Ambito di integrazione BSL-3/4: cosa devono definire i committenti prima della progettazione

Un progetto BSL-3/4 non fallisce in fase di messa in servizio a causa delle prestazioni insufficienti delle apparecchiature; si blocca prima, quando la progettazione procede su un ambito di integrazione che non è mai stato completamente definito. I committenti che ritengono che la designazione BSL definisca di per sé ciò che la struttura e le apparecchiature devono fare spesso scoprono, in una fase avanzata della progettazione o durante i test integrati, che un elemento di contenimento della pressione, un percorso di trasferimento o un’interfaccia di controllo non sono mai stati assegnati a nessuno. Definire l’ambito di integrazione prima del congelamento del progetto è una decisione distinta dalla selezione delle apparecchiature e spetta al committente e al team di progetto prima che qualsiasi proposta dei fornitori possa essere valutata correttamente.

L’ambito di applicazione parte dall’attività prevista e dalla valutazione dei rischi

Il punto di partenza per definire l’ambito di integrazione non è l’etichetta del livello di contenimento, bensì il lavoro che il laboratorio è destinato a svolgere. Una designazione BSL-3 o BSL-4 descrive una categoria di contenimento; non descrive gli agenti patogeni specifici trattati, le procedure eseguite, i volumi trattati né le attrezzature che devono interfacciarsi con la sala per supportare tale lavoro in sicurezza. Due laboratori con la stessa designazione possono richiedere ambiti di integrazione sostanzialmente diversi poiché l’attività prevista differisce, e considerare la designazione come un insieme completo di requisiti tralascia la fase che determina effettivamente ciò che deve essere realizzato.

Ecco perché la valutazione dei rischi funge da input per la definizione dell’ambito di applicazione, piuttosto che da semplice esercizio di conformità a valle. Il Manuale di biosicurezza dei laboratori dell'OMS, 4a edizione, definisce la valutazione dei rischi come la base per l’adozione di controlli di biosicurezza proporzionati, il che significa che sono i risultati della valutazione — e non la sola classificazione di contenimento — a dover guidare le decisioni relative alle cascate di pressione, alle attrezzature di trasferimento, alle interfacce di decontaminazione e ai punti di monitoraggio. Laddove la valutazione del rischio identifichi specifiche vie di trasferimento, smaltimento o esposizione legate all’attività prevista, tali vie diventano elementi dell’ambito di applicazione che la progettazione deve affrontare in modo esplicito, anziché essere considerate come derivanti automaticamente da una classificazione BSL-3 o BSL-4.

La conseguenza pratica per un proprietario è la sequenzialità. Se le attività di laboratorio previste e la relativa valutazione dei rischi non sono state finalizzate, o lo sono state a un livello di dettaglio troppo generico per identificare percorsi e interfacce specifici, qualsiasi ambito di integrazione definito esclusivamente sulla base dell’etichetta BSL presenterà delle lacune che emergeranno in seguito sotto forma di modifiche progettuali non pianificate. Al contrario, laddove la valutazione dei rischi sia specifica riguardo a procedure, agenti e modalità di guasto, il proprietario può utilizzarla per verificare se un ambito di integrazione proposto sia effettivamente completo, anziché fare affidamento sulla categoria di contenimento come indicatore di completezza. Un riferimento a livello dell’OMS fornisce un supporto sintetico a questa logica, ma non sostituisce la valutazione dei rischi specifica per il sito né le norme nazionali applicabili in materia di biosicurezza, che rimangono l’autorità a cui il proprietario deve fare direttamente riferimento.

È necessario definire i confini di contenimento tra le stanze e le apparecchiature

Il contenimento non è una caratteristica di una singola stanza; è un confine continuo che deve essere tracciato attraverso ogni stanza, corridoio e attrezzatura che confina con lo spazio controllato. Cascate di pressione, i percorsi di trasferimento del personale e dei materiali, i percorsi di scarico, i percorsi dei rifiuti liquidi e le interfacce di controllo attraversano tutti i confini fisici e quelli delle attrezzature, e ogni punto di attraversamento è un luogo in cui il confine può rimanere indefinito se nessuno lo mappa deliberatamente.

