Requisitos de APR para el bloqueo de puertas en el control de la cascada de presión y de la esclusa de aire

Especificar que una puerta está cerrada en la lógica del sistema de gestión de edificios (BMS) antes de que se haya confirmado realmente su sellado es una de las formas más fiables de provocar una inversión en cascada que nadie detecta hasta que el seguimiento posterior a la ocupación o una observación de auditoría sacan el problema a la luz. El coste práctico es una instalación que supera la puesta en servicio estática pero falla en condiciones de tráfico normal: las diferencias de presión se recuperan demasiado lentamente tras los eventos de las puertas, los permisos de las esclusas permiten la reentrada antes de que se restablezca la cascada, y el equipo de validación descubre que sus enclavamientos de «puerta cerrada» nunca se vincularon a la integridad del sellado. Corregir esa lógica tras la IQ/OQ supone un proceso de control de cambios que retrasa la recualificación de la OQ y reabre las conversaciones con el ingeniero de puesta en servicio. Lo que distingue una arquitectura de enclavamientos robusta de una frágil es si el estado del sellado —y no solo la posición de la puerta— es la información que indica al BMS que el perímetro de la sala está intacto.

Estado del sello APR como entrada de interbloqueo

Un sensor de posición de la puerta confirma que una hoja de la puerta ha alcanzado su tope de cierre. No confirma que el perímetro de la sala esté sellado. En el control en cascada de la presión, se trata de dos eventos distintos, y confundirlos es una causa habitual de que la lógica de enclavamiento, aunque parezca correcta sobre el papel, permita que el sistema de gestión de edificios (BMS) considere la sala como cerrada antes de que se haya establecido realmente la contención.

La posibilidad de utilizar el estado de la junta como entrada de enclavamiento independiente depende del modelo de puerta. En el caso de las puertas APR con junta inflable, un sensor de presión de la junta puede proporcionar una señal discreta o analógica que el BMS interpreta como un estado real de «cerrada y sellada»: la junta ha alcanzado la presión de funcionamiento, y no solo que la hoja se haya movido. Esa señal puede activar acciones posteriores: recuperación de la cascada de presión, liberación de la esclusa de aire o reinicio de la alarma. En el caso de las puertas con junta mecánica que dependen de la compresión manual mediante un brazo de acero inoxidable, el diseño no incorpora de forma inherente ninguna vía de retroalimentación electrónica equivalente. La puerta puede quedar bloqueada mecánicamente sin que la junta esté completamente acoplada, y el BMS no tendrá forma de detectar esa condición a menos que se programe una prueba de caída de presión independiente o un paso de la lista de comprobación manual como barrera procedimental.

La consecuencia en materia de adquisición y diseño es que los proyectos que utilicen puertas APR con sellado mecánico en zonas críticas en cuanto a la presión deben tener en cuenta la ausencia de un enclavamiento automático del estado del sellado a nivel de los procedimientos operativos estándar (SOP) y de validación, y no dar por sentado que la falta de este enclavamiento se resolverá mediante hardware. Esa decisión debe figurar explícitamente en los requisitos de diseño del usuario (URS), de modo que el enfoque de verificación —ya sea procedimental, basado en sensores o mediante monitorización complementaria de la presión— quede definido antes de la prueba de aceptación en fábrica (FAT).

Comportamiento de la cascada de presión durante el movimiento de la puerta

Cada evento de apertura de puertas en una cascada de presión altera el diferencial entre zonas adyacentes. La cuestión técnica relevante no es si se produce esa alteración —siempre se produce—, sino con qué rapidez se recupera la cascada, hasta qué punto se invierte durante el evento de apertura de puertas y si la recuperación se ajusta al margen de tiempo que prevé el diseño de los sistemas de climatización (HVAC) y de gestión de edificios (BMS) de la instalación.

La contribución de la puerta a ese comportamiento radica en su resistencia a las fugas una vez que se activa el sellado, y en el tiempo de sellado durante el cierre. Una puerta APR con sellado inflable, diseñada para mantener la resistencia a las fugas hasta 2000 Pa, funciona muy por encima de los puntos de consigna típicos de las cascadas de presión farmacéuticas o de alta contención, lo que significa que la propia puerta no es el factor limitante para la integridad de la cascada una vez sellada. El diferencial de presión de diseño de la instalación —y no la capacidad máxima de la puerta— es lo que determina el valor de funcionamiento. Lo que importa es el intervalo entre el cierre de la hoja y el inflado del sello: si ese intervalo es largo en relación con la constante de tiempo de recuperación del sistema de climatización, es posible que el sistema de gestión de edificios (BMS) esté interpretando una curva de recuperación de presión que, en realidad, viene determinada por el retraso en la recuperación del sistema de climatización, y no por el resellado de la puerta.

