Сотрудники выходят из лаборатория уровня BSL-3 или BSL-4 является одной из точек перехода с наибольшим риском в последовательности мер по локализации, а логика блокировки, управляющая этим выходом, зачастую недостаточно подробно проработана на этапе проектирования. Типичная схема отказа заключается не в резком сбое системы, а в пробеле в последовательности действий, который никто явно не тестировал, например, когда внутренняя дверь может открыться до того, как цикл воздушного душа подтверждение установления связи или задержка разблокировки двери, установленная при вводе в эксплуатацию, а не зафиксированная в техническом задании (URS). Когда этот пробел выявляется в ходе нормативной проверки или расследования инцидента, связанного с безопасностью, издержки заключаются не только в доработке логики ПЛК; это также требует переработки документации по квалификационным испытаниям (OQ), задержки ввода объекта в эксплуатацию и несоответствия требованиям биобезопасности, которое требует официального расследования. Читателю необходимо самостоятельно определить, определяет ли его текущая спецификация блокировки каждый режим работы — нормальный, аварийный, чрезвычайный и режим технического обслуживания — с достаточной точностью, чтобы квалифицированный испытатель, аудитор и инспектор пожарной охраны пришли к одному и тому же выводу о том, как работает система.
Логика блокировки является частью системы контроля локализации
Логика блокировки воздушного шлюза душевой кабины не является второстепенным элементом, добавленным к и без того завершенной конструкции системы локализации. Для объектов уровня BSL-3 две самозакрывающиеся двери с блокировкой представляют собой базовые технические требования безопасности, определенные в Рекомендации регулирующих органов США— это не просто конструктивное решение. Данный базовый принцип означает, что сама последовательность блокировок является частью системы обеспечения безопасности, и любой пробел в её технических характеристиках является пробелом в системе обеспечения безопасности.
Стандартная последовательность выхода зависит от согласованного взаимодействия четырёх последовательных событий подтверждения: дверь A полностью закрывается, и датчик положения — а не только остановка двигателя — подтверждает закрытие; истекает фиксированная задержка; проверяется восстановление перепада давления; и только после этого разблокируется дверь B. Каждое событие подтверждения является узлом принятия решения. Если какое-либо из них определено неточно, последовательность может казаться работающей правильно в стандартных условиях испытаний, оставаясь при этом уязвимой для режимов отказа, которые проявляются только под нагрузкой или в крайних случаях, связанных с временем.
В приведенной ниже таблице приведены четыре параметра, которые необходимо определить на этапе URS, а также последствия с точки зрения риска в случае отсрочки решения по каждому из них до этапа ввода в эксплуатацию.
| Параметр | Что следует определить в URS | Риск в случае отсрочки до ввода в эксплуатацию |
|---|---|---|
| Подтверждение датчика положения двери | Подтвердить полное закрытие двери А с помощью датчика положения, а не только по остановке двигателя; зафиксировать состояние датчика в журнале последовательности действий. | Тестирование по принципу «прошел/не прошел» без регистрации промежуточных результатов затрудняет выявление неисправностей и ставит под сомнение признание результатов аудиторами. |
| Сроки задержки выпуска | Установите задержку, равную не менее чем 1,5-кратному времени полного хода VAV, чтобы обеспечить стабильность давления до разблокировки двери B. | Пересмотр условий после установки требует повторного проведения OQ и восстановления документации по SAT. |
| Проверка восстановления давления | Перед разблокировкой двери B необходимо убедиться, что восстановление перепада давления (ΔP) составляет ≥10 Па. | Блокировка может отключиться, пока каскад давления ещё восстанавливается, что может привести к нарушению герметичности. |
| Срабатывание механизма разблокировки двери | Разблокируйте дверь B только после того, как будут выполнены все предшествующие подтверждения и истечет время таймера последовательности. | Обход последовательности может привести к нарушению процедуры локализации и вызвать несоответствие требованиям биобезопасности. |
Порог восстановления ΔP ≥10 Па и задержка срабатывания, привязанная к времени полного хода приводов VAV, являются критериями проектирования, взятыми из коммерческих технических руководств, а не универсальными нормативными ограничениями. Их ценность заключается в том, что они дают URS конкретную отправную точку, которую можно адаптировать с учетом оценки рисков объекта и характеристик системы ОВКВ. Для закупок и валидации важно, чтобы эти параметры были зафиксированы до начала монтажа. Пересмотр задержки срабатывания после ввода в эксплуатацию приводов VAV означает повторное проведение операционной квалификации (OQ) и повторное формирование документации по стационарным испытаниям (SAT) — это создает нагрузку в плане графика работ и обоснования результатов при аудите, которую можно полностью избежать, если решение о параметрах будет принято на более раннем этапе.
