In ispezione la domanda arriva sempre nella stessa forma: mostratemi il differenziale di pressione fra il locale di riempimento e il suo background durante la lavorazione del lotto. Emergono due archivi. Il BMS ha un trend continuo, ma i dati sono già mediati su un intervallo scelto dall'integratore, l'orologio è disallineato e il set point si cambia con credenziali condivise. L'EMS registra lo stesso parametro con altra logica di campionamento e con un audit trail vero, ma su una sonda che nessun documento di qualifica giustifica. Nessuno dei due archivi, da solo, risponde alla domanda; insieme si contraddicono.
Il problema non è tecnologico: entrambi i sistemi funzionano. Manca la decisione, presa prima e messa per iscritto, su quale sistema tenga il record GMP di ciascun parametro, con quale granularità e sotto quali controlli di accesso. È architettura, non configurazione: cambiarla dopo l'avviamento significa rifare validazione e procedure. Il quadro d'insieme è nell'hub Cleanrooms & HVAC Systems.
Perché il confine fra BMS ed EMS si paga tre volte
In gara, un capitolato che chiede «un BMS con monitoraggio ambientale» riceve offerte non confrontabili: chi quota historian, ruoli, audit trail e validazione perde contro chi quota la sola supervisione, e la lacuna nasce prima, quando la URS di cleanroom e HVAC non dichiara quali dati sono record GMP. In qualifica, il sistema che tiene il record è un sistema computerizzato GMP, da validare secondo l'Annex 11. In esercizio si pagano le tacitazioni di un impianto di allarmi non razionalizzato; sul ciclo di vita si paga l'obsolescenza, perché sostituire l'historian senza prevedere la migrazione significa perdere la leggibilità dei record.
Quadro regolatorio: che cosa vincola davvero il monitoraggio
| Fonte | Stato / data | Cosa vincola davvero |
|---|---|---|
| EudraLex Vol. 4, Annex 1 | C(2022) 5938 final, in applicazione dal 25 agosto 2023 | §4.16: indicatori installati, criticità valutata nella CCS, differenziali critici registrati in continuo con allarme. §2.1–2.5: monitoraggio su base QRM. §4.25: differenziale, temperatura e umidità in qualifica. §6.1–6.6: utilities e trend analysis. La sezione 9 è perimetro distinto |
| EudraLex Vol. 4, Annex 11 | Revisione di gennaio 2011, operativa dal 30 giugno 2011 | Ciclo di vita del sistema computerizzato: risk management (1), fornitori (3.1–3.4), validazione e inventario (4.1–4.8), storage e restore (7.1–7.2), audit trail (9), change (10), periodic evaluation (11), accessi (12) |
| EudraLex Vol. 4, Annex 15 | Revisione 2015, operativa dal 1 ottobre 2015 | URS, DQ, FAT/SAT e IQ/OQ/PQ applicati anche al sistema di monitoraggio; change control |
| 21 CFR 211.42(c)(10), 211.46, 211.68; Part 11 e guidance FDA del 2003 | eCFR aggiornato al 27 agosto 2026 | Controllo di temperatura e umidità e monitoraggio ambientale per l'asettico; taratura a programma scritto, modifiche ai record ai soli autorizzati, backup; nessun valore numerico. Part 11: applicabilità da determinare |
| ISO 14644-2:2015 e -3:2019; PIC/S PI 009-4 | Volontarie | Piano di monitoraggio risk-based; metodi di prova senza criteri di accettazione. PI 009-4 è training per ispettori |
Che cosa si monitora e chi tiene il record
La tabella non elenca parametri obbligatori: dà il formato con cui la decisione va scritta, riga per riga, sulla base della CCS e del risk assessment.
