Gli impianti che superano l’ispezione sul contenimento fisico ma entrano in funzione con registrazioni di controllo non testate non sono completamente messi in servizio: rappresentano un rischio differito. Quando si verifica un evento di contenimento e i registri degli allarmi sono incompleti, quando scatta un interblocco ma non è rintracciabile alcuna azione da parte dell’operatore, o quando esistono dati del sistema di gestione degli edifici (BMS) ma nessuno ha stabilito quali registrazioni fossero critiche, l’impianto non ha una posizione di audit difendibile. La conseguenza non è astratta: si tratta di una ricostruzione forzata a posteriori, di esposizione a rischi normativi e, in alcune giurisdizioni, di un’interruzione delle operazioni mentre si raccolgono retroattivamente le prove. La valutazione che impedisce tutto ciò consiste nello stabilire, prima dell’approvazione finale, quali funzioni di controllo influenzano lo stato di contenimento e se a ciascuna di esse sia associata una risposta osservata e un registro recuperabile. Quanto segue vi aiuterà a distinguere le prove relative ai controlli critici dai dati di monitoraggio generali, a mettere alla prova i limiti che la maggior parte dei team di messa in servizio tende a trascurare e a definire cosa significhi realmente «pronto per l’audit» prima che sia un ispettore a definirlo per voi.
Sequenze di controllo che influenzano lo stato di contenimento
Non tutte le funzioni di controllo automatizzate in una struttura BSL-3 o BSL-4 comportano le stesse conseguenze in caso di malfunzionamento silenzioso. Le sequenze che regolano direttamente lo stato di contenimento — flusso d’aria direzionale, mantenimento della pressione differenziale, logica di interblocco delle porte e attivazione delle apparecchiature di decontaminazione — richiedono prove di accettazione verificate. Altre, come i programmi di illuminazione o il monitoraggio generale dei servizi, invece no. Non tracciare questa distinzione prima dell’inizio della messa in servizio è uno degli errori di pianificazione più ricorrenti nel lavoro sui controlli BSL, poiché produce una documentazione di collaudo che verifica molti aspetti ma non è in grado di dimostrare che le sequenze critiche siano state rispettate in condizioni di stress.
La verifica della direzione del flusso d’aria merita particolare attenzione come attività di collaudo pianificata per la messa in servizio delle strutture BSL-3 e BSL-4, non come una formalità derivata dalla qualificazione dell’impianto di climatizzazione. La preoccupazione non è solo che il flusso d’aria soddisfi un valore di riferimento di progetto in condizioni di regime stazionario, ma che la sequenza di controllo mantenga la direzione del flusso durante gli eventi transitori: aperture delle porte, modulazione del sistema di scarico, variazioni di pressione nelle stanze adiacenti. Una sequenza di flusso d’aria non verificata può apparire conforme in una singola misurazione istantanea, pur non riuscendo a mantenere la direzione di contenimento durante le transizioni operative che contano di più. Il rischio di rilascio di aerosol negli ambienti BSL-3 e BSL-4 è specificamente associato a tali stati transitori, non alla linea di base stazionaria. Il Manuale di biosicurezza dei laboratori dell’OMS, 4ª edizione, fornisce utili basi di riferimento procedurali per l’intento progettuale del contenimento, e le attività di collaudo dovrebbero essere strutturate in modo da dimostrare che la sequenza di controllo installata preservi tale intento in transizioni operative realistiche, non solo in condizioni nominali.
Per gli impianti che mettono in servizio dispositivi di contenimento interconnessi — isolatori, sistemi di passaggio, cabine di sicurezza biologica — l’ambito delle prove di sequenza deve tenere conto del funzionamento simultaneo. Ciascun dispositivo effettua lo scarico in modo indipendente e la richiesta cumulativa sul sistema di scarico dell’ambiente durante il funzionamento simultaneo rappresenta lo scenario che più comunemente mette in evidenza comportamenti sequenziali non adeguatamente verificati. Il collaudo di accettazione deve confermare che le sequenze di controllo che regolano la priorità di scarico, il ripristino del setpoint di pressione e l’attivazione degli allarmi rimangano stabili quando più dispositivi funzionano contemporaneamente, e non solo quando ciascuno di essi viene testato singolarmente.
