Una válvula Venturi instalada al revés puede superar todas las comprobaciones de funcionamiento normal durante una década. El error de instalación permanece oculto hasta que un fallo simulado acaba sometiendo al sistema a una tensión que la supervisión rutinaria nunca alcanza; y si esa tensión se produce como un suceso imprevisto en lugar de como una prueba controlada, el propio laboratorio se convierte en el experimento. Ese es el riesgo fundamental que los equipos subestiman cuando las pruebas de modos de fallo se tratan como una mera formalidad de puesta en servicio: el primer fallo real del sistema de escape o la primera interrupción de suministro eléctrico ponen de manifiesto las deficiencias que deberían haberse subsanado meses antes, a menudo en condiciones que conllevan un riesgo biológico real. Comprender cómo definir, simular y resolver cada escenario de fallo —además de quién es el responsable de los registros de respuesta— es lo que distingue a un sistema defendible de uno que está documentado como operativo, pero que no ha sido probado donde realmente importa.
Respuesta ante un corte de suministro eléctrico en los sistemas de contención
Las pruebas de corte de suministro no consisten en comprobar que el SAI se active. La cuestión más importante es si la lógica de control pasa automáticamente a un estado de contención seguro sin intervención humana, y si dicha lógica se ha verificado en condiciones reales de corte de suministro, en lugar de aceptarse simplemente como un punto más de las especificaciones.
En los entornos BSL-3/4 se repiten dos patrones de fallo cuando se omite o se abrevia esta prueba. El primero tiene que ver con la integración de la alarma contra incendios: los sistemas en los que una alarma contra incendios apaga el sistema de climatización y extracción antes de que se haya activado un detector de humo en el espacio pueden despresurizar una zona de contención innecesariamente, lo que provoca un incidente de pérdida de contención injustificado. La lógica de secuenciación —la activación del detector de humo debe preceder a la orden de apagado del sistema de climatización— debe someterse a pruebas comparativas con la secuencia de control realmente instalada, y no basarse en suposiciones a partir de los planos de diseño. El segundo tiene que ver con el comportamiento de seguridad ante fallos del PLC. Las cerraduras electromagnéticas, el inflado neumático de los sellos y los sistemas de respaldo de aire almacenado están diseñados para activarse cuando se corta la alimentación eléctrica, pero ese comportamiento previsto debe confirmarse mediante pruebas presenciadas por terceros. Una secuencia de control que funcione correctamente en condiciones normales de encendido y apagado puede no comportarse de forma idéntica cuando se corta la alimentación de forma brusca, y la discrepancia entre la intención del diseño y el comportamiento real sobre el terreno no es detectable únicamente mediante la revisión de la documentación.
Las consecuencias derivadas de omitir las pruebas de pérdida de alimentación en presencia de testigos no son hipotéticas. Si nunca se verifica el modo de seguridad ante fallos, el primer incidente de pérdida de alimentación imprevisto que se produzca en un laboratorio ocupado o en espera de descontaminación se convertirá en una prueba real, sin protocolo, sin testigos y sin un plan de recuperación controlado.
| ¿Qué puede salir mal? | Consecuencias de un estado no verificado | Qué confirmar |
|---|---|---|
| El sistema de alarma contra incendios apaga la instalación de climatización sin que se haya activado el detector de humo | Pérdida injustificada de contención; sistemas del laboratorio desconectados de forma innecesaria | La activación del detector de humo debe preceder a la orden de apagado del sistema de climatización |
| Modo de seguridad ante fallos del PLC (se activan los cierres, se inflan los sellos): sin verificar | La puerta de contención puede permanecer sin sellar durante un corte de suministro eléctrico real | Las pruebas realizadas ante testigos independientes verifican el enclavamiento del cierre electromagnético y el inflado del sello neumático mediante aire almacenado |
La confirmación de que los cierres electromagnéticos se activan y que los sellos neumáticos se inflan utilizando aire almacenado debe proceder de una prueba realizada en presencia de testigos, en la que se corte el suministro eléctrico en condiciones controladas y se registre el estado físico de cada límite de contención. Aceptar el comportamiento «fail-secure» como un elemento de la especificación sin someterlo a prueba crea una laguna difícil de justificar en una auditoría e imposible de subsanar de forma retroactiva tras un incidente.
