L'ispettore chiede l'audit trail della ricetta usata in un lotto fermato per allarme di livello. Il sistema lo produce: centoventimila righe in cui ogni cambio di stato di un sensore pesa quanto la modifica del set point di dosaggio. In quel sito nessuno aveva mai filtrato quel file. L'audit trail esisteva; non era mai stato oggetto di review, perché nessuno sapeva leggerlo.
Questo articolo decide una cosa: quali dati della linea sono record GMP e quali sono machine data. Non tutto ciò che il PLC produce è record GMP, e non tutto ciò che è record GMP nasce nel PLC. La classificazione non discende dall'architettura di controllo: è una decisione di rischio documentata, da prendere in URS, e da essa discendono audit trail, retention, backup, review e periodic review.
Dove nasce il problema
La sequenza di guasto è sempre la stessa. In URS l'automazione è descritta per funzioni – dosaggio, trasporto, stoppering, scarti – non per dati; il fornitore quota la configurazione standard del proprio SCADA; in FAT si verificano le funzioni, non la produzione di record; in OQ si testano allarmi e interlock uno per uno, ma nessuno verifica che l'insieme sia gestibile da un operatore. In esercizio il sistema registra tutto e non dice nulla.
Il costo si paga a valle, in due direzioni. Un dato che si scopre essere record GMP a esercizio avviato, e che il sistema non conserva in forma leggibile e attribuibile, obbliga a change control e rivalidazione parziale. Un dato trattato come record GMP senza esserlo genera review che nessuno userà. Entrambi gli errori nascono dalla stessa omissione: nessuno ha scritto la lista dei record GMP del sistema, con il suo rationale.
Il quadro regolatorio
| Fonte | Stato e data | Cosa vincola davvero |
|---|---|---|
| EU GMP Annex 11 | Testo del gennaio 2011, tuttora l'unico in vigore. Draft di revisione in consultazione congiunta EMA/PIC/S chiusa il 7 ottobre 2025; nessuna adozione confermata | Risk management, fornitori, validazione, dati, accessi, audit trail, backup, periodic review. Il draft non è un requisito |
| EU GMP Annex 1 | C(2022) 5938 final, in applicazione dal 25 agosto 2023 | CCS (2.3, 2.5); lista autorizzata degli interventi (8.16); interventi e fermi nel batch record (8.17); registrazioni di sterilizzazione per ciclo (8.45) |
| 21 CFR Part 11 | Vigente; guidance Scope and Application 2003 operativa | Record elettronici e firme elettroniche, con enforcement discretion su validazione, audit trail e legacy. Non sostituisce i predicate rule |
| ICH Q9(R1) | Step 4 il 18 gennaio 2023 | Metodo con cui si giustificano classificazione dei dati e perimetro di review |
| GAMP 5 Second Edition; ASTM E2500-25 | Edizioni correnti; E2500-25 supera E2500-20 | Lifecycle e verification risk-based. Guide volontarie |
Due piani vanno tenuti distinti. Primo: l'Annex 11 vigente è il testo del 2011, l'unico contro cui si è ispezionabili oggi; trattare il draft come requisito vincola fornitore e budget a un testo che non esiste nella forma finale. Secondo: una linea specificata oggi resterà in esercizio decenni, e ignorare la direzione resa pubblica dalla consultazione – data lifecycle, interfacce, cybersecurity – significa consegnare un'architettura da modificare appena il testo cambierà. Si valida contro il 2011 e si progetta perché l'architettura assorba l'evoluzione attesa, dichiarandolo scelta di robustezza [GUIDEGXP].
PLC, HMI, SCADA e historian non sono lo stesso sistema
Il PLC esegue la logica di macchina in tempo reale; l'HMI è l'interfaccia locale; lo SCADA supervisiona più macchine e gestisce ricette, utenti ed eventi; l'historian archivia serie temporali. Su una linea asettica queste funzioni sono distribuite fra riempitrice, barriera, tunnel, liofilizzatore, EMS e sistemi di sito: ognuno produce dati, nessuno il batch record.
Ricette e parametri critici
La ricetta è il punto in cui la decisione morde. Contiene parametri critici di processo (volume nominale e limiti, parametri di ciclo, criteri di reject), parametri di macchina non critici e configurazione dell'interfaccia. Solo i primi sono record GMP a pieno titolo; per gli altri la classificazione dipende dall'impatto dimostrato sul prodotto [QRM]. Valori e limiti si definiscono tramite process development, URS e validazione, e si congelano in una versione di ricetta univoca, soggetta a change control [REQUISITO].
Allarmi, eventi e interlock
Un interlock impedisce un'azione. Un allarme richiede un'azione umana. Un evento registra un fatto. Confonderli è la causa più comune di proliferazione: ogni transizione di stato diventa allarme e l'operatore acquisisce a raffica finestre che non legge più. La proliferazione di allarmi non critici è essa stessa un rischio di sterility assurance: l'allarme su una perdita di sovrapressione in barriera si perde nel rumore di quello sul magazzino tappi.
