NT-016: Redundancia en sistemas HVAC: funcional frente a nominal

La redundancia en sistemas HVAC de alta contención suele describirse en términos de componentes duplicados. Ventiladores, fuentes de energía, controles o sensores pueden instalarse en paralelo. La redundancia nominal se refiere a la presencia de estos elementos duplicados. La redundancia funcional se refiere a si el comportamiento de la contención se preserva cuando uno de estos elementos se pierde.

La contención depende del comportamiento del sistema bajo condiciones de falla. Un ventilador redundante que no puede asumir autoridad de control, restablecer relaciones de presión o mantener la direccionalidad del flujo requerida no proporciona redundancia funcional, aun cuando esté disponible y operativo.

La redundancia funcional se evalúa por el comportamiento resultante frente a las fallas contempladas por el diseño. El sistema debe ser capaz de preservar las funciones de contención requeridas o alcanzar el estado seguro previsto después de las fallas contempladas por el diseño. Según el diseño y la evaluación de fallas, esto puede incluir la pérdida de un ventilador, un componente de control, un sensor, una alimentación eléctrica o una vía de comunicación. La pregunta relevante es si el comportamiento de la contención persiste, no si el equipo permanece energizado.

La lógica de control es central para la redundancia. El hardware redundante que comparte una única dependencia de control introduce un punto común de falla. En estos casos, la duplicación nominal oculta una fragilidad funcional. El comportamiento de la contención puede colapsar a pesar de una redundancia aparente.

La redundancia debe evaluarse a través de los estados operativos. Los sistemas que mantienen la contención en condiciones estables pueden fallar durante las transiciones, cuando cambia la autoridad de control. La redundancia funcional requiere un comportamiento predecible durante la detección de fallas, la conmutación y la recuperación o transición al estado seguro previsto.

La capacidad redundante no garantiza contención redundante. Puede existir capacidad adicional de flujo de aire o de ventilación sin que se preserven las relaciones de presión o el flujo de aire direccional. La contención depende de cómo la redundancia se integra en la jerarquía de control.

La redundancia funcional es, por lo tanto, una propiedad del sistema. Surge de la coordinación entre equipos, controles, secuenciación y autoridad. Cuando la redundancia se trata como un elemento de lista de verificación, la confiabilidad de la contención se asume en lugar de demostrarse.

Para que la redundancia sea funcional, el sistema debe preservar las funciones de contención requeridas durante las condiciones de falla contempladas por el diseño, incluyendo, cuando corresponda, la capacidad de mantener o restablecer relaciones de presión y flujo direccional ante la pérdida de componentes críticos.

Cuando la redundancia no preserva estas condiciones o depende de una única lógica de control, el sistema puede dejar de mantener la función de contención prevista durante la falla y su desempeño volverse dependiente de configuraciones nominales.

La validez de estas condiciones debe demostrarse mediante la verificación del comportamiento del sistema durante fallas simuladas, incluyendo, cuando corresponda al diseño, la conmutación entre componentes redundantes, la pérdida de componentes, las transiciones de alimentación y el retorno a la operación normal.

Estas condiciones se definen en el diseño del sistema y su lógica de control, se verifican en la puesta en marcha mediante las pruebas de falla aplicables y deben mantenerse durante la operación.

NT-016 | Versión 1.1 | septiembre 2026

Referencias técnicas

• Public Health Agency of Canada. Canadian Biosafety Standard, 3rd ed. Government of Canada; 2022. ISBN 978-0-660-45739-0. https://www.canada.ca/en/public-health/services/canadian-biosafety-standards-guidelines/third-edition.html
  Relevancia: el requisito 3.4.8 exige, para CL3, CL3-Ag y CL4, interbloqueos automáticos mecánicos o electrónicos entre los sistemas de suministro y extracción para evitar la presurización positiva de la zona de contención y la inversión sostenida del flujo en la barrera. El requisito 3.5.14 establece que los servicios y equipos críticos para la contención deben estar respaldados por alimentación eléctrica de emergencia o fallar de una manera que evite una pérdida de contención; su explicación identifica expresamente los sistemas HVAC y sus controles, alarmas e interbloqueos entre los sistemas críticos de alta contención. El requisito 5.3.6 exige verificar los sistemas HVAC y sus controles mediante escenarios que simulan fallas de componentes, incluidos ventiladores de extracción, ventiladores de suministro y alimentación eléctrica. Estas disposiciones muestran que la presencia o disponibilidad de componentes de respaldo no sustituye la verificación del comportamiento del sistema frente a las fallas contempladas por el diseño.
• Centers for Disease Control and Prevention (CDC), Import Permit Program. BSL-3/ABSL-3 HVAC and Facility Verification. CDC, Division of Regulatory Science and Compliance. https://www.cdc.gov/import-permit-program/media/pdfs/2024/08/Policy_Import_BSL3_ABSL3_Verification.pdf
  Relevancia: la política del CDC exige verificar la funcionalidad del HVAC bajo condiciones de falla. Cuando existen ventiladores redundantes, debe verificarse la capacidad de transferir al ventilador alternativo sin inversión del flujo desde los espacios potencialmente contaminados hacia las áreas limpias circundantes. Cuando no existe redundancia, debe verificarse la capacidad de pasar de flujo sostenido hacia el interior a una condición estática sin flujo hacia el exterior. El documento también contempla las transiciones entre alimentación normal y de emergencia, así como el retorno a condiciones normales, verificando que no se produzca inversión del flujo. Estas disposiciones respaldan directamente la evaluación funcional de la redundancia mediante el comportamiento observado durante pérdida de componentes y transiciones, en lugar de inferirla únicamente de la presencia de equipos duplicados.
• National Institutes of Health (NIH), Office of Research Facilities. NIH Design Requirements Manual, Revision 2.1. Bethesda, MD; 2024. https://orf.od.nih.gov/TechnicalResources/Documents/DRM/DRM2.108022024.pdf
  Relevancia: la sección 6.6.12 exige que los variadores asociados con ventiladores de suministro y extracción que sirven espacios BSL-3 o ABSL-3 y son necesarios para mantener la biocontención puedan reiniciarse después de una pérdida de energía y del inicio de la alimentación eléctrica de emergencia, incluso cuando el motor continúa girando, y que el sistema pueda detectar y corregir una dirección de rotación incorrecta. La sección 6.6.13 exige que los ventiladores de suministro y extracción, los controles, el BAS y los dispositivos y equipos necesarios para mantener la biocontención estén conectados a un sistema de alimentación eléctrica de emergencia. Estas disposiciones respaldan la necesidad de preservar o restituir las funciones críticas de contención durante la pérdida y recuperación de alimentación mediante la integración de equipos, controles y alimentación de respaldo, y no simplemente mediante la duplicación nominal de componentes.