Sistemas de agua farmacéutica calientes, fríos y ozonizados: compromisos de diseño y ciclo de vida

La arquitectura de distribución se decide en pocas semanas, entre la redacción de la URS y la evaluación de las ofertas técnicas, y compromete los veinte años siguientes: consumo energético, carga de mantenimiento, disponibilidad de la utility, perfil de riesgo microbiológico y competencias exigidas a quien opere el sistema de noche y en agosto. Quien decide rara vez tiene delante una comparación honesta entre loop caliente, loop a temperatura ambiente y loop ozonizado, porque cada interlocutor tiende a presentar como "estándar GMP" aquello que sabe construir mejor.

El malentendido más frecuente afecta al propio punto de partida regulatorio. El Anexo 1, apartado 6.10, exige que el WFI se almacene y distribuya de modo que se minimice el crecimiento microbiano, y cita como ejemplo la circulación constante por encima de 70 °C. Es un ejemplo recogido en un texto normativo, no un set point obligatorio: el requisito es el resultado — minimizar el crecimiento microbiano — no la temperatura con la que se consigue. Confundir ambos planos genera dos errores simétricos: imponer un loop caliente donde el racional no lo sostiene, o adoptar un loop ambiente sin construir la demostración de que el resultado se alcanza y se mantiene igualmente.

Requisito, ejemplo citado y decisión de ingeniería

Separar los tres planos es lo que hace defendible un racional de diseño.

• Requisitos (Anexo 1, en operación desde el 25 de agosto de 2023). El apartado 6.7 exige una instalación diseñada, cualificada, monitorizada y mantenida para prevenir la contaminación microbiológica, con pendiente en las tuberías para el drenaje y ausencia de dead legs; el 6.8 exige cualificación teniendo en cuenta la variación estacional; el 6.9 impone flujo turbulento, con caudal establecido en cualificación y monitorizado de forma rutinaria; el 6.12 exige sanitización según un calendario predeterminado y como acción correctiva tras resultados fuera de límite o fuera de especificación; el 6.13 exige monitorización química y microbiológica regular y continuada, con alert levels basados en los datos de la cualificación inicial y revisados periódicamente; el 6.15 exige monitorización continua, como TOC y conductividad, para los sistemas WFI.
• Ejemplo citado en un texto normativo. La circulación constante por encima de 70 °C del apartado 6.10 y el tratamiento térmico por encima de 75 °C mencionado en el Q&A EMA/INS/GMP/443117/2017 (en vigor desde el 1 de agosto de 2017), que deja explícitamente los tiempos de contacto a la validación del fabricante. Son referencias útiles, no criterios de aceptación: si aparecen en una especificación de planta, aparecen porque la planta los ha adoptado y justificado.
• Decisión de ingeniería de la planta. Todo lo demás: temperatura de operación, concentración de ozono, duración de los ciclos, frecuencia de sanitización, ubicación de la instrumentación, lógica de liberación de los point of use. Ninguno de estos valores se copia de otra instalación: se establece, se justifica sobre cualificación, datos históricos y evaluación de riesgos, y se documenta.

El mismo Q&A de EMA observa que la RO opera típicamente a temperatura ambiente y que eso constituye un entorno ideal para la formación de biofilm. La observación se refiere a la producción de WFI por métodos no destilativos, no a la distribución: trasladar el razonamiento a un loop ambiente es una inferencia de ingeniería legítima, que debe presentarse como tal y no como una prohibición regulatoria que no existe.

Entre las fuentes no vinculantes, el capítulo informativo USP <1231> (oficial desde el 1 de diciembre de 2021) cubre diseño del sistema, materiales, muestreo, validación, control microbiológico y sanitización, ozono incluido; la ISPE Baseline Guide Vol. 4 Water and Steam Systems (3.ª ed., septiembre de 2019) y la ISPE Good Practice Guide Ozone Sanitization of Pharmaceutical Water Storage & Distribution Systems (2.ª ed., octubre de 2024) son guías sectoriales. La ISO/DIS 25413 sobre sistemas de almacenamiento y distribución de PW y WFI es un proyecto en desarrollo, con votación DIS abierta desde el 21 de julio de 2026: puede orientar una especificación, pero no puede citarse como norma aplicable.

