Biofilm e rouging nei sistemi di acqua farmaceutica: investigazione e recovery

Il terzo superamento di alert level in sei mesi sullo stesso point of use del loop di Purified Water è stato chiuso come i due precedenti: risultato isolato, ricampionamento conforme, operatore riaddestrato sulla tecnica di prelievo. Nessuna delle tre investigazioni ha guardato le altre due. In ispezione la domanda è arrivata in mezzo minuto: mostratemi il trend di quel punto negli ultimi due anni. Il grafico non mostrava tre picchi isolati, ma una linea di base spostata lentamente verso l'alto con i picchi appoggiati sopra. Non era un problema di campionamento: era un sistema che stava cedendo.

L'Annex 1 di EudraLex Volume 4 (C(2022) 5938 final, in operazione dal 25 agosto 2023) chiede esattamente questa distinzione: al punto 6.14 le escursioni di alert devono essere documentate, riviste e investigate, e l'investigazione deve stabilire se si tratti di un evento isolato oppure di un trend avverso o di un deterioramento del sistema. Frase breve, conseguenze pesanti: se la conclusione è "evento isolato", va dimostrata, non assunta perché il ricampionamento è rientrato.

Dietro la maggior parte delle escursioni ricorrenti ci sono due fenomeni distinti: il biofilm e il rouging. Confonderli produce due errori speculari: sanitizzare un sistema che ha un problema di corrosione, e ripassivare un sistema che ha un problema microbiologico. Quello che segue è il percorso investigativo per distinguerli, caratterizzarli e decidere un intervento proporzionato, dentro il quadro di progettazione, qualifica e ciclo di vita dei sistemi di acqua farmaceutica.

Due fenomeni che il campionamento tende a confondere

Il biofilm è una comunità di microrganismi sessili adesi alla superficie interna del sistema e immersi in una matrice polimerica extracellulare che essi stessi producono. La matrice non è un dettaglio: è una barriera che rallenta la penetrazione dei sanitizzanti, ospita microambienti diversi dal bulk e trattiene nutrienti. Il campione d'acqua misura per costruzione la fase planctonica, che in presenza di biofilm maturo è alimentata da distacchi intermittenti e non da una crescita omogenea. Da qui la firma tipica dell'escursione da biofilm: risultati che oscillano, ricampionamenti conformi a distanza di ore, deriva lenta della linea di base visibile solo nel trend lungo. Il PDA Technical Report No. 69 (2015), sulla gestione di bioburden e biofilm nelle operazioni farmaceutiche, individua proprio nei sistemi che movimentano fluidi lo scenario in cui il biofilm è più rilevante.

Il rouging riguarda invece la superficie dell'acciaio inossidabile: formazione o deposizione di ossidi e idrossidi contenenti ferro sullo strato passivo. Non è una singola malattia con una singola cura. Può originare altrove nel sistema ed essere trasportato e ridepositato dal fluido; può svilupparsi in situ dove lo strato passivo è localmente indebolito; può assumere forme stabili e aderenti tipiche delle superfici esposte a lungo ad alta temperatura. La letteratura tecnica descrive comunemente queste forme con una tripartizione in "tipi". Va detto con chiarezza: quella tripartizione è una convenzione di letteratura tecnica, utile per organizzare l'osservazione, non una classificazione normativa. Nessuna farmacopea, nessun annex GMP e nessuno standard citato qui definisce categorie regolatorie di rouge.

I due fenomeni interagiscono: una superficie irregolare o con depositi aderenti offre siti di ancoraggio all'adesione microbica, e un biofilm consolidato genera gradienti locali di ossigeno e pH che possono contribuire all'attacco dello strato passivo. Coesistere non li rende però lo stesso problema: azioni correttive e verifiche di efficacia si basano su evidenze diverse.

Prima dell'ipotesi: escludere gli artefatti

La prima domanda non è "cosa c'è nel sistema" ma "il dato è vero". Chiudere un'escursione attribuendola a un artefatto senza dimostrarlo è un difetto grave; non cercare l'artefatto lo è altrettanto, perché porta a smontare un sistema sano. La sequenza è documentale prima che fisica e va chiusa in tempi brevi, perché molte evidenze sono deperibili.

