Le rapport indique « cycle terminé », mais une sonde indépendante signale un retard, l'horloge de l'enregistreur ne coïncide pas avec celle de l'automate (PLC) et l'opérateur note qu'une alarme a disparu de l'écran. La question à résoudre n'est pas de savoir si la machine a terminé la séquence, mais s'il existe des preuves fiables que la charge a reçu le processus validé et est restée dans les conditions requises jusqu'au déchargement.
1. Séparer contrôle, enregistrement et vérification
Le contrôle règle le processus ; l'enregistrement conserve ce qui s'est passé ; la vérification évalue si les données satisfont aux critères applicables. Ces fonctions peuvent partager des composants, mais les dépendances doivent être comprises. Deux valeurs identiques sur l'écran ne constituent pas nécessairement deux mesures indépendantes : elles pourraient provenir du même capteur, de la même conversion ou du même canal.
[QRM] Définir pour chaque paramètre la fonction exercée et l'effet de sa défaillance. Évaluer ce qui se passe si le capteur reste bloqué sur une valeur plausible, si l'enregistrement s'interrompt ou si la liaison renvoie la dernière valeur valide. Les réponses doivent être conçues et testées, sans se fier à la seule présence d'une alarme générique.
Une matrice utile relie le paramètre, le point de mesure, l'instrument, le rôle dans le contrôle, le rôle dans l'enregistrement et le critère d'acceptation. Elle permet d'identifier les dépendances cachées et de choisir les instruments de validation. L'indépendance nécessaire doit être cohérente avec la criticité et l'architecture, et non avec le nombre de courbes imprimées.
2. Mesurer la température là où elle répond à la question
La température de chambre décrit une condition du milieu ; la température dans la charge décrit la réponse thermique de l'objet mesuré. Dans le cas des liquides, la position de la mesure dans le récipient influence l'interprétation de la pénétration. Pour les matériaux poreux et les pièces, il faut prendre en compte le contact du milieu et les géométries complexes. Aucune position unique ne peut être déclarée représentative sans preuves.
Pendant la validation, les études de distribution et de pénétration identifient les points significatifs et la variabilité. Ces résultats soutiennent le choix des mesures ordinaires. Cela ne signifie pas installer une sonde permanente à chaque point étudié : cela signifie démontrer le lien entre le contrôle de routine, la configuration de la charge et la performance validée.
[REGULATORY REQUIREMENT] L'Annexe 1 des BPF de l'UE, § 8.51, exige une justification des positions des sondes utilisées pour le contrôle et l'enregistrement, ainsi qu'une vérification lors de la validation avec une sonde indépendante à la même position. L'exigence soutient la comparabilité des mesures ; elle ne prescrit pas une quantité universelle de capteurs pour chaque stérilisateur.
3. Interpréter la pression dans le contexte correct
Dans les cycles à la vapeur, la température et la pression peuvent fournir des informations complémentaires sur les conditions du milieu. Leur corrélation nécessite des mesures fiables, des conventions claires et une compréhension du processus. Distinguer la pression absolue de la pression relative : comparer des données basées sur des références différentes peut générer une fausse déviation ou masquer une incohérence réelle.
La pression de chambre ne démontre pas à elle seule l'absence d'air dans la charge. Un système peut atteindre la valeur prévue alors que persistent des conditions locales défavorables au contact de la vapeur. La stratégie d'élimination de l'air et les tests pertinents doivent donc rester partie intégrante de la démonstration du processus.
Pour les cycles de liquides avec surpression, la signification de la pression diffère de celle d'un cycle à vapeur saturée pour des charges poreuses. La protection du récipient et le transfert thermique doivent être évalués selon l'architecture spécifique. Ne pas appliquer automatiquement une vérification de corrélation conçue pour une autre technologie.
4. Mesurer le temps comme partie de la séquence
Le temps d'exposition doit commencer lorsque les conditions prévues par le cycle validé sont satisfaites. L'atteinte du point de consigne par le capteur de contrôle ne prouve pas nécessairement que toute la charge a atteint la condition requise. La logique de phase doit refléter la stratégie développée et vérifiée.
Documenter l'origine temporelle des événements, l'unité de mesure et la synchronisation entre l'automate, l'enregistreur, l'historien et le système de gestion des lots. De petits décalages peuvent devenir importants lorsqu'il s'agit de comprendre si une alarme précède ou suit la fin de l'exposition. L'enregistrement doit conserver suffisamment d'informations pour reconstruire la séquence.
L'intervalle d'échantillonnage et la fréquence d'archivage ne sont pas nécessairement identiques. Un système peut acquérir fréquemment et ne sauvegarder que des moyennes plus espacées. Évaluer si cette transformation masque des variations significatives. Le choix doit découler de la dynamique du processus et de l'usage prévu des données, avec des critères documentés.
