SCADA registra un cambio de consigna con una cuenta compartida, una hora local que se repite durante el cambio estacional y ninguna relación con la receta activa. El valor existe, pero la evidencia es ambigua. La integridad de datos desde el diseño resuelve estas debilidades en adquisición, acciones, interfaces y conservación de registros.
El objetivo práctico es mantener información fiable durante su ciclo de vida. Este artículo se centra en decisiones de ingeniería de automatización: qué capturar, proteger, interpretar y reconstruir cuando el proceso funciona normalmente y cuando falla. La evaluación debe considerar el recorrido real de la información y las decisiones que dependen de ella.
Mapear el ciclo de vida alrededor de decisiones
Identifique información usada para controlar, revisar producción, investigar desviaciones y apoyar disposición. Sígala desde creación hasta procesamiento, transferencia, revisión, conservación y eliminación. Incluya servicios intermedios, exportaciones manuales y hojas de cálculo cuando formen parte del flujo real. Limitar el análisis a la aplicación principal puede omitir transformaciones importantes.
Determine originales y metadatos necesarios para cada decisión. Una observación puede necesitar unidad, origen, calidad y tiempo. Un cambio de receta puede necesitar identidad, valores, motivo y versión. Un cálculo puede requerir entradas y lógica. El uso previsto y los requisitos aplicables determinan qué evidencia debe conservarse.
[GUÍA] FDA, PIC/S y MHRA apoyan atención a información atribuible, legible, contemporánea, original, exacta, completa, consistente, duradera y disponible. Estos conceptos orientan la evaluación. Añadir la etiqueta ALCOA+ a una plataforma no demuestra que sus flujos configurados preserven esas cualidades.
Identificar originales y metadatos
Determine dónde la información se convierte en registro y qué transformaciones siguen. Un valor mostrado, una observación almacenada y un informe impreso pueden contener niveles distintos de información. Una exportación estática puede omitir relaciones dinámicas o metadatos. Defina si la copia conserva contenido y significado necesarios para su finalidad.
Resuelva qué sistema conserva evidencia autorizada. Si el registro está distribuido entre controlador, historian y MES, establezca relaciones estables y responsabilidades de recuperación. Un enlace a la tendencia actual predeterminada es más débil que una referencia controlada al equipo, periodo y contexto correctos.
La configuración forma parte de la interpretación. Escala, unidades, asignación de tags, cálculos y recetas pueden modificar significado. Conserve historia o referencias pertinentes. Reutilizar una identidad para otro sensor sin documentar la transición puede volver engañosas las observaciones antiguas aunque sus números no cambien.
Diseñar audit trails para cambios relevantes
Identifique creación, modificación y eliminación que requieren historia protegida según marco y uso. Defina contenido, protección, revisión y recuperación. Un registro técnico puede mostrar reinicios y omitir valores anteriores y nuevos de una receta. La cobertura debe evaluarse frente a su finalidad real.
Desafíe todas las rutas: pantalla, herramienta de ingeniería, API, administración de base de datos e importación. Proteger la interfaz habitual es insuficiente si otra vía permite cambios relevantes sin controles equivalentes. Elimine rutas innecesarias y establezca supervisión de la actividad privilegiada que siga siendo necesaria.
Controle la configuración del propio audit trail. Determine quién puede activarlo, desactivarlo o modificarlo, cómo se detecta y qué ocurre si falla almacenamiento o captura. Marcar una casilla no prueba cobertura. Ensaye cambios representativos, intentos rechazados y recuperación de la historia generada.
Separar eventos, alarmas y evidencia de auditoría
Los eventos describen ocurrencias; las alarmas solicitan atención definida; la evidencia de auditoría reconstruye acciones y cambios. Una ocurrencia puede aparecer en varios registros con finalidades distintas. Reconocer una alarma no demuestra resolución. Un acceso de seguridad no explica necesariamente qué parámetro productivo se cambió.
Defina correlación entre registros mediante equipo, lote, identidad y tiempo. El revisor no debería adivinar relaciones a partir de nombres parecidos o momentos aproximados. Preserve contexto cuando exporte para una investigación y controle copias y permisos según su uso.
[RECOMENDACIÓN GUIDEGXP] Durante diseño, pida reconstruir un cambio conocido con la evidencia disponible. Si la explicación depende de la memoria del desarrollador, identifique qué falta. Corregir la adquisición de contexto antes de liberar suele ser más eficaz que intentar reconstruirlo después.
