Factores que dan lugar a una nueva verificación de los sistemas integrados de nivel de seguridad biológica 3 y 4 (BSL-3/4): cambios en los filtros HEPA, actualizaciones de los controles y reparaciones importantes

Los sistemas de contención suelen perder su estado verificado de forma imperceptible. Se sustituye un cartucho HEPA durante una parada de fin de semana, una actualización del sistema de gestión de edificios (BMS) aplica una lógica actualizada a los circuitos de control de presión, o se modifica un punto de consigna de presión para resolver una alarma recurrente; nada de ello queda registrado como un cambio formal. El problema sale a la luz más tarde, ya sea durante una inspección reglamentaria, cuando los registros de cualificación ya no coinciden con la configuración instalada, o, lo que es peor, durante la investigación de un incidente, cuando queda claro que se abandonó el margen de rendimiento aceptado sin ninguna evaluación documentada. La disciplina que evita esto es un conjunto definido de factores desencadenantes de la reverificación: un límite práctico que separa el mantenimiento rutinario del trabajo que afecta a las pruebas en las que se basaron las decisiones de aceptación. Comprender dónde se sitúa ese límite y qué significa para cada categoría de intervención es lo que convierte a la reverificación en un programa funcional, en lugar de una mera formalidad de cumplimiento normativo.

La sustitución del filtro HEPA como motivo para una nueva verificación

La sustitución del filtro HEPA es probablemente la tarea de mantenimiento más habitual que debería dar lugar a una evaluación de reverificación, pero que con frecuencia no lo hace. Se parte de la base de que un filtro es un consumible —que se sustituye cuando aumenta la caída de presión o se supera el intervalo programado— y que su cambio forma parte de las tareas habituales de mantenimiento. Esa lógica solo es válida en el caso concreto en el que el filtro de recambio sea realmente idéntico y la carcasa, la junta y el sistema de sujeción permanezcan inalterados. En el momento en que cambie cualquiera de esas condiciones, los datos originales de la prueba de aerosoles ya no describen la instalación actual.

El peligro práctico radica en que, a menudo, se realizan modificaciones en las carcasas de los filtros que no quedan registradas formalmente. Las juntas se comprimen, se deforman o se sustituyen por un material que estaba disponible en ese momento, en lugar del especificado en el diseño. Es posible que se vuelva a apretar los marcos de sujeción con un par de apriete diferente. Ninguno de estos incidentes es grave por sí solo, pero cada uno de ellos afecta al plano de estanqueidad, que en un sistema BSL-3 o BSL-4 constituye una barrera de contención primaria. Una prueba de caída de presión o un escaneo con fotómetro realizados antes y después de la sustitución pueden confirmar que el conjunto reinstalado funciona dentro del rango de aceptación original, y vale la pena exigirlo incluso en el caso de sustituciones «igual por igual» en contextos de alta contención.

Cuando la sustitución implica un modelo alternativo, un tipo de medio filtrante diferente o una reparación de la carcasa, la cuestión pasa de ser una simple confirmación a una reintegración. Un filtro con una característica de caída de presión diferente alterará la resistencia a lo largo de la chimenea de extracción, lo que a su vez puede modificar el diferencial de presión en el límite de la zona. No se trata de una preocupación teórica, sino de una condición comprobable que puede confirmarse o descartarse con un micromanómetro y una prueba de patrón de humo. La tabla siguiente relaciona los escenarios habituales de sustitución de filtros HEPA con las preguntas que debe responder una evaluación de reverificación antes de la puesta en servicio.

En el caso de las aplicaciones de alta contención que utilizan la tecnología de cambio de filtros «bag-in/bag-out», el propio procedimiento de sustitución forma parte de la secuencia de contención, y la integridad de la carcasa del filtro durante los ciclos de inflado y desinflado debe confirmarse como parte de cualquier evaluación de reverificación. Los sistemas «bag-in/bag-out» cuentan con pruebas específicas de puesta en servicio —entre las que se incluyen la presión de inflado de las juntas y la integridad de las soldaduras de las bolsas— que deben seguir siendo representativas del estado de instalación tras cualquier intervención en la carcasa. Las directrices sobre lo que deben incluir dichos datos de puesta en servicio se recogen en el Lista de comprobación para la puesta en servicio de BIBO.

