Logica de interblocare a dușurilor pentru personal în cadrul secvențelor de ieșire BSL și a declanșării de urgență

Tratarea logicii sistemului de interblocare a dușurilor ca pe o eliberare a ușii bazată pe timp reprezintă una dintre cele mai persistente erori de proiectare în sistemele de ieșire ale laboratoarelor cu grad ridicat de izolare. Atunci când timpul scurs devine singura condiție de eliberare, întârzierile reale de ventilație și defectele garniturilor de etanșare ale ușilor rămân nedetectate, generând variații de presiune în momentul ieșirii, care sunt dificil de identificat în timpul punerii în funcțiune și aproape imposibil de justificat în timpul inspecției. Costurile ulterioare sunt tangibile: cicluri de calificare întrerupte, modificări forțate ale sistemului de interblocare după instalare și obiceiurile operatorilor de a ocoli sistemul, care subminează asigurarea izolației cu mult înainte de următorul ciclu de audit. Informațiile care urmează ajută inginerii, responsabilii cu biosecuritatea și echipele de validare să evalueze ce condiții trebuie verificate înainte de deblocarea ușii, cum interacționează cerințele privind ieșirile de urgență cu controlul contaminării și ce dovezi de testare sunt necesare pentru a susține fiecare etapă a calificării.

Secvența de ieșire a personalului și perimetrul de izolare

Secvența de ieșire dintr-o instalație de nivel BSL-3 sau BSL-4 nu reprezintă o simplă trecere prin coridor — ci este etapa activă finală a limitei de izolare. Fiecare schimbare a stării ușilor în timpul ieșirii fie consolidează, fie compromite cascada de presiune care menține zonele contaminate separate de zonele adiacente. Acesta este contextul în care trebuie proiectată logica de interblocare a dușurilor: ca o secvență de condiții de limită verificate, nu ca o procedură cronometrată cu eliberarea ușii la final.

Limita de izolare depinde de menținerea a trei condiții pe parcursul secvenței de ieșire: zona interioară trebuie să rămână la presiunea negativă țintă față de spațiile adiacente, ciclul de decontaminare trebuie să se finalizeze conform parametrilor definiți, iar nici două uși de delimitare să nu fie deschise simultan. Atunci când logica de interblocare se bazează exclusiv pe timpul scurs, aceasta nu dispune de niciun mecanism care să detecteze dacă starea de presiune este efectiv stabilă, dacă ciclul de duș a atins parametrii pentru care a fost setat sau dacă o ușă situată în partea opusă a sasului este deja în mișcare. Oricare dintre aceste lacune poate duce la apariția unei căi de aer scurte, dar necontrolate, între zona interioară de izolare și coridorul de ieșire.

Monografia OMS privind proiectarea și întreținerea laboratoarelor tratează integritatea cascadei de presiune ca o cerință fundamentală pentru proiectarea limitelor unui laborator cu grad ridicat de izolare. Ceea ce implică acest principiu pentru logica sistemelor de interblocare este faptul că secvența de ieșire trebuie să fie determinată de stările verificate ale sistemului — citirile de presiune, semnalele de finalizare a ciclului, senzorii de poziție ai ușilor — și nu de temporizatoare care presupun că sistemul de ventilație a răspuns conform așteptărilor. Această distincție devine importantă încă din etapa de proiectare, înainte de specificarea sistemelor de interblocare, deoarece adăugarea verificării presiunii după instalarea unui sistem bazat pe timp necesită reprogramarea controlerului, adăugarea de senzori și, eventual, repetarea testelor de calificare.

Finalizarea dușului versus deblocarea în condiții de siguranță a ușii

Cea mai frecventă scurtătură tehnică în proiectarea sistemelor de interblocare pentru cabine de duș constă în deblocarea ușii de ieșire odată ce cronometrul ciclului de duș a expirat, fără a se verifica dacă bariera de presiune a revenit la o stare stabilă. În practică, restabilirea presiunii după un duș de personal implică răspunsul sistemului HVAC, cursa actuatorului VAV și reangajarea garniturii ușii — fiecare având propria constantă de timp care nu se aliniază perfect cu o durată fixă a dușului. Atunci când întârzierea de deblocare este setată fără a se ține cont de timpul real de cursă completă a VAV, ușa se poate debloca în timp ce presiunea încă se restabilește sau fluctuează, creând o breșă momentană exact în punctul în care operatorul se deplasează între zone.

