Eau brute et prétraitement des systèmes d'eau pharmaceutique : ce qu'il faut caractériser et maîtriser

Un système Purified Water passe la PQ en mars et commence à produire des excursions microbiologiques en septembre. L'investigation se concentre sur la boucle, sur les point of use, sur les cycles de sanitisation. La donnée que personne n'avait recueillie concernait l'évolution de l'eau brute : température d'alimentation en hausse de plusieurs degrés entre le printemps et la fin de l'été, charge organique du bassin versant accrue sur la même période, désinfectant résiduel du réseau modifié par l'exploitant. La boucle n'avait pas changé. C'est l'eau entrante qui avait changé, et le prétraitement avait été dimensionné sur un unique certificat d'analyse joint à l'offre.

C'est le schéma récurrent des investigations sur les systèmes d'eau pharmaceutique : le symptôme apparaît en aval, la cause se situe en amont. Le prétraitement reçoit le moins d'attention dans l'URS, le moins de budget à l'achat et le moins d'instrumentation en exploitation, et c'est la section qui détermine si la production en aval fonctionnera en régime stable ou en gestion de crise permanente. Cet article traite deux points concrets : quels paramètres de l'eau brute doivent être caractérisés et pourquoi, et comment construire un plan de caractérisation qui tienne en qualification.

Pourquoi le prétraitement génère la plus grande part des problèmes en aval

C'est la seule section dont l'entrée échappe au contrôle du site. Tout ce qui se trouve en aval reçoit un fluide déjà traité par une unité qualifiée ; le prétraitement reçoit de l'eau potable dont la composition dépend d'un exploitant tiers, d'un forage ou d'une ressource superficielle, et qui varie pour des raisons météorologiques et de maintenance que personne ne communique au service. La variabilité n'est pas un défaut : c'est la condition aux limites.

Il est conçu pour éliminer le désinfectant résiduel. L'eau potable arrive protégée par du chlore libre ou des chloramines ; les membranes en polyamide et les résines en aval ne tolèrent pas les oxydants. La déchloration est donc obligatoire et crée, au cœur de l'installation, un tronçon d'eau non désinfectée, à température ambiante, riche en nutriments et présentant des surfaces spécifiques énormes. Le Q&A EMA/INS/GMP/443117/2017 l'énonce pour l'osmose inverse : l'exploitation à température ambiante constitue un environnement idéal pour la formation de biofilm. Il en va de même, plus en amont, pour les lits qui la précèdent.

Il est historiquement sous-instrumenté. Une boucle dispose de la conductivité et du TOC en continu ; un adoucisseur n'a souvent qu'un compteur volumétrique et un test de dureté manuel. Ses dérives ne deviennent donc visibles qu'une fois qu'elles ont déjà produit un effet sur la production : chute du taux de rejet, hausse de la pression différentielle, comptage microbien en augmentation aux point of use.

Où commence et où finit le prétraitement

La limite de périmètre doit être fixée par écrit dans l'URS et sur le P&ID, de sorte que chaque interface ait un propriétaire. En amont : le point de livraison de l'eau potable. S'il existe une bâche de stockage, une bâche de rupture de charge ou un groupe de surpression, ces éléments appartiennent au système d'eau pharmaceutique du point de vue du risque microbiologique, même s'ils relèvent des services généraux. Une bâche enterrée non inspectable et non sanitisable en amont d'une installation PW est une lacune de périmètre, pas un détail de tuyauterie. En aval : l'entrée de la première unité de production. Les spécifications en ce point sont simultanément les critères d'acceptation du prétraitement et les exigences d'alimentation du fournisseur de la production, et elles doivent constituer un seul et même document. Les interfaces secondaires ne doivent pas non plus rester orphelines : dosages chimiques et leur stockage, recirculations de stand-by, by-pass, piquages de prélèvement, raccordements temporaires de chantier.

La limite de périmètre détermine aussi le périmètre de qualification. Une unité déclarée « utilité non GMP » mais dont la sortie alimente directement la production de PW est une position difficile à défendre : l'Annexe 1 aux points 6.1-6.5 exige des contrôles proportionnés au risque, et le critère de risque s'applique tout au long de la chaîne qui mène au contact avec le produit.

Ce que dit le cadre réglementaire et ce qu'il laisse au site

Le point de départ est compendial. La monographie USP Purified Water établit que l'eau est obtenue par un procédé approprié et qu'elle est préparée à partir d'une eau conforme aux U.S. EPA National Primary Drinking Water Regulations, ou aux réglementations sur l'eau potable de l'Union européenne ou du Japon, ou aux WHO Guidelines for Drinking Water Quality. Ce n'est pas une recommandation : cela fait partie de la définition. Si l'alimentation n'est pas potable au regard de l'une de ces références, l'eau produite ne satisfait pas la monographie, quelles que soient la conductivité et le TOC en sortie.