Controla las actualizaciones que afectan al estado «aceptado»

Los cambios en los sistemas de control suelen considerarse, con mayor frecuencia que los cambios de hardware, como incidencias de TI en lugar de incidencias de ingeniería. El equipo de gestión del edificio programa una actualización de la versión de software, comprueba que cumpla con los requisitos de ciberseguridad y la implementa, sin que nadie se pregunte si dicha actualización afecta a la lógica que rige los enclavamientos de presión, las respuestas ante fallos de los ventiladores o los umbrales de alarma. Esa laguna en el proceso es donde suelen fallar los programas de reverificación.

El estado de aceptación de un sistema de contención BSL-3 o BSL-4 incluye pruebas documentadas de que se producen respuestas de control específicas dentro de los parámetros definidos: que una alarma de fallo de puerta se active en un tiempo establecido, que la pérdida de funcionamiento del ventilador de extracción active una secuencia en cascada hasta alcanzar un estado de presión seguro, y que las alarmas de presión diferencial se activen antes de que la sala supere un umbral que afecte al flujo de aire direccional. Si una actualización del sistema de gestión de edificios (BMS) modifica cualquiera de las rutas de código que rigen estas funciones —incluso de forma incidental, a través de cambios en un módulo compartido—, la evidencia de aceptación original deja de ser plenamente representativa. El anexo 15 del volumen 4 de EudraLex enmarca esto en términos de mantenimiento del estado validado: los cambios que afectan a los sistemas validados requieren una evaluación documentada y, cuando proceda, una nueva calificación antes de continuar con su uso.

El caso más complicado es el cambio del valor de consigna, ya que a menudo se trata como un ajuste operativo en lugar de como un cambio. Modificar el valor de consigna de la presión diferencial de una sala de −15 Pa a −10 Pa para reducir la carga del sistema de climatización puede parecer un pequeño ajuste operativo, pero si la prueba de aceptación original demostró la contención a −15 Pa, esa evidencia ya no es válida para el nuevo estado de funcionamiento. No se ha comprobado si el nuevo punto de consigna sigue siendo capaz de mantener el flujo de aire direccional en condiciones dinámicas —apertura de puertas, movimiento del personal, carga eólica en la chimenea de extracción—. Este es el significado práctico de “estado de funcionamiento fuera de los límites aceptados”.”

La sustitución del actuador de la compuerta merece una atención especial, ya que los actuadores suelen considerarse componentes genéricos. Un actuador no idéntico, con un par o una precisión de posicionamiento diferentes, puede provocar un retraso en la respuesta de la compuerta que pasa desapercibido en condiciones de estado estacionario, pero que resulta significativo durante un transitorio —una interrupción del suministro eléctrico, el arranque de un ventilador o una secuencia de apertura rápida de una puerta—. Estos son precisamente los escenarios para los que están diseñadas las pruebas de aceptación.

Modificaciones de la presión y el flujo de aire en la sala tras la entrega

Las modificaciones en la presión de la sala y en el flujo de aire realizadas tras la homologación inicial son una causa habitual de desviación respecto al estado aceptado, y a menudo obedecen a necesidades operativas legítimas, como resolver quejas sobre corrientes de aire, adaptar la sala a un nuevo equipo o mejorar la eficiencia energética. El problema no es la intención, sino que cada modificación del sistema de flujo de aire puede alterar las relaciones de presión que antes estaban equilibradas y se consideraban aceptables.

La jerarquía de presiones en una sala BSL-3 —normalmente un diferencial negativo en cascada desde el pasillo hasta la antesala y el laboratorio, o, en algunas configuraciones, una zona tampón de presión positiva que protege los espacios adyacentes— no se corrige automáticamente tras una intervención. El reequilibrio de los conductos que mejora la estabilidad de una zona puede invertir el diferencial en otra puerta. Una reducción de la velocidad de los ventiladores que permita ahorrar energía puede reducir la reserva de flujo de aire necesaria para mantener la presión en las secuencias de apertura de puertas más desfavorables. Las pruebas de aceptación originales se realizaron en una configuración específica, y los resultados se refieren únicamente a dicha configuración.

