Essais de réception sur site des ensembles d'équipements BSL-3/4 : services auxiliaires, verrouillages, alarmes et vérifications d'installation

Les étapes clés de la mise en service imposent souvent des délais de test plus courts que ce que le site est réellement en mesure de supporter. Lorsqu’un ensemble d’équipements BSL-3 ou BSL-4 est testé avant que l’équilibre de la ventilation n’ait été confirmé, avant que les percements n’aient été colmatés ou avant que la stabilité de l’alimentation de secours n’ait été vérifiée, les résultats des essais reflètent les défaillances de la salle plutôt que le comportement des équipements — et le rapport qui en résulte est difficile à défendre lors d’un contrôle réglementaire ou d’une enquête ultérieure sur une anomalie de la qualification opérationnelle (OQ). Le coût en aval ne se limite pas à un test répété ; il s’agit d’une piste d’audit où les défaillances ne peuvent pas être clairement attribuées à l’équipement ou au site, ce qui peut obliger à une requalification des deux. C’est en comprenant quelles conditions doivent être réunies avant le début des tests sur site (SAT) et quelles interfaces les SAT doivent officiellement clôturer avant le début des tests d’acceptation (IQ) que la plupart des équipes de projet préservent ou perdent l’intégrité de la validation.

Services installés que SAT doit vérifier

La vérification du réseau électrique lors des essais d’acceptation en site (SAT) n’est pas une simple formalité : il s’agit de la seule étape au cours de laquelle les conditions du site, essentielles au confinement, sont officiellement documentées par rapport à l’ensemble des équipements installés, dans un contexte d’exploitation réel. Cette distinction est importante car les essais de réception en usine confirment le bon fonctionnement des équipements dans des conditions d’alimentation contrôlées. Les SAT doivent quant à eux confirmer que ces mêmes équipements fonctionnent correctement compte tenu de la qualité, de la stabilité et de la configuration réelles des réseaux présents dans la salle construite.

Les deux conditions techniques les plus critiques dans une salle SAT de niveau BSL-3 ou BSL-4 sont le sens du flux d’air et le circuit de recirculation de l’air évacué. Ces deux éléments sont généralement considérés comme des critères de conformité ou de non-conformité dans des référentiels tels que le Manuel de biosécurité des laboratoires de l’OMS et les directives BMBL du CDC : le flux d’air entrant, provenant de zones extérieures au laboratoire, doit être maintenu et mesurable, et aucun circuit de recirculation des effluents ne doit permettre un retour vers le laboratoire ou vers le réseau d’alimentation général du bâtiment. Il ne s’agit pas là d’objectifs de conception, mais de conditions qui, si elles ne sont pas confirmées lors des essais SAT, laissent le principe fondamental de confinement de la salle non vérifié avant le début des travaux biologiques.

Le point de défaillance le moins évident réside dans l’interaction entre le raccordement d’évacuation de la BSC et l’équilibre de pression de la pièce. Un raccord à manchon — plutôt qu’un raccord par conduit rigide — est spécifiquement utilisé pour empêcher que le circuit d’évacuation de la BSC ne perturbe l’équilibre de l’air ambiant en cas de fluctuations du système CVC. Si les essais SAT ne vérifient pas ce type de raccordement et ne confirment pas que la configuration telle qu’installée correspond à l’intention de conception, la stabilité de la pression dans la pièce peut se dégrader dans des conditions de fonctionnement réelles plutôt que dans des conditions d’essai. Il s’agit d’une défaillance qui n’apparaît qu’une fois les essais SAT terminés, lors des cycles de fonctionnement, et qui, à ce stade, est alors attribuée aux performances de l’équipement plutôt qu’à une erreur d’installation.

La stabilité de l’alimentation de secours mérite une attention particulière, même s’il convient de la replacer dans son contexte : il s’agit d’un risque de défaillance avéré plutôt que d’une exigence universellement codifiée. Des coupures de courant affectant les systèmes de confinement se sont produites dans des installations BSL-4 réglementées, et les conséquences ne se limitent pas à un simple désagrément : il s’agit d’une éventuelle défaillance du confinement. Le SAT doit vérifier que l’alimentation de secours assure le fonctionnement ininterrompu des systèmes de CVC, d’évacuation et de contrôle d’accès pendant un transfert simulé, et cette vérification doit être consignée par écrit, et non pas simplement supposée.

