Sistemi Pharmaceutical Water caldi, freddi e ozonizzati: trade-off di design e lifecycle

La scelta dell'architettura di distribuzione si consuma in poche settimane, fra la stesura della URS e la valutazione delle offerte tecniche, e vincola i vent'anni successivi: consumo energetico, carico manutentivo, disponibilità dell'utility, profilo di rischio microbiologico, competenze richieste a chi gestirà il sistema di notte e in agosto. Chi decide raramente ha davanti un confronto onesto fra loop caldo, loop a temperatura ambiente e loop ozonizzato, perché ogni interlocutore tende a presentare come "standard GMP" ciò che sa costruire meglio.

Il fraintendimento più frequente riguarda il punto di partenza normativo. L'Annex 1 al punto 6.10 chiede che il WFI sia stoccato e distribuito in modo da minimizzare la crescita microbica, e cita come esempio la circolazione costante sopra 70 °C. È un esempio contenuto in un testo normativo, non un set point obbligatorio: il requisito è il risultato — minimizzare la crescita microbica — non la temperatura con cui lo si ottiene. Confondere i due piani produce due errori speculari: imporre un loop caldo dove il razionale non lo sostiene, oppure adottare un loop a temperatura ambiente senza costruire la dimostrazione che quel risultato è comunque raggiunto e mantenuto.

Requisito, esempio, scelta ingegneristica

Separare i tre piani è ciò che rende difendibile il razionale di progetto.

• Requisiti (Annex 1, in operazione dal 25 agosto 2023). Il punto 6.7 chiede impianto progettato, qualificato, monitorato e mantenuto per prevenire la contaminazione microbiologica, con pendenza per il drenaggio e assenza di dead leg; il 6.8 chiede qualifica tenendo conto della variazione stagionale; il 6.9 impone flusso turbolento, con portata stabilita in qualifica e monitorata di routine; il 6.12 chiede sanitizzazione secondo uno schedule predeterminato e come azione rimediale dopo risultati fuori limite o specifica; il 6.13 chiede monitoraggio chimico e microbiologico regolare e continuativo, con alert level basati sui dati della qualifica iniziale e riesaminati periodicamente; il 6.15 chiede monitoraggio continuo, come TOC e conducibilità, per i sistemi WFI.
• Esempio citato in un testo normativo. La circolazione sopra 70 °C del punto 6.10, e il trattamento termico sopra 75 °C menzionato nel Q&A EMA/INS/GMP/443117/2017 (dal 1° agosto 2017), che lascia esplicitamente i tempi di contatto alla validazione del produttore. Sono riferimenti utili, non criteri di accettazione: se compaiono in una specifica di sito, ci compaiono perché il sito li ha adottati e giustificati.
• Scelta ingegneristica di sito. Tutto il resto: temperatura di esercizio, concentrazione di ozono, durata dei cicli, frequenza di sanitizzazione, posizione degli strumenti, logica di rilascio dei point of use. Nessuno di questi valori si copia da un altro impianto: si stabilisce, si giustifica su qualifica, dati storici e risk assessment, e si documenta.

Lo stesso Q&A EMA osserva che la RO opera tipicamente a temperatura ambiente e che questo costituisce un ambiente ideale per la formazione di biofilm. L'osservazione riguarda la generazione di WFI con metodi non distillativi, non la distribuzione: trasferirne il ragionamento al loop ambiente è un'inferenza ingegneristica legittima, da presentare come tale e non come un divieto regolatorio che non esiste.

Fra le fonti non vincolanti, USP <1231> (capitolo informativo, ufficiale dal 1° dicembre 2021) copre design, materiali, campionamento, validazione, controllo microbico e sanitizzazione, ozono incluso; ISPE Baseline Guide Vol. 4 Water and Steam Systems (3ª ed., settembre 2019) e ISPE Good Practice Guide Ozone Sanitization of Pharmaceutical Water Storage & Distribution Systems (2ª ed., ottobre 2024) sono guide di settore. La ISO/DIS 25413 su stoccaggio e distribuzione di PW e WFI è un progetto in sviluppo, con ballot DIS aperto dal 21 luglio 2026: può orientare una specifica, non può essere citata come standard applicabile.

Il perimetro del confronto

Il confronto ha senso solo a parità di perimetro. In tutte e tre le architetture restano invariati la qualità dell'acqua di alimentazione, la conformità alla monografia applicabile al point of use, il flusso turbolento del punto 6.9, l'assenza di dead leg, la drenabilità e il monitoraggio continuo per il WFI. Ciò che cambia è il meccanismo con cui si mantiene il controllo microbiologico nel serbatoio e nell'anello, e tutto ciò che quel meccanismo trascina con sé in materiali, strumentazione, utenze, procedure e competenze. Geometria dell'anello e finitura restano un capitolo a sé, trattato nella progettazione del distribution loop e in dead leg, pendenze e materiali.