L'identificazione dell'isolato è lo strumento più sottovalutato della fase. Un organismo associato alla manipolazione umana, comparso una volta sola in un punto poco usato e con controlli di laboratorio puliti, racconta una storia diversa da un organismo idrofilo ricorrente in punti differenti dello stesso ramo. Disciplina del prelievo e razionale dei punti sono trattati nell'articolo sui sampling plan e i punti di campionamento; metodi di conta e identificazione in quello sul controllo microbiologico e delle endotossine in PW e WFI.

Leggere il trend prima del singolo dato

L'Annex 1 6.13 chiede monitoraggio chimico e microbiologico regolare e continuativo, con alert level basati sui dati di qualifica iniziale e riesaminati periodicamente alla luce di riqualifica, monitoraggio di routine e investigazioni; il 6.14 chiede la distinzione tra evento isolato e trend avverso. Insieme implicano che il dato singolo non sia interpretabile da solo.

Un trend utile a questo scopo è stratificato per punto e non aggregato sul loop, perché la media di sistema nasconde il punto che peggiora. Copre un orizzonte sufficiente a cogliere la variazione stagionale, che l'Annex 1 6.8 chiede di considerare nella qualifica dei sistemi acqua e per cui l'EMA Q&A sui metodi non distillativi (EMA/INS/GMP/443117/2017) si aspetta, in fase iniziale, dati su circa un anno. Considera i risultati non conformi e quelli conformi ma in salita, perché la deriva della linea di base è il segnale precoce. Include gli eventi non microbiologici: sanitizzazioni eseguite e saltate, manutenzioni, sostituzioni, fermi, modifiche approvate.

Il punto più delicato riguarda i limiti. Quando un sistema deriva, la tentazione è rivedere alert e action level "sulla base dei dati storici recenti". L'EMA è esplicita: increasing of such limits is not good practice and may mask a failing system. La revisione periodica prevista dall'Annex 1 6.13 serve a rendere i livelli più rappresentativi della capability del sistema qualificato, non a inseguire verso l'alto un sistema che si degrada. USP <1231>, capitolo informativo e non vincolante, indica livelli di azione di riferimento e lascia agli utilizzatori il compito di stabilire specifiche in-house: quella libertà rende obbligatoria una giustificazione documentata quando i livelli cambiano.

Interrogare il sistema: le condizioni che rendono possibile il biofilm

Se il dato regge e il trend indica un problema reale, l'investigazione passa alle condizioni operative. Il biofilm non è un accidente: è l'esito prevedibile di superficie, idraulica, temperatura, nutrienti e tempo.

• Il flusso è rimasto turbolento ovunque? L'Annex 1 6.9 chiede che il flusso resti turbolento per limitare adesione microbica e formazione di biofilm, e che la portata stabilita in qualifica sia monitorata di routine. Da verificare: portata reale rispetto a quella qualificata, comportamento nei rami, degrado della pompa, punti di uso aggiunti dopo la qualifica.
• La temperatura di esercizio è stata mantenuta? Nei sistemi caldi conta la temperatura effettiva in ogni tratto, non quella del serbatoio; l'Annex 1 6.10 cita come esempio, per il WFI, la circolazione costante sopra i 70 gradi Celsius. Nei sistemi a temperatura ambiente il margine è più stretto: l'EMA Q&A ricorda che le unità RO operano tipicamente a temperatura ambiente e sono perciò un ambiente ideale per la formazione di biofilm. La scelta tra sistemi caldi, freddi e ozonizzati determina quale strategia di controllo è disponibile.
• Ci sono zone morte nuove? L'Annex 1 6.7 chiede pendenza per il drenaggio ed evitare i dead leg. Quelli che contano nelle investigazioni raramente sono di progetto: sono rami di punti di uso dismessi ma non rimossi, strumenti su stacchi, raccordi per usi temporanei. Geometria e materiali sono trattati nell'articolo su dead leg, pendenze, materiali e hygienic design.
• Le sanitizzazioni sono state eseguite come qualificate? L'Annex 1 6.12 prevede sterilizzazione, disinfezione o rigenerazione secondo schedule predeterminato e come azione rimediale dopo risultati fuori limite o fuori specifica. Da verificare: cicli in ritardo o saltati, parametri raggiunti in ogni punto e non solo al punto di controllo, punti esclusi, valvole non manovrate.
• Che cosa è cambiato a monte? Source water, pretrattamento, rigenerazioni, cambi di membrana, filtri di sfiato: l'Annex 1 6.11 chiede che i filtri idrofobici batterio-ritentivi non siano fonte di contaminazione, con integrity test prima dell'installazione e dopo l'uso e prevenzione della condensa.