L'alarm rationalisation dichiara, per ogni allarme, condizione, conseguenza sul processo asettico, priorità e azione attesa. Ciò che non richiede azione umana diventa evento nell'historian, ciò che deve impedire un'azione diventa interlock. Soglie e priorità si derivano da process development, CCS e dati del costruttore, e si verificano in OQ [QRM]. Un allarme che comporta l'ingresso di un operatore in Grade A genera un intervento, da includere nella lista autorizzata (8.16) e da registrare nel batch record con tempo, durata e operatori (8.17) [REQUISITO]: la logica di allarme è anche una scelta sul numero di interventi, tema di automation, robotics e gloveless aseptic processing.
IPC e scarti
Nell'IPC convivono misura, correzione automatica ed esito. Gli scarti sono il caso più trascurato: un contenitore respinto per tappo mancante o disallineato – rigetto che Annex 1 8.28 richiede prima del capping condotto come clean process con grade A air supply [REQUISITO] – genera un dato necessario alla riconciliazione del lotto. Se il conteggio per causale non è attribuibile alla fase, la riconciliazione diventa una stima.
Audit trail, accessi, tempo e continuità
La review è un esercizio di rischio, non di volume
Un audit trail utile è filtrabile per tipo di dato, utente e intervallo temporale, e leggibile senza strumenti proprietari. La review va definita per perimetro, occasione (rilascio, indagine, periodica) e responsabilità, secondo criticità [QRM]. La frequenza non si copia: si giustifica. Una review che dichiara di coprire tutto e non copre nulla è peggiore di una parziale ma mirata.
Ruoli, accessi e record elettronici
Il controllo accessi deve rendere ogni azione critica attribuibile a una persona identificata, con ruoli per funzione e privilegi minimi; account condivisi e utenze di manutenzione permanenti sono la breccia più frequente. La firma elettronica richiede il perimetro Part 11: significato, legame indissolubile con il record, controlli sull'identità [REQUISITO]. La guidance 2003 dichiara enforcement discretion, ma non esenta dai predicate rule.
Tempo, backup, accesso remoto e cybersecurity
Senza un riferimento orario sincronizzato fra PLC, SCADA, EMS e sistemi di sito, correlare un'escursione ambientale con un intervento di linea diventa interpretazione: la sincronizzazione va specificata in URS e verificata in qualifica [GEP]. Il backup non testato non è un backup: frequenza e modalità si definiscono per criticità e si provano con un restore documentato [QRM]. L'accesso remoto del fornitore va governato: attivazione su richiesta, autorizzazione nominale, sessione tracciata, registrazione delle modifiche. Una modifica remota non tracciata è un cambio non autorizzato al sistema. La cybersecurity è il prerequisito della data integrity: segmentazione OT/IT, patch compatibili con lo stato validato e controllo dei supporti rimovibili sono le condizioni senza cui attribuibilità e inalterabilità non sono dimostrabili [GEP].
Machine data o record GMP: la matrice di decisione
| Dato prodotto dalla linea | Classificazione | Criterio della decisione | Conseguenze su audit trail, retention e review |
|---|---|---|---|
| Set point e versione di ricetta del lotto | Record GMP | Definisce le condizioni di processo del lotto | Audit trail sulle modifiche; retention da batch record; review a rilascio |
| Valori e limiti dei parametri critici di riempimento | Record GMP | Conformità ai limiti di validazione | Archiviazione con metadati; review a rilascio |
| Corrente di un servomotore, temperatura di quadro | Machine data | Nessun impatto sulla qualità | Nessun audit trail GMP; retention tecnica |
| Allarme critico con intervento in Grade A | Record GMP | Annex 1 8.16 e 8.17: intervento da registrare | Retention da batch record; trend interventi e CCS |
| Allarme informativo su magazzino componenti | Machine data | Azione logistica, nessun effetto sul prodotto | Evento nell'historian; fuori dalla review basata sul rischio |
| Conteggio scarti per causale e per fase | Record GMP | Serve a riconciliazione e indagini | Retention da batch record; review a rilascio |
| Login, tentativi falliti, cambi di ruolo | Record GMP di sistema | Sostiene l'attribuibilità degli altri record | Audit trail dedicato; review periodica |
| Osservazione delle operazioni asettiche (8.19) | Record GMP che non nasce nel PLC | Giudizio umano documentato, non dato di macchina | Nel sistema documentale; da correlare ai dati di linea |
Le ultime righe mostrano i due lati della distinzione: il PLC produce dati che non sono record GMP, e i record GMP che decidono la sterility assurance nessun PLC li produrrà.
QRM e CCS
Con ICH Q9(R1) il pericolo non è «il dato è sbagliato» ma «una decisione sul lotto è presa su un dato non attribuibile o non ricostruibile»: la valutazione pesa impatto sul paziente, rilevabilità e controlli indipendenti, e produce due esiti, classificazione dei dati e perimetro della review. Nella CCS questi controlli entrano come controlli tecnici e organizzativi (Annex 1 2.3 e 2.5). La periodic review verifica che lo stato validato non sia derivato per accumulo di change, che i backup siano restorabili e che gli allarmi siano ancora quelli che servono [QRM]; il legame con la qualification della linea è di continuità, non di ripetizione.
