Come progettare un distribution loop per Pharmaceutical Water

Un impianto di generazione può produrre acqua perfettamente conforme e il sito trovarsi comunque con un trend microbiologico in salita su tre point of use. Nelle deviazioni ricorrenti sui sistemi acqua il problema raramente sta a monte: sta nel loop di distribuzione, nella geometria delle derivazioni, nel comportamento idraulico ai carichi reali e nella distanza tra il sistema disegnato sul P&ID e il sistema che si riesce davvero a sanitizzare e a drenare.

La generazione stabilisce la qualità dell'acqua; il loop decide se quella qualità arriva intatta al punto di prelievo. Di seguito le decisioni di progetto del sistema di stoccaggio e distribuzione di Purified Water e Water for Injections, e le tre proprietà che ne determinano il costo di ciclo di vita: sanitizzabilità, drenabilità, manutenibilità.

Il punto in cui il sistema smette di essere conforme

Il loop è l'unica parte del sistema acqua permanentemente a contatto col prodotto che attraversa fisicamente lo stabilimento. Ogni metro di tubazione, ogni stacco, ogni valvola di prelievo è una superficie colonizzabile e un potenziale ristagno. È qui che si formano i biofilm ed è qui che le contromisure diventano costose: modificare un anello installato significa taglio, saldatura, passivazione locale, riqualifica del tratto e change control.

L'Annex 1 di EudraLex Volume 4, al punto 6.7, chiede che l'impianto di trattamento e distribuzione sia progettato, costruito, installato, commissionato, qualificato, monitorato e mantenuto in modo da prevenire la contaminazione microbiologica, minimizzando particolato, proliferazione microbica ed endotossine o pirogeni. La stessa clausola nomina due soli elementi costruttivi: la pendenza delle tubazioni per il drenaggio e la necessità di evitare i dead leg. Non è un caso: sono i due difetti che un ispettore può cercare sul campo confrontando il P&ID con l'installato.

Scope, boundary e input di progetto

Il boundary del pacchetto storage & distribution parte dal punto di consegna dell'acqua alla capacità di stoccaggio e termina all'ultima valvola di prelievo di ciascun point of use, inclusa. Ciò che sta oltre — flessibili, connessioni a macchina, tubi di trasferimento — appartiene di regola all'utilizzatore ed è governato da procedure d'uso. Va scritto: è la zona in cui si concentrano i risultati microbiologici anomali attribuiti impropriamente al sistema.

Gli input minimi sono cinque: qualità richiesta per ciascun utilizzo, elenco dei point of use con posizione e requisiti locali, profilo dei consumi (portata di picco, volume giornaliero, contemporaneità reale dei prelievi), temperatura e pressione richieste all'uso, strategia di sanitizzazione. Non si assumono: si raccolgono, si fanno confermare dagli utilizzatori e si congelano nelle URS del sistema acqua. Un profilo di consumo sbagliato produce un anello sovradimensionato che perde il regime di moto ai carichi bassi, o un anello che collassa in pressione quando due reparti prelevano insieme.

Che cosa chiede davvero la normativa al loop

• Annex 1, 6.7 — prevenzione della contaminazione microbiologica dalla progettazione alla manutenzione; pendenza per il drenaggio; evitare dead leg.
• Annex 1, 6.8 — qualifica e validazione tenendo conto della variazione stagionale: le condizioni di progetto vanno verificate anche nella stagione peggiore.
• Annex 1, 6.9 — il flusso deve rimanere turbolento per limitare adesione microbica e biofilm; la portata è stabilita in qualifica e monitorata di routine.
• Annex 1, 6.10 — stoccaggio e distribuzione tali da minimizzare la crescita microbica. Il testo porta come esempio la circolazione costante sopra i 70 °C: è un esempio citato, non un set point obbligatorio. Un sistema freddo o ambiente resta ammissibile se la strategia di controllo microbiologico è qualificata e dimostrata efficace con altri mezzi.
• Annex 1, 6.11 — filtri di sfiato idrofobici batterio-ritentivi sul serbatoio WFI, che non devono essere fonte di contaminazione, con integrity test prima dell'installazione e dopo l'uso e prevenzione della condensa, per esempio mediante riscaldamento.
• Annex 1, 6.12 — sanitizzazione, disinfezione o rigenerazione secondo uno schedule predeterminato, oltre che come azione rimediale dopo risultati fuori limite o fuori specifica.
• Annex 1, 6.15 — i sistemi WFI devono includere monitoraggio continuo, come TOC e conducibilità: la posizione della strumentazione fa parte del design del loop, non di un pacchetto successivo.

