Diseño del sistema de climatización (HVAC) para laboratorios BSL-3: presión negativa, flujo de aire direccional, extracción con filtros HEPA y lógica de alarmas

La mayoría de los fallos en los sistemas de climatización (HVAC) de nivel BSL-3 que obligan a una nueva verificación no se deben a que los equipos dejen de funcionar, sino a una lógica de control que nunca se definió por completo. Una alarma de presión que se activa sin un protocolo de respuesta documentado, un enclavamiento de suministro-extracción que no se ha probado para todos los estados de las puertas, o una secuencia de transición de los ventiladores que provoca una breve desviación positiva durante el mantenimiento: cualquiera de estos casos puede detener las operaciones y requerir un ciclo completo de puesta en servicio antes de que se reanuden los trabajos. El coste no es solo el tiempo de inactividad; es el descubrimiento, a mitad del proyecto, de que el diseño superó una revisión teórica, pero nunca se sometió a pruebas de estrés frente a sus propios modos de fallo. A continuación se presenta un resumen de la fase de diseño para tomar las decisiones relativas al punto de consigna de presión, el recorrido de la salida de aire, la lógica de las alarmas y la redundancia, que determinan si un sistema de climatización obtiene la aprobación —y la mantiene hasta su primera intervención de mantenimiento—.

Puntos de consigna de presión y dirección del flujo de aire antes de la especificación del sistema de climatización

Los valores de consigna de presión no son un detalle que deba resolverse en la fase de selección de los equipos. Son un parámetro de diseño que condiciona todas las decisiones posteriores relativas al dimensionamiento de las válvulas de control, la lógica de enclavamiento y el número de recambios de aire necesarios para mantener el flujo direccional en condiciones transitorias, como los ciclos de apertura y cierre de puertas o los cambios de presión en zonas adyacentes.

Las cifras de diseño operativas son un diferencial mínimo de 0,05″ W.G. y un objetivo de diseño recomendado de 0,06″ W.G., medidos en relación con las zonas sin bioseguridad. Se trata de umbrales de planificación, no de requisitos normativos universales, pero considerarlos como parámetros de diseño estrictos desde el principio es lo que distingue a un sistema que mantiene su margen de forma fiable de uno que cae por debajo del umbral durante el funcionamiento normal. Una diferencia de 0,01″ W.G. entre el valor mínimo y el objetivo recomendado puede parecer insignificante hasta que se tiene en cuenta que los transitorios provocados por la apertura de puertas, las variaciones en la velocidad de los ventiladores de impulsión y las interacciones de presión con las zonas adyacentes del sistema de climatización pueden agotar por completo ese margen. Los equipos que posponen la consideración de esta cifra hasta la fase de selección de equipos suelen descubrir, durante la puesta en marcha, que su lógica de control no puede mantener el diferencial objetivo en todos los estados de las puertas simultáneamente; y, en ese momento, todas las opciones resultan costosas.

Debe confirmarse que la dirección del flujo de aire sea una cascada hacia el interior, desde los espacios de menor riesgo hacia los de mayor contención, a través de todos los límites, no solo del laboratorio principal. Esto implica evaluar el sistema de climatización, ya que da servicio tanto al área de contención como a todas las zonas adyacentes —pasillos, antesalas, espacios técnicos—, porque un desequilibrio de presión en una zona vecina puede invertir la dirección del flujo en el límite del laboratorio sin que se active ninguna alarma en el propio sistema de contención. La norma ASHRAE 170, aunque regula principalmente la ventilación de los centros sanitarios, ofrece una orientación útil a nivel de procesos sobre cómo deben evaluarse los sistemas de ventilación que dan servicio a múltiples zonas adyacentes en cuanto a la interacción en los límites y la integridad de la cascada de presión. Documentar el mapa de presión previsto antes de redactar cualquier especificación de los equipos evita el error más habitual: construir un sistema que funcione para la sala de laboratorio de forma aislada, pero que se comporte de manera impredecible en sus límites.

