Le personnel sort d'un Installation de niveau BSL-3 ou BSL-4 constitue l'un des points de transition les plus risqués de la séquence de confinement, et la logique de verrouillage contrôlant cette sortie est souvent insuffisamment définie au stade de la conception. Le scénario de défaillance le plus courant n'est pas un effondrement spectaculaire du système, mais une lacune dans la séquence que personne n'a testée explicitement, comme une porte intérieure qui peut se déverrouiller avant que la cycle de la douche à air la confirmation de la poignée de main, ou un délai de déverrouillage des portes défini lors de la mise en service plutôt que figé dans le cahier des charges (URS). Lorsque cette lacune est mise en évidence lors d’une inspection réglementaire ou d’un examen d’incident de sécurité, le coût ne se limite pas à une simple modification de la logique de l’automate programmable (PLC) ; il s’agit également de la reconstitution des preuves de qualification opérationnelle (OQ), d’un retard dans la mise en service des locaux et d’une non-conformité en matière de biosécurité nécessitant une enquête officielle. Le lecteur doit donc déterminer si sa spécification actuelle en matière de verrouillage définit chaque mode de fonctionnement — normal, alarme, urgence et maintenance — avec suffisamment de précision pour qu’un testeur qualifié, un auditeur et un responsable de la sécurité incendie parviennent tous à la même conclusion quant au fonctionnement du système.
La logique de verrouillage fait partie du système de contrôle de confinement
Logique de verrouillage du sas de la douche ne constitue pas un élément secondaire ajouté à une conception de confinement par ailleurs complète. Pour les installations de niveau BSL-3, la présence de deux portes à fermeture automatique et à verrouillage interbloqué constitue une exigence de sécurité de base définie dans Directives réglementaires américaines— et non une simple préférence de conception. Ce principe de base signifie que la séquence de verrouillage fait elle-même partie du dispositif de confinement, et que toute lacune dans sa spécification constitue une faille dans le confinement.
La séquence de sortie normale repose sur la coordination de quatre événements de confirmation ordonnés : la porte A se ferme complètement et un capteur de position — et non pas uniquement l’arrêt du moteur — confirme la fermeture ; un délai fixe s’écoule ; le rétablissement de la pression différentielle est vérifié ; et ce n’est qu’alors que la porte B se déverrouille. Chaque événement de confirmation constitue un nœud de décision. Si l’un d’entre eux est mal défini, la séquence peut sembler fonctionner correctement dans des conditions d’essai standard, tout en restant vulnérable à des modes de défaillance qui n’apparaissent qu’en charge ou dans des scénarios de synchronisation extrêmes.
Le tableau ci-dessous présente les quatre paramètres qui doivent être définis lors de la phase URS, ainsi que les conséquences en termes de risque si chacun d'entre eux était reporté jusqu'à la mise en service.
| Paramètres | Éléments à définir dans l'URS | Risque en cas de report jusqu'à la mise en service |
|---|---|---|
| Confirmation du capteur de position de porte | Vérifier que la porte A est bien fermée à l'aide du capteur de position, et non pas uniquement par l'arrêt du moteur ; enregistrer l'état du capteur dans le journal des séquences. | Un test de type « réussi/échoué » sans enregistrement des étapes intermédiaires rend difficile l'identification des défauts et rend incertaine l'acceptation par l'auditeur. |
| Délai de lancement | Régler le délai à une valeur ≥ 1,5 fois la durée de la course complète du VAV afin de garantir la stabilité de la pression avant le déverrouillage de la porte B. | Une renégociation après l'installation nécessite de réexécuter la qualification opérationnelle (OQ) et de reconstituer les preuves de la SAT. |
| Vérification de la récupération de pression | Vérifier que la récupération de ΔP est ≥ 10 Pa avant de déverrouiller la porte B. | Le dispositif de verrouillage pourrait se débloquer alors que la cascade de pression est encore en cours de rétablissement, ce qui compromettrait le confinement. |
| Déclenchement du déverrouillage des portes | Ne déverrouiller la porte B qu’une fois que toutes les confirmations précédentes ont été effectuées et que le délai de la séquence est écoulé. | Le contournement de la séquence peut compromettre la procédure de confinement et entraîner un manquement aux règles de biosécurité. |
Le seuil de rétablissement de la différence de pression (ΔP) ≥ 10 Pa et le délai de libération lié au temps de course complète des actionneurs VAV constituent des critères de conception issus de guides techniques commerciaux, et non des limites réglementaires universelles. Leur intérêt réside dans le fait qu’ils fournissent au cahier des charges (URS) un point de départ concret pouvant être adapté à l’évaluation des risques de l’installation et aux caractéristiques du système CVC. Ce qui importe pour l’approvisionnement et la validation, c’est qu’ils soient fixés avant l’installation. Renégocier le délai de déclenchement après la mise en service des actionneurs VAV implique de réexécuter la qualification opérationnelle (OQ) et de reconstituer les preuves de la qualification de site (SAT) — une charge en termes de calendrier et de justifiabilité face à un audit qui est tout à fait évitable si la décision relative aux paramètres est prise en amont.
