Critères de réception pour l'intégration des systèmes BSL-3/4 : pression, filtres HEPA, sas, VHP, EDS et commandes

Accepter des équipements individuels alors que le système de confinement intégré n’a pas encore été testé constitue l’une des erreurs les plus courantes et les plus coûteuses lors de la mise en service d’un laboratoire à haut niveau de confinement. Une équipe de projet peut vérifier que chaque unité HEPA, autoclave, sas et générateur de VHP passe avec succès ses contrôles individuels en usine ou à l’installation — et pourtant se retrouver, au moment de la mise en service, face à un comportement de la cascade de pression non vérifié, à des voies de décontamination dont les résultats biologiques n’ont jamais été validés, et à des séquences de verrouillage qui entrent en conflit au niveau du système. Les conséquences en aval sont une revalidation effectuée sous la pression des délais, des retards prolongés dans la mise en service et, dans le pire des cas, une exposition à des risques de biosécurité non détectée alors que l’installation est déjà en service. Ce qui permet de résoudre ce problème, c’est un cadre de réception structuré, interface par interface, qui associe chaque fonction critique pour le confinement à une méthode d’essai spécifique, à un responsable désigné et à un dossier permettant de justifier la remise des clés. Les sections ci-dessous vous fournissent les critères et les seuils permettant de déterminer si votre système est réellement prêt — et pas seulement si ses composants ont passé avec succès leurs contrôles individuels.

Fonctions de confinement intégrées nécessitant des preuves d'acceptation

La réception au niveau des équipements n’est pas la même chose que la réception du système, et c’est dans l’écart entre les deux que se cachent les défaillances d’intégration. Une unité HEPA qui passe avec succès un contrôle en usine, un autoclave qui termine sa qualification de cycle et un sas qui réussit les tests de logique de verrouillage pris isolément peuvent tout de même donner lieu à une installation intégrée non sûre si personne n’a testé la manière dont ces composants interagissent dans les conditions dynamiques qui règnent une fois que le laboratoire est entièrement raccordé et pressurisé.

Les cinq méthodes d’essai qui, ensemble, constituent les preuves d’un confinement intégré — visualisation des flux d’air, cartographie de pression, intégrité des filtres HEPA in situ, étanchéité des locaux et vérification de la décontamination — traitent chacune d’une catégorie différente de défaillance d’intégration. La visualisation des flux d’air confirme que la direction du flux et le confinement aux limites sont maintenus au niveau de l’interface réelle entre les locaux, et pas seulement au niveau de la sortie des équipements. La cartographie de pression en conditions dynamiques révèle une instabilité en cascade qui n’apparaît que lorsque des zones adjacentes sont occupées simultanément et que les portes s’ouvrent et se ferment. Les essais d’étanchéité des locaux détectent les failles de l’enveloppe au niveau des raccords de conduits, des passages techniques et des interfaces structurelles qui n’étaient pas visibles lors des essais portant uniquement sur les équipements. La vérification de la décontamination boucle la boucle en confirmant que l’efficacité de la biodécontamination est maintenue dans l’ensemble des espaces connectés, et pas seulement à l’intérieur de la chambre d’un appareil isolé.

La principale conséquence est que les failles d’intégration restent systématiquement invisibles tant que les conditions transfrontalières ne sont pas testées conjointement. Une pièce isolée peut sembler présenter un confinement adéquat, alors qu’elle présente des fuites directes vers un couloir adjacent de classification inférieure dans des conditions qui ne se produisent que lorsque l’ensemble du système CVC est en fonctionnement. Le BMBL du CDC et le Manuel de biosécurité des laboratoires de l’OMS fournissent le cadre général des essais, mais aucun des deux ne prescrit cette séquence de cinq méthodes comme un protocole fixe obligatoire ; cette séquence constitue un cadre pratique dérivé des schémas de défaillance documentés lors de la mise en service d’installations à haut niveau de confinement. Considérer l’une quelconque de ces cinq méthodes comme facultative au niveau du système revient à considérer que le comportement intégré n’a pas été vérifié.

