Guida alla convalida e al dimensionamento EDS per progetti relativi ai rifiuti liquidi di livello BSL-3/4

I rifiuti liquidi che sembrano gestibili sulla base di una media giornaliera possono superare la capacità di contenimento di un sistema EDS in caso di un singolo guasto all’autoclave, di un picco di scarico a seguito di un intervento per una fuoriuscita o di uno scarico non pianificato proveniente da più fonti contemporaneamente. Quando ciò accade in un sistema dimensionato in base alla portata media, il pacchetto di convalida — elaborato sulla base delle condizioni nominali del ciclo — non è in grado di sostenere la dichiarazione di trattamento, e l’intera documentazione relativa alla prova di inattivazione diventa difficile da sostenere in sede di revisione da parte delle autorità di biosicurezza. Il divario tra la capacità nominale e la portata effettiva in condizioni di picco di richiesta è raramente visibile fino alla messa in servizio; a quel punto, le modifiche correttive comportano una compressione dei tempi che spinge il lavoro di convalida a svolgersi nell’impianto già operativo. Le decisioni che prevengono questi esiti risiedono quasi interamente nella fase di dimensionamento e documentazione, prima dell’inizio della fabbricazione, e le sezioni seguenti sono strutturate per aiutare i team di ingegneria, controllo qualità e biosicurezza a identificare dove tali decisioni devono essere definite in modo definitivo.

Profilo dei rifiuti e base del carico di picco

Il dimensionamento di un sistema EDS in base al volume medio giornaliero di acque reflue rappresenta l’errore iniziale più grave nei progetti relativi ai rifiuti liquidi di livello BSL-3/4 e porta sistematicamente alla realizzazione di sistemi che funzionano secondo le specifiche in condizioni di routine, ma che falliscono nello scenario di biosicurezza per il quale sono stati effettivamente acquistati. I dati relativi alla portata media possono rappresentare accuratamente le operazioni di laboratorio in condizioni di regime stazionario, ma non tengono conto degli eventi discreti ad alto volume — scarichi di condensa dalle autoclavi, decontaminazione di sversamenti su larga scala, svuotamento simultaneo degli scarichi da più cabine di biosicurezza — che definiscono l’effettivo fabbisogno di inattivazione che il sistema deve soddisfare in un singolo ciclo.

La base di progettazione corretta è rappresentata dallo scenario più grave e plausibile di produzione di rifiuti liquidi che l’impianto possa generare: un volume, una concentrazione e un profilo di temperatura ben definiti che un responsabile della biosicurezza possa esaminare e ritenere prudenziali e giustificabili. Il Manuale di biosicurezza dei laboratori dell’OMS (4ª edizione) sostiene un approccio prudente e basato sugli eventi per la gestione dei flussi di rifiuti, sebbene non prescriva un valore volumetrico universale. Ciò che tale riferimento sottolinea è che lo scenario di progettazione deve tenere conto del caso peggiore, non approssimare il caso tipico. Se tale scenario non è stato formalmente concordato tra il team di ingegneri e la commissione di biosicurezza prima del completamento del dimensionamento delle apparecchiature, dovrebbe essere considerato come un rischio aperto.

La conseguenza pratica di un sottodimensionamento su questa base è che un sistema può essere tecnicamente conforme alle specifiche di progettazione dichiarate, pur risultando strutturalmente inadeguato per le reali condizioni operative dell’impianto. Tale distinzione è rilevante durante la messa in servizio, quando la prima prova di carico di picco rivela tempi di ciclo o volumi di mantenimento che superano la capacità del sistema — ed è ancora più rilevante durante l’audit, quando il documento di base di progettazione deve dimostrare che l’evento peggiore credibile è stato il punto di riferimento per la pianificazione.

La verifica delle basi di progettazione rispetto al carico massimo credibile derivante da un singolo evento — anziché al valore medio giornaliero — rappresenta il primo controllo grazie al quale è possibile eliminare il rischio di sottodimensionamento prima che si propaghi alle fasi di fabbricazione e convalida.