Para un análisis más detallado del diseño de la cascada de presión y la selección de la frecuencia de ACH en las configuraciones BSL-2, 3 y 4, véase el Diseño de sistemas HVAC BSL 2/3/4: Cascada de presión, tasas de ACH y requisitos de ingeniería de flujo de aire direccional El artículo aborda en profundidad la lógica de la ordenación urbanística.

Recorrido de los conductos de extracción HEPA, redundancia y respuesta a las alarmas según el estado de la sala

Los gases de escape de las cabinas de seguridad biológica deben ser extraídos según la norma 100% y filtrados mediante filtros HEPA antes de salir del edificio; se trata de un criterio de planificación de la contención con consecuencias directas para el trazado de los conductos, la selección de la carcasa y la ubicación de los filtros con respecto al ventilador. No es una norma de sala limpia tomada de la práctica general de climatización. La decisión sobre el trazado determina si el cambio de la carcasa HEPA o la sustitución del filtro pueden realizarse en condiciones de contención, por lo que la capacidad de «bag-in/bag-out» en la carcasa de extracción es un requisito de diseño y no una consideración adicional.

El requisito de respuesta ante una alarma es inseparable de la configuración del sistema de extracción en caso de fallo. Lo que constituye un modo de fallo aceptable varía en función de si se dispone de extractores redundantes y de si hay alimentación de emergencia disponible, y esas diferencias deben definirse en la fase de diseño, no incluirse en los procedimientos operativos estándar (SOP) a posteriori.

La consecuencia práctica de esta configuración es que la lógica de las alarmas no puede definirse de forma genérica. Debe verificarse que un sistema con ventiladores redundantes y alimentación de emergencia realice la transición sin problemas al ventilador alternativo sin que se produzca ninguna inversión del flujo de aire procedente de espacios contaminados; esa secuencia de transición debe someterse a pruebas, no darse por sentada. Un sistema no redundante tiene un umbral más bajo para la prueba de modo de fallo (basta con demostrar una condición estática sin flujo de aire hacia el exterior), pero ese estándar más bajo también implica que el margen de mantenimiento es más reducido: cualquier tiempo de inactividad del ventilador, ya sea planificado o no, lleva al sistema de contención a una condición estática en lugar de mantener una presión negativa activa.

Carcasas de filtro tipo «bag-in/bag-out» Los elementos integrados en el recorrido del conducto de escape son un componente clave para mantener la contención durante el mantenimiento de los filtros. Su ubicación, su integración estructural con la red de conductos y su compatibilidad con la configuración de los reguladores de tiro y las válvulas de aislamiento deben confirmarse con respecto al diseño del trazado antes de la fabricación; los cambios realizados tras la instalación suelen dar lugar a los mismos requisitos de reverificación que una nueva instalación de climatización.

Desviaciones de contención provocadas por una lógica de control deficiente

Los tres incidentes de fallo que obligan de forma más fiable a realizar una nueva verificación —fallo del enclavamiento entre suministro y extracción, flujo de aire en sentido inverso durante el funcionamiento normal y alarmas del sistema de climatización que no funcionan— comparten un origen común: se trata de fallos de la lógica de control, no mecánicos. La redundancia del hardware no los soluciona. Un ventilador de extracción redundante no compensa un enclavamiento que no se vuelve a activar tras un incidente con una puerta. Un filtro HEPA en buen estado de mantenimiento no sustituye a una alarma que se activa pero para la que no existe una respuesta definida en el procedimiento operativo estándar (SOP) de la instalación.

