Robots de seguridad farma: sala blanca y perímetro bajo GMP

Las plantas farmacéuticas operan bajo dos regímenes de inspección al mismo tiempo. Por un lado GMP, por otro KRITIS. Quien despliega robots de seguridad en producción farmacéutica debe separar ambas lógicas. De lo contrario, la siguiente inspección se cae. Este texto describe la línea divisoria, la liberación de materiales, las obligaciones KRITIS a partir de 2026 y una ruta piloto de 90 días.

Robots de seguridad farma: por qué la sala blanca exige otras reglas

Las plantas farmacéuticas caen bajo el sector KRITIS Salud en cuanto producen más de 4,5 millones de envases por año (KritisV Anexo 5). El umbral y la fórmula de cálculo figuran en la KritisV. A partir de ese punto rigen requisitos de protección física que una ronda clásica solo cumple con un alto esfuerzo documental.

Las salas blancas según ISO 14644-1 clase C no pueden superar 352.000 partículas por metro cúbico a 0,5 µm. La clase D queda por encima, pero permanece controlada. Cada persona que entra por esclusa eleva la carga particular. Cada cambio de persona obliga a registro en el cuaderno GMP. Una ronda de dos horas por el corredor genera cuatro entradas de cuaderno, cuatro ciclos de vestuario y cuatro liberaciones de esclusa.

Aquí está el punto decisivo: los robots de seguridad no sustituyen al personal GMP en la sala blanca. Sustituyen la ronda visual en perímetro exterior, parque de tanques, zona de recepción y corredores no críticos. El control GMP en la sala clase C queda en personal cualificado. Ambas lógicas corren en paralelo, no solapadas.

El cuello de botella del servicio de vigilancia está casi siempre en las esclusas y en la recepción de mercancía, no en el interior. Una plataforma autónoma cubre la patrulla de corredor y exterior 24/7. El personal permanece donde se requieren decisiones: control de identidad, esclusa de emergencia, recepción.

Próximo paso: lista de control KRITIS-Dachgesetz.

Conformidad GMP y materiales del robot

La cuestión del material decide si un robot puede entrar en zonas farmacéuticas. Nuestras plataformas usan carcasas de aluminio anodizado y acero inoxidable 1.4404. Ambos materiales son resistentes a la fumigación con H2O2, el procedimiento estándar de esterilización para esclusas y zonas de paso.

En el módulo sala blanca no hay ventiladores abiertos. La convección cerrada es obligatoria, IP65 es el mínimo. Las palas de ventilador abiertas generan emisiones particulares que inutilizan cualquier clasificación por encima de GMP D. El desgaste de neumáticos lo documentamos a 6 km/h de velocidad de patrulla por debajo de 0,3 mg por hora. La medición se realiza según ASTM E1215 sobre suelo de referencia.

El ciclo de limpieza con isopropanol al 70 por ciento está liberado. El protocolo de validación se acuerda con el departamento de calidad del operador antes de la puesta en servicio. Entregamos la prueba de material como plantilla, el operador ejecuta la validación específica de planta. Sin esta separación, la cualificación se cae.

Como marco de referencia para la lógica de encuentro con personal sirve la EN ISO 13482. La norma cubre en realidad robots personales de cuidado, pero sus requisitos sobre velocidad, limitación de fuerza y parada de emergencia constituyen el estado del arte más sólido disponible para plataformas móviles con encuentro humano.

Lo que no funciona: robots con cableado abierto, carcasas de polímero por debajo de calidad 1.4301 o módulos de batería de litio no certificados. Estos equipos pueden patrullar, pero no sobreviven a la primera fumigación con H2O2.

Obligaciones KRITIS para plantas farmacéuticas desde 2026

El KRITIS-Dachgesetz § 11 párr. 1 obliga a los operadores farmacéuticos identificados a presentar un concepto de protección física en un plazo de 9 meses tras la identificación. La prueba de resiliencia se entrega cada tres años al BBK. Hay que acreditar registros de auditoría de patrullas, tasas de detección y tiempos de reacción documentados.

La Directiva NIS-2 acopla seguridad física e informática. El acceso a sistemas OT, es decir a MES, SCADA y control de planta, debe estar vigilado. Quien no asegura físicamente la sala de servidores no cumple el artículo 21. Eso es independiente del concepto de cortafuegos.

La responsabilidad del consejo se activa cuando se demuestra negligencia en la protección del perímetro. Los detalles los hemos desarrollado en NIS-2 y responsabilidad del consejo. Para farma es relevante: la carga de la prueba recae en el consejo. Un plan de patrulla con lagunas basta para desencadenar responsabilidad personal.

Los registros del robot son admisibles en tribunal cuando los sellos temporales están asegurados vía NTP Stratum-1. Usamos fuentes sincronizadas por PTB. Un cuaderno sin sello temporal robusto tiene ante el juez el valor de una anotación manuscrita. Con Stratum-1 es medio de prueba.

Próximo paso: sector KRITIS Salud.

Perfil de uso QR-2 y QR-3 en planta farmacéutica

El QR-2 para perímetro exterior cubre el recinto 24/7. El sensor térmico detecta personas en oscuridad hasta 80 metros (ficha técnica QR-2). Aplicación: parque de tanques con disolventes, zona de recepción de principios activos, valla exterior. La ruta de patrulla es configurable, las desviaciones se registran.

El QR-3 con LiDAR y detección de drones patrulla zonas de alta seguridad. Esto incluye almacén de principios activos Schedule II, área de caja fuerte y traspaso a logística. El LiDAR capta obstáculos con resolución centimétrica. La detección de drones trabaja hasta 400 metros (ficha técnica QR-3). Esa es la distancia desde la cual drones industriales lanzan vuelos de reconocimiento habitualmente.

