Criteri di collaudo per l'integrazione dei sistemi BSL-3/4: pressione, filtri HEPA, camere di compensazione, VHP, EDS e sistemi di controllo

Accettare singole apparecchiature mentre il sistema di contenimento integrato non è ancora stato testato è uno degli errori più comuni e costosi nella messa in servizio dei laboratori ad alto contenimento. Un team di progetto può verificare che ogni unità HEPA, autoclave, camera di compensazione e generatore di VHP superi i controlli di fabbrica o di installazione effettuati singolarmente, e tuttavia arrivare alla messa in servizio con un comportamento della cascata di pressione non verificato, percorsi di decontaminazione mai ricondotti a risultati biologici e sequenze di interblocco in conflitto a livello di sistema. Le conseguenze a valle sono una rivalidazione sotto la pressione delle scadenze, ritardi prolungati nell’entrata in servizio e, nel peggiore dei casi, un’esposizione alla biosicurezza non rilevata dopo che la struttura è già in uso. Ciò che risolve il problema è un quadro di accettazione strutturato, interfaccia per interfaccia, che associ ogni funzione critica per il contenimento a un metodo di prova specifico, a un responsabile e a una documentazione in grado di giustificare il passaggio di consegne. Le sezioni seguenti forniscono i criteri e le soglie per valutare se il sistema è effettivamente pronto, non solo se i suoi componenti hanno superato i rispettivi controlli individuali.

Funzioni di contenimento integrate che richiedono prove di accettazione

L’accettazione a livello di apparecchiatura non equivale all’accettazione del sistema, e proprio nella differenza tra le due si nascondono i fallimenti dell’integrazione. Un’unità HEPA che supera un controllo in fabbrica, un’autoclave che completa la qualificazione del ciclo e una camera di compensazione che supera i test di logica di interblocco se considerati isolatamente possono comunque dare origine a una struttura integrata non sicura se nessuno ha verificato come tali componenti interagiscono nelle condizioni dinamiche che si verificano una volta che il laboratorio è completamente collegato e pressurizzato.

I cinque metodi di prova che, nel loro insieme, costituiscono la prova integrata del contenimento — visualizzazione del flusso d’aria, mappatura della pressione, integrità dei filtri HEPA in situ, tenuta dei locali e verifica della decontaminazione — affrontano ciascuno una diversa classe di difetti di integrazione. La visualizzazione del flusso d’aria conferma che il flusso direzionale e il contenimento ai confini siano mantenuti all’interfaccia effettiva tra un locale e l’altro, non solo in corrispondenza dello scarico delle apparecchiature. La mappatura della pressione in condizioni dinamiche rivela un’instabilità a cascata che si manifesta solo quando le zone adiacenti sono occupate simultaneamente e le porte vengono aperte e chiuse. La prova di tenuta dell’ambiente rileva fessure nell’involucro in corrispondenza dei raccordi dei condotti, dei passaggi di servizio e delle interfacce strutturali che non erano evidenti durante le prove condotte esclusivamente sulle apparecchiature. La verifica della decontaminazione chiude il ciclo confermando che l’efficacia della decontaminazione biologica sia mantenuta in tutti gli spazi collegati, non solo all’interno della camera di un singolo dispositivo.

L’implicazione fondamentale è che le lacune di integrazione rimangono sistematicamente invisibili finché le condizioni transfrontaliere non vengono testate congiuntamente. Una singola stanza può apparire a norma in termini di contenimento se considerata isolatamente, mentre presenta perdite dirette verso un corridoio adiacente di classificazione inferiore in condizioni che si verificano solo quando l’intero sistema HVAC è attivo. Il BMBL del CDC e il Manuale di biosicurezza di laboratorio dell’OMS forniscono il contesto generale del quadro di riferimento per i test, ma nessuno dei due prescrive questa sequenza di cinque metodi come protocollo fisso obbligatorio; la sequenza è un’impalcatura pratica derivata da modelli di fallimento documentati nella messa in servizio di sistemi ad alto contenimento. Accettare uno qualsiasi di questi cinque metodi come opzionale a livello di sistema dovrebbe essere considerato come lasciare il comportamento integrato non dimostrato.

Anche piccole modifiche progettuali — un collegamento dei condotti rivisto, una nuova serranda di bilanciamento dello scarico, un’apertura aggiunta per una nuova linea strumentale — possono determinare un ribilanciamento completo del contenimento che rende non validi i risultati dei test precedentemente accettati per i confini adiacenti. La prassi consolidata consiste nel considerare il quadro di riferimento dei cinque metodi di prova come un fattore che determina una nuova verifica ogni volta che cambia un confine fisico o del sistema di controllo, e non come un risultato una tantum della messa in servizio.

