Calificación operativa de los sistemas VHP, BIBO, Pass Box y APR Door: funciones que requieren documentación

Cuando los fallos en la lógica de enclavamiento o de alarma pasan desapercibidos durante la calificación operativa (OQ), suelen manifestarse en condiciones difíciles de gestionar: una secuencia de puertas falla en mitad de una transferencia, la carcasa de un filtro se abre sin confirmar la neutralización de la presión, o un ciclo de VHP avanza a pesar de un fallo en el sensor. Ninguno de estos fallos se pone de manifiesto durante las pruebas de funcionamiento normal, ya que estas nunca simulan la condición que los revela. El coste práctico no es solo el riesgo de una fuga de contención, sino que implica tener que reabrir parcialmente el programa de cualificación, reescribir los guiones y programar nuevas pruebas en un calendario de puesta en servicio ya muy apretado. La decisión que distingue entre pruebas de calificación operativa (OQ) defendibles y una documentación que cumple con los requisitos burocráticos pero no satisface a los inspectores radica en si cada función crítica se ha sometido a pruebas en una condición anómala definida, y no si simplemente se ha observado durante ciclos rutinarios.

Funciones operativas que requieren pruebas de verificación

El análisis de riesgos debe determinar la selección del alcance antes de redactar cualquier guion de prueba. Un enfoque estructurado consiste en puntuar cada función operativa en función de las consecuencias y la probabilidad, y a continuación priorizar aquellas que superen un umbral definido para las pruebas de estrés, dejando las funciones de menor riesgo para las comprobaciones de funcionamiento normal. Independientemente de si se utiliza o no un índice numérico de prioridad de riesgo, lo importante es la disciplina subyacente: si el fallo de una función pudiera provocar una exposición incontrolada, una interrupción no detectada del ciclo o una rotura de la barrera de presión, la evidencia de la calificación operativa (OQ) para esa función debe demostrar algo más que una ejecución nominal satisfactoria.

La filosofía que subyace al diseño robusto de la calificación operativa (OQ) consiste en detectar los modos de fallo en condiciones controladas, antes de que dichas condiciones se den en el uso real. Esto implica comprobar el comportamiento de reinicio tras una interrupción del ciclo, verificar la repetibilidad en múltiples ejecuciones en lugar de conformarse con una sola prueba satisfactoria, y confirmar que las condiciones límite —los valores máximos y mínimos dentro de los rangos de funcionamiento definidos— producen la respuesta esperada. En el caso de los sistemas de puertas VHP, BIBO, de paso y APR, las funciones que suelen acarrear las consecuencias más graves si fallan de forma silenciosa incluyen las transiciones entre fases del ciclo, la secuenciación del acceso a las puertas, la monitorización de la presión diferencial de los filtros y las vías de comunicación entre las alarmas y el sistema de control. Cada una de ellas puede comportarse correctamente durante una prueba de demostración estándar y, aun así, presentar un fallo no detectado en la lógica de ramificación que rige los estados anómalos.

La selección de las funciones que se van a someter a pruebas de verificación es, en sí misma, una decisión auditable. Si no se documenta la justificación para incluir o excluir una función de las pruebas de verificación, el revisor no puede evaluar si el alcance de las mismas fue lo suficientemente conservador. El alcance de la OQ que se establece durante la fase de planificación de la validación y que se vincula formalmente a la evaluación de riesgos crea una base trazable para esa decisión, en lugar de dejarla implícita en el guion.

Condiciones de prueba de alarmas, enclavamientos y lógica de puertas

Las pruebas de alarma y enclavamiento no tienen por objeto confirmar que el sistema muestre una advertencia, sino verificar que la advertencia se active ante la condición correcta, que quede registrada de forma que se pueda recuperar y que la recuperación del estado de alarma requiera una acción deliberada del operador, en lugar de una reanudación automática. Cada uno de esos tres elementos —precisión de activación, registro de eventos y recuperación controlada— puede superar o no la prueba de forma independiente. Un sistema que muestre la alarma correcta pero no registre el evento genera una laguna en la auditoría. Un sistema que registra el evento pero permite el reinicio automático sin confirmación puede no cumplir las expectativas de integridad de los datos establecidas en el anexo 11 del volumen 4 de EudraLex para los sistemas informatizados implicados en procesos relevantes para las buenas prácticas de fabricación (BPF).

