Las instalaciones que superan la inspección de contención física pero que entran en funcionamiento con registros de control no comprobados no están plenamente puestas en servicio: suponen un riesgo diferido. Cuando se produce un incidente de contención y los registros de alarmas están incompletos, cuando se activa un enclavamiento pero no se puede rastrear ninguna acción del operador, o cuando existen datos del sistema de gestión de edificios (BMS) pero nadie ha establecido qué registros eran críticos, la instalación carece de una posición de auditoría defendible. La consecuencia no es abstracta: se trata de una reconstrucción forzada tras el incidente, exposición a sanciones regulatorias y, en algunas jurisdicciones, la suspensión de las operaciones mientras se recopilan pruebas de forma retroactiva. La decisión que evita esto consiste en establecer, antes de la firma de aceptación, qué funciones de control afectan al estado de contención y si cada una de ellas cuenta con una respuesta observada y un registro recuperable asociado. Lo que sigue le ayudará a distinguir las pruebas de los controles críticos de los datos generales de monitorización, a poner a prueba los límites que la mayoría de los equipos de puesta en servicio suelen eludir y a definir qué significa realmente «estar preparado para una auditoría» antes de que un inspector se lo defina por usted.
Secuencias de control que afectan al estado de contención
No todas las funciones de control automatizadas de una instalación de nivel BSL-3 o BSL-4 tienen las mismas consecuencias si fallan de forma silenciosa. Las secuencias que regulan directamente el estado de contención —el flujo de aire direccional, el mantenimiento de la presión diferencial, la lógica de enclavamiento de las puertas y la activación de los equipos de descontaminación— requieren pruebas de aceptación verificadas. Otras, como los horarios de iluminación o la supervisión general de los servicios, no la requieren. No establecer esa distinción antes de que comience la puesta en servicio es uno de los errores de planificación más habituales en el trabajo de controles de BSL, ya que da lugar a una documentación de aceptación que comprueba muchos aspectos, pero no puede demostrar que las secuencias críticas se hayan respetado en condiciones de prueba de resistencia.
La verificación de la dirección del flujo de aire merece una atención especial como actividad de aceptación planificada para la puesta en servicio de los laboratorios BSL-3 y BSL-4, y no como un mero trámite derivado de la cualificación del sistema de climatización. La preocupación no radica únicamente en que el flujo de aire cumpla con un valor de referencia de diseño en condiciones de estado estacionario, sino en que la secuencia de control mantenga la dirección del flujo durante los eventos transitorios: aperturas de puertas, modulación del sistema de extracción o cambios de presión en las salas adyacentes. Una secuencia de flujo de aire no verificada puede parecer conforme en una única medición puntual, pero no mantener la dirección de contención durante las transiciones operativas que más importan. El riesgo de liberación de aerosoles en entornos BSL-3 y BSL-4 está asociado específicamente a esos estados transitorios, no a la línea de base estable. La 4.ª edición del Manual de Bioseguridad en Laboratorios de la OMS proporciona una base de referencia útil para la intención de diseño de la contención, y las actividades de aceptación deben estructurarse para demostrar que la secuencia de control instalada preserva dicha intención en transiciones operativas realistas, no solo en condiciones nominales.
En el caso de las instalaciones en las que se ponen en servicio dispositivos de contención interconectados —aisladores, sistemas de paso y cabinas de seguridad biológica—, el alcance de las pruebas de secuencia debe tener en cuenta el funcionamiento simultáneo. Cada dispositivo realiza la extracción de forma independiente, y la demanda acumulada sobre el sistema de extracción de la sala durante el funcionamiento simultáneo es el escenario que con mayor frecuencia pone de manifiesto un comportamiento de las secuencias insuficientemente verificado. La aceptación debe confirmar que las secuencias de control que rigen la prioridad de extracción, la recuperación del punto de consigna de presión y la activación de alarmas se mantengan estables cuando varios dispositivos funcionan a la vez, y no solo cuando se prueban individualmente.