Lo que hace que esta categoría sea especialmente arriesgada desde el punto de vista de la auditoría es que, en ocasiones, los equipos de ingeniería de instalaciones llevan a cabo modificaciones de la presión de las salas sin la participación formal del departamento de cualificación. La modificación se trata como un mantenimiento del sistema de climatización, pero su efecto es un cambio en la envolvente de contención. La norma ASTM E2500-25 define la verificación como una obligación continua vinculada al estado de mantenimiento del sistema, y no como un acto puntual en el momento de la entrega, lo que significa que las modificaciones posteriores a la entrega en los sistemas verificados deben dar lugar a una evaluación para determinar si se justifica una nueva verificación.

El modo de fallo más relevante en esta categoría es la pérdida de la dirección del flujo de aire en condiciones dinámicas, mientras que las lecturas en régimen estacionario se mantienen dentro de los límites establecidos. Un micromanómetro situado en una sola puerta puede indicar un diferencial nominal, mientras que una prueba de humo revela que el flujo de aire transitorio se invierte durante el funcionamiento de la puerta. Por este motivo, las pruebas de aceptación suelen incluir escenarios dinámicos, y cualquier modificación que altere el rendimiento del ventilador o la resistencia de los conductos debe ir acompañada de nuevas pruebas de los mismos casos dinámicos.

Cambios en el ciclo de mantenimiento preventivo (VHP) y reparaciones importantes

Los ciclos de descontaminación con peróxido de hidrógeno vaporizado se validan según un conjunto específico de parámetros: concentración, tiempo de exposición, volumen de la sala, patrón de distribución y recuperación del catalizador. Cada uno de estos parámetros está vinculado a los datos de compatibilidad con los materiales y de eficacia esporicida obtenidos durante la campaña de validación original. Cualquier cambio en alguno de ellos —ya sea debido al uso de un nuevo agente, a una reconfiguración de la sala o a una actualización del generador de peróxido de hidrógeno vaporizado— debe considerarse un motivo para volver a verificar la función de descontaminación.

La causa más habitual de los cambios no planificados en el ciclo de VHP es un fallo del equipo: un generador que se ha reparado con componentes que no son del fabricante original, una boquilla de distribución que se ha recolocado tras una modificación de la sala, o un lecho catalítico que se ha degradado y que ahora alarga el tiempo de recuperación más allá del intervalo validado. Cada uno de estos factores crea una discrepancia práctica entre el ciclo validado y el ciclo que se está ejecutando en la práctica. Si no se ha realizado una prueba de desafío con un indicador esporicida en las condiciones modificadas, la afirmación sobre la eficacia del ciclo carece de fundamento.

Las reparaciones importantes en la estructura de la sala —sellado de penetraciones, reparaciones de las paredes de contención de presión, modificaciones en los desagües del suelo o sustitución de las juntas de las ventanas— afectan a la integridad de la sala de formas que inciden directamente tanto en la contención de la presión como en el rendimiento del ciclo de VHP. Un sellado de penetración reparado que presente fugas bajo el diferencial de presión negativa también permitirá la salida de VHP durante la descontaminación, lo que reducirá la concentración interna y podría invalidar el cálculo del tiempo de permanencia. La misma barrera física cumple ambas funciones, por lo que cualquier daño o reparación en la misma debería dar lugar a una evaluación de ambas.

La decisión sobre si una reparación alcanza el nivel necesario para activar la reverificación suele depender de cómo se definieron los límites en la cualificación original. Si en la cualificación se especificaron ubicaciones concretas de penetración y materiales de sellado como parte de la configuración aceptada, cualquier cambio en dichos elementos constituye una desviación documentada respecto al estado aceptado. Para los equipos que llevan a cabo la secuencia de reverificación de los sistemas VHP, la estructura de cualificación descrita en el Protocolo de validación de VHP ofrece un marco útil para determinar qué debe incluir la evidencia original y qué parámetros son fundamentales a la hora de volver a cuestionarlos. La integridad de los sellos neumáticos en los puntos de acceso del personal también está relacionada con la contención del VHP durante el funcionamiento del ciclo—junta neumática puertas APR son un factor de diseño relevante en este caso, ya que el rendimiento del inflado de las juntas afecta tanto a la integridad de los límites de presión como a la contención del ciclo.

