Controllo delle porte di contenimento URS: segnali, allarmi, esclusioni e prove di convalida

I malfunzionamenti dei sistemi di controllo delle porte negli ambienti ad alto contenimento raramente si manifestano come tali fino alla fase di qualificazione. Il caso più comune è quello di un URS che definisce con sufficiente dettaglio gli input relativi alla posizione delle porte e la logica di interblocco per superare una dimostrazione in fabbrica, ma omette i setpoint della cascata di pressione che determinano quando lo sblocco di una serratura è effettivamente sicuro. Tale lacuna non emerge durante i test logici da banco, ma si manifesta durante la SAT, quando l’impianto di trattamento dell’aria messo in servizio interagisce con le guarnizioni reali delle porte, i tassi effettivi di perdita dell’ambiente e il comportamento fisico di decadimento della pressione dell’involucro installato. A quel punto, i progetti si trovano di fronte alla scelta tra accettare deviazioni non documentate a causa delle pressioni legate alle scadenze o tornare all’URS per un ciclo di revisione che ritarda la qualificazione per l’occupazione. Le decisioni che impediscono tale esito vengono prese nella fase dell’URS, e questo articolo è stato scritto per aiutare i responsabili della biosicurezza, i team di controllo qualità e i responsabili tecnici a identificare quali lacune nelle specifiche sono più suscettibili di creare rischi per la qualificazione a valle.

Dati relativi allo stato di contenimento per il controllo delle porte

Il rilevamento della posizione della porta è l'input più comunemente specificato nei documenti URS relativi al controllo delle porte di contenimento, ma è anche quello meno adeguato se considerato da solo. Un segnale di posizione della porta indica al sistema di controllo se una porta è fisicamente aperta o chiusa. Non indica al sistema se il perimetro di contenimento è intatto, se la cascata di pressione è stabile o se l’apertura di quella porta è sicura. Un URS che si basa sulla posizione della porta come input primario per la logica di autorizzazione allo sblocco è incompleto in modi che diventano evidenti solo una volta che il sistema è installato.

I dati relativi allo stato di contenimento che regolano effettivamente il funzionamento sicuro delle porte negli ambienti BSL-3/4 includono le differenze di pressione tra una stanza e l’altra, i valori di riferimento del gradiente nelle camere di compensazione, lo stato delle guarnizioni, gli stati di attivazione dello sblocco di emergenza e le condizioni di allarme a monte, quali il guasto di un ventilatore o le variazioni della pressione differenziale dei filtri HEPA. Le differenze di pressione tra le stanze comprese nell’intervallo da –10 a –30 Pa sono comunemente citate nelle linee guida commerciali relative ai livelli BSL-3/4 come criteri di progettazione per la cascata di pressione: non si tratta di soglie normative universali, ma riflettono il regime di progettazione entro il quale deve funzionare la logica di autorizzazione all’apertura delle porte. Se l’URS non specifica i setpoint di pressione che devono essere confermati prima che il blocco di una porta si sblocchi, il sistema di controllo non ha alcuna base per distinguere una cascata stabile da una compromessa.

I gradienti di pressione nelle camere di compensazione introducono un’ulteriore complessità. Le camere di compensazione a più porte richiedono setpoint definiti con cura che mantengano il flusso direzionale dal pulito allo sporco in ogni fase. La logica di controllo deve interpretare questi gradienti come una sequenza, non solo come letture individuali delle camere. Se le specifiche URS prevedono il monitoraggio della pressione ma non definiscono come la conferma del gradiente si integri nella logica di autorizzazione delle porte, il progetto risultante interpreterà il requisito in modo diverso a seconda dell’ingegnere che lo legge. Tale ambiguità diventa una lacuna nella qualificazione del progetto (DQ).

Gli ingressi relativi allo sblocco di emergenza e alle condizioni di allarme meritano di essere trattati in modo esplicito come stati logici distinti, non solo come trigger di esclusione. L’URS dovrebbe definire quali cambiamenti si verificano nel comportamento dell’interblocco delle porte quando viene attivato uno sblocco di emergenza o quando è presente una condizione di allarme a monte: il fatto che le porte si blocchino, si sblocchino per consentire l’uscita o mantengano lo stato attuale dipende dallo specifico scenario di rischio. Lasciare questo aspetto indefinito significa che l’integratore prenderà tale decisione senza una giustificazione documentata.

