Dead leg, slope, materiali e hygienic design nei sistemi di acqua farmaceutica

In quasi tutte le design review di un loop WFI la prima domanda tecnica è la stessa: «qual è il vostro rapporto L/D?». Presa così non significa niente. Non significa niente finché non si dichiara da dove si misura la lunghezza della derivazione, quale diametro si mette al denominatore e in quale condizione di esercizio quella geometria deve funzionare. Due fornitori possono consegnare lo stesso tee, dichiarare due numeri diversi ed essere entrambi coerenti con la propria convenzione interna.

Il problema si ripresenta identico su pendenza, velocità e finitura superficiale: sono i quattro parametri citati più spesso come se fossero requisiti GMP, e nessuno dei quattro lo è nella forma numerica in cui viene citato. L'Annex 1 chiede un risultato — prevenire la contaminazione, evitare i dead leg, dare pendenza alle tubazioni per il drenaggio, mantenere il flusso turbolento — e non fissa numeri. I numeri arrivano dagli standard di settore, dalla specifica di progetto e dal contratto, e diventano vincolanti nella misura in cui il sito li ha adottati e li sa dimostrare. Il criterio di lettura, qui, è sempre lo stesso: prima il fenomeno fisico e microbiologico, poi chi stabilisce il criterio, poi dove il valore va scritto e come si verifica.

Vale la pena fissare subito il quadro fisico. Un sistema di distribuzione è, dal punto di vista microbiologico, una grande superficie bagnata mantenuta in condizioni che dovrebbero essere sfavorevoli alla colonizzazione. Il biofilm non si forma dove l'acqua scorre bene: si forma dove il ricambio è lento, dove la temperatura di sanitizzazione non arriva, dove l'agente chimico non raggiunge la concentrazione utile, dove resta un film di liquido dopo il drenaggio. Rapporto L/D, pendenza, velocità e rugosità sono proxy di progetto: grandezze misurabili che correlano con quel comportamento e che si possono mettere in un contratto. Non sono il fenomeno.

Cosa richiede l'Annex 1 e cosa quantificano gli standard di settore

È la distinzione più fraintesa dell'intero tema. L'Annex 1 dell'EudraLex Volume 4 (C(2022) 5938 final, in operazione dal 25 agosto 2023) tratta l'acqua ai punti 6.1-6.15, e per l'hygienic design della distribuzione i riferimenti diretti sono due. Il punto 6.7: l'impianto di trattamento e distribuzione deve essere progettato, costruito, installato, commissionato, qualificato, monitorato e mantenuto in modo da prevenire la contaminazione microbiologica, minimizzando particolato, proliferazione microbica ed endotossine/pirogeni, con pendenza delle tubazioni per il drenaggio e dead leg da evitare. Il punto 6.9: il flusso deve restare turbolento per limitare adesione microbica e formazione di biofilm, con portata stabilita in qualifica e monitorata di routine. Nessuno dei due contiene un numero.

Ne discende una regola pratica: quando un fornitore presenta un numero come «requisito GMP», la domanda corretta è quale documento lo scrive, in quale edizione, con quale ambito di applicabilità. Per ASME BPE i criteri numerici sono materiale protetto da copyright e vanno consultati nell'edizione applicabile, che va fissata contrattualmente: BPE viene revisionata periodicamente e «ASME BPE» senza edizione non è una specifica.

Dead leg e derivazioni: il fenomeno prima del numero

In una derivazione chiusa il flusso nel tubo principale genera un vortice che penetra nel ramo solo per una certa profondità. Oltre quella profondità lo scambio di massa smette di essere convettivo e diventa sostanzialmente diffusivo: il ricambio rallenta di ordini di grandezza. Le conseguenze sono cumulative: le cellule planctoniche che entrano nel ramo non ne escono e trovano una superficie a basso sforzo di taglio su cui aderire; durante la sanitizzazione termica l'estremità si scalda per conduzione attraverso la parete e può non raggiungere né la temperatura né il tempo di contatto previsti; se il ramo non è drenabile resta acqua ferma per tutta la durata del fermo impianto.