Tratar el tiempo como dependencia compartida
Defina fuentes aprobadas y cómo obtienen tiempo controladores, servidores, estaciones y adquisición. NTP u otro mecanismo ayuda, pero necesita configuración, conectividad y detección de fallos. Especifique respuesta ante pérdida de sincronización y detección de desviación conforme a las necesidades evaluadas.
Distinga tiempo de origen, adquisición y procesamiento. Un dato recuperado de un buffer debe conservar el momento del evento necesario para interpretar, no parecer una observación nueva al reconectar. Cuando haya varias marcas, explique su significado y cuál se utiliza en informes y cálculos.
Controle zonas y cambios estacionales. Conserve contexto suficiente para distinguir horas repetidas. Evalúe correcciones del reloj sobre secuencias, cálculos y certificados. No invente un límite universal GMP de desviación ni una frecuencia de sincronización; derive el comportamiento aceptable del proceso y del registro.
Conseguir acceso atribuible y proporcionado
Defina roles de producción, supervisión, mantenimiento, ingeniería, administración y revisión. Asigne permisos según funciones y separación necesaria. La responsabilidad individual es esencial cuando las acciones deben atribuirse. Las cuentas humanas compartidas debilitan esa atribución salvo un esquema justificado que la conserve mediante controles fiables.
Gestione cuentas de servicio separadamente: propietario, finalidad, funciones y ciclo de credenciales. Evite utilizar identidades privilegiadas para la operación rutinaria. Controle altas, cambios y bajas, incluidos movimientos de personal y acceso de proveedores. La configuración debe reflejar quién necesita actuar ahora, preservando interpretación histórica.
Diseñe acceso de emergencia practicable. Defina autorización, duración, vigilancia y revisión posterior considerando pérdida de identidad central. Un control imposible de utilizar en un incidente creíble incentiva atajos. Justifique sesiones y autenticación para el sistema sin copiar reglas numéricas como si fueran universales.
Proteger significado en interfaces y cálculos
Los datos pueden perder integridad sin manipulación maliciosa. Una conversión incorrecta, duplicado, identificador truncado o calidad ignorada cambia significado. Defina semántica y verifique transacción completa. El transporte seguro protege el canal, pero no demuestra interpretación correcta por el receptor.
Controle resultados derivados. Preserve población de entrada, versión y tratamiento de ausencias o exclusiones cuando sean necesarios. Compruebe ejemplos conocidos y límites. Un informe que omite huecos silenciosamente puede producir un resultado plausible ocultando un registro incompleto.
El artículo de integración GMP trata confirmación, duplicados y conciliación. Incluya requisitos de integridad en contratos y aceptación concretos, en lugar de limitarse a una declaración general de política del proyecto.
Separar copia, archivo y eliminación
La copia permite recuperar pérdidas; el archivo mantiene acceso durante un periodo definido. Determine datos, configuración, metadatos y dependencias de cada uno. Una base de datos sin configuración o claves puede no permitir reconstruir registros interpretables, aunque el archivo de copia exista.
Derive conservación de obligaciones y política aprobada. Coordine eliminación entre sistemas para no borrar observaciones o historia necesarias mientras sobreviven registros dependientes. Restrinja derechos y conserve evidencia de disposición autorizada cuando corresponda. Planifique capacidad para población retenida y crecimiento realista.
Pruebe restauración y archivo con registros representativos y versiones históricas. Verifique contenido, relaciones, acceso e interpretación. Un estado de trabajo satisfactorio no equivale a restauración correcta. Consulte la arquitectura MES e historian para propiedad distribuida y completitud.
Hacer de la revisión una capacidad operativa
Defina quién revisa qué, con qué finalidad y escalado. Alcance y momento dependen de registros, riesgo y requisitos. No imponga un intervalo universal de revisión del audit trail. El proceso debe detectar problemas significativos sin generar una carga indiferenciada que haga impracticable la evaluación.
Proporcione búsqueda y filtros que conserven contexto. Verifique reglas e integridad de informes de excepción. Distinga ausencia de evento relevante, datos no disponibles y consulta no ejecutada. Registre decisiones y vincule hallazgos abiertos con el proceso de investigación correspondiente.
La formación explica significado técnico: comando rechazado, acción completada, configuración cambiada y observación recibida tarde son diferentes. El sistema debe facilitar esas distinciones mediante información clara. No debería exigir interpretación técnica informal para entender una acción productiva habitual.