L'esercizio di mappatura è importante perché il comportamento del contenimento varia a seconda di dove viene tracciato il confine: se rispetto alle apparecchiature o rispetto ai perimetri degli ambienti. Un confine di pressione tracciato solo a livello degli ambienti, ad esempio, potrebbe non tenere conto dei rapporti di pressione richiesti attraverso un Laboratorio con moduli BSL-3/BSL-4‘le transizioni interne, oppure tra apparecchiature quali le serrande di isolamento posizionate sul percorso di scarico o sulla rete di condotti e destinate a preservare la direzionalità del flusso d’aria sia in condizioni normali che in caso di guasto. Laddove il confine venga tracciato solo a livello architettonico, i punti di controllo a livello di apparecchiatura rischiano di essere considerati un problema altrui; laddove venga tracciato solo a livello di apparecchiatura, il contributo dell’involucro dell’ambiente allo stesso confine rischia di essere dato per scontato anziché verificato.

La stessa logica vale per i percorsi di trasferimento e i circuiti di smaltimento. Un percorso di trasferimento attraverso una camera di compensazione, un’interfaccia di trasferimento VHP o un circuito di smaltimento dei rifiuti liquidi verso un sistema di decontaminazione degli effluenti è forte solo quanto il suo anello più debole, e tale anello si trova spesso nel punto di incontro tra l’ambito della struttura e quello delle attrezzature. Il CDC/NIH Biosafety in Microbiological and Biomedical Laboratories (BMBL), 6a Edizione, distingue i controlli di accesso e del flusso d’aria del livello BSL-3 dalle soluzioni di ventilazione, ingresso e decontaminazione delle strutture con tute protettive del livello BSL-4, ricordando che il comportamento richiesto del confine di contenimento varia a seconda del livello di contenimento e del tipo di struttura — e che un confine definito correttamente per una configurazione non è trasferibile senza modifiche a un’altra. Il BMBL costituisce una linea guida consultiva da applicare nell’ambito della valutazione dei rischi specifica del progetto e dei requisiti normativi locali, piuttosto che come setpoint di pressione universale.

Per il proprietario, la decisione consiste nel verificare se ogni confine di pressione, percorso di trasferimento, percorso di scarico, percorso dei rifiuti liquidi e interfaccia di controllo sia stato tracciato sia tra i locali che tra le apparecchiature, senza lasciare alcun segmento implicito. Un segmento non mappato non è un’omissione di poco conto; è un confine senza un comportamento definito, che la progettazione non può chiudere finché qualcuno non lo definisca.

I servizi e i controlli richiedono proprietari di interfaccia specificati

La mappatura di un confine ne identifica l’esistenza, ma non stabilisce chi sia responsabile della sua progettazione, realizzazione o verifica. Ogni punto di interfaccia — un allacciamento di rete, un segnale di controllo, un punto di monitoraggio, una condizione di allarme — necessita di un responsabile designato prima di poter essere considerato chiuso, poiché un’interfaccia priva di responsabile tende ad essere considerata completa da una parte e in sospeso dall’altra.

Ciò assume particolare rilevanza laddove i sistemi di controllo passano dalla gestione degli edifici a livello di struttura al controllo a livello di apparecchiatura, oppure laddove un servizio come l’alimentazione elettrica, l’aria compressa o la fornitura di un mezzo di decontaminazione passa dall’infrastruttura della struttura a una specifica apparecchiatura. Se nessuno si assume la responsabilità dell’interfaccia, le specifiche su un lato del confine possono essere redatte senza fare riferimento ai requisiti effettivi dell’altro lato: un setpoint di controllo definito dal sistema dell’edificio senza conoscere le effettive caratteristiche di risposta dell’apparecchiatura, oppure un’utenza dimensionata in base al progetto della struttura senza la conferma dell’effettivo fabbisogno dell’apparecchiatura in condizioni di guasto. Il rischio non è che l’interfaccia sia errata; è che nessuno possa dire se sia corretta, poiché nessuna singola parte era responsabile di conciliare entrambe le parti.

