Progettazione degli impianti di climatizzazione BSL-3: pressione negativa, flusso d'aria direzionale, scarico HEPA e logica di allarme

La maggior parte dei guasti agli impianti HVAC di livello BSL-3 che costringono a una nuova verifica non sono causati da apparecchiature che smettono di funzionare, bensì da una logica di controllo che non è mai stata definita appieno. Un allarme di pressione che scatta senza un protocollo di risposta documentato, un interblocco tra mandata e scarico che non è stato testato per ogni possibile stato delle porte, o una sequenza di transizione dei ventilatori che crea una breve escursione positiva durante la manutenzione: ognuno di questi casi può bloccare le operazioni e richiedere un ciclo completo di rimessa in servizio prima che il lavoro riprenda. Il costo non è solo rappresentato dal tempo di inattività; è la scoperta, a progetto già avviato, che il progetto ha superato una revisione teorica ma non è mai stato sottoposto a prove di stress rispetto alle proprie modalità di guasto. Quello che segue è un documento informativo per la fase di progettazione, volto a definire il setpoint di pressione, il percorso di scarico, la logica degli allarmi e le decisioni relative alla ridondanza che determinano se un sistema HVAC viene approvato — e rimane approvato fino al suo primo intervento di manutenzione.

Valori di setpoint della pressione e direzione del flusso d’aria prima della definizione delle specifiche dell’impianto HVAC

I setpoint di pressione non sono un dettaglio da definire solo in fase di selezione delle apparecchiature. Si tratta di un parametro di progettazione che condiziona ogni decisione a valle relativa al dimensionamento delle valvole di regolazione, alla logica di interblocco e al numero di ricambi d’aria necessari per mantenere il flusso direzionale in condizioni transitorie, come il ciclo di apertura e chiusura delle porte o le variazioni di pressione nelle zone adiacenti.

I valori di progetto operativi sono un differenziale minimo di 0,05″ W.G. e un valore target raccomandato di 0,06″ W.G., misurati rispetto alle aree non di biosicurezza. Si tratta di soglie di progettazione, non di requisiti normativi universali, ma considerarli fin dall’inizio come parametri di progetto vincolanti è ciò che distingue un sistema in grado di mantenere il proprio margine in modo affidabile da uno che scende al di sotto della soglia durante il normale funzionamento. Un divario di 0,01″ W.G. tra il valore minimo e quello raccomandato può sembrare irrisorio finché non si considera che i transitori dovuti all’apertura delle porte, le variazioni di velocità dei ventilatori di mandata e le interazioni di pressione con le zone HVAC adiacenti possono consumare interamente tale margine. I team che rimandano la definizione di questo valore fino alla fase di selezione delle apparecchiature spesso scoprono, durante la messa in servizio, che la loro logica di controllo non è in grado di mantenere il differenziale target contemporaneamente in tutti gli stati delle porte — e a quel punto, le opzioni disponibili sono tutte costose.

La direzione del flusso d’aria deve essere confermata come una cascata verso l’interno, dagli spazi a minor rischio verso quelli a maggiore contenimento, attraverso ogni confine, non solo il laboratorio primario. Ciò significa valutare l’impianto di climatizzazione poiché serve sia l’area di contenimento che tutte le zone adiacenti — corridoi, anticamere, locali tecnici — poiché uno squilibrio di pressione in una zona limitrofa può invertire la direzione del flusso al confine del laboratorio senza far scattare alcun allarme nel sistema di contenimento stesso. Lo standard ASHRAE 170, pur disciplinando principalmente la ventilazione delle strutture sanitarie, fornisce utili indicazioni a livello di processo su come i sistemi di ventilazione che servono più zone adiacenti debbano essere valutati in termini di interazione ai confini e integrità della cascata di pressione. Documentare la mappa di pressione prevista prima di redigere qualsiasi specifica tecnica delle apparecchiature previene l’errore più comune: realizzare un sistema che funzioni per la sala di laboratorio considerata isolatamente, ma che si comporti in modo imprevedibile ai suoi margini.

