Przed ustaleniem kaskad ciśnieniowych, logiki alarmowej lub specyfikacji obudowy dla procesu HPAPI zespół projektowy musi odpowiedzieć na bardziej podstawowe pytanie: która funkcja ochronna pełni daną rolę i co się stanie, gdy ta funkcja przestanie działać? Zarówno wentylator wyciągowy, jak i szczelna ścianka komory rękawicowej mogą ograniczać narażenie, ale ulegają awarii w różny sposób, powracają do stanu sprawności w różny sposób i wymagają od operatora różnych reakcji. Pomyłkowe określenie tej granicy przed rozpoczęciem projektowania oznacza, że strategia sterowania opiera się na założeniu, którego nikt nie potwierdził.
Klasyfikuj elementy sterujące według ich funkcji i tego, od czego zależą
| Warstwa sterująca | Przykłady z obsługą | Zależność główna | Należy określić zakres projektu |
|---|---|---|---|
| Aktywne elementy sterujące | Przepływ powietrza w układzie wyciągu, regulacja ciśnienia, sygnały alarmowe i sekwencje automatyczne | Funkcje pomocnicze, czujniki oraz zdefiniowana reakcja na utratę sprawności | Należy określić stan bezpieczny oraz sposób, w jaki operatorzy będą rozpoznawać utratę funkcji aktywnej i radzić sobie z nią |
| Elementy sterujące pasywne | Ściany obudowy, uszczelnione interfejsy i zamknięte ścieżki przesyłu | Integralność fizyczna i kontrolowany dostęp | Należy określić, w jaki sposób zapewnione zostanie zachowanie integralności granic oraz warunków dostępu |
| Warstwy współdziałające | Granica pasywna w połączeniu z systemem aktywnym | Zarówno integralność fizyczna, jak i aktywna funkcja określająca kierunek lub wykrywająca wycieki | Należy określić, jakie zabezpieczenia pozostają aktywne i jakie działania należy podjąć, gdy któraś z warstw jest niedostępna |
Każdy środek kontrolny w procesie HPAPI można zaklasyfikować do jednej z dwóch kategorii: działa lub blokuje. Środki aktywne działają — przemieszczają powietrze, utrzymują różnicę ciśnień, uruchamiają alarm lub wykonują zaprogramowaną sekwencję. Środki pasywne blokują — opierają się na tym, że ściana, uszczelnienie lub zamknięta ścieżka transferu pozostają fizycznie nienaruszone. To rozróżnienie nie ma charakteru czysto formalnego. Określa ono, od czego zależy dalsze działanie danego środka kontrolnego, a tym samym, co może je uniemożliwić.
Sterowanie aktywne zależy od czynników zewnętrznych względem samej bariery: zasilania elektrycznego, sprawnego czujnika, pętli regulacyjnej, operatora reagującego na alarm. Usunięcie choćby jednej z tych zależności powoduje zatrzymanie funkcji aktywnej, nawet jeśli wszystkie fizyczne elementy systemu pozostają na swoim miejscu. Sterowanie pasywne nie zależy od żadnego z tych czynników. Uszczelka albo uszczelnia, albo nie; ściana albo powstrzymuje, albo zostaje naruszona. Jej działanie wynika z jej stanu, a nie z jakiegokolwiek trwającego działania.
Ma to bezpośredni wpływ na sposób, w jaki zespół projektowy ocenia strategię zabezpieczeń. W przypadku gdy podstawa kontroli opiera się na funkcji aktywnej — na przykład kierowaniu przepływu powietrza lub automatycznej blokadzie — w projekcie należy określić nie tylko samą funkcję, ale także architekturę zapewniającą jej ciągłe działanie: nadmiarowość systemów zasilających, rozmieszczenie czujników oraz szybkość wykrywania awarii. W przypadku gdy podstawa opiera się na funkcji pasywnej — np. szczelnej obudowie lub zamkniętym urządzeniu przesyłowym — w projekcie należy natomiast określić, w jaki sposób integralność jest weryfikowana i utrzymywana w czasie oraz jakie zasady dostępu zapobiegają naruszeniu szczelności w wyniku rutynowego użytkowania.
