Un'osservazione ricorrente in ispezione non riguarda un fuori specifica, ma il suo contrario: il conduttivimetro del loop WFI ha registrato per undici giorni consecutivi valori in salita, sempre entro il limite; il certificato di analisi settimanale del laboratorio dice «conforme»; nessuno ha aperto un'investigazione. Formalmente non è successo nulla. Sostanzialmente il sistema si stava deteriorando, il dato che lo mostrava era già in SCADA e nessuno lo ha letto come un trend.
Il monitoraggio di TOC e conducibilità sembra la parte più semplice di un sistema acqua — due strumenti, due numeri — ed è quella dove si concentrano gli errori di interpretazione più costosi: usare un dato online per una decisione che non può sostenere, o non usarlo per una decisione che avrebbe dovuto innescare. Questo articolo, parte del cluster Pharmaceutical Water & WFI Systems, tratta la differenza fra le due cose.
Perché TOC e conducibilità non sono parametri come gli altri
La prima ragione è compendiale. Conducibilità e TOC sono i due attributi che le monografie USP Purified Water e Water for Injection controllano. USP è esplicita sul fatto che i requisiti microbiologici non sono inclusi in quelle monografie («Because of the various uses of these waters, microbial requirements are not included in these monographs»), e pH, nitrati e metalli pesanti non sono più requisiti USP per queste acque. La conseguenza è netta: un'acqua può essere pienamente conforme alla monografia e avere contemporaneamente un problema microbiologico serio. TOC e conducibilità non sono un surrogato del controllo microbiologico ed endotossinico: coprono un'altra famiglia di modi di guasto.
La seconda ragione è la velocità. Il risultato microbiologico arriva dopo l'incubazione e descrive quindi un'acqua che nel frattempo è già stata usata. TOC e conducibilità sono misurabili in continuo, e per questo l'Annex 1 al punto 6.15 stabilisce che i sistemi WFI debbano includere un monitoraggio continuo di parametri quali TOC e conducibilità: sono i due parametri su cui poggia l'allerta in tempo reale.
Quattro attività diverse che chiamiamo tutte «monitoraggio»
La confusione fra queste quattro attività produce errori in entrambe le direzioni: decisioni prese con un dato che non le regge, e decisioni non prese perché «quel dato non è ufficiale».
| Attività | Domanda a cui risponde | Che decisione consente | Che decisione NON consente |
|---|---|---|---|
| Monitoraggio online continuo | Il sistema si comporta come in qualifica? | Alert e action level, isolamento di un punto d'uso, investigazione, aumento della sorveglianza | Dichiarare conforme a farmacopea un attributo, se lo strumento non è gestito come strumento compendiale |
| Controllo di processo | Le variabili di esercizio sono nella finestra prevista? | Avvio e arresto della generazione, diversione a scarico, ricircolo, sanitizzazione | Sostituire una valutazione di qualità: un segnale di controllo non è un dato di rilascio |
| Test di farmacopea | Il campione soddisfa il metodo compendiale? | Dichiarare la conformità dell'attributo secondo il metodo | Dire cosa è accaduto fra un campione e il successivo |
| Rilascio del sistema / del lotto | L'acqua usata era idonea all'uso previsto? | Rilasciare, trattenere, estendere l'impatto ad altri lotti | Essere sostituito da uno schermo verde o da un grafico senza valutazione |
La distinzione più fraintesa è fra la prima e la terza riga. Per la conducibilità il ponte esiste ed è costruito dal capitolo compendiale stesso: USP <645> ha una struttura sequenziale a tre stadi e identifica lo Stage 2 come la via offline, il che implica che il primo stadio sia eseguibile sullo strumento in linea. È l'unico attributo di quelle monografie che un sistema può soddisfare senza prelevare un campione — a condizione che lo strumento sia qualificato, calibrato e gestito come strumento compendiale, non come un sensore di processo dimenticato in un armadio elettrico.
Per il TOC lo stesso ponte non è automatico: va costruito e documentato. Se si vuole che il dato online valga come risultato compendiale, occorre stabilire e giustificare formalmente che quello strumento esegue il metodo e ne soddisfa i requisiti, system suitability incluso. Finché questo non è dimostrato, il TOC online resta uno strumento di allerta e di controllo — spesso decisivo — ma non un risultato di farmacopea.
