Saracinesca di isolamento per la biosicurezza – URS: requisiti da definire

A serranda di isolamento per la biosicurezza si colloca in una fase di transizione che qualcun altro dovrà successivamente verificare sulla base di un documento che potrebbe esistere o meno con un livello di dettaglio sufficiente da risultare utile. Redigere bene quel documento, prima ancora di richiedere un preventivo al fornitore, è ciò che determina se la serranda arriverà configurata per la funzione effettivamente richiesta dal progetto o per una funzione ipotizzata dal fornitore. La differenza emerge in seguito, in fase di FAT o SAT, quando non c’è più margine per rinegoziare l’ambito di fornitura.

Scenario di contenimento e perimetro che la serranda deve proteggere

Una serranda di isolamento per la biosicurezza non ha una funzione fissa di per sé. La sua funzione deriva interamente dallo scenario di contenimento in cui è inserita, e tale scenario deve essere definito prima di avviare qualsiasi discussione relativa all’hardware. Lo stesso tipo fisico di serranda può servire un confine che, in condizioni di funzionamento normale, deve solo resistere al movimento dell’aria in una sola direzione, oppure un confine che deve anche mantenere la propria posizione contro un differenziale di pressione definito durante una condizione di anomalia, oppure un confine che deve resistere a un ciclo di decontaminazione senza perdere la propria integrità di tenuta. Si tratta di funzioni diverse e un fornitore che legga un URS che non le distingua stabilirà il prezzo in base all’interpretazione più restrittiva oppure gonfierà il preventivo con un’ipotesi che l’acquirente non ha mai confermato.

Lo stesso confine richiede la stessa precisione. “Serranda di isolamento sulla linea di scarico” indica a un fornitore dove si trova il componente in uno schema, non cosa sta isolando o da cosa. La serranda separa uno spazio confinato dalla rete di condotti che serve altre stanze? Separa uno spazio confinato dall’ambiente esterno durante una procedura specifica? È una delle numerose serrande che devono agire insieme per mantenere una cascata di pressione tra più stanze? Ciascuna di queste definizioni dei confini modifica il significato che deve assumere il termine “chiuso”, la rapidità con cui ciò deve avvenire e quali prove ne confermeranno in seguito l’effettivo raggiungimento.

È qui che la valutazione dei rischi del progetto diventa il punto di riferimento, piuttosto che una descrizione generica delle prassi di laboratorio. Una valutazione dei rischi specifica per il sito, in linea con l’approccio descritto nel Manuale di biosicurezza dei laboratori dell'OMS, è ciò che giustifica il motivo per cui un determinato confine richieda una determinata misura di controllo, ed è il documento che un revisore richiederà quando il carico di lavoro selezionato per lo smorzatore appare più o meno conservativo rispetto all’infrastruttura circostante. Laddove il progetto segua una logica di contenimento simile a quella CDC/NIH BMBL Per quanto riguarda il livello BSL-3, il ruolo della serranda può essere inteso in relazione al flusso d’aria diretto verso l’interno con monitoraggio degli accessi; laddove la logica sia simile a quella del contesto BSL-4, il ruolo può comprendere il mantenimento della depressione, l’interblocco dei ventilatori e la risposta agli allarmi. Si tratta di punti di riferimento per comprendere il tipo di funzione descritta, non di valori numerici che l’acquirente possa riportare in un capitolato d’appalto; i valori effettivi sono comunque regolati dai requisiti nazionali e specifici del progetto applicabili.

Un acquirente che definisce innanzitutto lo scenario e i limiti conferisce a ogni requisito a valle una ragion d’essere. Un acquirente che parte dal tipo di serranda e procede a ritroso si accorgerà che le specifiche tecniche (URS) si leggono come un elenco di componenti, e sono proprio gli elenchi di componenti a generare quelle eccezioni nelle offerte che emergono solo al momento dell’ispezione.

Portata d’aria, pressione e perdite in base alla modalità di funzionamento

Una volta definito il limite, il comportamento dello smorzatore deve essere specificato modalità per modalità, poiché uno smorzatore che funziona correttamente in condizioni di funzionamento normale risponde a un problema ingegneristico diverso rispetto a uno smorzatore che funziona correttamente durante un guasto o un evento di decontaminazione. La fusione di queste modalità in un’unica linea di prestazione rappresenta una delle discrepanze più comuni tra ciò che un URS implica e ciò su cui un fornitore può effettivamente presentare un’offerta con sicurezza.