Еще одной распространенной ошибкой при тестировании системы блокировки является регистрация только результата “прошел/не прошел” в конце последовательности. Протокол испытаний, в котором указано «дверь B разблокирована — ПРОШЕЛ», но не зафиксированы промежуточные состояния двери, кривая ΔP и данные таймера задержки, не дает аудитору оснований для того, чтобы отличить проверенную последовательность от той, которая случайно прошла испытание один раз при благоприятных условиях. Это различие имеет особое значение в случае возникновения неисправности после появления людей в помещении.
Перенос срока определения параметра задержки выпуска на этап ввода в эксплуатацию приводит к тому, что решение, принятое на одной странице технического задания (URS), превращается в повторное проведение операционной квалификации (OQ) и восстановление документации по статистическому анализу (SAT).
Открытие двери должно осуществляться в соответствии с правилами последовательности действий в душе
Взаимодействие между контроллером воздушного душа и ПЛК системы блокировки — это момент, который команды часто принимают как само собой разумеющееся, вместо того чтобы явно прописать и протестировать. Исходит из того, что, поскольку душ работает до выхода, дверь не может разблокироваться до окончания цикла душа. На практике же внутренняя дверь может разблокироваться, как только датчик внешней двери подтвердит её закрытие, при этом фактического обмена сигналами между контроллером цикла душа и логикой блокировки не происходит. В условиях Лаборатория с костюмами уровня BSL-4 В соответствии с требованиями весь персонал должен принять душ перед выходом в рамках процедура дезактивации; это четко сформулированное процедурное требование, которое подразумевает, что блокировка выхода должна обеспечивать завершение душа в качестве условия разблокировки, а не просто исходить из того, что это происходит.
Проверка должна проводиться следующим образом: внутренняя дверь не должна открываться до тех пор, пока цикл работы воздушного душа не будет подтвержден как завершенный, даже если датчик положения внешней двери уже подал сигнал о закрытии и время задержки истекло. Эти два контроллера — ПЛК, управляющий состоянием дверей, и контроллер воздушного душа, управляющий временем цикла, — должны обменяться сигналом подтверждения, и этот обмен должен быть подтвержден в ходе тестирования блокировки, а не предполагаться на основании документации по архитектуре системы.
Эту координацию легко упустить из виду во время приемочных испытаний (FAT), поскольку в тестовой среде душ обычно запускается вручную, а реакция двери наблюдается визуально. При этом обычно не проверяется, действительно ли ПЛК считывает сигнал о завершении цикла душа или просто по истечении времени ожидания разблокирует дверь независимо от этого. Указание требования к обмену сигналами в техническом задании (URS), указание типа и источника сигнала в протоколе FAT, а также включение специального тестового сценария, в котором предпринимается попытка разблокировки двери до завершения цикла душа, — вот три шага, которые позволяют устранить этот пробел до начала монтажа.
Последствия пропуска этой проверки не проявляются сразу при нормальной работе, поскольку операторы, следующие стандартной операционной процедуре (SOP), завершают душ перед тем, как подойти к внутренней двери. Риск заражения возникает, когда оператор спешит, не соблюдает SOP или когда во время технического обслуживания изменяется логика ПЛК и связь между системами неосознанно нарушается. В этот момент система блокировки не обеспечивает соблюдение процедуры дезактивации — она лишь создает видимость этого.
Меры ограничительного характера требуют разработки планов действий в чрезвычайных ситуациях
Более строгие механизмы взаимоблокировки снижают риск преднамеренного обхода системы, но при этом создают другую проблему: если в чрезвычайной ситуации система удерживает двери в запертом состоянии, персонал не сможет покинуть помещение. Этот конфликт не носит теоретический характер. Каждый объект BSL, оснащенный душевой шлюзовой камерой с системой взаимоблокировки, должен найти решение, позволяющее согласовать меры по контролю загрязнения и обеспечение безопасного эвакуационного выхода, причем это решение должно быть зафиксировано в проектной документации до начала закупок, а не выявлено во время пожарных учений.
