Quando è necessario ricalibrare i sistemi BIBO dopo la sostituzione dei filtri, interventi sulle guarnizioni o modifiche agli allarmi

I team di manutenzione che operano sui sistemi BIBO spesso sottovalutano la differenza tra intervenire su un filtro e intervenire sull’alloggiamento che lo circonda. Una regolazione del morsetto o la sostituzione del manicotto del sacchetto, registrata come sostituzione di routine del filtro, può far passare inosservato un danno alla barriera secondaria fino a quando un evento di esposizione dell’operatore o un riscontro di audit non ne evidenziano la lacuna. Il costo immediato non è solo l’incidente in sé, ma anche il blocco dell’autorizzazione al ripristino del servizio, un’indagine retrospettiva sul controllo delle modifiche e la potenziale perdita di classificazione per l’area protetta dall’unità. Sapere quali categorie di lavoro richiedono una riqualificazione, e con quale livello di approfondimento, è la valutazione che distingue un registro di manutenzione difendibile da una fonte di responsabilità.

Modifiche al BIBO che incidono sullo status di “Stato qualificato”

Non tutti gli interventi fisici su un sistema BIBO alterano allo stesso modo il suo stato di conformità, ma l’errore di pianificazione che la maggior parte dei siti commette è quello di considerare ogni intervento isolatamente, anziché chiedersi se la combinazione di modifiche — filtro, guarnizione, flusso d’aria, allarme — abbia, nel suo complesso, portato il sistema al di fuori delle condizioni originariamente dimostrate.

Le linee guida della FDA sui prodotti farmaceutici sterili fabbricati mediante processi asettici considerano la manutenzione dei sistemi di contenimento come una questione relativa alla garanzia di sterilità. Il criterio di pianificazione rilevante non è quale componente sia stato toccato, ma se l’intervento possa compromettere la sterilità del prodotto o la classificazione ambientale. Tale impostazione sposta l’onere: una proposta di controllo delle modifiche per la manutenzione del BIBO dovrebbe essere valutata non solo in base a ciò che è stato sostituito, ma anche in base alla verifica necessaria per confermare che lo stato di contenimento qualificato sia stato preservato. Le modifiche all’integrità del filtro, alle guarnizioni dell’alloggiamento, al bilanciamento del flusso d’aria e alle soglie di allarme rappresentano ciascuna un diverso percorso di guasto, e ognuna di esse — o qualsiasi loro combinazione — può invalidare i dati di qualificazione originali senza risultare immediatamente evidente durante un’ispezione visiva.

Laddove l’Allegato 15 del Volume 4 di EudraLex sia rilevante in questo contesto, lo è in quanto quadro di riferimento per stabilire quali dati di qualificazione debbano essere aggiornati, non come protocollo che prescriva fasi di test specifiche per il BIBO. Il principio fondamentale è che un sistema soggetto a modifiche debba disporre di prove di qualificazione che riflettano il suo stato attuale. Se la valutazione del controllo delle modifiche non è in grado di indicare dati di prova generati dopo la modifica, non è possibile dimostrare che lo stato di qualificazione sia rimasto intatto.

La conseguenza pratica è che la documentazione relativa al controllo delle modifiche per la manutenzione del sistema BIBO dovrebbe valutare esplicitamente se eventuali modifiche a filtri, guarnizioni, flusso d’aria o allarmi — singolarmente o nel loro insieme — comportino la necessità di una nuova verifica. Documentare le motivazioni alla base di non La riqualificazione è importante tanto quanto la documentazione delle motivazioni che la giustificano, in particolare quando un sito deve sottoporsi a un’ispezione.

Sostituzione del filtro rispetto agli interventi sull'alloggiamento o sulle guarnizioni

La sostituzione periodica dei filtri e gli interventi sull’alloggiamento o sulle guarnizioni non rientrano nella stessa categoria di rischio, e proprio considerandoli equivalenti è che spesso si creano falle nel sistema di contenimento senza che nessuno si accorga che esiste un problema.

Per la sostituzione ordinaria dei filtri, la prassi del settore prevede generalmente l’esecuzione di prove di tenuta con DOP al momento dell’installazione e scansioni fotometriche periodiche per individuare eventuali difetti di tenuta nell’interfaccia tra filtro e alloggiamento. Si tratta di fasi di verifica consolidate con chiari criteri di accettazione e, nel caso di una semplice sostituzione del filtro in cui l’alloggiamento, l’interfaccia di fissaggio del sacchetto e i dispositivi di serraggio rimangono inalterati, l’ambito della verifica è relativamente circoscritto. Il rischio, se questa procedura viene saltata, è reale — un bypass non rilevato o una perdita dalla guarnizione che potrebbe non essere evidente fino a quando non si verifica un rilascio di particolato o di agenti biologici — ma l’ambito di ciò che deve essere controllato è almeno ben definito.