Perché il rapporto L/D è un proxy ambiguo

Il rapporto tra lunghezza della derivazione e diametro è il modo classico di rendere contrattabile il fenomeno. È utile, ma è ambiguo per tre ragioni che vanno risolte nella specifica, non nella discussione tecnica a valle.

• Origine della misura. Dalla parete interna del tubo principale, dalla superficie interna proiettata o dall'asse? Le tre convenzioni danno numeri diversi sulla stessa geometria.
• Punto finale. Fino alla flangia, alla faccia di tenuta, alla membrana della valvola in posizione chiusa o alla superficie bagnata più lontana? Su una valvola a membrana la differenza non è trascurabile.
• Diametro al denominatore. Quello della derivazione o quello del principale? Su una riduzione la scelta cambia il risultato.

C'è poi un limite concettuale che nessuna convenzione risolve: il rapporto è una grandezza statica e geometrica, il fenomeno è dinamico e termico. Non descrive il regime di moto nel principale, l'orientamento del ramo, la temperatura di esercizio né il metodo di sanitizzazione; la stessa geometria si comporta diversamente in un loop caldo in circolazione continua e in un loop freddo sanitizzato periodicamente. Il rapporto va quindi usato come criterio di progetto e di accettazione documentale, affiancato da una verifica funzionale: mappatura termica all'estremità della derivazione durante il ciclo di sanitizzazione, verifica di drenabilità, campionamento dedicato al punto d'uso. Il criterio geometrico dice che il progetto è conforme alla specifica; la verifica funzionale dice che il sistema fa quello che deve fare.

Le opzioni di progetto sulla derivazione

Le famiglie di soluzioni sono poche: valvole di punto d'uso a corpo integrale con la membrana affacciata direttamente sul flusso del loop; valvole a membrana su ramo corto, orientate per essere drenabili; punti d'uso sul ramo di ritorno anziché sulla mandata; sotto-anelli dedicati alle utenze lontane, che sostituiscono una derivazione lunga con un circuito in circolazione. Ogni famiglia sposta il problema: la valvola integrale riduce il dead leg ma vincola costo e manutenzione; il sotto-anello elimina la derivazione ma introduce pompa, strumenti e punti di campionamento nuovi. È una scelta di progetto, da giustificare sul rischio d'uso di quel punto. La logica complessiva di layout è in progettazione del distribution loop.

Pendenza e drenabilità: un requisito funzionale, non un numero

La pendenza serve a una cosa sola: permettere che il sistema si svuoti per gravità verso punti di drenaggio definiti. Serve prima della qualifica (svuotamento dopo flussaggio e passivazione), in esercizio (fermate, manutenzioni, cambio filtri) e durante la sanitizzazione con vapore, dove la condensa che non drena crea zone che non raggiungono le condizioni previste.

Il valore è quantificato dagli standard di settore — ASME BPE, parte SD, tratta il system design multiuse inclusa la drenabilità — e va riportato nella specifica di progetto e di installazione nell'edizione contrattualmente applicabile. Il valore da solo, però, non basta:

• La pendenza di progetto è quella as-built a freddo. Dilatazione termica, assestamento dei supporti e carichi possono generare contropendenze locali sui tratti lunghi: la staffatura è parte del requisito, non un dettaglio di montaggio.
• Deve essere continua e nella direzione giusta. Un tratto conforme in media ma con un ventre locale non drena: il criterio va espresso come assenza di contropendenza, non come valore medio.
• Il criterio di accettazione è funzionale: il sistema drena o non drena. Ciò che si porta in ispezione è la prova di drenabilità documentata (volume residuo, ispezione dei punti bassi, verifica dopo l'installazione definitiva dei supporti), non la dichiarazione del montatore.