Conducibilità: cosa misura davvero
La conducibilità misura la presenza di specie ioniche. È un parametro aggregato e non specifico: non dice quale ione, non distingue un residuo di rigenerazione da un ingresso di anidride carbonica atmosferica, e dipende fortemente dalla temperatura.
USP <645> gestisce questa natura con una struttura a tre stadi applicati in sequenza: si passa allo stadio successivo solo se il precedente non è soddisfatto. Lo Stage 2 è la via offline, in cui il campione viene portato in condizioni definite e misurato fuori linea. Lo Stage 3 aggiunge un elettrolita neutro — cloruro di potassio — per aumentare la forza ionica e consentire una misura accurata del pH, che a quello stadio entra nella valutazione. I valori numerici dei singoli stadi non sono riportati qui: vanno letti nella versione vigente del capitolo, unica fonte utilizzabile per fissare criteri di accettazione. Ph. Eur. tratta la conducibilità nel capitolo generale 2.2.38.
Una scelta di configurazione che merita attenzione esplicita è la compensazione in temperatura: il valore visualizzato può essere quello misurato oppure quello riportato a una temperatura di riferimento tramite un algoritmo. Se la modalità configurata non è allineata al metodo con cui si valuta il risultato, il confronto con il limite perde significato. Va definita nella specifica, verificata in qualifica e protetta da modifiche non controllate: è un parametro di configurazione GMP, non un'impostazione di comodo.
Chi progetta il monitoraggio deve inoltre sapere in anticipo quali eventi normali di esercizio muovono il segnale: transitori di temperatura, riavvio dopo una fermata, fine di una sanitizzazione. Questa mappatura si costruisce con i dati di qualifica e con la conoscenza del sistema; senza di essa ogni transitorio diventa una deviazione e il sistema di allerta viene progressivamente disinnescato dagli operatori.
TOC: cosa misura e come si costruisce il limite
Il TOC quantifica il carbonio organico ossidandolo ad anidride carbonica e misurando il prodotto dell'ossidazione. Anche questo è un parametro aggregato e non specifico: non dice quale molecola, e non risponde in modo uniforme a tutte, perché l'efficienza di ossidazione dipende dalla natura del composto. Per questo il capitolo compendiale non chiede solo una calibrazione, ma introduce un test di system suitability dello strumento.
USP <643> fissa un target limit response di 500 microgrammi di carbonio per litro. Il punto tecnicamente rilevante è che il limite non è un numero letto sul display, ma una differenza: Rs meno Rw, cioè la risposta dello strumento alla soluzione standard meno la risposta all'acqua reagente. La costruzione lega il criterio alla risposta effettiva di quello strumento, in quelle condizioni.
Sulla frequenza del system suitability USP è deliberatamente silenziosa: il capitolo «intentionally says nothing about how often the system suitability test should be run». Non è una lacuna, è un rinvio esplicito al risk assessment dell'utilizzatore. Ne discende una regola che molti siti applicano al contrario: l'assenza di un numero nel capitolo non autorizza l'assenza di un numero nella procedura del sito. Serve una frequenza definita, giustificata per iscritto e riesaminata quando i dati la contraddicono.
In Europa il TOC per l'acqua per uso farmaceutico è trattato nel capitolo generale Ph. Eur. 2.2.44. Un cambiamento già in vigore va verificato nella documentazione di sito: nella Ph. Eur. Issue 12.3, applicabile dal 1 luglio 2026, il test TOC sostituisce il test delle sostanze ossidabili nella sterilised water for injections, con impatto sulle monografie 0169 e 0008 e sul capitolo 2.2.44; 0169 e 0008 sono state ulteriormente riviste nella Issue 13.1, con implementazione dal 1 gennaio 2027. Specifiche, metodi e capitolati che citano ancora le sostanze ossidabili vanno allineati attraverso change control, non con una correzione redazionale silenziosa.
