Comment concevoir une boucle de distribution d'eau pharmaceutique

Une installation de production peut fournir une eau parfaitement conforme et le site se retrouver malgré tout avec une tendance microbiologique à la hausse sur trois points d'usage. Dans les déviations récurrentes des systèmes d'eau, le problème se situe rarement en amont : il est dans la boucle de distribution, dans la géométrie des piquages, dans le comportement hydraulique aux charges réelles et dans l'écart entre le système dessiné sur le P&ID et le système que l'on parvient réellement à sanitiser et à vidanger.

La production fixe la qualité de l'eau ; la boucle décide si cette qualité arrive intacte au point de prélèvement. Voici les décisions de conception d'un système de stockage et de distribution de Purified Water et de Water for Injections, et les trois propriétés qui en déterminent le coût sur tout le cycle de vie : sanitisabilité, drainabilité, maintenabilité.

Là où le système cesse d'être conforme

La boucle est la seule partie du système d'eau en contact permanent avec le produit qui traverse physiquement le site. Chaque mètre de tuyauterie, chaque piquage, chaque vanne de prélèvement est une surface colonisable et une stagnation potentielle. C'est là que se forment les biofilms et c'est là que les mesures correctives deviennent coûteuses : modifier une boucle installée signifie découpe, soudure, passivation locale, requalification du tronçon et change control.

L'Annexe 1 d'EudraLex Volume 4, au point 6.7, exige que l'installation de traitement et de distribution de l'eau soit conçue, construite, installée, mise en service, qualifiée, surveillée et maintenue de manière à prévenir la contamination microbiologique, en minimisant les particules, la prolifération microbienne et les endotoxines ou pyrogènes. La même clause ne nomme que deux éléments constructifs : la pente des tuyauteries pour permettre la vidange et la nécessité d'éviter les bras morts. Ce n'est pas un hasard : ce sont les deux défauts qu'un inspecteur peut chercher sur le terrain en comparant le P&ID à l'installé.

Périmètre, limites et données d'entrée

Le périmètre du lot storage & distribution part du point de livraison de l'eau à la capacité de stockage et se termine à la dernière vanne de prélèvement de chaque point d'usage, celle-ci incluse. Ce qui se trouve au-delà — flexibles, raccordements machine, lignes de transfert — relève en règle générale de l'utilisateur et est régi par des procédures d'usage. Il faut l'écrire : c'est la zone où se concentrent les résultats microbiologiques anormaux attribués à tort au système.

Les données d'entrée minimales sont au nombre de cinq : qualité requise pour chaque usage, liste des points d'usage avec localisation et exigences locales, profil des consommations (débit de pointe, volume journalier, simultanéité réelle des prélèvements), température et pression requises à l'usage, stratégie de sanitisation. Elles ne se supposent pas : elles se collectent, se font confirmer par les utilisateurs et se figent dans les URS du système d'eau. Un profil de consommation erroné produit soit une boucle surdimensionnée qui perd son régime d'écoulement à faible charge, soit une boucle qui s'effondre en pression lorsque deux ateliers prélèvent en même temps.

Ce que la réglementation demande réellement à la boucle

• Annexe 1, 6.7 — prévention de la contamination microbiologique de la conception à la maintenance ; pente pour la vidange ; éviter les bras morts.
• Annexe 1, 6.8 — qualification et validation en tenant compte de la variation saisonnière : les conditions de conception doivent être vérifiées aussi à la pire saison.
• Annexe 1, 6.9 — l'écoulement doit rester turbulent pour limiter l'adhésion microbienne et le biofilm ; le débit est établi en qualification et surveillé en routine.
• Annexe 1, 6.10 — stockage et distribution organisés pour minimiser la croissance microbienne. Le texte cite en exemple une circulation constante au-dessus de 70 °C : c'est un exemple cité, non un point de consigne obligatoire. Un système froid ou à température ambiante reste acceptable si la stratégie de maîtrise microbiologique est qualifiée et son efficacité démontrée par d'autres moyens.
• Annexe 1, 6.11 — filtres d'évent hydrophobes bactériorétenteurs sur le réservoir WFI, qui ne doivent pas être une source de contamination, avec test d'intégrité avant installation et après usage, et prévention de la condensation, par exemple par chauffage.
• Annexe 1, 6.12 — sanitisation, désinfection ou régénération selon un calendrier prédéterminé, en plus de l'action corrective après un résultat hors limite ou hors spécification.
• Annexe 1, 6.15 — les systèmes WFI doivent inclure une surveillance continue, telle que COT et conductivité : l'emplacement de l'instrumentation fait partie de la conception de la boucle, pas d'un lot ultérieur.