El perímetro de la comparación

La comparación solo tiene sentido a igualdad de perímetro. En las tres arquitecturas permanecen invariables la calidad del agua de alimentación, la conformidad con la monografía aplicable en el point of use, el flujo turbulento del apartado 6.9, la ausencia de dead legs, la drenabilidad y la monitorización continua para el WFI. Lo que cambia es el mecanismo con el que se mantiene el control microbiológico en el depósito y en el anillo, y todo lo que ese mecanismo arrastra en materiales, instrumentación, utilities, procedimientos y competencias. La geometría del anillo y el acabado superficial siguen siendo un capítulo aparte, tratado en el diseño del loop de distribución y en dead legs, pendientes y materiales.

Loop caliente

El principio es la supresión continua de la proliferación mediante el mantenimiento de la temperatura: en operación normal el anillo trabaja ya en condiciones sanitizantes, de modo que el control no depende de un evento periódico sino del estado estacionario. De ahí la percepción de robustez, fundada siempre que se reconozca hasta dónde no llega el mecanismo.

Lo que arrastra: aislamiento de todo el circuito, gestión de la dilatación térmica y de los soportes, selección de bombas, cierres, juntas e instrumentos para la temperatura de operación, aporte térmico continuo y, casi siempre, un enfriamiento en los consumos que no pueden tomar agua caliente. Añade un riesgo de quemadura que hay que gestionar con protecciones y procedimientos, y solicita la superficie en condiciones que convierten la vigilancia del rouging en parte del programa de ciclo de vida.

Hay tres puntos críticos. Los ramales enfriados y las derivaciones a los point of use no están a la temperatura del anillo, y ahí se concentra el riesgo residual. La temperatura debe demostrarse en el punto menos favorable del circuito, no solo en la línea de retorno donde la sonda resulta cómoda de instalar. La estratificación en el depósito y el comportamiento tras una extracción importante deben caracterizarse en cualificación, porque es en el transitorio de recuperación donde el supuesto estado estacionario se revela como tal o no. Un loop caliente no es estéril y no exime de la monitorización del apartado 6.13: cambia el perfil de riesgo, no la obligación.

Loop a temperatura ambiente con sanitización periódica

El principio es el opuesto e igualmente legítimo: sin barrera térmica continua, con el control confiado al diseño — turbulencia, drenabilidad, ausencia de estancamientos, materiales y acabado, geometría de los point of use — combinado con una sanitización recurrente según el calendario predeterminado que exige el apartado 6.12. Es la arquitectura que hace el agua inmediatamente utilizable en el consumo, elimina los intercambiadores de enfriamiento, reduce el aporte térmico y simplifica instrumentación y materiales.

Lo que arrastra es menos visible pero no menor: indisponibilidad planificada, consumo de utilities, gestión de efluentes y, sobre todo, una carga de demostración. Si el método es térmico, tuberías, válvulas, juntas, instrumentos y filtros de venteo deben soportar los ciclos, y el ciclo debe diseñarse para alcanzar las condiciones buscadas en el punto menos favorable. Si es químico, hacen falta verificación del enjuague, límites de residuo definidos por la planta con un método analítico adecuado, compatibilidad de materiales y seguridad del operador.

El punto crítico dominante es la frecuencia: un parámetro de planta, no un dato de catálogo. Se establece a partir de la cinética de recrecimiento observada en el sistema real, se confirma en cualificación del rendimiento y se revisa con el trending, exactamente igual que los alert levels del apartado 6.13. Una frecuencia copiada de otra instalación es una suposición no verificada que aguanta hasta la primera excursión. Y el intervalo entre dos ciclos es, por definición, el periodo en el que el sistema está menos protegido: el plan de muestreo debe detectar una deriva en esa ventana, no solo confirmar la eficacia justo después del ciclo.