Loop caldo

Il principio è la soppressione continua della proliferazione tramite mantenimento della temperatura: in esercizio normale l'anello opera già in condizioni sanitizzanti, quindi il controllo non dipende da un evento periodico ma dallo stato stazionario. Da qui la percezione di robustezza, fondata a condizione di riconoscere dove il meccanismo non arriva.

Ciò che si trascina dietro: coibentazione dell'intero circuito, gestione della dilatazione termica e dei supporti, selezione di pompe, tenute, guarnizioni e strumenti per la temperatura di esercizio, apporto termico continuo, e quasi sempre un raffreddamento all'utenza per i punti che non possono prelevare acqua calda. Aggiunge un rischio di ustione da gestire con protezioni e procedure, e sollecita la superficie in condizioni che rendono il monitoraggio del rouging parte del programma di lifecycle.

I punti critici sono tre. I rami raffreddati e le derivazioni ai point of use non sono alla temperatura dell'anello, ed è lì che si concentra il rischio residuo. La temperatura va dimostrata nel punto meno favorevole del circuito, non solo sulla linea di ritorno dove è comodo installare la sonda. Stratificazione nel serbatoio e comportamento dopo un prelievo consistente vanno caratterizzati in qualifica, perché è nel transitorio di recupero che il presunto stato stazionario si rivela tale o no. Un loop caldo non è sterile e non esonera dal monitoraggio del punto 6.13: cambia il profilo di rischio, non l'obbligo.

Loop a temperatura ambiente con sanitizzazione periodica

Il principio è opposto e altrettanto legittimo: nessuna barriera termica continua, controllo affidato al design — turbolenza, drenabilità, assenza di ristagni, materiali e finitura, geometria dei point of use — combinato con una sanitizzazione ricorrente secondo lo schedule predeterminato richiesto dal punto 6.12. È l'architettura che rende l'acqua immediatamente utilizzabile all'utenza, elimina gli scambiatori di raffreddamento, riduce l'apporto termico e semplifica strumentazione e materiali.

Ciò che si trascina dietro è meno visibile ma non minore: indisponibilità pianificata, consumo di utenze, gestione dei reflui e soprattutto un onere di dimostrazione. Se il metodo è termico, tubazioni, valvole, guarnizioni, strumenti e filtri di sfiato devono sopportare i cicli, e il ciclo va progettato per raggiungere le condizioni volute nel punto meno favorevole. Se è chimico, servono verifica del risciacquo, limiti di residuo definiti dal sito con metodo analitico adeguato, compatibilità dei materiali e sicurezza dell'operatore.

Il punto critico dominante è la frequenza: parametro di sito, non dato di catalogo. Si stabilisce dalla cinetica di ricrescita osservata sul sistema reale, si conferma in qualifica delle prestazioni e si riesamina con il trending, come gli alert level del punto 6.13. Una frequenza copiata da un altro impianto è un'assunzione non verificata che regge finché non arriva la prima escursione. E l'intervallo fra due cicli è, per definizione, il periodo in cui il sistema è meno protetto: il piano di campionamento deve rilevare una deriva in quella finestra, non solo confermare l'efficacia subito dopo il ciclo.

Loop ozonizzato

Il principio è mantenere l'ozono disciolto nel serbatoio e, secondo il progetto, nell'anello — in continuo o secondo cicli programmati — e distruggerlo prima dell'uso. È un'architettura a temperatura ambiente che sostituisce la barriera termica con una barriera chimica reversibile, e va valutata con lo stesso rigore delle altre due: non è un compromesso, è una terza soluzione con vincoli propri. Quattro elementi vanno affrontati esplicitamente in fase di specifica.