Online e offline non rispondono alla stessa domanda
Il confronto utile non è «quale delle due è più accurata», ma «a quale domanda risponde ciascuna»: poste così, le due misure diventano complementari.
| Dimensione | Misura online | Misura offline |
|---|---|---|
| Copertura temporale | Continua: vede i transitori e le derive lente | Puntuale: fotografa un istante scelto |
| Rappresentatività | Del punto installato, con l'effetto della linea di campionamento | Del punto e dell'istante di prelievo, con l'effetto della manipolazione |
| Rischio di artefatto | Condizionamento, materiali della linea, deriva non rilevata | Contenitore, trasporto, operatore |
| Decisioni immediate | Immediate: alert, interlock, isolamento di un punto d'uso | Differite: dipendono dal turnaround del laboratorio |
| Uso compendiale | Possibile per la conducibilità; per il TOC va dimostrato e documentato | Via prevista e consolidata per entrambi |
| Carico di gestione | Calibrazioni, verifiche, allarmi, dati, audit trail | Campionamento, catena di custodia, laboratorio |
Un sistema con solo monitoraggio continuo ha un punto cieco sul metodo compendiale; un sistema con solo campionamento periodico ha un punto cieco sul tempo. La strategia deve dichiarare quale dato serve a quale decisione, e i punti online e offline vanno progettati insieme, come parti dello stesso sampling plan, non da funzioni diverse in momenti diversi.
Condizionamento e trasporto del campione
Un analizzatore online misura ciò che gli arriva, non ciò che c'è nel loop. Fra la presa e la cella di misura ci sono una linea, spesso una riduzione di pressione, una regolazione di portata e talvolta uno scambiatore. Ogni elemento è un potenziale artefatto:
- la linea di campionamento è a tutti gli effetti un ramo del sistema: se non è dimensionata, drenabile e sanitizzata insieme al loop, diventa un dead leg in flusso lento e può generare una contaminazione locale che lo strumento leggerà come problema del loop;
- i materiali della linea, in particolare quelli polimerici, possono cedere o adsorbire organici e spostare il TOC in entrambe le direzioni;
- il raffreddamento del campione modifica la solubilità dei gas e interagisce con la compensazione in temperatura: può cambiare il valore letto senza che sia cambiato nulla nell'acqua;
- il tempo di transito introduce un ritardo fra evento e allarme, e determina quanta acqua potenzialmente fuori controllo può essere già stata erogata quando l'allarme scatta;
- il destino dello scarico del campione — rientro nel loop o drain — è una scelta di progetto con conseguenze opposte, da giustificare e non da ereditare dal disegno del fornitore.
Dove si mette l'analizzatore
La posizione determina cosa il dato può dire. A valle della generazione lo strumento dice se l'unità di produzione sta lavorando: è la posizione giusta per il controllo di processo e per la diversione a scarico, ma non dice nulla su ciò che accade nell'anello e ai punti d'uso. Sul ritorno del loop lo strumento integra il comportamento dell'intero anello ed è il più informativo sul deterioramento progressivo, perché vede la somma di tutto ciò che il loop ha raccolto: è la posizione tipica del monitoraggio continuo richiesto per WFI. In mandata, a valle del serbatoio, si separa il contributo dello stoccaggio da quello della rete.
Un punto d'uso critico può giustificare uno strumento dedicato, ma moltiplicare gli analizzatori moltiplica linee di campionamento, calibrazioni, allarmi e dati da rivedere. La domanda per ogni strumento aggiunto è una: quale decisione, oggi non prendibile, questo strumento rende possibile? Se non c'è risposta, aggiunge carico e non controllo.
Calibrazione, verifica e system suitability sono tre cose distinte
Vengono confuse continuamente e non sono intercambiabili. La calibrazione riferisce lo strumento a uno standard tracciabile e, se necessario, lo aggiusta. La verifica conferma fra due calibrazioni che lo strumento è ancora entro i criteri stabiliti, senza aggiustarlo. Il system suitability dimostra che il metodo, su quello strumento e in quel momento, è capace di produrre il risultato richiesto: per il TOC è un requisito compendiale, non una buona pratica facoltativa. Una calibrazione valida non implica un system suitability soddisfatto, e viceversa.
