Collautazione dell'adeguamento BSL-3/4: collaudo delle interfacce di contenimento modificate

Un intervento di retrofit all’interno di una struttura BSL-3 o BSL-4 raramente si limita al componente che è stato fisicamente toccato. Prima che un team di progetto possa decidere cosa testare, deve stabilire cosa sia effettivamente cambiato — ed è proprio questa questione dei confini, non il metodo di prova in sé, a determinare se il lavoro di collaudo sia giustificabile. Errare nella definizione di tale confine in entrambe le direzioni comporta un costo reale: se troppo ristretto, un’interfaccia non testata torna in servizio con una funzione di contenimento non verificata; se troppo ampio, il progetto sottopone a nuovi test sistemi che non sono mai stati modificati.

I limiti del retrofit devono includere modifiche sia fisiche che funzionali

L'adeguamento di un sistema di contenimento raramente consiste in un'azione isolata. Gli interventi su un'interfaccia spesso si ripercuotono su altre che condividono un collegamento fisico o una dipendenza funzionale, anche quando nessuno aveva previsto tale risultato. A passaggio di cavi o fili L’aggiunta di una parete di contenimento costituisce una modifica fisica, ma può anche rappresentare una modifica funzionale se altera il differenziale di pressione attraverso la barriera che attraversa. Un aggiornamento della logica di controllo collegato a una porta o a una camera di compensazione costituisce una modifica funzionale anche se non è stato sostituito alcun componente hardware. Il primo compito del team di progetto non è quello di effettuare test, bensì di individuare quali confini fisici e quali relazioni funzionali siano stati alterati dai lavori di adeguamento, indipendentemente da quanto minimo potesse sembrare l’intervento in quel momento.

Questo è importante perché le prestazioni di contenimento sono relazionali. Una penetrazione, una zona di pressione, un percorso di scarico, un punto di controllo, un allacciamento di servizio e un’interfaccia di scarico non funzionano in modo indipendente; ciascuno dipende dal fatto che gli altri mantengano lo stato per cui sono stati progettati. Laddove un intervento di ristrutturazione modifichi uno di questi elementi, il confine di “ciò che è cambiato” deve estendersi a ogni funzione che dipende dalla condizione alterata, non solo al componente che è stato fisicamente aperto o sostituito. Una modifica della zona di pressione determinata da una nuova penetrazione è una conseguenza funzionale di un’azione fisica, ed entrambe devono rientrare nello stesso confine di accettabilità.

La conseguenza pratica per la pianificazione del progetto è che il confine del cambiamento deve essere definito prima della stesura dell’elenco dei test, e non derivato da esso. Se il team inizia chiedendosi “quali test eseguiamo normalmente dopo questo tipo di intervento”, rischia di testare solo la modifica fisica evidente e di trascurare le conseguenze funzionali che si ripercuotono su tutto il sistema. Se invece inizia chiedendosi “quali interfacce — penetrazioni, zone di pressione, percorsi di scarico, controlli, servizi, apparecchiature di trasferimento, interfacce di smaltimento — sono state alterate, fisicamente o funzionalmente, da questa ristrutturazione”, l’elenco dei test deriva da un confine basato su prove concrete piuttosto che dall’abitudine.

Quando l’adeguamento è limitato a un singolo componente ben isolato e privo di dipendenze condivise, il perimetro rimane ristretto e il lavoro di accettazione rimane mirato. Quando l’adeguamento interessa un’utilità condivisa, un sistema di controllo condiviso o una funzione con elementi dipendenti a valle, il perimetro deve espandersi per includere tali elementi dipendenti, anche se questi ultimi non sono stati fisicamente modificati. Verificare quale delle due condizioni si applica è la prima valutazione che il team di progetto deve effettuare, e deve essere effettuata in modo esplicito, senza darla per scontata in base all’ambito dell’ordine di lavoro di manutenzione.

Le prove esistenti rimangono utilizzabili solo per configurazioni immutate

I registri relativi alla qualificazione e alla messa in servizio, redatti al momento della costruzione originaria dell’impianto o di una precedente ristrutturazione, costituiscono la prova di una configurazione specifica in un determinato momento. Tale prova rimane valida solo fintantoché la configurazione che descrive rimane invariata. La questione relativa all’accettazione della ristrutturazione non riguarda l’adeguatezza della prova precedente al momento della sua produzione — che quasi certamente era adeguata —, bensì il fatto che la configurazione da essa descritta esista ancora dopo i lavori attuali.