Stabilirea întârzierii de deblocare la o marjă de cel puțin 1,5 ori durata cursei complete a VAV este un criteriu de proiectare care merită respectat, deoarece nepotrivirea temporizării este unul dintre principalele motive pentru care operatorii învață să ocolească dispozitivele de interblocare. Dacă ușa se deblochează în mod constant înainte ca presiunea să se stabilizeze — ceea ce se manifestă printr-o alarmă scurtă sau un indicator cu întârziere — operatorii interpretează sistemul ca fiind defect și încep să solicite comenzi manuale de suprascriere sau scurtarea întârzierii de deblocare. Această buclă de feedback elimină în mod imperceptibil etapa de verificare pe care sistemul de interblocare a fost proiectat să o impună. Toleranța la stabilitatea presiunii în timpul intervalului de confirmare este la fel de importantă: dacă presiunea diferențială încă fluctuează în afara unei benzi acceptabile la expirarea temporizatorului, sistemul ar trebui să prelungească perioada de menținere a blocării, în loc să treacă la eliberare, deoarece o valoare fluctuantă a presiunii în acel moment sugerează că sistemul de ventilație nu s-a stabilizat complet.

Tratarea verificării recuperării presiunii ca pe o simplă formalitate reprezintă un risc frecvent în etapa de punere în funcțiune. Verificarea ar trebui testată în mod deliberat în timpul calificării prin introducerea unor condiții — cum ar fi un ciclu recent de deschidere-închidere a ușii la o cameră de echilibrare adiacentă sau o perturbare controlată a valorii de referință a sistemului HVAC — care să creeze fluctuații reale în timpul intervalului de confirmare, urmând ca apoi să se confirme că sistemul prelungește întârzierea sau declanșează avertismentul corespunzător, în loc să continue funcționarea. Dacă sistemul continuă să funcționeze, logica de eliberare nu se comportă conform intenției, indiferent de prevederile documentului de specificații.

Înregistrări privind ieșirile de urgență și operațiunile de recuperare

Cerințele privind siguranța vieții și cele privind controlul contaminării acționează în direcții diametral opuse în timpul unei situații de evacuare de urgență, iar logica sistemului de interblocare trebuie să le îndeplinească pe ambele, fără a considera vreuna dintre ele ca fiind secundară. Standardele NFPA 101 și EN 16005 impun ca o întrerupere a alimentării cu energie electrică sau activarea alarmei de incendiu să comute sistemul ușii în modul de ieșire „fail-open” — utilizatorii trebuie să poată ieși indiferent de starea sistemului de interblocare. Această cerință este obligatorie pentru spațiile ocupate. Problema legată de controlul contaminării constă în faptul că o eliberare în modul „fail-open” în timpul unui ciclu activ de izolare, înainte ca decontaminarea să fie finalizată, creează o ieșire necontrolată dintr-o zonă care nu a fost încă declarată sigură.

Soluția nu constă în a se opune cerinței de „deschidere în caz de avarie”, ci în a se asigura că sistemul înregistrează o imagine instantanee a stării, protejată împotriva manipulării, în momentul depășirii setărilor — indicând ce uși erau deschise, încuiate sau în mișcare; care erau valorile presiunii; în ce etapă se afla ciclul de duș; și ce a declanșat depășirea setărilor. Fără această imagine instantanee, ancheta ulterioară evenimentului pornește dintr-un vid informațional. Calea de expunere, secvența stărilor limită și procedura de recuperare depind toate de cunoașterea activității sistemului în momentul declanșării de urgență. O înregistrare în jurnal care consemnează doar data și ora suprascrierii este insuficientă; starea fiecărui parametru monitorizat în acel moment este ceea ce face ca înregistrarea să fie justificabilă în timpul unei revizuiri de reglementare sau al unei investigații interne a incidentului.

Procesul de remediere care urmează unei scurgeri de urgență ar trebui definit în procedurile de urgență ale instalației înainte de punerea în funcțiune, și nu elaborat în mod reactiv după primul incident. Acest proces trebuie să abordeze modul în care se evaluează starea de decontaminare a personalului care a ieșit din instalație în timpul ciclului, modul în care zona afectată este readusă la starea de izolare verificată și modul în care instantaneul de stare capturat este utilizat pentru a determina dacă sunt necesare măsuri suplimentare de decontaminare. Acestea sunt decizii privind restabilirea izolării pe care sistemul de interblocare nu le poate lua în mod autonom; acesta poate furniza doar datele care permit personalului calificat să le ia.