Registrazioni dei dati relativi a PLC, HMI e BMS
I registri generati dai sistemi PLC, HMI e BMS durante la messa in servizio svolgono due funzioni distinte che vengono spesso confuse: sono sia dati operativi sia prove di audit prospettiche. Considerarli solo come dati operativi — utili per la risoluzione dei problemi ma non strutturati per il recupero — crea una lacuna che emerge durante l’ispezione, non durante la messa in servizio. L’Allegato 11 del Volume 4 di EudraLex è chiaro su questo punto: i sistemi informatizzati devono generare registrazioni complete, accurate e recuperabili, e tale principio si applica alle registrazioni di controllo associate alle funzioni critiche per il contenimento, indipendentemente dal fatto che tali funzioni rientrino in un contesto di produzione farmaceutica o in una struttura BSL, dove requisiti simili regolano le registrazioni elettroniche.
Il problema specifico di implementazione nelle strutture BSL riguarda la documentazione relativa all’aspirazione HVAC in presenza di carico simultaneo dei dispositivi. Se una struttura utilizza contemporaneamente cabine di sicurezza biologica, isolatori o altri dispositivi di contenimento che generano flussi di scarico, i registri del BMS devono essere in grado di dimostrare che l’impianto di aspirazione sia stato dimensionato e funzioni correttamente in tale scenario di carico combinato. Un sistema di scarico adeguatamente dimensionato per la sola stanza, ma sottodimensionato se si considera la stanza insieme a tutti i dispositivi di contenimento attivi, rappresenta un vero e proprio rischio di contenimento — ed è un rischio che potrebbe non emergere fino a quando la documentazione del sistema di gestione dell’edificio (BMS) non mostrerà una deviazione di pressione durante il funzionamento simultaneo. Documentare la capacità di scarico solo in base al carico di progetto della stanza, senza tenere conto del contributo allo scarico fornito dai dispositivi di contenimento, rende tale rischio invisibile nella documentazione di messa in servizio.
Le registrazioni delle prove HMI comportano un obbligo di documentazione a sé stante. Le interazioni dell’operatore con gli stati di controllo — modifiche dei setpoint, conferme di allarme, selezioni di modalità — devono essere registrate con una risoluzione sufficiente a ricostruire ciò che è accaduto durante qualsiasi evento rilevante per il contenimento. Non si tratta di creare un sistema di sorveglianza degli operatori, ma di garantire che la registrazione delle azioni dell’operatore esista indipendentemente dalla sua memoria quando un’indagine sulle cause alla radice lo richieda. Gli impianti che si affidano a registri manuali per integrare le registrazioni HMI, spesso scarse, scoprono frequentemente, sotto la pressione delle ispezioni, che le voci dei registri non corrispondono ai timestamp degli eventi presenti nella registrazione di sistema. L’implicazione pratica è che la configurazione della registrazione HMI dovrebbe essere verificata durante la fase di collaudo, senza dare per scontato che sia adeguata solo perché il sistema funziona.
Per i progetti che prevedono sistemi di contenimento con controlli integrati, è necessario valutare in che modo il BMS si interfaccia con specifiche apparecchiature di contenimento — quali Sistemi di laboratorio modulari BSL-3/BSL-4 — Una fase iniziale della pianificazione della messa in servizio aiuta a definire quali registrazioni siano generate dalla struttura e quali provengano a livello delle apparecchiature; ciò, a sua volta, determina le modalità di compilazione dei fascicoli probatori.
Gestione degli stati di allarme e recupero degli eventi
I test sugli allarmi nei controlli BSL spesso si limitano a verificare che l’allarme si attivi. Questo è un punto di arresto errato. La questione relativa all’accettazione non è se l’allarme scatti, bensì se la risposta all’allarme sia osservabile e se la registrazione dell’evento sia recuperabile a posteriori. Un allarme che si attiva correttamente ma non registra nulla di utile, o che registra i dati in un archivio non accessibile al team responsabile dell’indagine sulle cause alla radice, non fornisce alcun valore ai fini dell’audit né alcun valore operativo quando si verifica un vero e proprio evento di contenimento.