Нормативной базой для эвакуационных выходов являются стандарты NFPA 101 и, в соответствующих случаях, EN 16005. Эти стандарты не содержат требований к системам локализации пожара, но являются авторитетным источником в отношении поведения эвакуационных выходов — в частности, в отношении того, как должна действовать система блокировки при получении сигнала пожарной тревоги. Требуемое поведение — «открытие при сбое»: система должна перейти в режим, обеспечивающий немедленный выход. Реже указывается сопутствующее требование: система должна одновременно создавать защищенный от несанкционированного вмешательства «снимок» состояния, позволяющий восстановить информацию о том, какие двери были открыты, заперты и находились в процессе открытия в момент отключения блокировки. Без такого «снимка» при анализе ситуации после инцидента невозможно определить, было ли нарушено ограничение распространения пожара, кто находился внутри или было ли отключение блокировки инициировано правомерно.
В приведенной ниже таблице представлены четыре сценария, которые необходимо учитывать при планировании аварийного сброса, с указанием требуемого поведения блокировок и соответствующих проверок для подтверждения или предотвращения каждого из них.
| Сценарий | Требуемое поведение системы блокировки | Проверка или профилактическая проверка |
|---|---|---|
| Срабатывание пожарной сигнализации | Перейти в режим «открыто при сбое» для выхода; зафиксировать защищенную от несанкционированного вмешательства моментальную запись состояния, отражающую, какие элементы были открыты, заблокированы и находились в процессе перемещения. | Подтвердите срабатывание в режиме «открытие при сбое» по сигналу тревоги и проверьте, что сгенерирован журнал моментальных снимков с защитой от несанкционированного вмешательства. |
| Потеря мощности | Функция открытия двери при сбое; регистрация конечного состояния двери и информации о персонале/материалах, находящихся в процессе перемещения. | Убедитесь, что дверь можно открыть вручную и что целостность журнала регистрации сохраняется. |
| Ручное аварийное управление | Авторизованное отключение блокировки открывает двери; система должна регистрировать это событие и требовать авторизации на основе ролей. | Подтвердите наличие контроля на основе ролей и ведение журнала аудита для каждого случая отклонения от настроек. |
| Механическая неисправность двери (провисание/прогиб рамы) | Система блокировки может подавать сигнал о разблокировке, хотя дверь физически не может открыться, что заставляет операторов отключать замок. | Включить в объем IQ проверку усилия, необходимого для приведения двери в действие, и проверку выравнивания коробки двери, чтобы предотвратить появление явления «обхода». |
Один из видов неисправностей, который редко упоминается при рассмотрении проектной документации, но регулярно приводит к обходу системы оператором, — это провисание двери или деформация коробки. В этом случае система блокировки подает сигнал “разблокировано”, поскольку электромагнитный замок отпустился, в то время как дверь физически не может открыться из-за несоосности коробки. Операторы, сталкивающиеся с такой ситуацией, в конечном итоге отключают замок, чтобы восстановить работоспособность системы. Включение проверки усилия открывания двери и проверки выравнивания рамы в объем IQ снижает вероятность такого исхода. Это профилактическая мера, а не обязательный этап, предусмотренный нормами, но её отсутствие превращает проблему механического допуска в несанкционированный обход, который фиксируется в журнале аудита без указания первопричины.
Блокировка, которая сигнализирует о разблокировке, хотя дверь не может открыться, побуждает операторов отключать замок — и именно такое поведение становится реальной угрозой для безопасности.
Стандартные операционные процедуры (SOP) и требования к обеспечению безопасности жизни должны соответствовать друг другу
Логика блокировки управляет физической последовательностью действий. Стандарт операционных процедур (SOP) определяет, какие действия должен выполнять персонал в рамках этой последовательности. Если эти два элемента не согласованы, система блокировки может навязывать последовательность, не предусмотренную SOP, либо SOP может требовать выполнения шагов, которые система блокировки не в состоянии обеспечить. Оба этих случая приводят к нарушению требований, но по-разному: один приводит к выявлению нарушений в ходе аудита, а другой — к риску разлива.
