Una linea vial in closed RABS chiude sette anni di media fill senza una sola unità contaminata. Poi un ispettore confronta il protocollo dell’ultimo APS con tre batch record: il protocollo prevede quattro ore di riempimento, due operatori, sei interventi; i batch record mostrano turni da nove ore, cinque operatori che si alternano, un cambio bobina tappi assente dalla lista simulata e due arresti per inceppamento. Sette anni di esiti positivi non dicevano nulla del processo reale.
È qui che l’Aseptic Process Simulation smette di essere un adempimento periodico e diventa una decisione di progetto: l’APS dimostra che il processo asettico, come lo eseguono quelle persone su quella linea, mantiene il controllo. Nel lifecycle sta a valle della qualifica di impianto e a monte dell’esercizio di routine. Chi lo progetta sceglie che cosa il sito potrà dire di aver validato.
Dove nasce il problema
Un APS non rappresentativo non fallisce, ed è questo che lo rende pericoloso: ciò che non viene simulato non può contaminare. Senza registrazione degli interventi in URS manca il dato per costruire la lista; se la qualifica non ha esplorato gli estremi di velocità e formato nessuno sa quale sia il worst case; se il layout rende impraticabile un intervento realistico, quello viene tolto dal protocollo anziché risolto in progetto.
Annex 1 mette un paletto esplicito: 9.35 stabilisce che «APS should not be used to justify practices that pose unnecessary contamination risks» [REQUISITO]. Un APS superato non rende accettabile una pratica rischiosa: se un intervento manuale è evitabile per progetto, averlo simulato non ne autorizza la persistenza. È il cardine dell’intero disegno, e ribalta la logica difensiva di molti protocolli: l’APS non legittima l’esistente, lo misura.
Il quadro regolatorio
| Fonte | Stato e data | Cosa vincola davvero |
|---|---|---|
| EU GMP Annex 1, C(2022) 5938 final | In applicazione dal 25 agosto 2023; solo 8.123 differito al 25 agosto 2024 | Sezione 9: rappresentatività, interventi, campagna, operazioni manuali, abort. Le clausole 9.40–9.47 regolano lotto simulato, incubazione, ispezione, growth promotion, accettazione e ripetizione: da leggere nel testo |
| FDA, Sterile Drug Products Produced by Aseptic Processing (2004) | FINAL, versione corrente; nessuna revisione pubblicata | Nonbinding recommendations, non requisito UE. §IX.A: run iniziali, riqualifica, run size, incubazione, accettazione |
| 21 CFR 211.113(b) | Vigente | «Such procedures shall include validation of all aseptic and sterilization processes» |
Che cosa l’APS deve imitare
Perimetro e surrogati
La clausola 9.33 richiede che l’APS imiti da vicino la produzione di routine e includa tutti gli step critici, dalla sterilizzazione o decontaminazione fino alla sigillatura del contenitore [REQUISITO]: il perimetro non inizia all’ago di riempimento. Chiede inoltre step asettici aggiuntivi per i prodotti non filtrabili, ammette surrogati per le polveri sterili e impone aria di processo al posto del gas inerte, salvo ricerca di anaerobi – il punto più trascurato sulle linee che riempiono sotto azoto, che sopprime gran parte della flora aerobia attesa. Simulare singole unit operation è ammesso solo con giustificazione documentata che copra il processo completo.
Quando le condizioni reali influiscono sulla vitalità microbica, 9.32 chiede procedure alternative che riproducano comunque la routine e surrogati che non inibiscano la crescita [REQUISITO]. La growth promotion prova che il sistema poteva rivelare la contaminazione: con terreno non fertile un APS non ha risultato.
Interventi
Annex 1 8.16 e 9.34 costruiscono il meccanismo: una lista autorizzata di interventi consentiti e qualificati, inherent e corrective, le cui procedure vanno valutate prima con risk management e poi con APS, e tenute aggiornate [REQUISITO]. Interventi non qualificati solo in circostanze eccezionali, con autorizzazione della quality unit. La lista non si scrive per l’APS ma per la produzione, e l’APS la verifica. La riduzione strutturale degli interventi si decide a monte: l’analisi del first air e degli interventi in Grade A precede una lista difendibile.
Campagne, fermate, liofilizzazione
In campagna, 9.36(xii) chiede di simulare i rischi di inizio e di fine campagna e di dimostrare che la durata non pone rischi; (xiii) precisa che l’APS di fine campagna può servire da assicurazione aggiuntiva o a fini investigativi, ma va giustificato nella CCS e non sostituisce quello di routine [REQUISITO]. La clausola 9.38 chiede di considerare un APS prima di shut down, lunga inattività, decommissioning o rilocazione; dove c’è un liofilizzatore, 8.123 – unico punto differito al 25 agosto 2024 – impone di minimizzare l’intervento operatore. Infine 9.48: «An APS run should be aborted only under circumstances in which written procedures require commercial lots to be equally handled» [REQUISITO], che chiude la porta all’abort di convenienza.
