Le lacune nei controlli delle apparecchiature ad alto contenimento di solito non emergono durante la fase di approvvigionamento, ma si manifestano durante la SAT, quando un test funzionale effettuato alla presenza di testimoni rivela che la logica del PLC per una condizione di interblocco non è mai stata formalmente specificata, che lo schema di priorità degli allarmi esiste solo nelle note del programmatore e che l’elenco dei segnali del BMS non corrisponde ai disegni tecnici su cui sta lavorando il team di validazione. Il costo da pagare è costituito da tempistiche ridotte, rielaborazione della documentazione che avrebbe dovuto essere fornita dal fornitore e attività di qualificazione che non possono essere portate a termine senza prove che non erano state richieste in fase di richiesta di offerta (RFQ). La decisione che impedisce che ciò accada non consiste in una revisione più approfondita in fase di messa in servizio, bensì in una specifica strutturata dei controlli già in fase di richiesta di offerta (RFQ) che classifichi ogni funzione in base alla sua criticità e assegni un metodo di accettazione prima che il fornitore inizi la progettazione. Gli acquirenti che prendono questa decisione tempestivamente fanno sì che i fornitori siano tenuti a fornire una serie definita di prove; quelli che non lo fanno si ritrovano con una lacuna nella documentazione che persiste durante le fasi di IQ, OQ e oltre.
Sequenze di controllo che devono essere specificate
Specificare i sistemi di controllo come “PLC/HMI con uscite di allarme” è una pratica comune nelle richieste di offerta relative alle apparecchiature di contenimento, ma quasi sempre insufficiente. Il problema principale è che, in assenza di una logica di sequenza esplicita nell’ambito di fornitura del fornitore, il programma del PLC diventa di fatto la specifica di riferimento; e se tale programma non viene revisionato prima del collaudo in fabbrica, il committente non dispone di un punto di riferimento rispetto al quale effettuare i test.
Ciascuno degli elementi riportati di seguito comporta un rischio di errore ben definito se lasciato all’interpretazione del fornitore. Le normali sequenze operative devono essere descritte passo dopo passo, in modo che l’apparecchiatura funzioni secondo un ordine prevedibile, comprensibile sia agli operatori che ai tecnici di validazione prima del SAT. Gli stati di allarme richiedono condizioni definite, testo dei messaggi e livelli di priorità, affinché gli allarmi siano gestibili e coerenti con la formazione degli operatori. Le condizioni di interblocco richiedono una logica esplicita — che indichi quali stati di processo attivino quali risposte di sicurezza — poiché le lacune nella progettazione degli interblocchi creano rischi per il contenimento o l’integrità del processo difficili da rilevare durante i test di routine. I trigger dei segnali del BMS devono definire punti e tempistiche specifici per consentire all’integrazione dell’impianto di procedere in parallelo con la qualificazione delle apparecchiature, anziché successivamente.
| Elemento di controllo | Cosa specificare | Rischio se non chiaro |
|---|---|---|
| Sequenza operativa | Logica di funzionamento normale, passo dopo passo | È possibile che l'apparecchiatura non funzioni come previsto |
| Stati di allarme | Condizioni di allarme, messaggi e livelli di priorità | Gli allarmi potrebbero essere ambigui o mancanti |
| Condizioni di interblocco | Processo di collegamento logico tra gli stati del processo e le funzioni di sicurezza | Lacune in materia di sicurezza o integrità dei processi |
| Segnali di attivazione del BMS | Punti e tempistiche per la sostituzione del sistema di gestione dell'edificio | Integrazione incompleta o ritardata |
| Configurazione dei livelli di accesso | Chi può eseguire ciascuna azione e come viene controllato l'accesso | Rischio di accesso non autorizzato |
| Comportamento di backup/fallback | Reazione in caso di interruzione dell'alimentazione, interruzione delle comunicazioni o guasto del sistema | Stato non controllato durante il ripristino |
La configurazione dei livelli di accesso e il comportamento in caso di backup vengono spesso considerati come dettagli di implementazione piuttosto che come funzioni specificate, ed è proprio qui che l’ambiguità diventa un problema legato al ciclo di vita. Se il comportamento in caso di backup in seguito a un’interruzione di corrente o a un guasto di comunicazione non è definito nella richiesta di offerta (RFQ), l’impostazione predefinita del fornitore potrebbe non corrispondere alla strategia di contenimento — aspetto particolarmente rilevante per Ambienti BSL-3 laddove un evento di perdita di contenimento durante il ripristino a seguito di un’interruzione di corrente comporti gravi conseguenze. Specificare questi elementi nella richiesta di offerta non significa complicare eccessivamente i documenti di appalto, ma creare una base di riferimento che sia disponibile prima della realizzazione delle apparecchiature.