La detección de personas no autorizadas en el corredor de producción se realiza por debajo de 2 segundos de tiempo de reacción (protocolo de prueba disponible bajo petición). El umbral es conservador, los falsos positivos cuestan tiempo de personal en sala de control. La calibración ocurre en las semanas 5 a 8 de la fase piloto.

La interfaz con Lenel S2 y Genetec Security Center corre vía ONVIF Profile T. Las cámaras existentes y el control de accesos permanecen en su sitio. La escalada a la central de vigilancia se realiza por MQTT cifrado, con respaldo en un módulo LTE con SIM propia. Si la red corporativa cae, la cadena de aviso queda intacta.

Lo que la plataforma no cubre: intervención en agresiones físicas, control de identidad en recepción, evaluación de emergencias médicas. Estas tareas permanecen en personal humano.

Comparativa TCO: vigilante frente a robótica

Un puesto de vigilancia 24/7 en DACH cuesta entre 15.000 y 25.000 euros al mes. El rango cubre recargos por turnos, convenio marco, sustituciones de vacaciones y bajas por enfermedad (fuente: BDSW). El cálculo detallado con todos los factores está en la comparativa TCO servicio de vigilancia.

QR-2 en el modelo Robotics-as-a-Service cuesta 3.500 euros al mes (lista de precios vigente en /raas). Sin CapEx, sin amortización, entrega en 48 horas. Mantenimiento, actualizaciones de software y sustitución de hardware están incluidos en la tarifa. La duración mínima del contrato es de 24 meses.

Ejemplo de cálculo para una planta farmacéutica mediana: tres puestos exteriores se sustituyen por dos QR-2 y un QR-3. Coste de personal antes: unos 720.000 euros al año. Coste de robótica después: unos 252.000 euros al año. Eso corresponde a un 65 por ciento de ahorro. El cálculo aplica a perímetro exterior y corredor, no a recepción y esclusa.

El personal permanece en recepción, en la esclusa de emergencia y en la sala de control. Allí donde se necesita juicio humano. Estas posiciones no se eliminan, se concentran en tareas más cualificadas. La rutina pasa a la plataforma, la decisión queda en la persona.

Lo que invierte el cálculo: plantas con menos de 4.000 metros cuadrados de superficie exterior, rutas de patrulla muy cortas por debajo de 200 metros, o perímetros ya muy automatizados con torniquetes y unipersonalización en cada entrada. En esos casos el umbral de rentabilidad se mueve.

Integración en procesos de QSB y auditoría

Los registros de patrulla se exportan en CSV y PDF/A-3. Ambos formatos son legibles para inspectores FDA y EMA. PDF/A-3 permite incrustar los datos brutos. Eso es decisivo cuando los inspectores cuestionan la base de datos.

El control de cambios sigue el Anexo 15 EU-GMP. Las actualizaciones del robot pasan por un proceso de liberación validado. Cada release de software lo entregamos con notas de versión, análisis de riesgos y protocolo de prueba. La solicitud de cambio final la tramita el operador en su sistema QSB. Las auto-actualizaciones no verificadas están excluidas en entornos GMP.

La interfaz con Veeva Vault y TrackWise se realiza vía API REST. Los eventos de patrulla clasificados como desviación se transfieren directamente como iniciador de CAPA. Se elimina la doble captura manual.

El audit trail cumple 21 CFR Part 11 en cuanto a inmutabilidad y firma electrónica. La protección contra escritura se realiza mediante cadena criptográfica de hash, la firma mediante certificados X.509. Es el estándar que esperan los inspectores FDA.

El informe anual para la prueba de resiliencia KRITIS se genera automáticamente. Contiene cobertura de patrulla, eventos de detección, tiempos de reacción y disponibilidad. El informe es utilizable como anexo a la prueba ante el BBK.

Lo que no funciona: plataformas robóticas sin API documentada, sin registros firmados o sin procedimiento de actualización trazable. Tales sistemas fracasan en la primera inspección GMP por Anexo 11.

Fase piloto: 90 días desde el kickoff hasta la aceptación

Semana 1 a 2: preparación. Recorrido del emplazamiento con dirección de planta y QSB. Medición radio para MQTT y respaldo LTE. Análisis de riesgos GMP para la separación entre zona de sala blanca y perímetro. Resultado: un corredor de patrulla documentado con límites claros.

Semana 3 a 4: puesta en servicio. Cartografía de las rutas de patrulla por SLAM. Prueba de interfaz con Lenel S2, Genetec o la sala de control existente. Primera calibración de umbrales de detección. Formación del personal de sala de control en la gestión de alarmas.

Semana 5 a 8: operación paralela. El robot y el personal de vigilancia patrullan en paralelo. Los umbrales de detección se calibran al funcionamiento real del emplazamiento. Los falsos positivos se analizan y reducen. Objetivo: una tasa de detección del 99 por ciento con una tasa de falsa alarma por debajo del 0,5 por ciento por patrulla (plantilla de SLA bajo petición).

Semana 9 a 12: aceptación. Protocolo de aceptación según SLA acordada previamente. Traspaso al servicio de vigilancia. El paquete documental para la siguiente inspección GMP contiene protocolo de validación, historial de control de cambios, ejemplos de audit trail y análisis de riesgos.

Opción de salida: si las tasas de detección al final del piloto quedan por debajo de la SLA acordada, el operador puede salir sin costes residuales. Eso reparte el riesgo del piloto entre proveedor y operador, no solo en el operador.

Para una evaluación del emplazamiento y una oferta concreta: solicitar piloto en planta farmacéutica.