Per un'analisi più approfondita della progettazione delle cascate di pressione e della scelta della frequenza ACH nelle configurazioni BSL-2, 3 e 4, il Progettazione del sistema HVAC BSL 2/3/4: Cascata di pressione, tassi di ACH e flussi d'aria direzionali Requisiti ingegneristici L'articolo illustra in modo esaustivo la logica alla base della zonizzazione.

Percorso di scarico HEPA, ridondanza e risposta agli allarmi in base allo stato della stanza

L'aria di scarico proveniente dalle cabine di sicurezza biologica deve essere convogliata secondo lo standard 100% e filtrata con filtri HEPA prima di uscire dall'edificio: si tratta di un criterio di progettazione del contenimento con conseguenze dirette sul tracciato dei condotti, sulla scelta dell'alloggiamento e sulla posizione dei filtri rispetto al ventilatore. Non è una regola propria delle camere bianche mutuata dalla prassi generale dei sistemi HVAC. La scelta del percorso determina se la sostituzione dell’alloggiamento HEPA o del filtro possa essere eseguita in condizioni di contenimento; ecco perché la funzionalità «bag-in/bag-out» presso l’alloggiamento di scarico è un requisito progettuale piuttosto che una considerazione accessoria.

I requisiti relativi alla risposta agli allarmi sono indissolubilmente legati alla configurazione dell’impianto di scarico in caso di guasto. Ciò che costituisce una modalità di guasto accettabile varia a seconda della presenza o meno di ventilatori di scarico ridondanti e della disponibilità di alimentazione di emergenza, e tali differenze devono essere definite in fase di progettazione — non inserite nelle procedure operative standard (SOP) a posteriori.

La conseguenza pratica di questa mappatura della configurazione è che la logica di allarme non può essere definita in modo generico. È necessario verificare che un sistema dotato di ventilatori ridondanti e alimentazione di emergenza passi senza soluzione di continuità al ventilatore alternativo senza alcuna inversione del flusso d’aria proveniente dagli spazi contaminati — tale sequenza di transizione deve essere testata, non data per scontata. Un sistema non ridondante presenta requisiti meno rigorosi per il test delle modalità di guasto (è sufficiente dimostrare una condizione statica senza flusso d’aria verso l’esterno), ma tale standard meno rigoroso comporta anche una finestra di manutenzione più ristretta: qualsiasi fermo macchina della ventola, programmato o non programmato, porta il sistema di contenimento in una condizione statica anziché mantenere una pressione negativa attiva.

Alloggiamenti per filtri del tipo “bag-in/bag-out” I dispositivi integrati nel percorso di scarico costituiscono un elemento fondamentale per garantire il contenimento durante la manutenzione dei filtri. La loro collocazione, l’integrazione strutturale con la rete di condotti e la compatibilità con la configurazione delle serrande e delle valvole di isolamento devono essere verificate in base al progetto di tracciato prima della fabbricazione; le modifiche apportate dopo l’installazione comportano spesso gli stessi requisiti di verifica previsti per una nuova installazione di impianti di climatizzazione.

Scostamenti di contenimento causati da una logica di controllo carente

I tre eventi di guasto che più frequentemente impongono una nuova verifica — guasto dell’interblocco tra alimentazione e scarico, flusso d’aria in senso inverso durante il normale funzionamento e allarmi HVAC non funzionanti — hanno un’origine comune: si tratta di guasti della logica di controllo, non di guasti meccanici. La ridondanza hardware non li risolve. Un ventilatore di scarico ridondante non compensa un interblocco che non si riattiva dopo un evento relativo alla porta. Un filtro HEPA ben mantenuto non sostituisce un allarme che si attiva ma per il quale non è prevista alcuna risposta definita nelle procedure operative standard (SOP) della struttura.