È qui che l’accettazione di un intervento di ristrutturazione differisce dalla messa in servizio di un nuovo edificio. In un nuovo edificio, tutta la documentazione viene redatta in base alla configurazione finale, così come realizzata. In un intervento di ristrutturazione, il progetto si trova di fronte a una situazione mista: alcuni sistemi rimangono invariati, altri sono stati modificati direttamente e altri ancora si collocano in una via di mezzo — non modificati direttamente, ma adiacenti o dipendenti da qualcosa che lo è stato. Il team di progetto deve classificare ogni sistema in una di queste categorie prima di decidere quale documentazione sia applicabile.

La categoria più complessa è la terza. Un’interfaccia modificata può invalidare un risultato adiacente anche se il sistema adiacente non è mai stato aperto, poiché la qualificazione precedente del sistema adiacente presupponeva una condizione — un rapporto di pressione, un percorso del flusso d’aria, uno stato di controllo — che l’adeguamento potrebbe aver alterato. Riportare un record di qualificazione senza rivalutare se il presupposto sottostante sia ancora valido equivale a trattare le prove ereditate come se fossero auto-rinnovabili, cosa che non sono.

Laddove la corrispondenza configurativa tra lo stato “as-built” dell’adeguamento e lo stato descritto nel documento di qualificazione sia chiara e immutata, il documento esistente può fungere da riferimento e non è necessario ripeterlo. Laddove tale corrispondenza non sia chiara — ovvero laddove il team non sia in grado di confermare se l’adeguamento abbia influito su un presupposto su cui si basavano le prove precedenti — l’approccio più corretto consiste nel considerare l’applicabilità come una questione aperta e mantenere la relativa funzione all’interno dei confini della revisione fino a quando non venga stabilita la relazione, piuttosto che ricorrere automaticamente all’accettazione completa o a una nuova verifica completa. Si tratta di una questione di disciplina documentale tanto quanto tecnica: il pacchetto di accettazione della modifica deve dimostrare, per ogni documento ereditato, perché è stato giudicato ancora applicabile, non semplicemente che esiste.

Le penetrazioni, le guarnizioni e le relazioni di pressione richiedono controlli mirati

Una volta definito il confine di modifica, le attività di collaudo devono fornire prove che corrispondano a ciascuna interfaccia specifica, anziché un test generico applicato in modo uniforme in tutta la struttura. I passaggi, le guarnizioni e i rapporti di pressione si comportano in modo diverso l’uno dall’altro, e le prove che attestano le prestazioni di uno non sono trasferibili agli altri.

Un passaggio a muro — per cavi, fili o altri passaggi di servizi — viene valutato tramite ispezione e collaudo di quella specifica guarnizione dopo la modifica o la riparazione che l’ha interessata. Ciò fornisce prove relative a tale punto di penetrazione e alla sua tenuta; non stabilisce tuttavia un livello di tenuta per l’intero locale né un limite universale, e non fornisce indicazioni sulle condizioni di altri punti di penetrazione presenti nella stessa parete che non sono stati modificati. Laddove una struttura utilizzi un’apertura dedicata per cavi e fili, come nel caso di un Dispositivo di penetrazione di tipo Vacu-Pass, il controllo mirato riguarda quella specifica porta e la relativa interfaccia di tenuta, non l'intero gruppo murario.

A interfaccia porta con tenuta pneumatica comporta una propria e specifica esigenza di verifica. Laddove un è stata sostituita la guarnizione della porta oppure è stato effettuato un aggiornamento del sistema di controllo Se è stato modificato il funzionamento dei dispositivi di interblocco o degli allarmi della porta, il controllo mirato deve riguardare il sigillo stesso e qualsiasi funzione di allarme o interblocco collegata al nuovo stato di tale sigillo. Questa prova attesta il funzionamento dell’interfaccia della porta; non sono considerati validi i sistemi rimasti invariati in altre parti della stessa camera di compensazione o della stessa suite, anche se tali sistemi condividono la stessa piattaforma di controllo.

