmètre lié aux équipements — tel que les livrables respectifs pour un laboratoire modulaire, les clapets de confinement sur les voies d'évacuation ou un système de décontamination des effluents — doit déjà s'inscrire dans une répartition des responsabilités bien définie, avec des interfaces bien établies, de sorte que la coordination avec les fournisseurs, au moment de la conception détaillée ou de la livraison, porte sur la confirmation d'un périmètre déjà convenu plutôt que sur sa renégociation.

Questions fréquemment posées

Q : La classification BSL-3 ou BSL-4 suffit-elle à définir le périmètre d'intégration ?
A : Non. Il convient d'utiliser les travaux de laboratoire prévus et l'évaluation des risques spécifique au site pour traduire le contexte de confinement en exigences du projet, puis de vérifier la conformité de ces exigences avec la réglementation nationale applicable, plutôt que de considérer la classification BSL comme une spécification exhaustive.

Q : Que doit préparer un maître d'ouvrage pour pouvoir comparer les offres des fournisseurs sur une base homogène ?
A : Préparez un cahier des charges commun qui définisse les limites de confinement et les itinéraires, distingue les responsabilités liées aux installations et aux bâtiments des prestations à fournir par les fournisseurs, désigne les responsables des interfaces, répertorie les échanges d'informations requis et recense les exclusions. Demandez à chaque fournisseur d'indiquer en quoi sa proposition répond à ce cahier des charges et de préciser les points sur lesquels des incertitudes subsistent.

Q : Comment faut-il gérer une interface qui recoupe le périmètre des équipements et celui des installations ?
A : Désignez un responsable de l'interface et consignez ce que chaque partie doit fournir et restituer. Par exemple, ce document doit préciser les limites applicables des réseaux ou des systèmes de contrôle, les documents et les données d'interface nécessaires de part et d'autre, ainsi que les justificatifs requis avant que l'interface puisse être clôturée.

Q : La conception peut-elle être figée alors que certaines interfaces d’intégration ne sont pas encore résolues ?
A : Maintenez le périmètre concerné ouvert jusqu’à ce que les limites, la responsabilité, les échanges d’informations requis et les exclusions soient consignés. Figer une interface non résolue peut masquer une omission jusqu’au début des travaux sur site, moment où la responsabilité et les modifications de conception sont plus difficiles à gérer.

Q : Comment les responsables peuvent-ils éviter qu’une exigence acceptée ne disparaisse entre la conception et la remise des clés ?
A : Attribuez à l’exigence une limite de périmètre et un responsable, puis associez-la aux justificatifs attendus lors de la revue de conception, des essais d’intégration et de la remise des clés. Avant que les travaux n’avancent, confirmez qui produira chaque document et comment celui-ci sera mis en correspondance avec l’exigence acceptée.