Registros de pruebas de PLC, HMI y BMS
Los registros generados por los sistemas PLC, HMI y BMS durante la puesta en servicio cumplen dos funciones distintas que a menudo se confunden: son tanto datos operativos como pruebas de auditoría prospectivas. Considerarlos únicamente como datos operativos —útiles para la resolución de problemas, pero no estructurados para su recuperación— crea una laguna que sale a la luz durante la inspección, no durante la puesta en servicio. El anexo 11 del volumen 4 de EudraLex es muy claro al respecto: los sistemas informatizados deben generar registros que sean completos, precisos y recuperables, y ese principio se aplica a los registros de control asociados a funciones críticas para la contención, independientemente de si dichas funciones se enmarcan en un contexto de fabricación farmacéutica o en el de una instalación BSL, donde se aplican requisitos similares a los registros electrónicos.
El problema específico de implementación en las instalaciones BSL es la documentación del sistema de ventilación y climatización (HVAC) en condiciones de carga simultánea de los dispositivos. Si una instalación utiliza simultáneamente cabinas de seguridad biológica, aisladores u otros dispositivos de contención que generan gases de escape, los registros del sistema de gestión de edificios (BMS) deben poder demostrar que el sistema de extracción se dimensionó y funcionó correctamente en ese escenario de carga combinada. Un sistema de extracción que esté dimensionado adecuadamente solo para la sala, pero que resulte insuficiente para la sala más todos los dispositivos de contención activos, supone un riesgo real para la contención —y es un riesgo que puede no manifestarse hasta que el registro del BMS muestre una desviación de presión durante el funcionamiento simultáneo—. Documentar la capacidad de extracción únicamente en función de la carga de diseño de la sala, sin tener en cuenta la contribución de la extracción de los dispositivos de contención, hace que ese riesgo quede oculto en el registro de puesta en servicio.
Los registros de pruebas de la interfaz hombre-máquina (HMI) conllevan una obligación de documentación independiente. Las interacciones del operador con los estados de control —cambios en los puntos de consigna, acuses de recibo de alarmas, selecciones de modo— deben registrarse con la resolución suficiente para reconstruir lo que ocurrió durante cualquier suceso relevante para la contención. No se trata de vigilar a los operadores, sino de garantizar que el registro de las acciones del operador exista independientemente de la memoria de este cuando una investigación de la causa raíz lo requiera. Las instalaciones que recurren a libros de registro manuales para complementar los escasos registros de la HMI descubren con frecuencia, bajo la presión de una inspección, que las entradas de los libros de registro no coinciden con las marcas de tiempo de los sucesos que figuran en el registro del sistema. La implicación práctica es que la configuración del registro de la HMI debe revisarse durante la aceptación, y no darse por sentado que es adecuada simplemente porque el sistema funciona.
En el caso de proyectos que incluyan sistemas de contención con controles integrados, es necesario evaluar cómo se interconecta el sistema de gestión de edificios (BMS) con determinados equipos de contención, tales como Sistemas de laboratorio modulares BSL-3/BSL-4 — Si se tiene en cuenta desde el principio de la planificación de la puesta en servicio, ayuda a determinar qué registros se generan en las instalaciones y cuáles proceden de los propios equipos, lo que a su vez determina cómo deben elaborarse los expedientes de pruebas.
Gestión de estados de alarma y recuperación de eventos
Las pruebas de alarmas en los controles de BSL suelen limitarse a confirmar que una alarma se activa. Ese no es el punto adecuado en el que detenerse. La cuestión de la aceptación no es si la alarma se activa, sino si la respuesta a la alarma es observable y si el registro del suceso se puede recuperar a posteriori. Una alarma que se activa correctamente pero que no registra nada útil, o que registra la información en un almacén de datos al que no tiene acceso el equipo responsable de investigar la causa raíz, no aporta ningún valor de auditoría ni ningún valor operativo cuando se produce un suceso de contención real.