| Parametro | Perché si monitora | Chi tiene il record | Domanda di data integrity |
|---|---|---|---|
| Differenziale fra locali adiacenti di grado diverso | Direzione dell'aria e separazione; per i critici registrazione continua con allarme [REQUISITO]; minimo 10 Pa guidance [GUIDANCE] | Sistema dichiarato GMP nella CCS, di norma l'EMS sui punti critici | Chi cambia set point e soglie, e dove resta traccia? |
| Temperatura e umidità relativa | Condizioni di processo, gowning, elettrostatica; parametri di qualifica | L'EMS quando il valore concorre al giudizio sul lotto | Si archivia il dato grezzo o una media elaborata? |
| Airflow dei sistemi unidirezionali | Protezione dei componenti aperti; 0,36–0,54 m/s alla working position è guidance [GUIDANCE] | Sistema dichiarato nella CCS, con punto di misura giustificato | La posizione è ancora quella qualificata? |
| Stato di AHU, ventilatori, commutazione duty/standby | Un cambio di configurazione modifica le condizioni qualificate | BMS, con l'evento replicato nel record GMP | L'evento è associabile alla finestra del lotto? |
| Differenziale di pressione sui filtri | Stato della filtrazione e base della manutenzione | BMS come sistema tecnico; nessuna soglia universale in fonte ufficiale | Il criterio di intervento è scritto o è una regola empirica? |
| Particolato e contaminazione microbiologica | Monitoraggio ambientale e di processo, sezione 9 dell'Annex 1 | Sistemi dedicati di environmental monitoring | Ambito distinto, del programma EM |
Posizionamento dei sensori e criticità della strumentazione
Il punto di misura è parte del record: una presa di pressione vicino a una bocchetta di mandata dà dati veri e privi di significato. La posizione si decide con lo schema dei flussi e la cascata di pressione, e si congela negli as-built.
Uno strumento è critico se ha impatto diretto sulla qualità o genera un record GMP: richiede allora taratura riferibile, gestione delle deviazioni, change control e presenza in inventario. Classificare tutto come critico è il modo più rapido per non mantenere nulla. Nessuna fonte ufficiale fissa una frequenza di taratura: l'intervallo si determina su criticità, deriva storica e indicazioni del costruttore [QRM].
Architettura: PLC, SCADA, BMS, EMS, historian
La catena è sempre la stessa: strumentazione di campo, controllori a logica programmabile, supervisione, archivio storico. Il BMS governa l'impianto e gestisce set point, sequenze e commutazioni; l'EMS produce evidenza GMP, con requisiti orientati a conservazione e ricostruzione. Confondere i due ruoli dà un sistema che controlla bene e testimonia male.
Le architetture praticabili sono tre: un EMS indipendente con propria sensoristica; un EMS alimentato dal BMS, che riduce la duplicazione ma rende lo scambio elettronico dei dati un elemento validato secondo la clausola 5 dell'Annex 11; un BMS unico dichiarato sistema GMP, legittimo se l'intero Annex 11 gli viene applicato. La scelta va giustificata e tenuta coerente con l'architettura HVAC.
Alert, alarm e razionalizzazione degli allarmi
Nel linguaggio di sistema l'alert segnala una condizione che richiede attenzione, l'alarm una che richiede azione: sono livelli di automazione, distinti dai livelli di alert e action del programma di monitoraggio ambientale. Confondere i due vocabolari genera procedure in cui l'operatore non sa se sta gestendo un evento impiantistico o di qualità.
La razionalizzazione è un'attività documentata e approvata. Per ogni allarme si dichiarano grandezza e soglia, destinatario, azione attesa, priorità, criterio di chiusura e documento che giustifica la soglia: un allarme senza destinatario o senza azione attesa è rumore, e il rumore addestra a tacitare. Non esiste un numero universale di allarmi accettabile: il carico si misura sui dati del sito e si riduce sotto change control. Ritardi e isteresi si giustificano sulla dinamica del locale e si verificano in OQ; le soglie sono in temperatura, umidità e pressione.
Data integrity: l'Annex 11 applicato al monitoraggio
L'Annex 11 vigente è la revisione di gennaio 2011. Le clausole 3.1–3.4 impongono valutazione documentata di fornitore e service provider e accordi formali sulle responsabilità: l'integratore del BMS ricade qui. Le 4.1–4.8 chiedono validazione proporzionata al rischio, inventario dei sistemi — con BMS, EMS e stazioni locali — URS basata su risk assessment, test documentati e controllo della migrazione dei dati. La 6 aggiunge un controllo sull'accuratezza dei dati inseriti manualmente, letture a manometro comprese.
