Una unidad puede seguir controlando temperatura mientras su historian está fuera de servicio y, aun así, no estar preparada para el siguiente lote porque falta el registro necesario. Esa distinción debe resolverse antes de comprar equipos. Un diagrama de PLC, SCADA, historian y MES está incompleto si no explica quién controla, quién conserva cada registro y qué sucede cuando desaparece una dependencia.
Una arquitectura farmacéutica adecuada parte del proceso, del uso previsto, de las necesidades documentales y de las consecuencias del fallo. No todas las instalaciones necesitan todas las capas. El objetivo es distribuir funciones y responsabilidades de forma que la solución pueda operarse, verificarse, mantenerse y finalmente retirarse.
Comenzar por el proceso y sus límites
Defina primero el alcance físico: una máquina de acondicionamiento, una sala de producción, servicios compartidos o una planta integrada. Identifique movimientos de materiales, estados y decisiones que necesitan coordinación. Un anillo de distribución y una instalación multiproducto pueden compartir infraestructura y tener necesidades muy distintas de respuesta, secuenciación y registros.
Separe tres límites. El de control indica dónde se ejecutan comandos y protecciones. El de información explica cómo las observaciones adquieren contexto y se convierten en registros. El de responsabilidad identifica quién opera, configura, mantiene y revisa. Estos límites pueden atravesar varios suministros y contratos.
[RECOMENDACIÓN GUIDEGXP] Revise la arquitectura mediante situaciones reales: iniciar lote, cambiar receta, retener unidad, perder servidor, recuperar comunicación e investigar desviación. Cada situación debe identificar decisiones, dependencias y evidencia. Un único contrato no elimina diferencias entre sistemas; varios contratos tampoco eliminan la necesidad de un responsable de integración.
Asignar funciones deliberadamente
El control de equipos actúa cerca de sensores y actuadores. El control de unidad coordina módulos y estados procedimentales. La supervisión presenta el proceso, gestiona comandos autorizados y puede coordinar unidades. El historian recoge información temporal. MES suele gestionar ejecución, contexto de materiales y flujos electrónicos de producción. Los sistemas empresariales aportan información comercial y reciben resultados acordados.
Un producto puede combinar varias funciones, por lo que su nombre no establece por sí mismo el límite. El control sensible al tiempo necesita una ubicación y respuesta justificadas. No haga depender un lazo crítico de una transacción empresarial solo porque exista conectividad. Evite también duplicar en PLC un flujo de trabajo que ya mantiene una aplicación de fabricación.
[NORMA] ISA-88 e ISA-95 ofrecen modelos y terminología para control por lotes e integración empresarial. Son referencias, no una obligación de comprar una pila fija de aplicaciones. El catálogo identifica ISA-88.00.01-2010 e ISA-95.00.01-2025. Su aplicación detallada requiere los documentos autorizados; aquí se propone una distribución funcional original de ingeniería.
Distinguir BMS, EMS y SCADA
Un BMS suele gestionar servicios del edificio; un EMS se orienta a la vigilancia ambiental definida; SCADA supervisa funciones industriales. Los alcances pueden solaparse, pero no son intercambiables por nombre. Determine qué sistema controla HVAC, cuál conserva datos utilizados para decisiones GMP y quién revisa alarmas y excursiones. Compartir un sensor o una pantalla no resuelve automáticamente independencia, propiedad del registro o responsabilidades de revisión.
Asignar propiedad de comandos, recetas y registros
Acompañe el plano de red con un registro de responsabilidades. Para cada objeto, identifique fuente autorizada, escritores permitidos, consumidores, estado de aprobación, versión y conciliación. Los parámetros maestros pueden residir en una aplicación y la receta ejecutable en otra. Defina relación de versiones, confirmación de transferencia y conservación de valores realmente ejecutados.
Guardar un parámetro en historian no lo convierte automáticamente en registro oficial de producción. Distinga datos para disposición, investigación, mantenimiento e informes empresariales. Un cálculo MES debe poder relacionarse con entradas y versión del algoritmo cuando sea necesario. Determine si un informe constituye un registro controlado, una copia fiel o una vista informativa.
Los comandos también necesitan autoridad. Si HMI local y SCADA central pueden modificar una consigna, defina prioridad, arbitraje y estado visible. La pérdida de supervisión no debe crear operadores contradictorios ni dejar cambios locales fuera de la historia relevante para comprender el proceso.