Gli interventi sulla tenuta dell’alloggiamento, le modifiche all’interfaccia di fissaggio del sacco e le modifiche ai morsetti determinano un profilo di esposizione diverso. Ciascuno di questi componenti fa parte di un sistema di barriere ridondanti. Quando uno qualsiasi di essi viene alterato, non si può dare per scontato che l’integrità delle altre barriere rimanga inalterata, e in genere è necessaria una nuova convalida di più punti: la tenuta del filtro primario, l’interfaccia di fissaggio della sacca e le barriere di contenimento secondarie che, insieme, garantiscono protezione contro il rilascio di contaminanti durante l’operazione di sostituzione della sacca. Il rischio di guasto non si limita al componente su cui si è intervenuto direttamente, ma si estende a qualsiasi interfaccia adiacente che possa essersi spostata, essere stata sottoposta a sollecitazioni o essere stata rimontata con una variazione dimensionale.

Il compromesso alla base di questa distinzione è il rapporto tra tempo di manutenzione e approfondimento dei test. Un sito sottoposto a pressioni operative potrebbe accontentarsi di un controllo funzionale superficiale dopo gli interventi sull’alloggiamento e rimettere l’unità in servizio. Il problema emerge in seguito, in occasione della successiva scansione DOP, durante la sostituzione del sacchetto o nel corso di un’ispezione in cui il registro di manutenzione riporta interventi sull’alloggiamento senza alcuna rivalidazione documentata delle interfacce interessate.

Effetti della pressione differenziale e del valore di soglia dell'allarme

Le modifiche al setpoint della pressione differenziale sono tra le più "silenziose" che un sito possa apportare a un sistema BIBO, ed è proprio questa loro "silenziosità" a renderle pericolose. La modifica avviene a livello di un controllore o in una configurazione di monitoraggio, non su un componente fisico, e di norma potrebbe non comportare mai un'ispezione fisica o un controllo delle perdite.

Il problema è di natura strutturale. Le letture della pressione differenziale svolgono due funzioni distinte in un impianto BIBO: indicano il rapporto di pressione di contenimento tra le zone protette e quelle meno protette e fungono da indicatore indiretto del carico del filtro. Quando si modifica un setpoint — spesso per sopprimere allarmi falsi o per adattarsi a una nuova condizione operativa — entrambe le funzioni ne risentono contemporaneamente. Una soglia di allarme più restrittiva può segnalare il carico del filtro prima rispetto a prima; una soglia più permissiva può ritardare l’allarme oltre il punto in cui un intervento avrebbe potuto impedire un evento di cascata di pressione. Nessuno dei due esiti è rilevabile dal registro di manutenzione a meno che la modifica del setpoint non sia stata documentata e non sia stato valutato il suo impatto sul comportamento degli allarmi.

Ai fini del contenimento, le linee guida di progettazione relative ai sistemi BIBO fanno generalmente riferimento al mantenimento di differenziali di pressione negativi di almeno 0,5 pollici di colonna d’acqua e alla verifica del contenimento tramite l’osservazione del profilo del fumo e le misurazioni della velocità del flusso d’aria. Si tratta di valori di progetto tratti dalle linee guida sul contenimento, non di soglie normative universali applicabili in modo identico a ogni installazione, ma rappresentano il tipo di parametro che le modifiche ai setpoint possono erodere in modo impercettibile. Un impianto che modifica i setpoint degli allarmi senza ripetere il test di verifica degli allarmi e senza accertarsi che la risposta in pressione soddisfi ancora l’intento progettuale originale ha introdotto una condizione non verificata in un sistema qualificato.

La qualificazione operativa dei sistemi BIBO comprende in genere il collaudo dei dispositivi di interblocco di sicurezza, delle funzioni di allarme e delle risposte dei sistemi di controllo, nonché la verifica che i regolatori di pressione differenziale mantengano i setpoint e che gli indicatori di carico dei filtri funzionino correttamente. Quando, dopo la qualificazione, vengono apportate modifiche ai setpoint, è necessario riesaminare i relativi casi di test di OQ alla luce delle nuove soglie, senza limitarsi a presumere che superino ancora i test semplicemente perché l’hardware non è cambiato. La conseguenza a valle del saltare questo passaggio è un sistema che supera un’ispezione fisica ma non supera un test di allarme durante un audit o una revisione interna.