L’autre erreur courante lors des essais d’interverrouillage consiste à n’enregistrer que la mention “ réussi ” ou « échoué » à la fin de la séquence. Un rapport d’essai indiquant « porte B déverrouillée — RÉUSSI » sans consigner l’état intermédiaire de la position de la porte, la courbe ΔP et le journal du temporisateur de retard ne fournit à l’auditeur aucun élément permettant de distinguer une séquence validée d’une séquence qui s’est trouvée réussir une seule fois dans des conditions favorables. Cette distinction revêt une importance capitale lorsqu’un défaut survient après l’occupation des lieux.
Le fait de reporter le paramètre de délai de mise en service jusqu’à la mise en service transforme une décision figurant sur une seule page du cahier des charges (URS) en une nouvelle exécution de la qualification opérationnelle (OQ) et en une reconstitution des preuves de la validation opérationnelle (SAT).
Le déverrouillage de la porte doit respecter les règles relatives à l'ordre d'utilisation de la douche
La coordination entre le contrôleur de la douche à air et l'automate de verrouillage est un aspect que les équipes ont souvent tendance à considérer comme acquis, plutôt que de le définir explicitement et de le tester. Elles partent du principe que, puisque la douche se déclenche avant la sortie, la porte ne peut pas se déverrouiller tant que la douche n'est pas terminée. Dans la pratique, la porte intérieure peut être déverrouillable dès que le capteur de la porte extérieure confirme sa fermeture, sans qu'il y ait de véritable échange d'informations entre le contrôleur du cycle de douche et la logique de verrouillage. Sous LabuSnébipaqnrdaioésoton eed cmis B r iuei eoavL-4 Conformément aux consignes, l'ensemble du personnel doit prendre une douche avant de quitter les lieux dans le cadre de la procédure de décontamination; il s'agit d'une exigence procédurale bien définie qui implique que le dispositif de verrouillage de sortie doit imposer l'achèvement de la douche comme condition de déverrouillage, et non pas simplement supposer que celui-ci a bien eu lieu.
La vérification est précise : la porte intérieure ne doit pas se déverrouiller avant que la fin du cycle de la douche d'air ne soit confirmée, même si le capteur de position de la porte extérieure a déjà signalé la fermeture et que le temporisateur de retard est arrivé à expiration. Ces deux contrôleurs — l'automate programmable (PLC) gérant l'état des portes et le contrôleur de la douche d'air gérant la synchronisation du cycle — doivent échanger une confirmation de communication, et cette confirmation doit être vérifiée lors des tests de verrouillage, et non pas simplement supposée sur la base de la documentation relative à l'architecture du système.
Cette coordination passe facilement inaperçue lors des essais FAT, car l’environnement de test consiste généralement à faire fonctionner la douche manuellement et à observer la réponse de la porte. Ce qui n’est pas systématiquement testé, c’est de savoir si l’automate programmable (PLC) détecte réellement le signal de fin de cycle de la douche ou s’il se contente d’attendre l’expiration du délai avant de déverrouiller la porte quoi qu’il arrive. Spécifier l’exigence de « handshake » dans le cahier des charges fonctionnel (URS), nommer le type et la source du signal dans le protocole FAT, et inclure un cas de test délibéré où l’on tente de déverrouiller la porte avant la fin du cycle de la douche sont les trois étapes qui permettent de combler cette lacune avant l’installation.
