Los proyectos de salas blancas de semiconductores suelen llegar a la fase de puesta en marcha con el hardware de los sensores instalado, las salidas de los controladores asignadas y las alarmas del sistema de gestión de la sala (BMS) configuradas; sin embargo, no existe una definición clara de qué puntos de datos deben respaldar una decisión de liberación y cuáles existen principalmente para el control de los equipos. La consecuencia es un sistema de monitorización que genera grandes volúmenes de datos, pero que no puede responder a las preguntas que realmente importan en una auditoría o durante la retención de un producto: ¿se encontraba el entorno dentro de las especificaciones cuando se procesó ese lote?, ¿quién era el responsable de responder a la alarma? y ¿qué registro confirma que el sensor estaba calibrado en el momento de la recogida de datos? Para resolver esa laguna, es necesario abordar la monitorización no como una tarea de instrumentación, sino como un problema de arquitectura de pruebas: decidir primero qué debe demostrar cada parámetro y, a continuación, especificar el sensor, la ubicación, la lógica de alarma y la responsabilidad del registro en consecuencia. La decisión práctica que todo ingeniero de sala limpia y revisor de control de calidad debería poder tomar es si cada punto de monitorización de la especificación está vinculado a un objetivo de aceptación definido, a una persona responsable de la respuesta y a un registro de traspaso antes de proceder a la adquisición e instalación.

Puntos de control separados según la finalidad de aceptación

El error estructural más habitual en las especificaciones de control de las salas blancas de semiconductores consiste en tratar todos los parámetros como una única lista sujeta a un mismo régimen de aceptación. El recuento de partículas, diferencias de presión, Resultados de la prueba de integridad del filtro, la temperatura y la humedad no son parámetros intercambiables: cada uno de ellos corresponde a un criterio de aceptación distinto, y mezclarlos sin distinguir a quién corresponde cada uno ni en qué momento se mide da lugar a lagunas que solo salen a la luz durante una auditoría o al revisar las desviaciones.

Las pruebas de certificación de salas blancas —verificación de la concentración de partículas, mapeo de la cascada de presión y análisis de la integridad de los filtros HEPA— constituyen una actividad de cualificación puntual. Aportan la evidencia de que un módulo cumplía con los requisitos de su clase en el momento de la puesta en servicio o la recualificación. La monitorización ambiental continua es una actividad de recopilación de pruebas, ya sea continua o periódica, que demuestra un control sostenido una vez que la instalación está en funcionamiento. Confundir ambos conceptos implica que una única desviación en los datos operativos pueda interpretarse erróneamente como un incumplimiento de la clasificación, o que un resultado de certificación satisfactorio se cite incorrectamente como prueba de las condiciones ambientales actuales. Ninguna de estas situaciones respalda una liberación de producto defendible ni una revisión de desviaciones.

Esta separación también determina quién es responsable de qué. Cuando no queda claro quién se encarga de la respuesta ante las alarmas y del mantenimiento de los registros, los datos se acumulan sin la infraestructura de toma de decisiones necesaria para actuar en consecuencia. Una desviación de partículas que se registra pero que no se escala, no se revisa ni se vincula a un registro de lote es un dato que existe, pero que no puede servir como prueba de cumplimiento normativo.

La tabla anterior resulta de gran utilidad como herramienta de alineación previa a la especificación, ya que permite confirmar que cada objetivo de aceptación cuenta con un resultado concreto y un responsable designado antes de que comience la adquisición de los sensores. Si en alguna fila el responsable no está claro en esa fase, la laguna en la respuesta a las alarmas o en la cobertura de los registros debe considerarse un riesgo de especificación, y no un detalle de la puesta en servicio que se resolverá más adelante.

Especificar las salidas de partículas, ACC, presión, temperatura y humedad

El nivel de clasificación de partículas requerido para una zona determinada no es uniforme en toda una planta de semiconductores. Las zonas de fotolitografía y deposición suelen funcionar en condiciones de clase ISO 3 o clase ISO 4 según la norma ISO 14644-1, mientras que las zonas generales de apoyo a la fabricación pueden utilizar la clase ISO 5 o superior. El nivel de clasificación determina la densidad de colocación de los sensores, el volumen de muestra y la frecuencia de recuento; establecer un único enfoque de monitorización de partículas para todas las zonas sin tener en cuenta los requisitos de clasificación por zona dará lugar a un exceso de instrumentación en los espacios de clase inferior o a una instrumentación insuficiente en las zonas críticas del proceso.