Durante el movimiento de la puerta, la lógica de control en cascada de la presión debe tener en cuenta tres estados distintos: puerta abierta, puerta cerrada pero sellado aún no confirmado, y puerta cerrada con sellado confirmado. Las estrategias de control que omiten el estado intermedio —considerando el cierre de la hoja como un límite recuperado— integrarán un comportamiento de recuperación que incluya cierta fuga residual a través de una puerta sin sellar. Es posible que esto no sea visible en los ensayos estáticos, ya que dichos ensayos no generan las rápidas secuencias de eventos de la puerta típicas del tráfico real. La implicación general es que los controles de climatización y la lógica de enclavamiento del sistema de gestión de edificios (BMS) deben especificarse conjuntamente, considerando el tiempo de sellado de la puerta como una entrada explícita en el modelo de recuperación en cascada, y no como una constante supuesta.

En el caso de las puertas con junta inflable que funcionan en entornos BSL-3/4 u OEB con un tráfico intenso de vehículos con ruedas, la sincronización de las puertas y la frecuencia de recuperación de la junta deben considerarse cargas dinámicas en el sistema de control en cascada, y no como sucesos ocasionales.

Permisos de entrada, salida y reinicio de la esclusa de aire

La lógica permisiva de las esclusas de aire falla con mayor frecuencia no porque esté mal programada, sino porque los estados permisivos que impone se definieron basándose en un modelo de tráfico simplificado. Un enclavamiento de puertas que impide la apertura simultánea de ambas puertas de la esclusa de aire se encarga del modo de fallo más obvio. Sin embargo, no se ocupa del caso en el que se permita la apertura de una segunda puerta antes de que la primera haya confirmado el restablecimiento del sellado y la cascada se haya recuperado.

En el caso de las puertas APR con junta inflable, se puede programar un PLC independiente para que controle toda la secuencia de entrada y salida: solicitud de apertura de la puerta, confirmación del desinflado de la junta, recorrido de la puerta, confirmación del cierre de la puerta, confirmación del inflado de la junta, confirmación de la recuperación de la presión y, solo entonces, autorización para la siguiente puerta. Cada paso de esa secuencia constituye una etapa, y cada etapa requiere una señal de entrada definida. La calidad de la lógica de autorización depende directamente de que el estado de la junta —y no solo la posición de la puerta— sea una de esas entradas.

Cuando se utilizan puertas con sello mecánico y no se dispone de una secuencia controlada por PLC, las condiciones de permiso pasan a ser procedimentales: el operario es responsable de confirmar la compresión del sello antes de indicar al sistema de gestión de edificios (BMS) que se ha restablecido el perímetro de la sala. El riesgo de error humano en esa configuración es real y debe reflejarse en el procedimiento operativo estándar (SOP), en los registros de formación y en la evaluación de riesgos de la instalación. No es motivo para rechazar categóricamente las puertas con sellado mecánico, pero sí es motivo para especificar de forma explícita en los requisitos de diseño (URS) cómo los controles procedimentales sustituyen a las entradas de enclavamiento automatizadas, y para garantizar que dicha sustitución sea visible para el equipo de control de calidad y el equipo de inspección, en lugar de quedar oculta en supuestos operativos.

El restablecimiento de los permisos tras una limpieza o una situación de emergencia requiere la misma definición rigurosa. Una esclusa que se haya utilizado para el traslado de equipos, la descontaminación o la salida de emergencia debe requerir una secuencia de restablecimiento explícita antes de que se reanude la lógica de permisos normal. Lo que incluya dicha secuencia —verificación de la caída de presión, confirmación del sellado, autorización manual o una combinación de estos elementos— debe definirse en las especificaciones de diseño y reflejarse en los casos de prueba de las pruebas SAT.