Prove di cascata di pressione e di flusso d’aria che collegano i locali

La cascata di pressione è la funzione integrata più sensibile in una struttura BSL-3 o BSL-4 ed è quella più soggetta a instabilità a causa di modifiche alla configurazione adiacente che, a livello di singola stanza, possono sembrare minori. L’aggiunta di un nuovo collegamento tramite corridoio, l’espansione in un modulo adiacente o persino il ribilanciamento del sistema di scarico per adattarlo a un nuovo dispositivo di scarico in una stanza possono alterare le pressioni differenziali in zone che in precedenza erano stabili e conformi ai requisiti.

Il rischio operativo prevedibile derivante da un comportamento della cascata non verificato non è trascurabile. Le zone che scivolano in relazioni differenziali errate possono generare allarmi falsi con una frequenza tale da indurre il personale a ignorarli — il che è proprio la condizione che permette a un vero evento di contenimento di passare inosservato. Più concretamente, una cascata di pressione che non sia stata testata mentre è collegata potrebbe non riuscire a mantenere la gerarchia direzionale del flusso in condizioni transitorie realistiche: cicli simultanei di apertura e chiusura delle porte nelle camere di compensazione adiacenti, variazioni della domanda di climatizzazione durante i picchi di occupazione o il cambio di stato di un singolo ventilatore di scarico.

La soglia che dovrebbe guidare la pianificazione dell’accettazione è chiara: ogni volta che un locale acquisisce o perde un collegamento fisico, ogni volta che cambia la capacità di mandata o di estrazione, e ogni volta che un nuovo dispositivo di controllo influenza la pressione differenziale in una zona, è necessario eseguire una prova integrata a cascata della pressione prima che quella zona possa essere considerata accettata. Questa non è un’interpretazione conservativa della norma: riflette il modello di guasto documentato in cui l’instabilità della zona di pressione si propaga oltre il locale modificato e viene scoperta solo quando le zone adiacenti vengono mappate insieme in condizioni dinamiche.

Per le strutture BSL-3/4, la sequenza di messa in servizio dovrebbe verificare la stabilità della cascata in presenza di transitori simultanei del flusso d’aria nel caso peggiore, non solo in condizioni di regime stazionario. La mappatura della pressione in regime stazionario dimostra che il progetto è stato realizzato; la mappatura della pressione dinamica dimostra che il contenimento regge quando la struttura viene effettivamente utilizzata. Entrambe le registrazioni dovrebbero essere disponibili prima della consegna. Per un approfondimento sui requisiti di progettazione della cascata di pressione e sull’ingegneria ACH, il Articolo sulla progettazione di impianti di climatizzazione BSL 2/3/4 fornisce il contesto tecnico di riferimento su come vengono definiti tali parametri prima dell'avvio della messa in servizio.

Prova di funzionamento del sistema di scarico HEPA e del sistema BIBO in condizioni di installazione

Le scansioni dei filtri effettuate in fabbrica e i test a livello di componenti dimostrano che un’unità HEPA era integra al momento in cui ha lasciato lo stabilimento di produzione. Tuttavia, non garantiscono che sia integra una volta installata, che le guarnizioni dell’alloggiamento siano integre dopo l’integrazione nella camera di scarico, che le sue sequenze di controllo si coordinino con la logica a cascata dell’ambiente, né che un tecnico possa sostituirla in sicurezza senza compromettere il contenimento. Ciascuna di queste questioni richiede prove relative alle condizioni di installazione e, se non verificata, presenta una modalità di guasto distinta.

La distinzione tra prove di accettazione in fabbrica e prove a sistema installato è particolarmente rilevante per gli alloggiamenti dei filtri BIBO (bag-in-bag-out) nei sistemi di scarico ad alto contenimento. Un sistema BIBO che supera la prova di pressione in fabbrica potrebbe presentare una tenuta compromessa durante l’installazione, oppure potrebbe essere stato installato in una configurazione che rende fisicamente impraticabile la procedura di sostituzione del sacchetto, dati i vincoli dello spazio effettivo dedicato alla manutenzione. I sistemi BSL-3 e BSL-4, caratterizzati da una progettazione complessa, si trovano spesso ad affrontare limitazioni di accesso che non sono state completamente risolte in fase di progettazione: corridoi di servizio ristretti da aggiunte di apparecchiature in fase avanzata, maniglie delle valvole di isolamento bloccate da modifiche ai condotti, percorsi di riparazione di emergenza che non sono stati percorsi in condizioni realistiche. Quando l’accesso per la manutenzione è inadeguato, la conseguenza pratica è che la sostituzione dei filtri viene rinviata; la manutenzione rinviata introduce una deriva delle prestazioni non verificata e il registro di contenimento per il sistema di scarico diventa insostenibile in caso di audit.

