Pruebas de enclavamiento de las esclusas de aire en laboratorios BSL-3/4: FAT, SAT y simulación de fallos

Los calendarios de homologación de las esclusas de aire BSL-3/4 suelen fracasar, no en el banco de pruebas, sino durante las pruebas SAT, cuando los equipos descubren que nunca se acordaron formalmente los intervalos de retardo de liberación, que nunca se especificó la rigidez del marco de la puerta o que la recuperación de presión para la que se ajustó el sistema en condiciones de aislamiento no puede mantenerse en la dinámica real del sistema de climatización con dos puertas, una junta activa y el flujo de trabajo de los operarios. En ese momento, la solución no es un ajuste sobre el terreno, sino repetir la calificación operativa (OQ) y reconstruir la evidencia de la SAT, lo que conlleva un coste en términos de calendario y documentación desproporcionado en comparación con lo que habría costado una disciplina rigurosa en la fase de especificación inicial. La decisión que determina este resultado no es el guion de la prueba en sí, sino la secuencia de compromisos del URS (Requisitos de Diseño del Usuario) establecidos antes de que nadie seleccione el hardware. Al analizar qué puede verificar la FAT antes de la instalación, en qué aspectos la SAT debe ir más allá y cómo se estructuran las pruebas de simulación de fallos, los equipos de validación e ingeniería pueden identificar exactamente dónde su plan de pruebas actual presenta lagunas que más adelante se manifestarán como desviaciones.

Simulación de secuencia normal frente a simulación de fallo

Probar únicamente el recorrido normal de apertura y cierre confirma que el enclavamiento funciona cuando todo funciona correctamente. No confirma, sin embargo, que la lógica se mantenga cuando las condiciones se acercan al límite de su margen de diseño; y, en el caso de las esclusas de aire de los niveles BSL-3 y BSL-4, esa distinción conlleva un riesgo directo para la contención.

La secuencia normal —se cierra la puerta A, el sensor de posición lo confirma, comienza el retardo, se confirma la recuperación de presión, se desbloquea la puerta B— es, desde el punto de vista estructural, fácil de verificar. Donde los protocolos de prueba suelen fallar es en lo que consideran una señal de recuperación de presión aceptable. Una lectura de ΔP momentáneamente estable que coincida con la ventana de confirmación no es lo mismo que una recuperación confirmada en condiciones reales de variación del sistema de climatización. La simulación deliberada de un fallo debería introducir inestabilidad en el sistema de climatización y un sellado de la puerta incompleto, con el objetivo específico de establecer que la lógica responde a un diferencial desestabilizado —prolongando el retardo o activando una advertencia— en lugar de permitir que la puerta B se abra ante una lectura transitoria. En la práctica de los enclavamientos de salas blancas, se cita como valor de diseño habitual una tolerancia a la fluctuación de ±1,5 Pa durante la ventana de confirmación; que ese valor se aplique a un proyecto concreto depende del diseño del sistema y de la evaluación de riesgos, pero el principio —de que la ventana de confirmación debe ponerse a prueba, y no solo observarse— se aplica de forma generalizada.

La consecuencia derivada de omitir este reto es un escenario de «falso paso»: el enclavamiento parece cumplir los requisitos, los operadores proceden con normalidad y, la primera vez que la carga del sistema de climatización varía en condiciones reales de ocupación, la lógica o bien bloquea la secuencia de forma inesperada o, lo que es peor, permite una apertura involuntaria de la puerta antes de que se recupere realmente la presión de contención. La simulación de fallos no es una mera formalidad añadida a las pruebas de secuencia normal. Es la parte de la prueba que revela si el sistema es resiliente o simplemente coopera en condiciones ideales.