Gli scenari di guasto dell’interblocco e di inversione del flusso d’aria sono chiari fattori scatenanti per una nuova verifica, ma il caso della breve escursione di pressione positiva merita un’attenzione specifica perché è proprio in questo ambito che i team commettono errori in entrambe le direzioni. Una lettura positiva momentanea su un sensore di pressione vicino a una porta non costituisce automaticamente un’inversione del flusso d’aria: l’apertura della porta crea una compensazione transitoria della pressione che può essere registrata brevemente come un’escursione positiva senza che l’aria contaminata venga effettivamente espulsa verso l’esterno. La risposta corretta consiste nell’effettuare un test con bastoncino fumogeno alla base della porta chiusa del laboratorio: se, ripetendo il test, non viene rilevata alcuna perdita verso l’esterno, l’escursione è transitoria e non costituisce un guasto al sistema di contenimento. Considerare ogni breve escursione come un guasto porta a una nuova verifica non necessaria; ignorarla senza la conferma del test con il bastoncino fumogeno comporta il rischio opposto. Nessuna delle due risposte è giustificabile senza il test fisico.

L’implicazione progettuale a monte è che le soglie di attivazione degli allarmi devono tenere conto del comportamento transitorio in caso di eventi relativi alle porte. Se l’allarme di pressione differenziale è impostato sulla soglia minima senza alcuna logica di media temporale o di ritardo, il normale ciclo di funzionamento delle porte genererà allarmi falsi che gli operatori impareranno a ignorare — il che è proprio la condizione che permette a un vero evento di contenimento di passare inosservato. La progettazione degli allarmi è una decisione che riguarda i sistemi di controllo, non un parametro da impostare una volta per tutte, e dovrebbe essere rivista insieme alla logica di interblocco delle porte e alla sequenza di funzionamento dell’alimentazione e dell’estrazione, anziché separatamente.

Costo della ridondanza contro vantaggio della tolleranza ai guasti

La scelta della ridondanza nella progettazione dei sistemi di scarico BSL-3 va intesa, più precisamente, come un compromesso tra tolleranza ai guasti e entità dell’onere di verifica — non semplicemente tra sicurezza e costo. Una configurazione ridondante dei ventilatori di scarico richiede la verifica di una transizione continua da un ventilatore all’altro senza inversione del flusso d’aria; un progetto a ventilatore singolo deve invece solo dimostrare una condizione statica di sicurezza in caso di guasto. Non si tratta di standard di sicurezza equivalenti, ma non sono nemmeno distinti esclusivamente dal costo.

L’asimmetria nascosta risiede nella flessibilità di manutenzione. Un sistema ridondante con alimentazione di emergenza consente di eseguire la manutenzione programmata sul ventilatore primario mentre il contenimento rimane attivamente mantenuto: la struttura non passa in modalità statica e non sono necessarie precauzioni aggiuntive per svolgere il lavoro in laboratorio durante quella finestra temporale. Un sistema a ventola singola entra in modalità statica in caso di qualsiasi fermo della ventola, programmato o non programmato, il che limita le condizioni in cui il laboratorio può operare in prossimità della manutenzione programmata della ventola. Per le strutture ad alta produttività o quelle soggette a scadenze normative che non possono tollerare restrizioni prolungate in modalità statica, il costo della ridondanza può essere giustificato più facilmente sulla base della continuità operativa che sulla sola base della sicurezza.

Il requisito di verifica differisce anche in un modo che ha conseguenze sul programma del progetto. La transizione tra le ventole ridondanti deve essere testata e documentata per confermare che non si verifichi alcuna inversione durante il passaggio — si tratta di un test attivo, effettuato in presenza di testimoni, con criteri di superamento definiti. Il test in condizioni statiche per un sistema a ventola singola è più semplice da eseguire ma meno informativo come test di stress del sistema di controllo più ampio. Nessuna delle due configurazioni elimina la necessità di una verifica completa degli allarmi; la ridondanza cambia ciò che viene testato, non se il test venga effettuato.

Integrazione dei comandi tra porte, serrande, BIBO e SOP

È proprio nella fase di integrazione che i progetti che hanno superato la revisione documentale falliscono sul campo. Il sistema di controllo HVAC di un laboratorio BSL-3 non è un sistema autonomo: è una rete composta da sensori di pressione, segnali di posizione delle porte, attuatori delle serrande, logica delle valvole di isolamento, interblocchi degli alloggiamenti BIBO e programmazione del sistema di automazione dell’edificio (BAS), che devono funzionare in modo coerente durante il normale funzionamento, l’apertura e la chiusura delle porte, le transizioni dei ventilatori e gli interventi di manutenzione. Un guasto in uno qualsiasi di questi livelli può compromettere l’integrità della pressione senza generare alcun guasto meccanico evidente.