L'ispezione fisica: quando si apre il sistema

Si apre il sistema quando l'evidenza documentale ha ristretto il campo a una porzione dell'impianto, o quando il trend indica un deterioramento che i dati di processo non spiegano. Aprire è esso stesso un evento contaminante: sequenza definita, punti fotografati e mappati, campioni di superficie e di deposito raccolti prima di qualsiasi pulizia, ripristino e sanitizzazione qualificati già previsti nel piano.

Gli oggetti da guardare per primi sono quelli che concentrano l'evidenza: interfaccia liquido-vapore nel serbatoio, zone d'ombra dello spray pattern, valvole dei punti di uso e loro sedi, scambiatori, guarnizioni e giunzioni, tratti terminali dei rami, superfici a valle di difetti di saldatura. Dove l'accesso diretto non è possibile, l'ispezione endoscopica di tratti selezionati è spesso l'unico modo per ottenere evidenza senza tagliare. Per le unità a membrana l'EMA Q&A menziona esplicitamente l'analisi distruttiva della membrana come mezzo per confermare l'assenza di biofilm: evidenza forte e non ripetibile, da decidere con criteri stabiliti prima e da leggere insieme allo storico di quella membrana, non come giudizio sull'intero sistema.

Rouging: caratterizzare prima di decidere

Quando compare una colorazione anomala la reazione istintiva è pianificare una ripassivazione. È sbagliata, perché salta la fase che determina se e quale intervento serva. Non tutti i rouging richiedono una ripassivazione. Alcuni sono stabili e non progressivi, alcuni non rilasciano particolato in condizioni operative, alcuni sono la conseguenza visibile di una causa a monte da rimuovere prima e indipendentemente dal trattamento della superficie.

• Estensione e localizzazione. Un fenomeno diffuso, uno localizzato a valle di un componente e uno confinato alla zona più calda raccontano storie diverse.
• Aspetto e aderenza. Deposito asportabile o film aderente e continuo; colore e uniformità; attacco visibile del substrato.
• Natura del deposito. Analisi elementare e morfologica su campione raccolto in modo tracciabile, per distinguere materiale trasportato e rideposto da ossidazione sviluppata in situ.
• Progressione nel tempo. Confronto con ispezioni precedenti, fotografie datate, storico delle sanitizzazioni, età del sistema e del componente.
• Impatto misurabile. Parametri controllati, particolato dove monitorato, evidenza di rilascio verso il prodotto.
• Storia costruttiva. Materiali e finitura superficiale, trattamento delle saldature, passivazione iniziale documentata, modifiche successive. ASME BPE tratta materiali metallici, finiture superficiali e system design in parti dedicate: l'edizione applicabile va fissata contrattualmente e i criteri numerici letti sull'edizione, non a memoria.

Il risultato non è un'etichetta ma la risposta a tre domande: il fenomeno progredisce; incide sulla qualità dell'acqua o del prodotto; ha una causa attiva che continuerà ad agire anche dopo il trattamento della superficie.