Los casos de fallo del sistema de enclavamiento y de inversión del flujo de aire son claros motivos para volver a verificar, pero el caso de una breve desviación de presión positiva merece una atención específica, ya que es aquí donde los equipos cometen errores en ambos sentidos. Una lectura positiva momentánea en un sensor de presión cercano a una puerta no constituye automáticamente una inversión del flujo de aire: la apertura de la puerta crea una igualación transitoria de la presión que puede registrarse brevemente como una desviación positiva sin que, en realidad, el aire contaminado salga al exterior. La respuesta correcta es realizar una prueba con un palito de humo en la base de la puerta cerrada del laboratorio: si no se detecta ninguna fuga hacia el exterior tras repetir la prueba, la variación es transitoria y no supone un fallo de contención. Considerar cada variación breve como un fallo conduce a una reverificación innecesaria; descartarla sin la confirmación del palito de humo conlleva el riesgo contrario. Ninguna de las dos respuestas es defendible sin la prueba física.

La implicación de diseño en las fases iniciales es que los umbrales de activación de las alarmas deben tener en cuenta el comportamiento transitorio en los eventos relacionados con las puertas. Si la alarma de presión diferencial se ajusta al umbral mínimo sin ninguna lógica de promediado temporal ni de retardo, el ciclo normal de las puertas generará falsas alarmas que los operadores aprenderán a ignorar —lo cual es precisamente la condición que permite que un evento de contención real pase desapercibido—. El diseño de las alarmas es una decisión de control, no un parámetro que se configura una vez y se olvida, y debe revisarse junto con el enclavamiento de las puertas y la lógica de secuenciación de suministro y extracción, en lugar de hacerlo por separado.

Coste de la redundancia frente a las ventajas de la tolerancia a fallos

La decisión sobre la redundancia en el diseño de los sistemas de extracción BSL-3 se enmarca, con mayor precisión, como un equilibrio entre la tolerancia a fallos y el alcance de la carga de verificación —y no simplemente entre la seguridad y el coste—. Una configuración redundante de ventiladores de extracción requiere que se verifique una transición fluida entre ventiladores sin inversión del flujo de aire; un diseño con un solo ventilador solo tiene que demostrar una condición estática segura en caso de fallo. No se trata de normas de seguridad equivalentes, pero tampoco se diferencian únicamente por el coste.

La asimetría oculta radica en la flexibilidad del mantenimiento. Un sistema redundante con alimentación de emergencia permite realizar el mantenimiento programado del ventilador principal mientras se mantiene activa la contención: la instalación no pasa a modo estático y no se necesitan precauciones adicionales para trabajar en el laboratorio durante ese intervalo. Un sistema de un solo ventilador pasa a modo estático ante cualquier parada del ventilador, ya sea planificada o imprevista, lo que limita las condiciones en las que el laboratorio puede funcionar en las proximidades de la fecha prevista para el mantenimiento del ventilador. Para las instalaciones de alto rendimiento o aquellas con plazos reglamentarios que no pueden adaptarse a restricciones prolongadas en modo estático, el coste de la redundancia puede justificarse más fácilmente por motivos de continuidad operativa que por motivos de seguridad en sí mismos.

El requisito de verificación también difiere de una forma que tiene consecuencias en el calendario del proyecto. La transición entre ventiladores redundantes debe someterse a prueba y documentarse para confirmar que no se produce ninguna inversión durante el cambio; se trata de una prueba activa y presenciada con criterios de superación definidos. La prueba en condiciones estáticas para un sistema de un solo ventilador es más sencilla de ejecutar, pero menos informativa como prueba de estrés del sistema de control en su conjunto. Ninguna de las dos configuraciones elimina la necesidad de una verificación completa de las alarmas; la redundancia cambia lo que se prueba, no si se realizan las pruebas.