Uscite, indicatori, blocchi, allarmi e segnali remoti

È proprio nella definizione degli output che molti documenti URS passano dai requisiti ingegneristici a un linguaggio da “lista dei desideri”. Frasi come “il sistema dovrà fornire allarmi appropriati” o “lo stato delle porte dovrà essere visibile agli operatori” non sono verificabili. Se il requisito relativo all’output non definisce cosa viene visualizzato, dove viene visualizzato, cosa fa scattare un allarme, quale priorità ha quell’allarme e quali dati vengono registrati, la specifica non è stata redatta: è stata semplicemente rinviata.

La conseguenza dell’ambiguità dell’output non è solo estetica. Se gli indicatori visivi dello stato di pressione e degli stati di autorizzazione delle porte non sono specificati, l’integratore potrebbe fornire una spia sul pannello che indichi solo la posizione della porta, senza alcuna correlazione con la pressione. Un operatore che si avvicina a una camera di compensazione non ha quindi modo di confermare se la cascata di pressione sia stabile prima di tentare l’ingresso. Non si tratta di un semplice inconveniente: è una decisione relativa alla barriera di contenimento presa in assenza di informazioni. Analogamente, se la prioritizzazione degli allarmi per i guasti all’interblocco delle porte non è esplicitamente richiesta e classificata all’interno della gerarchia degli allarmi della struttura, tali guasti potrebbero presentarsi allo stesso livello degli allarmi falsi di bassa priorità. Una risposta ritardata a un guasto all’interblocco delle porte in una camera di compensazione BSL-3/4 non è una situazione recuperabile senza una procedura strutturata di risposta agli allarmi — e tale procedura dipende dal fatto che l’allarme venga individuato e valutato correttamente.

Il monitoraggio continuo della pressione con registrazione dei trend è strettamente legato alle uscite di controllo delle porte, ma viene spesso considerato come un requisito di monitoraggio dell'impianto di climatizzazione piuttosto che come un'uscita di controllo delle porte. Ai fini di audit e indagini, la distinzione è meno rilevante rispetto alla questione se i dati siano stati acquisiti, contrassegnati con data e ora e siano recuperabili come prova dello stato di contenimento nel momento in cui si è verificato un evento specifico relativo a una porta.

Le uscite di segnale remoto — verso un sistema di gestione dell’edificio, un livello SCADA di supervisione o un segnalatore di allarme centrale — richiedono un trattamento esplicito nell’URS. Se è richiesto un segnale remoto, l’URS deve definire il tipo di segnale, le condizioni che lo attivano, la latenza accettabile e le modalità di integrazione di tale segnale con la logica di conferma degli allarmi del sistema ricevente. Lasciare la definizione dell’ambito dei segnali remoti alla discrezione dell’integratore crea lacune di interfaccia difficili da risolvere una volta che entrambi i sistemi sono stati messi in servizio in modo indipendente.

Ignora i limiti di tempo dei ruoli e la registrazione dei motivi

I requisiti relativi alle deroghe rappresentano un punto in cui la flessibilità operativa e il ritorno automatico in condizioni di sicurezza entrano in conflitto diretto, e la maggior parte dei documenti URS gestisce tale conflitto semplicemente evitando di affrontarlo. Una clausola di deroga formulata in modo vago — ”il personale autorizzato può disattivare i dispositivi di interblocco delle porte previa giustificazione documentata” — crea un sistema formalmente conforme dal punto di vista progettuale, ma vulnerabile dal punto di vista operativo nella pratica.

Il primo problema riguarda la specificità dei ruoli. Se l’URS non definisce quali ruoli utente possano avviare un bypass, il sistema implementato assegnerà tipicamente tale facoltà a chiunque possieda il livello di accesso più elevato nella struttura. Ciò può essere appropriato per le situazioni di emergenza, ma non lo è per i bypass legati alla manutenzione ordinaria. Un URS che non distingua tra bypass di emergenza e bypass pianificati per la manutenzione produrrà un sistema che tratta entrambi allo stesso modo, senza alcuna differenziazione a fini di audit tra una finestra di manutenzione controllata e un bypass non autorizzato effettuato sotto pressione operativa.

