Requisitos de controles y enclavamientos en las solicitudes de presupuesto para equipos de alta contención: PLC, HMI, BMS y pruebas de alarmas

Las deficiencias en los controles de los equipos de alta contención no suelen salir a la luz durante la fase de adquisición, sino que se detectan durante la prueba de aceptación en sitio (SAT), cuando una prueba funcional realizada ante testigos revela que la lógica del PLC para una condición de enclavamiento nunca se especificó formalmente, que el esquema de prioridades de las alarmas solo figura en las notas del programador y que la lista de señales del sistema de gestión de edificios (BMS) no coincide con los planos de ingeniería en los que se basa el equipo de validación. El coste se traduce en plazos ajustados, trabajo adicional en la documentación que debería haber sido entregada por el proveedor y actividades de cualificación que no pueden concluirse sin pruebas que no se exigieron en la fase de solicitud de presupuesto. La decisión que evita esto no es una revisión más exhaustiva durante la puesta en servicio, sino una especificación estructurada de los controles en la solicitud de presupuesto que clasifique cada función según su criticidad y asigne un método de aceptación antes de que el proveedor comience el diseño. Los compradores que toman esa decisión desde el principio hacen que los proveedores rindan cuentas ante un conjunto definido de pruebas; los que no lo hacen, se enfrentan a una laguna en la documentación que persiste durante la calificación de instalación (IQ), la calificación operativa (OQ) y más allá.

Secuencias de control que deben especificarse

Es habitual especificar los controles como “PLC/HMI con salidas de alarma” en las solicitudes de presupuesto para equipos de contención, pero casi siempre resulta insuficiente. El problema fundamental es que, si el alcance del proveedor no incluye una lógica de secuencia explícita, el programa del PLC se convierte de facto en la especificación; y si ese programa no se revisa antes de la aceptación en fábrica, el propietario carece de una referencia con la que realizar las pruebas.

Cada uno de los elementos que se indican a continuación conlleva un riesgo de fallo específico si se deja a la interpretación del proveedor. Las secuencias operativas normales deben describirse paso a paso para que el equipo funcione en un orden predecible que tanto los operadores como los ingenieros de validación comprendan antes de la prueba SAT. Los estados de alarma deben contar con condiciones definidas, texto de los mensajes y niveles de prioridad, de modo que las alarmas sean pasibles de actuación y coherentes con la formación de los operadores. Las condiciones de enclavamiento requieren una lógica explícita —que establezca qué estados del proceso desencadenan qué respuestas de seguridad—, ya que las lagunas en el diseño de los enclavamientos crean riesgos para la contención o la integridad del proceso que son difíciles de detectar durante las pruebas rutinarias. Los disparadores de señales del BMS deben definir puntos y tiempos específicos para permitir que la integración de la instalación se lleve a cabo en paralelo con la cualificación de los equipos, en lugar de después de esta.

La configuración de los niveles de acceso y el comportamiento de las copias de seguridad suelen considerarse detalles de implementación, en lugar de funciones especificadas, y ahí es donde la ambigüedad se convierte en un problema para el ciclo de vida. Si en la solicitud de presupuesto no se define el comportamiento de las copias de seguridad en caso de corte de corriente o fallo de comunicación, es posible que la configuración predeterminada del proveedor no se ajuste a la estrategia de contención, lo cual es especialmente relevante para Entornos BSL-3 en los que un incidente de pérdida de contención durante la recuperación tras un corte de suministro eléctrico conlleva graves consecuencias. Especificar estos elementos en la solicitud de presupuesto no supone complicar en exceso los documentos de contratación, sino crear una base de revisión que exista antes de que se fabrique el equipo.

El comportamiento de reserva indefinido se convierte en una decisión de diseño de contención tomada por defecto, y no por motivos técnicos.

Evidencia relativa a PLC y HMI en el ámbito de los proveedores

La solicitud de presupuesto debe exigir resultados concretos dentro del ámbito de los controles del proveedor, y no limitarse a un sistema funcional. Esta distinción es importante porque lo que un proveedor considera documentación estándar de PLC/HMI —esquemas de cableado, listas de E/S y una copia de seguridad del software— rara vez cumple los requisitos de documentación para la prueba de aceptación del cliente (SAT), la cualificación según las buenas prácticas de fabricación (GMP) o la verificación de enclavamientos críticos para la bioseguridad.