Comparar alternativas según el uso previsto
| Alternativa | Posible adecuación | Riesgo de decisión | Evidencia solicitada |
|---|---|---|---|
| Equipo autónomo con exportación controlada | Alcance y flujos limitados | Transferencia manual y contexto fragmentado | Exportación completa, revisión y recuperación |
| PLC múltiples con SCADA e historian comunes | Equipos modulares y supervisión compartida | Bibliotecas inconsistentes e interfaces sin propietario | Objetos comunes, contratos y pruebas de interrupción |
| DCS integrado con funciones batch | Unidades coordinadas y convenciones comunes | Dependencia de plataforma y cambios costosos | Ejecución, conmutación y mantenimiento |
| Control integrado con MES | Ejecución, genealogía y registros de producción | Flujos duplicados o registros ambiguos | Transacción completa, excepciones y conciliación |
Estas alternativas no constituyen una escala de madurez. Una solución pequeña y bien definida puede satisfacer mejor la necesidad que una arquitectura extensa con dependencias poco controladas. Las soluciones híbridas son habituales, pero exigen ingeniería explícita de interfaces y responsabilidades.
Diseñar adquisición para responder preguntas del proceso
Muestreo, captura de eventos y compresión determinan qué podrá saberse después. Empiece por la decisión: demostrar mantenimiento de una condición, investigar una excursión breve o calcular consumo. Considere dinámica del sensor, ejecución del controlador, latencia, almacenamiento temporal y conservación conjuntamente. La velocidad del PLC no garantiza resolución equivalente del registro histórico.
Defina tiempos de origen y recepción, sincronización y calidad. Una medida con fallo de comunicación no debe parecer actual y válida. Determine representación de valores ausentes, repetidos, tardíos y desordenados. Las tendencias deben mostrar huecos y distinguir interpolación de observaciones adquiridas cuando esto afecte a su interpretación.
[QRM] Justifique la adquisición según riesgo y uso. No existe una frecuencia universal GMP para historian. Demuestre que la configuración captura eventos y duraciones relevantes, incluyendo interrupciones realistas y límites del almacenamiento temporal. La evidencia debe corresponder a la configuración que realmente se entregará.
Separar disponibilidad y capacidad de recuperación
La disponibilidad mantiene servicio; la recuperación devuelve un estado aceptable tras una pérdida. Servidores redundantes pueden compartir almacenamiento, identidad, alimentación o una configuración defectuosa. Un segundo controlador no elimina una única ruta de red ni una descarga incorrecta. Identifique causas comunes antes de atribuir beneficios a la redundancia.
Para cada servicio importante, defina consecuencias de interrupción, operación degradada permitida y condiciones de retención o parada. Derive tiempo de recuperación y pérdida aceptable de las necesidades del proceso, registros y continuidad. Determine cómo sobreviven buffers, estado de lote y transacciones pendientes. Recuperar implica conciliación, además de reiniciar servicios.
Distinga replicación, copia y archivo. La replicación puede propagar corrupción. Una copia necesita software, configuración y claves para restaurarse. Un archivo debe seguir siendo recuperable e interpretable durante su conservación. Pruebe el procedimiento completo en un estado representativo y registre las condiciones que permitieron su éxito.
Tratar la integración como un acuerdo entre responsables
Especifique evento funcional, contenido, unidades, identificadores, estados permitidos y confirmación. Un mensaje entregado no equivale necesariamente a una transacción aceptada. Una orden ERP puede llegar antes de que MES conozca la revisión del material. Una fase puede anunciar finalización antes de que esté disponible su registro completo.
Defina reintentos, duplicados, orden, tiempos de espera, cuarentena y conciliación. Asigne vigilancia de colas y rechazos incluso fuera del horario ordinario. Un protocolo puede transportar correctamente datos cuyo significado difiere entre aplicaciones. Compruebe compatibilidad semántica mediante situaciones reales y no solo mediante conexión de extremos.
El artículo de integración de sistemas GMP desarrolla estos controles. Reserve desde la arquitectura capacidad y responsabilidad para ellos. Descubrirlos durante la puesta en marcha puede obligar a modificar contratos, operación y criterios de aceptación.
Integrar seguridad y administración
Mapee activos y comunicaciones necesarias antes de definir zonas y conductos. Separe intercambios justificados de acceso irrestricto por comodidad. Incluya estaciones de ingeniería, equipos portátiles, soporte remoto, gestión de infraestructura y copias. Una ruta de mantenimiento puede exponer producción aunque no aparezca en el diagrama del proceso.