La guideline EMA sulla qualità dell'acqua per uso farmaceutico (EMA/CHMP/CVMP/QWP/496873/2018, in vigore dal 1 febbraio 2021) definisce quale grado d'acqua serve per quale impiego, ma non fissa limiti di alert o action, criteri di sanitizzazione o periodicità di riesame. Negli Stati Uniti la Parte 211 del 21 CFR tratta l'acqua in una sola sezione, 211.48 Plumbing, che richiede acqua potabile in continua pressione positiva in un impianto privo di difetti che possano contribuire alla contaminazione. Tutto il resto è good engineering practice, non requisito cogente.

I riferimenti tecnici vanno qualificati per quello che sono. USP <1231> è un capitolo informativo — numerazione superiore a 1000, quindi non vincolante — che copre design del sistema, materiali, sanitizzazione e controllo microbico. ASME BPE è uno standard di settore, non un requisito regolatorio: l'edizione applicabile va fissata contrattualmente, perché "ultima edizione" in un capitolato è una clausola che si ritorce contro chi la scrive. La ISPE Baseline Guide Vol. 4 "Water and Steam Systems" (3a ed., 2019) è guida di settore. La ISO/DIS 25413 su stoccaggio e distribuzione PW e WFI è oggi un progetto in sviluppo, con ballot DIS aperto il 21 luglio 2026: non è uno standard pubblicato e non va citata come applicabile in capitolato o in un dossier.

I criteri numerici di queste Parti — rapporti geometrici delle derivazioni, pendenze, rugosità superficiali — sono materiale protetto e non vengono riprodotti qui: vanno richiamati per riferimento nel capitolato e verificati sui documenti originali.

Architettura: serbatoio, anello, ritorno

Il serbatoio non è un polmone neutro: è dove l'acqua ha il tempo di residenza più lungo e dove esistono le uniche superfici non completamente bagnate. Il volume si dimensiona sul disaccoppiamento tra profilo di consumo e capacità di generazione, senza creare tempi di residenza inutilmente lunghi: il criterio si giustifica con i dati di consumo raccolti, non con una regola generale. Fondo e testa devono essere completamente drenabili, con scarico nel punto più basso reale a serbatoio livellato. La bagnatura del cielo è il tema critico: la parete sopra il livello del liquido condensa e resta a temperatura intermedia, quindi va bagnata in modo continuo o programmato, con efficacia verificata in commissioning. Lo sfiato richiesto dall'Annex 1 6.11 si sceglie insieme al suo riscaldamento, alla logica di integrity test e all'accessibilità: un filtro corretto in una posizione dove nessuno riesce a testarlo è un non conforme differito.

La topologia dell'anello è la scelta tra un unico anello che serve tutti i point of use e un'architettura a più livelli, con anello principale e sub-loop dedicati a reparti, temperature o requisiti specifici. L'anello unico è più semplice da qualificare, sanitizzare e monitorare, ma impone lo stesso set point a tutti e cresce male: ogni nuovo reparto allunga il percorso e sposta l'idraulica. L'architettura con sub-loop separa i requisiti e limita la propagazione di un evento microbiologico, ma moltiplica scambiatori e boundary di sanitizzazione, e ogni interfaccia è un nodo di rischio da qualificare.

Valgono comunque due principi non negoziabili: il percorso deve essere un circuito chiuso in ricircolo permanente, senza tratti a fondo cieco percorsi solo al prelievo, e ogni derivazione deve staccare dal ramo principale in modo che la valvola di prelievo sia il più vicino possibile all'anello. Il tratto morto tra anello e valvola è la forma di dead leg più comune e più difficile da correggere a posteriori; geometria delle derivazioni, pendenze e difetti tipici di installazione sono approfonditi nell'articolo su dead leg, pendenze, materiali e hygienic design.