Chaque condition d'utilité est assortie d'une exigence de vérification bien définie et d'une conséquence claire en cas d'omission ou d'échec de la vérification.

Les contrôles des équipements qui ne peuvent être menés à bien en raison d'une alimentation instable — échappement non équilibré, air comprimé ne atteignant pas la pression de service, purges non raccordées — ne doivent pas être reportés sans justification. Un report sans évaluation formelle des risques entraîne une lacune dans le dossier qui sera visible lors de l'examen de la qualité de l'installation (IQ), et toute anomalie détectée ultérieurement sera plus difficile à attribuer clairement.

Vérifications des systèmes de verrouillage et d'alarme en conditions réelles

La logique de verrouillage définie lors de la conception et le fonctionnement du verrouillage testé en usine ne correspondent pas nécessairement aux performances réelles du verrouillage une fois installé dans la pièce. Cette distinction n’est pas purement théorique : une séquence de verrouillage de porte qui fonctionne correctement sur un banc d’essai peut échouer dans la pièce, car le poids physique de la porte, le temps de réponse de l’actionnement pneumatique du joint d’étanchéité et la latence du signal de contrôle d’accès interagissent différemment de ce qui avait été prévu lors des tests au niveau des composants. Le SAT, réalisé dans le contexte réel de la pièce, est le premier moment où ces interactions peuvent être observées dans des conditions de fonctionnement réelles.

Le point essentiel à retenir ici est que les contrôles de verrouillage SAT ne constituent pas une nouvelle exécution du FAT. Ils permettent de vérifier que la logique prévue lors de la conception a bien été transposée dans l'enveloppe de confinement construite. Pour une configuration d’antichambre de niveau BSL-3 ou BSL-4, la séquence des portes à fermeture automatique et à verrouillage mutuel doit empêcher l’ouverture simultanée des deux portes — un test fonctionnel réalisé dans la salle installée, avec la quincaillerie de porte, les joints pneumatiques et l’intégration du contrôle d’accès réels, constitue la seule preuve crédible que ce système fonctionne conformément à la conception. La simple mention d’un procès-verbal de FAT réussi ne remplace pas ce test, car le FAT n’incluait pas la salle.

L'intégration des systèmes de contrôle d'accès électroniques présente une lacune similaire en matière de vérification. La question à laquelle SAT doit répondre n’est pas de savoir si le système de contrôle d’accès fonctionne de manière isolée, mais si l’état de la serrure est correctement signalé à la logique de verrouillage de la porte et si l’escalade de l’alarme se déclenche correctement en cas de violation de la séquence. Cette vérification du câblage et des signaux n’a de sens que dans le contexte d’installation réel, où le tracé effectif des câbles, le conditionnement des signaux et le transfert vers le système de gestion technique du bâtiment (GTB) sont présents.

Les contrôles de fonctionnement des alarmes d’urgence, des douches oculaires et des douches de sécurité ont un objectif différent : ils permettent de vérifier que les infrastructures d’intervention d’urgence sont opérationnelles et correctement situées par rapport à la sortie de la zone contrôlée avant que la salle ne soit déclarée prête pour l’IQ. Ces contrôles ne portent pas principalement sur le matériel d’alarme ; ils visent à confirmer que l’accès aux installations de décontamination d’urgence est possible sans toucher de surfaces contaminées, ce qui constitue une condition de préparation opérationnelle ayant des implications en matière de biosécurité.

Une omission courante consiste à tester le comportement des interverrouillages et des alarmes uniquement dans des conditions de fonctionnement normales, plutôt que dans des conditions de défaillance simulées. C'est lors des essais en conditions de défaillance — porte maintenue ouverte, défaillance d'une carte d'accès, déclenchement d'une alarme de pression — que les lacunes au niveau des interverrouillages apparaissent généralement et que le compte-rendu des essais sur site (SAT) fournit les éléments les plus utiles pour l'analyse ultérieure des écarts par rapport à la qualification opérationnelle (OQ).