Flusso turbolento e velocità: cosa chiede davvero l'Annex 1

Il punto 6.9 richiede che il flusso resti turbolento e che la portata sia stabilita in qualifica e monitorata di routine. Il requisito è sul regime di moto, non su una velocità, e la differenza non è formale: il regime dipende dal numero di Reynolds, quindi da diametro, velocità, densità e viscosità. La viscosità dell'acqua cambia in modo rilevante con la temperatura, perciò la stessa velocità produce un Reynolds molto diverso in un loop a temperatura ambiente e in uno caldo, e diametri diversi sullo stesso loop danno regimi diversi a parità di portata.

«Velocità minima X m/s» non è quindi un requisito GMP universale ed è incompleto come criterio unico. È un utile parametro di progetto — le guide di settore, in particolare la ISPE Baseline Guide Vol. 4 «Water and Steam Systems», discutono velocità tipiche — ma il criterio verificabile è dimostrare per calcolo, nel caso peggiore (massimo prelievo simultaneo, diametro maggiore, temperatura meno favorevole), che il regime resta turbolento, e poi fissare in qualifica la portata di esercizio e monitorarla. La turbolenza non impedisce il biofilm: riduce l'adesione iniziale e migliora il trasporto di calore e di agente sanitizzante fino alle estremità. È condizione necessaria, non sufficiente.

Materiali metallici: «316L» non è una specifica

L'acciaio inossidabile austenitico 316L è lo standard di fatto per la distribuzione di PW e WFI, per resistenza alla corrosione, saldabilità e disponibilità. Indicare la sigla in una richiesta d'offerta non definisce però l'idoneità del componente: dentro la stessa designazione la composizione varia tra colate, con effetti pratici diretti. Il tenore di zolfo influenza penetrazione e forma del bagno nella saldatura orbitale automatica, al punto che saldare componenti di colate molto diverse con gli stessi parametri può produrre un cordone asimmetrico o insufficiente; contano anche il contenuto di ferrite delta, la condizione superficiale di fornitura e la tolleranza dimensionale.

Con riferimento alle parti pertinenti di ASME BPE — MM per i materiali metallici, DT per dimensioni e tolleranze — vanno specificati: designazione e limiti di composizione richiesti; certificati di materiale con tracciabilità alla colata per tubi, raccordi, corpi valvola e componenti; tolleranze dimensionali e di ovalizzazione compatibili con la saldatura automatica; condizione e finitura superficiale di fornitura. Dove praticabile, richiedere coerenza di colata sui componenti da accoppiare è buona ingegneria che riduce i difetti di saldatura, non un requisito normativo. La stessa disciplina vale per i componenti trascurati — pozzetti termometrici, corpi di strumenti in linea, spray ball, valvole di campionamento — per i quali il riferimento di settore è la parte PI di ASME BPE.

Polimeri ed elastomeri: i componenti che invecchiano

Membrane di valvola, guarnizioni, O-ring, flessibili, corpi di filtro e alcuni componenti di strumentazione sono la parte del sistema che degrada con il tempo e con i cicli; la parte PM di ASME BPE tratta i materiali polimerici. In specifica vanno controllate: compatibilità con temperatura e pressione di esercizio e con quelle di sanitizzazione, che sono più severe; compatibilità con l'agente sanitizzante scelto, e qui l'ozono è il caso critico perché aggressivo verso molti elastomeri comuni; estraibili e lisciviabili, con la documentazione di supporto del fornitore; comportamento a compressione permanente e a scorrimento viscoso, che determina la tenuta nel tempo.

Il punto operativo è che questi componenti non si «scelgono una volta»: si gestiscono lungo il ciclo di vita. Servono un piano di sostituzione basato su cicli e ore di esercizio, la tracciabilità del lotto installato e il controllo di modifica quando il fornitore cambia formulazione a parità di codice commerciale. Una membrana sostituita con un materiale simile d'aspetto ma non qualificato per il ciclo termico è una causa ricorrente di perdite dopo la manutenzione. Le conseguenze della scelta dell'agente sanitizzante sono discusse in sistemi caldi, freddi e ozonizzati.