Comprobaciones lógicas de FAT antes de la instalación en el sitio

La FAT permite verificar la lógica del PLC, las señales de presión simuladas, las secuencias temporales, el comportamiento de los relés de alarma y los enclavamientos de software antes de que se instale ni siquiera una sola puerta. Lo que no permite verificar es la masa real de la puerta, el asentamiento de las juntas tras ciclos repetidos ni la latencia de los indicadores del operador en condiciones reales de rendimiento. Saber exactamente qué decisiones deben tomarse en la FAT —y cuáles deben esperar a la SAT— evita tanto una dependencia excesiva de los resultados de fábrica como retrasos en el calendario por intentar resolver problemas específicos de la instalación durante la FAT.

El error de planificación más grave es organizar el plan de pruebas de enclavamientos en torno a una secuencia genérica de doble puerta, en lugar de hacerlo por tipo de ruta. Las rutas de personal y las de transferencia de material presentan consecuencias diferentes en caso de fallo: una violación del enclavamiento en la zona de vestimenta conlleva un riesgo posterior distinto al de un incidente de entrada de partículas en una ruta de material. Un plan de pruebas que no distinga entre ambos no puede generar registros SAT que se correspondan con el riesgo específico de cada ruta, y dichos registros no pueden respaldar un argumento de verificación basado en el riesgo en marcos como ASTM E2500-25. El principio organizativo del plan de pruebas debe reflejar el evento de contención que representa cada transición entre puertas, y esa decisión debe tomarse correctamente en las fases de URS y de diseño, antes de que se elabore el plan de pruebas.

Dos decisiones de especificación que se convierten en problemas costosos si se posponen hasta después de la URS son el intervalo de retardo aceptable para la liberación del enclavamiento con el tiempo de carrera completa de la VAV, y los requisitos de rigidez del marco de la puerta. Una discrepancia temporal entre la lógica de liberación del PLC y la carrera real de la VAV, detectada durante la SAT, requiere volver a realizar la OQ y reconstruir la documentación de la SAT. La holgura de la puerta —un problema de rigidez del marco no especificado en las especificaciones del equipo— provoca una desalineación del sensor de posición que tiene exactamente las mismas consecuencias en la revalidación. No se trata de casos aislados, sino de patrones de fallo recurrentes que tienen la misma solución en el momento en que se detectan y un coste mucho menor en el momento en que se especifican.

SAT con puertas reales y recuperación de presión

El SAT no es una repetición del FAT en la que se sustituyen las señales simuladas por hardware físico. La prueba debe tener en cuenta ahora la masa de la puerta tal y como está instalada, el comportamiento real de asentamiento del sellado neumático o mecánico bajo ciclos de funcionamiento, el tiempo de respuesta real del sistema de climatización en la cascada de presión tal y como está construida, y si los indicadores del operador responden con la latencia que supone la lógica del PLC. Cada una de estas variables puede dar lugar a un resultado que se desvíe de la referencia de la FAT, y el protocolo de la SAT debe diseñarse para poner de manifiesto esas divergencias en lugar de ocultarlas.

La comprobación de la recuperación de presión es donde surgen la mayoría de las discrepancias en las pruebas SAT. En la práctica de los enclavamientos de salas blancas se cita un valor objetivo de ΔP ≥ 10 Pa antes de la apertura de la puerta como referencia de diseño habitual; la cuestión relevante de la prueba no es si el sistema puede alcanzar ese diferencial en estado estacionario, sino si lo alcanza y lo mantiene dentro de la ventana de confirmación tras el cierre de la primera puerta en condiciones reales. Si el ΔP fluctúa más allá de la tolerancia definida en el proyecto durante ese intervalo, el sistema debería prolongar el retardo o activar una advertencia en lugar de continuar. La SAT debe confirmar este comportamiento mediante pruebas deliberadas, no mediante la observación del funcionamiento nominal. Puertas APR con junta neumática El accionamiento dinámico de la junta introduce aquí una dependencia temporal específica: la junta debe estar completamente asentada antes de que se abra la ventana de confirmación de presión, y esa secuencia debe registrarse a nivel de paso, no solo incluirse en el resultado de la pasada final.