La decisione sulla ripassivazione non è automatica

La ripassivazione è un intervento chimico su un impianto in esercizio, con rischi propri: aggressione di guarnizioni e componenti non metallici, danneggiamento della strumentazione, risciacquo incompleto, reflui da gestire, fermo produttivo e necessità di riqualificare prima del rientro in servizio. Il quadro tecnico è dato da ASTM A967/A967M-25 per la passivazione chimica dell'acciaio inossidabile e da ASTM A380/A380M-25 per cleaning, descaling, pickling e passivazione: entrambi definiscono pratiche e verifiche, non il quando intervenire su un dato sistema. Quella decisione appartiene al sito, con il quadro di rischio di ICH Q9(R1) e la logica di ICH Q10. La matrice seguente ha la colonna dei pesi vuota: i pesi li assegna il sito in funzione del prodotto, della criticità d'uso dell'acqua e della configurazione dell'impianto.

Le opzioni non sono due. Tra "non fare nulla" e "ripassivare tutto il sistema" esistono la sorveglianza strumentata con criteri di riesame definiti, il trattamento del solo tratto interessato, la sostituzione del componente e la correzione della causa a monte. Se si interviene servono un piano di verifica definito prima e una riqualificazione proporzionata: una ripassivazione non verificata sposta il problema, non lo chiude.

Remediation del biofilm: perché una shock sanitisation non chiude il caso

L'Annex 1 6.12 riconosce la sanitizzazione come azione rimediale dopo risultati fuori limite o fuori specifica, ed è la risposta corretta come primo intervento. Non è però corretto affermare che una shock sanitisation elimini definitivamente un biofilm maturo. I motivi sono meccanici, non teorici.

Il primo è la penetrazione: la matrice rallenta la diffusione dell'agente e ne consuma una parte per reazione, cosicché la concentrazione che raggiunge gli strati profondi può essere sensibilmente inferiore a quella del bulk e il tempo di contatto necessario diverso da quello sufficiente per cellule planctoniche. Il secondo è la distribuzione: il ciclo raggiunge il sistema in modo disomogeneo, e punti a bassa velocità, rami terminali, sedi delle valvole e zone d'ombra ricevono meno di quanto indichi il punto di controllo. Il terzo è che uccidere non equivale a rimuovere: una matrice inattivata ma non rimossa resta una superficie condizionata, ideale per la ricolonizzazione, e può continuare a rilasciare materiale organico ed endotossine. Il quarto è la sopravvivenza di frazioni residue in nicchie protette, che bastano a riavviare la colonizzazione.

Ne derivano tre conseguenze. La remediation efficace combina rimozione e inattivazione e non si esaurisce in un singolo trattamento. Se il ciclo qualificato non è bastato, l'azione non è ripeterlo identico all'infinito ma rivederne parametri e qualifica: l'articolo sulla qualifica dei cicli di sanitizzazione tratta come si dimostra quell'adeguatezza. Ed è la rimozione della causa a decidere l'esito: se la velocità resta bassa, il dead leg resta al suo posto o la temperatura resta fuori dal profilo qualificato, la ricolonizzazione è solo questione di tempo. L'EMA Q&A menziona il trattamento termico sopra i 75 gradi Celsius come approccio al controllo dei biofilm nei sistemi non distillativi, lasciando i tempi di contatto alla validazione del produttore: conferma che i parametri efficaci vanno stabiliti e dimostrati sul sistema specifico.

Verificare il recupero: evidenza nel tempo, non un risultato conforme

Il singolo risultato conforme dopo la sanitizzazione è l'evidenza più debole disponibile, perché è il comportamento atteso anche quando il biofilm è stato solo disturbato. La verifica del recupero è un piano approvato prima dell'intervento, che stabilisce quali punti campionare e con quale frequenza aumentata, per quanto tempo mantenere il regime intensificato, quali parametri fisici seguire in parallelo, quale criterio quantitativo definisce il recupero e quale evidenza autorizza il ritorno alla routine.

Nessuna delle fonti citate fissa quel criterio, quella durata o quel numero di campioni: vanno stabiliti, giustificati e documentati dal sito, su elementi verificabili come la capability dimostrata in qualifica iniziale, la variabilità storica del sistema in controllo, l'orizzonte entro cui in quel sistema si è manifestata la ricolonizzazione, la variazione stagionale e la criticità d'uso dell'acqua. Un criterio robusto guarda la distribuzione dei risultati e la stabilità della linea di base anziché un valore isolato, considera più punti del ramo interessato e prevede che cosa fare se la deriva riprende dopo il ritorno alla routine.