Indicatori de funcționare pentru modurile normal și de eroare

Indicatorii pentru operator din sistemele de blocare a dușurilor nu reprezintă un simplu detaliu al interfeței cu utilizatorul — ci un mecanism de control al contaminării. Atunci când un operator aflat în interiorul unei camere de echilibrare de ieșire de nivel BSL-3 sau BSL-4 nu poate distinge clar între o stare normală de așteptare, un ciclu activ de duș, o condiție de ieșire în siguranță și o defecțiune care necesită intervenție, apare o abatere de la procedură. Această abatere este rareori dramatică; ea se acumulează prin decizii minore — așteptarea unui timp mai scurt decât cel cerut de sistem, apăsarea butonului de solicitare a deschiderii ușii înainte ca indicatorul să se fi stabilizat complet sau interpretarea unui indicator portocaliu ca o prelungire a celui verde — care, luate individual, par minore, dar care, în ansamblu, subminează secvența de ieșire.

Setul de indicatoare pentru un sistem funcțional de blocare a dușului trebuie să semnaleze cel puțin: sistemul este gata și secvența așteaptă să înceapă, ciclul de duș este activ cu un semnal de progres, ciclul s-a încheiat și presiunea a fost confirmată ca fiind sigură pentru eliberarea ușii, starea de defecțiune cu o referință descriptivă a ceea ce s-a defectat și modul de urgență. Fiecare dintre acestea reprezintă o stare operațională distinctă, care necesită un răspuns diferit din partea operatorului, iar combinarea oricăror două dintre ele — în special „defecțiune” și „așteptare” sau „defecțiune” și „urgență” — creează condițiile pentru o încercare de ieșire neinstruită. În cazul în care se aplică codificarea cromatică din IEC 60073, atribuirea culorilor trebuie să fie în concordanță cu convențiile acesteia privind indicațiile legate de siguranță; abaterea de la această convenție într-un mediu cu grad ridicat de izolare adaugă o sarcină cognitivă suplimentară într-un moment în care atenția operatorului este deja limitată.

Indicarea modului de defect necesită o atenție deosebită în etapa de proiectare. Un indicator generic de defect îi semnalează operatorului că ceva nu este în regulă, dar nu permite un răspuns adecvat situației. Dacă defectul constă într-o valoare a senzorului de presiune care depășește toleranța, răspunsul necesar este diferit de cel necesar în cazul unui defect al garniturii unei uși, care la rândul său este diferit de cel necesar în cazul unei defecțiuni a debitului dușului. Faptul că ieșirea PLC-ului permite acest nivel de diferențiere depinde de modul în care a fost specificată taxonomia defecțiunilor în etapa URS, iar instalarea ulterioară a unui sistem de indicatoare mai detaliat după punerea în funcțiune reprezintă o modificare a panoului care necesită recalificare. Această decizie trebuie luată în etapa URS, nu în lista de sarcini pentru punerea în funcțiune.

Cazuri de întrerupere a ciclului din cauza unei întreruperi de curent sau a blocării ușii

Un ciclu de deschidere incomplet — fie că este cauzat de instabilitatea sistemului HVAC, de o garnitură de etanșare a ușii desprinsă, de o întrerupere a alimentării cu energie electrică în timpul ciclului sau de un obstacol fizic — reprezintă una dintre situațiile cu risc ridicat cu care se va confrunta sistemul de interblocare în timpul funcționării. Rolul sistemului de interblocare în fiecare dintre aceste scenarii este de a menține ușa blocată, nu de a continua secvența sau de a reveni la o stare neutră. Distincția este importantă deoarece o stare neutră — în care controlerul nu menține în mod activ ușa de ieșire blocată — poate permite deschiderea manuală a ușii de către un operator care crede că ciclul pur și simplu s-a blocat. Acest rezultat reprezintă o încălcare a izolării, fără înregistrarea finalizării dușului și, potențial, fără verificarea presiunii.