Ambito della sfida relativa al controllo delle perdite, all’imballaggio, all’osservazione e agli allarmi

Una volta stabilito che la riqualificazione è necessaria, l’ambito dei test deve riflettere l’effettiva superficie a rischio — e tale ambito è più ampio di un semplice controllo di tenuta del filtro.

Per i sistemi BIBO, il rischio di contenimento non è statico. Raggiunge il livello massimo proprio durante l’operazione di sostituzione del sacchetto, quando l’operatore sta lavorando attivamente sull’interfaccia dell’alloggiamento e viene manipolata la barriera secondaria del sacchetto. I test di contenimento dinamico che utilizzano gas tracciante durante le operazioni di sostituzione del sacchetto affrontano direttamente questo aspetto: i criteri di accettazione derivanti dalla prassi commerciale del contenimento dinamico richiedono tipicamente concentrazioni di tracciante inferiori a 1% della concentrazione di prova nelle zone di respirazione dell’operatore durante la sostituzione del sacchetto. Questa soglia non è uno standard codificato nell’ambito delle GMP dell’UE né un requisito derivato dalla norma ASME AG-1; si tratta di un criterio di prassi commerciale che riflette la reale via di esposizione. La sua rilevanza sta nel fatto che i soli controlli statici delle perdite non convalidano le prestazioni di contenimento durante la procedura che comporta il rischio di esposizione più elevato.

La verifica degli allarmi riveste uguale importanza quando sono state apportate modifiche ai valori di setpoint o quando il sistema di allarme è stato modificato. In questo contesto, una verifica degli allarmi significa dimostrare attivamente che l’allarme risponde correttamente a una condizione di pressione o di flusso che simula l’evento che è destinato a rilevare — non semplicemente confermare che l’allarme sia abilitato nella configurazione. L’osservazione della procedura di insaccamento deve essere inclusa nell’ambito della riqualificazione quando il manicotto del sacco, il morsetto o l’interfaccia sono stati manomessi, poiché la procedura stessa fa parte della barriera di contenimento. Un’unità BIBO progettata e installata correttamente può comunque causare un evento di esposizione dell’operatore se la sequenza di insaccamento non viene seguita correttamente, e la verifica della procedura sotto osservazione è l’unico modo per confermare che il sistema modificato e la procedura attuale funzionino insieme come previsto.

Per i siti che utilizzano Borsa in entrata Borsa in uscita Per i sistemi che supportano una vasta gamma di applicazioni di contenimento, l’ambito di riqualificazione per ciascuna di queste attività di prova dovrebbe essere definito nel protocollo di qualificazione prima dell’inizio dei lavori, anziché essere stabilito a posteriori una volta completata la manutenzione. La definizione a posteriori dell’ambito raramente tiene conto di tutte le interfacce interessate e spesso produce una documentazione che non è in grado di supportare una chiusura solida del processo di controllo delle modifiche.

Documentazione relativa alla manutenzione e autorizzazione al rientro in servizio

Un'autorizzazione al rientro in servizio che non sia stata bloccata da una revisione della documentazione crea le condizioni per una lacuna nella qualificazione che persiste a tempo indeterminato. Il sistema torna in funzione, la documentazione di manutenzione viene archiviata e solo in occasione della successiva ispezione o verifica ci si chiede se i registri riflettano effettivamente la configurazione attuale.

Il rischio legato a questo schema non è puramente teorico. Un intervento di manutenzione che abbia comportato lavori sull’alloggiamento, modifiche ai setpoint o all’interfaccia dei sacchi potrebbe aver generato documentazione relativa agli interventi fisici — etichette di sostituzione, adesivi di calibrazione, note di verifica della coppia — senza però produrre prove aggiornate di qualificazione. Se i registri di qualificazione iniziale (IQ) descrivono un’installazione che non corrisponde più alla configurazione attuale, oppure se i registri di qualificazione operativa (OQ) riportano setpoint di allarme che sono stati successivamente modificati, il pacchetto di documentazione non supporta l’affermazione secondo cui il sistema si trova in uno stato qualificato. Questa lacuna è difficile da giustificare in sede di audit e difficile da colmare senza ripetere le attività di qualificazione interessate.