Los datos sobre partículas y presión se benefician del registro continuo; sin embargo, considerar que todos los parámetros son igualmente adecuados para la monitorización continua genera problemas de costes y de relación señal-ruido que salen a la luz tras la instalación.

La contaminación molecular en suspensión (AMC), a veces denominada ACC en el ámbito de los semiconductores, plantea un problema de especificación distinto. No existe un límite numérico universal para la AMC en ISO 14644-8; el umbral pertinente depende siempre del riesgo del proceso. En la mayoría de las salas blancas de semiconductores, el muestreo químico periódico —cuya frecuencia viene determinada por la sensibilidad del proceso y el historial de contaminación— conlleva un menor coste a lo largo del ciclo de vida y menos señales de falsos positivos que los sensores químicos en tiempo real. La monitorización de AMC en tiempo real puede estar justificada cuando determinados contaminantes moleculares supongan un riesgo inmediato y de graves consecuencias para el rendimiento, pero dicha justificación debe basarse en una evaluación de los riesgos del proceso, y no en la suposición general de que la monitorización continua es siempre superior.

En cuanto a la presión, la temperatura y la humedad, la monitorización continua suele ser el enfoque más práctico, ya que las variaciones en cualquiera de estos parámetros son transitorias, tienen consecuencias y requieren una respuesta antes de que se produzca la siguiente etapa del proceso. Las salas blancas de semiconductores suelen mantener temperaturas en el rango de 20–22 °C, con variaciones que no superan los ±1 °C, y una humedad relativa en el rango de 30–50% % HR para gestionar el riesgo de condensación y el comportamiento electrostático. Se trata de valores habituales en la industria para el diseño de las instalaciones, no de requisitos normativos especificados por la ISO, por lo que los valores de consigna reales deben confirmarse en función de los requisitos de los equipos de proceso y de la documentación de diseño de las instalaciones. La presión positiva con respecto a las zonas adyacentes es la dirección de control estándar, y el valor de consigna diferencial específico viene determinado por el diseño de la cascada de presión de ese módulo.

El AMC merece una atención especial en el proceso de elaboración de especificaciones, ya que la decisión entre el muestreo periódico y la monitorización continua tiene implicaciones en materia de adquisición, calibración y costes operativos que van mucho más allá de la puesta en servicio. Si las especificaciones del proyecto establecen por defecto la monitorización continua del AMC sin una evaluación de riesgos que lo respalde, dicha decisión debería revisarse antes de realizar el pedido de los equipos.

Relacionar las alarmas con las decisiones de mantenimiento y puesta en servicio

Instalar sensores sin definir primero qué debe activar una alarma es una de las formas más evidentes de crear un sistema de monitorización rico en datos pero pobre en pruebas. La consecuencia práctica no es que las alarmas pasen desapercibidas, sino que, cuando se registra una desviación y no se ha ejecutado ninguna respuesta definida, la decisión sobre la liberación o el destino del producto procesado durante ese intervalo se convierte en un ejercicio recurrente de justificación, en lugar de una revisión rutinaria.

El valor de las alarmas en tiempo real derivadas de la monitorización continua radica, concretamente, en la reducción del riesgo de fallos: los incidentes de contaminación que no se detectan en tiempo real pueden persistir durante días o semanas antes de que una auditoría periódica los identifique, momento en el que el producto afectado puede encontrarse ya en una fase muy avanzada del procesamiento posterior. Esa consecuencia —el posible desecho o reprocesamiento del producto a lo largo de un periodo de varios días— se puede evitar si el sistema de alarmas está conectado a un protocolo de respuesta definido y no solo a un registro de datos.

Es necesario especificar dos funciones distintas de respuesta ante alarmas. La primera es la respuesta operativa: quién recibe la alarma, cuál es la acción requerida y en qué plazo, y cuál es la vía de escalado si la persona encargada de la primera respuesta no está disponible. La segunda es la vinculación con la decisión de liberación: ¿un evento de alarma durante un ciclo de producción activa un registro de desviación, la retención de ese lote o solo una entrada en el registro? Ambas funciones deben definirse en la especificación antes de que se fijen definitivamente los puntos de consigna de los sensores, ya que estos deben calibrarse en función de las decisiones que deben respaldar; un umbral de alarma que active constantemente falsos positivos acabará siendo suprimido con el tiempo, lo que eliminará por completo la función de evidencia.

