En inspection, la question arrive toujours sous la même forme : montrez-moi le différentiel de pression entre le local de remplissage et son background pendant la fabrication du lot. Deux archives remontent. Le BMS conserve une tendance continue, mais les valeurs sont déjà moyennées sur un intervalle choisi par l'intégrateur, son horloge a dérivé et le set point se modifie avec des identifiants partagés. L'EMS enregistre le même paramètre avec une autre logique d'échantillonnage et un vrai audit trail, mais depuis une sonde qu'aucun document de qualification ne justifie. Aucune des deux ne répond seule, et ensemble elles se contredisent.
Le problème n'est pas technologique : les deux systèmes fonctionnent. Il manque la décision, écrite en amont, sur le système qui détient le record GMP de chaque paramètre, à quelle granularité et sous quels contrôles d'accès. C'est de l'architecture, pas du paramétrage : la changer après la mise en service impose de refaire validation et procédures. Vue d'ensemble dans le hub Cleanrooms & HVAC Systems.
Pourquoi la frontière BMS/EMS se paie trois fois
En appel d'offres, un cahier des charges demandant un BMS avec monitoring environnemental reçoit des offres incomparables : qui chiffre historian, rôles, audit trail et validation perd contre qui ne chiffre que la supervision. L'écart naît plus tôt, quand l'URS de cleanroom et HVAC ne déclare pas quelles données sont des records GMP. En qualification, le détenteur du record est un système informatisé GMP à valider selon l'Annexe 11. En exploitation se paient les acquittements réflexes d'alarmes non rationalisées, et sur le cycle de vie l'obsolescence, car remplacer l'historian sans prévoir la migration fait perdre la lisibilité des records.
Cadre réglementaire : ce qui contraint le monitoring
| Source | Statut / date | Ce qui contraint réellement |
|---|---|---|
| EudraLex Vol. 4, Annexe 1 | C(2022) 5938 final, en application depuis le 25 août 2023 | §4.16, indicateurs installés, criticité évaluée en CCS, différentiels critiques enregistrés en continu et alarmés. §2.1–2.5, monitoring sur base QRM. §4.25, différentiel, température et humidité en qualification. §6.1–6.6, utilities et trend analysis. Section 9, périmètre distinct |
| EudraLex Vol. 4, Annexe 11 | Révision de janvier 2011, applicable depuis le 30 juin 2011 | Cycle de vie du système informatisé, risk management (1), fournisseurs (3.1–3.4), validation et inventaire (4.1–4.8), stockage et restore (7.1–7.2), audit trail (9), change (10), periodic evaluation (11), accès (12) |
| EudraLex Vol. 4, Annexe 15 | Révision 2015, applicable depuis le 1er octobre 2015 | URS, DQ, FAT/SAT et IQ/OQ/PQ appliqués au système de monitoring, change control |
| 21 CFR 211.42(c)(10), 211.46, 211.68, Part 11 et guidance FDA de 2003 | eCFR à jour au 27 août 2026 | Température, humidité et monitoring environnemental pour l'aseptique, étalonnage sous programme écrit, modification des records réservée aux autorisés, backup, aucun chiffre. Part 11, applicabilité à déterminer |
| ISO 14644-2:2015 et -3:2019, PIC/S PI 009-4 | Volontaires | Plan de monitoring risk-based, méthodes d'essai sans critères d'acceptation. PI 009-4 forme les inspecteurs |
Ce que l'on monitore et qui détient le record
Le tableau ne liste pas de paramètres obligatoires, il donne le format où s'écrit la décision, ligne par ligne, depuis la CCS et le risk assessment du site.