L’integrazione della logica di controllo merita un’attenzione particolare a livello di sistema. Le sequenze HEPA e BIBO programmate durante il collaudo a livello di apparecchiatura potrebbero non essere state convalidate rispetto alla logica di gestione a cascata delle sale e degli allarmi che regola il resto della struttura. Una risposta non coordinata durante una variazione della richiesta di scarico — ad esempio, un isolamento dovuto alla sostituzione di un filtro che riduce la capacità di scarico in una zona mentre la zona adiacente continua a funzionare a piena portata — può invertire temporaneamente il rapporto di pressione previsto senza attivare l’allarme che avviserebbe il personale. Verificare che le sequenze di controllo HEPA e BIBO installate funzionino correttamente all’interno del sistema integrato di automazione e sicurezza dell’edificio è un passo ben distinto dal verificare che la scansione dei filtri sia stata superata. Il sistema “Bag In Bag Out” di Qualia Bio è stato progettato tenendo conto di tale requisito relativo all'accesso per la manutenzione e alla continuità del contenimento come elemento fondamentale delle specifiche.

Camere di compensazione, dispositivi di trasferimento e zone di uscita del personale

Qualsiasi singola modifica a un confine di trasferimento — una nuova autoclave, l’installazione di un passaggio, un’apertura nella linea di effluente, una porta della camera di compensazione modificata — può potenzialmente ampliare l’ambito di ciò che deve essere rivalidato, spesso ben oltre l’elemento modificato stesso. Questo è il vincolo nascosto in termini di approvvigionamento e pianificazione che ostacola i progetti quando le richieste di modifica vengono trattate come modifiche isolate anziché come eventi a livello di sistema.

Il meccanismo non è difficile da comprendere. Un nuovo passaggio crea un’apertura fisica tra due zone. L’apertura modifica il rapporto di pressione tra tali zone, il che può influire sulla cascata tra le aree adiacenti. La sequenza di interblocco per il passaggio deve essere integrata con la logica delle porte, i sensori di presenza e i protocolli di decontaminazione per le zone collegate. Se una qualsiasi di queste dipendenze era stata precedentemente accettata partendo dal presupposto che non esistesse alcuna nuova apertura in quel punto di confine, le prove di accettazione precedenti potrebbero non essere più valide per la configurazione attuale. La stessa logica si applica alle aggiunte di autoclavi che modificano il carico termico della stanza e l’equilibrio dell’umidità, ai collegamenti delle linee di scarico che creano nuove penetrazioni della barriera di contenimento e alle modifiche alle porte delle camere di compensazione che influenzano i tempi di ripristino della pressione e la sequenza di uscita del personale.

Il criterio di pianificazione che impedisce che ciò si trasformi in una crisi di passaggio di consegne è una revisione preliminare dell’ambito di applicazione, attivata da qualsiasi modifica dei confini. Prima che una modifica venga accettata nel contratto o nell’ambito di applicazione, il team dovrebbe chiedersi: questo elemento condivide un’interfaccia con un confine di contenimento già accettato? Se sì, su quali registrazioni di test precedenti potrebbe influire e quali di tali registrazioni dovranno essere riconfermate nello stato integrato? È più rapido effettuare tale revisione prima che la modifica venga implementata piuttosto che doverla ricostruire sotto la pressione delle scadenze una volta che la struttura è già pronta per essere occupata.

I confini di uscita del personale richiedono un'ulteriore considerazione specifica. Una modifica alla porta della camera di compensazione che alteri i tempi di interblocco influisce non solo sul flusso dei materiali durante il normale funzionamento, ma anche sulla procedura di evacuazione di emergenza. Se la procedura di evacuazione è stata redatta e simulata in base a una configurazione della porta che non corrisponde più alla dotazione installata, la procedura deve essere rivista e la nuova configurazione deve essere testata in condizioni di guasto prima che la zona possa essere considerata conforme. Tale conseguenza raramente compare nell’ambito dell’ordine di modifica ed è una delle cause più frequenti di ritardi nella messa in servizio nelle fasi finali del progetto. Porte APR con guarnizioni pneumatiche di Qualia Bio Incorporano una logica di interblocco progettata per coordinarsi con i requisiti di evacuazione di emergenza e di ripristino della pressione a livello di struttura, ma i test di integrazione con i sistemi di controllo della struttura rimangono essenziali indipendentemente dalla progettazione delle apparecchiature.