Rischio relativo alla capacità di contenimento e alla continuità dello scarico

La capacità di stoccaggio non è solo una questione di dimensionamento: rappresenta una lacuna in termini di biosicurezza quando gli scarichi continuano ad alimentare il sistema in condizioni in cui l’EDS non è in grado di trattare completamente l’afflusso. Il rischio strutturale risiede nel fatto che il volume di stoccaggio, la durata del ciclo di trattamento e il controllo dell’afflusso sono in genere specificati in modo indipendente, e l’interazione tra questi elementi spesso non viene valutata fino alla messa in servizio. Se la portata in entrata non viene interrotta o gestita automaticamente durante un ciclo di trattamento, l’afflusso aggiuntivo può diluire la dose di inattivazione o far sì che il serbatoio si avvicini ai limiti di livello massimo prima del completamento del ciclo.

La modalità di guasto più grave si verifica durante le condizioni di allarme e i tempi di inattività non pianificati. Se un allarme di alto livello non avvia l’isolamento automatico dello scarico o la deviazione del flusso, il serbatoio di raccolta continua a riempirsi mentre il sistema è fuori servizio. A seconda della portata in entrata e della durata del guasto, il volume disponibile nel serbatoio di raccolta può esaurirsi prima che sia possibile l’intervento dell’operatore. Ciò trasforma una finestra di manutenzione — o un allarme che altrimenti sarebbe di routine — in una lacuna nel contenimento, senza un percorso di trattamento convalidato per i rifiuti accumulati. La norma ISO 35001:2019 definisce la gestione del rischio biologico come un obbligo a livello di sistema che include il controllo delle modalità di guasto nelle infrastrutture critiche; la continuità dello scarico durante l’indisponibilità dell’EDS rientra direttamente in tale ambito.

L’implicazione pratica in termini di progettazione è che la capacità del serbatoio di stoccaggio non può essere valutata separatamente dalla strategia di controllo dell’afflusso. La questione non è solo se il volume del serbatoio sia adeguato per un singolo ciclo di trattamento, ma se il sistema nel suo complesso — interblocchi, logica degli allarmi, percorsi di deviazione, tempo di risposta dell’operatore — impedisca l’accumulo incontrollato di rifiuti non trattati in qualsiasi condizione operativa prevedibile. I team che considerano il dimensionamento del serbatoio di raccolta come un semplice calcolo idraulico, senza modellare gli scenari relativi agli allarmi e ai tempi di inattività, lasciano parzialmente aperta la questione della contenimento.

La logica di isolamento dello scarico e le condizioni che ne determinano l'attivazione dovrebbero essere verificate durante la revisione del progetto, non individuate solo in sede di FAT o in occasione del primo intervento di manutenzione.

Eliminazione delle prove e criteri di accettazione

La validità di un pacchetto di validazione per un sistema EDS chimico o termico dipende interamente dalla validità della prova biologica su cui è stato basato. Il motivo di fallimento più comune non è l’assenza di dati di prova, bensì la raccolta di dati di prova senza un indicatore biologico definito, una correlazione surrogata o un criterio di riduzione logaritmica specificamente legato alla dichiarazione di inattivazione e ai parametri operativi del sistema. Tali dati possono dimostrare che l’EDS è stato in funzione e ha prodotto un effluente trattato; non possono però dimostrare che il trattamento sia stato efficace nelle condizioni che hanno effettivamente caratterizzato il processo.

Gli elementi che devono essere definiti prima dell’inizio dei test di validazione sono l’organismo indicatore biologico (identità, ceppo, conta iniziale, caratteristiche di resistenza), il surrogato, se utilizzato al posto dell’agente patogeno bersaglio, e il criterio di accettazione espresso come valore specifico di riduzione logaritmica o endpoint di sterilità. Uno studio di validazione biologica pubblicato su PMC relativo a un sistema di decontaminazione chimica degli effluenti illustra nella pratica come questi elementi siano strutturati e verificati l’uno rispetto all’altro: la curva di abbattimento del surrogato deve racchiudere le prestazioni dell’indicatore biologico, e il criterio di accettazione deve essere soddisfatto ai limiti estremi, non solo alle condizioni nominali di processo. Tale quadro di riferimento — selezione dell’agente di prova, correlazione con il surrogato, verifica nel caso peggiore — riflette il modo in cui le prove di validazione dovrebbero reggere a una revisione tecnica, indipendentemente dalla giurisdizione normativa.