Il ritorno è la parte progettata peggio, perché percepita come "acqua che torna". Determina invece la pressione residua all'ultimo point of use, il regime di moto lungo tutto l'anello e la capacità del sistema di essere svuotato. Deve rientrare in serbatoio senza generare aerosol e schiuma sul cielo; è la posizione naturale per la misura continua di conducibilità e TOC richiesta dall'Annex 1 6.15, perché rappresenta la condizione peggiore dopo l'intero percorso; e la sua valvola di regolazione governa la portata circolante. Se quella regolazione resta una taratura di campo non tracciata, il sistema perde la riproducibilità del parametro che l'Annex 1 6.9 chiede di stabilire in qualifica e monitorare di routine.

Idraulica: flusso turbolento, portata, pressione

Il regime di moto in un condotto è descritto dal numero di Reynolds, gruppo adimensionale che dipende da diametro interno, velocità media, densità e viscosità del fluido; il passaggio da laminare a turbolento avviene in un intervallo di transizione noto della meccanica dei fluidi. Il requisito dell'Annex 1 6.9 è sul regime, non su un valore di velocità: non esiste una velocità universale in metri al secondo che renda un loop conforme, e riportarne una come requisito normativo è un errore che si ritrova regolarmente nei capitolati.

Ne discendono tre conseguenze. Poiché la viscosità dell'acqua dipende fortemente dalla temperatura, a parità di velocità e diametro un anello caldo lavora a Reynolds più alto di un anello freddo: un sistema freddo va verificato alla temperatura di esercizio reale peggiore, non a condizioni nominali. Il caso critico non è il picco di prelievo ma il minimo di circolazione, cioè quando nessuno preleva e la portata è quella imposta dalla pompa di ricircolo — e, nelle architetture ramificate, quella del ramo meno favorito: il calcolo idraulico deve dimostrare il mantenimento del regime nel ramo peggiore alla condizione peggiore, e quel ramo va identificato per nome nel dossier. Infine il diametro non si sceglie sul picco: sovradimensionare per gestire il consumo massimo con basse perdite di carico compromette il regime nelle ore in cui non si preleva nulla, cioè nella maggior parte del tempo.

La portata di progetto va fissata come parametro, verificata sperimentalmente e resa misurabile in esercizio; come si stabilisce il criterio di accettazione e come lo si lega al dato sperimentale è materia della qualifica attraverso FAT, SAT, IQ, OQ e PQ. Sulla pressione, il progetto deve garantire pressione positiva ovunque, inclusi i transitori di prelievo simultaneo, ed evitare che il punto più sfavorito scenda sotto la pressione richiesta all'uso. Il colpo d'ariete da valvole a chiusura rapida è un tema di progetto, non un fastidio operativo: sollecita saldature e supporti e può compromettere nel tempo l'integrità meccanica del circuito.

Temperatura e scambio termico

Un sistema caldo in ricircolo permanente controlla la proliferazione microbica per via termica ed è la strategia più semplice da difendere, ma richiede scambiatori nei punti che servono acqua a temperatura inferiore, consuma energia in continuo e sottopone il circuito a stress termico e a condizioni che favoriscono il rouging. Un sistema freddo o a temperatura ambiente elimina lo scambio termico locale ma richiede una strategia di controllo microbiologico esplicita e qualificata — sanitizzazione termica periodica, ozonizzazione con distruzione a valle, o combinazioni — e una sorveglianza più stretta. Le implicazioni complete delle tre famiglie sono trattate nell'articolo su sistemi caldi, freddi e ozonizzati.

Va ripetuto perché è la confusione più frequente in fase di URS: il "sopra 70 °C" dell'Annex 1 6.10 è un esempio riportato nel testo per illustrare un modo di minimizzare la crescita microbica, non un limite imposto. Scrivere in una URS "il loop deve operare sopra 70 °C perché lo richiede l'Annex 1" irrigidisce inutilmente il progetto e, in ispezione, indebolisce la credibilità del razionale complessivo.

