Biofilm et rouging dans les systèmes d'eau pharmaceutique : investigation et recovery

Le troisième dépassement de niveau d'alerte en six mois au même point of use de la boucle Purified Water a été clôturé comme les deux précédents : résultat isolé, rééchantillonnage conforme, opérateur réentraîné à la technique de prélèvement. Aucune des trois investigations n'a regardé les deux autres. En inspection, la question est tombée en moins d'une minute : montrez-moi la tendance de ce point sur les deux dernières années. Le graphique ne montrait pas trois pics isolés, mais une ligne de base qui avait dérivé lentement vers le haut, avec les pics posés dessus. Ce n'était pas un problème de prélèvement : c'était un système en train de céder.

L'Annexe 1 d'EudraLex Volume 4 (C(2022) 5938 final, applicable depuis le 25 août 2023) demande exactement cette distinction : au point 6.14, les dépassements de niveau d'alerte doivent être documentés, revus et investigués, et l'investigation doit établir s'il s'agit d'un événement isolé ou d'une tendance défavorable, voire d'une détérioration du système. Phrase brève, conséquences lourdes : si la conclusion est « événement isolé », elle doit être démontrée, pas supposée parce que le rééchantillonnage est revenu dans les limites.

Derrière la plupart des dépassements récurrents se trouvent deux phénomènes distincts : le biofilm et le rouging. Les confondre produit deux erreurs symétriques : sanitiser un système qui a un problème de corrosion, et repassiver un système qui a un problème microbiologique. Ce qui suit est le parcours d'investigation qui permet de les distinguer, de les caractériser et de décider d'une intervention proportionnée, dans le cadre plus large de la conception, de la qualification et de la gestion du cycle de vie des systèmes d'eau pharmaceutique.

Deux phénomènes que l'échantillonnage tend à confondre

Le biofilm est une communauté de micro-organismes sessiles adhérant à la surface interne du système et enrobés dans une matrice polymérique extracellulaire qu'ils produisent eux-mêmes. Cette matrice n'est pas un détail : c'est une barrière qui ralentit la pénétration des agents de sanitisation, abrite des micro-environnements différents du bulk et retient les nutriments. L'échantillon d'eau mesure par construction la phase planctonique, qui, en présence d'un biofilm mature, est alimentée par des détachements intermittents et non par une croissance homogène. D'où la signature typique du dépassement lié au biofilm : des résultats qui oscillent, des rééchantillonnages conformes quelques heures plus tard, et une dérive lente de la ligne de base visible seulement sur une tendance longue. Le PDA Technical Report No. 69 (2015), consacré à la maîtrise de la biocharge et du biofilm dans les opérations pharmaceutiques, identifie précisément les systèmes véhiculant des fluides comme le contexte où le biofilm compte le plus.

Le rouging concerne en revanche la surface de l'acier inoxydable : formation ou dépôt d'oxydes et d'hydroxydes ferrifères sur la couche passive. Ce n'est pas une maladie unique avec un remède unique. Il peut naître ailleurs dans le système et être transporté puis redéposé par le fluide ; il peut se développer in situ là où la couche passive est localement affaiblie ; il peut prendre les formes stables et adhérentes typiques des surfaces exposées longtemps à haute température. La littérature technique décrit couramment ces formes selon une tripartition en « types ». Il faut le dire clairement : cette tripartition est une convention de littérature technique, utile pour organiser l'observation, et non une classification réglementaire. Aucune pharmacopée, aucune annexe GMP et aucune norme citée ici ne définit de catégories réglementaires de rouge.

Les deux phénomènes interagissent : une surface irrégulière ou porteuse de dépôts adhérents offre des sites d'ancrage à l'adhésion microbienne, et un biofilm établi crée des gradients locaux d'oxygène et de pH susceptibles de contribuer à l'attaque de la couche passive. Coexister n'en fait pas pour autant le même problème : actions correctives et vérifications d'efficacité reposent sur des preuves différentes.