Una relazione di pressione tra due zone richiede una verifica del flusso d’aria direzionale specifica per quella relazione. Ciò è distinto sia dalla verifica della penetrazione che da quella delle porte, poiché una relazione di pressione è una condizione dinamica a livello di sistema piuttosto che una condizione statica di tenuta — dipende dal fatto che il percorso di scarico, il bilanciamento dell’alimentazione e lo stato delle porte si comportino tutti come previsto contemporaneamente. La verifica della relazione per una coppia di zone interessate costituisce una prova valida per quella coppia; non dice nulla riguardo a una coppia di zone adiacenti non interessate, anche nel caso in cui entrambe le coppie condividano lo stesso ramo di scarico a monte.

L'implicazione pratica è che un piano di collaudo di un intervento di adeguamento non può basarsi su un unico tipo di prova per coprire più categorie di interfaccia. Laddove l'intervento di adeguamento abbia interessato contemporaneamente una penetrazione, una guarnizione di porta e un rapporto di pressione, il progetto richiede tre serie distinte di prove, ciascuna relativa alla propria interfaccia, con i limiti di ciascun risultato indicati in modo sufficientemente chiaro da non poter essere successivamente interpretati come se coprissero più di quanto effettivamente coprano.

I comandi e i dispositivi di interblocco richiedono test in tutti i nuovi stati dell'interfaccia

I comandi e i dispositivi di interblocco presentano una sfida di accettazione diversa rispetto alle guarnizioni o alle zone di pressione, poiché la loro funzione è definita dal comportamento in diversi stati piuttosto che da una singola condizione statica. Un sistema di controllo o un dispositivo di interblocco che supera un controllo in uno stato specifico — porta chiusa, sistema a riposo, pressione di esercizio normale — non ha dimostrato di funzionare correttamente in tutti gli stati che l’adeguamento potrebbe aver introdotto o modificato.

Laddove un intervento di retrofit modifichi una configurazione di controllo o la logica sottostante, la logica nuova o modificata deve essere testata in ogni stato dell’interfaccia che essa governa, non solo nello stato che risulta più comodo da testare. Un interblocco di porta collegato a un differenziale di pressione, ad esempio, ha un intento progettuale che abbraccia almeno lo stato normale, lo stato di transizione e qualsiasi stato di guasto o di allarme. Se viene verificato solo lo stato normale, il lavoro di collaudo dell’adeguamento avrà confermato che la porta si comporta correttamente quando non c’è nulla che non va, ovvero lo stato meno idoneo a rivelare un errore indotto dalla modifica.

Ciò è particolarmente importante quando l’adeguamento consiste in un aggiornamento della logica di controllo piuttosto che in una sostituzione hardware. Una modifica alla logica può alterare il modo in cui viene valutata una condizione di allarme, come un interblocco risponde a una condizione limite o come due circuiti di controllo, precedentemente indipendenti, interagiscono ora tra loro, senza alcun cambiamento fisico visibile. Poiché la modifica è invisibile a livello hardware, l’unico modo per confermare che il sistema si comporti come previsto è sottoporlo a ciascuno degli stati che la nuova logica è destinata a gestire e verificare che la risposta corrisponda al progetto previsto, inclusi gli stati che rappresentano una deviazione o una condizione di ripristino piuttosto che un funzionamento in regime stazionario.

Il giudizio del team di progetto in questo caso consiste nell’identificare, per ogni comando o interblocco modificato, l’insieme completo degli stati che l’adeguamento ha introdotto o alterato — non solo gli stati previsti dal progetto originale, ma anche qualsiasi nuovo stato creato dall’adeguamento stesso — e confermare che ogni stato produca la risposta prevista. Laddove l’adeguamento abbia modificato una piattaforma di controllo condivisa, tale obbligo si estende a ogni funzione di interblocco o di allarme gestita da tale piattaforma, anche nel caso in cui solo una funzione specifica fosse l’oggetto previsto della modifica.

Eventuali riparazioni o variazioni possono ampliare l'ambito della nuova verifica

I test di accettazione stessi possono fornire nuove informazioni che modificano l'ambito di ciò che deve ancora essere verificato. Una discrepanza riscontrata durante la verifica, oppure un riparazione effettuata su un'interfaccia A seguito di tale verifica, non si tratta di un evento concluso una volta risolto il problema immediato, bensì di un fattore scatenante che richiede al team di progetto di riconsiderare se i limiti originari del test descrivano ancora l’intero ambito di ciò che necessita di prove.