Loop ozonizado

El principio consiste en mantener el ozono disuelto en el depósito y, según el diseño, en el anillo — en continuo o por ciclos programados — y destruirlo antes del uso. Es una arquitectura a temperatura ambiente que sustituye la barrera térmica por una barrera química reversible, y merece el mismo rigor que las otras dos: no es un compromiso, es una tercera solución con restricciones propias. Cuatro elementos deben abordarse explícitamente en la fase de especificación.

• Eliminación del residual antes del uso. El agua entregada en el point of use no debe contener ozono residual. La destrucción se consigue con unidades dedicadas aguas abajo del tramo ozonizado, dimensionadas para el caso más desfavorable de caudal y concentración, no para la condición nominal.
• Verificación de la eliminación. La eliminación debe demostrarse, no suponerse: medida del residual aguas abajo de la unidad de destrucción, enclavamiento que impide la entrega mientras la condición no esté verificada, gestión del fallo o de la deriva del sensor y confirmación periódica con un método independiente. El límite de aceptación y el método analítico los establece y justifica la planta. El momento más delicado es la vuelta a servicio tras un ciclo o tras un mantenimiento, cuando la lógica de liberación de los point of use es la única barrera entre un residual no destruido y el producto.
• Materiales compatibles. El acero inoxidable pasivado no es el problema; sí lo son elastómeros, juntas, membranas de válvulas, juntas tóricas, componentes poliméricos e instrumentos en contacto. La compatibilidad con el ozono debe verificarse componente a componente sobre la documentación del suministrador e incorporarse a la especificación de compra, porque sustituir por un repuesto "equivalente" pero incompatible es un acto de mantenimiento rutinario que degrada el sistema en silencio. El estado de pasivación y el programa de limpieza siguen gobernados por las prácticas de referencia (ASTM A967/A967M-25, ASTM A380/A380M-25) y por la parte de materiales de ASME BPE, cuya edición aplicable debe fijarse contractualmente.
• Parámetros de ciclo establecidos y cualificados por la planta. Concentración, tiempo de contacto, frecuencia, puntos de inyección y distribución del ozono en el anillo no son datos universales: deben definirse, justificarse y cualificarse sobre la instalación real, demostrando que la condición buscada se alcanza en los puntos menos favorables. El ozono se consume a lo largo del recorrido en función de la carga orgánica, la temperatura y los materiales: la concentración medida en el depósito no es la que actúa en el extremo del anillo, y la cualificación debe cerrar esa distancia con datos, no con una suposición de uniformidad.

Quedan las consecuencias de sistema: generación y disolución del ozono, unidades de destrucción con componentes sujetos a envejecimiento y, por tanto, con un intervalo de sustitución que hay que justificar, detección de ozono en ambiente para la seguridad del personal, automatización más elaborada y, en consecuencia, más superficie que cualificar. Muchos diseños ozonizados conservan además la capacidad de ejecutar una sanitización térmica o química como acción correctiva en el sentido del apartado 6.12: una decisión razonable, que conviene tomar de forma deliberada y no descubrir ausente durante la primera investigación.

Los temas transversales que deciden realmente el proyecto

Instrumentación y monitorización

Cada arquitectura desplaza el centro de gravedad de la instrumentación. El loop caliente exige sondas de temperatura situadas para representar el punto menos favorable y no el más accesible, y obliga a que el acondicionamiento de la muestra para el analizador de TOC — habitualmente un enfriamiento — sea a su vez un tramo controlado, drenable e incluido en el plan de muestreo. El loop ambiente traslada el peso a la monitorización de TOC y conductividad y a la frecuencia microbiológica. El loop ozonizado añade analizadores de ozono disuelto, con su calibración y su deriva, y detectores en ambiente. El apartado 6.15 aplica en todos los casos: es un requisito independiente de la arquitectura.