Avant l'hypothèse : écarter les artefacts

La première question n'est pas « qu'y a-t-il dans le système » mais « le résultat est-il réel ». Clôturer un dépassement en l'attribuant à un artefact sans le démontrer est un défaut grave ; ne pas chercher l'artefact l'est tout autant, car cela conduit à démonter un système sain. La séquence est documentaire avant d'être physique, et elle doit être bouclée rapidement, car beaucoup de preuves sont périssables.

L'identification de l'isolat est l'outil le plus sous-utilisé de cette phase. Un organisme associé à la manipulation humaine, apparu une seule fois sur un point peu utilisé et avec des témoins de laboratoire propres, raconte une autre histoire qu'un organisme hydrophile récurrent apparaissant en différents points de la même antenne. La discipline de prélèvement et la justification des points sont traitées dans l'article sur les plans d'échantillonnage et les points de prélèvement ; les méthodes de dénombrement et d'identification dans celui sur le contrôle microbiologique et des endotoxines en PW et WFI.

Lire la tendance avant le résultat isolé

L'Annexe 1 6.13 exige une surveillance chimique et microbiologique régulière et continue, avec des niveaux d'alerte fondés sur les données de qualification initiale et réexaminés périodiquement à la lumière de la requalification, de la surveillance de routine et des investigations ; le 6.14 exige la distinction entre événement isolé et tendance défavorable. Ensemble, ces clauses impliquent qu'un résultat isolé n'est pas interprétable seul.

Une tendance utile à cet effet est stratifiée par point et non agrégée sur la boucle, car la moyenne du système masque le point qui se dégrade. Elle couvre un horizon suffisant pour saisir la variation saisonnière, que l'Annexe 1 6.8 demande de prendre en compte dans la qualification des systèmes d'eau et pour laquelle le Q&A de l'EMA sur les méthodes non distillatives (EMA/INS/GMP/443117/2017) attend, en phase initiale, des données couvrant environ un an. Elle considère les résultats non conformes et les résultats conformes mais en hausse, car la dérive de la ligne de base est le signal précoce. Elle inclut enfin les événements non microbiologiques : sanitisations réalisées et sautées, maintenances, remplacements, arrêts, modifications approuvées.

Le point le plus délicat concerne les limites. Quand un système dérive, la tentation est de réviser les niveaux d'alerte et d'action « sur la base des données historiques récentes ». L'EMA est explicite : increasing of such limits is not good practice and may mask a failing system. La revue périodique prévue par l'Annexe 1 6.13 sert à rendre les niveaux plus représentatifs de la capability du système qualifié, non à poursuivre vers le haut un système qui se dégrade. L'USP <1231>, chapitre informatif et donc non contraignant, indique des niveaux d'action de référence et laisse aux utilisateurs le soin d'établir des spécifications internes : cette liberté est précisément ce qui rend obligatoire une justification documentée lorsque les niveaux changent.

Interroger le système : les conditions qui rendent le biofilm possible

Si le résultat tient et que la tendance indique un problème réel, l'investigation passe aux conditions opératoires. Le biofilm n'est pas un accident : c'est le résultat prévisible de la surface, de l'hydraulique, de la température, des nutriments et du temps.

• L'écoulement est-il resté turbulent partout ? L'Annexe 1 6.9 exige que l'écoulement reste turbulent afin de limiter l'adhésion microbienne et la formation de biofilm, et que le débit établi en qualification soit surveillé en routine. À vérifier : débit réel par rapport au débit qualifié, comportement dans les antennes, dégradation de la pompe, points of use ajoutés après la qualification.
• La température d'exercice a-t-elle été maintenue ? Dans les systèmes chauds, c'est la température effective en chaque tronçon qui compte, pas celle de la cuve ; l'Annexe 1 6.10 cite en exemple, pour la WFI, une circulation constante au-dessus de 70 degrés Celsius. Dans les systèmes à température ambiante, la marge est plus étroite : le Q&A de l'EMA rappelle que les unités RO fonctionnent typiquement à température ambiante et constituent donc un environnement idéal pour la formation de biofilm. Le choix entre systèmes chauds, froids et ozonés détermine la stratégie de maîtrise réellement disponible.
• Y a-t-il de nouvelles zones mortes ? L'Annexe 1 6.7 exige une pente des tuyauteries pour le drainage et d'éviter les dead legs. Ceux qui comptent dans les investigations sont rarement ceux du projet : ce sont les antennes de points of use désaffectés mais non déposés, les instruments sur piquages, les raccords pour usages temporaires. Géométrie et matériaux sont traités dans l'article sur les bras morts, pentes, matériaux et hygienic design.
• Les sanitisations ont-elles été réalisées telles que qualifiées ? L'Annexe 1 6.12 prévoit la stérilisation, la désinfection ou la régénération selon un calendrier prédéterminé et comme action correctrice après des résultats hors limites ou hors spécifications. À vérifier : cycles en retard ou sautés, paramètres atteints en chaque point et pas seulement au point de contrôle, points exclus, vannes non manœuvrées.
• Qu'est-ce qui a changé en amont ? Eau d'alimentation, prétraitement, régénérations, changements de membrane, filtres d'évent de la cuve : l'Annexe 1 6.11 exige que les filtres d'évent hydrophobes bactériorétenteurs ne soient pas une source de contamination, avec test d'intégrité avant installation et après usage, et prévention de la condensation.