Integración de los controles de puertas, compuertas, BIBO y procedimientos operativos estándar (SOP)

La integración es el punto en el que los diseños que han superado la revisión documental fallan en la práctica. El sistema de control de climatización de un laboratorio BSL-3 no es un sistema independiente, sino una red de sensores de presión, entradas de posición de puertas, actuadores de compuertas, lógica de válvulas de aislamiento, enclavamientos de las cajas BIBO y programación del sistema de automatización de edificios (BAS), cuyos componentes deben comportarse de forma coherente durante el funcionamiento normal, los ciclos de apertura y cierre de puertas, las transiciones de los ventiladores y las operaciones de mantenimiento. Un fallo en cualquiera de esas capas puede comprometer la integridad de la presión sin que se produzca ningún fallo mecánico evidente.

Los desencadenantes de reverificación de la tabla de categorías de cambios no son meras formalidades administrativas, sino que reflejan la realidad práctica de que la sustitución de una compuerta modifica la caída de presión en esa rama, la sustitución del cableado de control puede alterar la sincronización de las señales y la reprogramación de la lógica del sistema de gestión de edificios (BAS) puede modificar de forma imperceptible el comportamiento de los puntos de consigna, los umbrales de alarma o la secuencia de enclavamientos. Cada uno de estos cambios puede alterar el equilibrio de presión sin que el equipo de mantenimiento se dé cuenta del efecto que esto tiene en la contención aguas abajo. A compuerta de aislamiento de bioseguridad Desempeña una función fundamental a la hora de mantener el aislamiento de las zonas durante las tareas de mantenimiento, los cambios de ventilador y las paradas de emergencia; sin embargo, es necesario comprobar que la sincronización de su actuador, su posición de seguridad y su integración con la lógica del sistema de gestión de edificios (BAS) se comportan según lo previsto tras cualquier modificación en el sistema al que está conectado.

La verificación de las alarmas del sistema BAS merece una atención especial como punto de control de la integración. Debe comprobarse que las alarmas de presión diferencial y de flujo de aire se activen correctamente, pero es igualmente importante que estén programadas para registrar los datos de posibles incidencias con vistas a su posterior análisis. Una instalación que registre las activaciones de alarma sin registrar los datos de presión y flujo de aire relacionados con el suceso no podrá llevar a cabo una investigación de la causa raíz tras un problema de contención, lo que significa que tampoco podrá demostrar ante las autoridades reguladoras o los comités institucionales de bioseguridad que el suceso se ha caracterizado y resuelto. La conexión del procedimiento operativo estándar (SOP) con la respuesta a las alarmas no es independiente del diseño del sistema de climatización (HVAC); constituye la última capa del sistema de control.

Condiciones de homologación de los sistemas de climatización para operaciones de nivel BSL-3

No se concede la homologación a un sistema de climatización (HVAC) de nivel de seguridad biológica 3 (BSL-3) que mantenga una presión negativa en condiciones normales de funcionamiento. Se concede a un sistema en el que cada alarma tenga un umbral de activación definido, una respuesta probada y pruebas documentadas de que el aire del laboratorio no puede salir de la envolvente de contención en caso de fallo. Esa distinción modifica el alcance de lo que debe diseñarse, probarse y registrarse antes de que comience el primer trabajo biológico.

La verificación inicial del diseño debe ser realizada y documentada por una persona con experiencia demostrada en sistemas de climatización de alta contención; no se trata de una tarea que pueda delegarse al equipo de puesta en servicio del contratista general sin que este cuente con esa formación específica. Los criterios de prueba exigen confirmar que la contención se mantiene en condiciones de fallo en todos los estados definidos de la sala, no solo en condiciones normales de funcionamiento. La verificación también debe abordar una cuestión de límites que genera confusión durante la puesta en servicio: la antesala se considera parte de la envolvente de contención. Para que la prueba se considere superada, no es necesario que el aire permanezca dentro de la propia sala de laboratorio, sino que debe permanecer dentro de la envolvente que incluye la antesala. Un sistema que permita que el aire salga de la antesala hacia un pasillo no controlado habrá suspendido la prueba de contención, incluso si la propia sala de laboratorio mantuviera una presión negativa con respecto a la antesala.