• Rimozione del residuo prima dell'uso. L'acqua erogata al point of use non deve contenere ozono residuo. La distruzione avviene con unità dedicate a valle del tratto ozonizzato, dimensionate sul caso peggiore di portata e concentrazione, non sulla condizione nominale.
• Verifica della rimozione. La rimozione va dimostrata, non assunta: misura del residuo a valle dell'unità di distruzione, interlock che impedisce l'erogazione finché la condizione non è verificata, gestione del guasto o della deriva del sensore, conferma periodica con metodo indipendente. Limite di accettazione e metodo analitico sono stabiliti e giustificati dal sito. Il momento più delicato è il rientro in servizio dopo un ciclo o una manutenzione, quando la logica di rilascio dei point of use è l'unica barriera fra un residuo non distrutto e il prodotto.
• Materiali compatibili. L'acciaio inossidabile passivato non è il problema; lo sono elastomeri, guarnizioni, membrane di valvole, diaframmi, o-ring, componenti polimerici e strumenti a contatto. La compatibilità con l'ozono va verificata componente per componente sulla documentazione del fornitore e messa a specifica in acquisto, perché la sostituzione con un ricambio "equivalente" ma non compatibile è un evento di manutenzione ordinaria che degrada silenziosamente il sistema. Stato di passivazione e programma di cleaning restano governati dalle pratiche di riferimento (ASTM A967/A967M-25, ASTM A380/A380M-25) e dalla parte materiali di ASME BPE, la cui edizione applicabile va fissata contrattualmente.
• Parametri di ciclo stabiliti e qualificati dal sito. Concentrazione, tempo di contatto, frequenza, punti di iniezione e distribuzione dell'ozono nell'anello non sono dati universali: vanno definiti, giustificati e qualificati sull'impianto reale, dimostrando che la condizione voluta è raggiunta nei punti meno favorevoli. L'ozono si consuma lungo il percorso in funzione di carico organico, temperatura e materiali: la concentrazione misurata al serbatoio non è quella che agisce all'estremità dell'anello, e la qualifica deve chiudere questa distanza con dati, non con un'assunzione di uniformità.

Restano le conseguenze di sistema: generazione e dissoluzione dell'ozono, unità di distruzione con componenti soggetti a invecchiamento e quindi a un intervallo di sostituzione da giustificare, rilevazione in ambiente per la sicurezza del personale, automazione più articolata e più superficie da qualificare. Molti progetti ozonizzati mantengono comunque la capacità di eseguire una sanitizzazione termica o chimica come azione rimediale ai sensi del punto 6.12: scelta ragionevole, da decidere consapevolmente e non da scoprire mancante durante la prima investigazione.

I temi trasversali che decidono il progetto

Strumentazione e monitoraggio

Ogni architettura sposta il baricentro della strumentazione. Il loop caldo richiede sonde di temperatura posizionate per rappresentare il punto meno favorevole e non il più accessibile, e impone che il condizionamento del campione per l'analizzatore TOC — tipicamente un raffreddamento — sia esso stesso un tratto controllato, drenabile e incluso nel piano di campionamento. Il loop ambiente sposta il peso sul monitoraggio di TOC e conducibilità e sulla frequenza microbiologica. Il loop ozonizzato aggiunge analizzatori di ozono disciolto, con taratura e deriva propri, e rilevatori in ambiente. Il punto 6.15 resta valido in tutti i casi: è un requisito indipendente dall'architettura.

Allarmi, interlock e set point che governano il rilascio dell'acqua sono GMP-rilevanti: vanno qualificati, protetti, tracciati e modificati solo in change control. Un interlock di ozono disattivato "temporaneamente" per superare un allarme è un'osservazione ispettiva già scritta.

Point of use, raffreddamento e scambiatori

Il point of use è dove si paga il conto dell'architettura scelta. In un loop caldo, un'utenza che non può prelevare acqua alla temperatura dell'anello richiede un raffreddamento locale sulla derivazione oppure un sotto-anello raffreddato: in entrambi i casi nasce un segmento privo di protezione termica, che deve essere drenabile, sanitizzabile con lo stesso schedule del sistema principale e incluso nel piano di campionamento. In un loop ambiente o ozonizzato l'erogazione è diretta, ma la derivazione resta un volume che fra un prelievo e l'altro non è in circolazione. La regola non cambia con l'architettura: sanitizzazione e campionamento devono raggiungere il segmento terminale, altrimenti si protegge l'anello e non l'acqua effettivamente usata.

Gli scambiatori sono interfacce fra acqua a contatto con il prodotto e fluidi di servizio. Vanno progettati per rendere rilevabile una perdita — per esempio con doppia parete e intercapedine ispezionabile o monitorata — e per gestire il differenziale di pressione in modo che un'eventuale perdita non si diriga verso l'acqua farmaceutica; senso del differenziale e criteri di prova sono decisioni di progetto da fissare e verificare in qualifica. Vanno poi valutate drenabilità e sanitizzabilità con il metodo scelto, e la logica di funzionamento: un raffreddamento sempre attivo mantiene un tratto permanentemente fuori dalle condizioni dell'anello, uno su richiesta crea un volume stagnante fra un utilizzo e l'altro. Due profili di rischio diversi, entrambi gestibili, nessuno gratuito.