Aceptación de fugas frente a la situación de «puertas cerradas»

Una puerta puede cerrarse mecánicamente, inspeccionarse visualmente y registrarse como segura, aunque siga presentando una vía de fuga que la cascada de presión intentará igualar. No se trata de una hipótesis: es el modo de fallo específico que se produce cuando el brazo de compresión de una puerta APR con sellado mecánico no está completamente enganchado. La hoja de la puerta está enclavada, la junta parece estar presente, pero no está comprimida en las condiciones necesarias para garantizar la resistencia a las fugas. El sistema de gestión de edificios (BMS) detecta que la puerta está cerrada. La sala no está sellada.

Esta distinción es importante porque las decisiones de contención que se toman en fases posteriores —ajuste de los puntos de consigna en cascada, enmascaramiento de alarmas durante incidentes en las puertas, operaciones de transferencia en zonas adyacentes— se basan todas en que los límites de la sala estén intactos cuando la señal de puerta cerrada está activa. Si esa premisa es errónea, el comportamiento en cascada, la lógica de las alarmas y las autorizaciones de transferencia funcionan a partir de una entrada errónea.

Por lo tanto, los criterios de aceptación de fugas deben definirse independientemente de la indicación de puerta cerrada. En el caso de las puertas con junta inflable que cuentan con monitorización de la presión de sellado, el criterio es la confirmación por parte del sensor de que la presión de sellado cumple con las especificaciones de funcionamiento —hasta la resistencia nominal a las fugas de la puerta, pero evaluada en función del diferencial de presión real de diseño de la instalación—. En el caso de las puertas con junta mecánica, se requiere una comprobación independiente: una prueba de caída de presión a nivel de la sala, un protocolo de inspección visual con un criterio de compresión definido o un paso de verificación manual documentado que esté vinculado a la lógica de enclavamiento, en lugar de ser opcional. Ninguno de estos enfoques es intrínsecamente superior en todas las instalaciones; la elección depende de la frecuencia del tráfico, el acceso de los operarios y las consecuencias en términos de riesgo que conllevaría un estado erróneo de puerta cerrada en esa zona específica. Lo que no es defendible es considerar la posición de la puerta por sí sola como indicio de que se acepta la fuga.

Esta configuración debería figurar en los criterios de aceptación de IQ para la puerta y en la especificación de la prueba de mantenimiento de presión de OQ. Si no aparece, el expediente de validación documenta una prueba que la puerta superó, no una prueba en la que se verificara la contención.

Liberación de emergencia y gestión del estado de alarma

La evacuación de emergencia y la contención mantenida se encuentran en tensión directa durante un corte de suministro eléctrico o un fallo de control en una puerta APR con sellado neumático. Resolver esa tensión es una decisión que forma parte de la evaluación de riesgos de la instalación y que debe tomarse antes de especificar las características de la puerta, no después de su instalación.

Las opciones disponibles para las puertas APR con junta inflable abordan directamente los dos aspectos de esa disyuntiva. Un botón de anulación neumática permite la liberación manual de la junta inflable, lo que facilita la salida cuando un fallo de alimentación o de control dejaría, de otro modo, al personal atrapado dentro de una zona sellada. La consecuencia en términos de contención de activar dicha anulación es la pérdida de la integridad del sellado en la puerta: una disyuntiva deliberada en la que se da prioridad a la seguridad del operador frente a la continuidad de la contención. Un sistema de refuerzo ante cortes de corriente adopta la postura opuesta: mantiene el suministro de aire comprimido al sello inflable durante un corte de corriente, preservando la contención hasta que se restablezca la alimentación normal, pero a costa de retrasar o restringir la salida mientras el sello permanece inflado.

Ninguna de las dos opciones es universalmente correcta. La configuración adecuada depende de la clasificación del patógeno o del compuesto, de la probabilidad y la duración de la interrupción del suministro eléctrico, del número de miembros del personal que puedan encontrarse dentro de la zona y de las consecuencias de una brecha en la contención en comparación con las consecuencias de una salida retrasada. Las aplicaciones de nivel BSL-4 y ciertas aplicaciones de OEB5 pueden dar gran importancia al mantenimiento de la contención; las instalaciones en las que el tránsito de personal es frecuente y la fiabilidad del suministro eléctrico es alta pueden configurar la anulación como respuesta principal. Ambas decisiones deben documentarse en el plan de respuesta a emergencias de la instalación y reflejarse en la lógica de gestión de estados de alarma del sistema de gestión de edificios (BMS); concretamente, en el estado de alarma que se activa cuando se activa cualquiera de las funciones y en el procedimiento de reinicio necesario antes de que se reanude el funcionamiento normal del enclavamiento.