Límite entre las decisiones de mantenimiento y las de control de cambios

El punto conflictivo en la mayoría de los programas de reverificación no es el cambio claramente importante ni la tarea claramente rutinaria, sino la amplia categoría intermedia de actividades en las que la clasificación es realmente ambigua. La sustitución de una junta cuando existe una alternativa disponible, un parche de software descrito como limitado a funciones de generación de informes, un ajuste del punto de consigna de presión para resolver una alarma falsa: cada uno de estos casos se sitúa en un límite de decisión en el que la clasificación correcta depende de cuestiones objetivas que, a menudo, no se plantean.

El principio subyacente es sencillo: el mantenimiento preserva el estado aceptado; un cambio puede modificarlo. La dificultad radica en que el “estado aceptado” viene definido por el registro de cualificación, y estos registros varían considerablemente en cuanto a la precisión con la que describen la configuración aceptada. Un registro de cualificación que especifique los números de modelo de los sensores, las cadenas de versión del software y los grados de los materiales de las juntas proporciona a los responsables de la cualificación una base concreta sobre la que trabajar. En cambio, uno que solo describa resultados funcionales —”la sala mantiene un diferencial de −15 Pa”— deja un margen de interpretación más amplio para la sustitución de componentes.

La prueba práctica para cualquier actividad ambigua consiste en preguntarse si las pruebas de calificación generadas durante la aceptación inicial seguirían describiendo el sistema una vez finalizado el trabajo. Si se sustituye un sensor por una unidad OEM idéntica en el mismo punto de instalación, la evidencia no varía. Si la sustitución se realiza mediante un sensor alternativo con un tiempo de respuesta o una clase de precisión diferentes, es posible que la evidencia ya no represente el hardware instalado, incluso si el nuevo sensor cumple con una especificación nominal sobre el papel. Este segundo caso requiere una evaluación formal antes de que se prosiga con el trabajo, y no una vez finalizado.

El coste derivado de una clasificación errónea se extiende en ambas direcciones. Clasificar en exceso el mantenimiento como «cambio» genera una carga administrativa innecesaria y ralentiza las reparaciones que deben realizarse con rapidez. Por el contrario, clasificar en exceso los cambios como «mantenimiento» acumula desviaciones no documentadas respecto al estado aceptado, que resultan difíciles de revertir durante una auditoría o la investigación de un incidente. Un umbral práctico —basado en si el trabajo afecta a una barrera crítica, una vía de flujo de aire, una alarma o una función de descontaminación— reduce la ambigüedad en el momento en que hay que tomar la decisión.

Umbral de reverificación para las funciones críticas de contención

La reverificación debe considerarse una obligación de evaluación que se activa en función de condiciones específicas, y no una campaña de recalificación a gran escala que se ponga en marcha ante cualquier cambio. Esta distinción es importante porque los requisitos de recalificación generalizados generan una presión que lleva a ocultar o clasificar erróneamente los cambios, lo cual es justo lo contrario del efecto deseado. En la práctica, resulta más útil establecer un umbral estructurado basado en la función afectada.

Las funciones críticas de contención en un sistema BSL-3 o BSL-4 pueden agruparse en tres categorías: integridad de las barreras físicas (filtración HEPA, estanqueidad de la envolvente de la sala, rendimiento de las puertas de la esclusa), control direccional del flujo de aire (presiones de la sala, cascada de presión, enclavamientos de los ventiladores) y eficacia de la descontaminación (parámetros del ciclo de VHP, supervisión del ciclo, integridad de la sala durante la descontaminación). Cualquier cambio que afecte directamente a los datos de rendimiento de una de estas categorías debe dar lugar a una evaluación formal de reverificación. La evaluación puede concluir que no es necesario realizar nuevas pruebas —por ejemplo, en el caso de una sustitución por un componente equivalente con coincidencia documentada de piezas—, pero dicha conclusión debe registrarse, no darse por sentada.