Nella stessa logica rientra il monitoraggio continuo che l'Annex 1 6.15 chiede per i sistemi WFI, come TOC e conducibilità: in fase di recupero quei segnali, letti insieme al dato microbiologico, danno continuità a un'evidenza altrimenti discreta. L'EMA Q&A stabilisce come minimo una valutazione annuale dell'efficacia del monitoraggio: dopo un evento del genere è lì che si verifica se il piano avrebbe potuto intercettare prima la deriva.

CAPA: chiudere sulla causa, non sull'evento

ICH Q10 colloca le azioni correttive e preventive tra gli elementi del sistema qualità farmaceutico e ICH Q9(R1) fornisce il quadro di rischio che ne guida la proporzionalità. La root cause analysis deve arrivare a una causa che spieghi il pattern, non solo l'ultimo risultato: se il trend mostra tre escursioni in sei mesi sullo stesso ramo, la causa deve spiegare perché quel ramo e perché quella cadenza. Correzione, azione correttiva e azione preventiva vanno tracciate separatamente: sanitizzare è la correzione; rimuovere il dead leg, ripristinare la portata qualificata, rivedere il ciclo o sostituire il componente sono azioni correttive; estendere la verifica ai rami con la stessa configurazione, aggiornare il piano di campionamento e introdurre una regola di trending che intercetti la deriva prima dell'action level sono azioni preventive. L'efficacia si verifica con l'evidenza definita nel piano di recupero: la CAPA non si chiude prima che esista.

Esempio applicativo: Sito Delta

Sito Delta è un esempio didattico, non un caso reale. Produce forme non sterili e ha un loop PW a temperatura ambiente con sanitizzazione chimica periodica. In dodici mesi registra quattro escursioni di alert, tre su due punti di uso contigui dello stesso ramo terminale; le prime due erano state chiuse come errore di campionamento.

Riaperta l'investigazione, il riesame documentale non trova artefatti: tecnica di prelievo corretta, controlli di laboratorio puliti, isolato ricorrente compatibile con la flora idrofila del sistema. Il trend per punto mostra che i due punti hanno una linea di base più alta degli altri da circa nove mesi, con inizio della deriva a ridosso di un intervento di manutenzione. Il riesame delle condizioni operative rivela che dopo quell'intervento un punto di uso a valle era stato escluso dal servizio senza rimuovere il ramo, e che la portata sul ramo terminale non era verificata separatamente da quella di loop. L'ispezione endoscopica conferma un deposito continuo nel ramo escluso.

Le azioni: sanitizzazione come correzione immediata; rimozione fisica del ramo dismesso e ripristino della configurazione qualificata; revisione del ciclo con verifica dei parametri anche nei rami terminali; monitoraggio intensificato secondo un piano di recupero approvato prima dell'intervento, con criteri e durata giustificati sui dati storici; estensione della verifica ai rami analoghi; regola di trending per punto che segnali la deriva prima dell'action level. Si osserva anche una colorazione superficiale localizzata: documentata, campionata e messa in sorveglianza con criteri di riesame definiti. Non viene pianificata una ripassivazione, perché la caratterizzazione non mostra progressione né impatto sui parametri controllati: decisione da documentare e riesaminare, non un caso chiuso.

Checklist di investigazione

1. Il risultato è confermato, oppure esiste evidenza documentata di artefatto di prelievo, trasporto o laboratorio; l'isolato è identificato al livello stabilito dal sito e confrontato con la flora tipica del sistema e del laboratorio.
2. Il trend è stato riesaminato per punto, su un orizzonte che copre la variazione stagionale, includendo i risultati conformi.
3. Sono stati correlati portata, temperatura, TOC, conducibilità, allarmi, manutenzioni, modifiche e sanitizzazioni eseguite o saltate, verificando le condizioni qualificate nel tratto interessato e confrontando la configurazione attuale con quella qualificata.
4. L'ispezione fisica è pianificata con sequenza, campionamento del deposito prima della pulizia, ripristino e sanitizzazione qualificati; un'eventuale colorazione superficiale è caratterizzata per estensione, aderenza, natura, progressione e impatto prima di ogni decisione.
5. Il piano di verifica del recupero è approvato prima dell'intervento, con criteri, punti, frequenza e durata giustificati.
6. La CAPA distingue correzione, azione correttiva e azione preventiva, ed è chiusa solo dopo la verifica di efficacia.