Un comportamento di fallback non definito diventa una scelta progettuale di contenimento adottata per impostazione predefinita, non per ragioni tecniche.
Elementi relativi a PLC e HMI nell'ambito dei fornitori
La richiesta di offerta dovrebbe prevedere risultati concreti nell’ambito dei controlli del fornitore, non limitandosi alla semplice fornitura di un sistema funzionante. La distinzione è importante perché ciò che un fornitore considera documentazione standard per PLC/HMI — schemi elettrici, elenchi di I/O e un backup del software — raramente soddisfa i requisiti di documentazione necessari per la SAT, la qualificazione GMP o la verifica degli interblocchi critici per la biosicurezza.
Come minimo, l’ambito di competenza del fornitore dovrebbe includere una specifica di progettazione funzionale (FDS) che documenti la logica prevista per ciascuna modalità operativa, allarme e interblocco prima dell’inizio della programmazione. Questo documento costituisce il punto di controllo di revisione che consente al team del committente e, ove applicabile, al team di convalida di confermare che la logica rifletta l’intento specificato prima che venga codificata. In assenza di tale documento, le revisioni di progettazione vengono effettuate sulla base di un programma già in esecuzione anziché di una specifica, il che sposta l’onere della qualificazione a valle e compromette la tracciabilità dell’integrità dei dati, come previsto dai quadri normativi relativi ai sistemi informatizzati quali Allegato 11 di EudraLex.
L'ambito dell'HMI dovrebbe definire la struttura delle schermate, la gerarchia di navigazione e la configurazione dei livelli di accesso prima del FAT. Scoprire durante il FAT che l’HMI presenta allarmi senza differenziazione di priorità, o che i livelli di accesso non impongono le restrizioni previste nell’URS, comporta un lavoro aggiuntivo che ritarda sia la chiusura del FAT sia le attività di qualificazione a valle. Richiedere al fornitore di consegnare un pacchetto di revisione del progetto HMI come deliverable pre-FAT anziché come documento post-consegna trasforma una comune constatazione emersa durante il FAT in una fase di revisione gestita.
La documentazione pratica da richiedere nell’ambito dei controlli comprende: l’FDS con cronologia delle revisioni, l’elenco I/O con i tag dei segnali incrociati ai P&ID, il registro degli allarmi con causa e setpoint per ciascun allarme, la matrice dei livelli di accesso che mostra le azioni consentite per ciascun ruolo utente e il registro delle versioni del software che sarà conservato in sede di FAT e confrontato in sede di SAT. Ciascuno di questi documenti deve essere indicato come deliverable contrattuale fornito dal fornitore con un termine di consegna definito, e non deve essere considerato come materiale di riferimento facoltativo.
Un elenco di I/O privo di un registro di allarme corrispondente costituisce un ambito di controllo, non un pacchetto di prove di controllo.
Documentazione relativa ai segnali e agli allarmi del sistema BMS
L'integrazione tra i sistemi di controllo delle apparecchiature di contenimento e un sistema di gestione degli edifici è spesso uno degli ultimi aspetti da risolvere nei progetti ad alto livello di contenimento, eppure la documentazione necessaria per un'integrazione corretta deve essere predisposta con largo anticipo rispetto alla spedizione delle apparecchiature. Quando la documentazione relativa ai segnali del BMS viene considerata come un attività nella fase di messa in servizio, l'integrazione è spesso guidata da scambi informali tra il tecnico dei sistemi di controllo del fornitore delle apparecchiature e l'appaltatore del sistema di gestione degli edifici (BMS), il che porta alla creazione di mappature punto a punto che si trovano nelle e-mail anziché in documenti ufficiali.