I limiti temporali sono il meccanismo che trasforma un override da un cambiamento permanente dello stato in un'azione circoscritta. Senza una durata massima definita per l'override e un meccanismo automatico di ritorno alla normalità, gli override possono persistere a tempo indeterminato — in particolare durante i turni notturni o quando il tecnico che li ha attivati lascia l’area prima che l’override venga cancellato manualmente. L’URS dovrebbe definire sia la durata massima consentita per ciascun tipo di esclusione, sia il comportamento del sistema alla scadenza: si attiva un allarme, si ritorna allo stato bloccato, è necessaria una riconferma attiva? Si tratta di decisioni progettuali che devono essere specificate prima che l’integratore scriva la logica di controllo.

La registrazione del motivo costituisce la componente della traccia di audit. L’Allegato 11 del Volume 4 di EudraLex stabilisce il principio secondo cui i sistemi informatici utilizzati nella produzione farmaceutica devono conservare tracce di audit sicure e contrassegnate da data e ora delle azioni degli utenti, comprese le modifiche allo stato del sistema. Una deroga che non sia registrata con l’identità dell’utente, la data e l’ora, il codice del motivo e la durata non può essere adeguatamente giustificata durante un’ispezione dei registri relativi al controllo del contenimento. La norma ASTM E2500-25 sostiene questo approccio come principio del quadro di pianificazione per la verifica basata sul rischio, sebbene nessuno dei due documenti prescriva la granularità specifica dei ruoli o i parametri relativi ai limiti temporali che l’URS deve definire. Tali decisioni spettano al team di progetto, ed è proprio per questo che devono essere espresse esplicitamente nell’URS anziché essere lasciate alle convenzioni di implementazione.

Il compromesso nascosto in questo caso non è tra sicurezza e flessibilità, bensì tra un URS che definisce il comportamento di override con precisione sufficiente da renderlo verificabile in fase di FAT e uno che rimanda tali decisioni fino a quando il sistema è in funzione e il comportamento viene negoziato a livello del sistema installato. A quel punto, l'integrazione a posteriori della logica dei limiti temporali o dei campi di registrazione delle motivazioni in un sistema di controllo già messo in servizio costituisce un evento di controllo delle modifiche, non una semplice regolazione della configurazione.

Test logici FAT rispetto al comportamento SAT osservato

Il divario FAT-SAT è uno dei rischi più costantemente sottovalutati nei progetti di controllo delle porte di contenimento. I test di accettazione in fabbrica (FAT) consentono di verificare che la logica di controllo funzioni correttamente in presenza di input simulati. Non consentono invece di verificare come tale logica si comporti quando interagisce con l’involucro reale della stanza, con transitori di pressione reali e con guarnizioni reali delle porte, nelle condizioni di flusso d’aria create da un impianto di climatizzazione messo in servizio.

Questa distinzione è importante perché il comportamento dell’interblocco delle porte dipende dalla pressione negli ambienti BSL-3/4. Un segnale di autorizzazione all’apertura della porta che si attiva correttamente a un differenziale simulato di –15 Pa durante il FAT potrebbe comportarsi in modo diverso quando la stanza installata presenta un tasso di perdita che il sistema HVAC compensa con una variazione della pressione di mandata. Le prestazioni della guarnizione, la deflessione del telaio della porta sotto carico di pressione e la risposta transitoria alla pressione quando si apre una porta adiacente sono tutti comportamenti che si manifestano solo in condizioni di installazione. Non possono essere simulati in modo affidabile su un banco di prova in fabbrica e l’URS deve tenere conto di questa distinzione specificando quali aspetti ciascuna fase è tenuta a dimostrare.

Ogni clausola dell’URS dovrebbe prevedere un metodo di prova definito e una soglia di superamento/fallimento prima dell’avvio della produzione in fabbrica. Quando tale traduzione viene rinviata fino all’arrivo dell’apparecchiatura in cantiere, il FAT diventa una negoziazione piuttosto che una verifica. Le deviazioni non documentate rispetto all’URS vengono accettate a causa delle pressioni legate alle tempistiche, e il verbale di qualificazione riflette ciò che è stato dimostrato piuttosto che ciò che era richiesto. Si tratta di un documento diverso, e la differenza assume rilevanza quando un revisore confronta l’URS con il protocollo del FAT.