Проверка согласованности представляет собой этап проверки на стадии реализации проекта, а не настройку при вводе в эксплуатацию. К моменту написания программы ПЛК в стандартной операционной процедуре (SOP) уже должны быть определены: нормальная последовательность выхода, продолжительность душа и критерии его завершения, кто может санкционировать обход, а также что происходит в случае срабатывания сигнализации во время цикла выхода. Логика блокировки должна реализовывать эти решения, а не придумывать их заново. В случаях, когда СОП и логика блокировки расходятся — например, когда СОП разрешает диспетчеру устно санкционировать выход во время неисправности душа, но ПЛК не имеет механизма для принятия такого разрешения — это несоответствие необходимо устранить путем пересмотра одного из документов до проведения приемочных испытаний (FAT).
Аспект обеспечения безопасности жизни вносит обязательное ограничение. Требования стандарта NFPA 101 к эвакуации действуют независимо от классификации зоны локализации. Стандартная операционная процедура (СОП), предписывающая персоналу дожидаться завершения душа перед выходом, не может иметь приоритет над пожарной сигнализацией, которая запускает механизм открытия дверей в случае аварии. В СОП это должно быть четко указано: при срабатывании пожарной сигнализации эвакуация имеет приоритет над процедурой деконтаминации, и система блокировки соответственно разблокирует двери. Ориентированные на технологические процессы системы биобезопасности, такие как ISO 35001 и Рекомендации из Руководства ВОЗ по биобезопасности в лабораториях поддерживают включение оценки рисков в процесс разработки стандартных операционных процедур (СОП); на практике это означает, что каждый из сценариев, ранжированных по степени риска — пожар, отключение питания, потеря дееспособности персонала — должен быть соотнесён с конкретной инструкцией СОП, которая соответствует поведению системы блокировки в данном режиме.
Проверка перед вводом в эксплуатацию заключается в сопоставлении двух документов: каждому режиму работы, определённому в таблице состояний блокировок, должен соответствовать соответствующий раздел SOP. Если такое соответствие отсутствует, один из этих двух документов требует корректировки. В ходе периодических оценок по результатам учений следует проверять, соответствует ли реальное поведение оператора обоим документам.
Если стандартная операционная процедура (SOP) допускает устное разрешение на обход, но в ПЛК отсутствует соответствующий механизм, этот пробел необходимо устранить до начала приемочных испытаний (FAT), а не во время их проведения.
Для получения разрешения необходимо предоставить таблицы по штату для каждого режима работы
В рамках проекта не следует пытаться получить одобрение логики блокировки душевого шлюза, если для каждого режима работы не определена таблица состояний: что делает система блокировки в нормальном режиме, что — при срабатывании сигнализации, что — при эвакуации в чрезвычайной ситуации и что — когда персоналу по техническому обслуживанию требуется доступ. Одобрение логики блокировки без таблиц состояний для каждого режима означает одобрение неполной спецификации. Пробелы в спецификации рано или поздно выявятся — либо во время квалификационных испытаний, либо во время проверки, либо при возникновении инцидента.
Таблица состояний режимов работы отражает это требование. В ней должны быть определены логика блокировки дверей, условия разрешения циклов душа, поведение сигнализации, полномочия по ручному управлению, а также требования к ведению журнала независимо для каждого режима.