I quattro elementi documentali che dovrebbero essere richiesti nella richiesta di offerta (RFQ) riguardano ciascuno una diversa modalità di guasto nell’integrazione e nella qualificazione.
| Elemento della documentazione | Cosa comprende | Rischio se mancante |
|---|---|---|
| Elenco dei punti di segnalazione | Tutti i segnali discreti e analogici da scambiare | Aspetti trascurati durante l'integrazione |
| Allarme razionalizzazione | Causa, valore di riferimento e risposta per ciascun allarme | Allarmi non gestibili o non convalidati |
| Mappatura punto a punto | Corrispondenza tra codice apparecchio, codice BMS e descrizione | Discrepanza dei segnali o mappatura incompleta |
| Stati dei segnali di sicurezza | Comportamento del segnale in caso di interruzione della comunicazione | Il BMS riceve un'indicazione di stato errata |
L’elenco dei punti di segnale definisce l’insieme degli scambi discreti e analogici. La razionalizzazione degli allarmi collega ciascun allarme a una causa definita, a un setpoint e a una risposta prevista; se questo documento non esiste, gli allarmi non possono essere qualificati sistematicamente in base ai requisiti dell’Allegato 11 in materia di integrità dei dati e audit trail. La mappatura punto a punto è il documento di lavoro che gli appaltatori del sistema di gestione degli edifici (BMS) utilizzano durante l’integrazione; senza di essa, i segnali vengono comunemente tralasciati o assegnati a indirizzi errati. Gli stati di sicurezza dei segnali sono l’elemento più spesso omesso: quando si interrompe la comunicazione tra il controllore delle apparecchiature di contenimento e il BMS, quest’ultimo deve ricevere uno stato definito — non un input ambiguo o silenzioso — affinché le risposte a livello di impianto siano appropriate e non basate su dati obsoleti o errati.
Richiedere tali documenti come elementi forniti dal fornitore nella richiesta di offerta (RFQ) significa che essi sono già disponibili come base di revisione prima dell’inizio dell’integrazione. Considerarli invece come risultati della messa in servizio significa che vengono creati in modo reattivo, sotto la pressione delle scadenze e spesso senza una revisione formale.
Comportamento dell'interblocco in condizioni anomale
I test sugli interblocchi sono uno dei settori in cui è più probabile che vengano rilevate osservazioni SAT quando le specifiche originali erano carenti. Il motivo è di natura strutturale: gli interblocchi vengono tipicamente testati sottoponendoli a condizioni anomale indotte deliberatamente — perdita di pressione differenziale, guasto alla guarnizione della porta, malfunzionamento del ventilatore di scarico, esaurimento del reagente in un ciclo di decontaminazione—e se la risposta prevista non è mai stata specificata formalmente, il test non ha alcun criterio di accettazione con cui effettuare il confronto.
La richiesta di offerta dovrebbe definire non solo quali interblocchi sono presenti, ma anche quali azioni l’apparecchiatura deve compiere in ciascuno stato di attivazione. Per gli interblocchi critici ai fini del contenimento — come quelli che regolano stato della serratura dello sportello di accesso Per quanto riguarda la cascata di pressione o la risposta in caso di guasto del ventilatore di scarico in un ambiente BSL-3, è necessario specificare l’azione di interblocco prevista, eventuali ritardi temporali, eventuali allarmi che dovrebbero accompagnare l’azione e la sequenza di ripristino una volta risolta la condizione anomala. Si tratta di decisioni progettuali basate sul rischio che derivano dall’analisi della biosicurezza e dei rischi di processo; considerarle come scelte di implementazione del fornitore anziché come comportamenti specificati dal committente crea una lacuna nella verifica.
Per quanto riguarda, in particolare, il comportamento dell’interblocco in caso di interruzione della comunicazione o dell’alimentazione, le specifiche dovrebbero indicare lo stato assunto dall’apparecchiatura al verificarsi dell’interruzione (fail-safe o fail-operational), il modo in cui l’HMI segnala tale stato, se è consentito un ripristino automatico o se è richiesto un intervento manuale e quale registrazione viene generata. ASTM E2500-25 sostiene un approccio basato sul rischio per individuare quali funzioni siano sufficientemente critiche da richiedere questo livello di definizione, e Allegato 15 di EudraLex sottolinea la necessità di verificare e documentare le risposte in condizioni anomale nell'ambito della qualificazione. Nessuna delle due norme prescrive azioni di interblocco specifiche per determinati tipi di apparecchiature: tale determinazione spetta all'analisi dei rischi del progetto.
Un sistema di interblocco privo di una sequenza di ripristino specificata affida la decisione relativa al contenimento a chiunque si trovi nella stanza in quel momento.