L’ambito del SAT deve essere definito nell’URS per verificare le cascate di pressione installate, il comportamento delle porte in condizioni reali e l’integrità del contenimento nelle effettive condizioni operative dell’impianto messo in servizio. Ciò significa che l’URS deve specificare quale differenziale di pressione debba essere confermato e mantenuto affinché un segnale di autorizzazione all’apertura della porta sia valido, come venga verificata la prestazione della guarnizione della porta sotto il carico di pressione installato e quale sia il tempo di risposta accettabile affinché l’interblocco rilevi un’oscillazione di pressione e modifichi di conseguenza lo stato di blocco della porta. Senza queste specifiche nell’URS, il protocollo SAT non ha alcuna base per definire i criteri di accettazione e la prova diventa una semplice dimostrazione di ciò che il sistema è in grado di fare, non una verifica di quanto richiesto.

Per i sistemi di chiusura pneumatica delle porte, l’ambito della verifica della pressione (SAT) deve tenere conto del tempo di ciclo di azionamento della tenuta e del periodo di stabilizzazione della pressione successivo all’azionamento. Per i sistemi di chiusura meccanica, deve considerare la forza di compressione applicata in base alla geometria effettiva del telaio della porta dell’impianto. Nessuna delle due considerazioni è verificabile durante il FAT in assenza dell’involucro dell’impianto; per questo motivo, l’URS deve assegnare esplicitamente tali verifiche alla fase SAT.

Tracciabilità URS per i casi di test di controllo

Una clausola URS che recita “la porta deve garantire il contenimento in condizioni normali e di guasto” descrive un risultato auspicato. Non descrive un parametro di progetto, uno stato di controllo, un tipo di sensore, un setpoint o una modalità di guasto. Non fornisce alla qualificazione di progetto alcun elemento da verificare, se non il fatto che il sistema sia stato installato. Quella non è una qualificazione di progetto (DQ): è una ricevuta di consegna.

La tracciabilità dalla clausola URS al caso di test è il meccanismo che trasforma un requisito in una prova verificabile. Ogni requisito deve essere associato a uno specifico caso di test che definisca il metodo, le condizioni in cui viene condotto il test, la misurazione effettuata e la soglia di superamento o fallimento. Senza tale associazione, la qualificazione si basa sulla dimostrazione — un tecnico che mostra che la porta si blocca quando dovrebbe — piuttosto che su prove documentate che un requisito specifico sia stato testato in condizioni definite e abbia soddisfatto un criterio definito.

Il rischio di qualificazione derivante dalla formulazione generica delle URS è in linea con il principio stabilito dall’Allegato 11 del Volume 4 di EudraLex per la tracciabilità del ciclo di vita nei sistemi informatici: le specifiche devono essere verificabili e le tracce di audit devono consentire la verifica del comportamento del sistema rispetto ai requisiti definiti. Sebbene l’Allegato 11 non sia un documento normativo diretto per le URS relative alla ferramenta per porte, il principio di tracciabilità che esso rafforza si applica direttamente alla qualificazione dei sistemi di controllo. La norma ASTM E2500-25 fornisce un supporto più diretto, definendo il collegamento tra specifica e verifica come elemento centrale dell’approccio basato sul rischio alla qualificazione dei sistemi.

La verifica pratica nella fase di approvazione dell’URS è semplice: per ogni requisito della sezione relativa al controllo delle porte, occorre confermare che esista un caso di test, che tale caso definisca il metodo e la soglia e che la soglia sia ricavata dalle specifiche dell’URS piuttosto che dai valori effettivamente raggiunti dal sistema installato. Se la soglia nel protocollo di test è stata definita dopo la messa in servizio del sistema, non si tratta di una verifica dell’URS, bensì di un’accettazione a posteriori di ciò che è stato realizzato. È proprio questa distinzione che gli auditor sono addestrati a individuare quando confrontano le date delle specifiche con la cronologia delle revisioni dei protocolli.

Documentazione tecnica per l'approvazione del sistema di controllo delle porte

L'approvazione dei sistemi di controllo delle porte in ambienti di contenimento richiede la dimostrazione che il confine di contenimento funzioni come specificato sia in condizioni statiche che dinamiche. Una dimostrazione della logica di controllo al momento della messa in servizio non è di per sé sufficiente: essa dimostra che il sistema risponde correttamente agli input, ma non dimostra che la barriera fisica controllata dal sistema soddisfi le specifiche di progettazione.