Como mínimo, el alcance del proveedor debe incluir una especificación de diseño funcional (FDS) que documente la lógica prevista para cada modo de funcionamiento, alarma y enclavamiento antes de que comience la programación. Este documento establece el punto de control de revisión que permite al equipo del propietario y, en su caso, al equipo de validación, confirmar que la lógica refleja la intención especificada antes de su codificación. Sin él, las revisiones de diseño se realizan sobre un programa en ejecución en lugar de sobre una especificación, lo que traslada la carga de la cualificación a fases posteriores y socava la trazabilidad de la integridad de los datos tal y como se entiende en los marcos de sistemas informatizados como Anexo 11 de EudraLex.

El alcance de la HMI debe definir la estructura de las pantallas, la jerarquía de navegación y la configuración de los niveles de acceso antes de la prueba FAT. Descubrir durante la FAT que la HMI presenta alarmas sin diferenciación de prioridades, o que los niveles de acceso no hacen cumplir las restricciones de acciones establecidas en el URS, genera trabajo adicional que retrasa tanto el cierre de la FAT como las actividades de cualificación posteriores. Exigir al proveedor que entregue un paquete de revisión del diseño de la HMI como entrega previa a la FAT, en lugar de como documento posterior a la entrega, convierte un hallazgo habitual de la FAT en un paso de revisión controlado.

La documentación práctica que se exigirá en el ámbito de los controles incluye: el FDS con historial de revisiones, la lista de E/S con las etiquetas de señales referenciadas a los P&ID, el registro de alarmas con la causa y el punto de consigna de cada alarma, la matriz de niveles de acceso que muestra las acciones permitidas por rol de usuario y el registro de versiones de software que se conservará durante la prueba FAT y se comparará durante la prueba SAT. Cada uno de estos documentos debe figurar como un entregable contractual proporcionado por el proveedor con un plazo de presentación definido, y no debe considerarse material de referencia opcional.

Una lista de E/S sin un registro de alarma correspondiente constituye un ámbito de control, no un paquete de pruebas de control.

Documentación sobre señales y alarmas del sistema de gestión de edificios (BMS)

La integración entre los controles de los equipos de contención y un sistema de gestión de edificios suele ser uno de los últimos aspectos que se resuelven en los proyectos de alta contención; sin embargo, la documentación necesaria para llevar a cabo dicha integración de forma correcta debe prepararse mucho antes de que se envíen los equipos. Cuando la documentación de las señales del sistema de gestión de edificios (BMS) se trata como un actividad de la fase de puesta en servicio, la integración suele basarse en intercambios informales entre el ingeniero de controles del proveedor de equipos y el contratista del sistema de gestión de edificios (BMS), lo que da lugar a correspondencias punto a punto que se recogen en correos electrónicos en lugar de en documentos controlados.

Los cuatro elementos de documentación que deben exigirse en la solicitud de presupuesto abordan, cada uno de ellos, un modo de fallo distinto en la integración y la cualificación.

La lista de puntos de señal define el conjunto de intercambios discretos y analógicos. La racionalización de alarmas vincula cada alarma a una causa definida, un punto de consigna y una respuesta esperada; si este documento no existe, las alarmas no pueden calificarse de forma sistemática según los requisitos del Anexo 11 en materia de integridad de los datos y pista de auditoría. La asignación punto a punto es el documento de trabajo que utilizan los contratistas del sistema de gestión de edificios (BMS) durante la integración; sin él, es habitual que se pasen por alto señales o que se asignen a direcciones incorrectas. Los estados de señal a prueba de fallos son el elemento que se omite con mayor frecuencia: cuando se pierde la comunicación entre el controlador del equipo de contención y el BMS, este último debe recibir un estado definido —no una entrada ambigua o silenciosa— para que las respuestas a nivel de la instalación sean adecuadas y no se basen en datos obsoletos o incorrectos.

Exigir estos documentos como elementos que debe entregar el proveedor en la solicitud de presupuesto (RFQ) implica que ya existen como base para su revisión antes de que comience la integración. Considerarlos como resultados de la puesta en servicio significa que se elaboran de forma reactiva, bajo la presión de los plazos y, a menudo, sin una revisión formal.