| Paramètre | Pourquoi on le monitore | Qui détient le record | Question de data integrity |
|---|---|---|---|
| Différentiel entre locaux adjacents de grade différent | Direction de l'air et séparation, enregistrement continu et alarme sur les critiques [EXIGENCE], 10 Pa minimum en guidance [GUIDANCE] | Système déclaré GMP dans la CCS, EMS aux points critiques | Qui modifie set points et seuils, où reste la trace ? |
| Température et humidité relative | Conditions de procédé, gowning, électrostatique, paramètres de qualification | EMS si la valeur concourt au jugement du lot | Donnée brute archivée, ou moyenne élaborée ? |
| Airflow des systèmes unidirectionnels | Protection des composants ouverts, 0,36–0,54 m/s à la working position en guidance [GUIDANCE] | Système déclaré dans la CCS, point de mesure justifié | Position toujours celle qualifiée ? |
| État AHU et ventilateurs, commutation duty/standby | Un changement de configuration modifie les conditions qualifiées | BMS, événement reporté dans le record GMP | Événement rattachable à la fenêtre du lot ? |
| Différentiel de pression sur les filtres | État de la filtration, base de la maintenance | BMS comme système technique, aucun seuil universel officiel | Critère d'intervention écrit ou empirique ? |
| Particulaire et contamination microbiologique | Monitoring environnemental et de procédé, section 9 de l'Annexe 1 | Systèmes dédiés d'environmental monitoring | Périmètre distinct, du programme EM |
Emplacement des sondes et criticité de l'instrumentation
Le point de mesure fait partie du record : une prise de pression près d'une bouche de soufflage donne des données vraies et dépourvues de sens. La position se décide avec le schéma des flux et la cascade de pression, puis se fige dans les as-built.
Un instrument est critique s'il a un impact direct sur la qualité ou génère un record GMP. Il demande alors étalonnage raccordé, traitement des écarts, change control et une place à l'inventaire. Tout déclarer critique est le plus sûr moyen de ne rien maintenir. Aucune source officielle ne fixe de fréquence d'étalonnage, l'intervalle se détermine sur criticité, dérive historique et données du constructeur [QRM].
Architecture : PLC, SCADA, BMS, EMS, historian
La chaîne reste la même, instrumentation de terrain, automates programmables, supervision, historian. Le BMS conduit l'installation et gère set points, séquences et commutations, l'EMS produit la preuve GMP, avec des exigences tournées vers conservation et reconstitution. Confondre les deux rôles donne un système qui régule bien et témoigne mal.
Trois architectures sont praticables : un EMS indépendant avec sa propre instrumentation ; un EMS alimenté par le BMS, qui réduit la duplication mais soumet l'échange électronique de données à la clause 5 de l'Annexe 11 ; un BMS unique déclaré système GMP, légitime si toute l'Annexe 11 lui est appliquée. Le choix se justifie et reste cohérent avec l'architecture HVAC.
Alert, alarm et rationalisation des alarmes
Dans le langage des systèmes, l'alert signale une condition demandant de l'attention, l'alarm une demandant une action. Ce sont des niveaux d'automatisme, distincts des niveaux d'alerte et d'action du monitoring environnemental. Mélanger les deux vocabulaires produit des procédures où l'opérateur ne sait pas s'il traite un événement d'installation ou de qualité.
La rationalisation est une activité documentée et approuvée. Pour chaque alarme on déclare grandeur et seuil, destinataire, action attendue, priorité, critère de clôture et document justifiant le seuil. Une alarme sans destinataire ni action attendue est du bruit, et le bruit apprend à acquitter. Aucun nombre d'alarmes n'est universellement acceptable, la charge se mesure sur les données du site et se réduit sous change control. Temporisations et hystérésis se justifient sur la dynamique du local et se vérifient en OQ ; les seuils sont traités dans température, humidité et pression.
Data integrity : l'Annexe 11 appliquée au monitoring
L'Annexe 11 en vigueur est celle de janvier 2011. Ses clauses 3.1–3.4 imposent une évaluation documentée du fournisseur et du service provider et des accords formels de responsabilité, où se range l'intégrateur du BMS. Les 4.1–4.8 demandent validation proportionnée au risque, inventaire incluant BMS, EMS et stations locales, URS fondée sur un risk assessment, tests documentés et maîtrise de la migration des données. La 6 ajoute un contrôle de l'exactitude des données saisies à la main, relevés de manomètre inclus.