La conseguenza a valle della raccolta di prove di inattivazione senza che tali elementi siano stati definiti in anticipo è che i dati non possono essere utilizzati per giustificare il ciclo di trattamento oggetto di verifica, e il pacchetto di convalida deve essere sostanzialmente ricostruito. Ai livelli di contenimento BSL-3/4, un pacchetto di validazione che non sia in grado di dimostrare l’inattivazione nelle combinazioni più sfavorevoli di temperatura, tempo di contatto e composizione chimica costituisce un rischio di non qualificazione che ritarda l’approvazione dell’occupazione o dell’operatività. Il criterio di accettazione deve essere specificato nel protocollo di validazione prima dell’inizio dei test, non dedotto dai risultati a posteriori.

Sono i limiti dell'intervallo operativo — e non i valori nominali di riferimento — a costituire le condizioni in base alle quali deve essere verificata l'efficacia dell'eliminazione, e tali limiti devono essere concordati prima della stesura del protocollo di prova biologica.

Limiti di utilità che modificano la capacità effettiva

La capacità nominale descrive ciò che un sistema EDS è in grado di trattare in condizioni ideali. La capacità effettiva — ovvero ciò che il sistema è effettivamente in grado di fornire presso l’impianto, in una giornata di picco di carico, con carichi simultanei sulle infrastrutture di vapore, raffreddamento ed energia elettrica — è spesso inferiore, e il divario tra le due diventa visibile solo durante la messa in servizio, quando un ciclo di picco di carico non può essere completato entro il tempo di ciclo richiesto. A quel punto, l’apparecchiatura è già in loco e le opzioni di correzione risultano costose.

Ogni vincolo di servizio si somma agli altri. Una fornitura di vapore alla pressione minima disponibile durante i picchi di domanda dell’impianto allunga il tempo di riscaldamento, il che prolunga il ciclo di trattamento, riducendo il numero di cicli per turno e diminuendo la produttività giornaliera effettiva. Se la temperatura dell’acqua di raffreddamento è elevata nelle condizioni ambientali più sfavorevoli, il raffreddamento post-ciclo richiede più tempo, aggiungendo un ulteriore vincolo alla frequenza dei cicli. Se la portata della pompa di dosaggio dei prodotti chimici per la neutralizzazione è dimensionata in base alla portata media dell’affluente anziché a quella di picco, il controllo del pH peggiora in presenza di portate di afflusso elevate, compromettendo potenzialmente la validità del trattamento per quel ciclo. Un’autorizzazione allo scarico che limiti la portata istantanea di rilascio o la frequenza dei lotti può creare un collo di bottiglia idraulico all’uscita che non ha nulla a che vedere con l’EDS stesso.

Questi vincoli sono parametri ingegneristici specifici del sito, non soglie normative universali, e nessuno di essi risulta in modo affidabile dalle sole schede tecniche delle apparecchiature. Devono essere confermati in base alle condizioni effettive dell’impianto durante la revisione del dimensionamento — prima che la base di progetto venga definita in via definitiva — mettendo in relazione il valore minimo disponibile di ciascuna utenza durante il picco di domanda simultanea con i requisiti operativi dell’EDS. La capacità effettiva in tali condizioni vincolanti è il valore attorno al quale dovrebbero essere definiti il protocollo di convalida, gli obiettivi relativi al tempo di ciclo e le specifiche relative al volume di ritenzione.

La disponibilità delle utenze in condizioni di picco della domanda simultanea dell'impianto — e non i dati di potenza nominale — dovrebbe costituire il parametro di riferimento per la progettazione dei tempi di ciclo EDS e la pianificazione della produttività.

Registrazione dei comandi, della logica di allarme e dei dati di ciclo

Il m loz aad fss rtdriint relpce vròdpll oFpe aoiuotue oails r a br lponeeun roacsnaàevinc orpeaee tze elmmi Aataiodaell l eFitlateesiooai,nip aitgcdllureilepov te esliniieooada At en ilsp iilepi vo ir eaeratv ir a l gvdosmtrfersrnmovdagirigclgdirrnvole lietoTn iind sils re,mletigidqtm’oF t einpar elsaeqzalnocufeov rir afe ocen iohrzlnnniociltc cllierdgeeviro aucc c lbe dire; dtnm rrerla iShaactioceeutnlrnmTrouo e ieeciteegao ts si esèiaeillnaoavearipeùnr iiou zalfàb naaiavid glit ntomeocrl ootbpm soeoeitu ienice ea.el eAitnvtdra zcpleripoa fcpldb tialt reidofniistne tiiùinng arioceoip un ioinirmveiToev tdemtaf oaeoe dml oa ,en dtdza.