Pruebas de alarma y recuperación en caso de fallo del sistema de escape
Los modos de fallo del sistema de escape suelen someterse a pruebas en el umbral de alarma —lo que significa que la prueba confirma que la alarma se activa cuando se supera un umbral— sin verificar el estado mecánico de los componentes que dan lugar a dicho umbral. La consecuencia práctica es que un ventilador con un estado de rodamientos en deterioro puede acercarse a un fallo crítico sin activar ninguna alarma existente, ya que las alarmas de estado final supervisan los parámetros de resultado, no el estado de los componentes. Las pruebas de modos de fallo que se limitan únicamente a las respuestas activadas por alarmas pasarán por alto por completo este patrón.
Hay tres áreas en las que se observan sistemáticamente deficiencias en la verificación. El estado mecánico del ventilador rara vez se incluye en los protocolos formales de modos de fallo, a pesar de que el deterioro de los cojinetes es una de las principales causas de pérdidas de escape no planificadas. La integridad de los filtros HEPA se confirma con frecuencia únicamente mediante certificados de eficiencia de los filtros, pero estos certificados documentan el rendimiento de fábrica y no pueden detectar fugas de derivación causadas por daños durante la instalación o defectos de la carcasa. El método de verificación correcto es realizar un escaneo de exposición a aerosoles en condiciones de instalación según la norma EN 1822-1, junto con una prueba de fugas de la carcasa BIBO; los certificados son un complemento, no un sustituto. La tercera laguna se refiere a la supervisión del suministro neumático: un umbral de alarma de baja presión —normalmente fijado por debajo de 0,15 MPa en las especificaciones de diseño— debe aparecer en los registros de alarmas del PLC con marcas de tiempo, de modo que se pueda rastrear y validar la respuesta a la alarma. Sin entradas en el registro con marcas de tiempo, no hay base para confirmar cuándo se activó la alarma en relación con el evento de fallo, y el registro de validación queda incompleto.
| Área de pruebas | Brecha común | Requisito de verificación |
|---|---|---|
| Estado mecánico del ventilador | Daños en los cojinetes del extractor que no han sido detectados por las alarmas de estado final | Incluir evaluaciones del estado mecánico durante los ensayos de modos de fallo |
| Integridad del filtro HEPA | Confiar únicamente en los certificados de eficiencia de los filtros no permite detectar las fugas por derivación provocadas por daños en la instalación o defectos en la carcasa. | Verificar mediante un ensayo de exposición a aerosoles en condiciones de instalación, conforme a la norma EN 1822-1, con una prueba de estanqueidad de la carcasa BIBO. |
| Alarma de baja presión del suministro neumático | El umbral de alarma no aparece con la fecha y la hora en los registros del PLC; no se puede validar la respuesta a la alarma | Confirmar que el umbral <0,15 MPa quede documentado con marcas de tiempo en los registros de alarmas del PLC. |
El procedimiento de sustitución del filtro BIBO está directamente relacionado con la respuesta ante un fallo del sistema de extracción. Si un filtro del sistema de extracción falla o requiere una sustitución de emergencia, los datos de control de la exposición del operario incluidos en el procedimiento de sustitución son los que confirman que el protocolo de respuesta protege al personal en las condiciones reales de una fuga de la contención. Los datos de exposición validados deben documentarse como parte del registro de respuesta ante un fallo del sistema de extracción, y no tratarse como un expediente de mantenimiento independiente.
Para los equipos que planifican protocolos de ensayo de fallos en el sistema de escape, el sistema de descontaminación de efluentes y la infraestructura de escape forman conjuntamente un límite de contención acoplado: los escenarios de fallo que afectan a uno suelen afectar a ambos, y la organización de los ensayos debe reflejar esa dependencia.
Comportamiento del bloqueo de puertas durante situaciones anómalas
Las pruebas de enclavamiento en condiciones normales de funcionamiento confirman que el sistema se comporta correctamente en las condiciones previstas. Sin embargo, no confirman qué ocurre cuando una pérdida de alimentación, un estado de alarma o un fallo parcial del sistema someten a tensión la lógica de enclavamiento al mismo tiempo que se solicita un ciclo de la puerta. Esas son las condiciones en las que la integridad de la contención corre mayor riesgo, y requieren una secuencia de pruebas específica.