Sugli scambiatori valgono tre criteri. Devono impedire il passaggio del fluido di servizio verso l'acqua farmaceutica anche in caso di cedimento di una singola barriera: da qui le configurazioni a doppia parete di separazione con spazio intermedio ispezionabile o drenabile. Il differenziale di pressione va impostato perché il lato acqua farmaceutica sia sempre a pressione superiore, con valore e modalità di verifica definiti in progetto e resi monitorabili. Devono essere drenabili e sanitizzabili con lo stesso ciclo del ramo su cui sono installati, altrimenti diventano il punto più freddo e più stagnante di un sistema per il resto ben progettato.

Derivazioni e point of use

• Tipo di stacco. Derivazione a T con valvola a ridosso dell'anello e soluzioni a corpo valvola integrato rispondono allo stesso obiettivo — ridurre il volume non spazzato — con costi e manutenibilità diversi. La scelta va fatta per famiglia di punti e giustificata, non punto per punto in cantiere.
• Orientamento e drenabilità. Lo stacco deve drenare verso l'anello o verso un punto di scarico: una derivazione che sale e poi ridiscende crea una sacca che nessun ciclo di sanitizzazione svuota e che nessun campionamento rappresenta.
• Punti di campionamento. Vanno previsti in progetto, non aggiunti dopo: un punto rappresentativo sul ritorno, punti sui rami e i punti d'uso stessi. Logica di selezione e distinzione tra campionamento di sistema e campionamento d'uso sono nel sampling plan del sistema acqua.
• Condizioni all'uso. Un punto che richiede acqua tiepida su un anello caldo impone uno scambiatore locale con tutti i vincoli visti sopra; un punto con elevata portata istantanea può destabilizzare l'idraulica dell'intero anello.

Materiali, giunzioni, valvole

Per i circuiti metallici la prassi prevalente è l'impiego di acciai inossidabili austenitici nelle qualità usate in ambito bioprocesso, con finitura interna specificata, saldature orbitali documentate e passivazione post-costruzione; i riferimenti per pulizia, decapaggio e passivazione chimica sono le ASTM A380/A380M e A967/A967M nelle edizioni correnti. Per i loop freddi esistono alternative polimeriche di classe farmaceutica che spostano il profilo di rischio: minore suscettibilità al rouging, ma limiti termici che possono escludere la sanitizzazione termica e diverse esigenze di controllo su estraibili e giunzioni. Materiale e strategia di sanitizzazione si decidono insieme.

Sulle giunzioni il principio è ridurre al minimo i collegamenti smontabili: ogni raccordo con guarnizione è una discontinuità superficiale, una potenziale sede di ristagno e un punto di manutenzione periodica. Dove lo smontaggio non serve si preferiscono saldature orbitali, tracciate e ispezionate secondo un piano di controllo definito. Sulle valvole: corpo drenabile nella posizione di installazione prevista, sede di tenuta che non crei volume intrappolato, materiale di membrana o tenuta compatibile con il ciclo di sanitizzazione per il numero di cicli previsto tra due manutenzioni. Il montaggio angolare che garantisce la drenabilità delle valvole a membrana è una prescrizione di installazione: se non è vincolata sull'isometrico e verificata in walkdown, in campo non viene rispettata.

Sanitizzabilità, drenabilità, manutenibilità

Sanitizzabilità significa che ogni superficie a contatto raggiunge le condizioni del ciclo — temperatura, concentrazione, tempo di contatto — per la durata prevista, e che questo è dimostrabile: nessuna zona fredda in un ciclo termico, nessuna zona non raggiunta dall'agente in un ciclo chimico, strumentazione posizionata per registrare la condizione peggiore, possibilità di isolare rami e sanitizzarli separatamente. Lo schedule predeterminato richiesto dall'Annex 1 6.12 si costruisce sui dati di qualifica e monitoraggio, e il layout deve renderlo eseguibile senza forzature.

Drenabilità significa che il sistema si svuota per gravità, senza sacche residue, in ogni tratto e in ogni componente: è il requisito che l'Annex 1 6.7 nomina attraverso la pendenza delle tubazioni. Si ottiene con pendenza continua verso punti di scarico definiti, supporti che la mantengano nel tempo, assenza di controsalite non drenabili e attenzione ai componenti che possono trattenere liquido. La verifica non è documentale: è un test di drenaggio in commissioning, con tempi e residui registrati.