La recertificación anual supone una obligación de mantenimiento recurrente que debe tenerse en cuenta en la planificación operativa de la instalación desde la fase de diseño. La certificación de los filtros HEPA, las revisiones de mantenimiento de los extractores de aire y la verificación completa de las alarmas son requisitos anuales. La verificación de las alarmas en la recertificación no consiste en comprobar si la alarma se activa, sino que es una prueba documentada para comprobar si cada alarma se activa en el umbral especificado, si la secuencia de respuesta funciona correctamente y si el sistema de gestión de edificios (BAS) registra los datos correspondientes. Las instalaciones que consideran la recertificación anual como un mero trámite burocrático suelen descubrir, durante una auditoría institucional o reglamentaria, que sus registros de alarmas no cumplen ninguna de esas tres condiciones.

El criterio práctico para determinar si el diseño de un sistema de climatización (HVAC) de nivel de seguridad biológica 3 (BSL-3) está listo para su aprobación es más restrictivo de lo que suelen considerar la mayoría de las revisiones de ingeniería: cada alarma debe tener un umbral de activación documentado, una secuencia de respuesta probada y pruebas de que el aire del laboratorio no puede salir del perímetro de contención en el modo de fallo específico para el que se ha diseñado dicha alarma. Si falta alguno de esos tres elementos en cualquier alarma, el diseño se considera incompleto, independientemente de lo bien que se mantenga la diferencia de presión en condiciones normales de funcionamiento.

Antes de pasar de la fase de diseño a la de puesta en servicio, hay que confirmar que cada uno de los escenarios de modos de fallo —pérdida del ventilador, fallo del enclavamiento, corte de alimentación, transitorios de puerta abierta— se haya asignado a un resultado definido del estado de la sala, que cada resultado cuente con una respuesta de alarma probada y que el límite de la antesala se incluya explícitamente en el alcance de la verificación de la contención. Esas son las condiciones que comprobará el verificador inicial, y también son las que volverá a verificar el equipo de recertificación anual. Definirlas claramente en la fase de diseño resulta considerablemente más económico que descubrir las deficiencias en cualquiera de esos puntos de control.

Preguntas frecuentes

P: ¿Es aplicable este marco de diseño si el laboratorio de nivel BSL-3 comparte un sistema de climatización con un laboratorio de nivel BSL-2 o con una zona sin contención, en lugar de disponer de un sistema totalmente independiente?
R: Los sistemas compartidos requieren un escrutinio adicional, no un marco diferente, pero el perfil de riesgo cambia significativamente. Cuando un único sistema de tratamiento de aire da servicio tanto a zonas de contención como a zonas sin contención, un desequilibrio de presión en la rama sin contención puede invertir la dirección del flujo en el límite del BSL-3 sin activar ninguna alarma dentro del sistema de contención. El diseño debe evaluar explícitamente cada zona adyacente a la que da servicio el mismo sistema y documentar cómo se mantiene la integridad de los límites en las condiciones transitorias de cada zona. La integración de los controles en todo ese sistema compartido —incluida la posición de las compuertas, la secuencia de enclavamientos y el comportamiento de los puntos de consigna del sistema de gestión de edificios (BAS)— se convierte en el principal riesgo de fallo, más que el propio hardware de contención.

P: Una vez finalizada la puesta en servicio y superada la verificación inicial, ¿cuál es el primer paso práctico que hay que dar antes de programar la recertificación anual?
R: Establecer un registro de datos de referencia a partir de las pruebas de verificación iniciales, antes de que la instalación pase a estar operativa. Los umbrales de activación de las alarmas, los resultados de las pruebas de transición de los ventiladores, los resultados de las pruebas con generadores de humo y la confirmación de la captura de datos del sistema de gestión de edificios (BAS) deben archivarse en un formato que el equipo de recertificación anual pueda comparar directamente. Sin esa referencia, la recertificación se convierte en una comprobación funcional aislada, en lugar de una comparación con el estado verificado del diseño, y cualquier desviación en los puntos de consigna, los tiempos o el comportamiento de las alarmas desde la puesta en servicio pasará desapercibida hasta que provoque un fallo, en lugar de detectarse como un hallazgo programado.