El requisito de simulación de alarmas conlleva una disciplina de documentación específica: el método de simulación debe describirse en el propio formulario de OQ, y no reconstruirse a posteriori a partir de la memoria o de instrucciones verbales. En el caso de un enclavamiento puramente mecánico, esto podría significar bloquear físicamente la bandera de un sensor; en el caso de una secuencia de puertas controlada por software, podría significar introducir un estado de señal forzado. En ambos casos, el formulario debe registrar lo que se hizo, no solo lo que se observó.

Cuando la lógica de secuenciación de puertas determina el estado de los límites de contención —como ocurre en los sistemas de cajas de paso o esclusas con enclavamiento—, la prueba de acciones prohibidas cobra especial importancia. Confirmar que cualquier intento de abrir la puerta exterior mientras la puerta interior está sin sellar da lugar a una acción bloqueada, un evento registrado y una secuencia de recuperación que requiere un reinicio deliberado no es una mera formalidad. Es la prueba que confirma que la lógica de enclavamiento se comporta bajo una presión equivalente a la que ejercería un operador real, y no solo durante un acceso normal predefinido.

Registros de funcionamiento de VHP, BIBO y la caja de paso

Los registros generados durante la calificación operativa (OQ) de los sistemas VHP, BIBO y de la caja de paso deben reflejar el rendimiento específico de las funciones operativas de cada sistema, y no solo el resultado de un ciclo satisfactorio. En el caso de los sistemas de cajas de paso VHP, esto implica documentar el comportamiento de los parámetros del ciclo a lo largo de todas las fases —acondicionamiento, gaseado, tiempo de permanencia y aireación— en relación con los rangos de funcionamiento definidos para cada fase, y no solo el resultado final de los indicadores biológicos o químicos. En el caso de las cámaras BIBO, esto incluye la confirmación de que la secuencia de introducción y extracción de bolsas se ha ejecutado en las condiciones de prueba sin pérdida de la estanqueidad a la presión, con el estado del filtro y las lecturas diferenciales registradas en cada paso.

La selección de indicadores para la cualificación del ciclo de descontaminación debe considerarse una actividad de justificación del diseño específica para el agente, la geometría del equipo y los parámetros del ciclo que se utilicen. Los indicadores químicos utilizados durante la cualificación operativa (OQ) actúan como monitores del ciclo en tiempo real para evaluar la distribución y la penetración; los indicadores biológicos, cuando se utilizan, evalúan la eficacia en condiciones de prueba. El tipo de indicador, la cantidad y el plan de colocación deben reflejar la geometría interior del equipo y los lugares con mayor probabilidad de recibir un contacto reducido con el VHP: zonas de sombra, huecos en las superficies o áreas con escasa circulación de aire. Esta justificación de la colocación debe figurar en la documentación de la calificación operativa (OQ), y no darse por sentada a partir de una disposición genérica de los indicadores.

Para Caja de pases VHP En lo que respecta específicamente a los sistemas, los registros de la calificación operativa (OQ) deben reflejar la repetibilidad del ciclo en múltiples ejecuciones bajo condiciones de carga equivalentes, y no una mera demostración de un único ciclo. Una sola ejecución satisfactoria no demuestra que el sistema alcance y mantenga de forma fiable los parámetros requeridos en todo el rango de condiciones de funcionamiento previstas. Los datos de repetibilidad de la OQ también proporcionan la referencia con respecto a la cual se puede evaluar cualquier desviación futura del comportamiento normal del ciclo, lo que lo convierte en un documento con relevancia operativa más allá del evento de cualificación inicial. El Protocolo de validación de VHP: IQ, OQ y PQ para sistemas de peróxido de hidrógeno establece la estructura general de titulaciones en la que se enmarcan los expedientes del ciclo OQ.