El análisis de tendencias para el mantenimiento preventivo requiere un sistema de registro histórico de datos con una capacidad de retención y una resolución suficientes, y no solo una salida de alarma.

El análisis de tendencias de los parámetros ambientales a lo largo del tiempo puede facilitar el mantenimiento predictivo de los sistemas de climatización y filtración, pero esta capacidad solo existe si el sistema de monitorización incluye un registrador histórico de datos con un periodo de retención y una resolución suficientes para distinguir la variación normal de una deriva direccional. Un sistema que solo emita alarmas, sin registro de tendencias, solo permite tomar decisiones de mantenimiento reactivas, no preventivas. La especificación debe confirmar si el análisis de tendencias es un resultado obligatorio de la monitorización y, en caso afirmativo, si la configuración del registrador histórico de datos es adecuada antes de firmar el acta de aceptación de la puesta en servicio.

Integrar los controles de los módulos con los sistemas de datos de las instalaciones

El reto de integración que plantea la monitorización de las salas blancas de semiconductores suele surgir tarde —durante la puesta en marcha o la primera auditoría—, cuando el controlador del módulo, el sistema de gestión de la instalación (BMS) y el sistema de registros de calidad disponen cada uno de ellos de fragmentos de la información ambiental, pero ningún sistema por sí solo cuenta con una cronología completa y auditable que el departamento de calidad pueda utilizar para la autorización de productos o la revisión de desviaciones. Identificar y resolver esa fragmentación antes de la puesta en marcha es una tarea que compete a las especificaciones, no a la integración de sistemas.

La principal disyuntiva desde el punto de vista de la ingeniería es que un BMS está diseñado para el control de las instalaciones, no para la gestión de datos de calidad. Puede registrar lecturas de diferencias de presión, controlar secuencias de climatización y activar alertas de mantenimiento, pero su arquitectura suele dificultar la extracción de datos en tiempo real para la elaboración de informes reglamentarios. La misma limitación se aplica a los controladores de módulos a nivel de equipo, que a menudo funcionan con protocolos propios y presentan los datos en formatos que no se traducen directamente en registros de calidad. Ninguno de estos sistemas es intrínsecamente inadecuado para su finalidad prevista; el problema surge cuando se da por sentado que cualquiera de ellos cumple la función de registro de pruebas de un sistema de monitorización medioambiental (EMS) específico sin que se haya comprobado dicha suposición.

Las cuestiones de integración que requieren respuesta en la fase de especificación —y no en la de puesta en marcha— son: qué sistema es responsable del registro de alarmas de cada parámetro; qué ocurre cuando una alarma del BMS y una del EMS se refieren al mismo evento con marcas de tiempo o umbrales diferentes; y quién es responsable de conciliar las discrepancias entre sistemas antes de que se tome la decisión de liberar un lote. La ambigüedad sobre la propiedad de las alarmas entre sistemas no se resuelve añadiendo otro sistema, sino asignando claramente la propiedad en la especificación y confirmando que los formatos de datos y las frecuencias de muestreo entre sistemas son compatibles antes de adquirir el hardware.

La ambigüedad en cuanto a la propiedad de las alarmas entre el BMS y el EMS constituye una deficiencia en las especificaciones; no se resuelve por sí sola durante la puesta en marcha.

Si el proyecto prevé la incorporación de un nuevo módulo y el sistema de gestión energética (EMS) ya está instalado en toda la instalación, se deben confirmar los requisitos de integración del nuevo módulo con respecto al formato de datos y la configuración del historial del EMS existente antes de formalizar la adquisición del módulo. Detectar una incompatibilidad de protocolos tras la instalación genera unos costes de reelaboración desproporcionados en comparación con el coste de una revisión de la interfaz previa a la adquisición.

Se necesitan los registros de traspaso para completar las pruebas

El paquete de monitorización solo se considera completo según las especificaciones cuando cada punto de sensor está asignado a una ubicación documentada, un parámetro y una unidad confirmados, una condición de alarma definida con la responsabilidad de la respuesta, un registro de calibración con una fecha de vencimiento vigente y un registro de aceptación del traspaso que confirme que todos los elementos anteriores han sido revisados y aceptados. Un paquete de monitorización que carezca de cualquiera de estos elementos se considera incompleto, independientemente de si el hardware está instalado y generando datos.