La funzione operativa relativa al flusso d’aria descrive ciò che la serranda fa mentre l’ambiente si trova nelle condizioni operative previste — modulando, limitando o mantenendo una posizione che supporti il modello di flusso d’aria progettato. La funzione di chiusura descrive qualcosa di strutturalmente diverso: la capacità di chiudersi completamente e di resistere a una determinata condizione di pressione, il che rappresenta un requisito meccanico e di tenuta piuttosto che un requisito di controllo del flusso d’aria. Una serranda selezionata esclusivamente in base alle sue prestazioni di modulazione del flusso d’aria potrebbe non essere stata valutata affatto in relazione alla pressione di chiusura che dovrà mantenere durante un evento di isolamento, e tale lacuna non emergerà finché qualcuno non proverà a verificarla.

A ciò si aggiunge la questione delle perdite. Un tasso di perdita è significativo solo se associato a un differenziale di pressione specificato, a un metodo di prova definito e a un valore di accettazione prestabilito — elementi che non esistono in forma generica. Se l’URS indica un valore di perdita previsto senza collegarlo alle condizioni in cui si applica, il fornitore non ha alcuna base su cui proporre un progetto di tenuta e l’acquirente non ha alcuna base su cui accettare o rifiutare quanto gli viene presentato.

Anche il requisito di decontaminazione costituisce una condizione a sé stante. Il fatto che una serranda mantenga le proprie prestazioni meccaniche e di tenuta a temperature e livelli di umidità di esercizio normali non garantisce che mantenga tali prestazioni in qualsiasi condizione di decontaminazione prevista dal progetto: potrebbero infatti entrare in gioco una diversa compatibilità dei materiali e un diverso comportamento delle guarnizioni. Laddove l’esposizione alla decontaminazione faccia parte del ciclo di contenimento del progetto, tale esposizione deve essere oggetto di una condizione specificata nell’URS, distinta dalla linea relativa al flusso d’aria di esercizio.

Le modalità di guasto completano il quadro e ciascuna di esse richiede un requisito specifico, anziché una generica indicazione di “sicurezza in caso di guasto”. La perdita della forza di azionamento, la perdita del segnale di controllo e la perdita della fonte di alimentazione da cui dipende l’ammortizzatore possono richiedere ciascuna una risposta diversa; un URS che le raggruppi in un’unica linea di guasto lascia al fornitore il compito di decidere per quale tipo di guasto sia effettivamente progettata quella singola risposta.

Azionamento, condizioni di guasto, allarmi e interfacce di controllo

I requisiti dell’interfaccia di controllo riguardano i casi in cui un URS chiude le aperture lasciate nelle sezioni relative al flusso d’aria e alla pressione oppure le riapre. Lo stato di guasto di una serranda assume significato solo una volta che la fonte di comando, il percorso di retroazione e la logica di interblocco ad essa correlata sono stati definiti congiuntamente, poiché il comportamento in stato di guasto è una proprietà del sistema, non una proprietà della serranda da sola.

La fonte del comando deve essere esplicita: se la serranda è posizionata da un sistema di controllo in condizioni normali, da un segnale locale o indipendente in caso di allarme, oppure da una combinazione in cui una fonte può prevalere sull’altra. Laddove la fonte del comando sia ambigua, il requisito relativo alla posizione di sicurezza in caso di guasto diventa non verificabile, poiché non vi è modo di confermare quale percorso di comando debba essere in vigore al momento del guasto.

La posizione di sicurezza deve essere specificata per ciascuna condizione di guasto, non come un’unica istruzione generica, poiché la posizione che garantisce il rispetto del limite durante un guasto (ad esempio, la perdita di alimentazione) potrebbe non essere la stessa che lo garantisce durante un altro (come la perdita di aria di servizio, nel caso in cui la serranda dipenda da tale aria per azionarsi). Un meccanismo a ritorno a molla che chiude la serranda in caso di interruzione di alimentazione si comporta in modo diverso da un meccanismo che dipende dalla pressione dell’aria accumulata o di servizio per muoversi, e il progetto deve specificare quale condizione di interruzione dei servizi si applica e quale posizione è richiesta in risposta a ciascuna di esse.