I test di integrità dell’involucro della camera — sia che si tratti di calo di pressione o di gas tracciante — forniscono prove delle prestazioni statiche della barriera, comprese le guarnizioni delle porte, le guarnizioni di tenuta e le penetrazioni del telaio. Questi test verificano che l’involucro fisico mantenga il differenziale richiesto senza fare affidamento su una compensazione continua da parte del sistema HVAC. Le linee guida commerciali per le strutture BSL-3/4 considerano questi test come parte della verifica di messa in servizio; la norma ASTM E2500-25 riconosce il calo di pressione e il gas tracciante come metodi di verifica validi nell’ambito di un approccio basato sul rischio, sebbene non imponga nessuno dei due metodi come unica scelta accettabile. L’URS dovrebbe specificare quale metodo è richiesto e a quale soglia di accettazione, in modo che il protocollo di prova non definisca il requisito, ma ne esegua uno.

La qualificazione operativa della logica di controllo deve verificare le sequenze di interblocco delle porte, le risposte della cascata di pressione, il comportamento di prioritizzazione degli allarmi e le condizioni di guasto nell’impianto messo in servizio. Ciò è ben distinto dai test logici FAT: l’OQ verifica che il sistema installato, collegato all’effettiva infrastruttura HVAC, risponda correttamente agli input di pressione reali, ai segnali reali di posizione delle porte e alle condizioni di allarme reali. L’ambito della verifica OQ dovrebbe essere definito nell’URS, senza lasciare che sia il team di messa in servizio a determinarlo in loco.

Il pacchetto di prove per l’approvazione del controllo delle porte è più solido quando ogni elemento in esso contenuto è riconducibile a una clausola specifica dell’URS. Se il risultato della prova di caduta di pressione è presente ma nessuna clausola dell’URS ha specificato il criterio di accettazione in base al quale è stata effettuata la prova, la prova è presente ma il suo valore ai fini della qualificazione è limitato. Lo stesso vale per i casi di prova OQ: se il protocollo OQ copre sequenze di interblocco non presenti nell’URS, o non copre sequenze che invece vi sono, il registro di qualificazione presenta lacune strutturali che richiedono una spiegazione durante l’ispezione.

Per gli impianti che utilizzano sistemi di porte APR con meccanismi di tenuta pneumatici o meccanici, il fascicolo di documentazione deve tenere conto della conferma dell’azionamento della tenuta come input discreto alla logica di controllo, e l’ambito della qualificazione operativa (OQ) deve includere la verifica che i segnali relativi allo stato della tenuta siano accurati nelle condizioni di pressione in cui il sistema è installato. I sistemi di tenuta delle porte APR convalidati costituiscono la base documentale su cui si fonda il fascicolo di documentazione; una revisione di Requisiti relativi alla documentazione di audit per i sistemi di sigillatura APR può aiutare a individuare quali parametri relativi allo stato della tenuta richiedono un trattamento specifico nell'URS di controllo prima dell'inizio dei test.

Un URS relativo al controllo di una porta di contenimento che giunge alla fase di FAT con setpoint di pressione non definiti, una logica di override non testata e requisiti che descrivono i risultati anziché gli input di progettazione non presenterà guasti evidenti in fabbrica: supererà la verifica, ma i guasti si accumuleranno durante le fasi SAT e OQ, quando l’ambiente di installazione imporrà condizioni che la logica non è mai stata progettata per gestire. Il momento giusto per risolvere la questione è durante la revisione dell’URS, prima che venga redatto il protocollo di prova e prima che il sistema di controllo venga programmato.

Il passo pratico successivo per qualsiasi team che esamini un URS esistente relativo al controllo delle porte è quello di verificare tre aspetti: se ogni input che modifica lo stato di contenimento sia denominato e definito con un setpoint o uno stato discreto; se ogni requisito sia associato a un caso di test con un metodo e una soglia antecedenti al protocollo FAT; e se il comportamento di override sia specificato con sufficiente precisione da consentire la configurazione dei limiti di ruolo, dei limiti temporali e della registrazione dei motivi senza ulteriori interpretazioni. Se uno qualsiasi di questi controlli fallisce, il rischio di non qualificazione è già presente: la domanda è solo quando si manifesterà.