La 7.1 chiede protezione dei dati archiviati e verifica periodica di accessibilità e leggibilità; la 7.2 backup e monitoraggio periodico del ripristino, cioè provare il restore e non solo verificare che il backup sia partito. La 8 vuole stampe da cui si capisca se il dato è stato modificato dopo l'acquisizione; la 9 chiede audit trail di sistema, riesaminato con periodicità definita e giustificata. Le 10 e 11 governano change management e periodic evaluation, che non coincide con la riqualifica periodica dell'Annex 1 §4.32, di intervallo massimo 6 mesi per grade A e B e 12 mesi per C e D [REQUISITO].
Le clausole 12.1–12.4 sono quelle su cui i sistemi HVAC cadono più spesso: accessi limitati agli autorizzati, registrazione delle modifiche alle autorizzazioni, identità e data-ora su ogni modifica di dati critici. Un'utenza di manutenzione condivisa fra impresa e sito è incompatibile con questa previsione, che rende stringente anche la sincronizzazione oraria: serve una sorgente unica per tutti i sistemi che concorrono al record. Come regulatory watch, la bozza di revisione dell'Annex 11 e il proposto Annex 22, in consultazione dal 7 luglio al 7 ottobre 2025, al 30 agosto 2026 non sono adottati.
21 CFR Part 11: applicabilità da determinare
La Part 11 non si applica automaticamente perché un sistema è elettronico: dipende dal mercato servito e da un predicate rule che imponga quel record, e per un sistema di monitoraggio a supporto dell'asettico i candidati sono 21 CFR 211.42(c)(10) e 211.68. La valutazione si conduce e si documenta per sistema e per record. La guidance del settembre 2003 dichiara enforcement discretion su validazione, audit trail e copia dei record, ma afferma che «part 11 remains in effect»: la discrezionalità non copre controlli di accesso né firme elettroniche.
Accesso remoto e cybersecurity
L'accesso remoto per assistenza va nominativo, tracciato, limitato nel tempo e nei privilegi e coperto dall'accordo con il service provider. La cybersecurity non è un requisito esplicito dell'Annex 11 del 2011, ma un sistema compromesso non è validato: segmentazione di rete, patch sotto change control e monitoraggio degli accessi sostengono le clausole 12 e 16 [GEP].
Decisioni da giustificare con il QRM
ICH Q9(R1), Step 4 il 18 gennaio 2023, è metodologia e non contiene parametri di monitoraggio; il suo Annex II.4 applica però il QRM a facilities, equipment e utilities. La formalità come continuum (§5.1) gradua profondità di validazione e periodicità di riesame dell'audit trail; soggettività e bias (§5.3) spiegano perché la criticità degli strumenti non vada decisa dal solo automation engineer. FMEA, HAZOP e risk ranking and filtering ordinano punti di misura, allarmi e privilegi [QRM].
Esempio applicativo: Sito Vega
Sito Vega è un esempio realistico ma di fantasia: un reparto di grado C e D, con BMS preesistente ed EMS aggiunto in seguito per il solo particolato. In periodic review si scopre che i differenziali critici sono registrati solo dal BMS, che l'audit trail non copre le modifiche di set point e che due stazioni hanno orologi disallineati.
La decisione non è stata sostituire il BMS. I differenziali critici sono passati all'EMS con sonde dedicate; sui punti non critici il BMS è rimasto sistema tecnico, dichiarato tale nella CCS; le utenze condivise sono state sostituite da profili nominativi ed è stata dichiarata una sorgente oraria unica. La riqualifica è stata pianificata come attività distinta dalla periodic evaluation, come in requalification e retrofit.