Alarmas, enclavamientos y set points que gobiernan la liberación del agua son elementos relevantes a efectos GMP: deben cualificarse, protegerse frente a accesos no autorizados, trazarse y modificarse solo bajo change control. Un enclavamiento de ozono desactivado "temporalmente" para superar una alarma es una observación de inspección ya escrita.

Point of use, enfriamiento e intercambiadores

El point of use es donde se paga la factura de la arquitectura elegida. En un loop caliente, un consumo que no puede tomar agua a la temperatura del anillo exige un enfriamiento local en la derivación o un subanillo enfriado: en ambos casos aparece un tramo sin protección térmica, que debe ser drenable, sanitizarse con el mismo calendario que el sistema principal e incluirse en el plan de muestreo. En un loop ambiente u ozonizado la entrega es directa, pero la derivación sigue siendo un volumen que entre dos extracciones no circula. La regla no cambia con la arquitectura: la sanitización y el muestreo deben alcanzar el tramo terminal, de lo contrario se protege el anillo y no el agua realmente utilizada.

Los intercambiadores son interfaces entre agua en contacto con el producto y fluidos de servicio. Deben diseñarse para hacer detectable una fuga — por ejemplo con doble pared y espacio intermedio inspeccionable o monitorizado — y para gestionar el diferencial de presión de modo que una eventual fuga no se dirija hacia el agua farmacéutica; el sentido del diferencial y los criterios de ensayo son decisiones de diseño que hay que fijar y verificar en cualificación. Deben evaluarse además la drenabilidad y la sanitizabilidad con el método elegido, y la lógica de funcionamiento: un enfriamiento siempre activo mantiene un tramo permanentemente fuera de las condiciones del anillo; uno bajo demanda crea un volumen estancado entre usos. Dos perfiles de riesgo distintos, ambos gestionables, ninguno gratuito.

Energía y balance de operación

Es la parte donde circulan más cifras no verificables. No existe un consumo típico por arquitectura: existe un balance que hay que construir sobre el sistema real, contabilizando las pérdidas térmicas del circuito aislado y el aporte necesario para compensarlas, el calor retirado en los intercambiadores y el coste de la utility de frío, la potencia de bombeo necesaria para mantener el régimen turbulento que exige el apartado 6.9 frente a las pérdidas de carga reales, la energía de los ciclos de sanitización multiplicada por su frecuencia y, en la arquitectura ozonizada, la generación, el eventual suministro de oxígeno y las unidades de destrucción. La comparación solo es significativa si las ofertas usan el mismo límite de balance, el mismo perfil de extracción, las mismas horas de operación y las mismas tarifas, y si cada suministrador declara las hipótesis que generan sus cifras. Un valor sin hipótesis no es un dato: es un argumento de venta, y debe pedirse de otra manera en la petición de oferta.

Sanitización, excursiones y recuperación

El apartado 6.12 exige la sanitización de dos maneras: según calendario predeterminado y como acción correctiva. Las tres arquitecturas responden de forma distinta al segundo caso. En el loop caliente la condición sanitizante es la condición normal: tras una excursión la pregunta no es cómo restablecer, sino qué ha ocurrido — pérdida de temperatura, ramal aislado, intervención de mantenimiento, forma de tomar la muestra. En el loop ambiente la recuperación pasa por un ciclo correctivo y por la demostración del restablecimiento, con una indisponibilidad gobernada por los tiempos de incubación microbiológica más que por la duración del ciclo. En el loop ozonizado la intensificación es inmediata, pero queda la carga de demostrar que la condición se ha alcanzado en el punto afectado y que el residual se ha eliminado antes de la vuelta a servicio.

En todos los casos aplican los apartados 6.13 y 6.14: alert levels basados en los datos de la cualificación inicial y revisados periódicamente, excursiones documentadas, revisadas e investigadas, distinguiendo el evento aislado de una tendencia adversa o un deterioro del sistema. El Q&A de EMA es explícito sobre la tentación recurrente: "Increasing of such limits is not good practice and may mask a failing system". La lógica de bloqueo y liberación de los point of use durante una investigación — qué consumos se paran, con qué datos se vuelve, quién autoriza — debe definirse en procedimiento antes del evento. El detalle de los ciclos y de su demostración se trata en la cualificación de los ciclos de sanitización.