La conséquence d’un manquement à cette vérification n’est pas immédiatement visible en fonctionnement normal, car les opérateurs qui respectent la procédure opérationnelle standard (SOP) terminent leur douche avant de s’approcher de la porte intérieure. L’exposition survient lorsqu’un opérateur est pressé, lorsque la SOP n’est pas respectée ou lorsque la logique de l’automate programmable (PLC) est modifiée lors de la maintenance et que la vérification de cohérence est interrompue sans que l’on s’en rende compte. À ce stade, le verrouillage ne garantit plus le respect de la procédure de décontamination — il donne seulement l’impression de le faire.
Les mesures de contrôle restrictives nécessitent la mise en place d'un plan d'urgence
Des verrouillages plus stricts réduisent le risque de contournement délibéré, mais ils posent un autre problème : si le système maintient les portes verrouillées en cas d’urgence, le personnel ne peut pas sortir. Ce conflit n’est pas purement théorique. Chaque installation BSL équipée d’un sas de douche à verrouillage doit trouver un équilibre entre le contrôle de la contamination et la sécurité des personnes lors de l’évacuation, et cette solution doit être documentée dans les plans avant l’achat, et non découverte lors d’un exercice d’évacuation incendie.
Le cadre réglementaire régissant les issues de secours est la norme NFPA 101 et, le cas échéant, la norme EN 16005. Ces normes ne constituent pas des exigences en matière de confinement, mais elles font autorité en ce qui concerne le comportement des issues de secours — en particulier quant à ce que le système de verrouillage doit faire lorsqu’il reçoit un signal d’alarme incendie. Le comportement requis est celui d’une « ouverture en cas de défaillance » : le système doit se mettre en mode dégradé pour permettre une sortie immédiate. Ce qui est moins souvent précisé, c’est l’exigence qui va de pair : le système doit simultanément enregistrer un instantané inviolable de l’état du système, permettant de reconstituer quelles portes étaient ouvertes, verrouillées ou en cours d’ouverture au moment de la dérogation. Sans cet instantané, l’analyse post-incident ne permet pas de déterminer si le confinement a été rompu, qui se trouvait à l’intérieur, ni si la dérogation a été déclenchée de manière légitime.
Le tableau ci-dessous présente les quatre scénarios que doit prendre en compte la planification des déverrouillages d'urgence, en indiquant pour chacun d'entre eux le comportement requis des interverrouillages ainsi que la vérification ou la mesure de prévention correspondante.
| Scénario | Comportement requis du dispositif de verrouillage | Contrôle de vérification ou de prévention |
|---|---|---|
| Déclenchement d'une alarme incendie | Passer en mode de sortie « fail-open » ; enregistrer un instantané de l'état inviolable indiquant ce qui était ouvert, verrouillé et en cours de transit. | Vérifier que le système passe en position ouverte en cas d'alarme et s'assurer qu'un journal des instantanés inviolable est généré. |
| Perte de puissance | Fonctionnalité de sortie « fail-open » ; enregistrement de l'état final de la porte et de tout personnel ou matériel en transit. | Vérifier que l'ouverture manuelle de la porte est possible et que l'intégrité du journal est préservée. |
| Commande manuelle d'urgence | Une dérogation autorisée permet de déverrouiller les portes ; le système doit enregistrer l'événement et exiger une autorisation basée sur les rôles. | Vérifier que chaque dérogation fait l'objet d'un contrôle basé sur les rôles et qu'une piste d'audit est enregistrée. |
| Problème mécanique au niveau de la porte (affaissement/déformation du cadre) | Le système de verrouillage interbloqué peut indiquer que la porte est déverrouillée alors qu'elle ne peut physiquement pas s'ouvrir, ce qui peut amener les opérateurs à désactiver le verrou. | Intégrer dans le périmètre des tests IQ la vérification de la force d'actionnement de la porte et de l'alignement du cadre afin d'éviter tout comportement de contournement. |
L’affaissement de la porte ou la déformation du cadre constituent un mode de défaillance qui apparaît rarement lors des revues de conception, mais qui conduit régulièrement les opérateurs à contourner le système. Lorsque cela se produit, le dispositif de verrouillage envoie un signal “ déverrouillé ” car la serrure électromagnétique s’est relâchée, alors que la porte ne peut physiquement pas s’ouvrir en raison d’un désalignement du cadre. Les opérateurs confrontés à ce scénario finiront par désactiver la serrure pour rétablir le bon fonctionnement du système. L’intégration d’un contrôle de la force d’ouverture de la porte et d’une vérification de l’alignement du cadre dans le périmètre de l’IQ réduit la probabilité que cela se produise. Il s’agit d’une mesure préventive, et non d’une étape obligatoire imposée par la réglementation, mais son absence transforme un problème de tolérance mécanique en un contournement non autorisé qui apparaît dans la piste d’audit sans indication de la cause première.