Même de légères modifications de conception — un raccordement de conduit revu, un nouveau registre d'équilibrage d'échappement, une nouvelle traversée ajoutée pour une nouvelle ligne d'instrumentation — peuvent déclencher un rééquilibrage complet du confinement, rendant ainsi invalides les protocoles d'essai précédemment acceptés pour leurs limites adjacentes. La norme pratique consiste à considérer le cadre d'essai en cinq méthodes comme un déclencheur de revérification chaque fois qu'une limite physique ou du système de contrôle change, et non comme un livrable ponctuel de mise en service.

Esse ésen n ais le nd aierièd'steareectsdea l i ied alipe ptcsbedrctodresles

La cascade de pression est la fonction intégrée la plus sensible d’une installation de niveau BSL-3 ou BSL-4, et c’est celle qui risque le plus d’être déstabilisée par des modifications de la configuration des locaux voisins qui peuvent paraître mineures au niveau de chaque pièce. L’ajout d’une nouvelle liaison par couloir, l’extension vers un module adjacent, ou même le rééquilibrage du système d’évacuation pour intégrer un nouveau dispositif d’évacuation dans une pièce peuvent modifier les pressions différentielles dans des zones qui étaient auparavant stables et conformes aux normes.

Le risque opérationnel prévisible lié à un comportement de cascade non vérifié n’est pas négligeable. Les zones qui dérivent vers des relations différentielles incorrectes peuvent générer des alarmes intempestives à une fréquence telle que le personnel apprend à les ignorer — ce qui est précisément la condition permettant à un véritable incident de confinement de passer inaperçu. Plus concrètement, une cascade de pression qui n’a pas été testée à l’état connecté peut ne pas parvenir à maintenir la hiérarchie directionnelle des flux dans des conditions transitoires réalistes : cycles simultanés des portes dans des sas adjacents, variations de la demande en CVC pendant les pics d’occupation, ou changement d’état d’un seul ventilateur d’extraction.

Le critère qui doit régir la planification de la réception est simple : chaque fois qu’une pièce gagne ou perd une connexion physique, chaque fois que la capacité d’évacuation ou d’alimentation change, et chaque fois qu’un nouveau dispositif de régulation influence la pression différentielle dans une zone, un essai intégré en cascade de pression est requis avant que cette zone ne soit considérée comme réceptionnée. Il ne s’agit pas d’une interprétation prudente de la norme : cela reflète le schéma de défaillance documenté selon lequel l’instabilité de la zone de pression se propage au-delà de la pièce modifiée et n’est découverte que lorsque les zones adjacentes sont cartographiées ensemble dans des conditions dynamiques.

Pouo e dside anarnieu snnsAecnape tcentryri efiatd erlits e;so’neniannisé pcdrtrree aaeataé x emtse dutsxéonassiilevtiepncse cc. e Ceigiddr’nti/n cutdehqpsootd rceeur itnd r rs eoiloiemeoqeeeeimm’ésrtrtnrqiolépclaru ee idmiét leL ca’aeiemua ilHepndeds aecdu,pébnnt eaesenadL oaea of c-esvuamtilnea tiblpe r ee o eddane nelste .qle voeo aaêave tdrgaen(daplcSdeoeoemrtqédao r amu asir’r h leslsitnitecveiu nl rd pdnsal yaa e tl p dBg i eglh niiscmeo renpéeu étp dletrvcupééisiPair ,lineperaeu tdtégeprnaitld n e es enurr isréett tsrsdeedéie r ta sédgeaso.viee s aernlorsasaéelr inlnetep mdldftt meobsic,atxld onpris mar ouratnnfisiirio nenpvs té oen4sce lrtomeuesitl dcuamo slapa noouionsni 3eeniu)tnsCs rreesnctaeand le Article sur la conception des systèmes CVC (BSL 2/3/4) fournit des informations techniques complémentaires sur la manière dont ces paramètres sont définis avant le début de la mise en service.

