Controllo microbiologico ed endotossinico dei sistemi PW e WFI

Un loop PW che per diciotto mesi restituisce conteggi vicini allo zero non è necessariamente un sistema pulito. Può essere un sistema in cui il biofilm è già maturo e stabile, e in cui il campione di routine intercetta soltanto l'acqua che passa. Quando l'ispettore chiede come si dimostra l'assenza di biofilm, la risposta "abbiamo sempre avuto conteggi bassi" non è una risposta: è esattamente il dato che un biofilm maturo produce nella maggior parte dei prelievi. Il controllo microbiologico ed endotossinico di un sistema PW o WFI non consiste nel collezionare numeri bassi, ma nel costruire evidenze che permettano di affermare, con motivazione documentata, che il sistema è sotto controllo e resta tale.

Perché un conteggio planctonico basso non dimostra l'assenza di biofilm

È il punto su cui si gioca la credibilità dell'intera strategia, e va compreso prima di discutere limiti, terreni e frequenze. In un sistema acqua la popolazione microbica esiste in forma planctonica, sospesa nel fluido, e sessile, adesa alle superfici dentro una matrice di sostanze polimeriche extracellulari. Il campione di routine misura solo la prima, per ragioni cumulative.

• Rapporto superficie/volume. La superficie interna di un anello di distribuzione, del serbatoio, delle valvole e dei punti di utilizzo è enorme rispetto al volume di campione prelevato in un istante. Anche un distacco significativo di biomassa si diluisce in un volume di acqua circolante di ordini di grandezza superiore.
• Il distacco è discontinuo. Il biofilm rilascia cellule per erosione continua a basso tasso, ma soprattutto per distacchi episodici innescati da variazioni di portata, transitori di pressione, avvii e arresti, shock termici, apertura di punti di utilizzo rimasti fermi. Un piano di campionamento con frequenza fissa può sistematicamente non intercettare questi eventi.
• Aggregazione. Le cellule si staccano spesso in aggregati tenuti insieme dalla matrice. Un aggregato di molte cellule genera una singola colonia sulla piastra e viene contato come una sola unità formante colonia. Il conteggio sottostima la biomassa rilasciata, e lo fa in modo non prevedibile.
• Stato fisiologico. La flora dei sistemi acqua è adattata a condizioni oligotrofiche. Le cellule rilasciate sono frequentemente stressate, a metabolismo rallentato o in stato vitale ma non coltivabile. Un metodo colturale non ottimizzato per questa flora le recupera male: il risultato è un numero basso che riflette il metodo, non il sistema.
• Localizzazione. Il biofilm si sviluppa dove la velocità è bassa e la superficie irregolare: rami poco usati, zone a valle di valvole, guarnizioni, superfici del serbatoio sopra il livello del liquido. Molti di questi punti non sono campionabili, mentre i punti campionati sono spesso i meglio spazzati dal flusso. Annex 1 punto 6.9 chiede di mantenere il flusso turbolento proprio per limitare adesione microbica e biofilm: è una barriera preventiva, non una prova di assenza.
• Effetto della sanitizzazione. Un ciclo di sanitizzazione riduce la carica planctonica e gli strati superficiali del biofilm, ma non necessariamente rimuove la matrice adesa. Nei giorni successivi i conteggi tornano bassi mentre la base del biofilm sopravvive e ricolonizza. Una serie di risultati bassi subito dopo ogni sanitizzazione, con risalita progressiva prima della successiva, è un pattern che merita lettura, non archiviazione.

Il conteggio planctonico basso è quindi condizione necessaria ma non sufficiente. La dimostrazione di controllo si costruisce combinando il conteggio con il suo andamento temporale, la mappa punto per punto, i parametri continui di processo, la storia delle sanitizzazioni e, quando serve, evidenze dirette. Non a caso il Q&A EMA/INS/GMP/443117/2017 menziona l'analisi distruttiva della membrana per confermare l'assenza di biofilm: quando serve una prova, il campione d'acqua non basta.

Chi vive in un sistema acqua

L'acqua purificata è un ambiente povero di nutrienti e seleziona una flora specifica: prevalentemente batteri Gram-negativi capaci di crescere a bassissime concentrazioni di carbonio organico, spesso non fermentanti, con forte tendenza all'adesione. La letteratura sui sistemi acqua riporta ricorrentemente generi come Pseudomonas, Ralstonia, Burkholderia, Sphingomonas, Methylobacterium, Stenotrophomonas. La flora effettiva del singolo impianto non si deduce dalla letteratura: si determina identificando gli isolati del sito.