El método de registro elegido para los protocolos SAT tiene consecuencias en materia de acreditación que van más allá del día de la prueba. Un protocolo que solo registra «aprobado» o «suspendido» a nivel de secuencia no ofrece ninguna base para aislar fallos cuando se produce una desviación: no permite identificar si el fallo se produjo en la detección de posición, la sincronización, la recuperación de presión o el desbloqueo de la puerta. Tampoco ofrece a los auditores ninguna base para distinguir entre un sistema que ha sido validado y uno que simplemente ha superado la prueba por casualidad. El registro de pasos intermedios —cierre de la puerta, confirmación del sensor de posición, inicio y fin del retardo, medición de la recuperación de presión, desbloqueo de la puerta— proporciona una cadena de pruebas con marca de tiempo que respalda la investigación de desviaciones y la integridad del registro de auditoría de una forma que los registros que solo indican «aprobado» o «suspendido» no pueden ofrecer por su propia estructura.

Casos de averías en la alimentación eléctrica y de emergencia de la junta de estanqueidad de la puerta a presión

La simulación de fallos en condiciones de sellado, alimentación eléctrica y emergencia debe diseñarse para confirmar el comportamiento ante la degradación, y no solo para comprobar que el enclavamiento se restablece. Los casos de fallo más relevantes —pérdida de alimentación, anulación de la alarma de incendio, fallo en la activación del sellado— son precisamente aquellas condiciones en las que un enclavamiento debe comportarse de forma predecible sin intervención del operador, y en las que la auditabilidad del estado final resulta más crítica.

Para cierre mecánico puertas APR, un fallo en el accionamiento del sello en mitad de la secuencia da lugar a un escenario de prueba específico: el sello no se ha acoplado por completo, el sensor de posición puede registrar o no que la puerta está cerrada, y el enclavamiento debe decidir si mantiene la secuencia, activa una alarma o libera el sistema. La respuesta esperada del sistema y los datos que deben registrarse en ese momento deben especificarse en el guion de prueba antes de que comience la prueba, y no determinarse en función de lo que haga el sistema cuando se introduzca el fallo. Si no se especifica previamente el estado esperado, la prueba genera una observación, no un resultado de cualificación.

Las pruebas de anulación de la alarma de incendio y de corte de suministro eléctrico deben confirmar que el sistema de enclavamiento pasa al modo de salida de «apertura por fallo», de conformidad con los requisitos de seguridad de las personas establecidos en las normas NFPA 101 y EN 16005. La prueba también debe capturar una instantánea del estado final a prueba de manipulaciones que registre qué puertas estaban abiertas, cuáles estaban cerradas con llave y qué personal o material se encontraba en tránsito en el momento del fallo. Esta instantánea no es una mera formalidad documental. Constituye la base probatoria para reconstruir el estado de contención durante una anulación de emergencia, así como para la evaluación de riesgos biológicos en caso de que la contención se viera comprometida durante la transición. Una prueba que confirme el comportamiento de salida pero que no verifique la captura de la instantánea deja un vacío que no puede subsanarse a posteriori.

Estado previsto del operador tras cada fallo

Los operadores no pueden responder adecuadamente a una situación de fallo que no se les haya indicado que puedan esperar. Un guion de prueba que solo define si el enclavamiento ha superado o no la prueba en un escenario de fallo no proporciona ningún punto de referencia operativo: confirma el comportamiento del sistema, pero deja a los operadores sin un estado definido que reconocer ni una acción que llevar a cabo. El estado esperado del operador tras cada fallo es un requisito del diseño de la prueba, no un módulo de formación que se pueda añadir posteriormente.