La ligne directrice EMA sur la qualité de l'eau à usage pharmaceutique (EMA/CHMP/CVMP/QWP/496873/2018, en vigueur depuis le 1er février 2021) définit quelle qualité d'eau est requise pour quel usage, mais ne fixe ni limites d'alerte ou d'action, ni critères de sanitisation, ni périodicité de revue. Aux États-Unis, la Partie 211 du 21 CFR ne traite explicitement de l'eau que dans une seule section, 211.48 Plumbing, qui exige une eau potable fournie sous pression positive continue dans un réseau exempt de défauts susceptibles de contribuer à une contamination. Tout le reste de la conception relève de la good engineering practice, non d'une exigence contraignante.

Les références techniques doivent être qualifiées pour ce qu'elles sont. USP <1231> est un chapitre informatif — numéroté au-dessus de 1000, donc non contraignant — qui couvre la conception du système, les matériaux, la sanitisation et la maîtrise microbienne. ASME BPE est une norme sectorielle, non une exigence réglementaire : l'édition applicable doit être fixée contractuellement, car « dernière édition » dans un cahier des charges est une clause qui se retourne contre celui qui l'écrit. L'ISPE Baseline Guide Vol. 4 "Water and Steam Systems" (3e éd., 2019) est un guide sectoriel. L'ISO/DIS 25413 sur le stockage et la distribution PW et WFI est aujourd'hui un projet en cours d'élaboration, avec un vote DIS ouvert le 21 juillet 2026 : ce n'est pas une norme publiée et elle ne doit pas être citée comme applicable dans un cahier des charges ou un dossier.

Les critères numériques de ces Parties — rapports géométriques des piquages, pentes, rugosités de surface — sont un matériel protégé et ne sont pas reproduits ici : il faut les appeler par référence dans le cahier des charges et les vérifier sur les documents originaux.

Architecture : réservoir, boucle, retour

Le réservoir n'est pas un tampon neutre : c'est là que l'eau a le temps de séjour le plus long et que se trouvent les seules surfaces non complètement mouillées. Le volume se dimensionne sur le découplage entre profil de consommation et capacité de production, sans créer des temps de séjour inutilement longs : le critère se justifie par les données de consommation collectées, non par une règle générale. Fond et ciel doivent être entièrement drainables, avec vidange au point le plus bas réel, réservoir installé et de niveau. Le mouillage du ciel est le point critique : la paroi au-dessus du niveau de liquide condense et reste à température intermédiaire, elle doit donc être mouillée en continu ou de façon programmée, avec une efficacité vérifiée en commissioning. L'évent exigé par l'Annexe 1 6.11 se choisit avec son chauffage, sa logique de test d'intégrité et son accessibilité : un filtre correct placé là où personne ne peut le tester est une non-conformité différée.

La topologie de la boucle est le choix entre une boucle unique desservant tous les points d'usage et une architecture à plusieurs niveaux, avec une boucle principale et des sous-boucles dédiées à des ateliers, des températures ou des exigences spécifiques. La boucle unique est plus simple à qualifier, à sanitiser et à surveiller, mais impose le même point de consigne à tous et s'étend mal : chaque nouvel atelier allonge le parcours et déplace l'hydraulique. L'architecture à sous-boucles sépare les exigences et limite la propagation d'un événement microbiologique, mais multiplie les échangeurs et les limites de sanitisation, et chaque interface est un nœud de risque à qualifier.

Deux principes géométriques restent non négociables : le parcours doit être un circuit fermé en recirculation permanente, sans tronçons borgnes parcourus uniquement lors du prélèvement, et chaque piquage doit partir de la ligne principale de manière que la vanne de prélèvement soit au plus près de la boucle. Le tronçon mort entre boucle et vanne est la forme de bras mort la plus courante et la plus difficile à corriger a posteriori ; géométrie des piquages, pentes et défauts typiques de montage sont approfondis dans l'article sur les bras morts, pentes, matériaux et hygienic design.