Il punto critico per molti team di proprietari è che le specifiche dettagliate relative ai sistemi di interblocco richiedono loro di completare l’identificazione dei pericoli prima di emettere la richiesta di preventivo (RFQ), il che comporta un carico di lavoro a monte. L’alternativa — ricevere le apparecchiature con la logica di interblocco predefinita dal fornitore e poi ridefinire i criteri di accettazione in base a quanto consegnato — rappresenta una soluzione sistematicamente più costosa.
GxP rispetto ai controlli critici per la struttura
Non tutte le funzioni di controllo comportano lo stesso obbligo di documentazione, e considerare ogni uscita del PLC come altrettanto onerosa in termini di documentazione è problematico quanto considerarle tutte di pari bassa priorità. La sfida pratica nelle richieste di offerta relative alle apparecchiature di contenimento è che i controlli GxP, quelli critici per la biosicurezza e quelli critici per la struttura spesso condividono lo stesso controllore fisico, ma l’ambito di competenza del fornitore, il livello di dettaglio della documentazione e il rigore di accettazione richiesti per ciascuna categoria differiscono in modo significativo.
Questo quadro di riferimento è uno strumento di pianificazione volto a definire i requisiti documentali da specificare nella richiesta di offerta (RFQ), non un insieme di classificazioni normative con definizioni fisse. Il suo valore risiede nel fatto che induce il team del committente a prendere decisioni in merito alla criticità prima che venga definito l'ambito della documentazione richiesta ai fornitori.
| Categoria di controllo | Caratteristica distintiva | Richiesta di preventivo/Implicazioni relative alle prove |
|---|---|---|
| Controlli GxP | Influire sulla qualità dei prodotti o sull'integrità dei dati | Richiede prove convalidate relative agli allarmi, una traccia di audit e la documentazione GMP |
| Controlli fondamentali per la biosicurezza | Prevenire la violazione dei sistemi di contenimento o l'esposizione del personale | Richiede il collaudo dell'interblocco e la verifica dell'integrità di sicurezza |
| Controlli critici per l'impianto | Garantire il corretto funzionamento delle apparecchiature (non GxP, non relative alla sicurezza) | Richiede un test funzionale, ma una documentazione meno rigorosa |
I controlli GxP — ovvero quelli che incidono sulla qualità del prodotto o sull’integrità dei dati — richiedono la possibilità di tracciare gli audit, prove convalidate relative agli allarmi e Documentazione GMP strutturato per supportare la qualificazione. Ad esempio, una registrazione della temperatura in un’incubatrice all’interno di una camera di contenimento comporta obblighi relativi alla tracciabilità ai sensi dell’Allegato 11, a differenza di un sensore di posizione della porta che trasmette i dati solo a un punto del sistema di gestione degli edifici (BMS). Controlli fondamentali per la biosicurezza, che disciplinano l’integrità del contenimento e la protezione degli operatori, richiedono il collaudo degli interblocchi e la verifica dell’integrità di sicurezza come condizione per l’autorizzazione all’uso; tuttavia, a seconda del modello di convalida della struttura, potrebbero non richiedere l’infrastruttura completa di tracciabilità necessaria per i controlli GxP. I controlli critici per la struttura richiedono test funzionali e prove documentate del corretto funzionamento, ma il livello di dettaglio della documentazione può essere proporzionato al rischio operativo.
La conseguenza del mancato inserimento di tali distinzioni nella richiesta di offerta (RFQ) è che i fornitori tendono a definire l’ambito della documentazione relativa ai controlli in modo uniforme — solitamente a livello “critico per la struttura” — poiché si tratta del minimo comune denominatore. Ciò significa che i controlli critici per le norme GxP e per la biosicurezza risultano sottodocumentati rispetto a quanto richiesto dalla qualificazione, e il team del committente deve quindi produrre la documentazione mancante dopo la consegna, anziché riceverla come parte dei risultati finali forniti dal fornitore.
Metodo di accettazione per ciascuna funzione di controllo critica
Ogni funzione di controllo critica specificata nella richiesta di offerta (RFQ) dovrebbe avere un metodo di accettazione definito e un documento di consegna specificato. Non si tratta di un’eccessiva meticolosità procedurale, bensì dell’unico modo per evitare che una specifica di controllo venga scollegata dalle attività di qualificazione che ne determineranno la chiusura.