L'inspection physique : quand ouvrir le système

On ouvre le système lorsque la preuve documentaire a restreint le champ à une portion de l'installation, ou lorsque la tendance indique une détérioration que les données de procédé n'expliquent pas. Ouvrir est en soi un événement contaminant : séquence définie, points photographiés et cartographiés, échantillons de surface et de dépôt prélevés avant tout nettoyage, remise en état et sanitisation qualifiées déjà prévues au plan.

Les objets à regarder en premier sont ceux qui concentrent la preuve : interface liquide-vapeur dans la cuve, zones d'ombre du spray pattern, vannes des points of use et leurs sièges, échangeurs, joints et raccordements, tronçons terminaux des antennes, surfaces en aval de défauts de soudure. Là où l'accès direct est impossible, l'inspection endoscopique de tronçons sélectionnés est souvent le seul moyen d'obtenir une preuve sans découper. Pour les unités à membrane, le Q&A de l'EMA mentionne explicitement l'analyse destructive de la membrane comme moyen de confirmer l'absence de biofilm : preuve forte et non reproductible, à décider avec des critères fixés au préalable et à lire avec l'historique de cette membrane, non comme un verdict sur l'ensemble du système.

Rouging : caractériser avant de décider

Quand une coloration anormale apparaît, la réaction instinctive est de planifier une repassivation. Elle est erronée, car elle saute l'étape qui détermine si une intervention est nécessaire et laquelle. Tous les cas de rouging ne requièrent pas une repassivation. Certains sont stables et non progressifs, certains ne relarguent pas de particules en conditions opératoires, certains sont la conséquence visible d'une cause en amont à supprimer d'abord et indépendamment de tout traitement de surface.

• Étendue et localisation. Un phénomène diffus, un phénomène localisé en aval d'un composant et un phénomène confiné à la zone la plus chaude racontent des histoires différentes.
• Aspect et adhérence. Dépôt éliminable ou film adhérent et continu ; couleur et uniformité ; attaque visible du substrat.
• Nature du dépôt. Analyse élémentaire et morphologique sur un échantillon prélevé de façon traçable, pour distinguer un matériau transporté et redéposé d'une oxydation développée in situ.
• Progression dans le temps. Comparaison avec les inspections précédentes, photographies datées, historique des sanitisations, âge du système et du composant.
• Impact mesurable. Paramètres contrôlés, particules là où elles sont surveillées, preuve de relargage vers le produit.
• Histoire de construction. Matériaux et état de surface, traitement des soudures, passivation initiale documentée, modifications ultérieures. L'ASME BPE traite des matériaux métalliques, des états de surface et du system design dans des parties dédiées : l'édition applicable doit être fixée contractuellement et les critères chiffrés lus dans cette édition, non de mémoire.

Le résultat n'est pas une étiquette mais la réponse à trois questions : le phénomène progresse-t-il ; affecte-t-il la qualité de l'eau ou du produit ; existe-t-il une cause active qui continuera d'agir même après traitement de la surface.