Las alarmas de presión negativa constituyen la categoría de mayor gravedad en las instalaciones BSL-3 y BSL-4. Cuando la presión diferencial cae por debajo del umbral de contención, la alarma debe activarse, y el registro del sistema de gestión de edificios (BMS) de dicha activación —incluida la marca de tiempo, el punto de consigna en el momento de la alarma, el valor medido y la acción posterior del operador— debe poder recuperarse como un evento discreto, sin que sea posible reconstruirlo a partir de los datos de tendencias. La distinción es importante: los datos de tendencia muestran cómo ha evolucionado el valor medido a lo largo del tiempo, pero un registro de evento muestra que el estado de alarma se activó, se acusó recibo y se resolvió en una secuencia trazable. Sin esa estructura de registro de eventos, el análisis de la causa raíz tras un incidente de contención implica una reconstrucción forense en lugar de una recuperación de datos, y esa es una posición indefendible durante una inspección en la que el organismo regulador pregunta si los sistemas de control de la instalación funcionaban según lo previsto. El anexo 11 de EudraLex respalda el principio de que los eventos de alarma en los sistemas informatizados deben registrarse de manera que permita la reconstrucción del estado del sistema —un principio directamente aplicable en este caso—.
La prueba práctica durante la aceptación consiste en la recuperación de alarmas en una situación de prueba simulada: se induce la desviación de presión, se confirma la activación de la alarma y, a continuación, se recupera el registro del evento del BMS tal y como se haría durante una investigación real. Si dicha recuperación requiere un operador especializado, un acceso al sistema no estándar o la extracción manual de datos, esas dependencias deben documentarse como riesgos operativos antes de que se apruebe la aceptación. Las instalaciones que no puedan demostrar una vía de recuperación rutinaria para los eventos de alarma críticos durante la puesta en servicio no suelen poder llevar a cabo dicha recuperación de forma fiable bajo la presión posterior al evento.
Una categoría de alarmas que a menudo se pospone es el estado de fin de ciclo de los equipos de descontaminación. Los sistemas de paso de VHP y los equipos de descontaminación de salas generan estados de alarma en caso de fallo del ciclo, desviación de parámetros o verificación incompleta, y esos eventos de alarma deben formar parte de la misma estructura de registro recuperable que las alarmas de presión y flujo de aire. Comprobar únicamente la cadena de alarmas del sistema de climatización y de presión, mientras se pospone la validación de las alarmas de los equipos de descontaminación, deja una laguna en el registro de pruebas de contención que resulta difícil de subsanar una vez que la instalación está en funcionamiento.
Control manual y límites de los roles de acceso
Todos los sistemas de control de bioseguridad cuentan con la capacidad de anulación manual por necesidades operativas: salida de emergencia, acceso para mantenimiento, recuperación ante fallos. El riesgo que se asume no radica en que existan las anulaciones, sino en que nunca se ha probado su comportamiento en condiciones de estado de contención. Una anulación que nunca se haya puesto a prueba durante la puesta en servicio constituye una vía no probada a través de la arquitectura de roles de acceso, y si dicha vía elude una secuencia de enclavamiento de puertas o desactiva una alarma de presión durante su activación, la instalación no tiene fundamento para afirmar que se mantuvo la integridad de la contención cuando se utilizó dicha anulación.
Las pruebas de anulación de puertas interbloqueadas son la parte más incómoda desde el punto de vista organizativo de este ámbito, y esa incomodidad es parte del motivo por el que a menudo se posponen. Comprobar si una anulación manual en una puerta interbloqueada compromete el diferencial de presión entre zonas requiere inducir una condición que someta temporalmente a tensión el límite de contención, y eso exige planificación, coordinación y, en ocasiones, una instalación que aún no esté plenamente operativa. La tentación es documentar la capacidad de anulación como una característica del sistema y pasar página. La consecuencia de posponer esta prueba es que se desconoce el comportamiento del sistema de anulación en condiciones reales de contención, y cuando un operador utiliza la anulación en una situación real —mantenimiento, fallo de equipo, emergencia—, no existe una base verificada para afirmar que la contención no se vio comprometida. El marco de la norma ASTM E2500-25 para la especificación y verificación basadas en el riesgo de los sistemas críticos ofrece una referencia útil para estructurar los ensayos de anulación: el alcance del ensayo debe ser proporcional a las consecuencias que el comportamiento de anulación tendría para la contención, y no a la frecuencia con la que se prevé que se utilice la anulación.
