En inspección, la pregunta llega siempre con la misma forma: enséñeme el diferencial de presión entre la sala de llenado y su background durante el lote. Aparecen dos archivos. El BMS guarda una tendencia continua, pero los valores ya vienen promediados en un intervalo del integrador, su reloj se ha desalineado y el set point se cambia con credenciales compartidas. El EMS registra el mismo parámetro con otra lógica de muestreo y un audit trail real, pero desde una sonda cuya posición ningún documento de cualificación justifica. Ninguno de los dos responde solo, y juntos se contradicen.
El problema no es tecnológico: ambos sistemas funcionan. Falta la decisión, previa y escrita, sobre qué sistema guarda el record GMP de cada parámetro, con qué granularidad y bajo qué controles de acceso. Es arquitectura, no parametrización: cambiarla tras la puesta en marcha obliga a rehacer validación y procedimientos. La visión de conjunto está en el hub Cleanrooms & HVAC Systems.
Por qué la frontera BMS/EMS se paga tres veces
En licitación, un pliego que pide un BMS con monitoring ambiental recibe ofertas incomparables: quien valora historian, roles, audit trail y validación pierde frente a quien solo valora la supervisión. La brecha nace antes, cuando la URS de cleanroom y HVAC no declara qué datos son records GMP. En cualificación, quien guarda el record es un sistema informatizado GMP a validar según el Anexo 11. En explotación se pagan los silenciamientos reflejos de una alarmística no racionalizada; en el ciclo de vida, la obsolescencia, porque sustituir el historian sin prever la migración cuesta la legibilidad de los records.
Marco regulatorio: qué condiciona realmente el monitoring
| Fuente | Estado / fecha | Qué condiciona realmente |
|---|---|---|
| EudraLex Vol. 4, Anexo 1 | C(2022) 5938 final, aplicable desde el 25 de agosto de 2023 | §4.16: indicadores instalados, criticidad evaluada en CCS, diferenciales críticos registrados en continuo y con alarma. §2.1–2.5: monitoring con base QRM. §4.25: diferencial, temperatura y humedad en cualificación. §6.1–6.6: utilities y trend analysis. Sección 9: perímetro distinto |
| EudraLex Vol. 4, Anexo 11 | Revisión de enero de 2011, operativa desde el 30 de junio de 2011 | Ciclo de vida del sistema informatizado: risk management (1), proveedores (3.1–3.4), validación e inventario (4.1–4.8), almacenamiento y restore (7.1–7.2), audit trail (9), change (10), periodic evaluation (11), accesos (12) |
| EudraLex Vol. 4, Anexo 15 | Revisión 2015, operativa desde el 1 de octubre de 2015 | URS, DQ, FAT/SAT e IQ/OQ/PQ aplicados al sistema de monitoring; change control |
| 21 CFR 211.42(c)(10), 211.46, 211.68; Part 11 y guidance FDA 2003 | eCFR actualizado a 27 de agosto de 2026 | Temperatura, humedad y monitoring ambiental para aséptico; calibración con programa escrito, cambios en los records solo por autorizados, backup; ninguna cifra. Part 11: aplicabilidad por determinar |
| ISO 14644-2:2015 y -3:2019; PIC/S PI 009-4 | Voluntarias | Plan de monitoring risk-based; métodos de ensayo sin criterios de aceptación. PI 009-4 forma inspectores |
Qué se monitoriza y quién guarda el record
La tabla no enumera parámetros obligatorios: da el formato en que se escribe la decisión, línea a línea, desde la CCS y el risk assessment.
| Parámetro | Por qué se monitoriza | Quién guarda el record | Pregunta de data integrity |
|---|---|---|---|
| Diferencial entre salas adyacentes de grado distinto | Dirección del aire y separación; en los críticos, registro continuo con alarma [REQUISITO]; 10 Pa mínimo como guidance [GUIDANCE] | Sistema declarado GMP en la CCS, el EMS en los puntos críticos | ¿Quién cambia set points y umbrales, y dónde queda la traza? |
| Temperatura y humedad relativa | Condiciones de proceso, gowning, electrostática; parámetros de cualificación | El EMS si el valor concurre al juicio del lote | ¿Se archiva el dato bruto o una media elaborada? |
| Airflow de sistemas unidireccionales | Protección de componentes abiertos; 0,36–0,54 m/s en la working position, guidance [GUIDANCE] | Sistema declarado en la CCS, punto de medida justificado | ¿Sigue siendo la posición cualificada? |
| Estado de AHU y ventiladores, conmutación duty/standby | Un cambio de configuración altera las condiciones cualificadas | BMS, evento replicado en el record GMP | ¿Evento asociable a la ventana del lote? |
| Diferencial de presión en filtros | Estado de la filtración, base del mantenimiento | BMS como sistema técnico; ningún umbral universal oficial | ¿Criterio de intervención escrito o empírico? |
| Partículas y contaminación microbiológica | Monitorización ambiental y de proceso, sección 9 del Anexo 1 | Sistemas dedicados de environmental monitoring | Perímetro distinto, del programa EM |
Ubicación de sondas y criticidad de la instrumentación
El punto de medida forma parte del record: una toma de presión junto a una boca de impulsión da datos ciertos y sin significado. La posición se decide con el esquema de flujos y la cascada de presiones, se congela en los as-built.