Pour les projets impliquant des portes à joint pneumatique faisant partie de l'enveloppe de confinement, la vérification du timing d'actionnement du joint et de la relation d'interverrouillage entre le gonflage du joint et le signal d'interverrouillage de la porte fait partie intégrante de ce contrôle et ne constitue pas une tâche de mise en service distincte. Voir le Guide de conception des portes à joint gonflable BSL pour les hypothèses de conception qui déterminent ce que la vérification après installation doit confirmer.

Éléments probants concernant l'interface entre le système de gestion technique du bâtiment (BMS) et les installations

La vérification des signaux du BMS se situe à la croisée entre les essais SAT des équipements et la mise en service de l’installation — ce qui explique précisément pourquoi elle est souvent incomplète au moment où l’équipe IQ s’attend à ce qu’elle soit terminée. Le fournisseur d’équipements a peut-être vérifié que ceux-ci génèrent les signaux d’alarme corrects lors des essais FAT. L’intégrateur du BMS a peut-être confirmé que le BMS reçoit des signaux provenant d’une source de test. Aucune de ces vérifications ne permet toutefois de s’assurer que le câblage installé entre les équipements et le BMS est correctement mappé, que la logique des signaux est adaptée à la zone de pression concernée, ni que l’escalade des alarmes se déroule comme prévu dans le contexte de la pièce.

Le SAT doit combler cette lacune en vérifiant, sur le système installé, que les signaux d’alarme du BMS relatifs à la pression et au débit d’air pour les zones BSL-3 ou BSL-4 sont correctement câblés, que les polarités et les seuils des signaux correspondent à la conception validée, et qu’une simulation de condition d’alarme au niveau de l’équipement déclenche la réponse appropriée du BMS. Les recommandations de l’OMS (LBM) et du CDC (BMBL) soutiennent toutes deux le principe selon lequel la surveillance de la pression négative dans les zones de confinement doit être activement vérifiée, et non présumée — et la mise en correspondance des signaux du BMS est le mécanisme permettant de confirmer le bon fonctionnement de cette surveillance.

La conséquence pratique d’une vérification incomplète de l’interface du système de gestion de la centrale (BMS) est que les variations de pression peuvent ne pas déclencher les alarmes comme prévu, ou les déclencher avec des classifications de gravité erronées. Ces deux types de défaillance sont graves : une alarme non déclenchée crée une fenêtre de brèche de confinement non détectée ; une alarme mal classée sape la confiance de l’opérateur dans sa réponse. Aucune de ces défaillances n’est visible tant qu’une véritable variation de pression ne se produit pas, ce qui n’est pas le moment approprié pour les détecter.

Un autre aspect à prendre en compte concernant l'interface est la relation entre la journalisation des alarmes du BMS et la piste d'audit électronique. Pour les programmes BSL-3/4 liés aux BPF, les enregistrements d’alarmes du BMS font partie de l’historique de la surveillance environnementale. Si le SAT ne confirme pas que l’horodatage, l’identification de la zone et la catégorisation des alarmes sont correctement enregistrés, cette lacune apparaîtra lors de l’audit. Il est simple de la combler lors du SAT ; il n’en va pas de même pour une mise en conformité a posteriori, une fois la qualification fonctionnelle (IQ) terminée.

Conditions préalables au début du test de QI

L'IQ ne peut pas être lancé pour une pièce qui n'a pas satisfait aux critères SAT, mais le SAT lui-même ne peut pas être exécuté de manière valide pour une pièce qui n'a pas atteint un état de préparation physique défini. Cette dépendance de séquence est systématiquement sous-estimée dans les calendriers de projet, notamment parce que les conditions de préparation pour le SAT relèvent de la fin des travaux de construction et non de l’installation des équipements — or, la fin des travaux de construction est rarement achevée dans les mêmes délais que la livraison des équipements.