El escenario con mayores consecuencias prácticas que hay que definir de antemano es el de un retraso prolongado o un estado de advertencia tras una inestabilidad de presión. Si ΔP fluctúa más allá de la tolerancia definida en el proyecto durante el intervalo de confirmación, el enclavamiento debería prolongar el retraso o mantenerse en estado de advertencia en lugar de continuar. El resultado para el operador es que la puerta B no se desbloquea. La prueba debe especificar de antemano que este es el resultado esperado, que no se trata de un fallo del sistema y que la respuesta correcta del operador es esperar a que se estabilice la situación, en lugar de intentar una anulación manual o llamar al servicio técnico. A falta de esa especificación previa, el mismo comportamiento del sistema —la puerta B no se desbloquea, el retraso se prolonga— puede interpretarse como un fallo, lo que desencadenaría una escalada inadecuada y generaría un registro de desviación espurio.

En el caso de fallos en el accionamiento del sellado y de cortes de suministro eléctrico, el estado esperado del operador difiere: un fallo en el sellado suele requerir que el operador mantenga la posición y espere una señal de recuperación o una respuesta del servicio de mantenimiento, mientras que una pérdida de suministro eléctrico hace que el enclavamiento pase al modo de salida de “apertura por fallo”, lo que exige salir sin esperar a que se complete la secuencia. Se trata de estados del operador cualitativamente diferentes, y mezclarlos en una única instrucción del tipo «fallo = mantener» es un patrón de error que provoca un comportamiento incorrecto del operador precisamente cuando el tipo de fallo es más importante. Cada caso de fallo en el guion de prueba debe llevar asociado su propio estado definido para el operador, que se corresponda con la respuesta real del sistema que el SAT pretende confirmar. Los registros de prueba resultantes —combinados con los registros de los pasos intermedios— también proporcionan al responsable de bioseguridad y al equipo de control de calidad una base sólida para revisar los procedimientos de respuesta del operador en relación con el comportamiento observado del sistema, una relación que resulta difícil de establecer a posteriori a partir de pruebas que solo indican «aprobado» o «suspendido».

Cierre de la desviación y aprobación de la secuencia final

Una desviación detectada durante las pruebas de interbloqueo no se resuelve únicamente con una acción correctiva. Se resuelve cuando la acción correctiva se vincula al resultado de una nueva prueba, dicho resultado se registra en relación con el criterio de aceptación original y toda la cadena —desviación original, causa raíz, corrección, nueva prueba y aprobación— queda reflejada de tal forma que un auditor pueda reconstruirla sin necesidad de hablar con el equipo. Este es el estándar que debe cumplir un conjunto coherente de pruebas. Una recopilación de hojas de «aprobado/suspendido» confirma que se realizaron las pruebas; no permite a nadie reconstruir cuáles eran los criterios de aceptación, qué valores se midieron realmente ni cómo se resolvieron las desviaciones.

La estructura IQ/OQ/PQ proporciona el marco adecuado para organizar la cualificación de los enclavamientos de acuerdo con estos requisitos. La IQ confirma la instalación física y lógica: ubicación de los sensores, revisión del firmware y protocolos de comunicación entre el controlador de la puerta y el sistema de gestión del edificio o el PLC de seguridad. La OQ comprueba los parámetros funcionales —precisión temporal, umbrales de presión, comportamiento en caso de evacuación por incendio y tasa de falsas activaciones por «tailgating»— frente a los criterios de aceptación acordados. Las cifras de ejemplo citadas en la práctica de los enclavamientos en salas blancas (precisión de sincronización de ±0,2 s, umbrales de ΔP de ±0,5 Pa, apertura de emergencia en caso de incendio según las normas NFPA 101 y EN 16005) constituyen una referencia inicial útil, pero deben adaptarse en función de la evaluación de riesgos específica de cada proyecto, en lugar de adoptarse como requisitos universales para los niveles BSL-3/4. A continuación, la PQ confirma el rendimiento en condiciones que se acercan a la carga operativa real: simulación de tránsito máximo, tiempo de recuperación de la presión bajo estrés de rendimiento, integridad del registro de auditoría y comportamiento de interceptación de accesos cuando el sistema no funciona de forma aislada.