Manutenibilità è la proprietà più trascurata e quella che genera più deviazioni nel lungo periodo: accessibilità di ogni valvola, strumento e filtro senza smontare altro; sostituzione di un componente senza svuotare l'intero anello; calibrazione degli strumenti critici a sistema in servizio ove possibile; ripristino documentato — pulizia, passivazione locale, riqualifica del tratto — dopo ogni intervento che apra il circuito. Un componente installato dietro un altro, o a un'altezza che richiede un ponteggio, viene manutenuto in ritardo: è prevedibile e va trattato come un rischio di progetto.

Progettare risk-based

I punti 6.1-6.5 dell'Annex 1 impostano i controlli sulle utilities in chiave risk-based e classificano come a rischio più alto quelle a contatto diretto col prodotto; il punto 2.5(v) inserisce la qualità dell'acqua tra gli elementi della Contamination Control Strategy. Il dossier di progetto del loop deve quindi contenere una catena logica esplicita e tracciabile.

1. Identificazione dei nodi di rischio: serbatoio e cielo, ritorno, derivazioni, interfacce tra loop, scambiatori, collegamenti smontabili, punti potenzialmente non drenabili.
2. Valutazione con metodologia coerente con ICH Q9(R1), con criteri di severità, probabilità e rilevabilità definiti prima e non adattati al risultato.
3. Traduzione di ogni rischio non accettabile in una misura di progetto specifica, non in una procedura, quando una scelta costruttiva può eliminare il rischio alla fonte.
4. Definizione degli aspetti critici e delle verifiche corrispondenti con l'approccio science- and risk-based di ASTM E2500 nell'edizione corrente, così che ciò che si verifica derivi dal rischio e non da una lista generica.
5. Chiusura del ciclo: gli alert level si basano sui dati di qualifica iniziale, come richiede l'Annex 1 6.13, e vanno riesaminati con riqualifica, monitoraggio di routine e investigazioni.

Le altre fasi del ciclo di vita sono raccolte nell'hub del cluster Pharmaceutical Water & WFI.

Esempio applicativo: Sito Delta

Esempio didattico, sito fittizio. Sito Delta produce forme sterili iniettabili e forme orali liquide in due edifici collegati. Il progetto originario prevedeva un unico anello WFI caldo per il reparto sterile e, tramite un lungo tratto tra i due edifici, tre punti d'uso in area orale che richiedevano acqua a temperatura ambiente. In design review sono emerse tre criticità: il tratto di collegamento raddoppiava la lunghezza dell'anello e riduceva la portata nel ramo terminale; i tre punti a temperatura ambiente avrebbero richiesto scambiatori locali difficili da drenare; il ciclo di sanitizzazione termica avrebbe fermato entrambi i reparti insieme.

La revisione ha portato a un'architettura a due livelli: anello WFI caldo dedicato al reparto sterile, con ritorno strumentato in continuo per conducibilità e TOC, e un secondo anello alimentato da un unico scambiatore d'interfaccia e sanitizzato con ciclo indipendente a servizio dell'area orale. La scelta ha aumentato l'investimento e aggiunto un nodo di rischio — l'interfaccia tra i due anelli, qualificata come aspetto critico — ma ha eliminato tre scambiatori non drenabili, reso verificabile il ramo peggiore e reso possibile sanitizzare un edificio mentre l'altro produce.

Matrice decisionale per l'architettura del loop

La colonna dei pesi è volutamente vuota: i pesi dipendono dal profilo dei point of use, dal portafoglio prodotti e dalla strategia di sanitizzazione del singolo sito, e vanno assegnati e giustificati internamente prima di compilare i punteggi.