Il feedback di posizione e gli allarmi costituiscono il livello che trasforma un requisito relativo allo stato di guasto in qualcosa che un sistema di controllo, e successivamente un team di messa in servizio, possa effettivamente verificare. Una serranda che è specificata per fallire in posizione chiusa ma che non dispone di feedback di posizione non offre all’operatore alcun modo per confermare che ciò sia avvenuto. Le condizioni di allarme devono essere definite individualmente — perdita del segnale di feedback, discrepanza di posizione, guasto dell’interblocco — poiché ciascuna rappresenta un evento diverso che un operatore o un sistema di controllo deve distinguere e a cui deve rispondere in modo diverso.

I sistemi di interblocco collegano il comportamento della serranda a quello di altre apparecchiature presenti sullo stesso confine; laddove più serrande o componenti di trattamento dell’aria condividono un confine di contenimento, la logica di interblocco impedisce che l’azione di isolamento di un componente crei una condizione di pressione indesiderata in un altro punto. È qui che il contenuto circostante su URS per apparecchiature ad alto livello di contenimento diventa un presupposto fondamentale, poiché la definizione dell’interfaccia di controllo è uno degli ambiti in cui gli acquirenti che non hanno esaminato l’intera serie di requisiti prima di emettere un URS tendono a lasciare al fornitore il maggior margine di interpretazione.

Requisiti relativi alla decontaminazione, all'accesso e alla manutenzione

I requisiti di decontaminazione, accesso e manutenzione di una serranda sono l’ambito in cui l’URS deve conciliare due obiettivi che possono andare in direzioni opposte: il confine deve rimanere intatto sia in condizioni normali che in caso di guasto, e deve comunque essere possibile ispezionare, riparare o rimettere in servizio la serranda senza compromettere lo stesso confine. Specificare solo le prestazioni di contenimento e lasciare indefinito l’accesso trasferisce al fornitore una decisione progettuale che l’acquirente potrebbe non voler assumersi.

Per “accesso per la decontaminazione” si intende definire in che modo la serranda e la rete di condotti circostante vengono portate in una condizione che consenta l’ingresso in sicurezza o la rimozione dei componenti, nonché quali condizioni confermino che tale fase sia stata completata prima di procedere all’accesso. Si tratta di una sequenza specifica per il progetto, legata allo scenario di contenimento già definito, non di una fase generica di pulizia; un URS che la tratti come un elemento secondario costringe il fornitore a indovinare quale metodo di accesso sia effettivamente supportato dalla struttura circostante.

L’accesso per la manutenzione solleva una questione correlata ma distinta: se la serranda possa essere sottoposta a manutenzione dall’esterno dello spazio confinato, o se la manutenzione richieda l’ingresso al suo interno, e se i componenti soggetti a usura — guarnizioni, attuatori, dispositivi di retroazione — possano essere raggiunti senza violare il confine stesso. Laddove lo scenario di contenimento sia più severo, la preferenza tende verso approcci di manutenzione che evitino l’ingresso; laddove il confine e la valutazione dei rischi lo consentano, la manutenzione all’interno dello spazio può essere accettabile. Si tratta di un compromesso progettuale che l’acquirente dovrebbe risolvere in modo consapevole, piuttosto che lasciare che sia la configurazione predefinita del fornitore a decidere.

Il controllo del ripristino del servizio chiude il ciclo: dopo qualsiasi intervento di accesso o manutenzione, è necessario verificare nuovamente quali elementi prima che il confine possa essere considerato ripristinato. Se l’URS non lo specifica, il progetto non dispone di un criterio definito per riconfermare le prestazioni della serranda dopo un intervento, il che crea un divario tra “manutenzione effettuata” e “verifica completata”, che deve essere colmato affinché l’impianto sia pronto per l’ispezione.

FAT, SAT, documentazione e risultati finali di accettazione tracciabili

Ogni requisito definito nelle sezioni precedenti ha valore solo se è possibile risalire a un elemento che ne confermi il rispetto. Un URS funge da punto di riferimento per l’intero ciclo di vita ai fini di tale conferma, in linea con il quadro di qualificazione descritto in EudraLex Volume 4 Allegato 15, dove l’URS rimane il punto di riferimento rispetto al quale vengono verificate le successive attività di accettazione, anche se le fasi precise e i criteri di accettazione variano a seconda del progetto.