Comportamiento del sistema de enclavamiento en situaciones anómalas

Las pruebas de enclavamientos son uno de los ámbitos que más probablemente generan observaciones del SAT cuando la especificación original era deficiente. La razón es de carácter estructural: los enclavamientos suelen someterse a prueba simulando condiciones anómalas inducidas deliberadamente —pérdida de presión diferencial, fallo del sellado de la puerta, avería del extractor de humos, agotamiento del reactivo en un ciclo de descontaminación—y si la respuesta esperada nunca se especificó formalmente, la prueba carece de un criterio de aceptación con el que compararla.

La solicitud de presupuesto debe definir no solo qué enclavamientos existen, sino también qué se espera que haga el equipo en cada estado de activación. En el caso de los enclavamientos críticos para la contención —como los que regulan estado de la cerradura de la puerta de acceso En lo que respecta a la cascada de presión o a la respuesta ante un fallo del extractor de aire en un entorno BSL-3, deben especificarse la acción de enclavamiento prevista, cualquier retardo temporal, cualquier alarma que deba acompañar a dicha acción y la secuencia de recuperación una vez resuelta la situación anómala. Se trata de decisiones de diseño basadas en el riesgo que se derivan del análisis de bioseguridad y de riesgos de proceso; considerarlas como opciones de implementación del proveedor en lugar de comportamientos especificados por el propietario genera una laguna en la verificación.

En lo que respecta específicamente al comportamiento del sistema de enclavamiento en caso de pérdida de comunicación o de alimentación, la especificación debe abordar el estado que adopta el equipo ante dicha pérdida (a prueba de fallos frente a operativo en caso de fallo), cómo indica la interfaz hombre-máquina (HMI) dicho estado, si se permite alguna recuperación automática o si se requiere una intervención manual, y qué registro se genera. ASTM E2500-25 apoya un enfoque basado en el riesgo para identificar qué funciones son lo suficientemente críticas como para requerir este nivel de definición, y Anexo 15 de EudraLex reafirma la necesidad de poner a prueba y documentar las respuestas ante estados anómalos como parte de la cualificación. Ninguna de las normas establece acciones de enclavamiento específicas para tipos concretos de equipos; esa determinación corresponde al análisis de riesgos del proyecto.

Un sistema de enclavamiento sin una secuencia de recuperación especificada deja la decisión sobre la contención en manos de quien se encuentre en la sala en ese momento.

El punto conflictivo para muchos equipos de propietarios es que las especificaciones detalladas sobre los sistemas de enclavamiento les obligan a realizar una identificación de riesgos antes de publicar la solicitud de presupuesto, lo que genera trabajo previo. La alternativa —recibir equipos con la lógica de enclavamiento predeterminada por el proveedor y, a continuación, redefinir los criterios de aceptación en función de lo entregado— es una opción que resulta sistemáticamente más costosa.

GxP frente a controles críticos de las instalaciones

No todas las funciones de control conllevan la misma obligación de aportar pruebas, y considerar que todas las salidas de un PLC requieren el mismo nivel de documentación es tan problemático como considerarlas todas de igual baja prioridad. El reto práctico en las solicitudes de presupuesto (RFQ) para equipos de contención radica en que los controles GxP, los controles críticos para la bioseguridad y los controles críticos para las instalaciones suelen compartir el mismo controlador físico; sin embargo, el alcance del proveedor, el nivel de detalle de la documentación y el rigor de aceptación requeridos para cada categoría difieren significativamente.

Este marco es una herramienta de planificación destinada a establecer los requisitos de documentación en la solicitud de presupuesto, y no un conjunto de clasificaciones normativas con definiciones fijas. Su valor radica en que obliga al equipo del propietario a tomar decisiones sobre el nivel de importancia antes de definir el alcance de la documentación que deben presentar los proveedores.

Los controles GxP —aquellos que afectan a la calidad del producto o a la integridad de los datos— requieren la capacidad de generar un registro de auditoría, pruebas de alarma validadas y Documentación sobre las buenas prácticas de fabricación (GMP) diseñado para respaldar la cualificación. Por ejemplo, un registro de temperatura en una incubadora situada dentro de una sala de contención está sujeto a las obligaciones de registro de auditoría establecidas en el Anexo 11, mientras que un sensor de posición de la puerta que solo envía datos a un punto del sistema de gestión de edificios (BMS) no lo está. Controles críticos para la bioseguridad, que regulan la integridad de la contención y la protección del operador, exigen la realización de pruebas de verificación de los enclavamientos y la verificación de la integridad de la seguridad como condición para la puesta en servicio; sin embargo, es posible que no requieran toda la infraestructura de registro de auditoría necesaria para los controles GxP, dependiendo del modelo de validación de la instalación. Los controles críticos para la instalación requieren pruebas funcionales y pruebas documentadas de su correcto funcionamiento, pero el nivel de detalle de la documentación puede ser proporcional al riesgo operativo.