El umbral para volver a realizar pruebas, en lugar de limitarse a una mera evaluación, suele alcanzarse cuando: no se puede demostrar que los datos de rendimiento aceptados sigan representando la configuración posterior al cambio; se ha introducido un nuevo estado operativo para el que no existe evidencia previa de aceptación; o se ha modificado una función crítica para la seguridad (enclavamiento, alarma, respuesta ante un fallo del sistema de escape) de tal forma que cambia su secuencia de respuesta. Se trata de condiciones, no de normas prescriptivas, y el Manual de Bioseguridad en Laboratorios de la OMS, 4.ª edición, establece principios similares en torno al mantenimiento de condiciones de contención verificadas como un programa continuo, en lugar de como un hito final de la puesta en servicio.

Un error habitual es considerar la reverificación como una actividad que se lleva a cabo únicamente tras el cambio. Los programas más sólidos incluyen una evaluación de impacto previa al cambio como primer paso: antes de que se autorice cualquier trabajo en un sistema de contención crítico, una evaluación formal determina si el trabajo previsto es de mantenimiento o de modificación y, en caso de ser una modificación, cuál es el alcance adecuado de la reverificación. De este modo se crea un registro que demuestra que la decisión se tomó antes de que se realizara el trabajo, lo cual es mucho más fácil de justificar que una justificación a posteriori elaborada después de que un inspector haya identificado una modificación no documentada.

La implicación práctica de todo lo anterior es que los programas de reverificación funcionan mejor cuando las categorías de activación se definen con la precisión suficiente para que los equipos de mantenimiento e ingeniería las apliquen de forma coherente en la fase de planificación, y no se reconstruyan a posteriori durante una revisión de desviaciones. Las categorías —cambios en los filtros HEPA y sus carcasas, actualizaciones del sistema de control y del software, modificaciones de la presión y el flujo de aire de la sala, cambios en el ciclo de VHP y en los materiales de la sala, así como cualquier modificación de un enclavamiento o alarma crítica para la seguridad— abarcan la gran mayoría de las intervenciones que pueden alterar el estado aceptado de un sistema de alta contención.

Antes de que un equipo de cualificación finalice su procedimiento de control de cambios, conviene confirmar tres cuestiones: ¿Enumera el procedimiento de forma explícita las funciones de contención que dan lugar a una evaluación de impacto obligatoria? ¿Distinguen claramente los criterios de clasificación de mantenimiento entre la sustitución por un recambio original del fabricante (OEM) y la sustitución por un producto declarado equivalente? ¿Y especifica la definición del alcance de la reverificación qué pruebas de aceptación se aplican a cada categoría desencadenante, de modo que las pruebas requeridas se definan de antemano en lugar de negociarse una vez que el cambio ya se ha completado? Responder a estas preguntas durante el diseño del programa evita las disputas sobre la clasificación y las desviaciones no documentadas que tienden a acumularse a lo largo de la vida útil de una instalación de nivel de seguridad biológico 3 (BSL-3) o 4 (BSL-4).

Preguntas frecuentes

P: ¿Se aplica este marco de reverificación si nuestra instalación de nivel de seguridad biológica 3 (BSL-3) fue homologada con arreglo a una norma nacional en lugar de a las directrices de la OMS o de EudraLex?
R: Sí, la lógica de activación se aplica independientemente de la norma que regulase la homologación original. El principio subyacente —que el mantenimiento que preserva el estado aceptado es distinto del trabajo que modifica las pruebas en las que se basaron las decisiones de aceptación— no es específico de ninguna norma. Lo que cambia es la redacción y el formato de la documentación exigidos por su autoridad reguladora, no si la alteración de la carcasa del filtro HEPA, la modificación de la lógica de control o los cambios en los parámetros del VHP invalidan las pruebas de aceptación previas. Asigne su registro de cualificación existente a las categorías de activación aquí descritas y aplique la misma disciplina de evaluación de impacto.