Évidence de l'évacuation HEPA et du système BIBO à l'état installé

Les contrôles des filtres en usine et les tests au niveau des composants permettent de vérifier qu’un filtre HEPA était intact à sa sortie d’usine. Ils ne permettent toutefois pas de garantir qu’il est intact une fois installé, que les joints de son boîtier sont en bon état après son intégration dans la chambre de refoulement, que ses séquences de commande s’harmonisent avec la logique de cascade de la pièce, ni qu’un technicien peut le remplacer en toute sécurité sans rompre le confinement. Chacune de ces questions nécessite des preuves relatives à l’état d’installation, et chacune présente un mode de défaillance distinct si elle n’est pas vérifiée.

La distinction entre les preuves relatives à l’état à la sortie d’usine et celles relatives à l’état après installation revêt une importance particulière pour les boîtiers de filtres BIBO (bag-in-bag-out) utilisés dans les systèmes d’évacuation à haut niveau de confinement. Un système BIBO ayant passé avec succès son essai de pression en usine peut présenter un joint endommagé lors de l’installation, ou avoir été installé selon une configuration rendant la procédure de remplacement du sac physiquement impossible compte tenu des contraintes de l’espace de maintenance disponible. Les systèmes BSL-3 et BSL-4 à conception très dense sont souvent confrontés à des contraintes d’accès qui n’ont pas été entièrement résolues lors de la conception : allées de service rétrécies par l’ajout d’équipements en fin de projet, poignées de vannes d’isolement bloquées par des modifications des conduits, voies d’accès pour les réparations d’urgence qui n’ont pas été testées dans des conditions réalistes. Lorsque l’accès pour la maintenance est insuffisant, cela a pour conséquence pratique que le remplacement des filtres est reporté ; ce report entraîne une dérive des performances non vérifiée, et le dossier de confinement du système d’évacuation devient indéfendable en cas d’audit.

L’intégration de la logique de contrôle mérite une attention particulière au niveau du système. Les séquences HEPA et BIBO programmées lors des essais au niveau des équipements n’ont peut-être pas été validées par rapport à la logique de gestion en cascade des salles et des alarmes qui régit le reste de l’installation. Une réponse non coordonnée lors d’un changement de demande d’évacuation — par exemple, une mise en isolation pour changement de filtre qui réduit la capacité d’évacuation dans une zone tandis que la zone adjacente continue de fonctionner à pleine capacité d’alimentation — peut temporairement inverser le rapport de pression prévu sans déclencher l’alarme qui alerterait le personnel. Vérifier que les séquences de commande HEPA et BIBO installées se comportent correctement au sein du système intégré d’automatisation et de sécurité du bâtiment est une étape distincte de la vérification de la réussite du test de contrôle des filtres. Le système « Bag In Bag Out » de Qualia Bio a été conçu en tenant compte, comme critère essentiel, de ces exigences en matière d'accès pour la maintenance et de continuité du confinement.

Sas ieedriszddet,s ot fete tta rs i ssp fosennurri opodnesnel

La moindre modification apportée à une zone de transfert — un nouvel autoclave, l'installation d'un passe-plat, le perçage d'une conduite d'effluent, la modification d'une porte de sas — est susceptible d'élargir le périmètre de ce qui doit être revalidé, souvent bien au-delà de l'élément modifié lui-même. Il s'agit là d'une contrainte cachée en matière d'approvisionnement et de planification qui affecte les projets lorsque les ordres de modification sont traités comme des modifications isolées plutôt que comme des événements à l'échelle du système.