La dominanza dei Gram-negativi ha una conseguenza diretta: la loro parete contiene lipopolisaccaride, cioè endotossina. Controllo microbiologico e controllo endotossinico non sono programmi indipendenti, ma due letture dello stesso fenomeno con dinamiche diverse. Il riferimento tecnico di settore è il PDA Technical Report No. 69 (2015) su bioburden e biofilm.

Che cosa la norma richiede e che cosa non richiede

Le monografie USP di Purified Water e Water for Injection controllano conducibilità e TOC. Sul piano microbiologico USP è esplicita: "Because of the various uses of these waters, microbial requirements are not included in these monographs". Non esiste quindi un limite microbiologico compendiale in monografia per PW e WFI.

Il capitolo USP <1231> Water for Pharmaceutical Purposes, ufficiale dal 1 dicembre 2021, è un capitolo generale numerato sopra 1000: è informativo e non vincolante. Indica livelli di azione di 100 cfu/mL per Purified Water e 10 cfu/100 mL per Water for Injection, descritti come livelli oltre i quali l'acqua è unfit for use e che innescano un'investigazione. Nello stesso capitolo USP afferma che sono gli utilizzatori a dover stabilire specifiche interne o livelli di fitness for use microbiologici. Quei due numeri non sono un requisito: sono un riferimento che il sito deve adottare, restringere o motivare diversamente in funzione dell'uso previsto dell'acqua.

Annex 1 di EudraLex Volume 4, in operazione dal 25 agosto 2023, non fissa numeri ma fissa un metodo. Il punto 6.13 richiede monitoraggio chimico e microbiologico regolare e continuativo, con alert level basati sui dati della qualifica iniziale, riesaminati periodicamente sulla base di riqualifica, monitoraggio di routine e investigazioni. Il punto 6.14 richiede che le escursioni di alert siano documentate, riviste e investigate, distinguendo l'evento isolato dal trend avverso o dal deterioramento del sistema. Il punto 6.12 prevede sterilizzazione, disinfezione o rigenerazione secondo uno schedule predeterminato e come azione rimediale dopo risultati fuori limite. Il punto 6.11 richiede che i filtri di sfiato batterio-ritentivi del serbatoio WFI non siano fonte di contaminazione, con integrity test prima dell'installazione e dopo l'uso. Il punto 6.8 chiede che la qualifica tenga conto della variazione stagionale.

WHO TRS 1033 Annex 3 (2021) è allineato nella logica: il §12.8 indica che alert e action level si stabiliscono dai dati storici riportati, e il §4.3.8 che per la bulk purified water gli alert e action limit derivano dalla conoscenza del sistema e dal trending dei dati.

Il Q&A EMA/INS/GMP/443117/2017 aggiunge due messaggi operativi: la reverse osmosis opera tipicamente a temperatura ambiente ed è quindi un ambiente ideale per la formazione di biofilm; e, testualmente, "increasing of such limits is not good practice and may mask a failing system". Chiede inoltre testing esteso in fase iniziale, incluso il testing giornaliero dei punti critici, dati su circa un anno per catturare la variazione stagionale e almeno una valutazione annuale dell'efficacia del monitoraggio.

Sul versante FDA, 21 CFR 211.113(a) e (b) richiedono procedure scritte per prevenire microrganismi objectionable nei prodotti non sterili e la contaminazione microbiologica dei prodotti sterili; nessuna lista ufficiale di organismi objectionable esiste, perché la qualifica è contestuale al prodotto. La Guide to Inspections of High Purity Water Systems (1993) è materiale di riferimento per gli investigatori, non vincolante.

Dai livelli informativi alle specifiche interne

La catena logica che regge un'ispezione è: uso previsto dell'acqua, dati di qualifica, dati storici, risk assessment, livelli interni. Non l'inverso. Si distinguono tre soglie con funzioni e conseguenze diverse.

• Alert level. Soglia statistica derivata dalla performance dimostrata del sistema: secondo Annex 1 punto 6.13, dai dati della qualifica iniziale e poi mantenuta con il monitoraggio di routine. Non è un criterio di qualità dell'acqua ma un segnale precoce di deriva: superarlo obbliga a documentare, rivedere e valutare.
• Action level. Soglia oltre la quale si attiva un'azione definita, tipicamente investigazione e intervento sul sistema. È il livello dove si colloca, se il sito lo adotta, il riferimento di USP <1231>.
• Specifica di fitness for use. Il livello legato all'idoneità dell'acqua per l'uso a valle: forma farmaceutica, via di somministrazione, presenza di step di riduzione della carica, sterilizzazione terminale, uso come eccipiente o come risciacquo finale. È qui che un sito sterile può doversi porre più restrittivo dei riferimenti informativi.