Domande frequenti

D: La nostra struttura opera con un livello di contenimento BSL-2, non BSL-3/4. Questo quadro URS è comunque applicabile?
R: Sì, ma la soglia di rischio per specifici setpoint e la profondità della tracciabilità cambiano. Sebbene il BSL-2 non imponga lo stesso rigore per quanto riguarda la cascata di pressione, il principio di definire ogni input relativo allo stato del contenimento — posizione della porta, differenziale di pressione, stato della guarnizione — rimane valido, poiché qualsiasi logica di interblocco delle porte che influisca sulla sicurezza deve essere verificabile. I progetti BSL-2 possono spesso giustificare una matrice di tracciabilità più snella e un’enumerazione meno esaustiva delle modalità di guasto, a condizione che la motivazione sia documentata nei requisiti utente.

D: Dopo aver individuato le lacune nel nostro URS relativo al controllo delle porte, qual è la prima azione più efficace da intraprendere per colmarle?
R: È prioritario definire i setpoint di pressione e associarli direttamente alla logica di autorizzazione per l’apertura e la chiusura. Il comportamento delle porte in funzione della pressione è l’area più comune in cui la mancanza di indicazioni nell’URS genera sorprese durante i test SAT; pertanto, colmare prima questa lacuna getta le basi verificabili per tutti i protocolli di test successivi. Una volta specificati i setpoint, il metodo di prova e le soglie di superamento/fallimento per i test FAT e SAT assumono contorni definiti, e il resto dell’URS può essere rivisto alla luce di tale ambito operativo concreto.

D: A quale differenza di pressione esatta l'interblocco di una porta di contenimento dovrebbe impedire l'apertura?
R: Non esiste un valore normativo universale; la soglia deve essere ricavata dalla valutazione dei rischi della struttura e dalla progettazione a cascata. L’intervallo da –10 a –30 Pa spesso citato per le camere BSL‑3/4 è un obiettivo di progettazione, non un punto di intervento che indica se la situazione è sicura o meno. L’URS dovrebbe definire la banda di stabilità accettabile — tipicamente un differenziale minimo al di sotto del quale la porta rimane bloccata, più una tolleranza di escursione di breve durata per evitare blocchi indesiderati causati da transitori del sistema HVAC. La condizione al contorno è specifica per ogni sito e l’URS deve indicarla esplicitamente, in modo che l’integratore non ricorra a un valore arbitrario per impostazione predefinita.

D: Tra le porte APR con tenuta pneumatica e quelle con tenuta meccanica, quale delle due comporta minori complicazioni relative al sistema di controllo URS?
R: Questa scelta comporta complicazioni diverse, ma non necessariamente minori. Le porte con tenuta pneumatica richiedono che l’URS preveda disposizioni relative al tempo di ciclo di azionamento della tenuta, al monitoraggio della pressione di alimentazione e a un periodo di stabilizzazione prima della convalida della cascata di pressione. Le porte con tenuta meccanica spostano l’attenzione dell’URS sulla forza di compressione applicata e sulla conferma della geometria del telaio della porta, che sono verifiche da effettuare nella fase SAT. Nessuna delle due opzioni semplifica di per sé l’URS; la scelta giusta dipende dal fatto che la vostra attività possa tollerare dipendenze dall’infrastruttura pneumatica o preferisca una conferma dello stato della tenuta puramente meccanica. Per specifiche dettagliate, le differenze di progettazione sono illustrate nel Guarnizione pneumatica per porte APR e Porte APR a tenuta meccanica pagine dei prodotti, che possono aiutarti a stabilire quale tecnologia di tenuta sia più adatta alla tua architettura logica di controllo.

D: È necessario un tale livello di dettaglio nell'URS per un intervento di potenziamento del contenimento in un singolo locale con un budget limitato?
R: Il livello di dettaglio dipende dal rischio, non dal budget. Per un progetto che riguarda una singola sala, omettere i dettagli dell’URS può sembrare un risparmio sui costi di progettazione iniziali, ma si crea lo stesso rischio di non conformità se l’integratore formula ipotesi non documentate sulle soglie di pressione o sul comportamento di esclusione. Il compromesso pratico consiste nel redigere un URS sintetico che specifichi comunque i pochi parametri che influenzano direttamente la sicurezza del contenimento — setpoint di pressione, condizioni di interblocco e limiti temporali di esclusione — accettando consapevolmente una formulazione generica per gli aspetti che non influenzano le decisioni relative alla sicurezza e documentando esplicitamente tale accettazione del rischio.