Saldature e giunzioni: dove nasce la maggior parte dei difetti

La saldatura orbitale automatica in atmosfera inerte è la tecnica di riferimento per le giunzioni permanenti; la parte MJ di ASME BPE tratta le giunzioni multiuse. I difetti che contano microbiologicamente non sono quelli di resistenza meccanica ma quelli di superficie interna: mancata penetrazione, concavità eccessiva, disallineamento dei lembi che crea un gradino e ossidazione da gas di backing insufficiente, che degrada lo strato passivo nella zona termicamente alterata.

Da richiedere in specifica e da pretendere come deliverable: qualifica di procedure, operatori e macchine; coupon di prova a inizio e fine turno e a ogni variazione di parametri o di lotto; controllo del gas di backing con monitoraggio dell'ossigeno residuo; registro delle saldature con identificativo univoco riportato sugli isometrici; ispezione boroscopica documentata. La percentuale di saldature da ispezionare internamente è una scelta contrattuale e di progetto — basata su accessibilità, criticità del tratto ed esito dei coupon — non un numero fissato dalla normativa GMP, e va giustificata come tale. Ogni giunzione smontabile è poi un potenziale interstizio: una guarnizione sottodimensionata rientra nel canale creando una cavità, una sovradimensionata estrude nel flusso. Il criterio è duplice: minimizzarne il numero a ciò che serve per manutenzione, e mappare quelle che restano, con dimensione e materiale definiti e verificati al rimontaggio.

Finitura superficiale: perché il solo valore di Ra non basta

La rugosità della superficie a contatto con il prodotto influenza pulibilità e adesione iniziale delle cellule: una superficie più liscia offre meno siti di ancoraggio e si risciacqua meglio. La relazione non è però lineare e non è l'unica variabile: contano almeno altrettanto la chimica della superficie — strato di ossido di cromo, ferro libero, inclusioni — e il regime di sanitizzazione. Sotto una certa soglia, ridurre ulteriormente la rugosità dà un beneficio marginale a fronte di un costo significativo.

C'è inoltre un limite metrologico: Ra è un parametro medio e non descrive i difetti localizzati. Una superficie con Ra basso ma con un graffio profondo, un sottosquadro di saldatura o un interstizio residuo è peggiore, sul piano microbiologico, di una superficie mediamente più rugosa ma priva di difetti. La specifica non deve quindi contenere solo un numero: servono la designazione di finitura, il metodo e la posizione di misura, il trattamento (finitura meccanica o elettrolucidatura, che oltre alla rugosità modifica l'arricchimento di cromo superficiale), il criterio di accettazione e le evidenze richieste. Designazioni e metodi di misura sono definiti nella parte SF di ASME BPE; il valore applicabile lo sceglie il sito, lo scrive nella specifica e lo verifica in ispezione. Come questi criteri entrano nel documento di partenza è trattato in URS dei sistemi di acqua farmaceutica.

Passivazione: un processo, non una dichiarazione

La passivazione non è una pulizia e non è un rivestimento: è il trattamento chimico che rimuove ferro libero e contaminanti superficiali e favorisce la formazione di uno strato di ossido ricco di cromo, che è ciò che conferisce all'acciaio la resistenza alla corrosione. I riferimenti tecnici sono ASTM A967/A967M-25 (passivazione chimica degli acciai inossidabili, approvata il 24 gennaio 2025) e ASTM A380/A380M-25 (cleaning, descaling, pickling e passivazione, approvata il 15 gennaio 2025), che descrivono trattamenti e prove di accettazione.