Większość rzeczywistych systemów HPAPI łączy oba rozwiązania. Izolator posiada pasywne ścianki oraz aktywny system odciągu, który utrzymuje w nim podciśnienie. Zamknięta ścieżka transferu może mieć całkowicie pasywny mechanizm uszczelniający, ale znajdować się w ramach procesu, który dodatkowo opiera się na aktywnej kontroli ciśnienia w celu opanowania ewentualnych przypadkowych wycieków. Klasyfikacja nie polega na podziale urządzeń na dwie kategorie — chodzi o ustalenie, dla każdej funkcji ochronnej, na której opiera się projekt, czy jej działanie ma charakter aktywny czy pasywny, ponieważ odpowiedź na to pytanie determinuje, jakie dowody i jakie plany awaryjne projekt musi przygotować przed sfinalizowaniem projektu.
Przedstawienie aktywnych funkcji w obszarach ekstrakcji, ciśnienia, alarmów i automatyki
Przepływ powietrza w systemie wywiewnym, regulacja ciśnienia, alarmy i sekwencje automatyczne wydają się być odrębnymi systemami, ale łączy je jedna struktura zależności: każdy z nich wymaga stale dostępnego sygnału wejściowego — zasilania, sygnału sterującego, odczytu czujnika — oraz określonej reakcji w przypadku utraty tego sygnału. Traktowanie ich jako jednej kategorii podczas ustalania granic pozwala uniknąć pułapki polegającej na definiowaniu każdego z nich osobno i przeoczeniu faktu, że często mają one ten sam punkt awarii.
Przepływ wywiewny wyznacza kierunek ruchu, odprowadzając powietrze z przestrzeni zajmowanej przez operatora w kierunku kontrolowanego punktu wylotu lub filtracji. Jego wartość ochronna istnieje tylko wtedy, gdy przepływ powietrza faktycznie porusza się w tym kierunku z prędkością wystarczającą do przezwyciężenia zakłóceń występujących przy otworze lub uszczelnieniu. Kontrola ciśnienia jest powiązana z wyciągiem, ale stanowi odrębną funkcję: utrzymuje różnicę ciśnień między strefami, co określa kierunek przepływu powietrza przez wszelkie nieszczelności, celowe otwory lub niedoskonałe uszczelnienia. Gdy zarówno wyciąg, jak i kontrola ciśnienia są aktywnymi funkcjami tej samej bariery, zakłócenie jednej z nich — awaria przepustnicy, zmiana oporu w przewodach wentylacyjnych — może wpłynąć na drugą, nawet jeśli jej elementy są nienaruszone.
Alarmy i sekwencje automatyczne stanowią dodatkowy poziom: same w sobie nie są funkcjami ochronnymi, lecz mechanizmem, dzięki któremu utrata ochrony staje się widoczna i umożliwia podjęcie odpowiednich działań. Alarm, który jest zasilany z tego samego źródła energii lub podłączony do tej samej sieci sterującej co funkcja, którą monitoruje, może ulec cichej awarii wraz z tą funkcją – jest to sytuacja, którą w projekcie należy wyraźnie przeanalizować, a nie po prostu pominąć. Sekwencje automatyczne — zaprogramowana reakcja na stan wykraczający poza dopuszczalny zakres — opierają się na prawidłowym wykryciu tego stanu i wykonaniu reakcji, która została zweryfikowana pod kątem konkretnego napotkanego trybu awarii, a nie tylko ogólnego “alarmu i wyłączenia”.”