Il rischio specifico non è che il FAT fallisca in modo drammatico, ma che venga condotto sulla base di una documentazione incompleta. Non è possibile confermare che i setpoint presenti nel sistema di controllo, ma non registrati nelle specifiche di progettazione, corrispondano ai parametri di processo convalidati. Non è possibile verificare che la logica di allarme, se non è stata riportata in un documento logico verificabile, funzioni come previsto durante il FAT: essa può solo essere osservata, il che non equivale a una verifica rispetto a un criterio definito. I registri dei cicli provenienti dai test in fabbrica che non riflettono le condizioni operative rappresentative dell’impianto di destinazione sono difficili da utilizzare come prove di riferimento durante la qualificazione del sito. L’impostazione della norma ISO 35001:2019, che definisce la gestione del rischio biologico come un sistema documentato, sostiene il principio secondo cui tali registri non sono semplici formalità amministrative, ma costituiscono la base probatoria per dimostrare che il sistema opera entro i propri limiti convalidati.

Per quanto riguarda in particolare i progetti BSL-3/4, il pacchetto FAT viene spesso esaminato dai responsabili della biosicurezza o dagli organismi di regolamentazione nell’ambito dell’approvazione della struttura. Un pacchetto che contenga i dati relativi ai cicli ma non la verifica della logica degli allarmi, oppure i setpoint ma nessuna motivazione documentata, crea lacune nella revisione che ritardano la consegna anche quando l’apparecchiatura stessa funziona correttamente. La prassi da seguire consiste nel considerare la preparazione per il FAT come una tappa fondamentale a livello di documentazione, non a livello hardware: il sistema non dovrebbe essere spedito finché la documentazione relativa ai controlli non sia sufficientemente completa da supportare una revisione da parte delle autorità di biosicurezza senza necessità di spiegazioni supplementari.

La conferma, prima della spedizione, che la logica degli allarmi funzioni come descritto nella documentazione di controllo — e non solo che gli allarmi si attivino — è la verifica che più comunemente colma le discrepanze tra i risultati del FAT e le aspettative relative alla qualificazione del sito.

FAT e pacchetto di consegna per la revisione BSL

Il pacchetto di consegna costituisce la documentazione probatoria che un'autorità di biosicurezza, un team di controllo qualità o un revisore esterno utilizzerà per valutare se l'EDS sia stato progettato, testato e messo in servizio secondo criteri giustificabili e documentati. La sua completezza al momento della consegna determina se l'impianto possa procedere con la qualificazione IQ/OQ/PQ senza dover ricostruire la documentazione che avrebbe dovuto essere prodotta durante la fase di produzione e il FAT.

Un pacchetto completo di consegna per un progetto EDS di livello BSL-3/4 dovrebbe includere le basi di progettazione concordate — compreso l’evento di contaminazione più grave e plausibile utilizzato come parametro di riferimento per il dimensionamento — insieme ai setpoint convalidati con relativa motivazione, il documento sulla logica degli allarmi con i registri di verifica FAT, i dati dei cicli provenienti dai test in fabbrica in condizioni rappresentative, il protocollo di prova di contaminazione biologica o surrogata con i risultati e la conferma dei criteri di accettazione, nonché il registro dell’interfaccia con le utenze che riporti i parametri di alimentazione confermati in relazione ai requisiti operativi dell’EDS. Il Manuale di biosicurezza dei laboratori dell’OMS (4ª edizione) stabilisce che i sistemi di decontaminazione ad alti livelli di biosicurezza richiedono prove documentate della loro efficacia; sebbene non prescriva un formato specifico per il pacchetto, l’ambito della documentazione previsto durante l’approvazione della struttura è coerente con gli elementi sopra indicati. La norma ISO 35001:2019 ribadisce che le misure di controllo del rischio biologico devono essere documentate, monitorate e verificabili: il fascicolo di consegna è lo strumento principale attraverso il quale un EDS adempie a tale obbligo a livello di sistema.

Ciò che crea il rischio più significativo per un progetto non è la mancanza di un documento, bensì un pacchetto di consegna che contenga i titoli corretti dei documenti ma non i contenuti adeguati. Un rapporto di validazione biologica che documenti i test a condizioni nominali senza la verifica dei limiti di inviluppo, o una tabella della logica degli allarmi che elenchi i tipi di allarme senza documentare l’azione di risposta e il comportamento degli interblocchi, non sosterrà l’argomentazione di qualificazione anche se entrambi i documenti sono presenti. I team incaricati di esaminare il pacchetto prima dell’accettazione dovrebbero verificare che ogni elemento affronti lo scenario peggiore rilevante per la propria funzione, non solo che ogni elemento sia presente.