Le 21 CFR 211.48(a) est la seule disposition de la Part 211 qui nomme explicitement l'eau : elle exige que l'eau potable soit fournie under continuous positive pressure dans un réseau exempt de défauts susceptibles de contribuer à contaminer un médicament. Deux exigences opérationnelles, non analytiques, et aucun critère chiffré au-delà de « potable ».

L'Annexe 1 d'EudraLex Volume 4, en opération depuis le 25 août 2023, ajoute les deux clauses décisives. Le point 6.7 exige que l'installation de traitement et de distribution soit conçue, construite, installée, mise en service, qualifiée, surveillée et maintenue de manière à prévenir la contamination microbiologique et à minimiser les particules, la prolifération microbienne et les endotoxines ou pyrogènes. Le point 6.8 exige que les systèmes soient qualifiés et validés pour le contrôle physique, chimique et microbiologique en tenant compte de la variation saisonnière. Cette phrase constitue le mandat réglementaire du plan de caractérisation.

Le Q&A EMA, en vigueur depuis le 1er août 2017, ajoute l'attente temporelle : essais étendus et essais quotidiens de tous les points critiques en phase initiale, avec des données sur environ un an afin de capter la variation saisonnière. Le WHO TRS 1033 Annexe 3 (2021) ancre les niveaux d'alerte et d'action dans les données historiques du système ; la guideline EMA/CHMP/CVMP/QWP/496873/2018, en vigueur depuis le 1er février 2021, définit la qualité minimale d'eau en fonction de l'usage prévu mais ne fixe ni limites chiffrées ni fréquences. Sur le plan technique non réglementaire subsistent l'ISPE Baseline Guide Vol. 4 (3e éd., 2019), le chapitre informatif USP <1231>, qui couvre explicitement l'eau brute, et, à titre de matériel de référence pour les inspecteurs et non de guidance contraignante, le FDA « Guide to Inspections of High Purity Water Systems » (1993) et l'Inspection Technical Guide No. 36 sur l'osmose inverse (1980).

Le point à comprendre : aucune de ces sources ne publie de limite d'entrée pour la dureté, le chlore, la silice, le SDI ou le TOC, ni de fréquence de régénération ou de sanitisation. Ces valeurs sont des spécifications de conception que le site établit, justifie et documente. Chercher le chiffre dans le texte réglementaire, c'est chercher au mauvais endroit ; le recopier du manuel d'un fournisseur, c'est adopter une spécification sans en être propriétaire.

Construire un plan de caractérisation qui tienne en qualification

Un plan de caractérisation est un protocole, pas un classeur de certificats : objet, périmètre, méthodes, durée, analyse des données, conclusion signée. Son rédacteur doit répondre à trois questions.

Quels paramètres, et pour quelle décision en aval

Chaque paramètre entre dans le plan parce qu'il gouverne une décision technique identifiable, non parce que le laboratoire sait le mesurer.

Les paramètres que l'exploitant certifie légalement ne sont qu'une partie de cette liste. Le certificat de potabilité répond à « cette eau est-elle buvable ? » ; le plan répond à « cette eau, dans toutes ses conditions, peut-elle être traitée par l'installation que j'achète ? ».

Pendant combien de temps et à quelle fréquence

La durée minimale défendable découle du point 6.8 de l'Annexe 1 et de l'attente explicite du Q&A EMA : un cycle annuel complet, car seule une année contient toutes les conditions saisonnières. La fréquence doit être graduée : plus dense sur les paramètres qui varient rapidement (température, désinfectant résiduel, turbidité, charge microbienne), plus lâche sur ceux qui sont géologiquement stables dans une nappe profonde. Tout écart à ce schéma doit être justifié par un raisonnement, non par la disponibilité du laboratoire.

Le cas réaliste est que le projet ne peut pas attendre douze mois. La réponse défendable n'est pas de réduire le plan mais de le déclarer par phases : caractérisation initiale intensive, dimensionnement sur un cas le plus défavorable estimé à partir des données historiques disponibles (séries pluriannuelles de l'exploitant, sites voisins, littérature hydrogéologique locale, déclarées comme telles), achèvement du cycle annuel pendant la PQ et la première phase d'exploitation, avec un critère formel de réexamen si les données contredisent les hypothèses de conception. C'est une gestion du risque documentée ; réduire le plan à un certificat est une hypothèse non déclarée.