Dla zespołu projektowego praktycznym zadaniem jest przyporządkowanie każdej funkcji aktywnej do jej łańcucha zależności i ustalenie, co jeszcze ulegnie awarii wraz z nią. W przypadku gdy pojedyncza sieć zasilająca lub sterująca obsługuje wiele funkcji aktywnych, pojedyncza awaria może spowodować utratę większej liczby zabezpieczeń, niż wynikałoby to z indywidualnej analizy każdej funkcji. Tam, gdzie funkcje są obsługiwane przez niezależne sieci zasilające lub oddzielne pętle sterujące, awaria jednej z nich nie wpływa na pozostałe. To ćwiczenie polegające na przyporządkowaniu pozwala ustalić, czy strategia nadmiarowości projektu uwzględnia rzeczywiste tryby awarii, czy tylko te, które zostały rozważone w ramach poszczególnych funkcji.
Określenie ochrony pasywnej za pomocą obudów, uszczelnień i zamkniętych przewodów
Ochrona pasywna nie działa; po prostu istnieje. Ściana obudowy, drzwi z uszczelką, zamknięte urządzenie przesyłowe — każde z nich zapewnia ochronę poprzez utrzymanie fizycznej bariery, której skuteczność nie zależy od zasilania, czujnika ani decyzji sterującej. Na tym polega ich zaleta: nie zawodzą w przypadku przerwy w dostawie mediów. Jest to również źródło ich szczególnej podatności na awarie: ponieważ nic nie monitoruje aktywnie ich stanu z chwili na chwilę, pogorszenie stanu może pozostać niezauważone, dopóki nie zostanie sprawdzone w rzeczywistej sytuacji — podczas operacji przesyłowej, zdarzenia związanego z dostępem lub skoku ciśnienia w innym miejscu systemu.
Skuteczność ochronna pasywnej granicy zależy od jej integralności oraz dyscypliny w zakresie dostępu do niej. Ściana lub okno, które nigdy nie zostały naruszone, zapewniają pełną ochronę; ta sama ściana z uszkodzonym uszczelnieniem, nieprawidłowo zamkniętym portem lub urządzeniem przesyłającym używanym w sposób niezgodny z zatwierdzoną procedurą zapewnia mniejszą ochronę, a to osłabienie nie jest sygnalizowane alarmem, tak jak mogłaby to zrobić awaria funkcji aktywnej. Właśnie dlatego środki kontroli pasywnej opisuje się raczej poprzez integralność fizyczną i dyscyplinę dostępu niż poprzez wskaźniki ciągłej wydajności: istotnym pytaniem nie jest “czy to działa w tej chwili”, ale “czy jej stan został zachowany od czasu ostatniej weryfikacji”.”
Szczególną uwagę należy poświęcić zamkniętym ścieżkom transferu, ponieważ łączą one zasadę uszczelnienia pasywnego z elementem proceduralnym: stopień zamknięcia transferu zależy wyłącznie od metody zastosowanej do jego przeprowadzenia. Urządzenie zdolne do utrzymania szczelności przy prawidłowej eksploatacji nie zapewnia żadnej ochrony, jeśli sekwencja operacyjna zostanie przerwana, pominięta lub wykonana nieprawidłowo. Oznacza to, że pasywny sprzęt oraz procedura regulująca jego użytkowanie muszą być oceniane łącznie, a nie jako odrębne elementy projektu — dobrze zaprojektowane uszczelnienie nie rekompensuje nieokreślonej lub źle kontrolowanej metody transferu, a zdyscyplinowana metoda nie może zrekompensować sprzętu, który utracił integralność.
W kontekście tego projektu pojęcie “pasywny” nabiera nowego znaczenia w praktyce: nie oznacza ono “braku konieczności konserwacji”, lecz “ochronę zapewnianą poprzez stan i dyscyplinę, a nie poprzez funkcję”. Zadaniem projektu jest określenie, w jaki sposób ten stan jest weryfikowany i jak kontrolowany jest dostęp, ponieważ żadna z tych czynności nie odbywa się automatycznie, jak mogłoby to sugerować samokontrola systemu aktywnego.