La décision de repassivation n'est pas automatique

La repassivation est une intervention chimique sur une installation en service, avec ses propres risques : attaque des joints et des composants non métalliques, endommagement de l'instrumentation, rinçage incomplet, effluents à gérer, arrêt de production et nécessité de requalifier avant remise en service. Le cadre technique est donné par l'ASTM A967/A967M-25 pour la passivation chimique de l'acier inoxydable et l'ASTM A380/A380M-25 pour cleaning, descaling, pickling et passivation : tous deux définissent des pratiques et des vérifications, non le quand intervenir sur un système donné. Cette décision appartient au site, avec le cadre de gestion du risque d'ICH Q9(R1) et la logique de gestion des actions d'ICH Q10. La matrice ci-dessous est livrée avec la colonne des poids vide : les poids sont attribués par le site selon le produit, la criticité d'usage de l'eau et la configuration de l'installation.

Les options ne sont pas au nombre de deux. Entre « ne rien faire » et « repassiver tout le système » existent la surveillance instrumentée avec des critères de réexamen définis, le traitement du seul tronçon concerné, le remplacement du composant et la correction de la cause en amont. Si l'on intervient, il faut un plan de vérification défini au préalable et une requalification proportionnée : une repassivation non vérifiée déplace le problème, elle ne le clôt pas.

Remédiation du biofilm : pourquoi une shock sanitisation ne clôt pas le dossier

L'Annexe 1 6.12 reconnaît la sanitisation comme action correctrice après des résultats hors limites ou hors spécifications, et c'est la bonne réponse en première intention. Il n'est pas correct pour autant d'affirmer qu'une shock sanitisation élimine définitivement un biofilm mature. Les raisons sont mécaniques, non théoriques.

La première est la pénétration : la matrice ralentit la diffusion de l'agent et en consomme une partie par réaction, de sorte que la concentration atteignant les couches profondes peut être sensiblement inférieure à celle du bulk et que le temps de contact nécessaire diffère de celui qui suffit pour des cellules planctoniques. La deuxième est la distribution : le cycle atteint le système de façon hétérogène, et les points à faible vitesse, les antennes terminales, les sièges de vannes et les zones d'ombre reçoivent moins que ne l'indique le point de contrôle. La troisième est que tuer n'équivaut pas à éliminer : une matrice inactivée mais non éliminée reste une surface conditionnée, idéale pour la recolonisation, et peut continuer à relarguer matière organique et endotoxines. La quatrième est la survie de fractions résiduelles dans des niches protégées, suffisantes pour relancer la colonisation.

Trois conséquences opérationnelles en découlent. Une remédiation efficace combine élimination et inactivation et ne se résume pas à un traitement unique. Si le cycle qualifié n'a pas suffi, l'action n'est pas de le répéter à l'identique indéfiniment mais d'en revoir les paramètres et la qualification : l'article sur la qualification des cycles de sanitisation traite de la façon dont cette adéquation se démontre. Et c'est la suppression de la cause qui décide de l'issue : si la vitesse reste faible, si le dead leg reste en place ou si la température reste hors du profil qualifié, la recolonisation n'est qu'une question de temps. Le Q&A de l'EMA mentionne le traitement thermique au-dessus de 75 degrés Celsius comme approche de maîtrise des biofilms dans les systèmes non distillatifs, en laissant les temps de contact à la validation du fabricant : confirmation que les paramètres efficaces doivent être établis et démontrés sur le système spécifique.

Vérifier le recovery : une preuve dans la durée, pas un résultat conforme

Le résultat conforme unique après sanitisation est la preuve la plus faible disponible, car c'est le comportement attendu même lorsque le biofilm n'a été que perturbé. La vérification du recovery est un plan approuvé avant l'intervention, qui définit quels points échantillonner et à quelle fréquence renforcée, combien de temps maintenir le régime intensifié, quels paramètres physiques suivre en parallèle, quel critère quantitatif définit le rétablissement et quelle preuve autorise le retour à la routine.