I trigger di rivalidazione presenti nella tabella delle categorie di modifica non sono semplici formalità amministrative: riflettono la realtà pratica secondo cui la sostituzione di una serranda modifica la caduta di pressione in quel ramo, la sostituzione del cablaggio di controllo può alterare la temporizzazione dei segnali e la riprogrammazione della logica del sistema di automazione degli edifici (BAS) può modificare silenziosamente il comportamento dei setpoint, le soglie di allarme o la sequenza degli interblocchi. Ciascuna di queste modifiche può alterare l’equilibrio di pressione senza che il team di manutenzione si renda conto dell’effetto a valle sul contenimento. A serranda di isolamento per la biosicurezza svolge una funzione fondamentale nel garantire l'isolamento delle zone durante gli interventi di manutenzione, i cambi di ventilatore e gli arresti di emergenza; tuttavia, è necessario verificare che la temporizzazione dell'attuatore, la posizione di sicurezza e l'integrazione con la logica del sistema di gestione dell'edificio (BAS) funzionino come previsto dopo qualsiasi modifica apportata al sistema collegato.

La verifica degli allarmi BAS merita un’attenzione particolare in quanto punto di controllo dell’integrazione. È necessario verificare che gli allarmi relativi alla pressione differenziale e al flusso d’aria si attivino correttamente, ma è altrettanto importante che siano programmati per acquisire i dati relativi a potenziali eventi di malfunzionamento ai fini di un’analisi successiva. Una struttura che registra gli allarmi senza acquisire i dati relativi alla pressione e alla portata d’aria associati all’evento non è in grado di condurre un’indagine sulle cause alla radice a seguito di un problema di contenimento — il che significa che non può nemmeno dimostrare alle autorità di regolamentazione o ai comitati istituzionali di biosicurezza che l’evento sia stato caratterizzato e risolto. Il collegamento tra le procedure operative standard (SOP) e la risposta agli allarmi non è separato dalla progettazione dell’impianto di climatizzazione (HVAC); costituisce infatti l’ultimo livello del sistema di controllo.

Condizioni di approvazione del sistema di climatizzazione per le operazioni in laboratorio di livello BSL-3

L'approvazione non viene concessa a un sistema HVAC di livello BSL-3 che mantenga una pressione negativa in condizioni operative normali. Viene invece concessa a un sistema in cui ogni allarme abbia un criterio di attivazione definito, una risposta testata e una prova documentata che l'aria del laboratorio non possa fuoriuscire dall'involucro di contenimento in caso di guasto. Tale distinzione modifica l'ambito di ciò che deve essere progettato, testato e registrato prima dell'inizio delle prime attività biologiche.

La verifica iniziale del progetto deve essere eseguita e documentata da una persona con comprovata esperienza nei sistemi HVAC ad alto contenimento — non si tratta di un compito che possa essere delegato al team di messa in servizio dell’appaltatore generale privo di tale background specifico. I criteri di prova richiedono di confermare che il contenimento sia mantenuto in condizioni di guasto in tutti gli stati definiti della sala, non solo durante il normale funzionamento. La verifica deve inoltre affrontare una questione di delimitazione che crea confusione durante la messa in servizio: l’anticamera è considerata parte dell’involucro di contenimento. L’aria non deve necessariamente rimanere all’interno della sala di laboratorio stessa per superare il test, ma deve rimanere all’interno dell’involucro che include l’anticamera. Un sistema che consenta all’aria di fuoriuscire dall’anticamera in un corridoio non controllato non supera il test di contenimento, anche se la sala di laboratorio stessa mantiene una pressione negativa rispetto all’anticamera.