En este caso, la aceptación viene definida por dos umbrales cuantificables. La latencia de respuesta del PLC para la activación del enclavamiento debe ser igual o inferior a 50 ms. Los PLC genéricos que funcionan a 150-200 ms pueden permitir que la cascada de presión caiga por debajo de los umbrales de contención durante el ciclo de las puertas, ya que la orden para impedir que se abra una segunda puerta llega después de que el transitorio de presión ya haya comenzado. Esta diferencia de latencia pasa desapercibida durante las comprobaciones de funcionamiento rutinarias, pero se convierte en un riesgo documentado de violación de la contención cuando se requiere un registro de transitorios presenciado para la aceptación formal. El segundo umbral se aplica a la estabilidad de la cascada de presión: la presión diferencial a través del límite de contención debe mantenerse igual o superior a 15 Pa durante 10 ciclos consecutivos de inflado y desinflado de las puertas, debiendo completarse cada ciclo en un plazo de 5 segundos y registrarse los datos a intervalos de 1 segundo o más frecuentes. Ambos umbrales deben cumplirse en condiciones presenciadas, sin deducirlos a partir de lecturas de presión medias.
El comportamiento del enclavamiento del paso directo en situaciones anómalas merece una atención especial. El requisito de que solo se abra una puerta a la vez debe confirmarse no solo durante la puesta en marcha normal, sino también durante simulaciones de corte de suministro eléctrico y situaciones de alarma. La lógica de enclavamiento que funciona correctamente con alimentación normal puede liberar ambas puertas simultáneamente cuando el sistema de control entra en modo de alarma o de fallo, creando una vía de paso directa a través del paso directo. Se trata de un modo de fallo que las pruebas de funcionamiento normal no están diseñadas para simular.
| Criterio | Umbral de aceptación | Método de ensayo |
|---|---|---|
| Latencia de respuesta del enclavamiento del PLC | ≤50 ms | Medir la latencia durante el ciclo de apertura y cierre de la puerta en situaciones anómalas (por ejemplo, corte de corriente, alarma) |
| Cascada de presión durante el ciclo de apertura y cierre de la puerta | ≥15 Pa a lo largo de 10 ciclos consecutivos, cada uno de ≤5 s, con registro de datos cada ≤1 s | Se ha registrado una presión transitoria a lo largo de 10 ciclos |
| Integridad del sistema de enclavamiento en condiciones anómalas | Solo se abre una puerta de paso a la vez | Comprobar la lógica de enclavamiento durante los estados de corte de alimentación y de alarma |
En las instalaciones que utilizan puertas APR con junta neumática, la interacción entre la latencia del PLC, la presión de alimentación neumática y el tiempo de inflado de la junta constituye una dependencia crítica del sistema. Una cascada de presión que se mantiene a 15 Pa durante el ciclo normal puede caer por debajo del umbral si el inflado de la junta se retrasa incluso una fracción de segundo en condiciones anómalas; por eso estas pruebas deben realizarse en las condiciones anómalas reales que pretenden simular, y no en condiciones de aproximación con alimentación normal.
Simulación segura de fallos
Las pruebas de fallo simulado pueden dañar los equipos o invalidar otras pruebas si los escenarios se secuencian sin una evaluación de riesgos previa. El problema de la secuenciación no es teórico: una simulación de pérdida de potencia realizada antes de que los sistemas neumáticos se hayan verificado a presión de trabajo puede dejar las juntas en un estado intermedio que altere las mediciones posteriores de la cascada de presión. Una secuenciación inadecuada crea una situación en la que el informe de la prueba muestra un resultado satisfactorio derivado de una condición inicial comprometida, y ese resultado no resistirá un examen minucioso en una auditoría o en una nueva prueba.
La selección de escenarios basada en la evaluación de riesgos debe preceder al desarrollo del protocolo de ejecución. Los escenarios que deben simularse incluyen, como mínimo: corte de suministro eléctrico en estados de ocupación y desocupación, desconexión del extractor en condiciones de presión variables, derivación del filtro HEPA, lógica de enclavamiento de puertas en estados de alarma y eventos de baja presión en el suministro neumático. Cada escenario debe definir la condición desencadenante, el estado de seguridad esperado, la respuesta a la alarma, la acción de recuperación, el formato de registro y la persona responsable de la respuesta. Esa estructura es lo que distingue una prueba de modos de fallo de una simple observación de fallos.
El caso de la válvula Venturi ilustra lo que ocurre cuando se omiten las pruebas de modos de fallo. Una válvula instalada al revés puede funcionar dentro de los parámetros de condiciones normales, ya que los patrones normales de flujo de aire se adaptan al error de instalación sin activar una alarma de presión diferencial. Solo un fallo simulado —uno que obligue al sistema a responder fuera de los rangos normales de funcionamiento— revela el error. Diez años de funcionamiento normal no lo pusieron de manifiesto; en cambio, sí lo hizo un fallo simulado y controlado. La implicación práctica es que las pruebas de modos de fallo son el único mecanismo para detectar ciertos tipos de errores de instalación o configuración, y que aplazarlas a una fase posterior del proyecto u omitirlas por completo deja esos errores latentes hasta que se produzca un incidente real.