Aucune des sources citées ne fixe ce critère, cette durée ou ce nombre d'échantillons : ils doivent être établis, justifiés et documentés par le site, à partir d'éléments vérifiables comme la capability démontrée en qualification initiale, la variabilité historique du système sous contrôle, l'horizon dans lequel la recolonisation s'est historiquement manifestée sur ce système, la variation saisonnière et la criticité d'usage de l'eau. Un critère robuste regarde la distribution des résultats et la stabilité de la ligne de base plutôt qu'une valeur isolée, considère plusieurs points de l'antenne concernée et prévoit ce qu'il faut faire si la dérive reprend après le retour à la routine.

La même logique couvre la surveillance continue que l'Annexe 1 6.15 exige pour les systèmes WFI, comme le TOC et la conductivité : en phase de rétablissement, ces signaux, lus avec la donnée microbiologique, donnent de la continuité à une preuve autrement discrète. Le Q&A de l'EMA fixe en outre, au minimum, une évaluation annuelle de l'efficacité de la surveillance : après un événement de ce type, c'est là que l'on vérifie si le plan aurait pu intercepter la dérive plus tôt.

CAPA : clôturer sur la cause, pas sur l'événement

ICH Q10 place les actions correctives et préventives parmi les éléments du système qualité pharmaceutique, et ICH Q9(R1) fournit le cadre de risque qui en régit la proportionnalité. La root cause analysis doit aboutir à une cause qui explique le pattern, pas seulement le dernier résultat : si la tendance montre trois dépassements en six mois sur la même antenne, la cause doit expliquer pourquoi cette antenne et pourquoi cette cadence. Correction, action corrective et action préventive se tracent séparément : sanitiser est la correction ; supprimer le dead leg, rétablir le débit qualifié, revoir le cycle ou remplacer le composant sont des actions correctives ; étendre la vérification aux antennes de même configuration, mettre à jour le plan d'échantillonnage et introduire une règle de trending qui intercepte la dérive avant le niveau d'action sont des actions préventives. L'efficacité se vérifie sur la preuve définie dans le plan de recovery : la CAPA ne se clôture pas avant que cette preuve existe.

Exemple applicatif : Site Delta

Site Delta est un exemple pédagogique, non un cas réel. Il fabrique des formes non stériles et exploite une boucle PW à température ambiante avec sanitisation chimique périodique. Sur douze mois, il enregistre quatre dépassements d'alerte, dont trois sur deux points of use contigus de la même antenne terminale ; les deux premiers avaient été clôturés comme erreur de prélèvement.

L'investigation rouverte, la revue documentaire ne trouve pas d'artefact : technique de prélèvement correcte, témoins de laboratoire propres, isolat récurrent compatible avec la flore hydrophile du système. La tendance par point montre que les deux points ont une ligne de base plus élevée que les autres depuis environ neuf mois, la dérive débutant juste après une intervention de maintenance. La revue des conditions opératoires révèle qu'après cette intervention un point of use en aval avait été mis hors service sans déposer l'antenne, et que le débit sur l'antenne terminale n'était pas vérifié séparément de celui de la boucle. L'inspection endoscopique confirme un dépôt continu dans l'antenne exclue.

Les actions : sanitisation comme correction immédiate ; dépose physique de l'antenne désaffectée et rétablissement de la configuration qualifiée ; révision du cycle avec vérification des paramètres atteints jusque dans les antennes terminales ; surveillance renforcée selon un plan de recovery approuvé avant l'intervention, avec des critères et une durée justifiés sur les données historiques ; extension de la vérification aux antennes analogues ; règle de trending par point signalant la dérive avant le dépassement du niveau d'action. Une coloration de surface localisée est également observée : documentée, échantillonnée et placée sous surveillance avec des critères de réexamen définis. Aucune repassivation n'est planifiée, car la caractérisation ne montre ni progression ni impact sur les paramètres contrôlés : une décision à documenter et à réexaminer, pas un dossier clos.