Sprawdź interfejsy, w których warstwa aktywna i pasywna są od siebie zależne
Punkt, w którym aktywny system styka się z pasywną przegrodą, stanowi miejsce, w którym strategia zabezpieczenia jest faktycznie poddawana próbie, ponieważ deklarowana ochrona każdej z warstw często zależy od tego, czy druga warstwa działa zgodnie z oczekiwaniami. Pasywna ściana obudowy może być zaprojektowana tak, aby sama w sobie ograniczać uwalnianie, ale jeśli podstawy projektowe zakładają również, że aktywny system wywiewu zapewnia kierunek przepływu powietrza do wewnątrz przy każdym otworze w tej ścianie, wówczas niezależna wartość ochronna ściany i łączna wartość ochronna systemu to dwie różne wartości, a projekt musi określić, na której z nich faktycznie się opiera.
Ma to największe znaczenie w przypadku określonych otworów: portu przesyłowego, interfejsu rękawicy, drzwi. Są to punkty, w których pasywna bariera jest celowo przerwana, a funkcja aktywna często musi kompensować to przerwanie — na przykład poprzez utrzymanie kierunkowego przepływu powietrza przez otwór. Tam, gdzie funkcja aktywna jest obecna i działa, otwór zachowuje się zgodnie z zamierzeniami całego systemu. Tam, gdzie funkcja aktywna jest nieobecna — z powodu awarii zasilania lub ponieważ otwór jest wykorzystywany w trybie, do którego obsługi system aktywny nie został skonfigurowany — pasywna bariera w tym miejscu może zapewniać znacznie mniejszą ochronę niż w pozostałych częściach obudowy, ponieważ otwór ten nigdy nie został zaprojektowany tak, aby sam w sobie zapewniał wystarczającą ochronę pasywną.
Wynika z tego, że interfejsów granicznych nie można oceniać, analizując osobno specyfikację systemu aktywnego lub specyfikację systemu pasywnego. Należy odpowiedzieć na pytanie: co zapewnia ten interfejs, gdy obie warstwy są nienaruszone, a co zapewnia, gdy jedna z nich jest uszkodzona? Jeśli odpowiedź na drugie pytanie brzmi “bardzo niewiele”, projekt zidentyfikował punkt, w którym podstawa sterowania jest bardziej wrażliwa, niż mogłoby to wynikać z ogólnego opisu sprzętu, i gdzie konieczne jest poświęcenie dodatkowej uwagi procedurom lub projektowi. Jeśli odpowiedź brzmi “ograniczony, ale wciąż znaczący poziom ochrony”, projekt dysponuje prawdziwą wielowarstwową ochroną i może odpowiednio zaplanować reakcję na awarię.
Ustawienie stanów bezpiecznych w przypadku awarii urządzeń pomocniczych, czujników, przepływu powietrza i uszczelnień
| Stan awarii | Warstwa sterująca została naruszona | Granica decyzyjna | Wymagana jest definicja dostosowana do konkretnego projektu |
|---|---|---|---|
| Awaria mediów lub przerwa w dostawie prądu | Aktywny | Nie można zakładać, że systemy wentylacji wywiewnej, regulacji ciśnienia, alarmów lub sekwencji automatycznych będą nadal działać | Stan bezpieczeństwa, rozpoznanie sytuacji przez operatora i reakcja |
| Utrata działania czujnika lub układu sterowania | Aktywny | Nie można zakładać, że funkcja aktywna oraz jej automatyczna reakcja lub reakcja alarmowa będą działać | Stan bezpieczeństwa, rozpoznanie sytuacji przez operatora i reakcja |
| Strata przepływu powietrza | Aktywne, z konsekwencjami na granicy pasywnej | Nie można zakładać, że aktywny system ustalił kierunek lub wykrył wyciek | Stan bezpieczeństwa, zachowana ochrona bierna, rozpoznanie operatora i reakcja |
| Awaria uszczelnienia | Pasywne, z konsekwencjami dla połączonych warstw | Nie można zakładać integralności fizycznych granic | Stan bezpieczeństwa, obowiązujące ograniczenia dostępu, identyfikacja operatora oraz reakcja |
Klasyfikacja elementów sterujących i określenie ich zależności prowadzi do pytania, na które muszą faktycznie odpowiedzieć założenia projektowe: jaki jest stan bezpieczeństwa w przypadku utraty każdej z tych zależności i w jaki sposób operator rozpoznaje, że doszło do jej utraty? Nie ma jednej odpowiedzi obowiązującej dla całego systemu — zależy to od tego, która warstwa uległa zakłóceniu i co jeszcze od niej zależy.