La calibración del sensor debe verificarse antes de iniciar cualquier prueba de modos de fallo. Un transmisor de presión diferencial sin calibrar producirá lecturas de «aprobado» o «suspenso» que no podrán relacionarse con el estado físico real del sistema. No se trata de una mera formalidad: si no se confirma la calibración de antemano, habrá que repetir toda la secuencia de pruebas una vez establecida la calibración, sin posibilidad de tener en cuenta los resultados anteriores.
Responsabilidad de los servicios de emergencia respecto a los registros
Las pruebas de modos de fallo generan registros en los que debe indicarse quién responde a cada alarma, qué formación ha recibido esa persona y qué autoridad tiene para iniciar las medidas de recuperación. En la mayoría de los proyectos de puesta en servicio, el departamento de ingeniería se encarga de la ejecución de las pruebas, el de bioseguridad supervisa los procedimientos y el de respuesta a emergencias tiene requisitos de formación independientes. Estos tres ámbitos no se sincronizan de forma natural y, cuando no se coordinan explícitamente en el protocolo de pruebas de modos de fallo, los registros generados tienden a satisfacer las necesidades de un ámbito, dejando los demás incompletos.
Esta deficiencia sale a la luz durante la auditoría. Un registro de prueba que documente la activación de la alarma y la secuencia de recuperación, pero que no identifique a una persona concreta y debidamente formada como responsable de la respuesta ante cada modo de fallo, se considera formalmente incompleto. Confirma que el sistema se comportó correctamente durante la prueba, pero no ofrece ninguna garantía de que se produzca la respuesta adecuada durante un incidente imprevisto, ya que no se ha asignado a nadie la responsabilidad de dicha respuesta de forma documentada y verificable.
La asignación de la responsabilidad a los servicios de emergencia debe integrarse en el propio protocolo de ensayo, y no añadirse a posteriori. Cada escenario de fallo debe incluir un campo en el que se identifique la función del servicio de emergencia, la persona asignada y la referencia al expediente de formación. Esta estructura hace que el informe del ensayo de modos de fallo sirva tanto como documento de aceptación técnica como de confirmación de la preparación operativa, lo cual constituye el alcance adecuado para entornos de alta contención.
En el caso concreto de un fallo del filtro de escape, el procedimiento de sustitución de BIBO debe incluir datos validados sobre el control de la exposición del operario. Dichos datos confirman que el procedimiento de respuesta ante emergencias protege al personal de intervención asignado en condiciones reales de fuga. Su inclusión en el registro de respuesta ante fallos del sistema de escape vincula directamente la verificación de la protección del personal con la situación en la que más se necesita.
Umbral de cierre para la aceptación del modo de fallo
Para dar por concluida una prueba de modos de fallo es necesario que se cumplan tres condiciones simultáneamente: que la respuesta del sistema haya sido correcta, que se haya documentado la recuperación y que los registros sean trazables y defendibles. Los equipos que dan por concluida la prueba tras confirmar la respuesta del sistema —antes de resolver por completo la cuestión de los registros— generan un trabajo adicional que surge en el peor momento posible, normalmente durante la revisión reglamentaria final o la aceptación in situ.
La documentación de calibración es el elemento de registro que con mayor frecuencia se encuentra incompleto al cierre del proceso. Los certificados de calibración que indican el modelo de un instrumento y un resultado de «aprobado/no aprobado» no son suficientes para entornos de alta contención. Cada transmisor de presión diferencial utilizado en los ensayos de modos de fallo debe contar con un certificado de calibración que incluya los datos de «tal y como se encontró» y «tal y como se dejó», una declaración de incertidumbre de medición y trazabilidad según la norma ISO 17025. Sin esos elementos, los datos de ensayo generados por dicho instrumento no pueden verificarse de forma independiente, y la decisión de aceptación no puede defenderse si se cuestiona la medición. No se trata de una cuestión de preferencia en la documentación, sino de lo que hace que el resultado del ensayo sea auditable.
Las pruebas de presión transitoria del sistema de enclavamiento de puertas tienen un requisito específico de cierre: el registro, en presencia de un testigo, de 10 ciclos consecutivos en los que la cascada de presión nunca descienda por debajo de 15 Pa. Ese criterio debe figurar en el acta de aceptación como un resultado de «aprobado/suspenso», y no como una afirmación general de que las pruebas se completaron satisfactoriamente. La documentación ciclo a ciclo, en presencia de un testigo, es lo que distingue un resultado verificado de uno simplemente observado.