Frequenze, tolleranze, deriva ammessa e criteri di accettazione non sono fissati dalle norme e non vanno inventati. Vanno stabiliti dal sito, e la giustificazione si costruisce con elementi verificabili:
- criticità dell'acqua e conseguenza di un errore di misura sul prodotto, valutate secondo un processo di quality risk management coerente con ICH Q9(R1);
- dati di qualifica dello strumento: comportamento osservato in OQ e PQ, ripetibilità, deriva effettivamente registrata;
- dati storici di quello strumento o della stessa famiglia sul sito: quante verifiche fuori criterio e con quale entità;
- tempo di esposizione: quanta acqua viene erogata fra due verifiche e cosa accade se si scopre a posteriori che lo strumento era fuori criterio — la domanda che l'ispettore farà;
- raccomandazioni del costruttore, come dato di ingresso e non come giustificazione finale.
L'ultimo punto è la scorciatoia più comune: «lo dice il manuale» non è una giustificazione GMP, è un input; la giustificazione è la valutazione documentata del sito. Va progettato prima che accada anche il caso in cui una verifica risulti fuori criterio: la procedura deve stabilire che cosa succede all'acqua prodotta dall'ultima verifica valida in poi, chi la valuta e come si documenta l'esito. Senza questa parte, il primo fuori criterio genera un'investigazione senza percorso e un impatto che nessuno riesce a delimitare.
Alert level, allarmi e trend
L'Annex 1 al punto 6.13 richiede un monitoraggio chimico e microbiologico regolare e continuativo e stabilisce che gli alert level si basino sui dati di qualifica iniziale, riesaminati periodicamente alla luce di riqualifica, monitoraggio di routine e investigazioni. L'alert level non è quindi un numero scelto per stare comodamente sotto il limite: nasce dai dati e cambia quando i dati cambiano. Il punto 6.14 chiude il cerchio, richiedendo che le escursioni di alert siano documentate, riviste e investigate, distinguendo l'evento isolato dal trend avverso o dal deterioramento del sistema.
È qui che fallisce il caso in apertura: undici punti in salita entro il limite non sono undici non-eventi, ma un trend che il sistema deve essere in grado di rilevare e che qualcuno deve avere il compito formale di guardare.
In configurazione, quattro livelli logici vanno tenuti distinti e mappati esplicitamente.
| Livello | Natura | Effetto tipico | Responsabilità prevalente |
|---|---|---|---|
| Soglia tecnica di processo | Ingegneristica | Azione automatica: diversione, ricircolo, blocco erogazione | Ingegneria / Produzione |
| Alert level | Derivato dai dati di qualifica e storici | Attenzione, verifica, sorveglianza aumentata | Produzione, con QA informata |
| Action level | Stabilito e giustificato dal sito | Azione predefinita e investigazione | QA |
| Limite compendiale o di specifica | Compendiale / di specifica | Non conformità dell'attributo | QA, con impatto sul rilascio |
Gli errori più frequenti sono riconoscibili: usare il limite compendiale come soglia di allarme in SCADA, così che l'allarme scatti quando il problema è già una non conformità; fissare l'alert level a una percentuale fissa del limite senza guardare la distribuzione reale dei dati; configurare filtri e ritardi così lunghi da rendere l'allarme inefficace; mascherare gli allarmi durante sanitizzazioni e manutenzioni senza che il mascheramento sia procedurato, tracciato, limitato nel tempo e riabilitato in modo verificabile.
Il dato online è un dato GMP
La parte informatica del monitoraggio è governata dall'Annex 11 nella versione di gennaio 2011, che è quella in vigore. La bozza di revisione posta in consultazione nel 2025 non è stata adottata e non ha una data di applicazione pubblicata: conoscerla per evitare scelte architetturali costose da disfare è ragionevole, usarla per fissare requisiti non lo è.
In concreto servono attribuzione delle azioni, tracciabilità delle modifiche a soglie e configurazioni, protezione dei dati grezzi, backup e controllo degli accessi per livello. Vanno inoltre definite e giustificate le regole di trattamento del dato — intervallo di acquisizione, valore istantaneo o mediato, cosa si archivia e cosa si scarta — perché un valore mediato su un intervallo lungo può nascondere esattamente il transitorio che si voleva rilevare. Il tema è sviluppato nell'articolo su automazione, SCADA e data integrity.