El principio en el que se basa este requisito tiene su fundamento en ISO 14644-2:2015, que considera los datos de monitorización continua como la base empírica para demostrar el cumplimiento sostenido de la clasificación de las salas blancas. La norma respalda el principio de «la monitorización como prueba»; no especifica cada elemento concreto del registro. Los elementos del registro que se indican a continuación constituyen una comprobación de exhaustividad basada en lo que los auditores y los revisores de calidad necesitan habitualmente para evaluar la integridad de los datos; su ausencia supone un riesgo para la integridad de los datos, pero no constituye una infracción normativa en todas las jurisdicciones.

Por lo general, la deficiencia que presenta mayor riesgo no es la falta de datos de los sensores, sino la falta de documentación de calibración. Un conjunto de datos completo procedente de un sensor cuyo certificado de calibración haya caducado, o en el que nunca se haya asignado la responsabilidad de la calibración, plantea un problema de integridad de los datos que no puede resolverse de forma retroactiva sin una recalibración y una justificación de dicha deficiencia. Esa justificación puede ser aceptada a nivel interno, pero durante una auditoría externa o una revisión de cualificación por parte del cliente, desplaza la carga de la prueba hacia una dirección que resulta difícil de gestionar.

El acta de aceptación de la entrega merece una atención especial, ya que es el documento que confirma que el paquete de monitorización se ha revisado en su conjunto —y no solo que se ha instalado y puesto en marcha el hardware—. Sin ella, la entrega es un hecho físico, no un hito de aceptación documentado. Para que las pruebas de cumplimiento continuado sean defendibles, la entrega debe demostrar que el paquete de monitorización cumplía con sus especificaciones en el momento en que se transfirió a la propiedad operativa, creando así una referencia clara para cualquier desviación futura o revisión de auditoría.

Antes de ultimar una especificación de monitorización de una sala limpia de semiconductores, hay que confirmar que se ha asignado un objetivo de aceptación a cada parámetro, que la decisión de si el monitorizado debe ser continuo o periódico —especialmente en el caso del AMC— se ha tomado en función del riesgo del proceso y no por una preferencia predeterminada, y que los puntos de consigna de las alarmas están vinculados a protocolos de respuesta documentados y a criterios de decisión de liberación, en lugar de existir únicamente como valores umbral en un controlador. No se trata de detalles de puesta en marcha; estos aspectos determinan si el sistema de monitorización puede respaldar una decisión de liberación defendible o una respuesta justificada ante una desviación cuando se produce realmente una excursión.

La mejor forma de resolver el problema de integración entre los controladores de módulos, el BMS y el EMS es hacerlo en la fase de especificación, confirmando la compatibilidad de los formatos de datos, la responsabilidad de las alarmas y la configuración del sistema de registro histórico antes de la adquisición del hardware. Cada elemento del registro de traspaso —ubicación del sensor, parámetro, condición de alarma, responsable de la calibración, configuración del historial— debe confirmarse como completo y aceptado antes de que el paquete de monitorización se considere operativo. Un sistema de monitorización que genera datos pero no puede producir una cronología completa y auditable para ningún intervalo de producción no es un sistema de monitorización en ningún sentido útil a efectos probatorios; es una instalación de instrumentación a la espera de que se redacte una especificación en torno a ella.

Preguntas frecuentes

P: Ya contamos con una sala limpia operativa en la que se han instalado sensores, pero nunca se definieron los criterios de aceptación ni los protocolos de respuesta. ¿Podemos aplicar esta arquitectura de monitorización con carácter retroactivo?
R: Sí, se puede adaptar el marco, pero el proceso consiste en un análisis de deficiencias más que en una especificación desde cero. El paso más urgente es asignar cada punto de sensor existente a un único objetivo de aceptación —clasificación, evidencia continua, respuesta a alarmas o traspaso al proveedor— y designar un responsable de los registros y un responsable de la respuesta a las alarmas para cada uno. Los registros de calibración que falten o hayan caducado requerirán atención inmediata, y es posible que haya que ajustar los puntos de consigna de las alarmas, ya que los umbrales establecidos sin una vinculación con la decisión de lanzamiento suelen provocar falsos positivos o se ignoran silenciosamente. Aunque la adaptación no puede recuperar las ventajas de la alineación previa a la adquisición, reduce sustancialmente el riesgo de generar datos que no superen una auditoría o una revisión de retención de productos.