Complejidad operativa y coste de ciclo de vida

El coste de ciclo de vida no es el precio del skid. Las partidas deben estimarse con datos de planta e hipótesis declaradas: inversión inicial, incluidos aislamiento, intercambiadores y unidades de ozono; carga de cualificación y validación, que crece con el número de instrumentos, enclavamientos y ciclos que hay que demostrar; energía, según el balance descrito arriba; consumibles y repuestos, con atención a los componentes sujetos a envejecimiento y a las juntas compatibles; indisponibilidad planificada por los ciclos y no planificada por las investigaciones, valorada al coste real de la producción parada; competencias y formación; periodic review y recualificación a lo largo de la vida útil.

Dos asimetrías cuentan. Una inversión inicial más baja puede imponer una carga recurrente de demostración más alta, y lo inverso es igual de cierto. Y la complejidad operativa no es solo un coste: es un factor de riesgo, porque un sistema que exige más decisiones correctas del operador ofrece más formas de ser mal conducido. Debe ponderarse sobre la organización real de la planta, no sobre la ideal.

Matriz de decisión

Los pesos se asignan antes de mirar las puntuaciones y dependen del contexto: mercados servidos, criticidad de los productos, layout, utilities disponibles, competencias presentes. La columna de pesos se deja deliberadamente vacía.

Ejemplo de aplicación: Planta Delta

Planta Delta es un ejemplo didáctico, no una instalación real: formas estériles inyectables y una línea de sólidos orales, con un loop WFI que alimenta preparación y llenado y un loop PW que alimenta granulación y lavado de piezas. La primera decisión útil fue reconocer que ambos loops no tienen por qué recibir la misma respuesta. Para el WFI el equipo ponderó alto la continuidad del control microbiológico y la sencillez de la recuperación, motivándolo con la criticidad del producto y el coste de una parada de llenado; para el PW ponderó alto la disponibilidad de la utility durante los turnos y la compatibilidad con consumos que toman agua a temperatura ambiente, y llegó a una respuesta distinta. En ambos casos los pesos se dejaron por escrito antes de las puntuaciones, y el racional se incorporó a la URS y a la evaluación de riesgos, trazado hasta la DQ.

La complicación llegó de un consumo del loop WFI que no podía recibir agua caliente. El enfriamiento local en la derivación se trató como un subsistema con racional propio: drenabilidad, inclusión en el calendario de sanitización, punto de muestreo dedicado, criterio de liberación tras parada prolongada. Es justo donde muchos proyectos pierden la ventaja de la arquitectura elegida, porque la excepción se gestiona como un detalle de tubería en lugar de como un elemento de la control strategy. Las decisiones conectadas están en el hub Pharmaceutical Water & WFI Systems.

Errores frecuentes y red flags

• Citar los 70 °C del apartado 6.10 como requisito en la URS, las especificaciones o los protocolos: es un ejemplo, y presentarlo de otro modo debilita todo el documento.
• Adoptar un loop ambiente sin construir, con datos propios, la demostración de que el crecimiento microbiano se minimiza igualmente.
• Copiar de otra planta la frecuencia de sanitización, la temperatura de operación o los parámetros de ozonización en lugar de cualificarlos sobre el propio sistema.
• Ozonizar sin verificación documentada de la eliminación del residual en el point of use, o con un enclavamiento que nadie ha cualificado.
• Verificar la compatibilidad con el ozono solo sobre el acero, ignorando juntas, membranas de válvulas y componentes poliméricos, y reintroducir después un repuesto incompatible en mantenimiento rutinario.
• Medir temperatura u ozono solo en la línea de retorno y deducir de ahí el estado de todo el anillo.
• Excluir derivaciones, subanillos e intercambiadores del calendario de sanitización y del plan de muestreo.
• Comparar ofertas energéticas construidas sobre límites de balance y perfiles de extracción distintos, o modificar set points y lógicas de enclavamiento fuera del change control.
• Tratar un loop caliente como "autosanitizante" para reducir la monitorización que exige el apartado 6.13.