| Режим работы | Логика блокировки дверей | Допустимый цикл душа | Поведение сигнализации | Право на ручное управление | Требования к ведению лесохозяйственной документации |
|---|---|---|---|---|---|
| Обычный выход | Определите полную последовательность блокировки; внутренняя дверь разблокируется только после закрытия внешней двери и истечения задержки. | Цикл должен быть завершён до того, как откроется внутренняя дверца. | В ходе нормального выполнения последовательности сигналы тревоги не подаются; сигнализация включается только в случае сбоя в выполнении последовательности. | В обычном режиме переопределение отсутствует. | Регистрировать все события, связанные с дверью, и кривую восстановления ΔP. |
| Состояние тревоги | Определите, должны ли блокировки оставаться активными или сниматься в зависимости от типа сигнала тревоги (пожар или технологический). | Режим разрешения может быть приостановлен в зависимости от приоритета сигнала тревоги. | Генерация активных сигналов тревоги с заданными правилами подавления. | Разрешенное ручное управление с контролем доступа. | Регистрировать события типа «сигнал тревоги», «изменение состояния двери» и «обход системы». |
| Аварийный выход | Задайте логику «открытие при сбое»: обе дверцы должны разблокироваться, чтобы обеспечить немедленный выход. | Цикл душа был отключен в целях обеспечения безопасности людей. | Включена сигнализация полной эвакуации. | Возможность немедленного отключения доступна всем находящимся в помещении. | Создать защищенный от несанкционированного вмешательства снимок состояния, отражающий условия до переопределения. |
| Режим обслуживания | Определите протокол управления обходным режимом; двери могут удерживаться в открытом положении или разблокироваться в соответствии с процедурой. | Не требуется; обходится. | Подавление сигнала тревоги или только локальная индикация. | Доступ разрешен только уполномоченному техническому персоналу. | Регистрируйте все случаи включения обходного режима, события доступа и подтверждения возобновления эксплуатации. |
Пакет документации по IQ/OQ/PQ должен отражать эти определения режимов работы. IQ подтверждает, что датчики размещены в соответствии с проектом, версии прошивки соответствуют URS, обмен данными по протоколу находится в пределах технических характеристик, а выравнивание дверной коробки — в пределах допуска. OQ проверяет точность синхронизации, реакцию на пороговое значение ΔP, поведение системы при эвакуации в случае пожара в соответствии со стандартами NFPA 101 и EN 16005, а также логику защиты от проникновения вслед за другим человеком. PQ проверяет условия пикового пропуска, восстановление давления под рабочей нагрузкой, а также перехват доступа при полной загрузке и работе системы.
Сайт критерии приемки Приведенные ниже значения взяты из коммерческих технических руководств и должны рассматриваться как исходная основа для разработки требований к проектированию (URS), а не как жесткие нормативные ограничения. Их необходимо адаптировать с учетом результатов оценки рисков конкретного объекта и действующих стандартов.
| Фаза | Что входит в комплект | Пример критериев приемки |
|---|---|---|
| IQ | Проверка расположения датчиков, документирование версии прошивки, проверка установления связи по протоколу, выравнивание дверной коробки и проверка усилия открывания. | Все датчики установлены в соответствии с проектными чертежами; версии микропрограммы соответствуют требованиям URS; таймауты обмена данными находятся в пределах допустимых значений; выравнивание двери соответствует допускам. |
| OQ | Точность синхронизации, проверка порогового значения ΔP, испытания на соответствие требованиям к эвакуационным выходам в случае пожара (NFPA 101/EN 16005), оценка ложных срабатываний при попытке проникновения вслед за другим человеком. | Точность синхронизации ±0,2 с; пороговые значения ΔP ±0,5 Па; режим «открытие при сбое» при подтверждении пожарной тревоги; отсутствие ложных срабатываний при следовании за другим человеком в нормальном режиме эксплуатации. |
| PQ | Моделирование пиковых нагрузок, восстановление давления под нагрузкой, перехват доступа при полной работоспособности системы. | Восстановление давления ≤3 с после закрытия двери; отсутствие нарушений герметичности во время моделирования пиковой загрузки; система перехвата доступа работает при максимальной нагрузке. |
Требования к целостности данных для системы блокировки также должны быть определены на этапе URS, если объект подпадает под требования GMP. Журналы событий, отражающие изменения состояния дверей, кривые восстановления ΔP, изменения разрешений операторов и подтверждения сигналов тревоги, должны храниться в защищенном от несанкционированного доступа формате, синхронизироваться по протоколу NTP, с возможностью однократной записи в архив и с правами доступа, основанными на ролях. Обычно применяемый срок хранения данных для объектов, подпадающих под требования GMP, составляет десять лет; применимость этого требования зависит от нормативных условий, действующих на объекте, а не только от типа системы блокировки. Для объектов, подпадающих исключительно под требования BSL и не входящих в сферу действия GMP, минимальные требования к ведению журналов могут быть ниже, однако требование о защищенном от несанкционированного доступа снимке состояния при аварийном переключении остается необходимым с операционной точки зрения в любом случае, поскольку от этого зависит реконструкция событий после инцидента.
Прежде чем технические условия на систему блокировки воздушного шлюза душевой перейдут в стадию закупок, команда должна убедиться, что в документации четко зафиксированы следующие четыре момента: параметр задержки срабатывания привязан к заданному времени хода клапана VAV и закреплен в техническом задании (URS); процедура обмена данными между контроллером воздушной душевой и ПЛК в ходе цикла душевой обработки четко прописана и будет проверена в ходе приемочных испытаний (FAT); поведение системы при аварийном срабатывании соответствует логике «открытие при отказе» согласно стандарту NFPA 101 с установленным требованием к защищенному от несанкционированного доступа моментальному снимку; и для каждого режима работы имеется таблица состояний, которую тестировщик, специалист по биобезопасности и аудитор будут интерпретировать одинаково.