P: ¿En qué momento una intervención de mantenimiento en el sistema de climatización requiere una nueva verificación completa, en lugar de una simple comprobación funcional tras el mantenimiento?
R: Es necesario volver a verificar el sistema siempre que un cambio afecte a las características de caída de presión, la sincronización de las señales o la secuencia de enclavamientos, y no solo cuando se sustituye un componente por un modelo diferente. La sustitución de un regulador de aire modifica la caída de presión en esa rama, incluso si el regulador de sustitución es idéntico sobre el papel; la reprogramación de la lógica del sistema de gestión de edificios (BAS) puede alterar de forma imperceptible el comportamiento de los puntos de consigna o los umbrales de alarma; y la sustitución del cableado de control puede modificar la sincronización de las señales de tal manera que afecte a la reactivación de los enclavamientos tras un incidente en una puerta. Una comprobación funcional confirma que el sistema funciona; la reverificación confirma que funciona según su norma de contención documentada. La distinción es importante porque un sistema puede superar una comprobación funcional aunque mantenga una diferencia de presión que se haya desviado por debajo de su objetivo de diseño.

P: ¿Cómo influye la elección entre extractores redundantes y no redundantes en la capacidad de las instalaciones para programar el mantenimiento rutinario sin interrumpir las operaciones del laboratorio?
R: Un sistema no redundante obliga a la instalación a entrar en un estado estático cada vez que se desconecta el ventilador de extracción, ya sea por mantenimiento programado o por una reparación imprevista, y durante ese intervalo no se mantiene una contención activa. Esto significa que el calendario operativo debe tener en cuenta el tiempo de inactividad del ventilador como un periodo en el que el trabajo biológico no puede continuar de forma segura en las mismas condiciones que durante el funcionamiento normal. Un sistema redundante con alimentación de emergencia permite realizar el mantenimiento del ventilador principal mientras el de reserva mantiene una presión negativa activa, de modo que las operaciones del laboratorio no se ven limitadas por el calendario de mantenimiento. Para las instalaciones con plazos reglamentarios o requisitos de flujo de trabajo continuo, esta diferencia en la continuidad operativa suele ofrecer una justificación más clara del coste adicional de la redundancia que el mero argumento de la seguridad.

P: ¿Es un sistema de filtración in situ una alternativa viable a una carcasa «bag-in/bag-out» para el mantenimiento de los filtros HEPA de los conductos de escape de un laboratorio de nivel de seguridad biológica 3 (BSL-3), o es que ambas configuraciones cumplen funciones diferentes?
R: Ambos cumplen el mismo requisito de contención durante el servicio, pero mediante mecanismos diferentes, y la elección correcta depende de la configuración del conducto, del espacio de acceso disponible y de si la carcasa del filtro también debe proporcionar aislamiento durante los cambios de ventilador. Una carcasa de tipo «bag-in/bag-out» permite retirar y sustituir el filtro bajo una barrera de contención continua sin romper el límite del conducto; es el método estándar cuando se puede acceder físicamente a la carcasa y el filtro se puede extraer intacto en su bolsa. Un sistema de filtración in situ Está diseñado para configuraciones en las que el filtro debe descontaminarse y someterse a pruebas in situ antes de su retirada, lo que suele ser necesario cuando las limitaciones de acceso o la geometría de los conductos hacen que la extracción mediante bolsa no sea viable. Antes de la fabricación, debe confirmarse la compatibilidad de ambos con la configuración de la compuerta y la válvula de aislamiento, ya que cualquier modificación posterior a la instalación en cualquiera de los dos tipos de carcasa puede dar lugar, por sí sola, a la necesidad de volver a realizar las comprobaciones.