5. Calculer la létalité sans perdre les hypothèses
La létalité équivalente découle de l'intégration de l'historique thermique selon un modèle déclaré. Pour chaque calcul, conserver la température de référence, la valeur z, l'unité temporelle, les données utilisées et les règles appliquées aux points manquants. Un chiffre final dépourvu de ces éléments n'est ni pleinement interprétable ni comparable à d'autres calculs.
F0 est associé à des conventions spécifiques pour le « moist heat » ; il ne correspond pas au simple temps pendant lequel la chambre reste au point de consigne. Le guide EMA de 2019 définit F0 par rapport à 121 °C et un z égal à 10 °C. Si un système ou une méthode adopte une convention de référence différente, il faut la déclarer et la réconcilier avant de comparer les résultats.
[GUIDEGXP RECOMMENDATION] Vérifier le calcul avec des séries de données contrôlées : température constante, profil variable, point manquant, unité temporelle différente et interruption de l'acquisition. Comparer l'implémentation avec un calcul indépendant approuvé. La vérification du logiciel ne remplace pas la justification scientifique du modèle ou de la cible du processus.
Une cible atteinte sur un capteur ne démontre pas automatiquement la performance dans toutes les positions de la charge. De plus, une létalité calculée ne rend pas non pertinentes les conditions de contact du milieu, l'intégrité du récipient ou la protection ultérieure. L'évaluation doit comprendre tous les critères applicables au cycle.
6. Distinguer paramètres, indicateurs et résultats
| Preuve | Ce qu'elle soutient | Ce qu'elle ne démontre pas seule |
|---|---|---|
| Température enregistrée | Historique thermique au point mesuré | Exposition de chaque position de la charge |
| Pression enregistrée | Évolution de la pression dans le système | Absence d'air dans chaque géométrie |
| Indicateur chimique | Réponse aux conditions pour lesquelles il est conçu | Stérilité du matériel |
| Indicateur biologique | Réponse du challenge microbiologique sélectionné | Adéquation de l'ensemble de la caractérisation physique |
| État « terminé » | Résultat de la logique implémentée | Acceptation automatique de chaque exigence BPF |
| Test endotoxines | Résultat analytique dans l'échantillon et la méthode définis | Contrôle de tous les pyrogènes possibles |
La force de la preuve dépend de la cohérence de l'ensemble. Un indicateur biologique satisfaisant n'annule pas une déviation critique des paramètres physiques. Un indicateur chimique viré n'autorise pas le déchargement comme matériel stérile. Les règles d'interprétation doivent être définies avant l'exécution et comprises par les opérateurs.
7. Concevoir des alarmes qui soutiennent une décision
Séparer les avertissements opérationnels, les anomalies de la machine et les défaillances du processus. Un avertissement de maintenance peut ne pas compromettre le cycle en cours ; une perte de mesure critique peut rendre impossible la démonstration de la conformité, même si la machine continue de fonctionner. La classification doit découler de l'effet, non de la couleur choisie dans l'interface.
Pour chaque événement, spécifier le seuil, le délai, la phase applicable, l'action automatique, l'enregistrement, l'acquittement et la condition de réinitialisation. Évaluer les conséquences de seuils modifiables ou d'alarmes désactivées. Les réglages critiques doivent être contrôlés et les modifications traçables.
Tester la réponse dans des conditions réalistes. Simuler une panne ne signifie pas seulement forcer un message sur l'écran : il faut vérifier l'état de la séquence, le comportement des vannes ou du convoyeur, la persistance des données et l'indication du résultat. Inclure le redémarrage après l'événement, car c'est souvent le moment où l'on perd la traçabilité.
8. Construire un cycle record révisable
L'enregistrement doit identifier l'équipement, le cycle, la recette et sa version, la date, les opérateurs et la charge. Il doit rapporter les paramètres effectifs, les événements pertinents, le résultat et les références des éventuelles déviations. Si certaines données résident dans des systèmes séparés, le lien doit être stable et utilisable pendant la révision.
Une représentation graphique facilite la lecture, mais ne remplace pas les données originales et les métadonnées nécessaires. Conserver les informations avec lesquelles le graphique a été construit et documenter les filtres, moyennes ou arrondis. L'exportation en PDF ne prouve pas, seule, que l'enregistrement électronique est complet.
Définir qui exécute la révision opérationnelle et qui évalue les exceptions. Le processus doit intercepter également les événements non résumés dans le message final. Une révision par exception nécessite des règles fiables, validées et maintenues ; elle ne peut consister à lire uniquement un voyant vert.
9. Exemple : discordance entre deux sondes
Dans un exemple illustratif, le capteur de contrôle atteint régulièrement la phase d'exposition tandis que le canal d'enregistrement montre une évolution plus lente. L'équipe conserve les deux jeux de données et vérifie l'identification, la position, la configuration, l'étalonnage et la synchronisation. Elle ne choisit pas la courbe la plus favorable pour déclarer le cycle conforme.