Le mécanisme n’est pas difficile à comprendre. Un nouveau passage crée une ouverture physique entre deux zones. Cette ouverture modifie le rapport de pression entre ces zones, ce qui peut avoir une incidence sur la cascade entre les zones adjacentes. La séquence de verrouillage du passage doit être intégrée à la logique des portes, à la détection de présence et aux protocoles de décontamination des zones connectées. Si l’une de ces dépendances avait été préalablement validée en partant du principe qu’aucune nouvelle ouverture n’existait à cette limite, les justifications de cette validation antérieure pourraient ne plus s’appliquer à la configuration actuelle. Le même raisonnement s’applique aux ajouts d’autoclaves qui modifient la charge thermique et l’équilibre hygrométrique de la pièce, aux raccordements de conduites d’évacuation qui créent de nouvelles percées dans la barrière de confinement, ainsi qu’aux modifications des portes de sas qui affectent le temps de rétablissement de la pression et l’ordre de sortie du personnel.

Le critère de planification qui permet d’éviter que cela ne dégénère en crise de transfert est un examen préalable de la portée, déclenché par tout changement de périmètre. Avant qu’une modification ne soit acceptée au niveau du contrat ou du périmètre, l’équipe doit se poser la question suivante : cet élément partage-t-il une interface avec une limite de confinement déjà acceptée ? Si oui, sur quels rapports d’essais antérieurs est-il susceptible d’avoir une incidence, et lesquels de ces rapports devront être reconfirmés dans le cadre de l’état intégré ? Il est plus rapide de mener cet examen avant la mise en œuvre de la modification que de procéder à une reconstruction sous la pression des délais une fois que l’installation est par ailleurs prête à être mise en service.

Les limites de sortie du personnel font l'objet d'une attention particulière. Une modification de la porte d’un sas qui modifie la synchronisation des verrouillages affecte non seulement le flux de matières en fonctionnement normal, mais également la procédure d’évacuation d’urgence. Si la procédure d’évacuation a été rédigée et mise en pratique en fonction d’une configuration de porte qui ne correspond plus au matériel installé, elle doit être révisée et la nouvelle configuration doit être testée en conditions de défaillance avant que la zone ne soit considérée comme conforme. Cette conséquence apparaît rarement dans le cahier des charges de l’ordre de modification, et elle constitue l’une des sources les plus fréquentes de retards de mise en service en fin de projet. Portes APR à joint pneumatique de Qualia Bio intégrer une logique de verrouillage conçue pour s'adapter aux exigences en matière d'issues de secours et de rétablissement de la pression au niveau de l'installation, mais les essais d'intégration avec les systèmes de contrôle de l'installation restent indispensables, quelle que soit la conception de l'équipement.

VHP, EDS et vérification de l'état de fonctionnement avant la mise en service

La mise en service du système de décontamination constitue souvent la dernière étape majeure du processus de réception, et c’est celle où la traçabilité entre les paramètres du processus et les résultats biologiques est le plus souvent incomplète au moment de la remise. Un générateur de VHP ayant fait l’objet d’une qualification en usine, puis installé et raccordé, n’est pas équivalent à un système de VHP dont les paramètres de cycle ont été validés pour atteindre la réduction logarithmique requise dans toutes les zones qu’il est censé traiter.

Les quatre étapes de validation qui établissent l’aptitude à la décontamination — conditionnement préalable au traitement, inactivation cyclique, contrôle des résidus finaux et traçabilité du processus vers le résultat biologique — ne sont pas interchangeables et ne peuvent être raccourcies sans laisser de lacunes dans le dossier d’acceptation. Le conditionnement préalable confirme que les conditions environnementales nécessaires à l’efficacité du VHP (température et humidité relative comprises dans la plage spécifiée) peuvent être atteintes de manière fiable dans l’espace concerné. Ceci est important car une pièce qui a été conçue et testée sans tenir compte de la charge thermique et humide totale des équipements raccordés peut se comporter différemment une fois que tous les systèmes sont en service. L’inactivation cyclique, associée à des cartes de placement d’indicateurs biologiques, confirme que la concentration en VHP et le temps de contact permettent d’atteindre la réduction logarithmique cible aux emplacements les plus difficiles de l’espace réel, et pas seulement à un point de référence situé près du générateur. Les essais de résidus finaux confirment que la phase d’aération a ramené les résidus de peroxyde d’hydrogène en dessous de la limite admissible avant que l’accès du personnel ne soit autorisé. Chacune de ces étapes nécessite des enregistrements documentés pouvant être rattachés à des instruments étalonnés et aux résultats des indicateurs biologiques.