Red flags: nadie sabe decir sobre qué base se eligió la arquitectura; la frecuencia de sanitización está en el procedimiento pero sin racional escrito; el balance energético existe en una única versión sin hipótesis; la decisión ya estaba tomada y la matriz sirve para justificarla; en el equipo faltan la microbiología y la función que operará el sistema.

Si trabajas en decisiones de este tipo, The Pragmatic GMP reúne análisis técnicos y regulatorios sobre sistemas GMP con el mismo enfoque.

Key takeaways

• El apartado 6.10 del Anexo 1 exige que el WFI se almacene y distribuya de modo que se minimice el crecimiento microbiano; la circulación constante por encima de 70 °C es un ejemplo citado en el texto, no un set point obligatorio.
• Ninguna de las tres arquitecturas es universalmente superior: cambian el mecanismo de control, el punto débil típico, la ruta de recuperación, los materiales críticos y la distribución de los costes.
• El apartado 6.12 exige sanitización tanto según calendario predeterminado como en calidad de acción correctiva: hay que diseñar ambas.
• Para el ozono, cuatro elementos son obligatorios en el diseño: eliminación del residual antes del uso, verificación documentada de esa eliminación, compatibilidad verificada de todos los componentes no metálicos y parámetros de ciclo establecidos y cualificados por la planta.
• El punto débil de cada arquitectura está en el point of use y en las derivaciones: la sanitización y el muestreo deben alcanzarlas.
• Las comparaciones energéticas y de ciclo de vida solo valen con el mismo límite de balance, el mismo perfil de operación e hipótesis declaradas por todos los suministradores.
• Los apartados 6.13 y 6.15 siguen vigentes en cualquier arquitectura: ninguna decisión de diseño reduce la obligación de monitorización.

Referencias regulatorias y técnicas

• EudraLex Volume 4, Anexo 1 (C(2022) 5938 final), en operación desde el 25 de agosto de 2023 — apartados 6.7 a 6.15. health.ec.europa.eu
• EMA/INS/GMP/443117/2017 Q&A Production of WFI by non-distillation methods, desde el 1 de agosto de 2017; EMA/CHMP/CVMP/QWP/496873/2018, en vigor desde el 1 de febrero de 2021. ema.europa.eu
• Capítulo informativo USP <1231> Water for Pharmaceutical Purposes (oficial desde el 1 de diciembre de 2021), que trata también la sanitización con ozono; capítulos <643> y <645>.
• OMS TRS 1033, Anexo 3 (2021) (who.int); OMS TRS 1025, Anexo 3 (2020), que exige sanitización térmica y/o química validada a intervalos fijados por el fabricante.
• ISPE GPG Ozone Sanitization of Pharmaceutical Water Storage & Distribution Systems, 2.ª ed., octubre de 2024; ISPE Baseline Guide Vol. 4 Water and Steam Systems, 3.ª ed., septiembre de 2019 — guías sectoriales, no textos normativos.
• ISO/DIS 25413 Purified water (PW) and water for injection (WFI) storage and distribution systems — proyecto en desarrollo, votación DIS abierta desde el 21 de julio de 2026: no es una norma publicada.
• ASME BPE — edición aplicable a fijar contractualmente; ASTM A967/A967M-25 y ASTM A380/A380M-25.
• PIC/S PI 009-4 Inspection of Utilities, rev. 4, desde el 1 de enero de 2021 (picscheme.org); ICH Q9(R1), Step 4 el 18 de enero de 2023; FDA Guide to Inspections of High Purity Water Systems (1993), no vinculante (fda.gov).