Utrata zasilania lub awaria sieci energetycznej powoduje natychmiastowe wyłączenie wszystkich aktywnych funkcji: może to jednocześnie wpłynąć na wydobycie powietrza, regulację ciśnienia, alarmy oraz sekwencje automatyczne, jeśli wszystkie one korzystają z tego samego źródła zasilania. W ramach projektu należy określić, do jakiego stanu domyślnego przechodzi system, czy osiągnięcie tego stanu domyślnego wymaga zasilania oraz w jaki sposób operator dowiaduje się o wystąpieniu tego stanu, zamiast odkrywać go w inny sposób.
Utrata czujnika lub utrata sterowania to wąskie, ale nie mniej istotne zagadnienie: nie powoduje to koniecznie wyłączenia funkcji aktywnej, ale pozbawia system możliwości stwierdzenia, czy funkcja ta działa, oraz automatycznego reagowania w przypadku jej awarii. Pętla sterowania może po awarii czujnika nadal działać w oparciu o nieaktualne lub błędne informacje, co stanowi inne zagrożenie niż całkowite zatrzymanie, a definicja stanu bezpiecznego musi uwzględniać obie te możliwości oddzielnie.
Utrata przepływu powietrza dotyczy obu warstw: sama w sobie stanowi awarię funkcji aktywnej, ale jej konsekwencje odbijają się na granicy pasywnej, ponieważ kierunek i wychwytywanie wycieków w otworze zależały od tego przepływu powietrza. Stan bezpieczny musi w tym przypadku określać, jakie zabezpieczenia pasywne pozostają po zaniku wkładu aktywnego, a nie tylko to, co dzieje się z samym systemem przepływu powietrza.
Awaria uszczelnienia stanowi przypadek pasywny: powoduje ona zniesienie warunku brzegowego, który od początku nie był aktywnie monitorowany, więc jej wykrycie zależy od kontroli, testów lub sygnału pochodzącego z dalszej części instalacji, a nie od automatycznego sygnału. Stan bezpieczny musi określać obowiązujące ograniczenia dostępu w sytuacji, gdy nie można założyć integralności, ponieważ awaria ta może nie być od razu widoczna, tak jak ma to miejsce w przypadku aktywnego stanu alarmowego.
W każdym przypadku zakres prac związanych z konkretnym projektem jest taki sam: należy określić stan bezpieczny, sposób jego rozpoznania oraz sposób postępowania w tej sytuacji, zamiast opierać się na ogólnym opisie sprzętu, z którego miałaby wynikać odpowiedź.