La ricertificazione annuale comporta un obbligo di manutenzione ricorrente che dovrebbe essere preso in considerazione nella pianificazione operativa della struttura fin dalla fase di progettazione. La certificazione dei filtri HEPA, i controlli di manutenzione degli aspiratori e la verifica completa degli allarmi sono tutti requisiti annuali. La verifica degli allarmi in occasione della ricertificazione non consiste in un semplice controllo funzionale volto a verificare se l’allarme si attiva, bensì in un test documentato volto ad accertare se ciascun allarme si attiva alla soglia specificata, se la sequenza di risposta funziona correttamente e se il sistema di gestione degli edifici (BAS) acquisisce i dati associati. Le strutture che considerano la ricertificazione annuale come una mera formalità burocratica scoprono in genere, nel corso di un audit istituzionale o normativo, che i propri registri degli allarmi non soddisfano nessuna di queste tre condizioni.

Il criterio pratico per stabilire se un progetto di impianto HVAC per laboratori di livello BSL-3 sia pronto per l’approvazione è più restrittivo rispetto a quanto generalmente considerato nelle revisioni ingegneristiche: ogni allarme deve avere una soglia di attivazione documentata, una sequenza di risposta testata e la prova che l’aria del laboratorio non possa fuoriuscire dal perimetro di contenimento nella specifica modalità di guasto che l’allarme è progettato a rilevare. Se uno qualsiasi di questi tre elementi manca per un allarme, il progetto è incompleto, indipendentemente da quanto bene si mantenga il differenziale di pressione durante il normale funzionamento.

Prima di passare dalla fase di progettazione a quella di messa in servizio, è necessario verificare che gli scenari di guasto — perdita di ventilazione, guasto dell’interblocco, interruzione di alimentazione, transitori dovuti all’apertura delle porte — siano stati tutti associati a un esito definito dello stato della camera, che ogni esito sia accompagnato da una risposta di allarme testata e che il confine dell’anticamera sia esplicitamente incluso nell’ambito della verifica del contenimento. Queste sono le condizioni che il verificatore iniziale controllerà e sono anche quelle che il team di ricertificazione annuale verificherà nuovamente. Definirle chiaramente in fase di progettazione è notevolmente meno costoso che individuare le lacune in uno qualsiasi di questi due momenti di controllo.

Domande frequenti

D: Questo quadro progettuale è applicabile nel caso in cui il laboratorio BSL-3 condivida un impianto di climatizzazione con un laboratorio BSL-2 o con una zona non di contenimento, anziché disporre di un impianto completamente dedicato?
R: I sistemi condivisi richiedono un’analisi più approfondita, non un quadro normativo diverso — ma il profilo di rischio cambia in modo significativo. Quando un unico sistema di trattamento dell’aria serve sia le zone di contenimento che quelle non di contenimento, uno squilibrio di pressione nel ramo non di contenimento può invertire la direzione del flusso al confine del BSL-3 senza far scattare alcun allarme all’interno del sistema di contenimento. La progettazione deve valutare esplicitamente ogni zona adiacente servita dallo stesso sistema e documentare come viene mantenuta l’integrità del confine nelle condizioni transitorie di ciascuna zona. L’integrazione dei controlli in tutto il sistema condiviso — compreso il posizionamento delle serrande, la sequenza degli interblocchi e il comportamento dei setpoint del BAS — diventa il principale rischio di guasto piuttosto che l’hardware di contenimento stesso.

D: Una volta completata la messa in servizio e superata la verifica iniziale, qual è il primo passo concreto da compiere prima di programmare la ricertificazione annuale?
A: Creare un registro dei dati di riferimento ricavato dai test di verifica iniziali prima che la struttura entri in fase operativa. Le soglie di attivazione degli allarmi, i risultati dei test di transizione dei ventilatori, gli esiti dei test con bastoncini fumogeni e la conferma dell’acquisizione dei dati da parte del sistema di gestione automatizzata degli edifici (BAS) devono essere tutti archiviati in un formato che il team incaricato della ricertificazione annuale possa utilizzare per effettuare un confronto diretto. Senza tale base di riferimento, la ricertificazione diventa un semplice controllo funzionale isolato anziché un confronto con lo stato verificato del progetto; inoltre, eventuali scostamenti nei setpoint, nei tempi o nel comportamento degli allarmi verificatisi dopo la messa in servizio non verranno rilevati fino a quando non causeranno un evento di guasto, anziché essere individuati durante un controllo programmato.