Analice identidad como cualquier dependencia de control. Determine cómo afecta la pérdida de autenticación a operaciones en curso, trabajo privilegiado y nuevos accesos. Gestione cuentas de servicio y acceso de emergencia con responsabilidad definida. Los registros de seguridad y audit trails GMP pueden apoyar investigaciones relacionadas, pero tienen finalidades diferentes.
[GUÍA] NIST SP 800-82 revisión 3 aporta orientación OT; la revisión 4 era un borrador público inicial en la fecha de revisión. ISA/IEC 62443 aporta normas complementarias. Ninguna establece un diseño único de red aplicable a todas las plantas GMP.
Conseguir una estandarización mantenible
Estandarice comportamientos que reduzcan variación: objetos de equipo, nombres de estado, alarmas, patrones de interfaz, roles y cambios. Controle versiones de bibliotecas e identifique instalaciones que las utilizan. Una corrección necesita evaluar impacto en esas instalaciones. Código estándar no significa automáticamente código correcto para cualquier proceso.
Evalúe ampliaciones creíbles. Añadir un skid puede exigir licencias, almacenamiento, capacidad de ingeniería, cambios de red y más revisión. Compruebe carga máxima y fallos relevantes, además de demanda media. Justifique márgenes según proyecto sin convertir porcentajes arbitrarios en requisitos generales.
Valore dependencia del proveedor mediante exportación, acceso al código, propiedad de configuración, competencias y soporte. Los protocolos abiertos reducen algunas restricciones, pero los modelos de aplicación pueden seguir siendo propietarios. Describa una salida práctica que mantenga comprensibles recetas y datos históricos después de cambiar de plataforma.
Ejemplo: instalación modular de bioproceso
Una instalación ilustrativa contiene biorreactores de distintos proveedores, historian común y futura conexión MES. Cada skid controla su proceso. El equipo identifica parámetros aprobados, estado de fase y observaciones necesarias para intercambio. Mantiene control de tiempo real local y asigna órdenes y genealogía de materiales a MES.
El análisis de fallos descubre que MES podría cerrar una operación al recibir finalización aunque la transferencia histórica estuviera incompleta. Se introduce un estado distinto de integridad del registro y un flujo de conciliación. Al volver la conexión, se transmiten observaciones almacenadas con tiempo original y calidad. Los mensajes repetidos no duplican operaciones.
La aceptación incluye interrupción controlada durante una fase, comportamiento local conforme a estrategia, estado degradado visible, recuperación de observaciones y conciliación antes de revisión. Capacidad temporal y objetivos de recuperación se derivan de esta instalación; no se generalizan a todos los bioprocesos.
Liberar una decisión de ingeniería controlada
[REQUISITO REGULATORIO] Aplique el marco GMP según uso y jurisdicción. El Anexo 11 aborda sistemas informatizados; el capítulo 4, documentación; el Anexo 15, cualificación y validación. Los textos operativos del Anexo 11 y capítulo 4 seguían siendo los de 2011. Las propuestas de 2025 no los sustituyen. La aplicabilidad estadounidense de Part 11 depende de registros, firmas y reglas subyacentes.
[GEP] El paquete de arquitectura debe hacer revisables distribución funcional, límites, propiedad de datos, interfaces, fallos, seguridad y responsabilidades. Relacione decisiones críticas con la URS de automatización y con evidencia. Mantenga las suposiciones abiertas con responsable y condición de cierre antes de comprometer la compra.
Antes de aprobar, confirme que operadores y revisores reconocen estado y registro autorizados, que cada fallo tiene respuesta, que las excepciones tienen propietario y que puede restaurarse el conjunto. Considere también mantenimiento, cambios y retirada. Consulte Single-Use & Bioprocess Systems, Critical Utilities Systems y Automation & Digital Systems para el contexto de equipos.
Referencias primarias y estado
La aprobación también identifica decisiones pendientes que condicionan el diseño. Si una interfaz depende de una futura versión MES, describa la limitación y el comportamiento permitido mientras tanto. No represente como disponible una capacidad todavía no entregada. Actualice el diagrama y la evaluación cuando se cierre esa dependencia, conservando la razón del cambio y su evidencia.
Revisado el 23 de septiembre de 2026: EudraLex, volumen 4; 21 CFR Part 11; catálogo ISA; NIST SP 800-82 revisión 3. Las referencias a normas se basan en alcance e información del editor. Las comparaciones y el ejemplo son recomendaciones originales de GuideGxP.