La 7.1 demande la protection des données archivées et la vérification périodique de leur accessibilité et lisibilité, la 7.2 le backup et le suivi périodique du restore, donc l'éprouver et pas seulement constater qu'il s'est lancé. La 8 veut des impressions montrant si la donnée a été modifiée après acquisition, la 9 un audit trail système revu à une périodicité définie et justifiée. Les 10 et 11 régissent change management et periodic evaluation, à ne pas confondre avec la requalification de l'Annexe 1 §4.32, au maximum 6 mois en grades A et B, 12 en C et D [EXIGENCE].
Les 12.1–12.4 sont celles où les systèmes HVAC échouent le plus : accès limité aux autorisés, enregistrement des modifications d'habilitation, identité, date et heure sur chaque modification de donnée critique. Un compte de maintenance partagé entre entreprise extérieure et site est incompatible avec ces exigences, ce qui rend aussi contraignante la synchronisation horaire, avec une source de temps unique pour tous les systèmes du record. En regulatory watch, le projet de révision de l'Annexe 11 et l'Annexe 22 proposée, en consultation du 7 juillet au 7 octobre 2025, ne sont pas adoptés au 30 août 2026.
21 CFR Part 11 : applicabilité à déterminer
La Part 11 ne s'applique pas du seul fait qu'un système est électronique. Tout dépend du marché desservi et d'une predicate rule imposant ce record ; en appui de l'aseptique, les candidats sont 21 CFR 211.42(c)(10) et 211.68. L'évaluation se documente système par système et record par record. La guidance de septembre 2003 déclare une enforcement discretion sur validation, audit trail et copie des records, tout en affirmant que « part 11 remains in effect » : la discrétion ne couvre ni les contrôles d'accès ni les signatures électroniques.
Accès distant et cybersécurité
L'accès distant d'assistance doit être nominatif, tracé, limité en durée et en privilèges, et couvert par l'accord avec le service provider. La cybersécurité n'est pas une exigence explicite de l'Annexe 11 de 2011, mais un système compromis n'est pas validé, et segmentation réseau, correctifs sous change control et surveillance des accès soutiennent les clauses 12 et 16 [GEP].
Décisions à justifier par le QRM
ICH Q9(R1), Step 4 le 18 janvier 2023, est une méthodologie sans paramètre de monitoring, mais son Annexe II.4 applique le QRM aux facilities, equipment et utilities. La formalité comme continuum (§5.1) gradue profondeur de validation et périodicité de revue de l'audit trail, subjectivité et biais (§5.3) expliquent pourquoi la criticité des instruments ne se décide pas par le seul automaticien. FMEA, HAZOP et risk ranking and filtering ordonnent points de mesure, alarmes et privilèges [QRM].
Exemple d'application : Site Vega
Site Vega est un exemple réaliste mais fictif, un secteur de grade C et D avec BMS préexistant et EMS ajouté ensuite pour le seul particulaire. Une periodic review montre que les différentiels critiques ne sont enregistrés que par le BMS, que l'audit trail ignore les modifications de set point et que deux stations ont des horloges désynchronisées.
Le BMS n'a pas été remplacé. Les différentiels critiques sont passés sur l'EMS avec sondes dédiées, le BMS est resté système technique sur les points non critiques, déclaré tel dans la CCS, les comptes partagés ont cédé la place à des profils nominatifs et une source horaire unique a été déclarée. La requalification a été planifiée distinctement de la periodic evaluation, comme dans requalification et retrofit.