Dificultatea constă în faptul că confirmarea comportamentului de „blocare-fără-autorizare” necesită provocarea deliberată a acestor condiții de defect în timpul testelor de punere în funcțiune, și nu deducerea acesteia din analiza diagramei logice. Simularea instabilității sistemului HVAC în timpul unui ciclu activ de ieșire, testarea cu o garnitură de ușă care nu este complet așezată și întreruperea alimentării cu energie electrică la jumătatea ciclului produc, fiecare în parte, un răspuns al sistemului care poate diferi de răspunsul proiectat, dacă există decalaje de sincronizare sau cazuri marginale în logica de control. Aceste lacune sunt greu de identificat prin analiza schemelor și nu sunt detectate în mod fiabil doar prin testarea funcțională în condiții normale. Echipele de punere în funcțiune ar trebui să trateze aceste teste de defect simulat ca evenimente de testare primare, nu ca verificări suplimentare adăugate la secvența normală de testare a ciclului.

O pană de curent în timpul unui ciclu de ieșire se suprapune, de asemenea, cu cerința privind ieșirea de urgență discutată anterior. Dacă se produce o pană de curent în timp ce un utilizator se află în timpul dușului, cerința privind ieșirea cu deschidere automată în caz de avarie înseamnă că ușa de ieșire trebuie să se deschidă — însă sistemul trebuie să înregistreze simultan starea de ciclu incomplet. Testarea ar trebui să confirme că ambele comportamente au loc simultan: ușa se deschide conform cerințelor codului de siguranță a vieții, iar starea de ciclu incomplet este înregistrată în jurnalul de audit cu suficiente detalii pentru a susține evaluarea ulterioară evenimentului. Dacă testul confirmă doar deschiderea ușii fără a verifica înregistrarea stării, jumătate din cerință a fost validată.

Dovezi de validare pentru sistemele de blocare a dușurilor BSL

Validarea sistemelor de dușuri pentru personal trebuie structurată prin fazele IQ, OQ și PQ, criteriile de acceptare fiind definite în funcție de parametri specifici, mai degrabă decât de descrieri funcționale generale. Faza IQ confirmă faptul că sistemul instalat corespunde specificațiilor de proiectare: amplasarea senzorilor, modelul controlerului, versiunea software-ului, configurația cablajului și punctele de declanșare a alarmelor sunt verificate în raport cu pachetul de proiectare aprobat. Aceasta este, de asemenea, etapa în care trebuie confirmată funcționalitatea mecanismului de înregistrare a auditului, deoarece testările ulterioare OQ și PQ depind de generarea și păstrarea corectă a datelor înregistrate.

Testarea OQ vizează logica sistemului de interblocare în sine, în condiții controlate. Precizia de sincronizare, răspunsul la pragul de presiune și conformitatea cu cerințele privind ieșirile de urgență în caz de incendiu se numără printre parametrii care trebuie testați în raport cu criterii de acceptare definite. Valorile reprezentative din ghidurile comerciale tratează precizia de sincronizare la ±0,2 s și verificarea pragului de presiune la ±0,5 Pa ca repere semnificative pentru OQ; acestea reflectă rezoluția necesară pentru a confirma că logica răspunde la stări reale de presiune, și nu la zgomotul senzorului sau la latența controlerului. Testarea conformității cu cerințele privind ieșirile de urgență în caz de incendiu ar trebui să confirme atât comportamentul de „deschidere la defect” (fail-open), cât și captarea instantanee a stării în cadrul unui singur eveniment de testare, nu ca teste separate, deoarece cele două cerințe apar simultan într-o situație reală de urgență.

În cazul instalațiilor în care dușul de aer este integrat în traseul de ieșire al personalului, secvența de interblocare în trei etape — ușa exterioară închisă, ciclul dușului de aer finalizat, ușa interioară deblocată — necesită o verificare specifică. Testul trebuie să confirme că ușa interioară nu poate fi deblocată doar în urma închiderii ușii exterioare, chiar dacă senzorul de poziție al ușii exterioare a confirmat starea de închidere. Aceasta este o omisiune frecventă: un controler care interpretează închiderea ușii exterioare ca fiind suficientă pentru deblocarea ușii interioare a redus secvența cu trei stări la una cu două stări, ceea ce înseamnă că ciclul dușului de aer nu mai este impus ca o condiție de izolare. Această defecțiune nu este vizibilă în timpul funcționării normale dacă operatorii așteaptă întotdeauna indicatorul de ciclu, dar devine o breșă în izolare în momentul în care un operator încearcă deblocarea prematură.