Para Carcasas BIBO, Los registros de la función de control de calidad (OQ) deben confirmar que las comprobaciones de la fijación de la bolsa, el asentamiento del filtro y la integridad de la presión se realizan en el orden correcto, y que cada paso queda registrado con una marca de tiempo accesible para su revisión.

Respuesta de la puerta APR en situaciones anómalas definidas

Las puertas APR con sellado neumático funcionan en condiciones en las que las consecuencias de un fallo en cuanto a la contención no son equivalentes en todos los modos de fallo. El fallo de un sellado durante los ciclos normales de acceso constituye una categoría de incidente distinta a la de un sellado que no vuelve a acoplarse tras una pérdida de presión, o a la de una puerta que no vuelve a un estado de bloqueo seguro tras una interrupción del suministro eléctrico. La calificación operativa (OQ) debe distinguir entre estas condiciones en el diseño de sus ensayos, ya que un inspector que revise la documentación preguntará específicamente qué se ha probado, y no qué podría funcionar teóricamente.

Las pruebas de corte de suministro eléctrico no son solo una comprobación de la integridad de los datos. Se trata de una verificación de la seguridad funcional: ¿vuelve el sistema a un estado conocido y definido tras restablecerse el suministro eléctrico? ¿Y requiere una confirmación deliberada por parte del operador antes de reanudar el estado del proceso? En el caso de los sistemas de control informatizados, el anexo 11 del volumen 4 de EudraLex establece que no se deben perder los datos acumulados hasta el momento del fallo y que la reanudación debe ser controlada, en lugar de automática. En el caso de un sistema de puertas APR integrado con un bucle de control de interbloqueo y monitorización de la presión, esto implica verificar que los registros del estado de la presión, los registros de alarmas y los estados de posición de las puertas se conserven y se presenten con precisión tras la recuperación.

Las pruebas de «sensor fuera de rango» y de «desconexión del sensor» abordan un modo de fallo distinto tanto del funcionamiento normal como de un corte de suministro eléctrico: el sistema sigue recibiendo alimentación, pero no recibe ninguna señal válida desde un punto de monitorización. La calificación operativa (OQ) debe confirmar que esta condición se detecta como un fallo —y no se ignora ni se trata como una lectura de valor cero— y que se impide que el proceso continúe o se le obliga a entrar en una pausa controlada a la espera de una investigación. Un sistema que tolera silenciosamente un sensor de presión desconectado y sigue funcionando crea un riesgo de contención que no será visible en los registros de las pruebas de funcionamiento normal.

Se necesitan detalles del guion para una OQ lista para la auditoría

El cuello de botella en los programas de calificación operativa (OQ) para equipos de contención rara vez radica en la ejecución, sino en el guion de pruebas. Las instrucciones vagas, como “verificar el funcionamiento de la alarma”, no son ejecutables: no especifican qué condición activa la alarma, cuál es la respuesta esperada del sistema, cómo debe simularse dicha condición ni qué se considera un resultado satisfactorio. Un revisor no puede confirmar que la prueba se haya realizado correctamente, y si otro técnico repite la prueba, podría simular una condición totalmente diferente. Ninguno de estos resultados garantiza la trazabilidad que requiere una inspección.

La especificidad de un guion preparado para auditorías significa que cada paso identifica el método exacto de simulación, la respuesta observable esperada y un criterio de aceptación cuantificado o inequívoco. La descripción de la simulación es especialmente importante para las pruebas de alarmas y enclavamientos: si el formulario de calificación operativa (OQ) no registra cómo se simuló el fallo, la prueba no puede reproducirse ni evaluarse de forma independiente. Se trata de un requisito de disciplina documental, no de una recomendación sobre qué técnica de simulación utilizar; el método es una elección de ingeniería, pero el registro de dicho método es una obligación de trazabilidad.