Va definito e documentato: procedura applicata con riferimento a standard e revisione; agente chimico, concentrazione, temperatura e tempo di contatto; sequenza di sgrassaggio e, quando necessario, decapaggio; risciacquo finale e qualità dell'acqua usata, scelta di progetto da giustificare rispetto all'uso del sistema; prove di accettazione e risultati; mappa delle zone trattate e di quelle non raggiungibili. Due punti sono spesso deboli. La passivazione va ripetuta dopo modifiche, tie-in e saldature su un sistema esistente, e la ripetizione va gestita in change control. E la passivazione iniziale non è una garanzia permanente: il rouging è un fenomeno di ossidazione superficiale che si sviluppa nel tempo, in particolare nei sistemi caldi, e va monitorato e gestito come tale — vedi biofilm e rouging: investigazione e recovery.

Ispezionabilità: ciò che non è documentato non è verificabile

Un ispettore non misura una pendenza né conta i vortici in una derivazione: legge documenti e ne verifica la coerenza con il campo. Il pacchetto che rende difendibili le scelte di hygienic design comprende isometrici as-built con identificativo univoco delle saldature; registro delle derivazioni con la geometria dichiarata e la convenzione di misura usata; registro delle saldature con esito delle ispezioni; certificati di materiale con tracciabilità; documentazione di finitura superficiale e di passivazione; verbali di drenabilità; verifica del regime di moto nel caso peggiore; mappatura termica durante la sanitizzazione. La costruzione di queste evidenze lungo FAT, SAT e qualifica è trattata in FAT, SAT, IQ, OQ e PQ dei sistemi acqua. L'ispezionabilità è anche un requisito fisico: accessi, tratti smontabili e punti di ispezione boroscopica vanno previsti in progetto, perché un tratto perfetto ma non ispezionabile diventa, dopo qualche anno, un'area di incertezza permanente.

Good Engineering Practice o requisito GMP?

Due conclusioni. Rispettare il numero di uno standard di settore non dimostra di per sé la conformità GMP, se il risultato — assenza di zone non sanitizzabili, drenabilità, regime turbolento — non è dimostrato. Simmetricamente, scostarsi da quel numero non è automaticamente una non conformità: è una scelta da giustificare con dati e valutazione di rischio, e da documentare. Il quadro metodologico è quello di quality risk management applicato ai sistemi acqua.

Esempio applicativo: Sito Delta

Esempio didattico, sito fittizio. Sito Delta aggiunge quattro punti d'uso a un loop WFI caldo esistente. In design review emerge che il fornitore dichiara le derivazioni conformi al criterio geometrico contrattuale misurando dall'asse del tubo principale fino alla flangia, mentre la specifica del sito — scritta anni prima e mai aggiornata — intendeva la misura dalla parete interna fino alla superficie di tenuta della membrana. Sulla stessa geometria i due numeri differiscono in modo rilevante: due derivazioni risultano non conformi secondo la convenzione del sito.

La risoluzione non è stata una trattativa sul numero. Sito Delta ha dichiarato formalmente la convenzione di misura nella specifica revisionata, ri-misurato tutte le derivazioni aggiornando il registro, modificato le due non conformi con valvole di punto d'uso a corpo integrale, aggiunto in qualifica una verifica funzionale (mappatura termica all'estremità delle nuove derivazioni durante il ciclo di sanitizzazione) e verificato la drenabilità dopo il montaggio definitivo dei supporti, trovando una contropendenza locale causata dall'assestamento di una staffa. Il costo maggiore non sono state le due valvole: è stato il tempo perso prima della design review, perché la convenzione non era scritta da nessuna parte.

Matrice decisionale: connessione di un point of use

I pesi vanno assegnati in funzione del proprio contesto — criticità dell'utenza, metodo di sanitizzazione, accessibilità, budget — e la colonna è volutamente vuota.

