Automatisation, alarmes et intégrité des données dans les systèmes Aseptic Fill-Finish

L'inspecteur demande l'audit trail de la recette d'un lot arrêté par une alarme de niveau. Le système le produit : cent vingt mille lignes où chaque changement d'état de capteur pèse autant que la modification du set point de dosage. Personne n'avait jamais filtré ce fichier. L'audit trail existait ; il n'avait jamais fait l'objet d'une review, faute de savoir le lire.

Cet article tranche une question : quelles données de la ligne sont des « GMP record » et lesquelles restent des « machine data ». Tout ce que produit l'automate n'est pas un enregistrement GMP, et tout enregistrement GMP ne naît pas dans le PLC. Le classement ne découle pas de l'architecture de contrôle : c'est une décision de risque documentée, prise en URS, dont dépendent audit trail, rétention, backup et periodic review.

Où naît le problème

La séquence de défaillance est toujours la même. En URS, l'automatisation est décrite par fonctions – dosage, transport, stoppering, rebuts – non par données ; le fournisseur chiffre son SCADA standard ; en FAT on vérifie les fonctions, pas les enregistrements ; en OQ on teste alarmes et interlocks un par un, sans vérifier que l'ensemble reste gérable. En exploitation, le système enregistre tout et ne dit rien.

La facture arrive en aval, dans deux directions. Une donnée reconnue comme enregistrement GMP une fois l'exploitation lancée, que le système ne conserve ni lisible ni attribuable, impose change control et revalidation partielle. Une donnée traitée comme enregistrement GMP sans en être un génère des reviews inutilisées. Même omission dans les deux cas : personne n'a écrit la liste des enregistrements GMP du système, avec son rationale.

Le cadre réglementaire

Deux plans restent distincts. Premier : l'Annex 11 en vigueur est le texte de 2011, le seul face auquel on est inspectable ; traiter le projet comme une exigence engage fournisseur et budget sur un texte sans forme finale. Second : une ligne spécifiée aujourd'hui vivra des décennies, et ignorer la direction rendue publique par la consultation – data lifecycle, interfaces, cybersécurité – revient à livrer une architecture à modifier dès que le texte changera. On valide contre 2011 et on conçoit pour absorber l'évolution attendue, choix de robustesse à déclarer comme tel [GUIDEGXP].

PLC, HMI, SCADA et historian ne sont pas le même système

Le PLC exécute la logique machine en temps réel ; l'HMI est l'interface locale ; le SCADA supervise plusieurs machines et gère recettes, utilisateurs et événements ; l'historian archive les séries temporelles. Sur une ligne aseptique, ces fonctions se répartissent entre remplisseuse, barrière, tunnel, lyophilisateur, EMS et systèmes de site : chacun produit des données, aucun ne produit le dossier de lot.

Recettes et paramètres critiques

La recette est le point où la décision mord. Elle contient des paramètres critiques de procédé (volume nominal et limites, paramètres de cycle, critères de reject), des paramètres machine non critiques et la configuration d'interface. Seuls les premiers sont pleinement des enregistrements GMP ; pour les autres, la classification dépend de l'impact démontré sur le produit [QRM]. Valeurs et limites viennent du process development, de l'URS et de la validation, puis se figent dans une version de recette univoque, sous change control [EXIGENCE].

Alarmes, événements et interlocks

Un interlock empêche une action. Une alarme exige une action humaine. Un événement enregistre un fait. Les confondre est la première cause de prolifération : chaque transition d'état devient alarme et l'opérateur acquitte en rafale des fenêtres qu'il ne lit plus. La prolifération d'alarmes non critiques est en soi un risque de sterility assurance : l'alarme sur une perte de surpression en barrière se noie dans le bruit de celle du magasin de bouchons.