Esempio applicativo: il Sito Pyxis
Il «Sito Pyxis» è un esempio realistico ma interamente di fantasia. Il sito installa una linea vial in isolatore con SCADA di macchina e historian di sito. In URS l'automazione ha un capitolo «conformità Annex 11 e Part 11» che elenca le funzioni attese: audit trail, controllo accessi, backup, firma elettronica. Il fornitore le implementa e FAT, SAT, IQ e OQ passano senza rilievi.
L'errore è nel capitolo: ha chiesto funzioni, non ha classificato dati. L'audit trail è configurato «su tutto», perché senza una lista di record GMP la scelta prudenziale del fornitore è registrare qualsiasi cosa. Mesi dopo, un'indagine deve stabilire se un limite di reject fosse stato modificato nel turno precedente: la risposta esiste, ma per estrarla serve l'assistenza remota del fornitore, perché il file non è filtrabile per tipo di parametro e le voci di ricetta hanno la stessa etichetta dei parametri di macchina. Il lotto resta in quarantena, e la review prevista – «verifica a campione» – risulta eseguita su eventi di login.
La correzione non è tecnologica: lista classificata dei dati costruita a posteriori, riconfigurazione sotto change control di etichette e livelli di registrazione, procedura di review riscritta per perimetro e occasione, alarm list razionalizzata. Costa più di quanto sarebbe costato scriverlo in URS: la classificazione dei dati è attività di progetto, non di rimedio.
Livelli di prescrittività
| Affermazione | Livello | Fonte |
|---|---|---|
| Interventi e fermi vanno registrati nel batch record con tempo e durata | [REQUISITO] | EU GMP Annex 1, 8.17 |
| Un sistema che genera record GMP richiede accessi, audit trail, backup e periodic review | [REQUISITO] | EU GMP Annex 11 (2011) |
| Part 11 Scope and Application dichiara enforcement discretion su audit trail e legacy | [GUIDANCE] | FDA, guidance 2003 |
| Il lifecycle risk-based del software segue guide di settore | [STANDARD] | GAMP 5 Second Edition; ASTM E2500-25 |
| Perimetro e frequenza della review dell'audit trail si definiscono per criticità | [QRM] | ICH Q9(R1) |
| Il backup non testato con un restore documentato non è un backup | [GUIDEGXP] | Raccomandazione redazionale |
Checklist
- Classificare ogni flusso di dati come machine data o record GMP, con rationale firmato, prima della specifica funzionale.
- Dichiarare in URS un audit trail filtrabile ed esportabile.
- Razionalizzare gli allarmi distinguendoli da eventi e interlock.
- Tracciare gli scarti per causale e per fase.
- Definire la matrice ruoli/privilegi vietando account condivisi.
- Sincronizzare il riferimento orario fra PLC, SCADA, EMS e sistemi di sito.
- Verificare il backup con un restore eseguito e documentato.
- Governare l'accesso remoto del fornitore con autorizzazione nominale e sessioni riconciliate.
- Congelare le versioni di ricetta sotto change control.
Errori ricorrenti e red flag
Il primo segnale è un capitolo di URS che chiede «conformità Annex 11» senza allegare la lista dei record GMP: delega al fornitore una decisione del titolare. Il secondo è un'alarm list che cresce a ogni modifica: se nessun allarme è mai stato declassato a evento, la razionalizzazione non è stata fatta. Il terzo è la specifica costruita sul draft di revisione dell'Annex 11 come se fosse vigente: la consultazione EMA/PIC/S si è chiusa il 7 ottobre 2025 e nessuna adozione è confermata – validare contro un testo che non esiste è un errore, ignorarne la direzione in un impianto che vivrà decenni ne è un altro. Il quarto è l'orologio: sistemi non sincronizzati rendono incorrelabili i dati di linea e quelli dell'environmental monitoring. Il quinto è il backup mai ripristinato e l'accesso remoto sempre attivo, casi da troubleshooting e retrofit a linea ferma.
La differenza fra un sistema conforme e un sistema utile sta in una lista che qualcuno deve firmare prima che il fornitore configuri lo SCADA: il tipo di decisione poco visibile e costosa da recuperare che raccontiamo in The Pragmatic GMP.
Punti chiave
- La classificazione machine data / record GMP è una decisione di rischio documentata.
- Record GMP essenziali alla sterility assurance nascono fuori dal PLC; molti dati del PLC non sono record GMP.
- La proliferazione di allarmi non critici è un rischio: l'allarme che conta si perde nel rumore.
- L'Annex 11 vigente è il testo del gennaio 2011; il draft post-consultazione non è un requisito.
- Un audit trail non filtrabile è formalmente presente e sostanzialmente inutilizzabile.
- La cybersecurity non affianca la data integrity: ne è il prerequisito.