La consecuencia directa de unos criterios de aceptación vagos es que los resultados pasan a depender de la interpretación de quien los revisa. Si el criterio es “el sistema responde correctamente”, dos revisores pueden llegar a conclusiones diferentes a partir de observaciones de prueba idénticas. Los criterios cuantificados —como los límites de tiempo de respuesta definidos, los requisitos específicos de estado bloqueado/desbloqueado o los umbrales explícitos de activación de alarmas— eliminan esa ambigüedad y permiten que las pruebas se mantengan independientes de la interpretación de la persona encargada de la revisión. Esto cobra mayor importancia al cierre de la calificación operativa (OQ), cuando la decisión de aprobación debe ser defendible ante un tercero que no haya estado presente durante las pruebas.

Cierre de OQ basado en registros de respuesta observados

El cierre de la OQ depende de la resolución de las desviaciones, no solo de la finalización de las pruebas. Una prueba completada que haya dado lugar a un resultado fuera de especificación, a una respuesta de enclavamiento omitida o a un evento no registrado no se considera una prueba cerrada, sino una desviación abierta. El anexo 15 del volumen 4 de EudraLex establece que las desviaciones identificadas durante la cualificación deben documentarse indicando las medidas correctivas, las partes responsables y los plazos definidos, y que cualquier cambio realizado como consecuencia de ello debe evaluarse en el marco del control de cambios antes de que la cualificación se considere completada. Tratar la lista de desviaciones como una actividad de «limpieza» posterior a la OQ, en lugar de como un requisito previo para su cierre, es un patrón recurrente que retrasa la aprobación final cuando los inspectores identifican asuntos pendientes durante la revisión.

El expediente de pruebas que respalda el cierre de la calificación de aptitud (OQ) debe permitir al revisor seguir el rastro de cada función crítica desde la condición de prueba hasta el resultado registrado y el estado de aprobación. Esto significa que las pruebas de simulación, las pruebas de alarmas y de enclavamientos, así como las pruebas de repetibilidad, deben figurar como registros independientes, sin consolidarse en una declaración resumida en la que se indique simplemente que se ha realizado una serie de pruebas. Lista de comprobación de la auditoría de la documentación GMP de validación del Passbox de VHP describe los elementos de la documentación que avalan que estos sistemas, en concreto, están preparados para la inspección.

Cuando una desviación requiera un cambio de hardware o software, deberá completarse la evaluación del control de cambios y volver a someterse a prueba las funciones afectadas antes de confirmar el cierre. Una OQ que registre una acción correctiva como “completada”, pero que no incluya pruebas de que se ha vuelto a probar la función afectada, deja una laguna trazable que no puede subsanarse retrospectivamente sin reabrir el protocolo. La decisión de cierre debe tomarse teniendo en cuenta todos los registros de desviaciones, y no solo el registro de finalización de las pruebas.

El patrón recurrente de fallos en los programas de calificación operativa (OQ) de los equipos de contención no radica en la falta de esfuerzo a la hora de realizar las pruebas, sino en que dicho esfuerzo se centra en la confirmación del funcionamiento normal, en lugar de en las condiciones de prueba extrema que permitirían detectar fallos ocultos en la lógica de las alarmas, la secuencia de las puertas o la gestión de fallos de los sensores. Una vez que un sistema de contención se ha entregado y está en uso, identificar y corregir esos fallos requiere una parada controlada, una recalificación y una explicación fundamentada de cómo ese fallo pasó desapercibido en la calificación operativa (OQ) original. Se trata de un problema considerablemente más difícil que incorporar pruebas de estrés en el protocolo antes de que comience la ejecución.

Antes de finalizar cualquier guion de OQ para los sistemas VHP, BIBO, caja de paso o puertas APR, el equipo debe confirmar que cada función crítica identificada en la evaluación de riesgos cuente con una condición de prueba correspondiente, un método de simulación descrito, un criterio de aceptación cuantificado y un procedimiento de recuperación definido, y que ninguno de estos elementos quede a la interpretación del técnico encargado de la ejecución. Las desviaciones respecto a esa norma deben resolverse en relación con una línea de base sujeta a control de cambios, y no documentarse como observaciones aceptables. Esa disciplina es lo que distingue un registro de cualificación que supera la inspección de uno que requiere una explicación al respecto.