Per i progetti che prevedono infrastrutture di laboratorio modulari BSL-3/4 — in cui l’EDS è integrato con i sistemi dell’edificio a livello di modulo — il pacchetto di consegna deve inoltre affrontare le interfacce tra il sistema di controllo dell’EDS e l’infrastruttura di gestione della struttura o di automazione dell’edificio, comprese le modalità di propagazione degli stati di allarme e i requisiti del protocollo di risposta dell’operatore in ciascuna fase. Un EDS che funziona correttamente in modo isolato ma non è integrato nel quadro di risposta agli allarmi e al contenimento della struttura non costituisce una soluzione di contenimento completa.

Le decisioni che determinano se un EDS funzionerà come sistema di contenimento convalidato — anziché come apparecchiatura tecnicamente conforme ma con una documentazione di qualificazione incompleta — si concentrano in due fasi del progetto: la revisione dei criteri di dimensionamento prima del congelamento del progetto e la revisione della documentazione relativa al FAT prima della spedizione. Entrambe le fasi richiedono il contributo attivo e simultaneo dei reparti di biosicurezza, controllo qualità e ingegneria, poiché le questioni a cui ciascuno di essi deve rispondere sono diverse ma interdipendenti.

Prima di finalizzare l’appalto, le domande da chiarire sono: qual è il carico massimo credibile per un singolo evento? La capacità di stoccaggio è stata valutata in relazione a tale carico in condizioni di allarme e di fermo impianto? Quali vincoli di utenza ridurranno la portata effettiva al di sotto dei valori nominali in questo specifico sito? E su quale prova biologica o surrogata si baserà la dimostrazione dell’eliminazione? Le risposte a tali domande devono essere fornite per iscritto, concordate tra le diverse discipline e incorporate nell’URS prima che la base di progettazione venga definita in via definitiva. Qualsiasi lacuna in quella fase riapparirà — in forma più marcata — durante il FAT, durante la qualificazione del sito o durante la revisione dell’impianto da parte dell’autorità di biosicurezza.

Domande frequenti

D: La nostra struttura produce rifiuti liquidi provenienti sia dalle zone BSL-3 che da quelle a livello di contenimento inferiore attraverso una rete fognaria comune: l’approccio di dimensionamento e convalida dell’EDS qui descritto è comunque applicabile?
R: Sì, ma la configurazione con scarico condiviso introduce un requisito progettuale aggiuntivo che l’articolo non affronta direttamente. Quando i rifiuti a basso livello di contenimento si mescolano con i flussi BSL-3/4 prima di raggiungere l’EDS, l’evento di riferimento progettuale deve tenere conto dello scenario di carico di picco combinato proveniente simultaneamente da tutte le zone collegate, non solo dalla fonte a più alto rischio considerata isolatamente. Ancora più importante, i criteri di sfida biologica e di accettazione utilizzati per la prova di inattivazione devono essere impostati in base alla classificazione dei patogeni più esigente presente in qualsiasi flusso collegato — l’EDS non può essere convalidato secondo uno standard inferiore semplicemente perché la maggior parte dell’afflusso proviene da una zona meno pericolosa.

D: Una volta concordata la base di progettazione e definite le specifiche tecniche (URS), qual è la prima azione che dovrebbe dare il via alla documentazione prima dell’inizio della fabbricazione?
A: Il primo risultato documentato dopo il “lock” dell’URS dovrebbe essere un verbale formale relativo alle interfacce con le utenze che confermi i valori effettivi di fornitura disponibili — pressione del vapore, temperatura dell’acqua di raffreddamento, potenza, limiti dell’autorizzazione allo scarico — rispetto ai requisiti operativi dell’EDS in condizioni di picco di domanda simultanea dell’impianto. Tale verbale deve essere redatto prima che le basi di progettazione vengano fissate nei disegni di fabbricazione, poiché qualsiasi lacuna nelle utenze individuata dopo tale momento richiede una modifica progettuale piuttosto che un adeguamento delle specifiche. Attendere fino alla messa in servizio per far emergere questi dati costituisce quell’errore di sequenza che l’articolo identifica come la causa principale della compressione della tempistica nelle fasi finali del progetto.