P: Una vez que hayamos confirmado que el pliego de condiciones está completo, ¿cuál es el siguiente resultado concreto que se debe entregar antes de realizar el pedido de sensores o módulos?
R: Elaborar un documento de diseño de integración que asigne cada punto de monitorización al sistema de datos de destino (EMS, BMS o controlador de módulo), con los formatos de datos, las frecuencias de muestreo, la responsabilidad de las alarmas y los parámetros de retención del historial confirmados. El documento también debe incluir el primer borrador de los protocolos de respuesta a alarmas —quién responde, en qué plazo y qué acciones generan un registro de desviación—, ya que estos protocolos influyen directamente en los valores de consigna de los sensores y en los ajustes de retardo de las alarmas. Este documento de entrega cierra la brecha entre una especificación en papel y un sistema de monitorización técnicamente integrado antes de que el departamento de compras adquiera hardware que pueda no comunicarse correctamente con la infraestructura de datos de la instalación.

P: ¿A partir de qué umbral de riesgo de contaminación por AMC deja de ser suficiente el método de muestreo periódico y en qué momento se justifica el control continuo en tiempo real?
R: Por lo general, el cambio se justifica cuando un contaminante molecular específico presente en el aire puede provocar una pérdida de rendimiento tan significativa en un solo turno de producción que un intervalo de muestreo periódico pasaría por alto el incidente por completo. Este umbral debe establecerse mediante un análisis de modos de fallo y efectos (FMEA) específico del proceso que cuantifique el tiempo hasta el impacto para la etapa más sensible del proceso, y no a través de comparativas genéricas del sector. Si un episodio de contaminación puede dañar el producto antes de que se extraiga la siguiente muestra programada, se recomienda la monitorización en tiempo real con alarma inmediata; de lo contrario, el coste del ciclo de vida y el riesgo de falsos positivos de los sensores químicos continuos suelen hacer que resulte más conveniente un plan de muestreo periódico bien diseñado.

P: ¿Es realmente necesario contar con un sistema de monitorización medioambiental (EMS) específico, o puede un sistema de gestión de edificios (BMS) correctamente configurado satisfacer tanto las necesidades de control de las instalaciones como las de datos de calidad?
R: Un BMS por sí solo rara vez resulta adecuado para la gestión de datos de calidad, ya que su arquitectura está optimizada para las secuencias de control de los equipos, no para generar los registros con marca de tiempo, a prueba de manipulaciones y auditables que requieren la liberación del producto y la revisión reglamentaria. Aunque un BMS puede registrar lecturas de presión y temperatura, suele tener dificultades para extraer datos en tiempo real para la elaboración de informes de lotes, carece de las funciones integradas de registro de auditoría que se esperan en un contexto GxP y, a menudo, genera conflictos de responsabilidad sobre las alarmas cuando un mismo parámetro activa tanto una alerta de mantenimiento como una evaluación para la decisión de lanzamiento. Un EMS específico es el sistema de registro adecuado para las pruebas de cumplimiento; el BMS debe seguir siendo la columna vertebral del control, y ambos deben estar integrados con responsabilidades claramente divididas y definidas en la especificación.

P: Nuestra planta de semiconductores solo cuenta con áreas de apoyo de clase 5 y clase 6 según la norma ISO, pero no dispone de salas de litografía de clase 3-4. ¿Sigue siendo aplicable el rigor de monitorización recomendado aquí, o podemos reducirlo?
R: Los principios fundamentales —asignar cada parámetro a un objetivo de aceptación, definir los protocolos de respuesta ante alarmas y completar los registros de traspaso— siguen siendo esenciales independientemente de la clase de limpieza, ya que sustentan la integridad de los datos durante cualquier auditoría o revisión del producto. Lo que sí se puede adaptar es la frecuencia de monitorización, la decisión de utilizar un muestreo periódico en lugar de continuo para parámetros específicos como el AMC, y el nivel de rigor de los umbrales de alarma, siempre que dichos ajustes estén justificados por una evaluación de riesgos documentada vinculada a la sensibilidad real de los procesos de sus operaciones. Sin embargo, omitir los elementos estructurales de responsabilidad, trazabilidad de la calibración y aceptación en el traspaso de turnos genera el mismo déficit de pruebas en la Clase 5 de la ISO que en la Clase 3.