Le retour est la partie la moins bien conçue, parce qu'elle est perçue comme « de l'eau qui revient ». Il détermine pourtant la pression résiduelle au dernier point d'usage, le régime d'écoulement sur toute la boucle et la capacité du système à être vidangé. Il doit revenir au réservoir sans générer d'aérosols ni de mousse dans le ciel ; c'est l'emplacement naturel de la mesure continue de conductivité et de COT exigée par l'Annexe 1 6.15, car il représente le pire cas après tout le parcours ; et sa vanne de réglage gouverne directement le débit de circulation. Si ce réglage reste un ajustement de chantier non tracé, le système perd la reproductibilité du paramètre que l'Annexe 1 6.9 demande d'établir en qualification et de surveiller en routine.

Hydraulique : écoulement turbulent, débit, pression

Le régime d'écoulement dans une conduite est décrit par le nombre de Reynolds, groupe adimensionnel qui dépend du diamètre intérieur, de la vitesse moyenne, de la masse volumique et de la viscosité du fluide ; le passage du laminaire au turbulent se produit dans une plage de transition connue de la mécanique des fluides. L'exigence de l'Annexe 1 6.9 porte sur le régime, pas sur une valeur de vitesse : il n'existe pas de vitesse universelle en mètres par seconde qui rendrait une boucle conforme, et en citer une comme s'il s'agissait d'une exigence réglementaire est une erreur que l'on retrouve régulièrement dans les cahiers des charges.

Trois conséquences en découlent. Comme la viscosité de l'eau dépend fortement de la température, à vitesse et diamètre égaux une boucle chaude travaille à un Reynolds plus élevé qu'une boucle froide : un système froid doit être vérifié à la pire température d'exploitation réelle, non dans des conditions nominales. Le cas critique n'est pas la pointe de prélèvement mais le minimum de circulation, c'est-à-dire lorsque personne ne prélève et que le débit est celui imposé par la pompe de recirculation — et, dans les architectures ramifiées, celui de la branche la moins favorisée : le calcul hydraulique doit démontrer le maintien du régime dans la pire branche et dans la pire condition, et cette branche doit être nommée dans le dossier. Enfin, le diamètre ne se choisit pas sur la pointe : surdimensionner pour absorber la consommation maximale avec de faibles pertes de charge compromet le régime pendant les heures où personne ne prélève, c'est-à-dire la plupart du temps.

Le débit de conception se fixe donc comme paramètre, se vérifie expérimentalement et se rend mesurable en exploitation ; la façon d'établir le critère d'acceptation et de le relier à la donnée expérimentale relève de la qualification par FAT, SAT, IQ, OQ et PQ. Côté pression, la conception doit garantir une pression positive partout, y compris pendant les transitoires de prélèvement simultané, et éviter que le point le plus défavorisé descende sous la pression requise à l'usage. Le coup de bélier dû aux vannes à fermeture rapide est un sujet de conception, non une nuisance d'exploitation : il sollicite soudures et supports et peut compromettre à terme l'intégrité mécanique du circuit.

Température et échange thermique

Un système chaud en recirculation permanente maîtrise la prolifération microbienne par voie thermique et constitue la stratégie la plus simple à défendre, mais il impose des échangeurs aux points nécessitant une eau plus froide, consomme de l'énergie en continu et soumet le circuit à des contraintes thermiques et à des conditions favorisant le rouging. Un système froid ou à température ambiante supprime l'échange thermique local mais exige une stratégie de maîtrise microbiologique explicite et qualifiée — sanitisation thermique périodique, ozonation avec destruction en aval, ou combinaisons — et une surveillance plus serrée. Les implications complètes des trois familles sont traitées dans l'article sur les systèmes chauds, froids et ozonés.

Il faut le répéter car c'est la confusion la plus fréquente au stade des URS : le « au-dessus de 70 °C » de l'Annexe 1 6.10 est un exemple donné dans le texte pour illustrer une façon de minimiser la croissance microbienne, non une limite imposée. Écrire dans une URS que « la boucle doit fonctionner au-dessus de 70 °C parce que l'Annexe 1 l'exige » rigidifie inutilement le projet et, en inspection, affaiblit la crédibilité de l'ensemble du raisonnement.