Un dispositif de verrouillage qui indique que la porte est déverrouillée alors qu'elle ne peut pas s'ouvrir incite les opérateurs à désactiver le verrouillage — et c'est précisément ce comportement qui constitue le véritable risque en matière de confinement.
Les procédures opérationnelles standard (SOP) et les exigences en matière de sécurité des personnes doivent être harmonisées
La logique de verrouillage contrôle la séquence physique. La procédure opérationnelle standard (SOP) définit les actions que le personnel doit effectuer au cours de cette séquence. Si ces deux éléments ne sont pas alignés, le système de verrouillage peut imposer une séquence qui n’est pas décrite dans la SOP, ou la SOP peut exiger des étapes que le système de verrouillage ne peut pas imposer. Ces deux situations entraînent un écart de conformité, mais dans des directions opposées : l’une donne lieu à des constatations d’audit, l’autre entraîne un risque lié au confinement.
La vérification de l’alignement est une revue effectuée au cours de la phase de projet, et non un ajustement de mise en service. Au moment où le programme de l’automate est écrit, la procédure opérationnelle standard (SOP) doit déjà définir la séquence de sortie normale, la durée de la douche et les critères d’achèvement, qui est habilité à autoriser un contournement, et ce qui se passe lorsqu’une alarme se déclenche pendant un cycle de sortie. La logique de verrouillage doit mettre en œuvre ces décisions, et non les inventer. En cas de divergence entre la procédure opérationnelle standard (SOP) et la logique de verrouillage — par exemple, lorsque la SOP autorise un superviseur à autoriser verbalement la sortie en cas de défaillance du système de douche, mais que l’automate programmable (PLC) ne dispose d’aucun mécanisme pour accepter cette autorisation —, cette divergence doit être résolue en révisant l’un ou l’autre avant l’essai d’acceptation sur site (FAT).
La dimension liée à la sécurité des personnes impose une contrainte non négociable. Les exigences de la norme NFPA 101 en matière d’évacuation s’appliquent quelle que soit la classification de confinement. Une procédure opérationnelle standard (SOP) demandant au personnel d’attendre la fin de la douche avant de sortir ne peut pas prévaloir sur une alarme incendie qui déclenche l’ouverture automatique des issues de secours. La SOP doit le préciser explicitement : en cas d’alarme incendie, l’évacuation prime sur la procédure de décontamination, et le système de verrouillage déverrouillera les portes en conséquence. Les cadres de biosécurité basés sur les processus, tels que ISO 35001 et Recommandations du Manuel de biosécurité des laboratoires de l'OMS soutenir l'intégration de l'évaluation des risques dans la conception des procédures opérationnelles standard (SOP) ; concrètement, il s'agit de veiller à ce que chaque scénario classé par niveau de risque — incendie, coupure de courant, incapacité du personnel — soit associé à une instruction explicite de la SOP, cohérente avec le comportement des interverrouillages dans ce mode.