Si la discordance provient d'un canal configuré avec un filtre différent, il faut évaluer son effet sur les cycles déjà exécutés et corriger la configuration via le contrôle des changements. Si, au contraire, un problème physique émerge, la réparation doit être accompagnée des vérifications nécessaires. Dans les deux cas, la décision concernant le matériel reste distincte de la réparation technique.
La conclusion documente quelle donnée est fiable, sur quelles preuves et avec quelles limites. Si l'information disponible ne permet pas de démontrer le processus requis, l'absence d'alarme ne comble pas la lacune. L'enquête doit reconnaître l'incertitude au lieu de la transformer en une conformité présumée.
10. Étalonnage et gestion des mesures hors tolérance
L'étalonnage doit couvrir l'utilisation prévue de l'instrument, incluant les points pertinents de la plage opérationnelle et la chaîne de mesure pertinente. Une vérification du seul capteur peut ne pas comprendre les erreurs introduites par le transmetteur, la conversion ou la configuration. Établir ce qui est vérifié et ce qui reste exclu.
La fréquence découle de la criticité, de la stabilité, des conditions d'emploi, de l'historique et des exigences applicables. Ne pas utiliser un intervalle fixe comme substitut à l'évaluation. Une dérive inattendue nécessite une enquête qui considère le dernier état connu fiable, l'ampleur de l'erreur et les décisions basées sur cette mesure.
L'évaluation rétrospective doit identifier les cycles potentiellement concernés et les informations complémentaires disponibles. Une seconde mesure ne peut être utile que si son indépendance et sa fiabilité sont démontrées. Conserver le raisonnement et les données : corriger le capteur résout le futur, mais ne clarifie pas automatiquement le passé.
11. Surveiller la performance dans le temps
Le suivi des tendances (trending) peut comparer les temps de chauffage, la stabilité de l'exposition, le comportement du vide, le séchage, le refroidissement et la fréquence des alarmes. Comparer des charges et des recettes homogènes, en distinguant les changements planifiés des anomalies. Une moyenne globale de configurations différentes peut masquer une détérioration spécifique.
Définir des signaux d'alerte avant le dépassement des critères d'acceptation, lorsque la connaissance du processus le permet. Ces signaux soutiennent l'enquête et la maintenance, mais ne doivent pas être confondus avec de nouvelles limites de libération non approuvées. Toute modification des critères opérationnels nécessite le parcours documentaire prévu.
Le contrôle ordinaire et la requalification répondent à des besoins complémentaires. Les données de routine montrent le comportement quotidien ; des études périodiques ou consécutives à des modifications vérifient des aspects que la mesure ordinaire n'observe pas directement. Une bonne série historique n'autorise pas à ignorer une vérification exigée par la stratégie validée.
12. Checklist de révision technique
Avant d'approuver le système de surveillance, vérifier la relation entre les points mesurés et la performance de la charge, la traçabilité des instruments, les dépendances entre les canaux et l'exhaustivité de l'enregistrement. Contrôler également les unités, les horloges, l'acquisition, l'archivage et le comportement en cas de perte d'alimentation. Chaque élément doit contribuer à une décision concrète.
Les principaux signaux d'alerte (« red flags ») sont des courbes sans identification, des valeurs moyennes sans données d'origine, une létalité sans paramètres de modèle, des alarmes annulées et des recettes sans version. Une surveillance efficace rend le cycle reconstructible et clarifie les limites des preuves disponibles. C'est cette capacité, au-delà de la qualité de l'instrumentation, qui soutient une révision fiable.
Pour rendre la révision soutenable, préparer un exemple approuvé d'enregistrement complet et un autre avec des déviations représentatives. La formation doit montrer quels éléments contrôler et quand arrêter l'évaluation pour demander un approfondissement. Vérifier que l'opérateur sait distinguer l'acquittement d'une alarme de sa résolution et de l'acceptation du matériel.
Conserver également une matrice des responsabilités entre la production, l'ingénierie, la microbiologie, l'automatisation et la qualité. Les anomalies traversent souvent plusieurs disciplines : une courbe incohérente peut provenir d'une mesure, d'une transformation des données ou du processus réel. Une responsabilité claire réduit le risque que chaque groupe considère le problème déjà évalué par un autre.
Références et parcours
Sources vérifiées le 23 septembre 2026 : BPF de l'UE Annexe 1 et Annexe 11 ; EMA, ligne directrice sur la stérilisation, 2019 ; ISO 11140-1:2014, catalogue officiel. Les indications opérationnelles originales doivent être adaptées au processus validé.
Consultez Sterilization & Depyrogenation Systems, développement des cycles moist heat, automatisation et intégrité des données et Critical Utilities Systems.