Les deux causes les plus fréquentes d’échecs de SAT sont les percées de surface non colmatées et la non-confirmation de la conformité des matériaux de construction. Les percées dans les murs, les sols et les plafonds qui n’ont pas été colmatées avant l’essai entraîneront des fuites d’air qui faussent les mesures de pression et peuvent empêcher la pièce d’atteindre ou de maintenir le différentiel de pression négative requis pour que le contrôle SAT soit valide. Ces échecs ne sont pas dus à des défaillances de l’équipement ; toutefois, en l’absence de documentation officielle issue d’une inspection préalable au SAT, le rapport SAT indiquera un échec du contrôle de pression sans attribution claire de la cause. Cette ambiguïté engendre des problèmes d’audit et oblige à répéter les essais une fois la pièce scellée, ce qui entraîne des retards non prévus dans le calendrier.

La vérification des matériaux de construction — qui consiste à s’assurer que les surfaces sont non poreuses et capables de résister aux agents de décontamination qui seront utilisés dans la salle — est un critère de planification tiré des recommandations de l’OMS relatives aux LBM, et non un seuil réglementaire universel régi par une norme unique. Concrètement, pour la préparation au SAT, cela signifie que la découverte de surfaces poreuses ou incompatibles après l’installation des équipements peut nécessiter des travaux de retouche qui impliquent de repositionner ou d’endommager l’ensemble des équipements déjà installés. Le moment le plus efficace pour effectuer cette vérification est avant l’installation, ce qui nécessite une liste de contrôle formelle de préparation de la salle avant le SAT, validée à la fois par l’équipe de l’établissement et par le responsable de la biosécurité.

Une étape formelle de vérification de l’état de préparation avant le début du SAT — documentée, signée et mentionnée dans le protocole SAT — simplifie également l’attribution des défaillances pendant le test lui-même. Si un contrôle de fonctionnement échoue après que la salle a été déclarée prête, cet échec reflète de manière plus fiable un problème d’installation ou de connexion plutôt qu’une défaillance de la salle. Cette clarté est précieuse lorsque le technicien du fournisseur et l’ingénieur de l’installation se trouvent tous deux sur place et qu’il faut déterminer rapidement à qui incombe la responsabilité de la défaillance.

Pour les projets utilisant des systèmes de laboratoires modulaires de niveau BSL-3/4, les conditions de mise en service sont en partie déterminées par la conception des modules, mais les points d’interface — raccordements aux réseaux techniques, raccordements aux conduits d’évacuation, câblage du système de contrôle d’accès — doivent tout de même faire l’objet de la même vérification préalable au SAT. Découvrez comment le Laboratoire du module BSL-3/4 Cette approche définit les responsabilités en matière d'interface de service entre le fournisseur du module et le site.

Fenêtre de coordination entre les équipes des fournisseurs et celles des sites

Le risque le plus systématiquement sous-estimé lors de la mise en service (SAT) d’installations de niveau de sécurité biologique 3/4 n’est pas d’ordre technique, mais concerne la planification. La mise en service d’équipements à haut niveau de confinement nécessite la disponibilité simultanée des techniciens de mise en service des fournisseurs, des ingénieurs en mécanique et en électricité de l’établissement, du responsable de la biosécurité et, dans certains programmes, d’un contrôleur qualité. Chaque partie a ses propres contraintes de planification. L’absence d’une seule partie n’entraîne généralement pas un test partiel ; elle entraîne l’annulation de toute la fenêtre de test, car les vérifications des interfaces de confinement exigent que toutes les parties soient présentes pour observer, résoudre les problèmes et signer le procès-verbal en temps réel.

Cette fenêtre de coordination est difficile à raccourcir a posteriori. Les techniciens des fournisseurs peuvent venir d’un autre pays ou intervenir sur une mise en service parallèle sur un autre site. Les responsables de la biosécurité au sein des institutions disposant de programmes réglementés portant sur des agents sélectionnés peuvent ne pas être remplaçables : leur validation de certains résultats de tests peut être exigée par le cadre de surveillance régissant ce programme. Les ingénieurs des installations peuvent avoir des priorités de mise en service concurrentes au sein d’un même projet. En pratique, cela signifie que la planification des SAT doit être considérée comme un processus de coordination entre plusieurs parties prenantes, nécessitant un préavis, et non comme une date dictée par le calendrier de livraison des équipements.