La revisione delle offerte è il primo momento in cui questa tracciabilità dimostra il proprio valore. Laddove la proposta di un fornitore si discosta da un requisito specificato — una logica di posizione di guasto diversa, un metodo di prova di tenuta diverso, un approccio diverso all’accesso per la decontaminazione — la registrazione di tale divergenza rispetto alla riga specifica del requisito mantiene visibile l’eccezione, invece di lasciarla scomparire nel linguaggio generico della proposta. Un acquirente che valuta più offerte trae vantaggio diretto da questa struttura, poiché le informazioni di progetto presentate per la revisione consentono al processo di configurazione e preventivazione del fornitore di allinearsi al requisito effettivo, anziché a una specifica generica relativa alle serrande.

La suddivisione tra FAT e SAT segue la stessa logica. L’Allegato 15 sostiene la pratica di una FAT motivata e integrata da una SAT, il che significa che l’URS deve specificare quali requisiti vengono verificati in fabbrica, quali sono riservati alla fase di installazione e quali criteri di accettazione predefiniti si applicano in ciascuna fase. Un requisito a cui non è stata assegnata alcuna fase di accettazione è un requisito che potrebbe non essere verificato in nessuna fase, oppure verificato due volte senza che in entrambi i casi vi sia un criterio concordato.

I disegni, i calcoli e i verbali di ispezione sono i documenti finali che rendono ogni requisito verificabile indipendentemente dal test di accettazione stesso. Un requisito relativo alla pressione di chiusura deve essere supportato da un calcolo o da un verbale di prova; un requisito relativo alla posizione di sicurezza in caso di guasto richiede un disegno o un documento sulla logica di controllo che lo definisca in modo inequivocabile. Laddove la serranda di isolamento di biosicurezza è uno dei numerosi componenti che formano un confine di contenimento, mantenere intatta questa tracciabilità consente anche di coordinare le decisioni relative alla consegna e all’integrazione senza perdere di vista quale requisito ciascun risultato finale fosse destinato a soddisfare.

Domande frequenti

Q: È opportuno scegliere i componenti della serranda prima che siano stati definiti i criteri di contenimento?
A: Definire innanzitutto lo scenario di contenimento e il perimetro che la serranda deve proteggere. Successivamente, utilizzare la valutazione dei rischi specifica per il sito, i requisiti nazionali e di progetto applicabili, le modalità operative e le condizioni di guasto per valutare le proposte relative ai componenti.

Q: In che modo l'URS può facilitare la valutazione delle eccezioni relative ai fornitori?
A: Assegnare a ciascun requisito un riferimento chiaro e richiedere che le eccezioni relative alle offerte vengano registrate in relazione a tale requisito. Ciò consente al team di progetto di individuare quali impegni relativi a contenimento, controllo, documentazione o risultati finali richiedano una risoluzione specifica prima dell’accettazione.

Q: È possibile che un'unica istruzione di gestione degli errori copra tutti i guasti relativi alle funzioni o ai comandi?
A: Non dare per scontato che un’unica affermazione valga per tutti i casi. Definire la risposta richiesta per ciascuna condizione di guasto applicabile, comprese la perdita di alimentazione e la perdita di aria strumentale, e abbinarla al feedback di posizione, all’allarme, all’interblocco e alle prove di verifica richiesti.

Q: Cosa occorre definire prima di chiedere a un fornitore di occuparsi della decontaminazione e della manutenzione?
A: Indicare le condizioni di decontaminazione, i confini dell'area protetta e le condizioni di accesso e manutenzione richieste. Identificare inoltre le prove o i risultati finali che dimostreranno che ogni requisito specifico del progetto è stato soddisfatto.

Q: Come dovrebbero essere ripartiti i requisiti tra FAT e SAT?
A: Assegnare ciascun requisito applicabile a criteri di accettazione predefiniti a livello di fabbrica o di cantiere, a seconda di dove sia possibile dimostrarne la conformità. Assicurarsi che l’assegnazione sia specifica per il progetto, documentare le deviazioni e identificare i casi in cui le prove di accettazione in fabbrica, ove giustificate, debbano essere integrate da prove di accettazione in cantiere.