La data review, infine, non è la lettura del grafico la settimana prima dell'ispezione. È un'attività con frequenza definita, un responsabile, un contenuto minimo e una traccia documentale: escursioni del periodo e relativo esito, comportamento rispetto agli alert level, analisi del trend, correlazione con gli eventi di sistema (sanitizzazioni, manutenzioni, sostituzioni, fermate e riavvii), stato di calibrazioni e verifiche, azioni aperte. Senza la correlazione con gli eventi il grafico è quasi illeggibile: buona parte delle escursioni è spiegata da qualcosa che è stato fatto al sistema.
Esempio applicativo: Sito Delta
Sito Delta è un esempio didattico, non un caso reale. Un loop WFI caldo alimenta una linea sterile e un'area di preparazione; il monitoraggio continuo di TOC e conducibilità è sul ritorno del loop, mentre una seconda misura di conducibilità a valle della generazione governa la diversione a scarico. Dopo una manutenzione su una valvola di un punto d'uso, il TOC al ritorno mostra un gradino verso l'alto: valore sempre entro il limite, ma stabilmente sopra la banda storica. Il campione compendiale settimanale risulta conforme.
Le opzioni sul tavolo sono tre. Non fare nulla, perché non esiste un fuori specifica: ignora il punto 6.14, che chiede di distinguere l'evento isolato dal trend. Sanitizzare subito «per sicurezza»: azione senza diagnosi, che distrugge l'evidenza e non impedisce la ricomparsa del problema. Aprire l'investigazione: è l'opzione difendibile, perché il gradino coincide con un evento noto ed è un cambiamento di livello, non rumore. L'alert level ha fatto ciò per cui esiste, e la correlazione con la manutenzione fornisce già l'ipotesi da verificare: residuo, materiale introdotto, ripristino incompleto. Qualunque sia l'esito, va documentato: anche «causa identificata, nessun impatto sul prodotto» è un esito valido, se argomentato.
Matrice decisionale: cosa monitorare online
La colonna dei pesi è volutamente vuota. L'assegnazione dipende dal contesto del sito ed è essa stessa parte della decisione da documentare.
| Criterio | Peso | Come si valuta |
|---|---|---|
| Criticità dell'acqua e dell'uso a valle | Grado e destinazione: sterile, non sterile, via di somministrazione. Cfr. selezione della qualità d'acqua | |
| Velocità di propagazione del rischio | Quanta acqua viene erogata prima che un metodo offline dia risposta | |
| Capacità dell'attributo di rilevare il guasto atteso | L'attributo risponde al modo di guasto identificato nel risk assessment? | |
| Percorribilità del metodo compendiale in linea | Dimostrabile e documentabile per quell'attributo e quello strumento? | |
| Impatto sulla gestione del campione | Portata continua richiesta, destino dello scarico, ritorno o drain |
Errori frequenti e red flag
- Alert level coincidente con il limite compendiale, o fissato a una frazione arbitraria del limite senza analisi dei dati.
- TOC online usato come risultato compendiale senza documenti che attestino che lo strumento esegue il metodo.
- System suitability senza frequenza definita, motivata con «il capitolo non lo dice»; allarmi cronicamente mascherati o acknowledged senza azione né traccia.
- Conducibilità confrontata con un limite senza che sia documentato se il dato è compensato in temperatura.
- Linea di campionamento non gestita come parte del sistema: non drenabile, non sanitizzata con il loop.
- Convinzione implicita che TOC e conducibilità conformi significhino acqua microbiologicamente sotto controllo.
- Documenti di sito che citano ancora il test delle sostanze ossidabili dove Ph. Eur. Issue 12.3 ha introdotto il TOC.
Checklist operativa
- Per ogni strumento è dichiarato se il dato è di processo, di allerta o compendiale.
- La posizione di ogni analizzatore è giustificata rispetto alle decisioni che deve supportare.
- Linea di campionamento, materiali, condizionamento, tempo di transito e destino dello scarico sono documentati.