En entornos farmacéuticos regulados, el paquete completo de validación IQ/OQ/PQ —incluidos todos los registros de calibración— debe entregarse antes de la aceptación del centro, y los registros deben estar estructurados para un período de conservación mínimo de 10 años en un formato acorde con los requisitos de registro de auditoría de la Parte 11 del Título 21 del CFR. En otras jurisdicciones y contextos se aplican normas equivalentes de integridad de los registros; el período de conservación específico y los requisitos relativos a los registros electrónicos deben confirmarse con arreglo al marco normativo aplicable. La consecuencia práctica de la falta de registros o de que estos no cumplan con los requisitos estructurales es la misma independientemente de la jurisdicción: el modo de fallo de aceptación permanece formalmente abierto y el proyecto no puede cerrarse.
| Criterio de aceptación | Requisito mínimo | Enlace sobre normativa y calidad |
|---|---|---|
| Documentación de calibración | Datos «tal y como se encontraron» y «tal y como se dejaron», declaración de incertidumbre de medición y trazabilidad según la norma ISO 17025 para cada transmisor de presión diferencial | Datos de ensayo no verificables; la aceptación no es justificable sin registros completos de calibración. |
| Prueba de presión transitoria del sistema de bloqueo de puertas | Se han observado 10 ciclos consecutivos; la cascada nunca ha descendido por debajo de los 15 Pa. | Confirma la estabilidad de la cascada de presión tras ciclos repetidos |
| Entrega del paquete de validación | Paquete completo de IQ/OQ/PQ con registros de calibración conservados durante un mínimo de 10 años en un formato conforme a la Parte 11 del Título 21 del CFR | Los registros que faltan o que no cumplen con los requisitos suponen un riesgo normativo e invalidan la aceptación de los modos de fallo. |
Los criterios de cierre existen porque una respuesta verificada no es lo mismo que una aceptación defendible. Un sistema que se haya comportado correctamente durante las pruebas, pero que carezca de registros de calibración trazables, de asignaciones de «respondedores» identificadas y de un paquete de validación completo, ha demostrado su rendimiento, pero no lo ha establecido de una forma que resista un escrutinio riguroso. Se trata de resultados diferentes, y la brecha entre ellos es precisamente lo que los criterios de cierre están diseñados para salvar.
La decisión previa más clara que exige esta secuencia de pruebas es si las pruebas de modos de fallo se consideran una disciplina de verificación independiente o si se integran en la puesta en servicio como una comprobación complementaria. No se trata de enfoques equivalentes. Un ámbito de aplicación anejo a la puesta en servicio tiende a comprobar la activación de las alarmas en condiciones normales y a darlo por suficiente. Una disciplina específica de modos de fallo comprueba el desencadenante, el estado seguro, la alarma, la recuperación, la documentación y la responsabilidad de los responsables de respuesta como una cadena completa, en condiciones diseñadas específicamente para someter al sistema a un estrés que supere los parámetros normales de funcionamiento. Los errores latentes de instalación, los retrasos en la latencia de los PLC y los registros incompletos de responsabilidad de los responsables de respuesta que pasan desapercibidos con el primer enfoque suelen salir a la luz con el segundo.
Antes de dar por concluido cualquier paquete de pruebas de modos de fallo, hay que confirmar que los certificados de calibración incluyan datos «tal y como se encontraron» y «tal y como se dejaron» con trazabilidad según la norma ISO 17025; que los registros de la cascada de presión cuenten con testigos y estén resueltos por ciclos; que cada escenario de alarma designe a un responsable capacitado con un registro de formación vinculado; y que el paquete de IQ/OQ/PQ esté estructurado para su conservación a largo plazo conforme al marco normativo aplicable. Una prueba que sea técnicamente correcta pero cuyos registros estén incompletos permanece abierta, y volver a abrirla tras la aceptación in situ supone un problema mucho más costoso que resolverla de antemano.
Preguntas frecuentes
P: ¿Sigue siendo aplicable este enfoque de análisis si la instalación no está sujeta a la normativa del título 21 del CFR, parte 11, ni a un marco normativo farmacéutico?