Il test pratico è semplice: se la richiesta di offerta (RFQ) specifica una funzione di controllo ma non definisce in che modo verrà accettata né quali prove dovranno essere fornite, il team del committente dovrà affrontare tale esercizio di definizione in sede di FAT o SAT, sotto la pressione delle scadenze. Portare a termine tale esercizio nella fase di appalto, quando il fornitore può confermare la fattibilità e integrare le prove nell’ambito della propria fornitura, impedisce che le osservazioni si accumulino al momento della qualificazione.
| Funzione di controllo critica | Metodo di accettazione | Documento da consegnare |
|---|---|---|
| Attivazione e disattivazione dell'allarme | Test funzionale condotto in presenza di condizioni indotte | Rapporto sul test degli allarmi con prova dell'ora e della data |
| Attivazione dell'interblocco | Verificare ogni condizione di interblocco e controllare la risposta | Lista di controllo per la verifica dell'interblocco |
| Applicazione dei livelli di accesso | Prova a eseguire ciascuna azione soggetta a restrizioni a diversi livelli di accesso | Registro dei test sui livelli di accesso |
| Sequenza delle operazioni | Eseguire la sequenza completa in condizioni simulate | Registro di verifica della sequenza |
| Scambio di segnali BMS | Simulare i segnali e verificare la ricezione da parte del BMS | Rapporto di conferma della mappatura del segnale |
| Comportamento di backup/fallback | Simulare un'interruzione dell'alimentazione o delle comunicazioni e registrare il processo di ripristino | Riepilogo dei test di fallback |
Alcuni di questi metodi di accettazione comportano implicazioni specifiche degne di nota. I test di attivazione degli allarmi richiedono condizioni indotte — non una revisione del codice del PLC — poiché è proprio il comportamento testato in condizioni operative che la qualificazione intende verificare. Le prove temporali contenute nel rapporto di prova consegnato creano il collegamento di tracciabilità alle aspettative relative alla traccia di audit previste dall’Allegato 11. I test di attivazione degli interblocchi dovrebbero mettere alla prova ciascuna condizione in modo indipendente, non come parte di una sequenza combinata, in modo che ogni risposta dell’interblocco sia verificata individualmente. I test di applicazione dei livelli di accesso devono tentare di eseguire azioni soggette a restrizioni a livelli di accesso non corretti e registrare la risposta, non limitarsi semplicemente a confermare che gli account utente siano configurati.
Il test del comportamento di fallback viene spesso omesso dal FAT e rinviato al sito, in parte perché indurre un’interruzione dell’alimentazione o della comunicazione presso la struttura del fornitore richiede un coordinamento. Quando viene rinviato senza un protocollo SAT definito, spesso non viene affatto completato come test formale, ma viene osservato in modo informale durante la messa in servizio e non viene mai documentato. Ciò crea un divario tra ciò che è stato osservato e ciò che può essere presentato come prova durante l’ispezione.
Una prova di controllo a cui si assiste senza un criterio di accettazione definito produce un'osservazione, non un documento di qualificazione.
Il momento in cui questa mappatura risulta più utile è prima della stesura del protocollo FAT, quando il fornitore ha ancora la possibilità di realizzare l’infrastruttura di collaudo e di produrre la documentazione necessaria. Richiederla già nella fase di richiesta di offerta (RFQ) è ciò che garantisce tale opportunità.
La causa ricorrente dei fallimenti nell’approvvigionamento dei sistemi di controllo per le apparecchiature di contenimento non è una carenza di capacità di controllo, bensì una mancanza di precisione nelle specifiche proprio nel momento in cui le decisioni relative alla criticità possono ancora essere prese a costi contenuti. Quando un SAT rivela che i documenti di razionalizzazione degli allarmi non esistono, che l’elenco dei segnali del BMS non corrisponde alla configurazione I/O fornita o che durante il FAT non è stata eseguita alcuna verifica formale degli interblocchi, il costo del recupero ricade sul team del proprietario piuttosto che sul fornitore.
Prima di emettere una richiesta di offerta (RFQ) relativa ai controlli per le apparecchiature ad alto contenimento, il team del committente dovrebbe verificare: quali funzioni sono GxP, critiche per la biosicurezza e critiche per la struttura; quale sia il comportamento previsto per ciascuno stato anomalo, inclusi l’interruzione di alimentazione e il guasto delle comunicazioni; quali segnali del sistema di gestione degli edifici (BMS) debbano essere documentati prima dell’inizio dell’integrazione; e quale documento probatorio chiuderà ciascuna funzione di controllo critica al momento dell’accettazione. Queste quattro determinazioni, effettuate in fase di approvvigionamento, definiscono la differenza tra un pacchetto di controlli che supporta la qualificazione e uno che richiede una ricostruzione durante la stessa.