La vérification préalable à la mise en service consiste en une comparaison côte à côte : chaque mode de fonctionnement défini dans le tableau des états de verrouillage doit avoir une section SOP correspondante. En l’absence de cette correspondance, l’un des deux documents doit être révisé. Des évaluations périodiques sous forme d’exercices doivent permettre de vérifier que le comportement réel des opérateurs correspond bien aux deux documents.
Lorsque la procédure opérationnelle standard (SOP) autorise une dérogation verbale, mais que l'automate programmable (PLC) ne dispose d'aucun mécanisme à cet effet, cette lacune doit être comblée avant les essais d'acceptation sur site (FAT), et non pendant ceux-ci.
L'homologation nécessite la présentation de tableaux par État pour chaque mode de fonctionnement
Un projet ne devrait pas chercher à obtenir l’homologation de la logique de verrouillage d’un sas de douche sans qu’un tableau d’états ait été défini pour chaque mode de fonctionnement : ce que fait le système de verrouillage en fonctionnement normal, ce qu’il fait en cas d’alarme, ce qu’il fait lors d’une évacuation d’urgence et ce qu’il fait lorsque le personnel de maintenance doit y accéder. Homologuer la logique de verrouillage sans tableaux d’états pour chaque mode revient à homologuer un cahier des charges incomplet. Les lacunes finiront par apparaître, que ce soit lors de la qualification, lors de l’inspection ou lors d’un incident.
Le tableau des états des modes de fonctionnement structure cette exigence. Il doit définir, pour chaque mode prisément, la logique de verrouillage des portes, les conditions d'autorisation des cycles de douche, le comportement des alarmes, les autorisations de commande manuelle et les exigences en matière de journalisation.
| Mode de fonctionnement | Logique de verrouillage des portes | Cycle de douche flexible | Comportement de l'alarme | Pouvoir de dérogation manuelle | Exigences en matière d'exploitation forestière |
|---|---|---|---|---|---|
| Sortie normale | Définir une séquence de verrouillage complet ; la porte intérieure ne se déverrouille qu'après la fermeture de la porte extérieure et un délai. | Le cycle doit être terminé avant que la porte intérieure ne se déverrouille. | Pas d'alarme pendant le déroulement normal de la séquence ; déclencher l'alarme uniquement en cas d'échec de la séquence. | Pas de remplacement en mode normal. | Enregistrer tous les événements liés aux portes ainsi que la courbe de récupération de la différence de pression (ΔP). |
| État d'alarme | Définir si les verrouillages doivent rester activés ou être désactivés en fonction du type d'alarme (incendie ou processus). | La permission peut être suspendue en fonction de la priorité de l'alarme. | Génération d'alarmes actives avec des règles de désactivation définies. | Commande manuelle autorisée avec contrôle d'accès. | Enregistrer les types d'alarmes, les changements d'état des portes et les événements de contournement. |
| Sortie de secours | Défoso t re e i uio prilerlndeplquegtd siipl«eeounlrerndrseee»;remuiéxtv m raps-e taotéi i moauflnte. | Le cycle de douche a été contourné pour des raisons de sécurité des personnes. | Alarme d'évacuation générale activée. | Une fonction de dérogation immédiate est accessible à tous les occupants. | Enregistrer un instantané inviolable de l'état des conditions avant la dérogation. |
| Mode maintenance | Définir le protocole de commande de dérivation ; les portes peuvent être maintenues ouvertes ou déverrouillées conformément à la procédure. | Non obligatoire ; ignoré. | Suppression de l'alarme ou indication locale uniquement. | Réservé au personnel de maintenance habilité. | Enregistrer toutes les activations du contournement, tous les événements d'accès et toutes les confirmations de remise en service. |
Le dossier de preuves IQ/OQ/PQ doit refléter ces définitions de mode. L'IQ confirme que les capteurs sont placés conformément à la conception, que les versions du micrologiciel correspondent à l'URS, que les protocoles de communication sont conformes aux spécifications et que l'alignement des encadrements de porte respecte les tolérances. L'OQ valide la précision de la synchronisation, la réponse au seuil de ΔP, le comportement en cas d'évacuation incendie conformément aux normes NFPA 101 et EN 16005, ainsi que la logique anti-suivi. La PQ teste les conditions de trafic de pointe, la récupération de pression sous charge opérationnelle et l'interception des accès lorsque le système est à pleine capacité et en fonctionnement.