Gli allarmi di pressione negativa costituiscono la categoria con le conseguenze più gravi nelle strutture BSL-3 e BSL-4. Quando la pressione differenziale scende al di sotto della soglia di contenimento, l’allarme deve attivarsi e la registrazione BMS di tale attivazione — comprensiva di data e ora, valore di setpoint al momento dell’allarme, valore misurato e azione successiva dell’operatore — deve essere recuperabile come evento discreto, non ricostruibile dai dati di andamento. La distinzione è importante: i dati di andamento mostrano l’evoluzione del valore misurato nel tempo, mentre una registrazione dell’evento dimostra che lo stato di allarme è stato attivato, confermato e risolto in una sequenza tracciabile. Senza tale struttura di registrazione degli eventi, l’analisi delle cause alla radice a seguito di un incidente di contenimento comporta una ricostruzione forense anziché un semplice recupero dei dati, e questa è una posizione indifendibile durante un’ispezione in cui l’autorità di regolamentazione chiede se i sistemi di controllo dell’impianto funzionassero come previsto. L’Allegato 11 di EudraLex sostiene il principio secondo cui gli eventi di allarme nei sistemi computerizzati devono essere registrati in modo da consentire la ricostruzione dello stato del sistema — un principio direttamente applicabile in questo caso.
Il test pratico durante la fase di collaudo consiste nel recupero degli allarmi in condizioni di stress simulate: indurre la deviazione di pressione, confermare l’attivazione dell’allarme e quindi recuperare la registrazione dell’evento dal BMS così come verrebbe recuperata durante un’indagine reale. Se tale recupero richiede un operatore specializzato, un accesso non standard al sistema o l’estrazione manuale dei dati, tali dipendenze devono essere documentate come rischi operativi prima che il collaudo venga approvato. Le strutture che non sono in grado di dimostrare un percorso di recupero di routine per gli eventi di allarme critici durante la messa in servizio, in genere non sono in grado di eseguire tale recupero in modo affidabile sotto pressione dopo il verificarsi dell’evento.
Una categoria di allarmi spesso trascurata è quella relativa allo stato di fine ciclo delle apparecchiature di decontaminazione. I sistemi a passaggio con VHP e le apparecchiature di decontaminazione delle stanze generano allarmi in caso di interruzione del ciclo, deviazione dei parametri o verifica incompleta — e tali eventi di allarme devono far parte della stessa struttura di registrazione recuperabile degli allarmi relativi alla pressione e al flusso d’aria. Testare solo la catena di allarmi relativi all’impianto di climatizzazione (HVAC) e alla pressione, rimandando la convalida degli allarmi delle apparecchiature di decontaminazione, crea una lacuna nella documentazione relativa al contenimento che risulta difficile da colmare una volta che la struttura è operativa.
Controllo manuale e limiti dei ruoli di accesso
La possibilità di un intervento manuale è presente in ogni sistema di controllo della biosicurezza per necessità operative — uscite di emergenza, accesso per la manutenzione, ripristino in caso di guasto. Il rischio accettabile non è l’esistenza stessa di tali interventi, bensì il fatto che il loro comportamento in condizioni di stato di contenimento non sia mai stato testato. Un sistema di esclusione che non è mai stato messo alla prova durante la messa in servizio rappresenta un percorso non testato all’interno dell’architettura dei ruoli di accesso e, se tale percorso aggira una sequenza di interblocco delle porte o disattiva un allarme di pressione durante l’attivazione, la struttura non ha alcuna base per affermare che l’integrità del contenimento sia stata mantenuta quando tale esclusione è stata utilizzata.
Il collaudo del bypass delle porte interbloccate è la parte più scomoda dal punto di vista organizzativo di questo ambito, e tale disagio è uno dei motivi per cui viene spesso rinviato. Verificare se un bypass manuale su una porta interbloccata comprometta il differenziale di pressione tra le zone richiede di indurre una condizione che metta temporaneamente sotto stress il confine del contenimento, e ciò richiede pianificazione, coordinamento e, talvolta, una struttura non ancora pienamente operativa. La tentazione è quella di documentare la capacità di bypass come una caratteristica del sistema e passare oltre. La conseguenza del rinvio di questo test è che il comportamento del sistema di esclusione in condizioni reali di contenimento rimane sconosciuto e, quando un operatore utilizza l’esclusione in uno scenario reale — manutenzione, guasto alle apparecchiature, emergenza — non vi è alcuna base verificata per affermare che il contenimento non sia stato compromesso. Il quadro di riferimento della norma ASTM E2500-25 per la specifica e la verifica basate sul rischio dei sistemi critici fornisce un utile riferimento per strutturare i test di bypass: l’ambito del test dovrebbe essere proporzionale alle conseguenze del comportamento di bypass sul contenimento, non alla frequenza con cui si prevede che il bypass venga utilizzato.
