Un operador pulsa el comando de una válvula y ve cambiar de color su símbolo. La válvula no se ha movido: la pantalla muestra la solicitud y la realimentación no está disponible. Es un fallo de interfaz con consecuencias de proceso. Una HMI visualmente cuidada puede inducir a error si no distingue solicitud, aceptación, ejecución y estado físico confirmado.
El diseño SCADA y HMI para fabricación GMP debe facilitar decisiones correctas en operación normal, perturbaciones y recuperación. Los gráficos son una parte. El trabajo decisivo define contexto, autoridad, límites de actuación, registros y evidencia de que las personas pueden utilizar la interfaz de forma fiable en sus condiciones reales.
Organizar pantallas alrededor de decisiones operativas
Empiece por tareas: preparar equipo, iniciar operación aprobada, vigilar avance, diagnosticar una condición permisiva, responder a una alarma y entregar el turno. Determine qué necesita saber el operador antes de actuar y qué confirma el resultado. La jerarquía debe evitar que tenga que memorizar información dispersa entre páginas sin relación.
La vista general aporta contexto de producción y servicios; las vistas de unidad explican estado; el detalle permite diagnóstico e intervención. Mantenga visibles unidad, lote, receta y modo seleccionados. Evite páginas idénticas cuyo equipo cambia de forma poco evidente. Cuando existan unidades similares, el destino debe resultar inequívoco en el punto de actuación.
[NORMA] ISA-101.01-2015 aborda interfaces humano-máquina para automatización de procesos. Su alcance es una referencia útil para el ciclo de vida, pero no establece una distribución gráfica universal para todas las plantas farmacéuticas. Aplique los principios al usuario, tarea y proceso concretos.
Hacer visibles estado y calidad del dato
Distinga estado medido, solicitado e inferido. La indicación de bomba en marcha puede proceder de realimentación eléctrica, estado del controlador o una suposición basada en el comando. Esos significados no son equivalentes. Defina la fuente de cada indicación y la representación de señales contradictorias.
Muestre modos manual, automático, local, remoto, inhibido y mantenimiento cuando afecten interpretación o autoridad. Una medida congelada tras perder comunicación no debe parecer un proceso estable. Indique datos inválidos, ausentes u obsoletos con convenciones documentadas. Use texto, forma u otras señales junto al color cuando sea necesario para evitar dependencia exclusiva de la percepción cromática.
Considere toda la ruta. La HMI puede seguir conectada a SCADA mientras este pierde el controlador. Un icono general de conexión solo describe una parte y puede resultar engañoso. El operador necesita conocer el estado de la información utilizada para decidir, incluyendo origen y actualidad cuando tengan consecuencias.
Diseñar comandos como interacciones controladas
Para cada comando, defina rol, estado admisible, condiciones, confirmación y resultado. La indisponibilidad puede deberse a permisos, modo incorrecto o condiciones de proceso. Explique el motivo con suficiente claridad para permitir la siguiente acción legítima. Un botón deshabilitado sin contexto fomenta intentos y atajos poco controlados.
Las confirmaciones deben identificar destino y consecuencia. Utilícelas según riesgo, evitando mensajes idénticos en todas las acciones. La repetición excesiva acostumbra a aceptar sin leer. Para cambios relevantes, presente valor actual y propuesto, unidades y límites antes de confirmar, conservando una relación clara con el parámetro afectado.
Separe recepción de solicitud y realización física. Muestre retraso, rechazo o interrupción. Evite comandos repetidos que puedan duplicar dosis, fases o transiciones contradictorias. Si se permite cancelar una solicitud pendiente, especifique cómo se confirma la cancelación y qué ocurre si la ejecución ya comenzó.
Definir consignas e intervención manual
Un campo numérico necesita identidad, unidad, rango, resolución y autoridad. Distinga límites operativos de escala gráfica y capacidad del instrumento. Defina tratamiento de entradas inválidas, separadores decimales y conversiones. Un mismo número con unidades diferentes constituye un riesgo previsible, especialmente al copiar parámetros entre equipos.
El modo manual requiere estrategia de control. Identifique automatismos suspendidos, protecciones conservadas y autorización. La interfaz debe mostrar la intervención y retener acciones y motivos cuando corresponda. La vuelta a automático necesita comportamiento definido para evitar un salto inesperado de salida o una transición que el operador no comprende.