C’ecu ei aetaeletlrlnhma pHlioasshrtalnncetciieS néa slnra senmnuaietit ndiuc trrléaeca anoée es5vu tum spé qisç rutdnta m teeeei,oéxéoft’eeu seéfirinjeéts0icd illtvsrld neae s èotn biatu tantèeem,cléemdtd 2 toeenfnla ade uua’ rtoaeitaqd4 il edqr itp uén’uéaicalu aqo5l ccc accacimnr alemraequs qusnarrétèm;déae0aseàsmcut0foettioré iciedic ettisdp pooalun nruoneclcrtrtéi’ut a eu egio ’iina oIe.)nhnsnreaeprssmpu aa aà adlnia tadequta lileuid retelol ,uCt eui én n eo0 vce csre cgddal eliéa d téai ao ra dnaaSupsbi sc nrtrdnéo crviul:eonifun2r rt nelrit1ilOdnt affnc’laoi eenfc toeui vitod 1anénsneé néeauuqdnr3a pto evacers vrdtlerra nd eèl ul djsiiéfS edcea,r sicpibvemiasdiannrOn pxeràr ndUui.e icou eaiieéaieos-mbéfcasdnpyl ué titaaerecepipl2 oi g eotd etqfnintneysei qauoalq5leap noec ec er becndeerimr, oéertoblosieLgoruoxec auyrmmld aoutiaaiououovepsa7ryr nru eniit é pnteneadsrdetonud—iaelaaerés au i aciêu é rua:p bntlbdsuteage dp vscm àpeoa érnd c gtpitfdt vc c pétdn— ttdé( s.a ç9isan leitlr etetmufp r oeinrIdncsuedesPjei ru.lrvu ou dgvcrrtordlbp slepnemdlqcnaà oVpnomd srreé tittqudbpee1dél qntx a stl nti doc uu ne ors’ua1sfre.

Les systèmes de décontamination des effluents (EDS) sont soumis aux mêmes exigences de traçabilité dans le flux de déchets liquides. Un EDS pleinement opérationnel et ayant fait l’objet d’une qualification d’installation complète n’est pas considéré comme conforme s’il n’existe aucun dossier validé confirmant que le cycle de prétraitement et d’inactivation permet d’atteindre le niveau d’inactivation biologique requis dans l’ensemble des conditions dans lesquelles le système sera effectivement exploité. L’intégration du système de contrôle — consistant à vérifier que les verrouillages, les alarmes et l’enregistrement des données de processus de l’EDS sont coordonnés avec la surveillance au niveau de l’installation — doit également être vérifiée dans son état intégré avant qu’une installation de niveau BSL-3 ou BSL-4 ne soit considérée comme prête à fonctionner.

Seuil de transfert pour les interfaces système non résolues

Le facteur le plus fiable permettant de prédire les défaillances d'interface lors de la remise est le report des essais fonctionnels intégrés jusqu'à la fin de la mise en service, plutôt que de les lancer dès que les systèmes sont interconnectés. Les conflits de séquences de commande, les lacunes dans la coordination des alarmes et les erreurs de logique de verrouillage sont systématiquement plus faciles à résoudre pendant la mise en service qu’au moment de la remise d’ouvrage — non pas parce que les problèmes sont différents, mais parce que la pression liée au calendrier est moindre et que les parties responsables sont encore présentes sur site. Lorsque les tests fonctionnels sont reportés, on ne s’attend pas à ce que les problèmes soient évités ; on s’attend plutôt à ce qu’ils apparaissent au moment où leur résolution serait la plus perturbante.