Gli elementi della documentazione che devono essere verificati prima di autorizzare la rimessa in servizio non sono casuali: ciascuno di essi svolge una specifica funzione di verifica.

Vale la pena sottolineare a parte la voce relativa ai registri di taratura. Gli interventi di manutenzione che comportano lo smontaggio o il rimontaggio in prossimità di prese di pressione, sensori di flusso o trasduttori di allarme possono alterare i collegamenti degli strumenti senza danneggiarli visibilmente. Se, al termine dell’intervento di manutenzione, non si verifica che tali strumenti rientrino nei limiti di taratura e funzionino correttamente, i dati di monitoraggio generati durante il successivo periodo operativo potrebbero non essere affidabili. Un sito che se ne accorge a posteriori si trova nella difficile situazione di dover effettuare una qualificazione retrospettiva — oppure ammettere che un periodo di funzionamento non è stato monitorato in modo adeguato.

Il rientro in servizio deve essere considerato una fase di verifica, non una semplice formalità. Il registro di manutenzione e la documentazione attestante le qualifiche attuali devono corrispondere prima che il sistema venga rimesso in servizio.

Regole per le decisioni di riqualificazione nei sistemi BIBO

L’errore più comune nella gestione del cambiamento secondo il modello BIBO non è l’assenza di una politica di riqualificazione, bensì la tendenza a ricorrere a una verifica minima quando le regole decisionali non sono chiare. I siti che non dispongono di criteri espliciti su ciò che determina la riqualificazione tendono ad adottare l’interpretazione meno onerosa, ovvero considerare la maggior parte del lavoro come di routine fino a quando un evento o un’ispezione non rende visibile la lacuna.

Un approccio alla riqualificazione basato sul rischio è in linea con le moderne aspettative normative e consente di applicare il giudizio in modo proporzionato. Il principio di fondo è che è la natura della modifica — e non solo la sua portata fisica — a determinare se sia necessario dimostrare nuovamente lo stato di contenimento qualificato. La manutenzione ordinaria che non altera alcuna interfaccia di contenimento e opera entro i parametri precedentemente qualificati può essere adeguatamente documentata tramite registrazioni delle sostituzioni e controlli funzionali. Le modifiche che interessano qualsiasi barriera fisica di contenimento, qualsiasi condizione relativa al flusso d’aria o alla pressione, oppure qualsiasi funzione di allarme o interblocco richiedono in genere almeno una riqualificazione parziale delle funzioni interessate. Le modifiche procedurali — sequenze di insacchettamento riviste, limiti di monitoraggio modificati, SOP di manutenzione aggiornate — richiedono una valutazione dei rischi documentata e possono comportare una nuova verifica delle fasi specifiche che sono state modificate.

Il compromesso insito in questo quadro riguarda il rapporto tra l’onere della documentazione e la garanzia di contenimento. Una riqualificazione approfondita dopo ogni intervento fisico comporterebbe un sovraccarico operativo insostenibile. Tuttavia, un sito che ricorre sistematicamente a una verifica minima, senza fornire una motivazione documentata del motivo per cui non è stata avviata la riqualificazione, ha creato una cronologia del controllo delle modifiche che, in caso di verifica approfondita, non è in grado di sostenere le proprie dichiarazioni di qualificazione.

La regola pratica da seguire è la seguente: se la valutazione del controllo delle modifiche non riesce a individuare dati di test generati dopo la modifica che coprano tutte le funzioni di contenimento interessate, tale lacuna deve essere colmata prima del rilascio. I siti che integrano questo controllo nella propria revisione del controllo delle modifiche — anziché nell’indagine successiva all’evento — si trovano in una posizione nettamente migliore sia in termini di preparazione alle ispezioni che di affidabilità operativa. Il Lista di controllo per la messa in servizio di BIBO: Punti FAT, SAT, IQ e OQ che vengono trascurati affronta i punti di qualificazione originali che più spesso risultano incompleti, fornendo un contesto utile per comprendere ciò che l’ambito della riqualificazione sta effettivamente cercando di dimostrare nuovamente.

Per i sistemi in cui l'alloggiamento del filtro e la geometria del contenimento secondario interagiscono in modo più stretto, come ad esempio Sistemi di filtrazione in situ progettati per ambienti chiusi: le regole decisionali devono tenere conto del fatto che alcune operazioni sull’interfaccia hanno un impatto maggiore sui parametri qualificati rispetto a quanto avverrebbe in un progetto di alloggiamento convenzionale. Tale contesto specifico del sistema dovrebbe essere integrato nella procedura di controllo delle modifiche, senza lasciare che sia il singolo addetto alla manutenzione a decidere al momento dell’intervento.