Où l'on prélève et qui détient la donnée

Les points doivent inclure au minimum la livraison, la sortie de chaque stockage intermédiaire et l'entrée de la production : prélever uniquement à la livraison masque précisément ce qui importe, à savoir la contribution de la bâche et du réseau interne. Les méthodes doivent être déclarées avec leurs limites de quantification, car un « non détecté » sans LQ n'est pas une donnée. Il faut ensuite corréler avec les événements externes (pluies intenses, interventions sur le réseau, changements de ressource, arrêts du site) et disposer d'un canal formel avec l'exploitant : la notification d'un passage du chlore libre à la chloramine est un change control pour le site, même si l'exploitant ne le considère pas comme tel. Le lien avec l'analyse de risque du système d'eau est ce qui transforme cette collecte en décisions traçables.

Les opérations unitaires : ce qu'elles résolvent et ce qu'elles introduisent

Il n'existe pas de séquence de prétraitement universellement correcte : la séquence correcte découle des données de cette eau brute précise et des exigences d'alimentation de cette technologie de production précise. Une unité présente parce que « cela se fait ainsi » et non parce qu'une donnée l'exige est de la surface mouillée en plus et du risque microbiologique en plus, sans contrepartie.

Chlore libre et chloramines ne sont pas le même problème. Le chlore libre est relativement facile à éliminer et à mesurer. Les chloramines présentent une cinétique d'élimination différente sur charbon actif, exigent un temps de contact différent et libèrent de l'ammoniaque, qui traverse la RO et réapparaît en aval sous forme de charge ionique et de nutriment azoté. Une installation dimensionnée pour du chlore libre et alimentée en eau chloraminée n'a pas une marge réduite : elle est hors spécification de conception. C'est pourquoi le plan doit distinguer les deux formes, et pourquoi le canal d'information avec l'exploitant est un élément de maîtrise.

Adoucissement et antitartre sont un arbitrage, non une alternative évidente. L'adoucissement supprime le problème à la racine mais introduit un lit, une régénération, un stockage de sel et une masse microbiologiquement sensible. L'antitartre élimine le lit mais ajoute un composé organique en amont de la RO et déplace le risque de la microbiologie vers la chimie. Le choix dépend des données de dureté et d'alcalinité, du taux de conversion de conception, de la présence de surfaces chaudes en aval et de la capacité réelle du site à gérer des dosages chimiques de façon qualifiée.

Le paradoxe microbiologique du prétraitement

Le prétraitement est la seule section dont la fonction impose de dégrader localement la maîtrise microbiologique : éliminer le désinfectant est nécessaire pour protéger les membranes, et l'éliminer crée la condition idéale du biofilm précisément là où les surfaces spécifiques sont maximales et la température ambiante. Tout lit granulaire est un réacteur à biomasse fixée involontaire.

Il en découle que le prétraitement doit être traité comme un système microbiologiquement actif, non comme un accessoire mécanique. Le relargage périodique de fragments de biofilm produit des pics qui apparaissent en aval comme des événements isolés et aléatoires ; leur structure ne devient lisible qu'en comparant les comptages en amont et en aval de chaque unité. Mécanismes et contre-mesures sont développés dans l'article consacré au contrôle microbiologique et des endotoxines ; ici le principe de conception suffit : chaque composant doit être sanitisable par une méthode compatible avec ses matériaux, et cette compatibilité doit être vérifiée au stade de la spécification, non au premier événement hors limite.

Sanitisation du prétraitement

L'Annexe 1 au point 6.12 exige que la stérilisation, la désinfection ou la régénération soient réalisées selon un calendrier prédéterminé et à titre d'action corrective à la suite de résultats hors limite ou hors spécification : un plan établi a priori et une réponse structurée à la déviation. Le WHO TRS 1025 Annexe 3 (2020), pour la production de WFI par des méthodes autres que la distillation, exige une sanitisation thermique et/ou chimique validée à des intervalles spécifiés, ces intervalles étant fixés par le fabricant. Le Q&A EMA mentionne le traitement thermique au-dessus de 75 °C tout en laissant explicitement les temps de contact à la validation du fabricant.

Aucune source ne fixe de fréquence. La fréquence se construit : on part des données de qualification et de la surveillance de la phase initiale intensive, on identifie le temps caractéristique de recroissance de chaque composant, on choisit un intervalle avec une marge par rapport à ce temps, on le vérifie sur le terrain et on le réexamine sur les données de trending. La méthode est contrainte par les matériaux : de nombreux composants, en particulier les résines et certaines configurations de charbon, ne tolèrent pas le cycle thermique applicable en aval et exigent des agents chimiques avec un plan de rinçage et une vérification de l'absence de résidus. La construction et la validation des cycles sont traitées dans l'article sur la qualification des cycles de sanitisation.