Errori frequenti e red flag

• Il numero senza la convenzione. Un rapporto geometrico senza origine, punto finale e diametro di riferimento garantisce una contestazione in accettazione.
• «ASME BPE» senza edizione. Riferimento non specificato: l'edizione applicabile va fissata contrattualmente.
• Il criterio geometrico come unica evidenza. Nessuna verifica funzionale del raggiungimento delle condizioni di sanitizzazione all'estremità delle derivazioni.
• Pendenza dichiarata e mai verificata. Nessuna prova di drenabilità dopo il montaggio definitivo dei supporti, nessuna gestione delle contropendenze.
• Velocità presentata come requisito GMP. Nessun calcolo nel caso peggiore, nessuna portata confermata in qualifica e monitorata come richiede il punto 6.9.
• Ra come unico criterio di superficie. Nessuna designazione, nessun metodo di misura, nessuna gestione dei difetti localizzati e delle zone di saldatura.
• Passivazione dimenticata dopo un tie-in, elastomeri sostituiti senza lotto tracciato, isometrici as-built non aggiornati dopo le modifiche in campo: il registro delle derivazioni e delle saldature perde valore probatorio.

Se questi temi fanno parte del tuo lavoro quotidiano, la newsletter The Pragmatic GMP propone analisi pratiche su progettazione, qualifica ed esercizio dei sistemi GMP.

Key takeaway

• L'Annex 1 chiede risultati (evitare dead leg, pendenza per il drenaggio, flusso turbolento) e non fissa numeri: i numeri vengono dagli standard di settore, dalla specifica di progetto e dal contratto.
• Il rapporto L/D è un proxy statico di un fenomeno dinamico e termico: senza convenzione di misura dichiarata non è un criterio, senza verifica funzionale non è un'evidenza.
• La pendenza è un requisito funzionale: il criterio di accettazione è la drenabilità dimostrata as-built, non il valore sul disegno.
• Il requisito è il regime turbolento, non una velocità: va dimostrato per calcolo nel caso peggiore e confermato dalla portata stabilita in qualifica e monitorata.
• «316L» non è una specifica: servono composizione, certificati con tracciabilità di colata, tolleranze e condizione superficiale; polimeri ed elastomeri sono componenti a vita finita.
• La finitura superficiale richiede designazione, metodo di misura e gestione dei difetti localizzati, non solo un valore medio di Ra; la passivazione è un processo documentato, va ripetuta dopo le modifiche e non protegge dal rouging nel tempo.
• L'edizione applicabile di ASME BPE va fissata contrattualmente e i suoi criteri numerici vanno consultati nell'edizione acquistata. Il resto del cluster è nell'hub Pharmaceutical Water & WFI Systems.

Riferimenti normativi e tecnici

• EudraLex Volume 4, Annex 1 (C(2022) 5938 final), in operazione dal 25 agosto 2023 — punti 6.7 e 6.9: health.ec.europa.eu
• EMA, Guideline on the quality of water for pharmaceutical use (EMA/CHMP/CVMP/QWP/496873/2018), in vigore dal 1 febbraio 2021: ema.europa.eu
• USP <1231> Water for Pharmaceutical Purposes, ufficiale dal 1 dicembre 2021 — capitolo informativo; copre design del sistema, materiali e sanitizzazione.
• ASME BPE — Bioprocessing Equipment. Parti pertinenti: SD (system design multiuse, include la drenabilità), MM (materiali metallici), PM (materiali polimerici), SF (finiture superficiali di contatto processo), MJ (giunzioni multiuse), DT (dimensioni e tolleranze), PI (strumentazione di processo). Edizione applicabile da fissare contrattualmente.
• ASTM A967/A967M-25, passivazione chimica degli acciai inossidabili (24 gennaio 2025); ASTM A380/A380M-25, cleaning, descaling, pickling e passivazione (15 gennaio 2025).
• ISPE Baseline Guide Vol. 4, Water and Steam Systems, 3a edizione, settembre 2019 — guida di settore, non normativa; PIC/S PI 009-4, Aide-Memoire Inspection of Utilities, in vigore dal 1 gennaio 2021: picscheme.org