Los límites de los roles de acceso requieren el mismo nivel de especificidad. La cuestión no es si los roles están definidos en el sistema, sino si un usuario con un rol determinado puede realizar una acción que modifique un parámetro crítico para la contención, y si dicha acción queda registrada con la atribución del rol. Las instalaciones que definen los roles de forma amplia, o que comparten credenciales por comodidad, generan registros que no pueden atribuirse a las decisiones individuales de los operadores. Se trata de un problema de integridad de los registros, independiente de si la acción de control en sí misma fue adecuada. La aceptación debe verificar que no se pueda acceder a las funciones restringidas por rol sin la credencial adecuada, y que el intento quede registrado independientemente de si se concede o se deniega el acceso.
Puertas APR con junta neumática La integración en las zonas de contención de BSL constituye un ejemplo claro de cómo las pruebas de anulación y de roles de acceso se entrecruzan con la contención física: el estado del sellado neumático de la puerta es una función de control de contención, y tanto el comportamiento del sellado en caso de anulación manual como el rol de acceso necesario para iniciar dicha anulación deben someterse a pruebas específicas y registrarse de forma explícita durante la fase de aceptación.
Registros preparados para auditorías en funciones críticas
La preparación para una auditoría es una característica estructural del sistema de registros, no una característica de los registros individuales. Una instalación puede contar con excelentes registros de eventos individuales y, aun así, no superar una auditoría si dichos registros no pueden reunirse para formar un relato coherente del estado del sistema de contención: qué se controló, qué se desvió, qué hizo el operador y cuál fue el resultado. La arquitectura de los registros debe diseñarse para responder a esas preguntas antes de que un inspector las plantee.
Los registros de verificación de la descontaminación se encuentran entre los que con mayor frecuencia presentan deficiencias durante las inspecciones. El fallo concreto en la aplicación no suele consistir en la ausencia de registros, sino en que los indicadores biológicos o los monitores paramétricos se colocaron en el punto más accesible de la carga de descontaminación, en lugar de en el centro de la misma o en la zona de más difícil acceso, lo que genera registros que, en realidad, no demuestran que el punto crítico se haya tratado adecuadamente. Una colocación inadecuada de los monitores da lugar a un registro que parece completo, pero que no puede respaldar la afirmación de que se logró la descontaminación en toda la carga. Esa distinción —entre un registro que existe y un registro que es defendible— es el significado práctico de la preparación para la auditoría de las funciones críticas. Las directrices de la OMS sobre la verificación de la descontaminación proporcionan un apoyo útil como referencia de proceso para la práctica de la colocación de monitores y las expectativas de conservación de registros, aunque no tengan la fuerza de un instrumento normativo vinculante en todas las jurisdicciones.
El principio general es que las funciones críticas requieren registros que hayan sido diseñados para ser auditados, no registros que simplemente existan y se presenten para su auditoría. En lo que respecta específicamente a los controles, esto significa que el expediente de aceptación debe identificar qué funciones se definieron como críticas, qué pruebas se recopilaron durante las pruebas, cuál fue el criterio de aceptación para cada una de ellas y cuál fue el resultado. Una impresión del sistema de gestión de registros (BMS) adjunta a un informe de aceptación sin ese contexto es un apéndice de datos, no un registro de auditoría. La diferencia es importante en la inspección, donde recae sobre el centro la responsabilidad de demostrar un proceso de aceptación estructurado y deliberado, y no solo la mera presencia de datos.
Para una planificación más amplia de la puesta en servicio que integre la aceptación de los controles en la secuencia general de cualificación, el Guía paso a paso para la puesta en marcha de un laboratorio de nivel de seguridad biológica 3 (BSL-3) aborda cómo encajan los datos de control dentro de la estructura general del expediente de puesta en servicio.
Umbral de aceptación para la documentación de los controles
La documentación de los controles cumple el umbral de aceptación cuando cada alarma crítica, cada enclavamiento y cada secuencia de control cuenta con tres elementos asociados: una respuesta observada durante las pruebas de simulación de fallos, un registro recuperable de dicha respuesta y un procedimiento escrito que defina cuál es la respuesta correcta. Si falta alguno de esos tres elementos para una función crítica, no se ha alcanzado la aceptación; esta se ha aplazado, y el elemento aplazado saldrá a la luz bien durante el funcionamiento, bien durante la inspección.