Energia e bilancio di esercizio

È la parte in cui circolano più numeri non verificabili. Non esiste un consumo tipico per architettura: esiste un bilancio da costruire sul sistema reale, mettendo in conto le perdite termiche del circuito coibentato e l'apporto necessario a compensarle, il calore rimosso agli scambiatori e il costo dell'utility fredda, la potenza di pompaggio necessaria a mantenere il regime turbolento richiesto dal punto 6.9 contro le perdite di carico effettive, l'energia dei cicli di sanitizzazione moltiplicata per la loro frequenza e, per l'architettura ozonizzata, generazione, eventuale alimentazione di ossigeno e unità di distruzione. Il confronto è significativo solo se le offerte usano lo stesso confine di bilancio, lo stesso profilo di prelievo, le stesse ore di esercizio e le stesse tariffe, e se ogni fornitore dichiara le assunzioni che generano i suoi numeri. Un valore senza assunzioni non è un dato: è un argomento di vendita, e va richiesto diversamente nella richiesta d'offerta.

Sanitizzazione, escursioni e recovery

Il punto 6.12 chiede la sanitizzazione in due modi: secondo schedule predeterminato e come azione rimediale. Le tre architetture rispondono diversamente al secondo caso. Nel loop caldo la condizione sanitizzante è la condizione normale: dopo un'escursione la domanda non è come ripristinare, ma che cosa è accaduto — perdita di temperatura, ramo escluso, intervento manutentivo, modalità di prelievo del campione. Nel loop a temperatura ambiente il recovery passa da un ciclo rimediale e dalla dimostrazione del ripristino, con un'indisponibilità governata dai tempi di incubazione microbiologica più che dalla durata del ciclo. Nel loop ozonizzato l'intensificazione è immediata, ma resta l'onere di dimostrare che la condizione è stata raggiunta nel punto interessato e che il residuo è stato rimosso prima del rientro in servizio.

Valgono in tutti i casi i punti 6.13 e 6.14: alert level basati sui dati della qualifica iniziale e riesaminati periodicamente, escursioni documentate, riviste e investigate, distinguendo evento isolato e trend avverso o deterioramento del sistema. Il Q&A EMA è esplicito sulla tentazione ricorrente: "Increasing of such limits is not good practice and may mask a failing system". La logica di blocco e rilascio dei point of use durante un'investigazione — quali utenze si fermano, con quali dati si rientra, chi autorizza — va definita in procedura prima dell'evento. Il dettaglio dei cicli e della loro dimostrazione è trattato nella qualifica dei cicli di sanitizzazione.

Complessità operativa e costo di ciclo di vita

Il costo di ciclo di vita non è il prezzo dello skid. Le voci vanno stimate con dati di sito e assunzioni dichiarate: investimento iniziale, incluse coibentazione, scambiatori e unità ozono; onere di qualifica e validazione, che cresce con il numero di strumenti, interlock e cicli da dimostrare; energia, secondo il bilancio descritto sopra; consumabili e ricambi, con attenzione ai componenti soggetti a invecchiamento e alle guarnizioni compatibili; indisponibilità pianificata per i cicli e non pianificata per le investigazioni, valorizzata sul costo della produzione fermata; competenze e formazione; periodic review e riqualifica lungo la vita utile.

Due asimmetrie contano. Un investimento iniziale più basso può imporre un onere ricorrente di dimostrazione più alto, e l'inverso è altrettanto vero. E la complessità operativa non è solo un costo: è un fattore di rischio, perché un sistema che richiede più decisioni corrette dall'operatore ha più modi per essere gestito male. Va pesata sulla realtà organizzativa del sito, non su quella ideale.

Matrice decisionale

I pesi vanno assegnati prima di guardare i punteggi e dipendono dal contesto: mercati serviti, criticità dei prodotti, layout, utenze disponibili, competenze presenti. La colonna dei pesi è volutamente vuota.

Esempio applicativo: Sito Delta

Sito Delta è un esempio didattico, non un impianto reale: forme sterili iniettabili e una linea di solidi orali, con un loop WFI che alimenta preparazione e riempimento e un loop PW che alimenta granulazione e lavaggio parti. La prima decisione utile è stata riconoscere che i due loop non devono avere la stessa risposta. Per il WFI il team ha pesato in alto la continuità del controllo microbiologico e la semplicità del recovery, motivandolo con la criticità del prodotto e il costo di un fermo del riempimento; per il PW ha pesato in alto la disponibilità dell'utility durante i turni e la compatibilità con utenze che prelevano a temperatura ambiente, arrivando a una risposta diversa. In entrambi i casi i pesi sono stati verbalizzati prima dei punteggi e il razionale è confluito nella URS e nel risk assessment, tracciato fino alla DQ.