Le critères d'acceptation Les valeurs mentionnées ci-dessous sont tirées de guides techniques commerciaux et doivent être considérées comme un cadre de référence pour l'élaboration des spécifications de conception (URS), et non comme des limites réglementaires fixes. Elles doivent être adaptées à l'évaluation des risques spécifique à l'installation concernée et aux normes applicables.
| Phase | Ce que cela comprend | Exemple de critères d'acceptation |
|---|---|---|
| QI | Vérification de l'emplacement des capteurs, consigne de la version du micrologiciel, vérification de la négociation du protocole, alignement du cadre de porte et contrôle de la force d'actionnement. | Tous les capteurs sont positionnés conformément aux plans de conception ; les versions du micrologiciel correspondent aux spécifications du cahier des charges (URS) ; les délais d'échange de données respectent les spécifications ; l'alignement des portes se situe dans les limites de tolérance. |
| OQ | Précision de la synchronisation, validation du seuil ΔP, essais de conformité aux normes d'évacuation en cas d'incendie (NFPA 101/EN 16005), évaluation des faux déclenchements dus au « tailgating ». | Précision de synchronisation : ±0,2 s ; seuils ΔP : ±0,5 Pa ; mode « fail-open » confirmé en cas d'alerte incendie ; aucun déclenchement intempestif dû au « tailgating » en conditions normales d'utilisation. |
| PQ | Simulation des pics de débit, rétablissement de la pression en charge, interception de l'accès alors que le système est en plein fonctionnement. | Rétablissement de la pression ≤ 3 s après la fermeture de la porte ; aucune brèche dans le confinement lors d'une simulation de pic de trafic ; le système d'interception des accès fonctionne en charge maximale. |
Les exigences en matière d’intégrité des données pour le système de verrouillage doivent également être définies dès la phase URS si l’installation est soumise aux BPF. Les journaux d’événements couvrant les changements d’état des portes, les courbes de récupération ΔP, les modifications des autorisations des opérateurs et les acquittements d’alarmes doivent être stockés dans un format inviolable, synchronisé par NTP, avec un archivage en écriture unique et des autorisations basées sur les rôles. La durée de conservation couramment appliquée pour les applications BPF est de dix ans ; son applicabilité dépend du contexte réglementaire de l’installation, et non du seul type de système de verrouillage. Pour les installations relevant uniquement des normes BSL et ne relevant pas du champ d’application des BPF, les exigences minimales en matière de journalisation peuvent être moins strictes, mais l’exigence d’un instantané inviolable de l’état du système en cas de contournement d’urgence reste néanmoins nécessaire sur le plan opérationnel, car la reconstitution post-incident en dépend.
Avant qu’un cahier des charges relatif au verrouillage d’un sas de douche ne passe à la phase d’approvisionnement, l’équipe doit pouvoir confirmer que quatre éléments sont consignés par écrit : le paramètre de délai de déverrouillage est lié à un temps de course VAV défini et fixé dans le cahier des charges fonctionnel (URS) ; la communication entre le contrôleur du sas de douche et l’automate programmable (PLC) au cours du cycle de douche est explicitement spécifiée et sera vérifiée par des tests lors des essais d’acceptation sur site (FAT) ; le comportement de déverrouillage d’urgence est conforme à la logique « fail-open » (ouverture en cas de défaillance) de la norme NFPA 101, avec une exigence définie en matière d’instantané inviolable ; et chaque mode de fonctionnement dispose d’un tableau d’états que le testeur, le responsable de la biosécurité et l’auditeur interpréteront tous de la même manière.
Si l’un de ces quatre éléments est reporté à la phase de mise en service, le projet s’expose à un risque lié à la qualification dont la résolution après l’installation s’avère généralement plus coûteuse que si les spécifications avaient été correctement définies dès la phase de conception. L’examen du tableau d’états, la vérification de la conformité des procédures opérationnelles standard (SOP) et la portée de la mise en service et de l’alignement (IQ) constituent les trois étapes préalables à l’approvisionnement les plus susceptibles d’éviter les situations de retouches décrites ci-dessus.