[QRM] Derive límites, confirmaciones y permisos de la evaluación del proceso. GMP no proporciona un rango universal de consignas ni exige una segunda persona para cualquier cambio. Cuando se requiera autorización adicional, diseñe su flujo real y compruebe que no puede omitirse mediante rutas alternativas.
Relacionar receta y ejecución
Muestre identidad y versión aprobada utilizadas por la operación actual. Diferencie los parámetros preparados para el siguiente lote de los que se ejecutan ahora. Si se permiten ajustes dentro de límites, defina autorización, registro y presentación en revisión. Una pantalla editable no debe sobrescribir silenciosamente la receta maestra.
En ejecución procedimental, muestre fase, criterios relevantes y motivo de retención. El operador debe comprender qué ocurrió y qué ocurrirá después. Una barra de progreso no sustituye información de estado. Defina si puede repetirse una fase y qué controles o evaluación adicional necesita esa repetición.
Incluya reinicios desde el diseño. Tras reiniciar un servidor, la pantalla debe obtener estado real y evitar presentar caché como información actual. Una sesión recuperada no debe repetir un comando pendiente anterior a la interrupción. Controlador y supervisión deben compartir reglas explícitas para ese comportamiento.
Utilizar tendencias para preguntas concretas
Agrupe variables por relaciones operativas. Una desviación de temperatura puede requerir medida, consigna, demanda térmica, válvula y fase sobre tiempos compatibles. Muestre unidades, escalas y ventanas. El escalado automático puede ocultar magnitud práctica si el usuario no reconoce que el eje cambió.
Distinga visualización actual y recuperación histórica. Explique huecos, calidad e interpolación cuando afecten a la interpretación. Una línea continua puede ocultar una interrupción de adquisición. La resolución y agregación deben responder a la pregunta: una vista resumen útil para navegar puede ser insuficiente para investigar un evento breve.
[GEP] Verifique tendencias contra eventos conocidos y datos originales conservados. Compruebe alineación temporal de variables, marcadores y contexto de lote. Seleccione adquisición y visualización según uso previsto. No existe una frecuencia ni una duración de tendencia adecuadas universalmente a todos los procesos farmacéuticos.
Vincular alarmas con respuesta practicable
Una alarma dirige atención a una condición que requiere respuesta oportuna según la filosofía de planta. Eventos rutinarios e información general no deben competir automáticamente por esa atención. Presente equipo, condición, prioridad y contexto de actuación sin obligar a descifrar códigos poco comprensibles.
Reconocer una alarma indica que se ha visto; no demuestra que la condición desapareció ni que la acción correctora tuvo éxito. Mantenga separados esos estados. Aplazamiento temporal, supresión e inhibición tienen finalidades y controles distintos. La interfaz debe mostrar funciones no disponibles a los usuarios autorizados pertinentes.
El artículo de gestión de alarmas desarrolla racionalización, retardos y ciclo de vida. En HMI, compruebe la respuesta durante una perturbación realista con alarmas relacionadas. Ocultar molestias de la pantalla principal no resuelve su causa ni su impacto operativo.
Integrar auditabilidad en la acción
Identifique acciones y cambios que requieren evidencia conservada. Según uso y requisitos, el contexto incluye identidad, objeto, valor anterior y nuevo, tiempo, motivo y lote. Un registro de acciones puede solaparse con audit trail GMP, pero alcance y protección deben definirse expresamente.
Preserve responsabilidad individual cuando corresponda y gestione cuentas compartidas o de servicio según finalidad. Considere cambio de turno, sesiones, mantenimiento y estaciones desatendidas. El comportamiento de sesión depende del riesgo y de la operación. Cerrar sesión bruscamente durante una tarea crítica puede crear problemas si la recuperación está mal diseñada.
El tiempo debe ser interpretable entre sistemas. Defina sincronización, zona y cambios de reloj. Los cambios estacionales pueden producir horas locales ambiguas si falta contexto. Compruebe cómo pantalla, histórico y registro de acciones representan el mismo evento y cómo un revisor distingue su secuencia.