Surveillance : du contrôle de conformité au trending

La surveillance du prétraitement a deux fonctions souvent confondues. La première est protectrice et doit être rapide : la mesure du désinfectant résiduel immédiatement en amont de la RO existe pour arrêter l'installation avant qu'une membrane ne soit endommagée, et elle doit donc être conçue avec la fiabilité, la logique de verrouillage et la redondance d'une sécurité, non d'un indicateur. La seconde est diagnostique et continue : pressions différentielles, dureté en sortie d'adoucisseur, température, comptages microbiens intermédiaires et consommation de régénérant, mis en série temporelle, montrent la dérive avant la panne.

L'Annexe 1 au point 6.13 exige une surveillance chimique et microbiologique régulière et continue, avec des niveaux d'alerte fondés sur les données de la qualification initiale et réexaminés périodiquement sur la base de la requalification, de la surveillance de routine et des investigations ; le point 6.14 exige que les excursions d'alerte soient documentées, revues et investiguées en distinguant l'événement isolé de la tendance défavorable ou de la dégradation du système. Appliqué au prétraitement, cela signifie que les niveaux ne s'héritent pas d'un autre site et ne se recopient pas d'un cahier des charges : ils se dérivent de ses propres données. Sur ce point le Q&A EMA est net : « Increasing of such limits is not good practice and may mask a failing system ». Relever un niveau d'alerte parce qu'il est dépassé trop souvent est la mauvaise réponse à la bonne question.

Comment le plan tient en qualification

L'Annexe 1 au point 6.10 établit que la WFI est produite à partir d'une eau conforme à des spécifications définies en qualification. C'est le maillon qui referme le raisonnement : la caractérisation de l'eau brute ne s'achève pas avec la commande, elle est la source des critères d'acceptation vérifiés en QI, QO et QP et revérifiés à chaque requalification.

La chaîne documentaire défendable comporte cinq maillons et chacun doit citer le précédent : plan de caractérisation → rapport avec le cas le plus défavorable identifié et justifié → spécifications d'alimentation dans l'URS et dans le contrat → critères d'acceptation des protocoles de qualification → limites d'alerte et d'action de la surveillance de routine. Si un inspecteur demande d'où vient la valeur de dureté utilisée pour dimensionner l'adoucisseur, la réponse doit être un rapport signé avec les données, non une ligne dans un tableur de fournisseur.

Une PQ conduite entièrement sur une seule saison ne démontre le fonctionnement que dans une seule condition aux limites. Ce qu'exigent les points 6.8 et 6.13, c'est une PQ couvrant les conditions connues comme critiques pour cette eau brute, ou une PQ complétée par une phase de surveillance étendue déclarée, avec des critères de réexamen, jusqu'à couvrir le cycle annuel. La vue d'ensemble du cluster se trouve dans le hub sur les systèmes d'eau pharmaceutique et WFI.

Exemple d'application : Site Delta

Site Delta est un site fictif utilisé comme exemple. Il fabrique des formes orales solides non stériles, alimente un système PW depuis le réseau communal via une bâche enterrée héritée d'une extension antérieure, et dispose en prétraitement d'une filtration multimédia, d'un adoucissement et d'un charbon actif, suivis d'une RO simple passage et d'un EDI. Il détient six années de certificats de l'exploitant et aucune donnée propre.

Lorsqu'il lance le remplacement de la RO, il ouvre un plan de caractérisation avec des prélèvements à la livraison, en sortie de bâche enterrée et à l'entrée de la production. Trois éléments qu'aucun certificat ne contenait apparaissent. Le comptage microbien en sortie de bâche est systématiquement supérieur à celui de la livraison, avec un écart qui se creuse pendant les mois chauds : la bâche n'est pas une partie neutre du réseau. L'exploitant alterne deux ressources selon la saison, avec des profils ioniques différents, sans l'avoir jamais communiqué parce que les deux sont potables. Le désinfectant résiduel à la livraison est sous forme combinée une partie de l'année, ce qui change les exigences de déchloration.

Trois décisions traçables en découlent. Le cas le plus défavorable de dimensionnement devient la combinaison de la ressource à charge ionique la plus élevée et de la température estivale, non la moyenne des certificats. La bâche enterrée entre dans le périmètre du système d'eau, avec un plan d'inspection et de sanitisation et une évaluation de remplacement. Un accord de communication est établi avec l'exploitant sur les changements de ressource et de désinfectant, géré comme un change control interne.