Если выполнение любого из этих четырёх элементов откладывается до этапа ввода в эксплуатацию, проект подвергается риску, связанному с несоответствием техническим требованиям, устранение которого после монтажа, как правило, обходится дороже, чем его правильное определение на этапе разработки концепции. Анализ таблицы состояний, проверка соответствия стандартных операционных процедур (SOP) и определение объёма работ по принудительной настройке и согласованию в рамках вводного тестирования (IQ) — это три этапа, предшествующие закупкам, которые с наибольшей вероятностью позволяют предотвратить описанные выше ситуации, требующие доработки.
Часто задаваемые вопросы
Вопрос: В нашем выходном шлюзе вместо воздушного душа используется химический душ. Применяется ли в этом случае та же логика блокировки?
A: Да, принцип работы системы блокировки изоляционной камеры остаётся неизменным. Сигнал завершения цикла должен поступать от контроллера химического душа, а не от таймера воздушного душа. В техническом задании (URS) необходимо указать, что разблокировка внутренней двери удерживается до завершения цикла химической деконтаминации, а также предусмотреть специальное испытание FAT, подтверждающее, что дверь не может разблокироваться до получения этого сигнала — точно так же, как это делается для воздушного душа.
Вопрос: Как определить задержку открытия дверей, если в здании используется система вентиляции с постоянным объемом воздуха, а не система с переменным объемом воздуха (VAV)?
A: Прокси-показатель времени хода VAV больше не применяется. Вместо этого необходимо измерить профиль стабилизации давления в воздушном шлюзе при наихудших условиях расхода и зафиксировать задержку в системе URS как время, необходимое для стабильного достижения порогового значения восстановления ΔP (≥10 Па). Это позволяет избежать риска пересмотра условий ввода в эксплуатацию, о котором говорится в статье.
Вопрос: Каков первый шаг для согласования письменного стандартного операционного процедуры (SOP) с таблицей состояний блокировок перед вводом в эксплуатацию?
A: Извлеките таблицу состояний для режима нормального выхода и сопоставьте каждое состояние двери, разрешение на использование душа и логику таймера с конкретной инструкцией SOP. Повторите эту процедуру для режимов сигнализации, аварийного режима и технического обслуживания. Любое состояние, не имеющее соответствующего шага SOP, необходимо устранить путем корректировки либо SOP, либо спецификации блокировок до проведения приемочных испытаний (FAT), чтобы задокументированная процедура никогда не противоречила физической последовательности действий, обеспечиваемой ПЛК.
Вопрос: В каких случаях полностью блокирующий устройство с отсутствием ручного разблокирования на самом деле безопаснее, чем устройство с контролируемым обходом?
A: Только в том случае, если на объекте можно документально подтвердить и проверить возможность отключения системы аварийного эвакуационного выхода в соответствии с требованиями NFPA 101/EN 16005 без использования ручного обхода в контуре потока. На практике большинство объектов BSL-3/4 используют контролируемый обход с авторизацией на основе ролей и защищенной от несанкционированного вмешательства регистрацией действий, поскольку жесткие ограничения создают риск застревания, который сложнее снизить во время пожара или медицинских чрезвычайных ситуаций, а журнал действий обеспечивает эквивалентный контроль.
Вопрос: Необходим ли такой уровень требований к системе блокировки, если в нашей лаборатории уровня BSL-3 воздушный душ используется только для контроля твердых частиц, а не в качестве этапа деконтаминации в целях биобезопасности?
A: Не в полном объеме. Если душевая кабина не является требованием биобезопасности, процедуру согласования циклов работы душевой кабины можно упростить, но вам всё равно необходимо определить логику блокировки дверей для обеспечения герметичности. Укажите в техническом задании (URS), что душевая кабина не относится к системам безопасности, и отразите упрощённую логику в таблице состояний; в противном случае аудиторы могут расценить отсутствие процедуры согласования как отсутствие мер контроля герметичности. Заранее разъяснить свои намерения гораздо дешевле, чем объяснять их после проверки.