Dans la réalité, certains programmes réglementés ont connu des situations où l’achèvement de la mise en service était directement lié à l’octroi officiel d’une autorisation — à l’instar des délais de coordination très serrés observés lorsque le CDC enregistre des installations de niveau BSL-4. La leçon à tirer de cette analogie n’est pas d’ordre réglementaire, mais opérationnel : lorsque l’achèvement des tests SAT constitue une étape décisive pour l’approbation officielle du programme, le coût d’une fenêtre de test annulée inclut non seulement le retard lié à la reprogrammation, mais aussi le retard en aval sur l’ensemble du calendrier d’approbation du programme.

Les mesures de planification préalable visant à réduire les frictions de coordination comprennent notamment : la définition d’exigences relatives aux témoins d’essai dans le protocole SAT avant la mobilisation ; la confirmation des dates de déplacement et de disponibilité des techniciens des fournisseurs dans le calendrier du projet plutôt que par le biais de communications informelles ; et la mise en place d’une politique de tests partiels bien définie, précisant quels contrôles peuvent être effectués en l’absence d’un observateur de biosécurité et lesquels ne le peuvent pas. Une évaluation des risques étayant cette politique de tests partiels doit être préparée à l'avance, et non improvisée le jour même des essais.

Le déroulement global de la mise en service — c'est-à-dire la place qu'occupe le SAT par rapport à la mise en service du système, à la certification des salles et à l'IQ — est abordé dans le Guide étape par étape pour la mise en service d'un laboratoire BSL-3.

Seuil de fermeture SAT pour les interfaces de confinement critiques

Pour la plupart des ensembles d’équipements de niveau BSL-3/4, la clôture du SAT ne correspond pas à un résultat binaire (réussite/échec). Il s’agit d’un état conditionnel : certains éléments peuvent être officiellement clôturés, d’autres peuvent rester ouverts avec une évaluation des risques acceptée, et d’autres encore peuvent être signalés comme des conditions préalables devant être résolues avant le début de la mise en service (IQ). L’erreur à éviter est de considérer la clôture du SAT comme une simple formalité administrative — signer le rapport SAT alors que des vérifications critiques des interfaces restent en suspens, sous prétexte que les contraintes de calendrier font paraître acceptable de les reporter.

Les interfaces spécifiques qui ne doivent pas faire l'objet d'un report sont celles pour lesquelles une anomalie non résolue affecte directement la validité des preuves de la qualification fonctionnelle (IQ). La mise en correspondance des signaux d'alarme de pression du système de gestion des boucles (BMS), la séquence de verrouillage des portes et la confirmation de l'alimentation de secours relèvent toutes de cette catégorie. Si l’un de ces points reste en suspens au moment du démarrage de la qualification fonctionnelle (IQ), aucune anomalie observée au cours de l’IQ ou de la qualification opérationnelle (OQ) ne pourra être clairement attribuée à l’équipement ou au site : la traçabilité est compromise dès le départ, et une requalification des deux éléments peut s’avérer nécessaire pour rétablir un dossier défendable.

La norme pratique applicable à la clôture des SAT devrait être la suivante : toutes les interfaces critiques pour le confinement doivent soit être formellement vérifiées et clôturées, soit, pour tout point en suspens, faire l’objet d’une évaluation des risques documentée et acceptée par le responsable de la biosécurité et le responsable de l’assurance qualité, assortie d’un calendrier de résolution défini et d’un gel formel des activités de mise en service (IQ) qui dépendent de cette interface. Il s’agit d’un critère de planification et d’une pratique recommandée, et non d’une règle codifiée issue d’une norme particulière. Mais cela reflète la logique que les évaluateurs réglementaires appliquent lorsqu’ils examinent le décalage entre l’achèvement des tests SAT et le début de la mise en service (IQ) : ils vérifieront si l’équipement a été installé dans un environnement de confinement vérifié, et le rapport des tests SAT constitue la principale preuve disponible pour répondre à cette question.