Checklist di design review

• Boundary definito per iscritto, inclusa la responsabilità oltre l'ultima valvola.
• Profilo di consumo documentato e confermato dagli utilizzatori, con contemporaneità reale dei prelievi.
• Calcolo idraulico che dimostra il regime turbolento nel ramo peggiore, a prelievo nullo, alla temperatura di esercizio peggiore.
• Ramo peggiore identificato nominalmente nel dossier e servito da un punto di campionamento.
• Serbatoio drenabile, cielo bagnato in modo verificato, sfiato accessibile e testabile secondo l'Annex 1 6.11.
• Derivazioni disegnate sull'isometrico con orientamento e drenabilità vincolati.
• Scambiatori con barriera di separazione adeguata, differenziale di pressione monitorabile, drenabilità verificata.
• Ciclo di sanitizzazione eseguibile con il layout previsto, strumentazione nella condizione peggiore.
• Edizione applicabile di ASME BPE fissata contrattualmente e non lasciata come "ultima edizione".

Errori frequenti e red flag

• Velocità citata come requisito normativo. Nessun testo vigente fissa una velocità in metri al secondo: l'Annex 1 6.9 richiede regime turbolento e portata stabilita in qualifica.
• "Sopra 70 °C perché lo richiede l'Annex 1". È un esempio del punto 6.10, non un set point imposto.
• Diametro scelto sul picco di consumo. L'anello perde il regime richiesto nella condizione più frequente, cioè a prelievo nullo.
• Valvola di regolazione del ritorno tarata in campo e non documentata. Il parametro idraulico più importante diventa non riproducibile.
• ISO/DIS 25413 citata in capitolato come standard applicabile. È un progetto in ballot DIS, non uno standard pubblicato.
• Punti di campionamento aggiunti dopo l'installazione. Diventano essi stessi dead leg.
• Scambiatore locale in posizione non drenabile. Crea il punto più freddo e più stagnante del sistema.
• Sanitizzazione impostata come "quando serve". L'Annex 1 6.12 richiede uno schedule predeterminato, oltre all'azione rimediale.

Se questo tipo di analisi ti è utile nel lavoro quotidiano, The Pragmatic GMP raccoglie approfondimenti tecnici e aggiornamenti regolatori con lo stesso taglio.

Key takeaway

• Il loop, non la generazione, determina se l'acqua conforme arriva conforme al punto di utilizzo.
• L'Annex 1 nomina due sole geometrie: pendenza per il drenaggio e assenza di dead leg.
• Il requisito idraulico è il regime turbolento, verificato nel ramo peggiore a prelievo nullo; la portata si stabilisce in qualifica.
• I 70 °C dell'Annex 1 6.10 sono un esempio, non un set point: la temperatura di esercizio è una scelta di progetto da giustificare.
• Sanitizzabilità, drenabilità e manutenibilità si guadagnano sul disegno e non si recuperano con le procedure.
• ASME BPE si richiama per Parte e per edizione contrattualmente fissata; ISO/DIS 25413 si monitora come progetto, non si applica.

Riferimenti

• EudraLex Volume 4, Annex 1 (C(2022) 5938 final), in operazione dal 25 agosto 2023 — punti 2.5(v), 6.1-6.15. health.ec.europa.eu
• EMA, Guideline on the quality of water for pharmaceutical use, EMA/CHMP/CVMP/QWP/496873/2018, in vigore dal 1 febbraio 2021. ema.europa.eu
• PIC/S PE 009-17 e Aide-Memoire PI 009-4 "Inspection of Utilities", rev. 4. picscheme.org
• WHO TRS 1033, Annex 3 (2021); ICH Q9(R1), Step 4 del 18 gennaio 2023.
• 21 CFR 211.48 Plumbing. ecfr.gov
• FDA, Guide to Inspections of High Purity Water Systems (1993) — riferimento per investigatori, non guidance for industry. fda.gov
• USP <1231> — capitolo informativo, non vincolante. ASME BPE, Parti SD, MM, PM, SF, MJ, DT, PI — edizione da fissare contrattualmente. ASTM E2500, A380/A380M, A967/A967M nelle edizioni correnti. ISPE Baseline Guide Vol. 4 "Water and Steam Systems", 3a ed., settembre 2019 — guida di settore.
• ISO/DIS 25413 — progetto in sviluppo, ballot DIS aperto il 21 luglio 2026; non applicabile come standard.