La consecuencia de no establecer estas distinciones en la solicitud de presupuesto (RFQ) es que los proveedores suelen definir el alcance de la documentación de los controles de manera uniforme —por lo general, al nivel de «crítico para la instalación»— porque es el mínimo común denominador. Esto significa que los controles críticos para las buenas prácticas de fabricación (GxP) y de bioseguridad se entregan con una documentación insuficiente en relación con lo que exigirá la cualificación, y el equipo del propietario tiene que generar la documentación que falta tras la entrega, en lugar de recibirla como parte de los entregables del proveedor.

Método de aceptación para cada función de control crítica

Cada función de control crítica especificada en la solicitud de presupuesto debe contar con un método de aceptación definido y un documento de entrega concreto. No se trata de una mera minuciosidad procedimental, sino que es la única forma de evitar que una especificación de control se desvincule de las actividades de cualificación que la cerrarán.

La prueba práctica es sencilla: si la solicitud de presupuesto (RFQ) especifica una función de control, pero no define cómo se aceptará ni qué pruebas se presentarán, el equipo del propietario tendrá que abordar esa tarea de definición durante las pruebas FAT o SAT, bajo la presión de los plazos. Llevar a cabo esa tarea en la fase de contratación, cuando el proveedor puede confirmar la viabilidad e incluir las pruebas en el alcance de su entrega, evita que se acumulen observaciones en la fase de calificación.

Algunos de estos métodos de aceptación tienen implicaciones específicas que conviene destacar. Las pruebas de activación de alarmas requieren condiciones inducidas —y no una revisión del código del PLC—, ya que lo que verifica la cualificación es el comportamiento probado en condiciones reales. Las marcas de tiempo que figuran en el informe de pruebas entregado establecen la trazabilidad con respecto a los requisitos del registro de auditoría del Anexo 11. Las pruebas de activación de enclavamientos deben poner a prueba cada condición de forma independiente, y no como parte de una secuencia combinada, de modo que se verifique individualmente cada respuesta del enclavamiento. Las pruebas de aplicación de los niveles de acceso deben intentar realizar acciones restringidas con niveles de acceso incorrectos y registrar la respuesta, y no limitarse a confirmar que las cuentas de usuario estén configuradas.

La prueba de comportamiento de reserva suele omitirse en la FAT y trasladarse a las instalaciones del cliente, en parte porque simular una pérdida de alimentación o de comunicación en las instalaciones del proveedor requiere coordinación. Cuando se aplaza sin un protocolo SAT definido, a menudo ni siquiera se lleva a cabo como prueba formal, sino que se observa de manera informal durante la puesta en servicio y nunca se documenta. Esto crea una discrepancia entre lo que se observó y lo que puede presentarse como prueba durante la inspección.

Una prueba de control a la que se asiste sin un criterio de aceptación definido da lugar a una observación, no a un registro de calificación.

El momento en el que esta correspondencia resulta más valiosa es antes de que se establezca el protocolo FAT, cuando el proveedor aún tiene la oportunidad de crear una infraestructura de pruebas y generar la documentación acreditativa adecuada. Exigirlo en la fase de solicitud de presupuesto es lo que permite conservar esa oportunidad.

El problema recurrente en la gestión de la adquisición de equipos de contención no es la falta de capacidad de control, sino la falta de precisión en las especificaciones en una fase en la que las decisiones críticas aún resultan económicas de tomar. Para cuando una prueba SAT revela que no existen documentos de racionalización de alarmas, que la lista de señales del sistema de gestión de edificios (BMS) no coincide con la configuración de E/S entregada o que no se llevó a cabo ninguna prueba formal de enclavamientos durante la prueba de aceptación en fábrica (FAT), el coste de la recuperación recae sobre el equipo del propietario y no sobre el proveedor.