VHP, EDS e verifica dello stato di funzionamento prima dell'avvio

La prontezza operativa del sistema di decontaminazione rappresenta spesso l’ultima fase fondamentale del processo di collaudo, ed è proprio in questa fase che, al momento del passaggio di consegne, la tracciabilità tra i parametri di processo e i risultati biologici risulta più frequentemente incompleta. Un generatore di VHP che ha completato la qualificazione in fabbrica ed è stato installato e collegato non equivale a un sistema VHP i cui parametri di ciclo abbiano dimostrato di raggiungere la riduzione log richiesta in ogni zona che dovrebbe trattare.

Le quattro fasi di convalida che stabiliscono l’idoneità alla decontaminazione — condizionamento pretrattamento, inattivazione ciclica, test dei residui al punto finale e tracciabilità dal processo all’esito biologico — non sono intercambiabili e non possono essere abbreviate senza lasciare lacune nel verbale di accettazione. Il condizionamento preliminare conferma che le condizioni ambientali necessarie per l’efficacia del VHP (temperatura e umidità relativa entro l’intervallo specificato) siano effettivamente raggiungibili nello spazio installato. Ciò è importante perché un locale progettato e testato senza il carico termico e di umidità completo delle apparecchiature collegate potrebbe comportarsi in modo diverso una volta che tutti i sistemi sono attivi. L’inattivazione ciclica con mappe di posizionamento degli indicatori biologici conferma che la concentrazione di VHP e il tempo di contatto raggiungono la riduzione logaritmica target nei punti più difficili dello spazio reale, non solo in un punto di riferimento vicino al generatore. Il test dei residui a fine ciclo conferma che la fase di aerazione ha portato i residui di perossido di idrogeno al di sotto del limite consentito prima che venga autorizzato l’accesso del personale. Ciascuna di queste fasi richiede registrazioni documentate che possano essere ricondotte a strumentazione calibrata e ai risultati degli indicatori biologici.

Il requisito di tracciabilità è proprio il punto in cui molti progetti non soddisfano i requisiti necessari per giustificare l’accettazione. La qualificazione standard delle prestazioni dimostra che un ciclo ha raggiunto il risultato previsto in condizioni nominali. Ciò che contraddistingue un verbale di accettazione della decontaminazione difendibile è la capacità di mostrare in che modo una deviazione nei parametri del ciclo — un’oscillazione di temperatura, un arresto anticipato del generatore, un picco di umidità — sia correlata al risultato di inattivazione per quel ciclo. Senza che tale correlazione sia stata stabilita in anticipo, qualsiasi deviazione del ciclo genera un dubbio irrisolvibile circa l’effettiva efficacia della decontaminazione. La norma ISO 35001:2019 fornisce il contesto di gestione del rischio biologico per comprendere perché tale requisito di tracciabilità elevi l’accettazione al di là della qualificazione delle prestazioni standard; la norma ISO 15714:2025 o le norme equivalenti per la convalida del processo VHP definiscono il quadro tecnico, sebbene l’applicabilità specifica dipenda dalla giurisdizione normativa.

I sistemi di decontaminazione degli effluenti (EDS) sono soggetti allo stesso requisito di tracciabilità nel flusso dei rifiuti liquidi. Un EDS pienamente operativo e con la qualificazione dell’installazione completata non è considerato un EDS accettabile se non esiste una documentazione convalidata che confermi che il ciclo di pretrattamento e inattivazione raggiunga il livello di inattivazione biologica richiesto nell’intervallo di condizioni in cui il sistema opererà effettivamente. L’integrazione del sistema di controllo — che conferma che gli interblocchi, gli allarmi e la registrazione dei dati di processo dell’EDS siano coordinati con il monitoraggio a livello di struttura — deve inoltre essere verificata nello stato integrato prima che qualsiasi struttura BSL-3 o BSL-4 possa essere considerata pronta dal punto di vista operativo.