Matrice decisionale: chi tiene il record GMP
| Criterio di valutazione | Peso | EMS indipendente | EMS alimentato dal BMS | BMS unico sistema GMP |
|---|---|---|---|---|
| Separazione fra controllo ed evidenza | Massima | Parziale | Assente | |
| Record disponibile con BMS fermo | Mantenuto | Da verificare | Perso | |
| Estensione della validazione Annex 11 | Solo EMS | EMS e interfaccia | Tutto il BMS | |
| Duplicazione di strumenti e tarature | Elevata | Ridotta | Nessuna | |
| Obsolescenza e migrazione dati | Circoscritte | Due cicli di vita | Impatto pieno |
Livelli di prescrittività
| Affermazione | Livello | Fonte |
|---|---|---|
| I differenziali critici vanno registrati in continuo, con allarme | [REQUISITO] | Annex 1 §4.16 |
| Audit trail riesaminato, restore provato, accessi tracciati | [REQUISITO] | Annex 11, clausole 9, 7.2, 12.1–12.4 |
| Riqualifica periodica: massimo 6 mesi per grade A e B, 12 mesi per C e D | [REQUISITO] | Annex 1 §4.32 |
| Differenziale minimo di 10 Pa fra locali adiacenti di grado diverso | [GUIDANCE] | Annex 1 §4.14, guidance value |
| Applicabilità della Part 11 da determinare e documentare | [GUIDANCE] | Guidance FDA, settembre 2003 |
| Piano di monitoraggio risk-based; metodi senza criteri | [STANDARD] | ISO 14644-2:2015; ISO 14644-3:2019 |
| Sorgente oraria unica e segmentazione di rete | [GEP] | Buona pratica ingegneristica |
| Tarature, ritardi e isteresi, periodicità di riesame | [QRM] | Da giustificare con analisi di rischio |
| Il sistema che tiene il record va dichiarato in CCS e URS | [GUIDEGXP] | Raccomandazione GuideGxP |
Checklist operativa
- Dichiarare nella CCS quali parametri sono critici e chi ne tiene il record.
- Riportare la decisione nella URS, con i deliverable di validazione.
- Classificare la strumentazione per criticità e tenerla sotto change control.
- Approvare la posizione delle sonde e congelarla negli as-built.
- Inserire BMS, EMS e stazioni locali nell'inventario dei sistemi.
- Eliminare le utenze condivise e registrare le modifiche ai permessi.
- Dichiarare una sorgente oraria unica di sito e gestirne il cambio ora.
- Giustificare la periodicità di riesame dell'audit trail e conservarne evidenza.
- Provare il restore dei dati storici e conservare il rapporto di prova.
- Assegnare a ogni allarme destinatario, azione attesa e criterio di chiusura.
- Verificare ritardi e isteresi in OQ sulla dinamica reale del locale.
- Pianificare la periodic evaluation separatamente dalla riqualifica.
Errori ricorrenti e red flag
- Non aver mai deciso quale sistema tenga il record: la decisione emerge in ispezione.
- Archiviare medie elaborate dal controllore e chiamarle dato grezzo.
- Dichiarare la Part 11 applicabile o non applicabile senza valutazione documentata.
- Dichiarare in vigore l'Annex 11 rivisto o l'Annex 22: al 30 agosto 2026 non lo sono.
- Confondere la periodic evaluation con la riqualifica dell'Annex 1.
- Backup regolari senza alcuna prova di ripristino documentata.
Per trasformare questi principi in documenti che reggono in ispezione, The Pragmatic GMP è la newsletter di GuideGxP: analisi brevi su qualifica, HVAC e contaminazione, dalla pagina dedicata.
Punti chiave
- Il BMS controlla, l'EMS testimonia: chi tiene il record è scelta di architettura da giustificare.
- L'Annex 1 §4.16 impone registrazione continua e allarme per i differenziali critici, individuati dalla CCS.
- L'Annex 11 vigente è quello di gennaio 2011: revisione e Annex 22 non adottati al 30 agosto 2026.
- La Part 11 non si applica per default: l'applicabilità si determina e si documenta.
- Ogni allarme deve avere destinatario, azione attesa e criterio di chiusura.
- Tarature, ritardi e periodicità di riesame si giustificano sui dati del sito, non su valori universali.