Il worst case come documento, non come slogan
«Worst case» non è un aggettivo: è una costruzione documentata, variabile per variabile, con rationale e metodo di verifica su durata, operatori e turni, numero e tipo di interventi, arresti programmati e non, velocità di linea, configurazione e formato.
La velocità è dove l’intuizione tradisce: alta significa più unità, più stress meccanico e più interventi correttivi; bassa allunga l’esposizione dei contenitori aperti e la permanenza degli operatori nella zona critica. Non esiste risposta generale: la velocità peggiore va determinata per la singola linea e il singolo formato, con dati di process development e storico interventi, e scritta nel protocollo con il suo rationale [QRM]. Lo stesso per la durata, dove l’intero turno più lungo è spesso impraticabile e la finestra iniziale quasi mai severa.
Rappresentare il processo
| Elemento di routine | Come si rappresenta | Perché è worst case | Errore tipico |
|---|---|---|---|
| Interventi inherent | Tutti quelli in lista, con la frequenza attesa | Ripetitivi: la frequenza è il rischio | Simulati una volta ciascuno «per copertura» |
| Interventi corrective | Con gli stessi strumenti sterili e la stessa postura | Non pianificati, sotto pressione | Eseguiti dall’operatore migliore in condizioni ideali |
| Cambio turno e formato | Rotazione reale; bracketing giustificato dei formati | Concentra ingressi; il formato determina esposizione | Stesso team per tutto il run, bracketing senza rationale |
| Atmosfera di riempimento | Aria di processo al posto del gas inerte (9.33) | Non sopprime la flora aerobia attesa | Azoto mantenuto «per fedeltà al processo» |
| Interfaccia liofilizzatore | Trasporto, carico e scarico dei vial parzialmente tappati | Espone contenitori aperti fuori dalla zona di riempimento | Ciclo dichiarato «non asettico» |
Due impianti regolatori, due logiche
Un sito che esporta deve soddisfarli entrambi, e il criterio più severo non è sempre lo stesso. Non si tratta di far coincidere i numeri: sono impianti diversi per natura giuridica e struttura.
| Materia | EU GMP Annex 1 | FDA 2004 (nonbinding recommendations) |
|---|---|---|
| Qualificazione iniziale | Nessun numero citabile per linee automatizzate | «We recommend that at least three consecutive separate successful runs be performed during initial line qualification» |
| Operazioni manuali | 9.39: ogni tipo di contenitore, chiusura ed equipment train validato con ogni operatore tramite 3 APS consecutivi positivi, poi rivalidato con un APS circa ogni 6 mesi [REQUISITO] | Nessuna clausola equivalente |
| Riqualifica e personale | Sezione 9; per le operazioni manuali, 9.39 | «Routine semi-annual qualification conducted for each processing line»; chi entra nell’aseptic core partecipa a un media fill almeno una volta l’anno |
| Run size | Materia di 9.40–9.47: leggere il testo | «A generally acceptable starting point for run size is in the range of 5,000 to 10,000 units»; sotto 5.000 unità le unità riempite eguagliano almeno la massima batch size |
| Incubazione e accettazione | 9.40–9.47: leggere il testo | «Incubation time should not be less than 14 days», temperatura mai fuori 20–35 °C; tre fasce dimensionali con soglie distinte di investigazione e rivalidazione |
| Isolatori | Sezione 9, CCS | §IX.A.4: proporzione inferiore di unità giustificabile per l’assenza di intervento umano diretto |
La colonna FDA è interamente [GUIDANCE]; quella UE contiene un solo numero citabile con sicurezza, quello di 9.39, [REQUISITO] limitato alle operazioni manuali. Dove la tabella dice «leggere il testo» non c’è un vuoto normativo: c’è una clausola da leggere alla fonte, senza trasferirvi i valori FDA per analogia.
Tre distinzioni che cambiano il protocollo
APS non è sterility testing. Il sterility test analizza un campione di lotto, a potere statistico limitato; l’APS simula l’intero processo con criteri riferiti alla popolazione di unità riempite, e non si chiude ripetendo un test.
Sterility assurance non è il sterility test. La prima è la somma di progetto, controlli, monitoraggio e dati che rende improbabile la contaminazione; il secondo è evidenza terminale a bassa sensibilità.
APS non è equipment qualification. La qualifica di linea, RABS e isolatori dimostra che l’impianto esegue le funzioni specificate entro i limiti definiti; l’APS che il processo condotto su quell’impianto da quelle persone mantiene il controllo microbiologico. Un isolatore perfettamente qualificato può ospitare un processo mal governato, e nessuna prestazione di macchina lo rivela.
QRM e CCS
Ogni scelta di scoping è una decisione di risk management ai sensi di ICH Q9(R1): pericoli del percorso asettico, contributo di interventi e interfacce, valutazione con criteri dichiarati, review [QRM]. Il rationale delle esclusioni va tracciato con lo stesso rigore di quello delle inclusioni: sono le esclusioni che un ispettore verifica. Nella CCS l’APS entra due volte, come controllo integrato e come fonte di dati per il trending; 8.19 chiede inoltre che le operazioni asettiche, incluso l’APS, siano osservate da personale con competenza specifica [REQUISITO].