Una deviazione durante la verifica implica che la funzione interessata non presenti più un risultato qualificato per la configurazione sottoposta a test. Ciò è ben distinto da un test andato a buon fine senza deviazioni: una volta che si verifica una deviazione, la funzione rimane in uno stato irrisolto fino a quando non viene sottoposta nuovamente a test con esito positivo oppure la deviazione viene altrimenti risolta e documentata. Una riparazione eseguita su un'interfaccia interessata modifica la configurazione stessa: il sistema dopo la riparazione non è lo stesso descritto nelle prove precedenti, anche se la riparazione era intesa a ripristinare l’intento progettuale originale, poiché lo stato “as-built” è cambiato nel processo per raggiungerlo.

Il caso più rilevante è quello in cui una modifica o una riparazione riveli che un risultato adiacente, precedentemente ritenuto non interessato, potrebbe non essere più applicabile. Ciò si ricollega direttamente alle questioni relative ai confini e all’applicabilità delle prove sollevate in precedenza: una riparazione su un’interfaccia può invalidare l’ipotesi su cui si basava un record di qualificazione adiacente, anche se il sistema adiacente non è mai stato direttamente interessato dall’adeguamento o dalla riparazione. Riconoscere questo aspetto richiede che il team di progetto consideri ogni deviazione e riparazione come uno spunto per riesaminare i confini, non semplicemente per correggere il problema immediato e andare avanti.

Le funzioni di manutenzione o di decontaminazione e ripristino meritano lo stesso trattamento nei casi in cui l’adeguamento le abbia interessate. Una funzione di ripristino — ovvero la capacità del sistema di tornare allo stato di contenimento previsto dopo un intervento di manutenzione o decontaminazione — fa parte del confine funzionale che l’intervento di retrofit potrebbe aver alterato, anche se non è la prima funzione che un team pensa di testare. Laddove l’intervento di retrofit abbia modificato un’interfaccia relativa al ripristino, la funzione di ripristino stessa deve essere verificata in base al rischio interessato, registrando la configurazione e le prove risultanti insieme al resto del pacchetto di accettazione.

I registri delle versioni devono distinguere le modifiche testate dai sistemi non modificati

Il giudizio finale in un collaudo di adeguamento a standard BSL-3/4 non è dato dal risultato di un test, bensì dal modo in cui il verbale di collaudo illustra la relazione tra ciò che è stato testato e ciò che non lo è stato. Un verbale di collaudo che si limiti ad affermare che la struttura ha superato i test di collaudo, senza distinguere le modifiche testate dai sistemi non modificati, crea una lacuna nella documentazione che il proprietario della struttura si ritrova a dover gestire a tempo indeterminato: chiunque legga quel verbale in un secondo momento non avrà modo di sapere quali sistemi siano effettivamente coperti dalle nuove prove.

Il verbale deve identificare esplicitamente la configurazione testata e i limiti della modifica, in modo che chiunque lo esamini in seguito comprenda esattamente quale ambito fisico e funzionale sia stato oggetto dei lavori di accettazione dell’adeguamento. Deve elencare le interfacce e le funzioni specifiche effettivamente verificate — le penetrazioni, le guarnizioni, i rapporti di pressione, i percorsi di scarico, i comandi, gli allarmi, gli interblocchi o le funzioni di ripristino che sono stati sottoposti a controlli mirati — piuttosto che descrivere il lavoro in termini generici che potrebbero essere interpretati come più ampi di quanto effettivamente svolto. Deve indicare quali precedenti documenti di qualificazione sono stati conservati come prove di riferimento e per quali configurazioni invariate tali prove rimangono applicabili, in modo che la distinzione tra nuovi test e prove ereditate sia tracciabile anziché implicita.

Qualora durante il processo di accettazione si sia verificata una deviazione o una correzione, il verbale deve indicare come tale evento sia stato risolto e quali prove siano state prodotte in seguito, in modo che un revisore successivo possa comprendere come si sia giunti all’ambito di prova finale, anziché presumere che il piano originale sia stato eseguito senza eccezioni. Infine, il verbale deve identificare i sistemi che esulano del tutto dai confini della modifica sottoposta a test — sistemi che l’adeguamento non ha interessato, né fisicamente né funzionalmente — in modo che il rilascio non possa essere successivamente interpretato erroneamente come una nuova prova di accettazione per quei sistemi non interessati.