Trois critères s'appliquent aux échangeurs. Ils doivent empêcher le passage du fluide de service vers l'eau pharmaceutique même en cas de défaillance d'une seule barrière : d'où les configurations à double paroi de séparation avec espace intermédiaire inspectable ou drainable. Le différentiel de pression doit être réglé de sorte que le côté eau pharmaceutique soit toujours à pression supérieure au fluide de service, avec valeur et modalité de vérification définies en conception et rendues surveillables. Ils doivent être drainables et sanitisables avec le même cycle que la branche sur laquelle ils sont installés, faute de quoi ils deviennent le point le plus froid et le plus stagnant d'un système par ailleurs bien conçu.

Piquages et points d'usage

• Type de piquage. Le piquage en T avec vanne au plus près de la boucle et les solutions à corps de vanne intégré à la ligne principale répondent au même objectif — réduire le volume non balayé — avec des coûts et une maintenabilité différents. Le choix se fait par famille de points et se justifie, pas point par point sur chantier.
• Orientation et drainabilité. Le piquage doit se vidanger vers la boucle ou vers un point de purge : un piquage qui monte puis redescend crée une poche qu'aucun cycle de sanitisation ne vide et qu'aucun prélèvement ne représente.
• Points de prélèvement. Ils relèvent de la conception, pas d'un ajout ultérieur : un point représentatif sur le retour, des points sur les branches et les points d'usage eux-mêmes. La logique de sélection et la distinction entre prélèvement système et prélèvement d'usage sont traitées dans le plan d'échantillonnage du système d'eau.
• Conditions à l'usage. Un point demandant de l'eau tiède sur une boucle chaude impose un échangeur local avec toutes les contraintes vues plus haut ; un point à fort débit instantané peut déstabiliser l'hydraulique de toute la boucle.

Matériaux, assemblages, vannes

Pour les circuits métalliques, la pratique industrielle dominante est l'emploi d'aciers inoxydables austénitiques dans les nuances utilisées en bioprocédés, avec état de surface interne spécifié, soudures orbitales documentées et passivation après construction ; les références pour le nettoyage, le décapage et la passivation chimique sont les ASTM A380/A380M et A967/A967M dans leurs éditions courantes. Pour les boucles froides, il existe des alternatives polymères de qualité pharmaceutique qui déplacent le profil de risque : moindre sensibilité au rouging, mais limites thermiques pouvant exclure la sanitisation thermique et besoins de maîtrise différents sur les extractibles et les assemblages. Matériau et stratégie de sanitisation se décident ensemble.

Sur les assemblages, le principe est de réduire au minimum les raccords démontables : tout raccord à joint est une discontinuité de surface, un site de stagnation potentiel et un point de maintenance périodique. Là où le démontage n'est pas nécessaire, on privilégie les soudures orbitales, tracées et contrôlées selon un plan défini. Sur les vannes : corps drainable dans la position d'installation prévue, portée d'étanchéité ne créant pas de volume piégé, matériau de membrane ou de joint compatible avec le cycle de sanitisation pour le nombre de cycles prévu entre deux maintenances. Le montage incliné qui assure la drainabilité des vannes à membrane est une prescription de montage : s'il n'est pas imposé sur l'isométrique et vérifié en walkdown, il ne sera pas respecté sur le terrain.

Sanitisabilité, drainabilité, maintenabilité

Sanitisabilité signifie que chaque surface au contact atteint les conditions du cycle — température, concentration, temps de contact — pendant la durée prévue, et que cela est démontrable : aucune zone froide dans un cycle thermique, aucune zone non atteinte par l'agent dans un cycle chimique, instrumentation placée pour enregistrer le pire cas, possibilité d'isoler des branches et de les sanitiser séparément. Le calendrier prédéterminé exigé par l'Annexe 1 6.12 se construit sur les données de qualification et de surveillance, et l'implantation doit le rendre exécutable sans contorsions.