L'alarm rationalisation déclare, pour chaque alarme, condition, conséquence sur le procédé aseptique, priorité et action attendue. Ce qui n'exige pas d'action humaine devient événement dans l'historian ; ce qui doit empêcher une action devient interlock. Seuils et priorités viennent du process development, de la CCS et des données constructeur, et se vérifient en OQ [QRM]. Une alarme entraînant l'entrée d'un opérateur en Grade A génère une intervention, à inclure dans la liste autorisée (8.16) et à consigner au dossier de lot avec heure, durée et opérateurs (8.17) [EXIGENCE] : la logique d'alarme est aussi un choix sur le nombre d'interventions, traité dans automatisation, robotique et procédé aseptique gloveless.

IPC et rebuts

Dans l'IPC coexistent mesure, correction automatique et résultat. Les rebuts sont le cas le plus négligé : un contenant rejeté pour bouchon manquant ou désaligné – rejet exigé par l'Annex 1 8.28 avant le capping conduit comme clean process avec grade A air supply [EXIGENCE] – produit une donnée nécessaire à la réconciliation du lot. Si le comptage par cause n'est pas attribuable à la phase, la réconciliation devient une estimation.

Audit trail, accès, temps et continuité

La review est un exercice de risque, pas de volume

Un audit trail utile est filtrable par type de donnée, utilisateur et intervalle, lisible sans outil propriétaire. La review se définit par périmètre, occasion (libération, investigation, périodique) et responsabilité, selon la criticité [QRM]. La fréquence ne se copie pas : elle se justifie. Une review qui prétend tout couvrir sans rien couvrir est pire qu'une review partielle et ciblée.

Rôles, accès et enregistrements électroniques

Le contrôle des accès rend chaque action critique attribuable à une personne identifiée, avec rôles par fonction et privilège minimal ; comptes partagés et comptes de maintenance permanents sont la brèche la plus fréquente. La signature électronique appelle le périmètre Part 11 : signification, lien indissociable avec l'enregistrement, contrôles d'identité [EXIGENCE]. La guidance 2003 déclare une enforcement discretion, mais n'exempte pas des predicate rules.

Temps, backup, accès distant et cybersécurité

Sans référence horaire synchronisée entre PLC, SCADA, EMS et systèmes de site, corréler une excursion environnementale et une intervention de ligne relève de l'interprétation : la synchronisation se spécifie en URS et se vérifie en qualification [GEP]. Un backup non testé n'est pas un backup : fréquence et modalités se définissent par criticité et s'éprouvent par un restore documenté [QRM]. L'accès distant du fournisseur se gouverne : activation sur demande, autorisation nominative, session tracée, modifications enregistrées — une modification distante non tracée est un changement non autorisé. La cybersécurité est le prérequis de la data integrity : segmentation OT/IT, patches compatibles avec l'état validé et contrôle des supports amovibles conditionnent toute démonstration d'attribuabilité [GEP].

Machine data ou GMP record : la matrice de décision

Les dernières lignes montrent les deux faces de la distinction : le PLC produit des données qui ne sont pas des enregistrements GMP, et aucun PLC ne produira les enregistrements GMP qui décident de la sterility assurance.

QRM et CCS

Avec l'ICH Q9(R1), le danger n'est pas « la donnée est fausse » mais « une décision sur le lot repose sur une donnée non attribuable » : l'évaluation pèse impact patient, détectabilité et contrôles indépendants, et produit deux résultats, classification des données et périmètre de la review. Dans la CCS, ces contrôles entrent comme contrôles techniques et organisationnels (Annex 1 2.3 et 2.5). La periodic review vérifie que l'état validé n'a pas dérivé par accumulation de changes, que les backups sont restaurables et que les alarmes servent encore [QRM] ; le lien avec la qualification de la ligne est de continuité, non de répétition.