El plan de bioseguridad es el documento normativo que establece el umbral mínimo de contenido que debe cumplir la documentación de los controles para que esté lista para su aceptación. Para cada método de descontaminación validado, el plan debe incluir procedimientos escritos que abarquen, como mínimo, la concentración del agente o el parámetro de exposición, el tiempo de contacto o la duración del ciclo, y el método de verificación utilizado para confirmar la eficacia. No se trata de una formalidad burocrática, sino del documento que define qué significa “correcto” para esa función de control. Sin él, no existe una norma con la que evaluar el expediente de puesta en servicio, y el departamento de control de calidad se ve obligado a tomar decisiones retroactivas sobre la criticidad bajo la presión de la inspección, en lugar de hacerlo en función de un criterio de aceptación preestablecido. La ausencia o la incompletitud de los procedimientos del plan de bioseguridad aparecen sistemáticamente como hallazgos de inspección precisamente porque representan el umbral de documentación por debajo del cual ningún volumen de datos de ensayo puede demostrar que un sistema sea plenamente aceptable.
La fricción que surge en las últimas fases de la puesta en servicio radica en la distinción entre los registros generales de monitorización de las instalaciones y los registros de controles críticos para la bioseguridad. Los equipos que no definen esa distinción desde el principio generan grandes volúmenes de datos del sistema de gestión de edificios (BMS) y de la interfaz hombre-máquina (HMI) sin establecer qué registros son necesarios para demostrar la integridad de la contención. El resultado es un expediente de aceptación que contiene demasiados datos indiferenciados y muy poca evidencia estructurada sobre las funciones específicas que realmente importan. El departamento de control de calidad se ve entonces obligado, tras la puesta en servicio, a clasificar los registros críticos de los no críticos —a menudo bajo la presión del tiempo debido a una inspección inminente o al inicio de las operaciones—. La solución a este problema es sencilla en teoría, pero difícil en la práctica: definir la criticidad antes de que comiencen las pruebas, no después de que se hayan recopilado los datos. El umbral de aceptación no se supera por el mero hecho de que existan datos; se supera cuando las funciones críticas han verificado las respuestas y dichas respuestas se han documentado según una norma predefinida.
La pregunta más útil que hay que plantearse en cualquier revisión de aceptación de los controles del BSL no es si el sistema está generando registros, sino si dichos registros están estructurados de tal forma que permitan respaldar una afirmación concreta sobre el estado de la contención en un momento determinado. Esa distinción marca la diferencia entre un proceso de puesta en servicio y una aceptación lista para la auditoría, y determina si un incidente de contención que se produzca dos años después del inicio de la explotación puede investigarse a partir de pruebas o reconstruirse a partir de la memoria.
Antes de dar por concluido el expediente de aceptación, confirme que cada alarma crítica cuente con una ruta de recuperación de eventos que funcione sin necesidad de acceso especializado, que se haya probado el comportamiento de la anulación manual en condiciones de estado de contención —y no en estado de reposo— y que el plan de bioseguridad incluya procedimientos escritos para cada método de descontaminación con suficiente detalle paramétrico como para servir de norma de aceptación. Esas tres comprobaciones, en su conjunto, le indicarán si la documentación sobre los controles de la instalación puede resistir una inspección, o si será otra persona la que detecte primero las deficiencias.
Preguntas frecuentes
P: ¿Qué debería ocurrir inmediatamente después de que se haya firmado la aceptación de los controles, antes de que la instalación entre en funcionamiento?
R: La primera prioridad tras la aprobación es confirmar que las rutas de recuperación de eventos establecidas durante la fase de aceptación siguen siendo funcionales en condiciones normales de acceso operativo, y no solo durante el acceso del equipo de puesta en marcha. Los procedimientos de recuperación de alarmas, las credenciales de acceso basadas en roles y los flujos de trabajo para la exportación de registros del sistema de gestión de edificios (BMS) deben traspasarse al equipo operativo con una guía detallada documentada, de modo que la primera vez que recuperen un registro de evento crítico no sea durante un incidente real de contención o una inspección. Las deficiencias en ese traspaso son las que provocan que se pierda el rigor de la aceptación entre el cierre de la puesta en marcha y la preparación operativa.