La giustificazione si costruisce con elementi verificabili: dati di qualifica per punto di utilizzo con la variabilità stagionale osservata, dati storici e capacità dimostrata del sistema, criticità del punto rispetto al prodotto servito, isolati ricorrenti, performance di recupero del metodo. Un livello non giustificato è criticabile quanto un livello superato.

Il metodo analitico: le variabili che il sito deve fissare

Per l'acqua farmaceutica non esiste un metodo microbiologico prescritto da monografia. Esistono variabili di metodo che cambiano il risultato di ordini di grandezza: vanno scelte, giustificate e mantenute costanti, perché il trending ha senso solo a metodo invariato.

Nessuno di questi valori va copiato da un altro sito o da un articolo: vanno stabiliti, dimostrati e documentati. I metodi microbiologici rapidi sono un'opzione concreta per accorciare il tempo di risposta, che con i metodi colturali è il vero limite operativo del controllo dell'acqua; richiedono però dimostrazione di equivalenza rispetto al metodo di riferimento e gestione della discontinuità nella serie storica. Restano applicabili, per enumerazione e ricerca di microrganismi specificati, i capitoli USP <61>, <62> e <1111>.

Campionamento: due scopi che non vanno confusi

Un campione risponde a una domanda sola, e la domanda dipende da come lo si preleva. Il campione rappresentativo dell'acqua utilizzata si preleva dal punto di utilizzo nelle stesse condizioni in cui l'acqua viene presa per il processo, compreso il flessibile o il raccordo usato in produzione: risponde all'idoneità dell'acqua consegnata. Il campione rappresentativo dello stato del sistema si preleva con sanitizzazione del punto di prelievo e flussaggio definito, per escludere il contributo del punto stesso: risponde alla domanda sul loop. Usare il primo per giudicare il sistema, o il secondo per rilasciare un lotto, porta a conclusioni sbagliate. Il piano deve dichiarare quale scopo ha ciascun punto, tema trattato nell'articolo sul sampling plan e i punti di campionamento.

Endotossine: perché non seguono il conteggio

L'endotossina è un componente strutturale della parete dei Gram-negativi. Viene rilasciata durante la crescita e, in quantità maggiore, alla lisi cellulare. Questo genera due comportamenti controintuitivi che vanno gestiti nella strategia.

Il primo: una sanitizzazione termica efficace uccide le cellule ma non depiroginizza, e la lisi può liberare endotossina prima contenuta nelle cellule e nel biofilm. Un conteggio che crolla accompagnato da un segnale endotossinico che non crolla, o che sale, è un'informazione coerente, non un'anomalia analitica. Il secondo: la relazione fra unità formanti colonia ed endotossina non è lineare né stabile, perché dipende dalla composizione della flora, dalla quota di biomassa non coltivabile e dalla storia di lisi del sistema. Per questo il controllo endotossinico della WFI è un attributo a sé, con propria frequenza e propri livelli interni.

Le variabili operative del campionamento per endotossine sono diverse da quelle microbiologiche: contenitori e materiali privi di endotossina, tempi e temperature di conservazione, adsorbimento sulle superfici del contenitore. Anche qui i valori vanno fissati e giustificati dal sito. Sul piano dei metodi, la Ph. Eur. ammette il fattore C ricombinante (rFC) per il test delle endotossine batteriche nelle monografie dell'acqua: decisione della 175a sessione (marzo 2023), Supplemento 11.4, implementazione dal 1 aprile 2024. Il passaggio richiede validazione sulla matrice reale e change control con valutazione dell'impatto sui dossier.

I livelli interni di endotossina, come quelli microbiologici, vanno derivati dall'uso previsto e dai dati del sistema, non copiati. Le implicazioni della scelta tecnologica di generazione sono trattate nel confronto fra generazione WFI a membrana e distillazione, dove il tema del biofilm sui sistemi a temperatura ambiente è centrale.

Identificazione e organismi objectionable

Contare non basta per investigare. L'identificazione serve a tre scopi: distinguere una contaminazione del campione da una del sistema, localizzare la sorgente confrontando gli isolati fra punti diversi e nel tempo, valutare la rilevanza dell'organismo per il prodotto.