Le critère pratique pour une mise en service intégrée précoce consiste à définir la portée des essais intégrés au moment même où les calendriers de vérification des systèmes individuels sont établis — et non après l’achèvement de la réception au niveau des équipements. Cela signifie que les commandes CVC, la logique PLC du système de décontamination, les verrouillages du contrôle d’accès et la plateforme de gestion des alarmes doivent tous être testés les uns par rapport aux autres avant que le calendrier de mise en service n’atteigne sa phase finale. Les conflits cachés dans les séquences de commande — tels qu’une réponse à la demande CVC qui supprime une alarme de confinement lorsque les deux sont déclenchées simultanément — ne sont pas visibles lors des essais au niveau des équipements et n’apparaissent que lorsque les systèmes fonctionnent ensemble.

Le seuil qui étend le champ d’application de la validation au-delà de la salle modifiée est atteint lorsqu’il est démontré qu’une modification d’un composant affecte la classification, le flux de matières ou les procédures d’urgence d’une salle adjacente. Ce seuil est conditionnel, et non automatique ; toutes les modifications ne le franchissent pas. Cependant, déterminer si ce seuil a été franchi nécessite un examen approfondi et délibéré du champ d’application, et cet examen doit être réalisé avant la constitution du dossier de transfert, et non après la découverte de lacunes lors d’un audit. La norme pratique, conforme à ce que le BMBL du CDC et le LBM de l’OMS décrivent comme le niveau attendu d’assurance de confinement, est qu’aucune interface système critique pour le confinement ne doit figurer dans le dossier de transfert en tant que non résolue. Un écart approuvé, accompagné d’un plan de remédiation et d’un calendrier documentés, est défendable ; une lacune non documentée ne l’est pas.

Les conséquences en aval de problèmes d’interface non résolus ne se limitent pas au retard de mise en service. Si une défaillance d’interface concerne la limite entre une zone à haut confinement et une zone de soutien — un mode de secours qui ne parvient pas à rétablir la cascade de pression après un rétablissement de l’alimentation électrique, une lacune dans le verrouillage qui permet un déplacement du personnel contournant la séquence de décontamination prévue —, le problème constitue un risque d’exposition en matière de biosécurité, et non un simple inconvénient opérationnel. Considérer le laboratoire comme non prêt dès lors qu’un parcours de confinement critique ne dispose pas d’un dossier d’essais intégré est la norme qui reflète cette conséquence. Accepter une installation présentant des lacunes d’interface connues en partant du principe qu’elles seront résolues après la mise en service est une décision d’allocation des risques dont les conséquences s’étendent au-delà de l’équipe de projet.

Le principe fondamental sur lequel repose ce cadre consiste à établir une distinction entre une installation dont les composants ont été acceptés et une installation dont le système de confinement intégré a été accepté. Il ne s’agit pas de la même situation, et le fait de les confondre est à l’origine de la plupart des incidents de revalidation en phase finale et des retards de mise en service dans les projets à haut niveau de confinement. Avant toute constitution d’un dossier de remise, l’équipe doit être en mesure de confirmer, pour chaque interface critique en matière de confinement, qu’un essai intégré a été réalisé, que le dossier est complet et traçable, et que la partie responsable a donné son accord. Si une interface ne dispose pas de ce dossier, la question n’est pas de savoir s’il faut accepter l’installation, mais s’il existe un écart approuvé assorti d’un calendrier de mise en conformité documenté, ou si des essais supplémentaires sont nécessaires avant que la mise en service ne soit autorisée.

Pour les projets en phase de livraison présentant des points en suspens, la prochaine étape concrète consiste en un examen structuré des écarts d’interface qui recense chaque dépendance système non résolue par rapport aux cinq méthodes d’essai de confinement, aux étapes de validation de la décontamination et aux scénarios de verrouillage/récupération. Cet examen permettra de distinguer les écarts d’ordre administratif — documents manquants pour des essais pourtant effectués — de ceux d’ordre substantiel, c’est-à-dire les essais intégrés qui étaient prévus mais n’ont pas été réalisés. Seule la deuxième catégorie représente un risque réel pour la biosécurité, et l’identifier avant la mise en service est précisément l’objectif visé par un cadre d’acceptation au niveau du système.