Convertir el diseño en evidencia de aceptación
| Escenario | Comprensión esperada | Evidencia |
|---|---|---|
| Comando rechazado por condición permisiva | La solicitud falló y puede identificarse el bloqueo | Tarea observada, respuesta del controlador y explicación |
| Pérdida de medida | El dato no es una lectura actual válida | Pérdida introducida y calidad visible |
| Ajuste autorizado de receta | Destino, unidades, límites y versión son claros | Valores, autorización y acción trazable |
| Reinicio HMI durante fase | Se recupera estado real sin repetir comandos | Reinicio controlado y comparación de estado |
| Investigación histórica | Tiempo, huecos y lote son interpretables | Reconstrucción desde tendencias y fuentes |
Registre versiones y configuración ensayadas. Conserve observaciones fallidas y su tratamiento, incluidas dificultades de uso sin error de software. Una captura demuestra apariencia en un instante; no establece comportamiento de una secuencia interactiva ni que el usuario entendiera correctamente la situación.
Ejemplo: retención CIP y recuperación manual
En una aplicación ilustrativa, una fase CIP queda retenida porque no alcanza una condición definida. La primera interfaz muestra un recipiente rojo y un fallo genérico. El operador no sabe si la fase está pausada, abortada o sigue acumulando tiempo. Esa incertidumbre puede conducir a reinicio inadecuado e interpretación incorrecta del ciclo.
El diseño revisado muestra estado, condición incumplida, tendencia y acciones permitidas. Distingue reconocimiento de alarma y autorización de intervención. Cualquier ajuste respeta roles y rangos aprobados y queda vinculado al ciclo. La interfaz explica el resultado esperado sin sustituir la estrategia de aceptación del proceso.
La aceptación incluye simulación, pérdida de señal y recuperación tras reinicio HMI. Los operadores identifican condición, seleccionan respuesta y explican el estado resultante. Los especialistas evalúan la estrategia; calidad, la evidencia de revisión. Una pantalla clara no compensa criterios de limpieza todavía indefinidos.
Comprobar idioma y condiciones de visualización
Mantenga identificadores de equipo consistentes y traduzca deliberadamente instrucciones y explicaciones. Pruebe textos largos, decimales, fechas y unidades en cada idioma. Una alarma traducida que pierde su significado de actuación es un defecto operativo aunque la pantalla quede ordenada. Evite abreviaturas sin explicación.
Evalúe distancia, iluminación, controles táctiles, guantes cuando proceda e información disponible sin desplazamiento. Una revisión en un monitor grande de ingeniería puede no representar el panel instalado. Registre condiciones para valorar futuras sustituciones de hardware frente al mismo uso previsto.
Mantener la interfaz durante su ciclo de vida
Controle objetos, faceplates, scripts y configuración como componentes de aplicación. Un símbolo compartido puede cambiar muchas unidades. Una modificación aparentemente estética puede alterar énfasis u ocultar información. Evalúe impacto sobre tareas y verifique comportamiento afectado después del cambio.
[RECOMENDACIÓN GUIDEGXP] Mantenga una filosofía HMI breve con convenciones y ejemplos aprobados. Revise problemas recurrentes de navegación, comandos erróneos y soluciones improvisadas. Estas observaciones revelan debilidades que las pruebas iniciales pueden no haber mostrado. Actualice formación cuando cambie el comportamiento, además de cuando se añadan pantallas.
Antes de liberar, confirme identidad de equipo y lote, separación de comando y realimentación, calidad visible, modos definidos, ajustes trazables e investigación practicable. Vincule el diseño con Cleaning, CIP & SIP Systems, Cleanrooms & HVAC Systems y Automation & Digital Systems.
Contexto regulatorio y fuentes primarias
En las pruebas con operadores, observe también cómo explican una situación sin ayuda del diseñador. Si necesitan instrucciones verbales para encontrar la condición bloqueante, revise la interfaz o la formación prevista. Registre tiempo de búsqueda, interpretación equivocada y pasos omitidos como observaciones del escenario, sin convertirlos en límites universales. Repita la tarea afectada después de corregir el problema y confirme que el cambio no oculta otra información necesaria. Así la evaluación produce mejoras demostrables en lugar de una aprobación basada únicamente en apariencia.
[REQUISITO REGULATORIO] Los controles GMP aplicables determinan funciones y evidencia, sin prescribir un estilo gráfico único. Revisado el 23 de septiembre de 2026: Anexo 11 y capítulo 4 operativos de 2011; propuestas de 2025 todavía diferenciadas como borradores. Consulte EudraLex, volumen 4 y 21 CFR Part 11. El catálogo ISA identifica ISA-101 e ISA-18.2. Los escenarios y la tabla son recomendaciones originales de GuideGxP.