Lorsque l’autorisation réglementaire ou l’enregistrement d’un agent sélectionné est subordonné à l’achèvement de la mise en service — comme c’est le cas dans certains cadres réglementaires nationaux —, la clôture du SAT doit être formellement alignée sur le dossier de documentation soumis pour approbation. Considérer l’achèvement du SAT comme une simple étape interne, sans l’associer au dossier d’autorisation, crée une incohérence dans les dossiers qui peut nécessiter des clarifications ou des compléments dans l’urgence. Intégrer cette cohérence dès le départ dans la structure du protocole SAT constitue une mesure d’atténuation simple qui est souvent négligée.

Pour les programmes BSL-3/4 intégrés à l'EDS, la clôture du SAT doit également permettre de confirmer que les verrouillages du système de décontamination des effluents, la séquence d'ouverture des vannes de vidange et les signaux de défaut du système de gestion du bâtiment (BMS) sont vérifiés dans la configuration installée — ces interfaces font souvent l'objet d'une analyse distincte, mais constituent des dépendances critiques en matière de confinement. Voir le Redondance et contrôles de sécurité intégrée du système EDS de niveau BSL-4 documentation relative aux fondements techniques qui définissent ce que la vérification sur site doit confirmer.

Le SAT pour les ensembles d’équipements BSL-3 et BSL-4 fait office de frontière formelle entre l’installation et la qualification — et la qualité de ce qui franchit cette frontière détermine dans quelle mesure l’ensemble du dossier de validation en aval sera défendable. Les équipes qui préservent l’intégrité de leurs pistes d’audit IQ et OQ sont celles qui considèrent le SAT comme un événement de vérification du confinement, et non comme une simple validation de fin d’installation, et qui résistent à la pression visant à entamer l’IQ avant que les interfaces entre le site et les équipements ne soient véritablement confirmées.

Avant de clôturer le SAT, la question essentielle n'est pas de savoir si le test a été effectué en présence d'un témoin et signé. Il s'agit plutôt de vérifier si chaque interface critique pour le confinement — raccordement du système d'évacuation, séquence de verrouillage des portes, mappage des signaux du système de gestion du bâtiment (BMS), continuité de l'alimentation de secours et intégration du contrôle d'accès — dispose d'un rapport de test susceptible de satisfaire un auditeur externe n'ayant pas assisté à la procédure. Si l’un de ces rapports fait défaut ou repose sur une résolution différée sans évaluation formelle des risques, la clôture du SAT est incomplète, quel que soit le contenu de la page de validation.

Questions fréquemment posées

Q : Le SAT peut-il se dérouler si seules certaines fonctions sont stables — par exemple, si l'air comprimé est confirmé mais que l'équilibrage des gaz d'échappement est encore en cours de réglage ?
R : Non — une stabilité partielle des services n’est pas une condition de démarrage SAT valable pour les contrôles critiques du confinement. L’équilibre de l’évacuation détermine directement si les mesures de la direction du flux d’air et de la différence de pression reflètent le comportement de l’équipement ou une défaillance de la salle. Effectuer des contrôles de pression et de débit d’air sur un système d’évacuation déséquilibré produit des résultats impossibles à attribuer à l’équipement ou au site, ce qui compromet l’ensemble du rapport SAT. Les réseaux qui restent instables pendant la période prévue pour le SAT doivent donner lieu à une suspension officielle accompagnée d’une évaluation des risques documentée, et non à un test partiel qui se poursuit en espérant que le problème en suspens se résolve de lui-même.