Drainabilité signifie que le système se vide par gravité, sans poches résiduelles, dans chaque tronçon et chaque composant : c'est l'exigence que l'Annexe 1 6.7 nomme à travers la pente des tuyauteries. Elle s'obtient par une pente continue vers des points de purge définis, des supports qui la maintiennent dans le temps, l'absence de contre-pentes non drainables et l'attention aux composants susceptibles de retenir du liquide. La vérification n'est pas documentaire : c'est un test de vidange en commissioning, avec temps et résidus enregistrés.

Maintenabilité est la propriété la plus négligée et celle qui génère le plus de déviations sur la durée : accessibilité de chaque vanne, instrument et filtre sans rien démonter d'autre ; remplacement d'un composant sans vidanger toute la boucle ; étalonnage des instruments critiques système en service lorsque c'est possible ; remise en état documentée — nettoyage, passivation locale, requalification du tronçon — après toute intervention ouvrant le circuit. Un composant installé derrière un autre, ou à une hauteur exigeant un échafaudage, sera maintenu en retard : c'est prévisible dès la conception et doit être traité comme un risque de projet.

Concevoir en risk-based

Les points 6.1-6.5 de l'Annexe 1 placent la maîtrise des utilités dans une logique risk-based et classent comme les plus à risque celles en contact direct avec le produit ; le point 2.5(v) inscrit la qualité de l'eau parmi les éléments de la Contamination Control Strategy. Le dossier de conception de la boucle doit donc contenir une chaîne logique explicite et traçable.

1. Identification des nœuds de risque : réservoir et ciel, retour, piquages, interfaces entre boucles, échangeurs, raccords démontables, points potentiellement non drainables.
2. Évaluation avec une méthodologie cohérente avec ICH Q9(R1), avec des critères de gravité, de probabilité et de détectabilité définis au préalable et non ajustés au résultat.
3. Traduction de chaque risque inacceptable en une mesure de conception spécifique plutôt qu'en une procédure, lorsqu'un choix constructif peut supprimer le risque à la source.
4. Définition des aspects critiques de conception et des vérifications correspondantes avec l'approche science- and risk-based d'ASTM E2500 dans son édition courante, afin que ce qui est vérifié découle du risque et non d'une liste générique.
5. Bouclage : les niveaux d'alerte reposent sur les données de qualification initiale, comme l'exige l'Annexe 1 6.13, et sont revus par la requalification, la surveillance de routine et les investigations.

Les autres étapes du cycle de vie sont rassemblées dans le hub du cluster Pharmaceutical Water & WFI.

Exemple appliqué : Site Delta

Exemple pédagogique, site fictif. Site Delta produit des formes stériles injectables et des formes orales liquides dans deux bâtiments reliés. Le projet initial prévoyait une boucle WFI chaude unique alimentant l'atelier stérile et, par un long tronçon entre les deux bâtiments, trois points d'usage en zone orale exigeant de l'eau à température ambiante. Trois points critiques sont apparus en design review : le tronçon de liaison doublait la longueur de la boucle et réduisait le débit disponible dans la branche terminale ; les trois points à température ambiante auraient exigé des échangeurs locaux difficiles à drainer ; le cycle de sanitisation thermique aurait arrêté les deux ateliers en même temps.

La révision a conduit à une architecture à deux niveaux : une boucle WFI chaude dédiée à l'atelier stérile, avec retour instrumenté en continu pour la conductivité et le COT, et une seconde boucle alimentée par un unique échangeur d'interface et sanitisée selon un cycle indépendant au service de la zone orale. Ce choix a augmenté l'investissement et ajouté un nœud de risque — l'interface entre les deux boucles, qualifiée comme aspect critique — mais il a supprimé trois échangeurs non drainables, rendu la pire branche vérifiable et permis de sanitiser un bâtiment pendant que l'autre produit.

Matrice de décision pour l'architecture de la boucle

La colonne des poids est volontairement vide : les poids dépendent du profil des points d'usage, du portefeuille produits et de la stratégie de sanitisation de chaque site, et doivent être attribués et justifiés en interne avant toute notation.