Testarea PQ trece de la verificarea logică la performanța sistemului în condiții operaționale reprezentative. Recuperarea presiunii în trei secunde este o valoare de proiectare din ghidurile comerciale care reflectă ceea ce se poate realiza într-un sistem bine configurat; dacă recuperarea presiunii este mai lentă în condiții PQ decât în condiții OQ, această diferență indică o problemă la nivel de sistem — reglarea sistemului HVAC, performanța garniturilor sau calibrarea VAV — care trebuie rezolvată înainte ca sistemul să fie acceptat. Verificarea jurnalului de audit în etapa PQ confirmă faptul că mecanismul de înregistrare funcționează corect pe parcursul unei perioade operaționale reprezentative, nu doar în timpul unor evenimente de testare izolate.

În cazul echipelor care specifică sistemul de duș în sine, agentul de decontaminare și metoda de aplicare influențează în mod direct elementele pe care sistemul de interblocare trebuie să le monitorizeze și să le verifice. A duș chimic necesită confirmarea concentrării ca parte a finalizării ciclului, în timp ce un duș cu ceață Sistemul are proprii parametri de debit și de timp de contact pe care sistemul de interblocare trebuie să îi îndeplinească înainte ca eliberarea ușii să fie permisă. Aceste diferențe ar trebui reflectate în URS înainte de specificarea logicii sistemului de interblocare, deoarece intrările senzorilor necesare pentru verificarea finalizării ciclului diferă în funcție de metoda de decontaminare și nu pot fi adaptate cu ușurință odată ce arhitectura de control a fost definită. O comparație mai amplă a metodelor de decontaminare și a implicațiilor acestora asupra proiectării secvenței de ieșire este prezentată în Referință tehnică: duș chimic versus duș cu VHP.

Cea mai importantă confirmare prealabilă achiziției pentru un sistem de interblocare a dușurilor pentru personal este dacă logica de deblocare este determinată de stări verificate ale sistemului — recuperarea presiunii, semnalele de finalizare a ciclului, pozițiile ușilor — sau de timpul scurs, cu suprascrieri condiționale adăugate ulterior. Sistemele proiectate pe baza timpului ca condiție principală de deblocare necesită modificări semnificative ale arhitecturii de control pentru a integra verificarea presiunii, iar aceste modificări efectuate în etapele ulterioare instalării au implicații legate de recalificare care sunt rareori prevăzute în buget în momentul în care devin necesare.

Înainte de finalizarea specificației sistemului de interblocare, echipele ar trebui să confirme, de asemenea, că răspunsul la ieșirea de urgență și înregistrarea pistei de audit sunt definite ca o cerință combinată, nu ca elemente funcționale separate. Conformitatea cu normele de siguranță a vieții și trasabilitatea evenimentelor de contaminare sunt ambele elemente nenegociabile într-un mediu cu grad ridicat de izolare; sistemul trebuie să le asigure pe amândouă simultan, iar protocolul de validare ar trebui să le testeze împreună. Ceea ce susține în cele din urmă conținutul articolului este o întrebare simplă din lista de verificare pentru precalificare: poate acest sistem să furnizeze dovezi documentate, în condiții normale și de defecțiune, că limita de izolare a fost menținută sau că a avut loc o excepție verificată? Dacă răspunsul necesită ipoteze privind comportamentul operatorului, mai degrabă decât rezultate confirmate ale sistemului, proiectarea sistemului de interblocare prezintă o lacună care va ieși la iveală în timpul inspecției.

Întrebări frecvente

Î: Unitatea noastră dispune deja de un sistem de blocare a dușurilor bazat pe timp. Este posibilă instalarea ulterioară a unui sistem de verificare a presiunii fără a înlocui întregul sistem de control?
R: O modernizare este adesea posibilă, dar depinde de capacitatea de I/O disponibilă a controlerului existent și de flexibilitatea logică a acestuia. Cel puțin, trebuie adăugat un senzor dedicat de presiune diferențială, iar PLC-ul trebuie programat pentru a include o etapă de confirmare a stabilității presiunii înainte de a alimenta mecanismul de deblocare a ușii. Dacă controlerul actual utilizează relee cu temporizator cu conexiuni fixe sau nu dispune de canale de intrare analogice, poate fi necesară o modernizare parțială a sistemului de control. O inspecție la fața locului efectuată de un integrator cu experiență în sisteme de interblocare pentru incinte de izolare este primul pas necesar pentru a confirma ce poate suporta hardware-ul existent.