Dowody wynikające z weryfikacji dokumentów w sprzeczności z zasadą kontroli narażenia
| Rodzaj dowodu | Zastosowanie zgodne z przeznaczeniem | Czego nie ustala |
|---|---|---|
| Ocena ryzyka związanego z substancjami niebezpiecznymi w ramach dobrych praktyk produkcyjnych (GMP) z wykorzystaniem dostępnych informacji dotyczących dopuszczalnych wartości narażenia zawodowego | Wspiera podejście do kontroli oparte na ryzyku oraz ustalanie priorytetów w zakresie środków kontroli dotyczących obiektów, systemów zamkniętych i barier | Wartość graniczna narażenia specyficzna dla danego związku, przedział narażenia lub uniwersalny schemat kontroli |
| Klasyfikacja narażenia zawodowego według przedziałów | Pomaga w podejmowaniu decyzji dotyczących zarządzania ryzykiem w sytuacji, gdy nie są dostępne wiarygodne wartości graniczne narażenia zawodowego dla konkretnych substancji chemicznych | Wynik dotyczący skuteczności izolacji na podstawie samej etykiety pasma ekspozycji |
| Ocena skuteczności zabezpieczeń SMEPAC | Umożliwia przeprowadzenie znormalizowanej oceny w określonych warunkach przy użyciu pobierania próbek emisji do atmosfery i osadów powierzchniowych | Szczegóły protokołu lub interpretacja jego przyjęcia bez pełnego przewodnika i określonego scenariusza |
Gdy w ramach projektu sklasyfikowano już środki kontroli i zdefiniowano stany nieprawidłowości, pozostaje jeszcze dopasowanie odpowiednich dowodów do odpowiednich twierdzeń, ponieważ różne rodzaje dowodów odpowiadają na różne pytania i żaden z nich nie może zastąpić innego.
Ocena ryzyka związanego z substancjami niebezpiecznymi w ramach dobrych praktyk wytwarzania (GMP) — podejście opisane w Wytyczne WHO dotyczące dobrych praktyk wytwarzania (GMP) dla produktów farmaceutycznych zawierających substancje niebezpieczne — opiera się na podejściu do kontroli opartym na ryzyku, opartym na dostępnych informacjach dotyczących dopuszczalnych wartości narażenia zawodowego, i nadaje pierwszeństwo środkom kontroli związanym z obiektem, systemami zamkniętymi oraz barierami przed środkami administracyjnymi. Nie ustanawia ona jednak dopuszczalnej wartości narażenia dla konkretnego związku ani nie dostarcza projektowi gotowego projektu środków kontroli; określa ona ramy podejścia, a nie konkretne wartości liczbowe.
W przypadku braku obowiązującego limitu narażenia określonego dla danej substancji chemicznej, klasyfikacja narażenia zawodowego według przedziałów — zgodnie z opisem zawartym w NIOSH — wspiera proces podejmowania decyzji dotyczących zarządzania ryzykiem w tej luce, przypisując przedział na podstawie dostępnych informacji o zagrożeniu, tak aby można było wdrożyć strategię kontroli bez czekania na wartość graniczną, która może nigdy nie zostać osiągnięta. Jest to element planowania, a nie wynik dotyczący skuteczności zabezpieczeń: przedział narażenia opisuje samo zagrożenie, a nie to, jak skutecznie dana obudowa, system odciągowy lub urządzenie przenoszące faktycznie radzi sobie z tym zagrożeniem.
Na to pytanie dotyczące skuteczności odpowiada inny rodzaj dowodów: znormalizowana ocena skuteczności powstrzymywania, taka jak Metodologia SMEPAC cytowane przez ISPE, która ocenia skuteczność powstrzymywania emisji w określonych warunkach przy użyciu pobierania próbek emisji do powietrza i osadów powierzchniowych. Jest to dowód łączący konkretny element wyposażenia, skonfigurowany i eksploatowany w określony sposób, z faktycznym wynikiem pomiaru — jednak wyłącznie w scenariuszu, dla którego przeprowadzono ocenę, oraz wyłącznie przy zastosowaniu pełnego protokołu i jego interpretacji akceptacyjnej, a nie jako ogólnej etykiety.