Il livello di identificazione va graduato sul rischio: genere per il monitoraggio di routine e per costruire la flora tipica del sito, specie con metodi a maggiore risoluzione per gli isolati associati a escursioni, ricorrenti o provenienti da punti che servono prodotti critici. La libreria degli isolati del sito è ciò che rende possibile affermare che un ritrovamento è nuovo, oppure che è la stessa popolazione che ricompare dopo ogni sanitizzazione: senza libreria la distinzione non è dimostrabile.

La qualifica di objectionable non è una proprietà intrinseca dell'organismo ma il risultato di una valutazione che considera almeno: via di somministrazione e popolazione di pazienti, capacità dell'organismo di sopravvivere o proliferare nella formulazione, robustezza degli step successivi di riduzione della carica, potenziale patogeno, produzione di endotossina o di metaboliti che degradano il prodotto. Lo stesso genere può essere irrilevante per un prodotto e inaccettabile per un altro, e la valutazione va scritta prima dell'escursione.

Trending: la lettura che distingue l'evento isolato dal cedimento

Annex 1 punto 6.14 chiede esattamente questa distinzione. Perché sia possibile, il trending deve produrre almeno: andamento per singolo punto di prelievo e non solo aggregato, perché un problema locale sparisce nella media; individuazione di shift e drift; correlazione con eventi di sistema, cioè sanitizzazioni, manutenzioni, fermi, modifiche; confronto fra stagioni, coerentemente con il punto 6.8 e con l'orizzonte di circa un anno indicato dal Q&A EMA; ricorrenza dello stesso identificativo microbico nello stesso punto.

Va sorvegliato anche il fenomeno opposto: una serie che diventa progressivamente più bassa e più uniforme può indicare un miglioramento reale, oppure una perdita di sensibilità del metodo o del campionamento. Un dato troppo pulito merita la stessa verifica di un dato fuori limite. Il monitoraggio continuo di TOC e conducibilità, richiesto dal punto 6.15 per la WFI, non sostituisce il dato microbiologico ma è l'unico segnale disponibile in tempo reale fra un campione e il successivo: è trattato nell'articolo su monitoraggio di TOC e conducibilità.

Gestione dell'escursione

La sequenza deve essere definita in procedura prima che serva, con responsabilità e tempi.

1. Verifica dell'integrità analitica: contaminazione del campione, deviazioni di metodo, tracciabilità del prelievo. Non è un modo per invalidare il dato: un risultato si invalida solo con una causa analitica dimostrata e documentata.
2. Valutazione dell'impatto sul prodotto: quali lotti hanno usato l'acqua di quel punto fra l'ultimo risultato accettabile e l'escursione, con quale destino d'uso e quale eventuale step di riduzione a valle. È la prima cosa da fare quando il livello superato è di action.
3. Contenimento: esclusione del punto o del ramo, restrizione d'uso, incremento della frequenza di campionamento sui punti adiacenti per delimitare l'estensione.
4. Identificazione dell'isolato e confronto con la libreria del sito.
5. Investigazione della causa: interventi recenti, parametri di flusso e temperatura, storia delle sanitizzazioni, integrità dei filtri di sfiato del serbatoio secondo il punto 6.11, condizioni dei punti di utilizzo poco usati.
6. Azione rimediale, tipicamente sanitizzazione, che Annex 1 punto 6.12 prevede espressamente sia a schedule predeterminato sia come rimedio dopo risultati fuori limite.
7. Verifica dell'efficacia con campionamento intensificato e criteri di rientro definiti in anticipo, e valutazione se l'evento costituisce trend avverso ai sensi del punto 6.14.

Il ripetersi di escursioni gestite ogni volta come eventi isolati è, di per sé, un trend avverso. Il percorso di recupero di un sistema colonizzato è trattato nell'articolo su biofilm, rouging e recovery; la dimostrazione di efficacia degli interventi è trattata nella qualifica dei cicli di sanitizzazione.

Esempio applicativo: Sito Delta

Sito Delta è un esempio fittizio. Delta produce forme non sterili con un anello PW a temperatura ambiente alimentato da RO. Dopo due anni di conteggi stabilmente bassi, tre punti di utilizzo su nove mostrano in sei settimane risultati crescenti ma sempre entro il livello di action interno: nessuna escursione formale, quindi nessuna investigazione automatica.

Il segnale però c'è già: tre punti, stesso periodo, andamento monotono crescente, e i tre punti condividono il tratto terminale dell'anello. Il trending per punto lo rende visibile, quello aggregato lo avrebbe nascosto. Delta apre una valutazione prima dell'escursione, identifica gli isolati e trova la stessa popolazione nei tre punti, verifica la portata e riscontra che una modifica di layout ha ridotto la velocità nel tratto terminale, e correla con l'aumento stagionale della temperatura ambiente. Le azioni sono di sistema, non di laboratorio: ripristino delle condizioni di flusso, revisione dello schedule di sanitizzazione, campionamento intensificato con criteri di rientro definiti. Ciò che Delta non fa è alzare l'action level per riportare i dati dentro i limiti.