Un instrumento es crítico si tiene impacto directo en la calidad o genera un record GMP. Entonces exige calibración trazable, tratamiento de desviaciones, change control y presencia en inventario. Declararlo todo crítico es la vía más rápida para no mantener nada. Ninguna fuente oficial fija una frecuencia de calibración: el intervalo se determina por criticidad, deriva histórica y datos del fabricante [QRM].
Arquitectura: PLC, SCADA, BMS, EMS, historian
La cadena es la misma: instrumentación de campo, autómatas programables, supervisión, historian. El BMS conduce la instalación y gestiona set points, secuencias y conmutaciones; el EMS produce la evidencia GMP, con requisitos orientados a conservación y reconstrucción. Confundir ambos papeles da un sistema que regula bien y testimonia mal.
Tres arquitecturas son practicables: un EMS independiente con instrumentación propia; un EMS alimentado por el BMS, que reduce la duplicación pero somete el intercambio electrónico de datos a la cláusula 5 del Anexo 11; un BMS único declarado sistema GMP, legítimo si se le aplica el Anexo 11 completo. La elección se justifica y se mantiene coherente con la arquitectura HVAC.
Alert, alarm y racionalización de alarmas
En el lenguaje de sistemas el alert señala una condición que pide atención y el alarm una que pide acción: son niveles de automatización, distintos de los niveles de alerta y acción del monitoring ambiental. Mezclar ambos vocabularios genera procedimientos donde el operador no sabe si atiende un evento de instalación o de calidad.
La racionalización es una actividad documentada y aprobada. Para cada alarma se declaran magnitud y umbral, destinatario, acción esperada, prioridad, criterio de cierre y el documento que lo justifica. Una alarma sin destinatario ni acción esperada es ruido, y el ruido enseña a silenciar. Ningún número de alarmas es universalmente aceptable: la carga se mide con datos de la planta y se reduce bajo change control. Retardos e histéresis se justifican sobre la dinámica de la sala y se verifican en OQ; los umbrales se tratan en temperatura, humedad y presión.
Data integrity: el Anexo 11 aplicado al monitoring
El Anexo 11 vigente es la revisión de enero de 2011. Las cláusulas 3.1–3.4 imponen evaluación documentada del proveedor y del service provider y acuerdos formales de responsabilidad: ahí encaja el integrador del BMS. Las 4.1–4.8 piden validación proporcionada al riesgo, inventario con BMS, EMS y estaciones locales, URS basada en risk assessment, pruebas documentadas y control de la migración de datos. La 6 añade un control de la exactitud de los datos introducidos a mano, lecturas de manómetro incluidas.
La 7.1 pide protección de los datos archivados y verificación periódica de su accesibilidad y legibilidad; la 7.2, backup y seguimiento periódico del restore, es decir probarlo, no solo comprobar que se lanzó. La 8 quiere impresiones que muestren si el dato se modificó tras la adquisición; la 9, audit trail generado por el sistema y revisado con periodicidad definida y justificada. Las 10 y 11 gobiernan change management y periodic evaluation, que no coincide con la recualificación del Anexo 1 §4.32, de máximo 6 meses en grados A y B y 12 en C y D [REQUISITO].
Las cláusulas 12.1–12.4 son donde más caen los sistemas HVAC: acceso limitado a autorizados, registro de los cambios de autorización, identidad y fecha-hora en cada modificación de dato crítico. Un usuario de mantenimiento compartido entre contrata y planta es incompatible con ellas, que además hacen exigente la sincronización horaria: una fuente de tiempo única para todos los sistemas del record. Como regulatory watch, el borrador de revisión del Anexo 11 y el propuesto Anexo 22, en consulta del 7 de julio al 7 de octubre de 2025, no están adoptados a 30 de agosto de 2026.
21 CFR Part 11: aplicabilidad por determinar
La Part 11 no se aplica automáticamente porque un sistema sea electrónico: depende del mercado servido y de una predicate rule que imponga ese record; en apoyo al aséptico, los candidatos son 21 CFR 211.42(c)(10) y 211.68. La evaluación se documenta sistema a sistema y record a record. La guidance de septiembre de 2003 declara enforcement discretion sobre validación, audit trail y copia de los records, pero afirma que «part 11 remains in effect»: la discrecionalidad no cubre controles de acceso ni firmas electrónicas.
Acceso remoto y ciberseguridad
El acceso remoto de asistencia debe ser nominativo, trazado, limitado en tiempo y privilegios, y cubierto por el acuerdo con el service provider. La ciberseguridad no es requisito explícito del Anexo 11 de 2011, pero un sistema comprometido no está validado: segmentación de red, parches bajo change control y vigilancia de accesos sostienen las cláusulas 12 y 16 [GEP].