Errori frequenti e red flag

• Chiudere ripetutamente escursioni come "evento isolato" senza riesaminare le precedenti: è il pattern che l'Annex 1 6.14 chiede di escludere ed è visibile a chiunque guardi il trend.
• Attribuire l'escursione a errore di campionamento senza evidenza documentale, usando il ricampionamento conforme come prova.
• Alzare alert e action level per riallinearli ai dati recenti di un sistema in deriva.
• Dichiarare risolto un problema di biofilm sulla base di un unico risultato conforme dopo la sanitizzazione.
• Ripetere lo stesso ciclo di sanitizzazione dopo che ha già fallito, senza rivederne parametri e qualifica.
• Pianificare una ripassivazione come risposta automatica a qualunque colorazione, senza caratterizzazione e senza valutarne i rischi.

Se vuoi ricevere analisi come questa su qualifica, monitoraggio e ciclo di vita dei sistemi GMP, puoi iscriverti alla newsletter The Pragmatic GMP: contenuti tecnici, senza promozioni.

Key takeaway

• L'Annex 1 6.14 impone di distinguere l'evento isolato dal trend avverso: la conclusione "evento isolato" va dimostrata.
• Biofilm e rouging coesistono spesso ma richiedono azioni e verifiche diverse; l'investigazione parte dagli artefatti di prelievo e laboratorio, prosegue sul trend per punto e arriva all'ispezione fisica solo a campo ristretto.
• Alzare i limiti per inseguire un sistema in deriva non è buona pratica e può mascherare un sistema che sta cedendo.
• Il rouging va caratterizzato prima di decidere: la ripassivazione non è automatica ed è essa stessa un intervento con rischi e con necessità di verifica.
• Una shock sanitisation non garantisce l'eliminazione definitiva di un biofilm maturo: penetrazione, distribuzione, rimozione e rimozione della causa decidono l'esito.
• Il recupero si dimostra con evidenza nel tempo secondo un piano approvato prima dell'intervento, non con un singolo risultato conforme.

Riferimenti regolatori e tecnici

• EudraLex Volume 4, Annex 1 (C(2022) 5938 final), in operazione dal 25 agosto 2023: punti 6.7-6.15.
• EMA Q&A "Production of WFI by non-distillation methods - reverse osmosis, biofilms and control strategies" (EMA/INS/GMP/443117/2017), dal 1 agosto 2017; EMA Guideline on the quality of water for pharmaceutical use (EMA/CHMP/CVMP/QWP/496873/2018), dal 1 febbraio 2021.
• USP <1231> Water for Pharmaceutical Purposes, ufficiale dal 1 dicembre 2021: capitolo informativo, non vincolante.
• WHO TRS 1033, Annex 3 (2021).
• ICH Q9(R1) (Step 4, 18 gennaio 2023) e ICH Q10 (Step 4, 4 giugno 2008).
• PDA Technical Report No. 69 (2015), Bioburden and Biofilm Management in Pharmaceutical Manufacturing Operations.
• ASTM A967/A967M-25 (passivazione chimica dell'acciaio inossidabile) e ASTM A380/A380M-25 (cleaning, descaling, pickling e passivazione).
• ASME BPE, parti su materiali metallici, finiture superficiali e system design (edizione da fissare contrattualmente); ISPE Baseline Guide Vol. 4, Water and Steam Systems, 3a ed., settembre 2019.
• FDA, Guide to Inspections of High Purity Water Systems (1993): riferimento per gli investigatori, non vincolante.