Q : Que faut-il faire immédiatement après la validation du SAT ? Le protocole IQ peut-il être lancé le jour même ?
R : La mise en service (IQ) ne peut débuter le jour même que si toutes les interfaces critiques pour le confinement sont officiellement clôturées sans point en suspens, ou si tout point en suspens fait l’objet d’une évaluation des risques documentée et acceptée à la fois par le responsable de la biosécurité et le responsable de l’assurance qualité, avec un délai de résolution défini et une suspension correspondante de la mise en service (IQ) pour les activités dépendantes. Dans la pratique, la procédure la plus sûre consiste à procéder à un bref examen structuré du compte-rendu SAT avant de lancer la mise en service (IQ) — notamment pour vérifier que la mise en correspondance des signaux du système de gestion de la biosécurité (BMS), la séquence de verrouillage des portes et la confirmation de l’alimentation de secours sont toutes en état « clôturé ». Lancer la qualification de l’instrumentation (IQ) avec des points SAT non résolus transforme chaque anomalie de qualification opérationnelle (OQ) ultérieure en un problème d’attribution susceptible d’imposer une requalification à la fois de l’équipement et du site.

Q : La portée du SAT est-elle réduite lorsqu'on utilise un système de laboratoire modulaire de niveau BSL-3/4, étant donné qu'une grande partie de l'intégration est déterminée par la conception des modules ?
R : Le champ d'application se restreint pour les interfaces entre modules internes, mais ne diminue pas pour les points de raccordement au site. Les systèmes modulaires contrôlent la conformité des matériaux de construction et une partie du acheminement interne des réseaux, ce qui réduit certaines conditions de mise en service — mais le raccordement des conduits d’évacuation, la qualité de l’alimentation des réseaux au niveau de l’interface, le câblage des signaux du système de gestion technique du bâtiment (GTB) entre le module et le système de l’installation, ainsi que l’intégration du contrôle d’accès à l’infrastructure du site nécessitent tous la même vérification une fois installés que pour une pièce construite de manière traditionnelle. La limite entre ce qui relève de la responsabilité du fournisseur du module et ce qui relève de celle de l’équipe du site à chaque interface doit être définie dans le protocole SAT avant le début des essais, et non déterminée par supposition le jour des essais.

Q : En quoi le SAT d'un ensemble BSL-3/4 diffère-t-il de la certification des locaux que l'équipe de mise en service des systèmes CVC a peut-être déjà réalisée ? Y a-t-il des recoupements pouvant permettre de réduire le périmètre du SAT ?
R : La certification de la salle et les essais SAT des équipements répondent à des questions différentes et ne se substituent pas l’un à l’autre. La mise en service du système CVC confirme que le système de traitement de l’air de la salle respecte les spécifications de conception dans un état inoccupé et non équipé. Le SAT confirme que l’ensemble des équipements installés — y compris le raccordement d’évacuation du BSC, les verrouillages de portes, le transfert de signaux vers le BMS et le contrôle d’accès — fonctionne correctement dans les conditions réelles d’exploitation de la salle telles qu’elles ont été définies lors de la mise en service. Les effets d’interaction entre les deux systèmes, tels que le comportement du raccord en manchon de la chambre blanche (BSC) en cas de fluctuations du système CVC ou la synchronisation des verrouillages de porte sous les charges réelles d’actionnement des joints pneumatiques, ne sont observables qu’après l’installation des équipements et ne sont pas pris en compte par les seuls rapports de mise en service du système CVC.

Q : À partir de quel moment le report d'une tâche en suspens du SAT devient-il un risque réglementaire plutôt qu'un simple risque lié à la gestion de projet ?
R : Le seuil est atteint lorsque l’élément non résolu concerne une interface critique pour le confinement — mappage des signaux d’alarme du système de gestion du bâtiment (BMS), séquence de verrouillage des portes ou continuité de l’alimentation de secours — et que la qualification de l’instrument (IQ) se poursuit sans évaluation des risques officiellement acceptée couvrant cette lacune. À ce stade, les dossiers IQ et OQ en aval ne peuvent pas démontrer que l’équipement a été qualifié dans un environnement de confinement vérifié, ce qui est précisément la question que poseront les examinateurs réglementaires et les organismes de surveillance des agents sélectionnés lorsqu’ils examineront le dossier de validation. Un point reporté accompagné d’une évaluation des risques documentée, de l’acceptation par le responsable de la biosécurité et d’une date limite de résolution définie reste un risque pour la gestion du projet. Le même élément reporté sans explication, avec pour seule preuve une page de validation SAT, devient un risque réglementaire pouvant nécessiter une nouvelle qualification pour être résolu.