Matrice decisionale per la risposta a un trend avverso

I pesi vanno assegnati dal lettore in base al proprio contesto: criticità del prodotto servito, disponibilità richiesta del sistema, età e stato dell'impianto.

Errori frequenti

• Trattare i livelli di USP <1231> come specifiche di monografia, senza alcuna giustificazione interna documentata dell'uso previsto.
• Cambiare terreno, tempo o temperatura di incubazione senza change control e continuare il trending come se la serie fosse omogenea.
• Campionare sempre negli stessi giorni della settimana e sempre dopo la sanitizzazione, ottenendo una serie storica che descrive il momento migliore del sistema.
• Considerare il monitoraggio online di TOC e conducibilità un sostituto del dato microbiologico.
• Non identificare mai gli isolati, e quindi non poter distinguere una ricomparsa da una nuova contaminazione.
• Sanitizzare più spesso come risposta stabile a un trend crescente, senza mai risalire alla causa.

Red flag ispettive

• Livelli interni modificati verso l'alto dopo una serie di escursioni, con giustificazione basata sulla performance recente del sistema.
• Alert level non riconducibili ai dati di qualifica iniziale e mai riesaminati, contro Annex 1 punto 6.13.
• Escursioni ripetute chiuse ciascuna come evento isolato, senza valutazione di trend ai sensi del punto 6.14.
• Punti di utilizzo mai campionati perché "poco usati", che sono statisticamente i più esposti alla stagnazione.
• Nessuna evidenza di studi di recupero del metodo sulla flora reale del sito.

Se ti è utile questo livello di dettaglio, The Pragmatic GMP è la newsletter dove pubblichiamo analisi tecniche e regolatorie sui sistemi GMP. Il quadro completo del tema è nell'hub Pharmaceutical Water & WFI Systems.

Key takeaway

• Il conteggio planctonico basso non dimostra l'assenza di biofilm: misura una frazione piccola, rilasciata in modo discontinuo, aggregata e stressata, prelevata dove il flusso è migliore.
• Le monografie USP di PW e WFI non contengono requisiti microbiologici; i livelli di USP <1231> sono informativi e non vincolanti, e vanno tradotti in specifiche interne giustificate.
• Annex 1 non impone numeri ma impone il metodo: alert dai dati di qualifica, riesame periodico, investigazione delle escursioni con distinzione fra evento isolato e trend avverso, sanitizzazione a schedule e come rimedio dopo risultati fuori limite.
• Volume, tecnica, terreno, temperatura, tempo, neutralizzazione e hold time non sono requisiti compendiali: sono scelte da giustificare con dati del sito e da mantenere stabili.
• Il controllo delle endotossine è un attributo autonomo: non segue linearmente il conteggio e non si risolve con la sanitizzazione termica. La Ph. Eur. ammette rFC nelle monografie dell'acqua dal 1 aprile 2024.
• Alzare i limiti quando il sistema li supera è la prassi che il Q&A EMA indica come non buona pratica e potenzialmente idonea a mascherare un sistema che sta cedendo.

Riferimenti

• EudraLex Volume 4, Annex 1 (2022), punti 6.8-6.15 — health.ec.europa.eu
• EMA/INS/GMP/443117/2017, Q&A su WFI prodotta con metodi diversi dalla distillazione, biofilm e strategie di controllo
• EMA/CHMP/CVMP/QWP/496873/2018, Guideline on the quality of water for pharmaceutical use — ema.europa.eu
• WHO TRS 1033, Annex 3 (2021), §4.3.8 e §12.8 — who.int
• USP, monografie Purified Water e Water for Injection; capitolo generale <1231>; capitoli <61>, <62>, <1111>
• Ph. Eur., monografia 0169; ammissione di rFC per il test delle endotossine batteriche nelle monografie acqua, Suppl. 11.4, dal 1 aprile 2024
• 21 CFR 211.113 — ecfr.gov
• FDA, Guide to Inspections of High Purity Water Systems (1993), non vincolante — fda.gov
• PDA Technical Report No. 69 (2015), Bioburden and Biofilm Management in Pharmaceutical Manufacturing Operations
• PIC/S PI 009-4, Aide-Memoire Inspection of Utilities — picscheme.org