La questione della riqualificazione dei sistemi BIBO è, in definitiva, un problema di coerenza della documentazione: lo stato fisico e operativo attuale del sistema deve essere supportato da prove di qualificazione che riflettano ciò che il sistema è effettivamente ora, non ciò che era al momento della sua prima messa in servizio. Qualsiasi intervento di manutenzione che faccia uscire il sistema da quello stato documentato — sia che si tratti di interventi sull’interfaccia dei filtri, modifiche all’alloggiamento, regolazione dei setpoint o revisione delle procedure — crea una lacuna che la riqualificazione è destinata a colmare.

Prima di rimettere in servizio un sistema BIBO dopo qualsiasi intervento di manutenzione non banale, è necessario verificare concretamente se il registro di manutenzione, la documentazione di qualificazione attuale e la configurazione corrente del sistema siano tra loro coerenti e non presentino contraddizioni. Se i registri di qualificazione (IQ) descrivono una configurazione dell’alloggiamento che è stata successivamente modificata, oppure se i dati relativi alle prove di allarme sono antecedenti a una modifica del setpoint, tali specifiche discrepanze devono essere risolte attraverso attività mirate di riqualificazione, non mediante un’affermazione generica secondo cui il sistema è stato sottoposto a manutenzione secondo la procedura. Definire esplicitamente tali verifiche nella revisione del controllo delle modifiche — prima dell’inizio dei lavori, non dopo il loro completamento — è ciò che fa la differenza tra una cronologia di manutenzione difendibile e una che richiede spiegazioni.

Domande frequenti

D: Il nostro sistema BIBO gestisce particelle non pericolose in un ambiente non conforme alle norme GMP; i criteri di riqualificazione descritti sono comunque applicabili?
R: Si applica la stessa logica decisionale basata sul rischio, ma l’ambito specifico dei test e il rigore della documentazione vengono ridimensionati in proporzione al rischio di contenimento. In un contesto non GMP, in assenza di prodotti sterili o di classificazioni ambientali da proteggere, il fattore principale diventa la sicurezza dell’operatore e l’affidabilità delle apparecchiature, non la garanzia di sterilità. Le modifiche a filtri, guarnizioni e setpoint degli allarmi influenzano comunque la capacità del sistema di contenere il particolato, pertanto una revisione del controllo delle modifiche dovrebbe valutare se la modifica possa compromettere le prestazioni di contenimento previste dal progetto. Tuttavia, le prove di verifica richieste possono consistere in un controllo funzionale più semplice — come una scansione DOP e una prova di decadimento della pressione — senza la completa serie di test dinamici di contenimento e il pacchetto completo di documentazione IQ/OQ previsto nella lavorazione asettica farmaceutica. La chiave è documentare la motivazione alla base della riduzione dell’ambito in base al profilo di rischio effettivo.

D: Abbiamo sostituito un filtro e regolato un morsetto del sacchetto senza aver prima definito un protocollo di ricertificazione. Qual è la misura correttiva immediata da adottare prima di rimettere in servizio il sistema?
A: Bloccare immediatamente l’autorizzazione al ritorno in servizio ed eseguire una valutazione retrospettiva dell’impatto. Identificare ogni interfaccia che è stata alterata — tenuta tra filtro e alloggiamento, manicotto di fissaggio del sacchetto, elementi di fissaggio del morsetto ed eventuali prese di pressione nelle vicinanze — e quindi condurre prove di verifica mirate che coprano almeno i seguenti punti: una scansione DOP della tenuta del filtro, una prova statica di tenuta dell’alloggiamento (mantenimento della pressione o gas tracciante) e una simulazione osservata della sostituzione del sacco per confermare che il morsetto modificato non comprometta l’integrità del sacco né esponga l’operatore a rischi. Qualsiasi soglia di allarme che possa essere stata influenzata dal rimontaggio deve essere verificata. Una volta che i dati di prova confermano il contenimento, aggiornare il registro di manutenzione, allineare la documentazione IQ/OQ se la configurazione del morsetto è cambiata e documentare la motivazione per cui la riqualificazione è stata eseguita a posteriori. Ciò trasforma una lacuna di conformità in un’azione correttiva difendibile.