Esempio applicativo: il Sito Octans
Il «Sito Octans» è un esempio realistico ma interamente di fantasia. Riempie due formati di vial in closed RABS, in campagna, sotto azoto, con liofilizzazione a valle; per otto anni gli APS risultano conformi. Il protocollo, mai rivisto nella sostanza, prevede il solo formato maggiore, azoto «per fedeltà al processo», tre ore di run a velocità nominale, la lista di interventi della qualifica e il liofilizzatore escluso perché «non è una fase asettica».
L’errore emerge da un trend di environmental monitoring, non da un APS: le escursioni si concentrano sul carico del liofilizzatore e sulle prime ore dopo il cambio turno, due finestre non rappresentate. Il riesame trova tre difetti concatenati. L’azoto sopprimeva la flora aerobia recuperata dall’EM, contro 9.33. La lista era ferma alla qualifica mentre i batch record contenevano da anni due interventi correttivi mai autorizzati, in violazione di 8.16. Il carico esponeva vial parzialmente tappati dentro il perimetro che 9.33 estende fino alla sigillatura.
La correzione non è stata «rifare il media fill»: lista ricostruita dai dati reali, perimetro esteso al liofilizzatore secondo 8.123, aria di processo, copertura del cambio turno, bracketing giustificato. Il primo APS con il nuovo perimetro ha prodotto una unità contaminata: non un peggioramento del processo, ma il primo APS capace di rivelare qualcosa. Il ciclo che ne è seguito è il telaio del troubleshooting e retrofit.
Livelli di prescrittività
| Affermazione | Livello | Fonte |
|---|---|---|
| Nelle operazioni manuali ogni operatore partecipa a 3 APS consecutivi positivi, poi a un APS circa ogni 6 mesi | [REQUISITO] | Annex 1, 9.39 |
| L’APS non può giustificare pratiche a rischio di contaminazione non necessario | [REQUISITO] | Annex 1, 9.35 |
| Un run si aborta solo dove le procedure scritte imporrebbero lo stesso a un lotto commerciale | [REQUISITO] | Annex 1, 9.48 |
| Run size 5.000–10.000 unità come starting point; incubazione non inferiore a 14 giorni, mai fuori 20–35 °C | [GUIDANCE] | FDA 2004, §IX.A |
| La velocità worst case va determinata per linea e formato, non assunta come la più alta | [QRM] | ICH Q9(R1), dati di sito |
| Il rationale delle esclusioni va documentato come quello delle inclusioni | [GUIDEGXP] | Raccomandazione redazionale |
Checklist
- Dichiarare il perimetro simulato con inizio e fine espliciti, per 9.33.
- Ricostruire la lista degli interventi dai batch record reali, riconciliandola con 8.16.
- Determinare la velocità peggiore confrontando scenario veloce e lento.
- Coprire cambi turno, arresti e ripartenze con durate rappresentative.
- Verificare l’uso di aria di processo dove la routine usa gas inerte.
- Giustificare il bracketing di contenitori, chiusure ed equipment train.
- Includere l’interfaccia con il liofilizzatore dove presente, secondo 8.123 e la CCS.
- Definire ex ante le condizioni di abort, ancorate alle procedure dei lotti commerciali.
- Programmare la revisione a ogni change di formato, layout, ricetta o turni.
Errori ricorrenti e red flag
Il primo segnale di allarme è una serie di APS conformi da anni su un protocollo mai modificato nella sostanza: la produzione cambia sempre, e un protocollo immobile ha smesso di rappresentarla. Il secondo è la lista degli interventi più corta dell’elenco ricavabile dai batch record: la produzione esegue interventi non qualificati, un problema di 8.16 che l’APS non sana. Il terzo è il riempimento simulato sotto gas inerte, presentato come fedeltà al processo quando è soppressione della crescita. Il quarto è l’abort discrezionale: un run interrotto perché «andava male», e non perché una procedura scritta lo imponeva anche a un lotto commerciale. Il quinto è il confine fra APS ed EM trattato come separato: se l’EM segnala escursioni in finestre che l’APS non rappresenta, uno dei due sistemi va corretto.
Progettare un APS rappresentativo significa accettare di scoprire qualcosa: un protocollo costruito per passare produce dati inutili, uno costruito per rappresentare produce ogni tanto un risultato scomodo e sempre un’informazione utilizzabile. Scegliere la verifica che può fallire invece di quella che rassicura è il filo conduttore di The Pragmatic GMP.
Punti chiave
- Un APS non rappresentativo non fallisce: ciò che non è simulato non può contaminare.
- Annex 1 9.35 vieta di usare l’APS per legittimare pratiche a rischio non necessario.
- Il perimetro va dalla sterilizzazione o decontaminazione fino alla sigillatura del contenitore.
- Il worst case è una costruzione documentata variabile per variabile.
- L’unico numero Annex 1 citabile con sicurezza sull’APS è quello di 9.39, sulle operazioni manuali; i valori FDA 2004 sono nonbinding recommendations.
- Un sito che esporta soddisfa entrambi gli impianti, e il criterio più severo non è sempre lo stesso.