Questions fréquemment posées

Q : Que deviennent les dossiers d'essais déjà acceptés lorsqu'un composant unique — tel qu'un autoclave ou un sas — est ajouté à une enceinte de confinement déjà acceptée ?
R : Les enregistrements d'acceptation antérieurs concernant les limites adjacentes pourraient ne plus être valides et devront être reconfirmés dans le système intégré. Un nouvel élément introduit des dépendances physiques, de pression et de verrouillage qui n'existaient pas lors des essais initiaux ; l'étendue des éléments devant faire l'objet de nouveaux essais est déterminée par une analyse préalable à la modification qui recense toutes les interfaces que le nouvel élément partage avec les limites de confinement déjà acceptées.

Q : Les essais de cascade de pression intégrés sont-ils obligatoires même si la cartographie de pression en régime permanent montre déjà que les objectifs de conception ont été atteints ?
R : La cartographie en régime permanent ne suffit pas à elle seule pour la validation. Elle confirme que la conception a été respectée dans des conditions statiques, mais ne démontre pas que le confinement est maintenu lors de transitoires réalistes — cycles simultanés des portes dans les sas adjacents, changements d'état des ventilateurs d'extraction ou variations de la demande de capacité maximale. Les enregistrements de pression en régime permanent et en régime dynamique doivent tous deux figurer dans le dossier de réception avant qu'une zone ne soit considérée comme acceptée.

Q : Comment une équipe doit-elle gérer un écart au niveau des paramètres du cycle lors de la validation du VHP si aucune corrélation n'a été établie au préalable entre les paramètres du processus et les résultats biologiques ?
R : Si cette corrélation n’est pas établie au préalable, tout écart soulève une question insoluble quant à l’efficacité de l’inactivation pour ce cycle, et le rapport de cycle ne permet pas de garantir la conformité aux exigences de décontamination. Le cadre de traçabilité — qui relie la température, l’humidité, la concentration et le temps de contact aux résultats des indicateurs biologiques — doit être défini avant le début des cycles de validation, et non établi rétrospectivement après la survenue d’un écart.

Q : À partir de quel moment le report des essais fonctionnels intégrés cesse-t-il d'être une simple décision d'organisation pour devenir un risque en matière de biosécurité ?
R : Cela devient un risque de biosécurité dès lors qu’une défaillance non détectée d’une interface pourrait empêcher de repérer une brèche de confinement — par exemple, un mode de reprise qui ne parvient pas à rétablir la cascade de pression après le rétablissement de l’alimentation électrique, ou une lacune dans le verrouillage qui contourne une étape de décontamination obligatoire. Les conflits de séquences de contrôle et les lacunes dans la coordination des alarmes, qui ne sont visibles que lorsque les systèmes fonctionnent conjointement, ne peuvent pas être traités comme de simples points à régler au niveau administratif si l’interface concernée constitue une limite critique pour le confinement.

Q : Une installation peut-elle être mise en service si une interface critique pour le confinement présente une lacune connue, mais que les parties responsables conviennent que celle-ci sera corrigée après la mise en service ?
R : Non, sauf si le procès-verbal de remise fait état d’une dérogation approuvée, accompagnée d’un plan de remédiation documenté et d’un calendrier défini. Une lacune non documentée ne constitue pas un motif d’acceptation défendable, quel que soit l’accord verbal. La distinction établie par le cadre porte sur la différence entre une dérogation approuvée — qui est défendable — et un point en suspens non consigné, qui représente un risque de biosécurité non attribué et dont la responsabilité dépasse le cadre de l’équipe de projet une fois que l’occupation des locaux a commencé.