D: A partire da quale entità della regolazione del setpoint della pressione differenziale è necessario procedere a una riqualificazione completa anziché a un semplice controllo dell'allarme?
R: Qualsiasi regolazione del setpoint che sposti il valore di riferimento del controllo della pressione al di fuori dell’intervallo originariamente dimostrato durante la qualificazione operativa (OQ) dovrebbe comportare una riqualificazione completa sia della risposta all’allarme che della stabilità della pressione. In pratica, se il nuovo setpoint si discosta dalla linea di riferimento dell’OQ di un margine superiore a quello considerato modesto — comunemente ±10% dell’intervallo originale — il sistema potrebbe non comportarsi più come qualificato, poiché l’interazione tra le curve di carico dei filtri, i ritardi di allarme e le cascate di pressione di contenimento può variare in modi non previsti da un semplice test di allarme. Una piccola modifica all’interno della finestra di pressione precedentemente qualificata può essere gestita documentando la modifica, rieseguendo il test di allarme alla nuova soglia e verificando che i regolatori di pressione mantengano ancora il setpoint nel caso peggiore di carico del filtro. Il limite esatto dipende dai dati OQ originali, ma la regola decisionale rimane la stessa: se non è possibile indicare prove di qualificazione che coprano il nuovo valore target, si rientra nell’ambito di una riqualificazione.

D: In che modo i requisiti di riqualificazione per un alloggiamento BIBO differiscono da quelli per una porta di trasferimento con guanto/sacca isolante che utilizza anch’essa una procedura di insaccamento?
R: Entrambi i sistemi condividono il principio secondo cui una barriera di contenimento compromessa deve essere sottoposta a una nuova verifica, ma l’ambito specifico differisce poiché i punti di guasto non sono identici. In un sistema BIBO, la ricertificazione si concentra sull’intero involucro dell’alloggiamento — integrità della tenuta del filtro, interfaccia di fissaggio della sacca e barriera secondaria — poiché l’intera sostituzione del filtro viene eseguita attraverso tale interfaccia e un singolo percorso di perdita può bypassare la barriera. Le porte di trasferimento dell’isolatore che incorporano funzionalità bag-in/bag-out richiedono solitamente un approccio combinato: una prova di tenuta dell’integrità dell’isolatore (prova con guanti, prova con mezza tuta o calo di pressione) insieme a un controllo funzionale dell’interblocco meccanico della porta e della sequenza di inserimento della sacca, anziché prove complete a livello dell’alloggiamento come la scansione DOP di una guarnizione del filtro. La valutazione del rischio è il filo conduttore; i metodi di prova sono specifici per ciascun sistema, pertanto la suite di verifica di un’unità BIBO non dovrebbe essere sostituita con un protocollo per isolatori senza comprendere quali elementi di barriera siano stati fisicamente compromessi.

D: Se sostituiamo solo una guarnizione dell'alloggiamento e lasciamo inalterata l'interfaccia con la sacca, è sufficiente eseguire una scansione DOP esclusivamente sulla guarnizione del filtro per autorizzare l'immissione in commercio dell'unità, evitando così i costi di una prova completa di contenimento dinamico?
R: In caso di sostituzione della guarnizione dell’alloggiamento, laddove il manicotto di fissaggio del sacchetto, i morsetti e la procedura di insaccamento rimangano esattamente conformi alla configurazione qualificata, una scansione DOP che confermi l’integrità della tenuta tra filtro e alloggiamento, combinata con un test statico di mantenimento della pressione nell’alloggiamento o un controllo delle perdite con gas tracciante, spesso fornisce prove adeguate per rimettere in servizio il sistema. Tuttavia, qualsiasi interferenza che possa aver influito sull’interfaccia secondaria del sacco — come il rimontaggio dei morsetti, il riposizionamento del manicotto o lo spostamento dimensionale dell’alloggiamento — crea un rischio che solo una prova di contenimento dinamica (sostituzione simulata del sacco con gas tracciante nella zona di respirazione dell’operatore) può valutare appieno. La decisione in termini di rapporto costi-benefici dovrebbe soppesare la spesa incrementale della prova dinamica rispetto alla probabilità che una debolezza della barriera secondaria sia rimasta inosservata; nella maggior parte dei casi, se un qualsiasi componente del morsetto o dell’anello del sacco si è allentato, la strada più sicura e più giustificabile è quella di includere un’osservazione dell’inserimento del sacco e un controllo dinamico limitato, riservando l’approccio basato esclusivamente sul DOP (test di pressione differenziale) per lavori strettamente limitati alla tenuta primaria senza coinvolgimento dell’interfaccia secondaria.