Preguntas frecuentes

P: ¿Qué pasaría si simular una alarma o un fallo de un sensor durante la calificación operativa (OQ) pudiera dañar el equipo o provocar un incidente de seguridad?
R: El protocolo de OQ debe definir métodos de simulación seguros y procedimientos de recuperación antes de ejecutar cualquier prueba de estrés. Una revisión de riesgos previa a la prueba identifica los posibles peligros de la propia prueba, y pueden utilizarse enfoques alternativos —como la inyección de señales en una entrada del controlador o la anulación de sensores mediante software— cuando la manipulación física directa no sea segura. El acuerdo sobre los estados de prueba seguros, que ya exige la planificación básica de la OQ, se extiende a la protección de las personas y los equipos durante la prueba.

P: Una vez finalizada la OQ y resueltas todas las desviaciones, ¿cuál es el siguiente paso inmediato en el proceso de cualificación?
R: El siguiente paso lógico es la cualificación del rendimiento (PQ), en la que el sistema demuestra un rendimiento constante en condiciones reales de funcionamiento con cargas representativas. La finalización de la OQ confirma que las funciones críticas funcionan dentro de los rangos previstos; posteriormente, la PQ demuestra que el proceso integrado cumple repetidamente los criterios de aceptación definidos durante su uso habitual. La transición requiere un protocolo de PQ aprobado y suele estar condicionada a la aprobación formal del informe de OQ.

P: ¿Una aplicación de contención de menor riesgo, como una caja de transferencia de nivel BSL-2, requiere el mismo nivel de exhaustividad en las pruebas de verificación de alarmas y enclavamientos?
R: El alcance debe ser proporcional al riesgo. Una evaluación de riesgos documentada determina qué funciones operativas son críticas; las funciones cuya puntuación sea inferior al umbral de riesgo acordado pueden verificarse mediante pruebas en condiciones normales de funcionamiento, sin necesidad de condiciones de prueba extremas. El requisito clave es que cualquier decisión de reducir el alcance de las pruebas esté justificada de forma trazable en el plan de validación, de modo que un revisor pueda ver por qué la lógica de los límites de contención no requería el mismo nivel de comprobación en estado anómalo que un equivalente de BSL-3/4.

P: ¿En qué se relaciona el enfoque de la calificación operativa (OQ) aquí descrito con las pruebas de aceptación en fábrica (FAT) y las pruebas de aceptación in situ (SAT)? ¿Pueden los resultados de las FAT reducir el esfuerzo necesario para la OQ in situ?
R: La OQ debe realizarse in situ con la configuración final instalada, ya que la FAT y la SAT se llevan a cabo en condiciones diferentes en cuanto a servicios públicos, entorno y sistemas de control. Si bien se puede hacer referencia a las comprobaciones de funciones no críticas que no hayan cambiado con respecto a la FAT para evitar duplicidades, las pruebas de estrés críticas —especialmente las simulaciones de alarmas, la lógica de enclavamientos y las respuestas ante estados anómalos— deben repetirse in situ para confirmar que funcionan correctamente con la infraestructura instalada y el bucle de control definitivo.

P: ¿Se justifica el tiempo y el coste adicionales que supone realizar pruebas exhaustivas de calificación operativa (OQ) cuando el equipo funciona correctamente en condiciones normales de funcionamiento?
R: Sí, porque los fallos no detectados en la lógica de alarma, la secuencia de puertas o la gestión de fallos de los sensores que surgen tras la entrega obligan a realizar una parada controlada, una recalificación parcial y a ofrecer una explicación fundamentada de cómo ese fallo pasó desapercibido durante la OQ original. La inversión inicial en una OQ basada en pruebas de desafío es una medida de mitigación de riesgos que protege el calendario de puesta en servicio del coste, mucho mayor, que supondrían los fallos en la lógica de contención tras la entrega y el escrutinio regulatorio.