- La compensazione in temperatura è specificata, verificata e protetta da modifiche non controllate.
- Calibrazione, verifica e system suitability hanno frequenze, criteri e responsabilità distinti e giustificati, con impatto retroattivo procedurato.
- Gli alert level derivano dai dati di qualifica, sono riesaminati su base documentata e le escursioni sono classificate come evento isolato o trend.
- Il mascheramento degli allarmi durante attività pianificate è procedurato, tracciato e limitato nel tempo.
- La data review ha frequenza, responsabile, contenuto minimo e correlazione con gli eventi; acquisizione e archiviazione sono definite e conformi all'Annex 11 vigente.
Se questo livello di dettaglio operativo ti è utile, The Pragmatic GMP è la newsletter dove pubblichiamo analisi tecniche e aggiornamenti regolatori nello stesso registro, senza rumore.
Key takeaway
- TOC e conducibilità sono gli attributi controllati dalle monografie USP PW e WFI, che non includono requisiti microbiologici: conformità chimica e controllo microbiologico sono due domande separate.
- Annex 1 6.15 richiede monitoraggio continuo di parametri quali TOC e conducibilità per i sistemi WFI; 6.13 lega gli alert level ai dati di qualifica iniziale, 6.14 impone di distinguere l'evento isolato dal trend.
- USP <645> ha una struttura sequenziale a tre stadi, con lo Stage 2 come via offline e lo Stage 3 che aggiunge KCl per misurare accuratamente il pH; i criteri numerici vanno letti nel capitolo vigente.
- USP <643> fissa un target limit response di 500 microgrammi di carbonio per litro e costruisce il limite come Rs meno Rw; la frequenza del system suitability è lasciata al risk assessment dell'utilizzatore e va comunque definita dal sito.
- Un dato online sostiene allarmi, isolamenti e investigazioni; sostiene una dichiarazione di conformità compendiale solo se lo strumento è gestito e documentato come strumento del metodo.
- Frequenze, tolleranze e deriva ammessa non sono nelle norme: si derivano da qualifica, dati storici, risk assessment e conseguenza dell'errore.
Riferimenti regolatori e tecnici
- EudraLex Volume 4, Annex 1 (C(2022) 5938 final), in operazione dal 25 agosto 2023 — punti 6.13, 6.14, 6.15. EudraLex Volume 4
- EudraLex Volume 4, Annex 11 Computerised Systems — versione di gennaio 2011, operativa dal 30 giugno 2011; la bozza di revisione in consultazione dal 7 luglio al 7 ottobre 2025 non è stata adottata.
- USP <645> Water Conductivity; USP <643> Total Organic Carbon; USP <1231> Water for Pharmaceutical Purposes (informativo, non vincolante); monografie Purified Water e Water for Injection.
- Ph. Eur. capitoli generali 2.2.38 Conductivity e 2.2.44 Total organic carbon in water for pharmaceutical use; monografie 0169 e 0008; Issue 12.3 applicabile dal 1 luglio 2026, Issue 13.1 con implementazione dal 1 gennaio 2027.
- EMA Guideline on the quality of water for pharmaceutical use, EMA/CHMP/CVMP/QWP/496873/2018, in vigore dal 1 febbraio 2021. EMA
- WHO TRS 1033, Annex 3 (2021) — alert e action level stabiliti dai dati storici. WHO
- ICH Q9(R1) Quality Risk Management, Step 4 del 18 gennaio 2023. ICH
- PIC/S Aide-Memoire PI 009-4 Inspection of Utilities, rev. 4, in vigore dal 1 gennaio 2021. PIC/S
- FDA Guide to Inspections of High Purity Water Systems (1993) — riferimento per gli investigatori, non una guidance for industry. FDA
- ISPE Baseline Guide Vol. 4 Water and Steam Systems, 3a ed., settembre 2019 — guida di settore, non normativa.
- Nota: non risulta uno standard ISO, ASME, ASTM o CEN che governi la qualifica della strumentazione TOC e conducibilità per acqua farmaceutica; restano governanti USP <643> e <645> e i capitoli Ph. Eur. corrispondenti.