Soglia di trasferimento per le interfacce di sistema non risolte

Il fattore più affidabile per prevedere i guasti alle interfacce al momento del passaggio di consegne è rinviare i test funzionali integrati alla fine della messa in servizio, anziché avviarli non appena i sistemi vengono interconnessi. I conflitti nelle sequenze di controllo, le lacune nel coordinamento degli allarmi e gli errori nella logica di interblocco sono sistematicamente più facili da risolvere durante la messa in servizio che al momento del passaggio di consegne — non perché i problemi siano diversi, ma perché la pressione dei tempi è minore e le parti responsabili sono ancora presenti in loco. Quando i test funzionali vengono rinviati, il risultato atteso non è che i problemi vengano evitati, bensì che essi emergano nel momento in cui risolverli comporta il massimo disagio.

Il criterio pratico per una messa in servizio integrata precoce consiste nel definire l’ambito dei test integrati contestualmente alla definizione dei programmi di collaudo dei singoli sistemi — non dopo il completamento dell’accettazione a livello di apparecchiatura. Ciò significa che i controlli HVAC, la logica PLC del sistema di decontaminazione, gli interblocchi del controllo degli accessi e la piattaforma di gestione degli allarmi dovrebbero essere tutti testati in relazione tra loro prima che il programma di messa in servizio raggiunga la sua fase finale. I conflitti nascosti nelle sequenze di controllo — come una risposta alla richiesta HVAC che sopprime un allarme di contenimento in condizioni in cui entrambi vengono attivati contemporaneamente — non sono visibili durante il collaudo a livello di apparecchiatura e si manifestano solo quando i sistemi funzionano insieme.

La soglia che estende l’ambito della convalida oltre la sala modificata viene raggiunta quando si dimostra che una modifica a un componente influisce sulla classificazione, sul flusso dei materiali o sulle procedure di emergenza di una sala adiacente. Tale soglia è condizionale, non automatica; non tutte le modifiche la superano. Tuttavia, determinare se la soglia sia stata superata richiede una revisione mirata dell’ambito di applicazione, e tale revisione dovrebbe essere completata prima della compilazione della documentazione di passaggio di consegne, non dopo che sono state individuate delle lacune durante un audit. Lo standard pratico, in linea con quanto descritto dal BMBL del CDC e dall’LBM dell’OMS come livello atteso di garanzia del contenimento, prevede che nessuna interfaccia di sistema critica per il contenimento debba figurare nel verbale di consegna come irrisolta. Una deviazione approvata, corredata da un piano di correzione documentato e da una tempistica, è giustificabile; una lacuna non documentata non lo è.

Le conseguenze a lungo termine di problemi di interfaccia irrisolti non si limitano al ritardo nell’entrata in servizio. Se un guasto di interfaccia riguarda il confine tra una zona ad alto contenimento e un’area di supporto — ad esempio una modalità di ripristino che non riesce a ristabilire la cascata di pressione dopo il ripristino dell’alimentazione elettrica, o una lacuna nell’interblocco che consente al personale di aggirare la sequenza di decontaminazione prevista — il problema costituisce un’esposizione in termini di biosicurezza, non semplicemente un inconveniente operativo. Considerare il laboratorio non pronto quando a qualsiasi percorso critico di contenimento manca un registro di collaudo integrato è lo standard che riflette questa conseguenza. Accettare una struttura con lacune note a livello di interfaccia partendo dal presupposto che saranno risolte dopo l’occupazione è una decisione di allocazione del rischio con conseguenze che vanno oltre il team di progetto.

Il principio fondamentale su cui si basa questo quadro di riferimento è la distinzione tra un impianto in cui sono stati accettati i singoli componenti e un impianto in cui è stato accettato il sistema di contenimento integrato. Non si tratta delle stesse condizioni, e confonderle è all’origine della maggior parte degli eventi di rivalidazione in fase avanzata e dei ritardi nell’entrata in servizio nei progetti ad alto contenimento. Prima di redigere qualsiasi documento di consegna, il team dovrebbe essere in grado di confermare, per ciascuna interfaccia critica ai fini del contenimento, che sia stato eseguito un test integrato, che la documentazione sia completa e tracciabile e che il responsabile abbia dato la propria approvazione. Se per una qualsiasi interfaccia manca tale documentazione, la questione non è se accettare o meno la struttura, bensì se esista una deroga approvata con un calendario di correzione documentato, oppure se siano necessari ulteriori test prima che l’occupazione venga autorizzata.