Questa struttura va a vantaggio degli interessi a lungo termine del proprietario della struttura più che del progetto di retrofit immediato: un futuro retrofit, audit o ispezione dipenderà dalla capacità di distinguere, sulla base della sola documentazione, quali sistemi contengono prove attualmente applicabili e quali contengono prove relative a una configurazione precedente che potrebbe non essere più valida. Laddove un progetto fornisca a QUALIA i dettagli della configurazione della ristrutturazione, le interfacce interessate e la base di rischio nell’ambito di un preventivo o di una revisione del progetto, sono proprio quelle stesse informazioni di delimitazione a consentire l’utilizzo di apparecchiature quali porte APR, porte per cavi e connettori, o componenti per la filtrazione in situ da configurare e documentare in base all'effettivo ambito della modifica, anziché in base a un'ipotesi generica su ciò che comportava l'adeguamento.

Domande frequenti

Q: Ogni intervento di adeguamento alle norme BSL-3/4 richiede che l'intera struttura venga sottoposta a nuovi test?
A: L'ambito di accettazione dovrebbe partire dai confini delle modifiche fisiche e funzionali, per poi estendersi ovunque un'interfaccia modificata possa invalidare le prove relative a una funzione collegata. I sistemi non modificati possono rimanere al di fuori del nuovo ambito di test solo se la loro configurazione è rimasta invariata e le prove esistenti continuano ad essere applicabili.

Q: Quali informazioni relative al progetto è necessario raccogliere prima di finalizzare il piano di collaudo dell'intervento di riqualificazione?
A: Documentare la configurazione modificata, i punti di penetrazione interessati, i rapporti di pressione, i percorsi di scarico, i sistemi di controllo, i servizi ausiliari, le apparecchiature di trasferimento e le interfacce di smaltimento, insieme ai registri di qualificazione proposti come riferimento. Identificare inoltre le deviazioni note, le riparazioni, gli interventi di manutenzione e le attività di ripristino, in modo da poter valutare il loro effetto sui confini della prova prima del rilascio.

Q: È possibile riutilizzare un record di qualifica precedente dopo una modifica all’interfaccia adiacente?
A: Solo dopo aver verificato che la configurazione registrata sia rimasta invariata e che le prove siano ancora valide. Se l’interfaccia modificata può influire sul risultato precedente, mantenere tale funzione collegata entro i limiti della revisione fino a quando non ne sia stata stabilita l’applicabilità o non sia stata nuovamente verificata.

Q: Il superamento del test su una penetrazione del cavo o su una guarnizione della porta modificata implica l'idoneità del sistema di contenimento circostante?
A: Fornisce prove relative alla penetrazione interessata, alla tenuta e a qualsiasi altra funzione effettivamente sottoposta a prova, quali ad esempio un allarme, un interblocco o una relazione di pressione interessati. Non deve essere considerato come prova di accettazione per le zone adiacenti non interessate né come prova di un limite universale di tenuta del locale.

Q: Quando è opportuno ampliare l'ambito della nuova verifica durante le attività di collaudo?
A: Espanderlo quando una deviazione, una riparazione, una modifica dell’interfaccia o uno stato di manutenzione o di ripristino post-decontaminazione rende incerta la prova originale per un’altra funzione. Registrare l’evento, definire il nuovo confine interessato e collegare la prova di rivalidazione risultante alla configurazione finale sottoposta a test.

Q: In che modo un acquirente può confrontare i piani di accettazione proposti per l'adeguamento?
A: Verificare che ogni piano attribuisca a ciascuna interfaccia interessata la funzione e la prova che dovrà verificare, spieghi in che modo verranno esaminati i record esistenti per accertarne la continua applicabilità e definisca le modalità di gestione delle deviazioni o delle correzioni. Il pacchetto di rilascio dovrebbe inoltre distinguere tra le modifiche appena testate, le prove di riferimento conservate, le eccezioni risolte e i sistemi che non sono stati sottoposti a nuovi test.