Lo que la lógica de gestión del estado de alarma no debe hacer es restablecerse automáticamente al funcionamiento normal tras el restablecimiento del suministro eléctrico sin confirmar el estado del precinto, la posición de la puerta y la recuperación en cascada. Un restablecimiento incontrolado tras un corte de suministro eléctrico constituye un segundo modo de fallo que se suma al primero.

Casos SAT para el control dinámico de la esclusa de aire

Las pruebas de puesta en servicio estáticas confirman que una esclusa de aire funciona correctamente cuando las puertas se accionan de forma deliberada, una por una, en condiciones controladas. Sin embargo, no confirman que dicha esclusa funcione correctamente en condiciones reales de tráfico: secuencias de apertura y cierre de puertas, traslados de equipos con ruedas, fluctuaciones de presión en las zonas adyacentes y las interacciones temporales entre el inflado de las juntas, la recuperación en cascada y la liberación permisiva, que solo se producen bajo carga.

La diferencia entre el rendimiento estático y el dinámico es donde la lógica de bloqueo de puertas del APR falla con mayor frecuencia en la práctica. El tiempo de recuperación de la presión de sellado tras un único evento de puerta puede estar perfectamente dentro de las especificaciones. Sin embargo, la recuperación de la presión de sellado tras tres eventos de puerta consecutivos en un intervalo de dos minutos puede no estarlo, y si la lógica permisiva libera la siguiente puerta basándose en un temporizador en lugar de en el estado confirmado del sellado y la recuperación en cascada, la esclusa podría estar permitiendo el acceso de personal a una zona cuyo diferencial de presión no se ha restablecido.

Los casos de prueba SAT para el control dinámico de las esclusas de aire deben incluir, como mínimo: secuencias normales de entrada y salida de una sola persona a la frecuencia de tráfico prevista; solicitud de entrada simultánea con una puerta ya abierta; solicitud de apertura de puerta antes de que se haya completado la confirmación del sellado en el cierre anterior; verificación de la recuperación en cascada tras eventos secuenciales rápidos de las puertas; y activación del estado de alarma seguida de la confirmación de la secuencia de reinicio. En las instalaciones en las que es habitual el uso de equipos con ruedas o de artículos de gran tamaño para el traslado —lo cual es una consideración de diseño para entornos de alta contención BSL-3/4—, las pruebas SAT también deben evaluar la sincronización de las puertas y la recuperación del sellado en situaciones de apertura prolongada y más lenta generadas por el traslado de equipos.

La norma ISO 14644-4:2022 ofrece una guía marco para la puesta en servicio y el arranque de salas limpias, relevante para el diseño de protocolos SAT, incluida la verificación de la cascada de presión. No obstante, los casos de prueba dinámicos específicos deben derivarse del modelo operativo de la instalación y de la lógica de enclavamiento programada en el PLC o el BMS de la puerta, y no de una lista de comprobación genérica para la puesta en servicio. Si el protocolo SAT se redactó antes de que se ultimara la lógica de enclavamiento, deben revisarse los casos de prueba para detectar posibles lagunas, especialmente en lo relativo a las entradas de estado de las juntas, las condiciones de liberación permisivas y las secuencias de restablecimiento del estado de alarma.

Una prueba SAT que solo evalúa las puertas de forma aislada y no somete a la esclusa a condiciones reales de tráfico como sistema dinámico no constituye una homologación completa de la lógica de control de la esclusa. Se trata de una prueba estática de las puertas con la etiqueta «SAT».

Decidir si el contacto de puerta cerrada es suficiente como entrada para el enclavamiento de contención —o si el estado del sello debe ser una señal independiente en la lógica del BMS— es la decisión de diseño que repercute en todas las actividades de cualificación posteriores: cómo se estructuran las pruebas de mantenimiento de presión de la OQ, qué casos dinámicos de la SAT se requieren y si el manejo de la liberación de emergencia puede justificarse en la evaluación de riesgos. La respuesta no es la misma para todas las variantes de puerta ni para todas las zonas, y la diferencia entre las puertas APR con junta inflable y las que tienen junta mecánica da lugar a arquitecturas de enclavamiento significativamente diferentes, con distintas cargas procedimentales y de validación.