Per i progetti in fase di consegna con punti in sospeso, il passo pratico successivo è una revisione strutturata delle lacune di interfaccia che metta in relazione ogni dipendenza di sistema irrisolta con i cinque metodi di prova di contenimento, le fasi di convalida della decontaminazione e gli scenari di interblocco/ripristino. Tale revisione metterà in luce quali lacune siano di natura amministrativa — documentazione mancante per prove effettivamente completate — e quali siano sostanziali, ovvero prove integrate che erano state pianificate ma non eseguite. Solo la seconda categoria rappresenta un rischio reale per la biosicurezza, e identificarla prima dell’occupazione è esattamente l’obiettivo per cui è stato progettato un quadro di accettazione a livello di sistema.

Domande frequenti

D: Cosa succede ai protocolli di prova già approvati quando un singolo componente — come un’autoclave o un pass-through — viene aggiunto a un perimetro di contenimento già approvato?
A: I precedenti registri di accettazione relativi ai confini adiacenti potrebbero non essere più validi e dovranno essere riconfermati nello stato integrato. Un nuovo componente introduce dipendenze fisiche, di pressione e di interblocco che non esistevano al momento dell’esecuzione dei test originali; l’ambito di ciò che deve essere sottoposto a nuovi test è determinato da una revisione preliminare alla modifica che mappa ogni interfaccia che il nuovo elemento condivide con i confini di contenimento già accettati.

D: È necessario eseguire una prova integrata a cascata di pressione anche se la mappatura della pressione in regime stazionario dimostra già che gli obiettivi di progettazione sono stati raggiunti?
R: La mappatura in condizioni di regime stazionario da sola non è sufficiente ai fini dell’handover. Essa conferma che il progetto è stato realizzato in condizioni statiche, ma non dimostra che il contenimento sia garantito durante transitori realistici — come l’azionamento simultaneo delle porte nelle camere di compensazione adiacenti, i cambiamenti di stato dei ventilatori di scarico o le variazioni di picco della domanda di occupazione. Affinché una zona possa essere considerata accettata, il fascicolo di collaudo deve contenere sia i dati relativi alla pressione in condizioni di regime stazionario sia quelli relativi alla pressione dinamica.

D: In che modo un team dovrebbe gestire una deviazione dei parametri del ciclo durante la validazione del VHP, qualora non sia stata stabilita alcuna correlazione preventiva tra i parametri di processo e gli esiti biologici?
R: Senza che tale correlazione sia stata stabilita in anticipo, una deviazione solleva un dubbio irrisolvibile circa l’efficacia dell’inattivazione in quel ciclo, e la documentazione relativa al ciclo non può dimostrare la conformità ai requisiti di decontaminazione. Il quadro di tracciabilità — che collega temperatura, umidità, concentrazione e tempo di contatto ai risultati degli indicatori biologici — deve essere definito prima dell’inizio dei cicli di convalida, non costruito a posteriori dopo che si è verificata una deviazione.

D: A che punto il rinvio dei test funzionali integrati smette di essere una scelta di programmazione e diventa un rischio per la biosicurezza?
R: Si configura un rischio per la biosicurezza nel momento in cui un guasto all’interfaccia non rilevato potrebbe impedire di individuare una violazione del contenimento — ad esempio, una modalità di ripristino che non riesca a ristabilire la cascata di pressione dopo il ripristino dell’alimentazione, oppure una lacuna nell’interblocco che consenta di bypassare una fase di decontaminazione obbligatoria. I conflitti nelle sequenze di controllo e le lacune nel coordinamento degli allarmi, visibili solo quando i sistemi funzionano insieme, non possono essere trattati come semplici aspetti amministrativi da risolvere se l’interfaccia interessata costituisce un confine critico per il contenimento.

D: È possibile procedere all’occupazione di una struttura se un’interfaccia critica per il contenimento presenta una lacuna nota, ma le parti responsabili concordano sul fatto che tale lacuna verrà risolta dopo l’occupazione?
R: No, a meno che nel verbale di consegna non figuri una deroga approvata, corredata di un piano di rimedio documentato e di una tempistica definita. Una lacuna non documentata non costituisce una posizione di accettazione difendibile, indipendentemente dall’esistenza di un accordo verbale. La distinzione operata dal quadro di riferimento è quella tra una deroga approvata — che è difendibile — e una questione in sospeso non registrata, che rappresenta un rischio per la biosicurezza non attribuito che si estende al di là del team di progetto una volta iniziata l’occupazione.