L'individuazione di un responsabile trasforma la natura della questione in sospeso da un presupposto condiviso a una responsabilità tracciabile. Quando il responsabile è il team di progettazione della struttura, il ruolo del fornitore delle apparecchiature è quello di fornire i dati di interfaccia con sufficiente anticipo affinché la progettazione della struttura possa utilizzarli. Quando il responsabile è il fornitore delle apparecchiature, il ruolo del team della struttura è quello di confermare le condizioni di funzionamento o di controllo da cui dipendono le apparecchiature. Entrambe le soluzioni possono funzionare; ciò che non funziona è lasciare irrisolta la questione della titolarità mentre entrambe le parti procedono sulla base delle proprie supposizioni riguardo all’altra.

Il compito del titolare in questa fase non è quello di risolvere personalmente ogni interfaccia, ma di verificare che per ogni interfaccia mappata vi sia esattamente un soggetto designato responsabile della sua chiusura e che le informazioni di cui ciascuna parte ha bisogno dall’altra siano state identificate come un documento specifico o uno scambio di dati, anziché essere lasciate a un coordinamento informale.

Gli obblighi dei fornitori dovrebbero essere distinti dalle responsabilità della struttura

Una volta mappate e assegnate le interfacce, la decisione successiva riguarda chi deve fornire cosa. Si tratta di una questione diversa dalla titolarità: il titolare di un’interfaccia ne definisce l’intento progettuale, mentre la ripartizione delle responsabilità stabilisce chi si occupa di realizzare, fornire e documentare ciascuna parte di essa. I servizi di utenza degli impianti, i lavori edili e i prodotti forniti dai fornitori di attrezzature sono tre categorie distinte dell’ambito di progetto, e un progetto che non le abbia separate chiaramente rischia di revisione della proposta in cui il fornitore e il proprietario presumono entrambi che sia l’altro a farsi carico di un determinato articolo.

I servizi di utenza della struttura — energia elettrica, acqua, gas compressi, sistemi di aspirazione a livello di edificio e servizi simili — rimangono in genere a carico della struttura fino a un punto di allacciamento definito, mentre la fornitura del fornitore delle apparecchiature ha inizio a partire da quel punto. I lavori edilizi, compresi gli elementi strutturali, architettonici e di costruzione generale, di solito esulano completamente dagli obblighi del fornitore delle apparecchiature, anche quando tali lavori influiscono direttamente sul modo in cui le apparecchiature si integrano nello spazio. Gli obblighi del fornitore delle apparecchiature, una volta accettati nel pacchetto definito dal progetto, comportano una propria documentazione e requisiti relativi ai dati di interfaccia di cui la struttura ha bisogno per completare la propria progettazione attorno ad essi.

Il motivo per cui questa suddivisione deve essere esplicita anziché sottintesa è che sia le lacune che le sovrapposizioni comportano un costo in termini di tempo di coordinamento, ed entrambe possono lasciare un requisito di fatto senza un responsabile. Se un confine non è chiaro, un elemento di utilità o di interfaccia può trovarsi in uno spazio in cui ciascuna parte ha dato per scontato che fosse l’altra a esserne responsabile, emergendo solo quando l’elemento è necessario e non disponibile. Laddove la suddivisione delle responsabilità sia definita per iscritto sin dall’inizio, ciò può essere verificato prima che diventi un problema in cantiere. Si tratta del tipo di informazioni relative all’ambito specifico del progetto che vengono inserite nella revisione della configurazione o del preventivo di un fornitore: quanto più chiari sono i confini e i dati di interfaccia forniti dal committente, tanto più precisamente un fornitore può confermare cosa rientra in un pacchetto di apparecchiature proposto — ad esempio, nel caso di un laboratorio con moduli BSL-3/BSL-4, un serranda di isolamento lungo il percorso di scarico, oppure la posizione di un sistema di decontaminazione degli effluenti rispetto agli impianti di servizio e alle opere edilizie della struttura.