Questions fréquemment posées
Q : Notre sas de sortie est équipé d'une douche chimique au lieu d'une douche à air. La même logique de verrouillage s'applique-t-elle ?
R : Oui, le principe de verrouillage de confinement reste inchangé. Le signal de fin de cycle doit provenir du contrôleur de la douche chimique, et non d’un minuteur de douche à air. Précisez dans le cahier des charges (URS) que le déverrouillage de la porte intérieure est bloqué jusqu’à la fin du cycle de décontamination chimique, et prévoyez un test FAT spécifique visant à vérifier que la porte ne peut pas se déverrouiller avant que ce signal ne soit confirmé — exactement comme vous le feriez pour une douche à air.
Q : Comment déterminer le délai de déverrouillage des portes si l'établissement utilise un système CVC à débit constant plutôt qu'un système VAV ?
R : ie)utdnns dasetdsc nssavverC tl eé dntpsoe≥ulc ttcms1accae qeoau erin irtl ed.ué es as tidntp asd ditneΔorpe i rfeVtatpnsedo etiadp re cbome éuaesd oPé)'oss ne ué ienepilimda nrdauooicl sam méealte isi(eee.ogUau ed v ei s oA dresinneseetefrcee eore ècen s 'rl ltllbs(dsrdeé a epr ill dméstld s 'ntp tdi ndsiaa0oéelldtamb ec im l é lleandolrrédecrsiiéie rr trsae rebvnSere afeicas ddL'difsf iiln l eseeordsln tbenrisreip 'ln pn dnclaaésiianm uaV lIRi Pele.
Q : Quelle est la première étape à suivre pour harmoniser la procédure opérationnelle standard (SOP) écrite avec le tableau des états des verrouillages avant la mise en service ?
R : Extrayez le tableau des états pour le mode de sortie normal et associez chaque état de porte, chaque autorisation de douche et chaque logique de minuterie à une instruction SOP précise. Répétez l'opération pour les modes alarme, urgence et maintenance. Tout état ne correspondant à aucune étape SOP doit être résolu en modifiant soit la SOP, soit le cahier des charges des verrouillages avant le FAT, afin que la procédure documentée ne contredise jamais la séquence physique imposée par l’automate programmable.
Q : Dans quels cas un dispositif anti-démarrage entièrement restrictif, sans déverrouillage manuel, est-il réellement plus sûr qu'un dispositif doté d'un contournement supervisé ?
R : Uniquement lorsque l'installation est en mesure de documenter et de tester la dérogation relative aux issues de secours conformément aux exigences des normes NFPA 101 et EN 16005, sans recourir à une dérivation manuelle dans le circuit de circulation. Dans la pratique, la plupart des installations de niveau de sécurité biologique 3/4 adoptent une dérivation supervisée, assortie d'une autorisation basée sur les rôles et d'un enregistrement inviolable, car des restrictions trop strictes créent un risque de piégeage plus difficile à atténuer en cas d'incendie ou d'urgence médicale, et la piste d'audit offre un contrôle équivalent.
Q : Ce niveau de spécification en matière de verrouillage est-il nécessaire si notre laboratoire de niveau BSL-3 utilise une douche à air uniquement pour le contrôle des particules, et non pour une étape de décontamination liée à la biosécurité ?
R : Pas entièrement. Si la douche ne répond pas à une exigence de biosécurité, la procédure de synchronisation du cycle de la douche peut être assouplie, mais vous devez tout de même définir la logique de verrouillage des portes pour assurer le confinement. Précisez dans le cahier des charges fonctionnels (URS) que la douche n’est pas un élément de sécurité et indiquez la logique simplifiée dans le tableau des états ; sinon, les auditeurs pourraient considérer l’absence de cette procédure de synchronisation comme un contrôle de confinement manquant. Il est bien moins coûteux de clarifier votre intention dès le départ que de devoir l’expliquer après une inspection.