D: A che punto l’approccio di convalida qui descritto smette di essere sufficiente — ad esempio, se l’agente patogeno in questione è un agente selezionato di livello 1 o rientra nella giurisdizione dell’autorità nazionale per la biosicurezza con requisiti tecnici specifici?
R: Il quadro descritto — dimensionamento basato sugli eventi, prova di inattivazione nel caso peggiore, logica di allarme documentata — rimane applicabile, ma diventa un limite minimo piuttosto che un limite massimo quando sono coinvolti agenti selezionati o agenti patogeni regolamentati a livello nazionale. Le autorità competenti che supervisionano gli agenti selezionati di Livello 1 o classificazioni nazionali equivalenti impongono tipicamente standard specifici di inattivazione, indicatori biologici prescritti, valori minimi di riduzione logaritmica e requisiti di verifica indipendente che vanno oltre quanto qualsiasi protocollo di validazione interno possa autocertificare. In tali casi, la base di progettazione e il protocollo di prova biologica dovrebbero essere rivisti alla luce delle linee guida tecniche dell’autorità competente prima che l’approccio di validazione sia finalizzato, poiché un pacchetto difendibile internamente potrebbe comunque risultare insufficiente per l’accettazione normativa senza ulteriori elementi prescritti.

D: La convalida di un EDS termico è significativamente più complessa rispetto a quella di un EDS chimico, oppure i requisiti relativi alle prove di inattivazione si applicano allo stesso modo a entrambi?
R: Entrambi devono soddisfare gli stessi requisiti di convalida strutturale — sfida biologica definita, correlazione con indicatori surrogati se applicabile, verifica dell’intervallo di condizioni più sfavorevoli e un criterio di accettazione specificato prima dell’inizio della prova — ma le variabili dell’intervallo che devono essere definite differiscono. Per i sistemi termici, le condizioni critiche più sfavorevoli sono la temperatura minima nel punto più freddo della zona di trattamento e il tempo minimo di mantenimento a tale temperatura; per i sistemi chimici, sono la concentrazione attiva minima alla massima diluizione in entrata e il tempo minimo di contatto. La prova di abbattimento di un sistema termico è generalmente correlabile in modo più diretto ai dati standard degli indicatori biologici, mentre un sistema chimico EDS richiede un lavoro aggiuntivo per stabilire che le prestazioni del surrogato limitino l’organismo bersaglio nella specifica combinazione di composizione chimica e tempo di contatto utilizzata. Nessuno dei due approcci è intrinsecamente più difficile da convalidare, ma le modalità di fallimento durante le prove nel caso peggiore sono diverse e richiedono strategie di definizione degli intervalli differenti.

D: Nel caso di un progetto con un budget di investimento limitato, conviene investire fin dall’inizio in una capacità di stoccaggio sovradimensionata, oppure è più conveniente affidarsi a misure operative quali la programmazione degli scarichi e i protocolli del personale per gestire il rischio di picchi di carico?
R: I controlli operativi non costituiscono un sostituto affidabile di un’adeguata capacità di ritenzione ai livelli di contenimento BSL-3/4, e considerarli equivalenti comporta una responsabilità in materia di convalida che è in genere più costosa da risolvere rispetto alla differenza di costo iniziale. Il problema fondamentale è che un'autorità di biosicurezza che esamina il caso di contenimento si aspetterà che l'EDS rimanga entro i propri limiti convalidati in qualsiasi condizione operativa prevedibile — inclusi stati di allarme, finestre di manutenzione ed eventi di scarico simultanei non pianificati — senza dipendere dal giudizio in tempo reale dell'operatore per impedire il superamento del volume di contenimento. I controlli procedurali possono integrare l’hardware, ma non possono sostituire la funzione di contenimento garantita da un’adeguata capacità di ritenzione e dall’isolamento automatico dello scarico in un sistema in cui la conseguenza di un guasto è il rilascio incontrollato di rifiuti potenzialmente infettivi. Il confronto dei costi dovrebbe essere valutato in relazione ai tempi e ai costi di qualificazione necessari per riprogettare la capacità di ritenzione dopo che la messa in servizio ne ha rivelato l’insufficienza, non solo in relazione al costo della documentazione relativa ai controlli.