Construir evidencia de aceptación dirigida
| Aspecto | Desafío | Evidencia esperada |
|---|---|---|
| Atribución | Dos usuarios realizan cambios distintos | Identidad y contexto correctos en historia protegida |
| Tiempo | Datos almacenados llegan después de interrupción | Origen distinguible de recepción |
| Cobertura | Cambio por otra ruta permitida | Historia equivalente o prevención de la ruta |
| Completitud | Falla adquisición o almacenamiento de auditoría | Detección, respuesta y límite visible |
| Conservación | Recuperación tras cambio de configuración | Valores, metadatos y contexto legibles |
Seleccione pruebas según funciones y fallos evaluados. Conserve identidad de configuración y observaciones reales. Un certificado genérico del proveedor o una demostración de acceso no demuestran integridad completa. La evidencia debe responder a cómo se genera, transforma y utiliza cada clase relevante de información.
Ejemplo: ajuste de receta durante retención
Un proceso ilustrativo permite al supervisor ajustar un parámetro dentro de límites aprobados durante una retención. El diseño inicial solo guarda el valor final en el informe. No distingue el valor aprobado inicial del ajuste ni identifica a la persona responsable.
El diseño revisado conserva versión, valores anterior y nuevo, identidad, tiempo, motivo y lote. Muestra el cambio pendiente y conserva respuesta real del controlador. Si se pierde comunicación, no declara éxito antes de recibir la confirmación definida. El registro distingue solicitud de cambio aplicado.
La aceptación incluye ajuste permitido, intento fuera de rango, acceso no autorizado e intercambio interrumpido. El revisor reconstruye cada resultado. Los controles derivan del uso de este proceso; el ejemplo no implica que todo cambio de parámetro requiera universalmente el mismo circuito de aprobación.
Resolver límites de equipos antiguos y servicios externos
Un equipo empaquetado puede tener identidad, auditoría o exportación limitadas. Evalúe las limitaciones reales sin asumir que una nueva supervisión las corrige. El historian central no puede reconstruir un cambio local no registrado únicamente por observar el valor resultante.
Identifique controles compensatorios prácticos, documentados y proporcionados y valore si resuelven el riesgo. Algunas limitaciones necesitan modificación o reemplazo. Asigne responsabilidad y plan de ciclo de vida, evitando que medidas manuales temporales se conviertan en práctica indefinida sin evaluación.
Los servicios del proveedor necesitan responsabilidades de acceso, configuración, conservación, incidentes y recuperación. Confirme que la planta obtiene registros y contexto si cambia o termina el servicio. La propiedad contractual es útil cuando existe un método practicable de extracción e interpretación, demostrado con ejemplos representativos.
Verificar copias y exportaciones utilizadas en revisión
Seleccione una exportación habitual y compárela con la información original necesaria para su finalidad. Revise identidad, unidades, tiempo, calidad, cambios y relaciones. Una hoja con cifras correctas puede perder la explicación de un valor inválido o de una corrección. Documente qué conserva y qué requiere consultar en la fuente.
Si la exportación se utiliza como evidencia formal, controle generación, versión y acceso. Si solo facilita exploración, haga comprensible esa condición dentro del flujo de trabajo. La decisión debe evitar que una copia incompleta se convierta por costumbre en la única base de una evaluación GMP.
Responsabilidad durante el ciclo de vida
[REQUISITO REGULATORIO] Aplique controles pertinentes de sistemas y documentación. Anexo 11 y capítulo 4 operativos seguían siendo los de 2011; las propuestas de 2025 eran borradores. Part 11 depende de registros, firmas y reglas subyacentes. Las guías ayudan a interpretar y no son legislación intercambiable.
[GEP] Mantenga controles frente a cambios, incidentes, soporte y retirada. Reevalúe registros afectados por adquisición, identidad, mapas o informes. Conecte este trabajo con Environmental Monitoring Systems y Automation & Digital Systems, conservando siempre el contexto específico de la decisión.
Referencias primarias
Revisado el 23 de septiembre de 2026: EudraLex, volumen 4; 21 CFR Part 11; FDA CGMP, diciembre de 2018; PIC/S PI 041-1, julio de 2021; MHRA, marzo de 2018. La nota posterior de precedencia OCDE de MHRA se refiere a GLP y no retira globalmente la orientación GMP.