P: ¿El ámbito de aceptación de los controles que aquí se describe se aplica a una instalación de nivel BSL-2 mejorado, o solo a las de nivel BSL-3 y BSL-4?
R: El umbral de criticidad cambia en el nivel BSL-2 mejorado, pero el principio subyacente no desaparece. Los niveles BSL-3 y BSL-4 son los principales contextos en los que las alarmas de presión negativa, las secuencias de puertas interbloqueadas y los registros de verificación de descontaminación tienen consecuencias directas para la contención, y en los que la ausencia de registros recuperables supone un riesgo normativo. En el nivel BSL-2 mejorado, las secuencias específicas que rigen el estado de contención suelen ser menos numerosas, pero cualquier función de control que afecte directamente a la integridad de la contención biológica sigue requiriendo una respuesta observada y un registro recuperable. El marco se aplica siempre que un fallo de contención tenga una vía trazable a través de una función de control.
P: ¿Existe algún punto en el que la incorporación de más controles, en realidad, debilite la posición de auditoría en lugar de reforzarla?
R: Sí, cuando el volumen de registros indiferenciados hace imposible localizar las pruebas específicas que demuestran la integridad de la contención. Un expediente de aceptación que registre cada punto de datos del BMS sin definir qué registros son críticos obliga al inspector a sacar sus propias conclusiones sobre qué se ha sometido a prueba y por qué. Esa es una situación de auditoría peor que la de un expediente más conciso con un argumento claramente estructurado para cada función crítica. El factor determinante no es la cantidad de registros, sino si cada función crítica cuenta con un criterio de aceptación específico, un resultado de prueba correspondiente y un registro de eventos recuperable, y si los registros no críticos se distinguen claramente de ese conjunto de pruebas en lugar de mezclarse con él.
P: ¿Cómo se debe abordar la aceptación de los controles cuando el PLC y el BMS proceden de distintos proveedores y tienen arquitecturas de datos independientes?
R: Se trata de una condición límite que el marco de aceptación debe resolver antes de que comience la prueba, no durante la misma. Cuando los registros de eventos del PLC y los registros del BMS se almacenan en sistemas independientes con referencias de marca de tiempo, flujos de trabajo de recuperación y controles de acceso diferentes, la actividad de aceptación debe incluir una prueba de conciliación entre sistemas: provocar un evento relevante para la contención y, a continuación, confirmar que los registros correspondientes en ambos sistemas coinciden en cuanto a la marca de tiempo, la atribución del evento y la acción del operador. Las arquitecturas no conciliadas implican que una investigación de la causa raíz que requiera ambas fuentes de datos se enfrentará a una laguna que no podrá subsanarse a posteriori. También es necesario asignar explícitamente el límite de criticidad entre los registros del PLC y del BMS —qué sistema es responsable de qué evento crítico para la contención— para evitar lagunas por duplicación en las que ambos sistemas registren pruebas parciales y ninguno de ellos registre un evento completo.
P: ¿En qué momento la documentación de los controles pasa de ser un producto de la puesta en servicio a ser un producto de la cualificación que requiere una autorización formal del control de calidad?
R: La distinción radica en si la función de control afecta directamente a la calidad del producto, a la seguridad del paciente o, en este contexto, a la integridad de la contención biológica. Los registros que demuestran las respuestas a alarmas críticas para la contención, el comportamiento de los enclavamientos y la verificación de la descontaminación son entregables de la cualificación: requieren una revisión de control de calidad, un criterio de aceptación definido y una aprobación formal antes de que la instalación se considere puesta en servicio. Los registros generales de monitorización de la instalación —iluminación, datos no críticos de los servicios públicos, registros del sistema administrativo— son entregables de la puesta en servicio que no requieren el mismo proceso formal de autorización por parte del departamento de control de calidad. El riesgo práctico de no trazar esa línea de forma explícita es que el departamento de control de calidad se encuentre con un conjunto heterogéneo de documentos al final de la puesta en servicio y deba asignarles una categoría de criticidad de forma retroactiva bajo presión de tiempo, lo cual es la situación que con mayor probabilidad dará lugar a que se incorporen al historial operativo registros de cualificación incompletos.