Checklist d'investigation

1. Le résultat est confirmé, ou il existe une preuve documentée d'artefact de prélèvement, de transport ou de laboratoire ; l'isolat est identifié au niveau défini par le site et comparé à la flore typique du système et du laboratoire.
2. La tendance a été réexaminée par point, sur un horizon couvrant la variation saisonnière, résultats conformes inclus.
3. Débit, température, TOC, conductivité, alarmes, maintenances, modifications et sanitisations réalisées ou sautées ont été corrélés, les conditions qualifiées vérifiées dans le tronçon concerné et la configuration actuelle comparée à la configuration qualifiée.
4. L'inspection physique est planifiée avec une séquence définie, un prélèvement du dépôt avant nettoyage, une remise en état et une sanitisation qualifiées ; toute coloration de surface est caractérisée en étendue, adhérence, nature, progression et impact avant toute décision.
5. Le plan de vérification du recovery est approuvé avant l'intervention, avec critères, points, fréquence et durée justifiés.
6. La CAPA distingue correction, action corrective et action préventive, et n'est clôturée qu'après la vérification d'efficacité.

Erreurs fréquentes et red flags

• Clôturer à répétition des dépassements comme « événements isolés » sans réexaminer les précédents : c'est le pattern que l'Annexe 1 6.14 demande d'exclure, et il saute aux yeux de quiconque regarde la tendance.
• Attribuer un dépassement à une erreur de prélèvement sans preuve documentaire, en utilisant le rééchantillonnage conforme comme démonstration.
• Relever les niveaux d'alerte et d'action pour les réaligner sur les données récentes d'un système en dérive.
• Déclarer un problème de biofilm résolu sur la foi d'un unique résultat conforme après sanitisation.
• Répéter le même cycle de sanitisation après qu'il a déjà échoué, sans en revoir les paramètres et la qualification.
• Planifier une repassivation comme réponse automatique à toute coloration, sans caractérisation et sans peser les risques de l'intervention.

Si vous souhaitez recevoir des analyses comme celle-ci sur la qualification, la surveillance et le cycle de vie des systèmes GMP, vous pouvez vous abonner à la newsletter The Pragmatic GMP : du contenu technique, sans promotion.

Points clés

• L'Annexe 1 6.14 impose de distinguer l'événement isolé de la tendance défavorable : la conclusion « événement isolé » doit être démontrée.
• Biofilm et rouging coexistent souvent mais appellent des actions et des vérifications différentes ; l'investigation part des artefacts de prélèvement et de laboratoire, passe par la tendance par point et n'atteint l'inspection physique qu'une fois le champ restreint.
• Relever les limites pour poursuivre un système en dérive n'est pas une bonne pratique et peut masquer un système qui cède.
• Le rouging doit être caractérisé avant toute décision : la repassivation n'est pas automatique et constitue elle-même une intervention à risques, qui exige une vérification.
• Une shock sanitisation ne garantit pas l'élimination définitive d'un biofilm mature : pénétration, distribution, élimination et suppression de la cause décident de l'issue.
• Le recovery se démontre par une preuve dans la durée, selon un plan approuvé avant l'intervention, et non par un résultat conforme unique.

Références réglementaires et techniques

• EudraLex Volume 4, Annexe 1 (C(2022) 5938 final), applicable depuis le 25 août 2023 : points 6.7-6.15.
• Q&A de l'EMA « Production of WFI by non-distillation methods - reverse osmosis, biofilms and control strategies » (EMA/INS/GMP/443117/2017), en vigueur depuis le 1er août 2017 ; EMA Guideline on the quality of water for pharmaceutical use (EMA/CHMP/CVMP/QWP/496873/2018), en vigueur depuis le 1er février 2021.
• USP <1231> Water for Pharmaceutical Purposes, officiel depuis le 1er décembre 2021 : chapitre informatif, non contraignant.
• OMS TRS 1033, Annexe 3 (2021).
• ICH Q9(R1) (Étape 4, 18 janvier 2023) et ICH Q10 (Étape 4, 4 juin 2008).
• PDA Technical Report No. 69 (2015), Bioburden and Biofilm Management in Pharmaceutical Manufacturing Operations.
• ASTM A967/A967M-25 (passivation chimique de l'acier inoxydable) et ASTM A380/A380M-25 (cleaning, descaling, pickling et passivation).
• ASME BPE, parties sur les matériaux métalliques, les états de surface et le system design (édition applicable à fixer contractuellement) ; ISPE Baseline Guide Vol. 4, Water and Steam Systems, 3e éd., septembre 2019.
• FDA, Guide to Inspections of High Purity Water Systems (1993) : matériel de référence pour les inspecteurs, non contraignant.