Zadaniem zespołu projektowego opracowującego plan weryfikacji jest zestawienie tych elementów z twierdzeniami, które faktycznie ma on poprzeć: ocena ryzyka i podział na przedziały narażenia określają, jakie podejście kontrolne i priorytety przyjmuje projekt; ocena wydajności potwierdza, czy wybrany sprzęt, w danej konfiguracji, zapewnia wynik wymagany przez projekt w warunkach istotnych dla danego procesu. Kiedy projekt przedkłada do weryfikacji parametry procesu, podstawę kontroli narażenia oraz konfigurację sprzętu — co ma miejsce podczas oceny skonfigurowanego systemu, takiego jak Izolator OEB4/OEB5 lub a zamknięty system barier o ograniczonym dostępie dla konkretnego zastosowania — są to informacje, które pozwalają ustalić, czy proponowana konfiguracja uwzględnia rzeczywiste stany awarii oraz dowody weryfikacyjne zidentyfikowane w ramach projektu, a nie jest jedynie ogólną wersją tej samej rodziny urządzeń.
Często zadawane pytania
Q: Co należy wziąć pod uwagę przy wyborze między izolatorem typu OEB4/OEB5 a zamkniętym systemem RABS w ramach projektu dotyczącego substancji HPAPI?
A: Należy porównać rzeczywiste warstwy kontroli wymagane w ramach projektu: funkcje aktywne, granice pasywne, interfejsy transferowe, zależności od mediów i czujników, reakcje na awarie oraz planowany scenariusz weryfikacji. Sama kategoria produktu lub oznaczenie pasma ekspozycji nie wystarcza do ustalenia zgodności z projektem ani skuteczności zabezpieczenia.
Q: Czy można założyć, że po ekstrakcji, utracie kontroli ciśnienia lub przepływu powietrza nadal zachodzą te same warunki izolacji?
A: Nie. Nienaruszona bariera pasywna może nadal ograniczać uwalnianie, ale nie można zakładać, że kierunek przepływu powietrza lub wychwytywanie wycieków zapewniane przez system aktywny będą działać. Należy z wyprzedzeniem określić, jakie środki ochrony pozostają w mocy, jakie obowiązują ograniczenia dostępu, w jaki sposób operatorzy rozpoznają ten stan oraz jakie działania należy podjąć w celu zapewnienia bezpieczeństwa.
Q: Jak należy postępować w ramach projektu, gdy nie ma oficjalnych dopuszczalnych wartości narażenia zawodowego dla danej substancji chemicznej?
A: Należy wykorzystać podział na przedziały narażenia zawodowego jako podstawę do zarządzania ryzykiem i doboru środków kontroli, jednocześnie wyraźnie wskazując jego ograniczenia. Przedział narażenia nie stanowi dowodu skuteczności zabezpieczeń, dlatego projekt nadal wymaga określenia scenariusza eksploatacji oraz odpowiednich dowodów potwierdzających.
Q: Jakie dowody są potrzebne, aby sprawdzić, czy wybrana strategia kontroli działa zgodnie z zamierzeniami?
A: Należy dopasować dane dowodowe do ocenianego twierdzenia. Ocena ryzyka określa podstawy kontroli narażenia, natomiast ocena skuteczności ograniczania rozprzestrzeniania się zanieczyszczeń przeprowadzona w ramach SMEPAC pozwala oszacować emisję do powietrza oraz osadzanie się zanieczyszczeń na powierzchniach w określonych warunkach; dla danego projektu należy określić protokół, scenariusz oraz kryteria akceptacji wyników.
Q: Jakie informacje należy przygotować przed przeglądem projektów sterowania aktywnego i pasywnego?
A: Należy określić podstawę związaną z zagrożeniem lub przedziałem narażenia, odpowiednie warunki zamkniętego transferu i dostępu, każdą funkcję aktywną i granicę pasywną, a także stan bezpieczeństwa w przypadku awarii zasilania, czujnika, przepływu powietrza lub uszczelnienia. Należy również określić, w jaki sposób każdy stan awarii będzie rozpoznawany, zarządzany i powiązany z dowodami weryfikacyjnymi.