Antes de ultimar el URS o comenzar con los preparativos para las pruebas de aceptación en fábrica (FAT), hay que confirmar qué entradas de enclavamiento considerará el sistema de gestión de edificios (BMS) como determinantes de una condición de estanqueidad de la sala, cómo se asigna la secuencia de liberación permisiva a dichas entradas y qué requiere el procedimiento de restablecimiento del estado de alarma tras cualquier emergencia o corte de suministro eléctrico. Estas definiciones son más difíciles de corregir tras la instalación que de especificar correctamente antes de la misma.

Preguntas frecuentes

P: Hemos especificado puertas APR con sello mecánico, pero nuestro sistema de gestión de edificios (BMS) no dispone de una entrada para el estado del sello. ¿Cómo podemos cerrar la brecha de enclavamiento antes de la validación?
R: La brecha debe subsanarse mediante procedimientos. Implemente un paso de verificación manual documentado —como una lista de comprobación del acoplamiento del brazo de compresión o una prueba de caída de presión a nivel de sala— que los operadores deben completar antes de que se libere la autorización de la esclusa. Esta barrera procedimental debe codificarse en los procedimientos operativos estándar (SOP) y vincularse a la lógica de reinicio de alarmas del sistema de gestión de edificios (BMS), de modo que el sistema no pueda volver al funcionamiento normal sin que se haya confirmado el acoplamiento del sellado.

P: Tras leer esto, ¿cuál es el primer paso para evaluar si nuestra lógica actual de enclavamiento de puertas APR es resistente a la contención?
R: Revisa la lógica actual de tu sistema de gestión de edificios (BMS) para comprobar si una señal de “puerta cerrada” por sí sola define la condición de estanqueidad de la sala. A continuación, revisa el protocolo de prueba SAT en relación con los eventos dinámicos —ciclos secuenciales rápidos de apertura y cierre de puertas, traslados de equipos con ruedas y secuencias de restablecimiento del estado de alarma— para verificar que pone a prueba el tiempo de recuperación de la estanqueidad y no se limita únicamente al cierre estático de la puerta.

P: Nuestras instalaciones funcionan con un nivel de contención BSL-2/BSL-3 mejorado, en lugar del máximo. ¿Siguen siendo obligatorios los enclavamientos de estado de sellado?
R: No de forma categórica, pero el principio se mantiene. La necesidad viene determinada por las consecuencias que tendría una inversión en cascada. Si la pérdida del diferencial de presión pudiera provocar la contaminación del producto o la exposición no controlada del personal, el estado del sello debería ser una entrada del sistema de enclavamiento. Las zonas de menor riesgo pueden aceptar un enclavamiento basado en la posición de la puerta, acompañado de dobles comprobaciones según el procedimiento, pero cualquier espacio en el que una desviación de presión dé lugar a una investigación debería contar, como mínimo, con una verificación documentada de que el sello está activado antes de que la sala se considere sellada.

P: ¿En qué se diferencia la carga de validación entre las puertas con junta inflable y controles de permiso del PLC y las puertas con junta mecánica y controles procedimentales?
R: Los sistemas de sellado inflable con información sobre el estado del sellado y secuenciación mediante PLC proporcionan puertas de acceso autorizadas, auditables y basadas en señales, que se ajustan directamente a la verificación estándar de señales de IQ/OQ. Las puertas con sellado mecánico trasladan la responsabilidad al cumplimiento de los procedimientos operativos estándar (SOP), la formación de los operarios y el registro manual, lo que hace que la validación dependa en gran medida de la fiabilidad humana —lo que aumenta la probabilidad de que se detecten irregularidades durante las auditorías reglamentarias y requiere una supervisión continua más rigurosa—.

P: ¿Se justifica el coste adicional que supone la monitorización de la presión de las juntas y un PLC específico para una esclusa con poco tráfico?
R: En aplicaciones en las que la contención es fundamental, sí; incluso un solo fallo no detectado en el sellado puede provocar una desviación en cadena que dé lugar a costosas investigaciones, a la necesidad de volver a certificar el producto o a la pérdida del lote. Los circuitos de monitorización del sellado suelen ser una característica estándar en las puertas de contención diseñadas específicamente para este fin (como la puerta APR con sellado inflable Qualia PBSC), lo que hace que el coste adicional del hardware sea modesto en comparación con el riesgo de dar por sentado erróneamente que la puerta está cerrada. En el caso de zonas con un riesgo realmente bajo y un diferencial reducido, un sistema de sellado mecánico acompañado de procedimientos operativos estándar (SOP) rigurosos puede resultar aceptable tras una evaluación de riesgos documentada.