Antes de emitir una solicitud de presupuesto (RFQ) de controles para equipos de alta contención, el equipo del propietario debe confirmar: qué funciones son GxP, críticas para la bioseguridad y críticas para la instalación; cuál es el comportamiento esperado para cada estado anómalo, incluyendo la pérdida de alimentación y los fallos de comunicación; qué señales del sistema de gestión de edificios (BMS) deben documentarse antes de que comience la integración; y qué documento de evidencia cerrará cada función de control crítica en el momento de la aceptación. Esas cuatro determinaciones, realizadas en la fase de adquisición, marcan la diferencia entre un paquete de controles que respalda la cualificación y otro que requiere una reconstrucción durante la misma.

Preguntas frecuentes

P: ¿Qué ocurre si nuestro equipo no cuenta con los conocimientos suficientes en ingeniería de controles para elaborar secuencias y evaluaciones de criticidad antes de que se envíe la solicitud de presupuesto?
R: Contratar a un consultor externo especializado en controles o a un experto en automatización para la fase de contratación pública. El marco que se plantea en el artículo se basa en que el responsable tome decisiones sobre la criticidad en una fase temprana; sin embargo, si no se dispone de esa experiencia, la alternativa es incluir esas definiciones en un estudio de diseño previo a la adjudicación, realizado por un proveedor preseleccionado y remunerado, de modo que las especificaciones se elaboren conjuntamente antes de comprometerse, en lugar de dejarlas totalmente a la interpretación predeterminada del proveedor.

P: Una vez que el proveedor haya entregado el paquete de documentación sobre los controles, ¿qué es lo primero que debe hacer nuestro equipo de validación?
R: Realice una revisión de la trazabilidad que vincule cada entrega (FDS, registro de alarmas, lista de E/S, matriz de acceso) con las funciones de control críticas del URS y los métodos de aceptación que haya especificado. El objetivo es confirmar, antes de la prueba de aceptación en fábrica (FAT), que la documentación cubre todas las funciones críticas con un registro de aceptación correspondiente; subsanar las deficiencias identificadas en esta fase resulta mucho más económico que hacerlo durante la prueba de aceptación en el sitio (SAT), cuando el equipo ya se encuentra instalado.

P: ¿A partir de qué tamaño de proyecto o nivel de riesgo este nivel de detalle en la solicitud de presupuesto pasa a ser obligatorio, en lugar de algo recomendable?
R: El umbral lo constituye cualquier equipo de contención que interactúe con un proceso GxP, una barrera crítica para la bioseguridad o una integración con el sistema de gestión de la instalación (BMS) que requiera pruebas de cualificación para su puesta en servicio. En el caso de un congelador de almacenamiento BSL-2 independiente, sin repercusión en GxP y sin conexión al sistema de gestión de la instalación (BMS), puede bastar con una especificación menos rigurosa. Sin embargo, si los enclavamientos del equipo protegen una cascada de presión o si sus datos alimentan los registros de auditoría del Anexo 11, los detalles de la solicitud de presupuesto son esenciales, no opcionales.

P: ¿En qué se diferencia este enfoque, basado en numerosas solicitudes de presupuesto, de un contrato «llave en mano» en el que el proveedor diseña, construye y certifica todo el sistema?
R: En un proyecto «llave en mano» auténtico, con garantías de rendimiento y una cualificación dirigida por el proveedor, el propietario sigue teniendo que definir las funciones de control críticas y los criterios de aceptación; de lo contrario, el proveedor tomará como referencia su propia interpretación y usted tendrá que aceptar lo que le entregue. El enfoque del artículo es compatible con la entrega «llave en mano», pero traslada la definición de las pruebas a los documentos de contratación, de modo que los planes de diseño y ensayo del proveedor se elaboren en función de su marco de riesgos, y no según su opción predeterminada de menor coste.

P: ¿Realmente se justifica el esfuerzo adicional inicial que supone especificar los controles con este nivel de detalle para un único equipo, como una caja de paso VHP?
R: Sí, si el ciclo de descontaminación de ese equipo, la lógica de sellado de puertas o los registros de alarmas pudieran retrasar la liberación de un lote o la aprobación de bioseguridad. Incluso en el caso de una sola unidad, el coste de reconstruir la documentación tras la prueba de aceptación del cliente (SAT) suele superar el coste de especificar los requisitos de evidencia en la solicitud de presupuesto (RFQ). La lógica del artículo se aplica a menor escala: sigues siendo tú quien decide qué funciones son críticas para las buenas prácticas (GxP) o para la seguridad; y, en el caso de una caja de paso de VHP, podrían ser solo tres enclavamientos y dos alarmas, lo que requeriría una especificación mucho más sencilla, pero aún así bien definida.