Ciò che il proprietario deve confermare prima di procedere con la progettazione non è solo la suddivisione in sé, ma anche i documenti e i dati di interfaccia che ciascuna parte deve scambiarsi nell’ambito di tale suddivisione: le specifiche tecniche che l’impianto deve fornire al fornitore e i dati di interfaccia che il fornitore deve restituire affinché la progettazione dell’impianto possa essere completata tenendo conto di tali informazioni.

I requisiti relativi alle prove devono essere tracciati fino alle fasi di collaudo e consegna

Un requisito accettato che non sia tracciabile attraverso le fasi di progettazione, collaudo e consegna rischia di andare perso senza che nessuno decida di eliminarlo. La definizione dell’ambito non è completa una volta concordato un requisito; è completa solo quando tale requisito rimane visibile, con le relative prove, in ogni fase successiva del progetto.

Il meccanismo è semplice: ogni fase di un progetto di contenimento produce la propria documentazione e, se tale documentazione non fa riferimento al requisito originariamente accettato, non c’è modo di confermare che il requisito sia stato effettivamente portato avanti anziché essere stato silenziosamente abbandonato durante la progettazione dettagliata. Un requisito accettato durante la definizione dell’ambito deve ricomparire nella revisione del progetto, dove la documentazione di progettazione dimostra come è stato soddisfatto; poi nuovamente nei test integrati, dove i risultati dei test dimostrano che è stato effettivamente verificato come parte del sistema integrato, anziché dare per scontato che funzionasse solo perché i singoli componenti avevano superato i propri controlli; e infine al momento della consegna, dove il pacchetto di documentazione finale mostra ancora il collegamento tra il requisito originale e il risultato del test.

Ciò che trasforma questa questione da una semplice questione di forma nella documentazione a un rischio concreto è la complessità e la durata del progetto. Quando un progetto presenta poche interfacce e tempi ridotti dalla progettazione alla consegna, un monitoraggio informale può far emergere un requisito trascurato prima che diventi rilevante. Quando invece un progetto coinvolge molte interfacce, diverse parti e tempi più lunghi, un requisito privo di una traccia documentale è molto più facile che vada perso tra una fase e l’altra, poiché nessun singolo documento riporta la cronologia completa dei motivi per cui è stato accettato e di cosa ne abbia soddisfatto i requisiti. È proprio qui che diventa rilevante la distinzione tra test a livello di impianto e test a livello di apparecchiatura: un requisito legato a un’interfaccia tra l’apparecchiatura di un fornitore e i sistemi dell’impianto necessita di prove provenienti specificatamente dai test integrati, non solo dai controlli effettuati dal fornitore stesso a livello di fabbrica, poiché è proprio il comportamento integrato che il requisito era effettivamente destinato a confermare.

Per il committente, la questione è stabilire se la documentazione relativa al progetto consenta effettivamente di stabilire, al momento della consegna, quali requisiti iniziali siano stati testati nell’ambito del sistema integrato e quali no. Laddove tale documentazione risulti incompleta, la lacuna non rappresenta un semplice inconveniente burocratico, ma solleva il dubbio se il requisito sia stato effettivamente soddisfatto.

Il “design freeze” dipende dalle interfacce chiuse e dalle esclusioni registrate

Il “design freeze” è il momento in cui il progetto si impegna a seguire una configurazione specifica e dovrebbe dipendere dalla chiusura dell’ambito di lavoro, non dal calendario. Congelare la progettazione mentre le interfacce rimangono non assegnate, le utenze non sono state separate dai prodotti finali delle apparecchiature o le catene di tracciabilità non sono state verificate non fa scomparire tali lacune; le sposta semplicemente nelle fasi di costruzione e messa in servizio, dove risolverle risulta più costoso e più difficile risalire alla loro origine.