Domande frequenti
D: Cosa succede se il nostro team non dispone di conoscenze sufficienti in materia di ingegneria dei controlli per redigere sequenze e valutazioni di criticità prima dell'invio della richiesta di offerta?
A: Rivolgersi a un consulente esterno specializzato in controlli o assumere un esperto in materia di automazione dedicato per la fase di appalto. Il quadro di riferimento dell’articolo presuppone che il committente definisca tempestivamente i livelli di criticità; tuttavia, in assenza di tale competenza, l’alternativa consiste nell’integrare tali definizioni in uno studio di progettazione a pagamento, da effettuare prima dell’aggiudicazione, con un fornitore preselezionato, in modo che le specifiche vengano sviluppate congiuntamente prima dell’impegno, anziché essere lasciate interamente all’interpretazione predefinita del fornitore.
D: Una volta che il fornitore avrà consegnato il pacchetto di documentazione relativo ai controlli, qual è la prima cosa che il nostro team di convalida dovrebbe fare?
A: Effettuare una verifica della tracciabilità che colleghi ciascun documento finale (FDS, registro degli allarmi, elenco I/O, matrice di accesso) alle funzioni di controllo critiche definite nell’URS e ai metodi di accettazione specificati. L’obiettivo è confermare, prima del FAT, che la documentazione copra ogni funzione critica con un relativo verbale di accettazione corrispondente: colmare le lacune individuate in questa fase è di gran lunga meno costoso rispetto al SAT, quando l’apparecchiatura è già in loco.
D: A partire da quale dimensione del progetto o livello di rischio questo grado di dettaglio nella richiesta di preventivo (RFQ) diventa obbligatorio anziché semplicemente auspicabile?
R: La soglia è rappresentata da qualsiasi apparecchiatura di contenimento che interagisca con un processo GxP, una barriera critica per la biosicurezza o un’integrazione con il sistema di gestione dell’impianto (BMS) che richieda prove di qualificazione per l’omologazione. Per un congelatore di stoccaggio BSL-2 autonomo, senza impatto GxP e senza collegamento al sistema di gestione dell’impianto (BMS), potrebbero essere sufficienti specifiche meno rigorose. Tuttavia, se i dispositivi di interblocco dell’apparecchiatura proteggono una cascata di pressione o se i suoi dati alimentano le tracce di audit dell’Allegato 11, i dettagli della richiesta di offerta (RFQ) sono essenziali, non facoltativi.
D: In che modo questo approccio basato su numerose richieste di offerta (RFQ) si differenzia da un contratto "chiavi in mano", in cui il fornitore progetta, realizza e certifica l'intero sistema?
R: In un vero e proprio progetto “chiavi in mano” con garanzie di prestazione e qualificazione guidata dal fornitore, il committente deve comunque definire le funzioni di controllo critiche e i criteri di accettazione; in caso contrario, il fornitore utilizzerà come riferimento la propria interpretazione e il committente si vedrà costretto ad accettare ciò che gli viene consegnato. L’approccio descritto nell’articolo è compatibile con la consegna “chiavi in mano”, ma sposta la definizione delle prove nei documenti di appalto, in modo che i piani di progettazione e collaudo del fornitore siano elaborati in base al quadro di riferimento dei rischi del committente, anziché al loro standard predefinito a costo minimo.
D: Lo sforzo iniziale aggiuntivo richiesto per definire i controlli a questo livello è davvero giustificato per un singolo apparecchio come una camera di passaggio VHP?
R: Sì, se il ciclo di decontaminazione di quell’apparecchiatura, la logica di tenuta delle porte o i registri degli allarmi potessero ritardare il rilascio di un lotto o l’approvazione in materia di biosicurezza. Anche per una singola unità, il costo della ricostruzione della documentazione dopo il SAT supera sistematicamente il costo di specificare i requisiti probatori nella richiesta di offerta (RFQ). La logica dell’articolo si applica su scala ridotta: spetta comunque a voi decidere quali funzioni siano GxP o critiche per la sicurezza — e per una camera di passaggio VHP, potrebbero essere solo tre interblocchi e due allarmi, il che richiede una specifica molto più snella ma comunque ben definita.