Decisiones que se justifican con QRM
ICH Q9(R1), Step 4 el 18 de enero de 2023, es metodología y no contiene parámetros de monitoring; su Anexo II.4 sí aplica el QRM a facilities, equipment y utilities. La formalidad como continuo (§5.1) gradúa profundidad de validación y periodicidad de revisión del audit trail; subjetividad y sesgo (§5.3) explican por qué la criticidad de los instrumentos no la decide solo el ingeniero de automatización. FMEA, HAZOP y risk ranking and filtering ordenan puntos de medida, alarmas y privilegios [QRM].
Ejemplo de aplicación: Planta Vega
Planta Vega es un ejemplo realista pero ficticio: un área de grado C y D con BMS preexistente y EMS añadido después solo para partículas. Una periodic review muestra que los diferenciales críticos solo los registra el BMS, que su audit trail ignora los cambios de set point y que dos estaciones tienen relojes desincronizados.
El BMS no se sustituyó. Los diferenciales críticos pasaron al EMS con sondas dedicadas; en los puntos no críticos el BMS siguió como sistema técnico, declarado así en la CCS; los usuarios compartidos dieron paso a perfiles nominativos y se declaró una fuente horaria única. La recualificación se planificó aparte de la periodic evaluation, como en recualificación y retrofit.
Matriz de decisión: quién guarda el record GMP
| Criterio de evaluación | Peso | EMS independiente | EMS alimentado por el BMS | BMS único sistema GMP |
|---|---|---|---|---|
| Separación entre control y evidencia | Máxima | Parcial | Ninguna | |
| Record disponible con BMS parado | Mantenido | Por verificar | Perdido | |
| Alcance de la validación Anexo 11 | Solo EMS | EMS e interfaz | Todo el BMS | |
| Duplicación de instrumentos y calibraciones | Elevada | Reducida | Ninguna | |
| Obsolescencia y migración de datos | Acotadas | Dos ciclos de vida | Impacto pleno |
Niveles de prescriptividad
| Afirmación | Nivel | Fuente |
|---|---|---|
| Diferenciales críticos registrados en continuo, con alarma | [REQUISITO] | Anexo 1 §4.16 |
| Audit trail revisado, restore probado, accesos trazados | [REQUISITO] | Anexo 11, cláusulas 9, 7.2, 12.1–12.4 |
| Recualificación: máximo 6 meses en grados A y B, 12 en C y D | [REQUISITO] | Anexo 1 §4.32 |
| Mínimo 10 Pa entre salas adyacentes de grado distinto | [GUIDANCE] | Anexo 1 §4.14, guidance value |
| Aplicabilidad de la Part 11 por determinar y documentar | [GUIDANCE] | Guidance FDA, septiembre 2003 |
| Plan de monitoring risk-based; métodos sin criterios | [STANDARD] | ISO 14644-2:2015; ISO 14644-3:2019 |
| Fuente horaria única y segmentación de red | [GEP] | Buena práctica de ingeniería |
| Calibraciones, retardos e histéresis, periodicidad de revisión | [QRM] | Por justificar con análisis de riesgo |
| El sistema que guarda el record se declara en CCS y URS | [GUIDEGXP] | Recomendación GuideGxP |
Checklist operativa
- Declarar en la CCS los parámetros críticos y quién guarda su record.
- Trasladar la decisión a la URS, con los entregables de validación.
- Clasificar la instrumentación por criticidad y mantenerla bajo change control.
- Aprobar la posición de las sondas y congelarla en los as-built.
- Incluir BMS, EMS y estaciones locales en el inventario de sistemas.
- Eliminar usuarios compartidos y registrar los cambios de permisos.
- Declarar una fuente horaria única y gestionar el cambio de hora.
- Justificar la periodicidad de revisión del audit trail y guardar evidencia.
- Probar el restore de los datos históricos y guardar el informe.
- Dar a cada alarma destinatario, acción esperada y criterio de cierre.
- Verificar retardos e histéresis en OQ sobre la dinámica de la sala.
- Planificar la periodic evaluation por separado de la recualificación.
Errores recurrentes y red flags
- No haber decidido nunca qué sistema guarda el record: la decisión aflora en inspección.
- Archivar medias calculadas por el controlador y llamarlas dato bruto.
- Declarar la Part 11 aplicable o no sin evaluación documentada.
- Presentar como vigentes el Anexo 11 revisado o el Anexo 22, no adoptados a 30 de agosto de 2026.
- Confundir la periodic evaluation con la recualificación del Anexo 1.
- Backups regulares sin prueba de restauración documentada.
Para convertir estos principios en documentos que aguanten inspección, The Pragmatic GMP es la newsletter de GuideGxP: análisis breves sobre cualificación, HVAC y contaminación, desde su página dedicada.
Puntos clave
- El BMS controla, el EMS testimonia: quién guarda el record es elección de arquitectura a justificar.
- El Anexo 1 §4.16 impone registro continuo y alarma para los diferenciales críticos que fija la CCS.
- El Anexo 11 vigente es el de enero de 2011: revisión y Anexo 22 no adoptados a 30 de agosto de 2026.
- La Part 11 no se aplica por defecto: la aplicabilidad se determina y se documenta.
- Cada alarma debe tener destinatario, acción esperada y criterio de cierre.
- Calibraciones, retardos y periodicidad de revisión se justifican con datos de la planta.