Los criterios de aceptación definidos en la OQ se convierten en las tolerancias con respecto a las cuales se evalúan las desviaciones de la PQ. Si dichos criterios no se documentaron formalmente en la OQ —o se ajustaron de manera informal durante las pruebas sin un registro de desviaciones—, la PQ carece de un punto de referencia estable y la aprobación final de la secuencia no puede respaldarse con pruebas que superen una inspección. La estructura de IQ/OQ/PQ no es una carga administrativa. Es el mecanismo que garantiza que los criterios de aceptación de cada fase sean explícitos antes de que comiencen las pruebas y que la resolución de las desviaciones sea trazable antes de que se inicie la siguiente fase.

La comparación de la documentación con la que se cierra esta sección constituye la prueba más rigurosa de la preparación: no se trata de si el sistema ha superado la prueba, sino de si el paquete de documentación permite reconstruir el comportamiento esperado, los valores medidos, la aplicación de las tolerancias y la resolución de las desviaciones para cualquier inspector que no haya estado presente durante las pruebas.

La homologación del enclavamiento de las esclusas de aire para instalaciones BSL-3/4 es una secuencia de decisiones que comienza en la fase de diseño (URS) —con el trazado de rutas, los intervalos de retardo de liberación, la sincronización del sistema VAV y la rigidez de los marcos de las puertas— y culmina con un paquete de documentación que pueda reconstruirse durante una inspección sin necesidad de recurrir al equipo que lo elaboró. El intervalo entre esos dos puntos es donde se concentran los riesgos relacionados con el calendario y la homologación, y ambos tienden a manifestarse en la prueba SAT más que en la FAT, ya que las puertas reales, las juntas en funcionamiento y la dinámica del sistema de climatización del edificio no se comportan como lo hacen las señales simuladas.

Antes de finalizar cualquier protocolo SAT o iniciar una revisión para el cierre de una desviación, el equipo debe poder confirmar tres cosas: que el plan de pruebas esté organizado por tipo de ruta y consecuencia de contención, en lugar de por una secuencia genérica de puertas; que cada caso de fallo especifique el estado esperado del operador como un resultado de prueba predefinido, y no como una observación a posteriori; y que el conjunto de pruebas registre los pasos intermedios, en lugar de limitarse únicamente a los resultados finales de «aprobado» o «suspendido». Si falta alguno de estos tres elementos, el registro de cualificación resultante será difícil de defender, y el coste de añadir pruebas a posteriori tras la aceptación del sistema es siempre superior al coste de incorporarlas correctamente durante la ejecución de las pruebas.

Preguntas frecuentes

P: Nuestra instalación de nivel BSL-3 no utiliza cajas VAV para el control de la presión; ¿siguen siendo aplicables las pruebas de temporización de los enclavamientos y de recuperación de la presión?
R: Sí, sigue siendo imprescindible someter el enclavamiento a pruebas en condiciones dinámicas realistas. Incluso sin modulación de volumen de aire variable (VAV), la prueba debe confirmar que la diferencia de presión se estabiliza dentro del rango de diseño antes de que se libere la siguiente puerta, y que cualquier fluctuación del sistema de climatización que supere la tolerancia de su proyecto active una advertencia o un retraso prolongado, y no un desbloqueo prematuro. La ausencia de VAV elimina la dependencia temporal entre el desbloqueo del enclavamiento y la carrera del regulador, pero no elimina la necesidad de verificar que el intervalo de confirmación de la presión no se vea afectado por un pico transitorio provocado por el cierre de la puerta o el asentamiento de la junta. Su protocolo debe seguir simulando las peores condiciones posibles de la instalación para demostrar un comportamiento resistente.