Checklist de design review

• Périmètre défini par écrit, y compris la responsabilité au-delà de la dernière vanne.
• Profil de consommation documenté et confirmé par les utilisateurs, avec simultanéité réelle des prélèvements.
• Calcul hydraulique démontrant le régime turbulent dans la pire branche, à prélèvement nul, à la pire température d'exploitation.
• Pire branche nommée dans le dossier et desservie par un point de prélèvement.
• Réservoir drainable, ciel mouillé de façon vérifiée, évent accessible et testable selon l'Annexe 1 6.11.
• Piquages dessinés sur l'isométrique avec orientation et drainabilité imposées.
• Échangeurs avec barrière de séparation adaptée, différentiel de pression surveillable, drainabilité vérifiée.
• Cycle de sanitisation exécutable avec l'implantation prévue, instrumentation au pire cas.
• Édition applicable d'ASME BPE fixée contractuellement, non laissée en « dernière édition ».

Erreurs fréquentes et red flags

• Une vitesse citée comme exigence réglementaire. Aucun texte en vigueur ne fixe une vitesse en mètres par seconde : l'Annexe 1 6.9 exige un régime turbulent et un débit établi en qualification.
• « Au-dessus de 70 °C parce que l'Annexe 1 l'exige ». C'est un exemple du point 6.10, non un point de consigne imposé.
• Diamètre choisi sur la pointe de consommation. La boucle perd le régime requis dans la condition la plus fréquente, c'est-à-dire à prélèvement nul.
• Vanne de réglage du retour ajustée sur site et non documentée. Le paramètre hydraulique le plus important devient non reproductible.
• ISO/DIS 25413 citée au cahier des charges comme norme applicable. C'est un projet au vote DIS, non une norme publiée.
• Points de prélèvement ajoutés après le montage. Ils deviennent eux-mêmes des bras morts.
• Échangeur local en position non drainable. Il crée le point le plus froid et le plus stagnant du système.
• Sanitisation organisée « quand c'est nécessaire ». L'Annexe 1 6.12 exige un calendrier prédéterminé, en plus de l'action corrective.

Si ce type d'analyse vous est utile au quotidien, The Pragmatic GMP rassemble des approfondissements techniques et des mises à jour réglementaires écrits dans le même esprit.

À retenir

• C'est la boucle, et non la production, qui détermine si une eau conforme arrive conforme au point d'usage.
• L'Annexe 1 ne nomme que deux géométries : la pente pour la vidange et l'absence de bras morts.
• L'exigence hydraulique est le régime turbulent, vérifié dans la pire branche à prélèvement nul ; le débit s'établit en qualification.
• Les 70 °C de l'Annexe 1 6.10 sont un exemple, non un point de consigne : la température d'exploitation est un choix de conception à justifier.
• Sanitisabilité, drainabilité et maintenabilité se gagnent sur le plan et ne se rattrapent pas par des procédures.
• ASME BPE se cite par Partie et par édition fixée contractuellement ; l'ISO/DIS 25413 se surveille comme un projet, elle ne s'applique pas.

Références

• EudraLex Volume 4, Annexe 1 (C(2022) 5938 final), en application depuis le 25 août 2023 — points 2.5(v), 6.1-6.15. health.ec.europa.eu
• EMA, Guideline on the quality of water for pharmaceutical use, EMA/CHMP/CVMP/QWP/496873/2018, en vigueur depuis le 1er février 2021. ema.europa.eu
• PIC/S PE 009-17 et Aide-Memoire PI 009-4 "Inspection of Utilities", rev. 4. picscheme.org
• WHO TRS 1033, Annexe 3 (2021) ; ICH Q9(R1), Step 4 du 18 janvier 2023.
• 21 CFR 211.48 Plumbing. ecfr.gov
• FDA, Guide to Inspections of High Purity Water Systems (1993) — matériel de référence pour les inspecteurs, non une guidance for industry. fda.gov
• USP <1231> — chapitre informatif, non contraignant. ASME BPE, Parties SD, MM, PM, SF, MJ, DT, PI — édition à fixer contractuellement. ASTM E2500, A380/A380M, A967/A967M dans leurs éditions courantes. ISPE Baseline Guide Vol. 4 "Water and Steam Systems", 3e éd., septembre 2019 — guide sectoriel.
• ISO/DIS 25413 — projet en cours d'élaboration, vote DIS ouvert le 21 juillet 2026 ; non applicable comme norme.