P: Una vez que una evaluación de reverificación concluye que no es necesario volver a realizar las pruebas, ¿qué documentación debe estar disponible antes de que el sistema vuelva a entrar en servicio?
R: La conclusión de la evaluación debe ser, en sí misma, un documento formal y fechado, y no un acuerdo informal entre el responsable de mantenimiento y el ingeniero de cualificación. Como mínimo, el registro debe indicar el evento desencadenante, las pruebas de aceptación específicas revisadas, los fundamentos objetivos para concluir que sigue siendo representativo tras el trabajo y el nombre del revisor autorizado. Este registro previo a la puesta en servicio es lo primero que buscará un inspector; una justificación a posteriori elaborada tras los hechos es mucho más difícil de defender que una decisión documentada antes de que el sistema fuera puesto en servicio.

P: ¿En qué momento los cambios incrementales acumulados —múltiples pequeños ajustes de los valores de consigna, sustituciones sucesivas de igual por igual, reequilibrios graduales— requieren, en su conjunto, una nueva verificación completa, aunque ningún evento concreto haya superado el umbral?
R: La deriva acumulada se convierte en un factor desencadenante de una nueva verificación cuando ya no se puede demostrar que la configuración instalada y en funcionamiento coincida, en su conjunto, con el registro de aceptación original. Es posible que ningún evento por sí solo invalide las pruebas, pero si los puntos de consigna de presión, los modelos de sensores, los materiales de las juntas y las curvas de los ventiladores se han desplazado de forma incremental, la combinación de estos factores puede dar lugar a un sistema que las pruebas de aceptación nunca caracterizaron. Una medida de seguridad práctica es la conciliación periódica de la configuración —comparar el estado actual de la instalación con la configuración aceptada según un calendario definido— para detectar la deriva antes de que se agrave hasta el punto de que sea inevitable llevar a cabo una recalificación completa.

P: ¿Cómo influye la capacidad de realizar pruebas HEPA in situ en el equilibrio entre el alcance y el coste para las instalaciones que deben decidir entre carcasas de filtro «bag-in/bag-out» y carcasas de filtro estándar?
R: La capacidad de comprobación in situ modifica considerablemente la curva de costes de reverificación. Con tubo HEPA in situ En el caso de las configuraciones BIBO diseñadas para el acceso mediante escáner, la comprobación de la integridad del filtro y la carcasa tras una sustitución es una prueba delimitada y repetible que puede realizarse durante la misma ventana de mantenimiento. Sin ese acceso, comprobar el plano de sellado requiere un desmontaje parcial o aceptar un mayor grado de incertidumbre. En el caso de los sistemas BSL-3/4, en los que cada sustitución de un filtro HEPA debe incluir una confirmación de la integridad tras la reinstalación, la posibilidad de realizar la prueba in situ reduce la carga que supone la reverificación por cada evento lo suficiente como para influir en la comparación de los costes a lo largo de la vida útil entre los distintos tipos de carcasas.

P: ¿Es necesario volver a realizar la verificación cuando una sala BSL-3 deja de utilizarse durante un periodo prolongado y posteriormente se vuelve a poner en servicio, aunque no se hayan realizado cambios físicos durante el periodo de inactividad?
R: Sí, la puesta en servicio tras períodos prolongados de inactividad justifica una evaluación formal, incluso si no se han registrado cambios. Las juntas y los sellos neumáticos pueden sufrir deformaciones por compresión o degradarse sin que se aprecie ningún fallo visible; los lechos catalíticos de VHP pueden haberse pasivado parcialmente; los cojinetes de los ventiladores y los actuadores de las compuertas pueden haberse desviado de sus posiciones calibradas. Y lo que es más importante, es posible que se hayan realizado ajustes no documentados en un sistema inactivo durante el período de inactividad que nunca se hayan registrado en el registro de control de cambios. Una evaluación de puesta en servicio que verifique la configuración actual frente al estado aceptado —y confirme los parámetros críticos de rendimiento antes de que la sala se utilice con agente activo— ofrece la misma protección que una evaluación de reverificación posterior al cambio.