P: Tras leer esto, ¿cuál es el documento más urgente que debemos revisar en nuestro actual proyecto de homologación de sistemas de bloqueo?
R: Empieza por la Especificación de Requisitos del Usuario (URS). Comprueba que recoja explícitamente los tipos de recorrido (personal frente a material), el intervalo de retardo aceptable para la liberación de los enclavamientos, cualquier temporización de carrera completa del VAV y los requisitos de rigidez del marco de la puerta. El artículo demuestra que la ausencia de compromisos o la vaguedad de los mismos en la fase de la URS obligan a realizar costosas revalidaciones posteriores, como volver a ejecutar la OQ y reconstruir la documentación de la SAT. Si faltan estas especificaciones, modifique la URS antes de avanzar en el desarrollo de los guiones de la FAT o la SAT; esa secuencia garantiza el resultado de la cualificación al menor coste posible.

P: ¿A partir de qué nivel de bioseguridad la simulación de fallo total y el enfoque de registro por pasos pasan a ser un requisito normativo en lugar de una mera buena práctica?
R: En el caso de las instalaciones de nivel BSL-3 y BSL-4, las normas de gestión de riesgos biológicos, como la ISO 35001 y las directrices de bioseguridad en laboratorios de la OMS, exigen un nivel de pruebas de interbloqueo que incluya la simulación deliberada de fallos y el registro trazable de los pasos intermedios, ya que el riesgo de contención determina directamente los requisitos en materia de documentación. En el caso de los laboratorios BSL-2, este mismo enfoque constituye una práctica sólida basada en el riesgo, aunque puede que no sea obligatorio de forma generalizada; una evaluación de riesgos documentada puede ajustar el alcance de las pruebas. Sin embargo, cualquier instalación BSL-2 que maneje agentes de alto riesgo o que se enfrente a un escrutinio de auditoría comprobará que la simulación completa de fallos y el registro de los pasos proporcionan una evidencia defendible que los registros que solo indican «aprobado» o «suspendido» no pueden ofrecer por su propia naturaleza.

P: ¿En qué medida deben adaptarse las pruebas de interbloqueo en el caso de las puertas con sellado neumático frente a las de sellado mecánico?
R: Las puertas con junta neumática introducen una dependencia temporal que debe registrarse explícitamente: la junta inflable debe estar completamente asentada antes de que se abra la ventana de confirmación de recuperación de presión. El guion de prueba debe registrar el evento de accionamiento de la junta como un paso independiente para verificar que la secuencia no inicie la evaluación de la presión de forma prematura. Las puertas con junta mecánica, que asientan una junta de compresión al cerrarse, dependen más directamente del sensor de posición de la puerta, lo que simplifica la comprobación del asentamiento de la junta. En ambos tipos es necesaria la simulación de fallos de la junta, pero en el caso de las juntas neumáticas, el caso de fallo debe confirmar específicamente que una junta insuficientemente inflada o mal asentada activa la respuesta predefinida de retención o alarma. Qualia’s junta neumática puertas APR y cierre mecánico puertas APR ilustrar estos perfiles de pruebas distintos.

P: ¿Se justifica el coste que supone implementar el registro de pasos intermedios y las definiciones preestablecidas de los estados de los operadores en un único laboratorio pequeño de nivel BSL-3?
R: Sí, porque el coste de añadir pruebas a posteriori tras una desviación o un hallazgo de auditoría es desproporcionadamente mayor para un equipo pequeño. Un laboratorio con personal de validación limitado está especialmente expuesto: si se produce un fallo y un registro de «aprobado/suspendido» no permite determinar si el fallo se produjo en la detección de posición, la sincronización o la recuperación de presión, la investigación y las nuevas pruebas resultantes consumirán más recursos que incorporar el registro por pasos en el protocolo SAT desde el principio. Los estados predefinidos del operador también evitan las escalaciones incorrectas —como llamar al servicio técnico por un retraso prolongado normal— que generan registros de desviación espurios y tiempo de inactividad operativa. La inversión inicial protege contra los patrones de fallo de cualificación más comunes y costosos descritos en el artículo.