La condizione che determina la prontezza per il congelamento è che ogni elemento indicato nella definizione dell’ambito abbia raggiunto uno stato chiuso, ovvero che abbia un confine definito, un responsabile designato e — ove pertinente — una documentazione di riferimento che lo colleghi alle attività di progettazione e collaudo. Un elemento ancora aperto dovrebbe rimanere visibilmente aperto anziché essere considerato risolto per impostazione predefinita solo perché il lavoro di progettazione lo ha superato. Ciò include le esclusioni esplicite: laddove un particolare percorso, un’interfaccia o una responsabilità siano stati deliberatamente esclusi dall’ambito del progetto corrente, tale esclusione deve essere registrata come una decisione, non lasciata a essere dedotta in seguito dall’assenza di qualsiasi documentazione al riguardo. Un’esclusione non documentata è indistinguibile, a posteriori, da un requisito trascurato.

Laddove il lavoro di laboratorio previsto e la valutazione dei rischi siano riflessi nei requisiti accettati, laddove i confini di contenimento siano mappati sia per i locali che per le apparecchiature, laddove ogni interfaccia mappata abbia un responsabile designato, laddove le responsabilità della struttura e dei fornitori siano separate con l’identificazione dei relativi dati di interfaccia, e laddove la catena di prove dall’accettazione fino ai test sia intatta, il progetto dispone di una base difendibile per il congelamento del progetto. Laddove uno qualsiasi di questi aspetti rimanga indefinito, la decisione di congelare il progetto dovrebbe considerare tale elemento specifico come in sospeso, anziché procedere partendo dal presupposto che si risolverà da sé durante la progettazione di dettaglio o la costruzione.

Questa è anche la fase in cui l’ambito relativo alle attrezzature — come i rispettivi prodotti finali per un laboratorio modulare, le serrande di contenimento sui percorsi di scarico o un sistema di decontaminazione degli effluenti — dovrebbe già rientrare in una ripartizione definita delle responsabilità con le relative interfacce definite, in modo che il coordinamento con i fornitori in fase di progettazione dettagliata o di consegna consista nel confermare un ambito già concordato piuttosto che nel rinegoziarlo.

Domande frequenti

Q: È sufficiente la classificazione BSL-3 o BSL-4 per definire l'ambito dell'integrazione?
A: No. Utilizzate le attività di laboratorio previste e la valutazione dei rischi specifica per il sito per tradurre il contesto di contenimento in requisiti di progetto, quindi verificate tali requisiti alla luce delle norme nazionali applicabili, anziché considerare la designazione BSL come una specifica completa.

Q: Cosa dovrebbe preparare un committente affinché le offerte dei fornitori possano essere confrontate su una base omogenea?
A: Preparare un documento di definizione dell’ambito comune che identifichi i confini e i percorsi di contenimento, distingua le responsabilità relative agli impianti e agli edifici dai risultati attesi dei fornitori, indichi i responsabili delle interfacce, elenchi gli scambi di informazioni richiesti e registri le esclusioni. Chiedere a ciascun fornitore di specificare in che modo la propria proposta tenga conto di tale documento e dove permangano eventuali ambiguità relative ai confini.

Q: Come va gestita un'interfaccia che abbraccia sia le apparecchiature che le strutture?
A: Assegnare all’interfaccia un responsabile designato e documentare ciò che ciascuna parte deve fornire e restituire. Ad esempio, la documentazione dovrebbe identificare i confini applicabili dei servizi o dei controlli, i documenti e i dati di interfaccia necessari da entrambe le parti, nonché le prove richieste prima che l’interfaccia possa essere chiusa.

Q: È possibile congelare il progetto mentre alcune interfacce di integrazione sono ancora irrisolte?
A: Mantenere aperto l’ambito interessato fino a quando non siano stati registrati i confini, la titolarità, lo scambio di informazioni richiesto e le esclusioni. Il congelamento di un’interfaccia irrisolta può nascondere un’omissione fino alla fase di lavori in cantiere, quando le responsabilità e le modifiche progettuali sono più difficili da gestire.

Q: In che modo i responsabili possono impedire che un requisito accettato vada perso tra la fase di progettazione e quella di consegna?
A: Assegnare al requisito un confine di ambito e un responsabile, quindi collegarlo alla documentazione prevista in sede di revisione del progetto, collaudo integrato e consegna. Prima che i lavori procedano, confermare chi produrrà ciascun documento e in che modo questo verrà ricondotto al requisito accettato.