D: In quali casi un intervento di manutenzione sull’impianto di climatizzazione richiede una nuova verifica completa anziché un semplice controllo funzionale post-manutenzione?
R: È necessaria una nuova verifica ogni volta che una modifica influisce sulle caratteristiche di caduta di pressione, sulla temporizzazione dei segnali o sulla sequenza degli interblocchi — non solo quando un componente viene sostituito con un modello diverso. La sostituzione di una serranda modifica la caduta di pressione su quel ramo anche se il ricambio è identico sulla carta; la riprogrammazione della logica del BAS può alterare silenziosamente il comportamento dei setpoint o le soglie di allarme; e la sostituzione del cablaggio di controllo può modificare la temporizzazione dei segnali in modi che influenzano il riattivarsi degli interblocchi dopo un evento relativo alle porte. Un controllo funzionale conferma che il sistema funzioni; la nuova verifica conferma che funzioni secondo lo standard di contenimento documentato. La distinzione è importante perché un sistema può superare un controllo funzionale pur mantenendo una differenza di pressione che si è spostata al di sotto del valore target di progetto.

D: In che modo la scelta tra ventilatori di scarico ridondanti e non ridondanti influisce sulla capacità della struttura di programmare interventi di manutenzione ordinaria senza interrompere le attività di laboratorio?
R: Un sistema non ridondante costringe la struttura a una condizione statica ogni volta che il ventilatore di scarico viene messo fuori servizio, sia per manutenzione programmata che per riparazioni non programmate — e durante tale intervallo non viene mantenuto alcun contenimento attivo. Ciò significa che il calendario operativo deve considerare i tempi di inattività del ventilatore come un periodo in cui le attività biologiche non possono proseguire in sicurezza alle stesse condizioni del normale funzionamento. Un sistema ridondante con alimentazione di emergenza consente di effettuare la manutenzione del ventilatore principale mentre quello di riserva mantiene attiva la pressione negativa, in modo che le operazioni di laboratorio non siano vincolate dal programma di manutenzione. Per le strutture soggette a scadenze normative o con requisiti di flusso di lavoro continuo, questa differenza in termini di continuità operativa spesso fornisce una giustificazione più chiara per il costo aggiuntivo della ridondanza rispetto al solo argomento della sicurezza.

D: Un sistema di filtrazione in situ rappresenta un’alternativa valida al sistema “bag-in/bag-out” per la manutenzione dei filtri HEPA di scarico in un laboratorio di livello BSL-3, oppure le due configurazioni svolgono funzioni diverse?
A: Entrambi soddisfano lo stesso requisito di contenimento durante il servizio, ma attraverso meccanismi diversi; la scelta corretta dipende dalla configurazione del condotto, dallo spazio di accesso disponibile e dal fatto che l’alloggiamento del filtro debba garantire l’isolamento anche durante le sostituzioni del ventilatore. Un alloggiamento “bag-in/bag-out” consente la rimozione e la sostituzione del filtro sotto una barriera di contenimento continua senza interrompere il percorso del condotto: si tratta dell’approccio standard nei casi in cui l’alloggiamento sia fisicamente accessibile e il filtro possa essere estratto intatto nel sacchetto. Un sistema di filtrazione in situ è progettato per configurazioni in cui il filtro deve essere decontaminato e testato in loco prima della rimozione, cosa che in genere si rende necessaria quando i limiti di accesso o la geometria dei condotti rendono impraticabile la rimozione tramite sacchi. È necessario verificare la compatibilità di entrambi con la configurazione della serranda e della valvola di isolamento prima della fabbricazione, poiché eventuali modifiche apportate dopo l’installazione a uno dei due tipi di alloggiamento possono, indipendentemente l’una dall’altra, comportare la necessità di una nuova verifica.