Matrice de décision : stratégie de maîtrise de l'entartrage

La colonne des poids est volontairement vide : les poids sont attribués par le site, en fonction de son propre contexte et du profil de sa propre eau brute.

Erreurs fréquentes et signaux d'alerte

• Un seul certificat comme base de conception : il décrit un instant et ne contient ni la variabilité ni le cas le plus défavorable.
• Aucun prélèvement sur le réseau interne : cela exclut de la caractérisation les composants dont le site est directement responsable.
• Potabilité confondue avec aptitude au procédé : la première est un prérequis compendial, la seconde une spécification de conception.
• Séquence recopiée d'un autre site : elle introduit des unités inutiles ou omet des unités nécessaires.
• Prétraitement hors du périmètre de qualification et du plan de sanitisation : c'est la section à la charge microbiologique la plus élevée de l'installation.
• Niveaux d'alerte relevés après des dépassements récurrents : désigné par le Q&A EMA comme une pratique susceptible de masquer un système défaillant.
• Aucun canal formel avec le fournisseur d'eau potable : un changement de ressource ou de désinfectant est une modification du procédé du site, décidée par un tiers.
• Mesure de l'oxydant résiduel traitée comme un simple indicateur : sans logique de verrouillage, étalonnage et vérification périodique, elle ne protège rien.

Si ce type d'analyse opérationnelle vous est utile, la newsletter The Pragmatic GMP rassemble des travaux pratiques sur la qualification, les utilités et les systèmes GMP. Un e-mail, aucun contenu promotionnel.

À retenir

• La conformité de l'alimentation aux réglementations applicables sur l'eau potable (EPA NPDWR, UE, Japon, OMS) fait partie de la définition compendiale USP de Purified Water, ce n'est pas une recommandation.
• Le 21 CFR 211.48(a) impose une eau potable sous pression positive continue dans un réseau exempt de défauts : une exigence de système, non d'analyse.
• L'Annexe 1 au point 6.7 exige de prévenir la contamination microbiologique et de minimiser particules, prolifération et endotoxines ; le point 6.8 exige de qualifier en tenant compte de la variation saisonnière ; le point 6.10 exige que l'eau d'alimentation de la WFI soit conforme à des spécifications définies en qualification.
• Le Q&A EMA/INS/GMP/443117/2017 fixe l'attente de données sur environ un an et rappelle que la RO à température ambiante est un environnement idéal pour le biofilm.
• Aucune source réglementaire ne publie de limites d'entrée pour la dureté, le chlore, la silice ou le TOC : ce sont des spécifications que le site établit, justifie avec ses propres données et vérifie en qualification.
• Chlore libre et chloramines exigent des stratégies de déchloration différentes ; l'ammoniaque libérée par les chloramines traverse la RO. En éliminant le désinfectant, le prétraitement crée par nécessité fonctionnelle un environnement favorable au biofilm : sanitisabilité et compatibilité des matériaux sont des exigences de spécification.
• La chaîne plan → rapport → URS → critères d'acceptation → limites de surveillance est ce qui rend le choix défendable en inspection.

Références réglementaires et techniques

• USP, monographies Purified Water et Water for Injection ; chapitre informatif <1231> (officiel depuis le 1er décembre 2021).
• 21 CFR 211.48 Plumbing — eCFR Part 211.
• EudraLex Volume 4, Annexe 1 (C(2022) 5938 final), en opération depuis le 25 août 2023, points 6.7, 6.8, 6.10, 6.12, 6.13, 6.14 — EudraLex Volume 4.
• Q&A EMA/INS/GMP/443117/2017 (depuis le 1er août 2017) et EMA/CHMP/CVMP/QWP/496873/2018 (depuis le 1er février 2021) — EMA ; WHO TRS 1033 Annexe 3 (2021) — OMS ; WHO TRS 1025 Annexe 3 (2020).
• PIC/S PI 009-4 Aide-Mémoire « Inspection of Utilities », en vigueur depuis le 1er janvier 2021 — PIC/S.
• FDA « Guide to Inspections of High Purity Water Systems » (1993) et ITG No. 36 « Reverse Osmosis » (1980) : matériel de référence pour les inspecteurs, non guidance contraignante — FDA.
• ISPE Baseline Guide Vol. 4 « Water and Steam Systems », 3e éd. (2019) ; ISPE GPG « Membrane-Based WFI Systems » (2022) ; PDA TR No. 69 (2015) : documents de filière, non réglementaires. ICH Q9(R1), Step 4 le 18 janvier 2023 — ICH.