Exemple applicatif : le Site Pyxis

Le « Site Pyxis » est un exemple réaliste mais entièrement fictif. Il installe une ligne flacons en isolateur, SCADA machine et historian de site. L'URS comporte un chapitre « conformité Annex 11 et Part 11 » énumérant les fonctions attendues : audit trail, contrôle des accès, backup, signature électronique. Le fournisseur les implémente ; FAT, SAT, IQ et OQ passent sans réserve.

L'erreur est dans le chapitre : il demande des fonctions, il ne classe pas de données. L'audit trail est configuré « sur tout », car sans liste d'enregistrements GMP le choix prudent du fournisseur est de tout tracer. Des mois plus tard, une investigation doit établir si une limite de reject avait été modifiée au poste précédent : la réponse existe, mais l'extraire exige l'assistance distante du fournisseur, le fichier n'étant pas filtrable par type de paramètre et les entrées de recette portant l'étiquette des paramètres machine. Le lot reste en quarantaine, et la review prévue – « vérification par échantillonnage » – se révèle exécutée sur des événements de connexion.

La correction n'est pas technologique : liste classée des données construite a posteriori, reconfiguration sous change control des étiquettes et niveaux d'enregistrement, procédure de review réécrite par périmètre et occasion, alarm list rationalisée. Cela coûte plus cher que de l'écrire en URS : classer les données est une activité de projet, pas de remédiation.

Niveaux de prescriptivité

Checklist

• Classer chaque flux de données en machine data ou GMP record, rationale signé, avant la spécification fonctionnelle.
• Déclarer en URS un audit trail filtrable et exportable.
• Rationaliser les alarmes en les distinguant des événements et interlocks.
• Tracer les rebuts par cause et par phase.
• Définir la matrice rôles/privilèges, comptes partagés interdits.
• Synchroniser l'heure entre PLC, SCADA, EMS et systèmes de site.
• Vérifier le backup par un restore documenté.
• Gouverner l'accès distant du fournisseur : autorisation nominative, sessions réconciliées.
• Figer les versions de recette sous change control.

Erreurs récurrentes et red flags

Le premier signal est un chapitre d'URS demandant la « conformité Annex 11 » sans liste des enregistrements GMP : il délègue au fournisseur une décision du titulaire. Le deuxième est une alarm list qui grossit à chaque modification : si aucune alarme n'a jamais été déclassée en événement, la rationalisation n'a pas eu lieu. Le troisième est la spécification bâtie sur le projet de révision de l'Annex 11 comme s'il était en vigueur : la consultation EMA/PIC/S s'est close le 7 octobre 2025, aucune adoption n'est confirmée – valider contre un texte qui n'existe pas est une erreur, en ignorer la direction sur une installation qui vivra des décennies en est une autre. Le quatrième est l'horloge : des systèmes non synchronisés rendent incorrélables les données de ligne et celles de l'environmental monitoring. Le cinquième est le backup jamais restauré et l'accès distant toujours ouvert, cas typiques de dépannage et retrofit ligne arrêtée.

La différence entre un système conforme et un système utile tient à une liste que quelqu'un doit signer avant que le fournisseur configure le SCADA : le genre de décision peu visible et coûteuse à rattraper que raconte The Pragmatic GMP.

Points clés

• Classer machine data et GMP record est une décision de risque documentée.
• Des enregistrements GMP essentiels à la sterility assurance naissent hors du PLC ; beaucoup de données du PLC n'en sont pas.
• La prolifération d'alarmes non critiques est un risque : l'alarme utile se perd dans le bruit.
• L'Annex 11 en vigueur est le texte de janvier 2011 ; le projet post-consultation n'est pas une exigence.
• Un audit trail non filtrable est formellement présent, matériellement inutilisable.
• La cybersécurité n'accompagne pas la data integrity : elle la précède.

Références

• EU GMP Annex 1 (C(2022) 5938 final)
• EU GMP Annex 11 – Computerised Systems (2011)
• EU GMP Annex 15 (2015)
• 21 CFR Part 11
• FDA – Part 11 Scope and Application (2003)
• ICH Q9(R1)