I confini dei ruoli di accesso richiedono lo stesso livello di specificità. La questione non è se i ruoli siano definiti nel sistema, ma se un utente in un determinato ruolo possa eseguire un’azione che modifichi un parametro critico per il contenimento e se tale azione venga registrata con l’attribuzione del ruolo. I sistemi che definiscono i ruoli in modo generico, o che utilizzano credenziali condivise per comodità, generano registrazioni che non possono essere ricondotte alle decisioni dei singoli operatori. Si tratta di un problema di integrità delle registrazioni, indipendentemente dal fatto che l’azione di controllo stessa fosse appropriata. La verifica di accettazione dovrebbe accertare che non sia possibile accedere alle funzioni soggette a restrizioni di ruolo senza le credenziali appropriate e che il tentativo venga registrato indipendentemente dal fatto che l’accesso sia stato concesso o negato.
Guarnizioni pneumatiche per porte APR L'integrazione nelle zone di contenimento BSL costituisce un esempio concreto di come i test relativi al bypass e ai ruoli di accesso si intrecciano con il contenimento fisico: lo stato della guarnizione pneumatica della porta rappresenta una funzione di controllo del contenimento, e sia il comportamento della guarnizione in caso di bypass manuale, sia il ruolo di accesso richiesto per attivare tale bypass devono essere verificati in modo esplicito e registrati durante la collaudo di accettazione.
Documentazione pronta per l'audit relativa alle funzioni critiche
La preparazione all’audit è una caratteristica strutturale del sistema di documentazione, non una proprietà dei singoli documenti. Una struttura può disporre di eccellenti registri degli eventi singoli e tuttavia non superare un audit se tali registri non possono essere assemblati in una narrazione coerente dello stato del sistema di contenimento — cosa è stato controllato, cosa ha subito deviazioni, cosa ha fatto l’operatore e quale è stato il risultato. L’architettura della documentazione deve essere progettata in modo da rispondere a tali domande prima ancora che un ispettore le ponga.
I registri di verifica della decontaminazione sono tra quelli che più spesso risultano inadeguati durante le ispezioni. La specifica lacuna nell’attuazione non consiste solitamente nell’assenza dei registri, bensì nel fatto che gli indicatori biologici o i monitor parametrici siano stati posizionati nel punto più accessibile del carico da decontaminare anziché al centro del carico o nel punto più difficile da raggiungere, generando registri che di fatto non dimostrano che il punto critico sia stato trattato in modo adeguato. Un posizionamento improprio dei monitor produce una documentazione che sembra completa ma non è in grado di sostenere l’affermazione che la decontaminazione sia stata ottenuta in tutto il carico. Questa distinzione — tra una documentazione che esiste e una documentazione che è difendibile — costituisce il significato pratico della preparazione all’audit per le funzioni critiche. Le linee guida dell’OMS (LBM) sulla verifica della decontaminazione forniscono un utile supporto di riferimento procedurale per le pratiche di posizionamento dei monitor e le aspettative relative alla conservazione della documentazione, anche se non hanno la forza di uno strumento normativo vincolante in ogni giurisdizione.
Il principio generale è che le funzioni critiche richiedono documentazione progettata appositamente per essere sottoposta a verifica, non documentazione che esiste casualmente e che viene presentata per la verifica. Per quanto riguarda specificamente i controlli, ciò significa che il pacchetto di accettazione deve identificare quali funzioni sono state definite critiche, quali prove sono state raccolte durante i test, quali fossero i criteri di accettazione per ciascuna di esse e quale sia stato il risultato. Un output del sistema di gestione degli edifici (BMS) allegato a un rapporto di accettazione senza tale contestualizzazione costituisce un’appendice di dati, non un documento di audit. La differenza è rilevante in sede di ispezione, dove spetta alla struttura dimostrare l’esistenza di un processo di accettazione strutturato e deliberato, non solo la semplice presenza di dati.
Per una pianificazione più ampia della messa in servizio che integri il collaudo dei sistemi di controllo nella sequenza complessiva di qualificazione, il Guida passo passo alla messa in servizio di un laboratorio BSL-3 illustra come le prove relative ai controlli si inseriscano nella struttura più ampia della documentazione relativa alla messa in servizio.
Soglia di accettazione per la documentazione relativa ai controlli
La documentazione relativa ai controlli soddisfa i criteri di accettazione quando a ciascun allarme critico, interblocco e sequenza di controllo sono associati tre elementi: una risposta osservata durante le prove di stress, una registrazione recuperabile di tale risposta e una procedura scritta che definisce quale sia la risposta corretta. Se uno qualsiasi di questi tre elementi manca per una funzione critica, l’accettazione non è stata ottenuta — è stata rinviata e l’elemento rinviato emergerà durante il funzionamento o durante l’ispezione.