Î: Care este primul document pe care trebuie să îl redactăm după ce citim acest articol, pentru a asigura coordonarea dintre echipa noastră de proiect și potențialii furnizori?
A: O Specificație a Cerințelor Utilizatorului care definește în mod explicit secvența de interblocare ca fiind bazată pe stări, și nu pe timp. Specificația URS trebuie să includă condițiile obligatorii de eliberare (finalizarea ciclului de duș, recuperarea presiunii peste pragul definit, cu stabilitate în limitele toleranței specificate, și verificarea poziției ușii), indicatorii de defect necesari, precum și suprascrierea simultană a sistemului de siguranță a vieții cu o captură de ecran a stării, protejată împotriva manipulării neautorizate. Fără acest document, furnizorii vor recurge frecvent la o logică de eliberare temporizată, care este mai puțin costisitoare de implementat, dar introduce riscurile de izolare descrise în articol.

Î: Logica sistemului de blocare pentru verificarea presiunii descrisă aici se aplică laboratoarelor BSL-2 sau este specifică laboratoarelor BSL-3 și celor de nivel superior?
R: Verificarea cascadei de presiune nu este o cerință obligatorie pentru nivelul BSL-2, așa cum este pentru nivelurile BSL-3/4; prin urmare, o deblocare a ușii cu temporizare strictă poate fi acceptabilă dacă este susținută de o evaluare documentată a riscurilor. Cu toate acestea, chiar și la nivelul BSL-2, dacă se utilizează un duș de decontaminare ca parte a secvenței de ieșire, sistemul de interblocare ar trebui să confirme cel puțin finalizarea ciclului de duș înainte de a permite deblocarea ușii de ieșire. Logica articolului privind recuperarea presiunii și intervalele de toleranță vizează instalațiile în care cascada de presiune reprezintă un control principal de izolare, ceea ce este standard pentru BSL-3 și esențial pentru BSL-4.

Î: Un sistem de blocare bazat pe stat va duce efectiv la o scădere a numărului de încercări de eludare din partea șoferilor, în comparație cu un sistem bazat pe timp, bine întreținut?
R: Da, sistemele bazate pe stări reduc în mod demonstrabil comportamentul de ocolire, deoarece oferă operatorilor un semnal de încredere și fără ambiguitate privind “siguranța ieșirii”, bazat pe condiții verificate. Atunci când un sistem bazat pe timp eliberează ușa înainte ca presiunea să se fi restabilit complet — ceea ce operatorii percep ca o alarmă, o fluctuație de presiune sau o stare neașteptată a ușii — acest lucru determină echipa să considere dispozitivul de interblocare ca fiind nesigur, ceea ce duce la solicitări de anulare a blocării și la obiceiuri informale de ocolire. Un sistem bazat pe stări aliniază momentul eliberării cu stabilitatea reală a incintei de izolare, menținând încrederea operatorului și respectarea procedurilor pe termen lung.

Î: În cazul unei instalații de nivel BSL-3 cu un flux foarte redus de personal, este justificată din punct de vedere al costurilor investiția într-un sistem logic de interblocare cu verificare completă a presiunii, în comparație cu utilizarea unui sistem mai simplu de eliberare temporizată, însoțit de proceduri operaționale standard (SOP) riguroase?
R: Investiția este justificată chiar și pentru instalațiile cu capacitate redusă, deoarece costurile indirecte ale unei singure încălcări a etanșeității — oprirea impusă de autoritățile de reglementare, recalificarea, investigarea expunerii potențiale — depășesc cu mult costul incremental al echipamentelor și sistemelor logice de verificare a presiunii. Deși controalele procedurale susțin funcționarea în condiții de siguranță, acestea nu pot detecta în timp real întârzierea sistemului HVAC sau o variație a presiunii la nivelul pereților de etanșeitate. Un dispozitiv de interblocare care se declanșează doar în funcție de timpul scurs creează o lacună latentă care va ieși la iveală în timpul inspecției sau, mai rău, în timpul unui incident, indiferent de cât de rar este utilizată instalația.