Matrice décisionnelle : qui détient le record GMP
| Critère d'évaluation | Poids | EMS indépendant | EMS alimenté par le BMS | BMS unique système GMP |
|---|---|---|---|---|
| Séparation entre contrôle et preuve | Maximale | Partielle | Absente | |
| Record disponible BMS à l'arrêt | Conservé | À vérifier | Perdu | |
| Étendue de la validation Annexe 11 | EMS seul | EMS et interface | Tout le BMS | |
| Duplication des instruments et étalonnages | Élevée | Réduite | Aucune | |
| Obsolescence et migration des données | Circonscrites | Deux cycles de vie | Impact complet |
Niveaux de prescriptivité
| Affirmation | Niveau | Source |
|---|---|---|
| Différentiels critiques enregistrés en continu, avec alarme | [EXIGENCE] | Annexe 1 §4.16 |
| Audit trail revu, restore éprouvé, accès tracés | [EXIGENCE] | Annexe 11, clauses 9, 7.2, 12.1–12.4 |
| Requalification, 6 mois maximum en grades A et B, 12 en C et D | [EXIGENCE] | Annexe 1 §4.32 |
| 10 Pa minimum entre locaux adjacents de grade différent | [GUIDANCE] | Annexe 1 §4.14, guidance value |
| Applicabilité de la Part 11 à déterminer et documenter | [GUIDANCE] | Guidance FDA, septembre 2003 |
| Plan de monitoring risk-based, méthodes sans critères | [STANDARD] | ISO 14644-2:2015, ISO 14644-3:2019 |
| Source horaire unique et segmentation réseau | [GEP] | Bonne pratique d'ingénierie |
| Étalonnages, temporisations et hystérésis, périodicité de revue | [QRM] | À justifier par analyse de risque |
| Le détenteur du record est déclaré en CCS et en URS | [GUIDEGXP] | Recommandation GuideGxP |
Check-list opérationnelle
- Déclarer en CCS les paramètres critiques et qui en détient le record.
- Reporter la décision en URS, avec les livrables de validation.
- Classer l'instrumentation par criticité et la tenir sous change control.
- Approuver l'emplacement des sondes et le figer dans les as-built.
- Inscrire BMS, EMS et stations locales à l'inventaire des systèmes.
- Supprimer les comptes partagés et enregistrer les changements d'habilitation.
- Déclarer une source horaire unique et gérer le changement d'heure.
- Justifier la périodicité de revue de l'audit trail et en garder preuve.
- Éprouver le restore des données historiques et conserver le rapport d'essai.
- Donner à chaque alarme destinataire, action attendue et critère de clôture.
- Vérifier temporisations et hystérésis en OQ sur la dynamique du local.
- Planifier la periodic evaluation séparément de la requalification.
Erreurs récurrentes et red flags
- N'avoir jamais décidé quel système détient le record, la décision se prend en inspection.
- Archiver des moyennes calculées par l'automate et les appeler donnée brute.
- Déclarer la Part 11 applicable ou non sans évaluation documentée.
- Présenter comme en vigueur l'Annexe 11 révisée ou l'Annexe 22, non adoptées au 30 août 2026.
- Confondre la periodic evaluation avec la requalification de l'Annexe 1.
- Des backups réguliers sans essai de restauration documenté.
Pour transformer ces principes en documents qui tiennent en inspection, The Pragmatic GMP est la newsletter de GuideGxP, analyses courtes sur qualification, HVAC et contamination, depuis sa page dédiée.
Points clés
- Le BMS régule, l'EMS témoigne : le détenteur du record est un choix d'architecture à justifier.
- L'Annexe 1 §4.16 impose enregistrement continu et alarme sur les différentiels critiques identifiés par la CCS.
- L'Annexe 11 en vigueur est celle de janvier 2011, révision et Annexe 22 non adoptées au 30 août 2026.
- La Part 11 ne s'applique pas par défaut, l'applicabilité se détermine et se documente.
- Chaque alarme doit avoir destinataire, action attendue et critère de clôture.
- Étalonnages, temporisations et périodicité de revue se justifient sur les données du site.