Il piano di biosicurezza è il documento di riferimento che stabilisce la soglia minima di contenuto per la documentazione relativa ai controlli pronta per l’accettazione. Per ogni metodo di decontaminazione convalidato, il piano deve includere procedure scritte che coprano almeno la concentrazione dell’agente o il parametro di esposizione, il tempo di contatto o la durata del ciclo e il metodo di verifica utilizzato per confermare l’efficacia. Non si tratta di una formalità burocratica: è il documento che definisce cosa si intende per “corretto” per quella funzione di controllo. Senza di esso, non esiste uno standard in base al quale valutare il verbale di messa in servizio, e il reparto di controllo qualità si trova costretto a prendere decisioni retroattive sulla criticità sotto la pressione dell’ispezione, anziché in base a un criterio di accettazione prestabilito. Le procedure mancanti o incomplete del piano di biosicurezza compaiono costantemente tra i risultati delle ispezioni proprio perché rappresentano la soglia minima di documentazione al di sotto della quale nessuna quantità di dati di prova può dimostrare che un sistema sia pienamente accettabile.
L’attrito che emerge nelle fasi finali della messa in servizio riguarda il confine tra i registri di monitoraggio generale dell’impianto e quelli relativi ai controlli critici per la biosicurezza. I team che non definiscono tempestivamente tale confine generano grandi volumi di dati BMS e HMI senza stabilire quali registri siano necessari per dimostrare l’integrità del contenimento. Il risultato è un pacchetto di accettazione che contiene troppi dati indifferenziati e troppo poche prove strutturate relative alle funzioni specifiche che contano. Il reparto QA si trova quindi a dover affrontare, dopo la messa in servizio, il compito di separare i registri critici da quelli non critici — spesso sotto la pressione dei tempi dovuta all’avvicinarsi di un’ispezione o all’avvio operativo. La soluzione a questo problema è semplice in linea di principio ma difficile nella pratica: definire la criticità prima dell’inizio dei test, non dopo che i dati sono stati raccolti. La soglia di accettazione non viene superata semplicemente per il fatto che i dati esistono; viene superata quando le funzioni critiche hanno verificato le risposte e tali risposte sono documentate in base a uno standard predefinito.
La domanda più utile da porsi in occasione di qualsiasi revisione di accettazione dei controlli BSL non è se il sistema stia generando registrazioni, ma se tali registrazioni siano strutturate in modo da avvalorare un’affermazione specifica riguardo allo stato di contenimento in un determinato momento. Questa distinzione separa un’attività di messa in servizio da un’accettazione pronta per l’audit — e determina se un evento di contenimento verificatosi dopo due anni di funzionamento possa essere indagato sulla base di prove o ricostruito sulla base dei ricordi.
Prima di chiudere il fascicolo di collaudo, verificare che ogni allarme critico disponga di un percorso di recupero degli eventi funzionante senza necessità di accessi specializzati, che il comportamento dell’intervento manuale sia stato testato in condizioni di stato di contenimento anziché a regime minimo e che il piano di biosicurezza contenga procedure scritte per ciascun metodo di decontaminazione con dettagli parametrici sufficienti da fungere da standard di collaudo. Questi tre controlli, considerati nel loro insieme, consentono di stabilire se la documentazione relativa ai controlli della struttura possa reggere a un’ispezione — oppure se le lacune verranno individuate per prime da qualcun altro.
Domande frequenti
D: Cosa dovrebbe avvenire immediatamente dopo la firma del verbale di accettazione dei controlli, prima che la struttura entri in funzione?
R: La prima priorità dopo l’approvazione è verificare che i percorsi di recupero degli eventi stabiliti durante la fase di accettazione rimangano funzionanti in condizioni normali di accesso operativo, non solo per il team di messa in servizio. Le procedure di recupero degli allarmi, le credenziali di accesso basate sui ruoli e i flussi di lavoro per l’esportazione dei dati del BMS dovrebbero essere trasferiti al team operativo con una guida dettagliata e documentata, in modo che la prima volta che recuperano un record di evento critico non sia durante un vero e proprio incidente di contenimento o un’ispezione. Le lacune in tale passaggio di consegne sono il punto in cui si perde il rigore del collaudo tra la chiusura della messa in servizio e la prontezza operativa.