R: Sí; los principios fundamentales sobre modos de fallo se aplican independientemente del marco normativo, aunque los plazos específicos de conservación de registros y los requisitos relativos a las trazas de auditoría electrónicas variarán según la jurisdicción. El riesgo subyacente es el mismo en cualquier entorno BSL-3/4: una lógica de seguridad ante fallos no verificada, un comportamiento de enclavamiento no probado en condiciones anómalas y una responsabilidad incompleta sobre los dispositivos de respuesta crean lagunas latentes, independientemente de que una autoridad reguladora farmacéutica revise o no los registros. Confirme los requisitos aplicables en materia de conservación e integridad de los registros para su jurisdicción, pero no considere la ausencia de regulación farmacéutica como una razón para reducir el alcance de las pruebas de modos de fallo.
P: ¿Qué se debe hacer inmediatamente después de que las cinco categorías de modos de fallo hayan superado la prueba de aceptación, antes de que el laboratorio entre en funcionamiento?
R: Los registros validados de modos de fallo deben transferirse formalmente a los responsables de la preparación operativa —bioseguridad, gestión de instalaciones y respuesta a emergencias— con la confirmación explícita de que cada miembro del equipo de respuesta designado ha revisado el escenario que se le ha asignado y de que los registros de formación están actualizados. La aceptación de la prueba establece una referencia documentada, pero dicha referencia pierde su valor si al personal que responderá ante incidentes reales no se le ha transferido formalmente la responsabilidad de los escenarios que se le han asignado antes de su primer uso. Este paso de transferencia es distinto del cierre de la prueba y debe tratarse como una fase independiente de la preparación operativa.
P: ¿A partir de qué punto se considera aceptable la latencia de un PLC si una instalación no puede adquirir un sistema que cumpla con el umbral de 50 ms?
R: En la documentación aportada no se define ningún umbral alternativo, lo que significa que un sistema que funcione por encima de los 50 ms conlleva un riesgo de contención no resuelto de que se produzca una cascada de presión durante el ciclo de la puerta. La solución práctica no consiste en aceptar una latencia mayor, sino en evaluar si el margen de cascada de presión al diferencial instalado —en combinación con la sincronización del ciclo de la puerta— puede diseñarse para compensarlo. Esa evaluación requiere un registro de presión transitoria supervisado en condiciones reales de funcionamiento anómalo, no aproximaciones modelizadas. Si en 10 ciclos consecutivos no se puede mantener un valor ≥15 Pa con la latencia del PLC instalada, es necesario resolver los problemas del sistema de control o de la lógica de secuenciación de las puertas antes de la aceptación, no después.
P: ¿En qué se diferencia el alcance de los ensayos de modos de fallo en el caso de una remodelación o ampliación de una instalación BSL-3/4 ya existente frente a una nueva construcción?
R: Una adaptación o ampliación conlleva el riesgo adicional de que los sistemas modificados interactúen con los sistemas heredados no modificados de formas que las pruebas de una instalación nueva no están diseñadas para detectar. Las pruebas de modos de fallo para una adaptación deben incluir explícitamente escenarios que pongan a prueba el límite entre los sistemas nuevos y los existentes; por ejemplo, si un nuevo PLC interpreta correctamente los estados de alarma generados por sensores heredados, o si la activación de un nuevo extractor de humos se propaga correctamente a través de una secuencia de integración de alarma contra incendios ya existente. Limitarse a probar únicamente los componentes recién instalados y dar por válido el comportamiento de los sistemas heredados tal y como se había validado anteriormente deja sin probar el límite de interacción, que es precisamente donde suelen producirse los errores de configuración.
P: ¿Merece la pena el coste de las pruebas realizadas por terceros en el caso de una instalación BSL-3 de menor tamaño que cuente con un equipo interno de ingeniería con experiencia?
R: La presencia de un tercero como testigo es necesaria para garantizar la defendibilidad, no solo la competencia. Un equipo interno con experiencia puede realizar la prueba correctamente, pero un registro presenciado tiene un valor probatorio fundamentalmente diferente en una auditoría regulatoria, una revisión de seguros o una investigación de incidentes. Los modos de fallo específicos en los que esta distinción cobra mayor relevancia —la lógica «fail-secure» del PLC ante un corte brusco de alimentación y la estabilidad de la cascada de presión ante estados anómalos de las puertas— son precisamente los escenarios en los que es más probable que se cuestione un resultado autocertificado. El coste de la presencia de un tercero en esos escenarios específicos es modesto en comparación con el coste de reabrir el proceso de aceptación tras la entrega de las instalaciones, o de defender un informe de incidente que carezca de verificación independiente.