D: L’ambito di accettazione dei controlli qui descritto si applica a una struttura BSL-2 potenziata o solo alle strutture BSL-3 e BSL-4?
R: La soglia di criticità cambia a partire dal livello BSL-2 potenziato, ma il principio di fondo rimane invariato. I livelli BSL-3 e BSL-4 sono i contesti principali in cui gli allarmi di depressione, le sequenze di interblocco delle porte e i registri di verifica della decontaminazione hanno conseguenze dirette sul contenimento — e in cui l’assenza di registrazioni recuperabili comporta un rischio normativo. Nel livello BSL-2 potenziato, le sequenze specifiche che regolano lo stato di contenimento sono in genere meno numerose, ma qualsiasi funzione di controllo che influisca direttamente sull’integrità del contenimento biologico richiede comunque una risposta osservabile e una registrazione recuperabile. Il quadro di riferimento si applica ovunque il fallimento del contenimento abbia un percorso tracciabile attraverso una funzione di controllo.
D: Esiste un punto oltre il quale l’introduzione di ulteriori controlli finisce per indebolire la posizione di revisione anziché rafforzarla?
R: Sì — quando il volume di registrazioni indifferenziate rende impossibile individuare le prove specifiche che dimostrano l’integrità del contenimento. Un pacchetto di accettazione che registra ogni dato del BMS senza definire quali registrazioni siano critiche costringe l’ispettore a trarre le proprie conclusioni su cosa sia stato testato e perché. Si tratta di una posizione di audit peggiore rispetto a un pacchetto più snello con un’argomentazione chiaramente strutturata per ciascuna funzione critica. Il fattore determinante non è la quantità di registrazioni, bensì il fatto che ogni funzione critica disponga di un criterio di accettazione ben definito, di un risultato di prova corrispondente e di una registrazione dell’evento recuperabile — e che le registrazioni non critiche siano chiaramente distinte da tale insieme di prove, anziché essere mescolate ad esso.
D: Come si dovrebbe affrontare la procedura di accettazione dei controlli quando il PLC e il BMS sono forniti da fornitori diversi con architetture di dati distinte?
R: Si tratta di una condizione al contorno che il quadro di accettazione deve risolvere prima dell’inizio dei test, non durante gli stessi. Quando i registri degli eventi del PLC e i dati del BMS sono archiviati in sistemi separati con riferimenti temporali, flussi di lavoro di recupero e controlli di accesso diversi, l’attività di accettazione deve includere un test di riconciliazione tra i sistemi: indurre un evento rilevante ai fini del contenimento, quindi confermare che i dati corrispondenti in entrambi i sistemi siano allineati in termini di timestamp, attribuzione dell’evento e azione dell’operatore. Architetture non riconciliate comportano che un’indagine sulle cause alla radice che richieda entrambe le fonti di dati si troverà di fronte a una lacuna che non potrà essere colmata a posteriori. È inoltre necessario assegnare esplicitamente il confine di criticità tra i registri del PLC e del BMS — ovvero quale sistema sia responsabile di quale evento critico per il contenimento — per evitare lacune dovute a duplicazioni in cui entrambi i sistemi registrano prove parziali e nessuno dei due registra un evento completo.
D: A che punto la documentazione relativa ai controlli passa dall’essere un documento di messa in servizio a un documento di qualificazione che richiede un’approvazione formale da parte del controllo qualità?
R: Il confine è definito dal fatto che la funzione di controllo influisca direttamente sulla qualità del prodotto, sulla sicurezza dei pazienti o, in questo contesto, sull’integrità del contenimento biologico. I documenti che dimostrano le risposte agli allarmi critici per il contenimento, il comportamento degli interblocchi e la verifica della decontaminazione sono risultati finali della qualificazione: richiedono una revisione da parte del controllo qualità (QA), un criterio di accettazione definito e un rilascio formale prima che la struttura possa essere considerata messa in servizio. I registri relativi al monitoraggio generale della struttura — illuminazione, dati non critici relativi ai servizi di utenza, registri dei sistemi amministrativi — sono risultati della messa in servizio che non richiedono lo stesso iter formale di approvazione da parte del controllo qualità. Il rischio concreto di non tracciare esplicitamente tale linea di demarcazione è che il controllo qualità si ritrovi a gestire un insieme eterogeneo di dati al termine della messa in servizio e debba assegnare retroattivamente un livello di criticità sotto pressione temporale; questa è la condizione che con maggiore probabilità porta all’inserimento di registri di qualificazione incompleti nella documentazione operativa.