La complicazione è arrivata da un'utenza del loop WFI che non poteva ricevere acqua calda. Il raffreddamento locale sulla derivazione è stato trattato come un sotto-sistema con proprio razionale: drenabilità, inclusione nello schedule di sanitizzazione, punto di campionamento dedicato, criterio di rilascio dopo fermo prolungato. È il punto in cui molti progetti perdono il vantaggio dell'architettura scelta, perché l'eccezione viene gestita come dettaglio impiantistico invece che come elemento della control strategy. Le decisioni collegate sono nell'hub Pharmaceutical Water & WFI Systems.

Errori frequenti e red flag

• Citare i 70 °C del punto 6.10 come requisito in URS, specifiche o protocolli: è un esempio, e presentarlo diversamente indebolisce l'intero documento.
• Adottare un loop ambiente senza costruire, con dati propri, la dimostrazione che la crescita microbica è comunque minimizzata.
• Copiare da un altro sito frequenza di sanitizzazione, temperatura di esercizio o parametri di ozonizzazione invece di qualificarli sul proprio sistema.
• Ozonizzare senza verifica documentata della rimozione del residuo al point of use, o con un interlock che nessuno ha qualificato.
• Verificare la compatibilità con l'ozono solo sull'acciaio, ignorando guarnizioni, membrane di valvole e componenti polimerici, e poi reintrodurre un ricambio non compatibile in manutenzione ordinaria.
• Misurare temperatura o ozono solo sulla linea di ritorno e dedurne la condizione dell'intero anello.
• Escludere derivazioni, sotto-anelli e scambiatori dallo schedule di sanitizzazione e dal piano di campionamento.
• Confrontare offerte energetiche costruite su confini di bilancio e profili di prelievo diversi, o modificare set point e logiche di interlock fuori dal change control.
• Trattare un loop caldo come "autosanitizzante" per ridurre il monitoraggio richiesto dal punto 6.13.

Red flag: nessuno sa dire su quale base è stata scelta l'architettura; la frequenza di sanitizzazione è in procedura ma senza razionale scritto; il bilancio energetico esiste in una sola versione senza assunzioni; la decisione era già presa e la matrice serve a giustificarla; nel team manca la microbiologia o la funzione che gestirà il sistema in esercizio.

Se lavori su decisioni di questo tipo, The Pragmatic GMP raccoglie analisi tecniche e regolatorie sui sistemi GMP con lo stesso taglio.

Key takeaway

• Il punto 6.10 dell'Annex 1 richiede che il WFI sia stoccato e distribuito in modo da minimizzare la crescita microbica; la circolazione costante sopra 70 °C è un esempio citato nel testo, non un set point obbligatorio.
• Nessuna delle tre architetture è universalmente superiore: cambiano meccanismo di controllo, punto debole tipico, percorso di recovery, materiali critici e distribuzione dei costi.
• Il punto 6.12 chiede sanitizzazione sia secondo schedule predeterminato sia come azione rimediale: vanno progettate entrambe.
• Per l'ozono quattro elementi sono obbligatori nel progetto: rimozione del residuo prima dell'uso, verifica documentata della rimozione, compatibilità verificata di tutti i componenti non metallici, parametri di ciclo stabiliti e qualificati dal sito.
• Il punto debole di ogni architettura sta al point of use e nelle derivazioni: sanitizzazione e campionamento devono raggiungerle.
• Il confronto energetico e di lifecycle vale solo con stesso confine di bilancio, stesso profilo di esercizio e assunzioni dichiarate da tutti i fornitori.
• I punti 6.13 e 6.15 restano validi in ogni architettura: nessuna scelta di design riduce l'obbligo di monitoraggio.

Riferimenti regolatori e tecnici

• EudraLex Volume 4, Annex 1 (C(2022) 5938 final), in operazione dal 25 agosto 2023 — punti 6.7-6.15. health.ec.europa.eu
• EMA/INS/GMP/443117/2017 Q&A Production of WFI by non-distillation methods, dal 1° agosto 2017; EMA/CHMP/CVMP/QWP/496873/2018, in vigore dal 1° febbraio 2021. ema.europa.eu
• USP, capitolo informativo <1231> Water for Pharmaceutical Purposes (ufficiale dal 1° dicembre 2021), che tratta anche la sanitizzazione con ozono; capitoli <643> e <645>.
• WHO TRS 1033, Annex 3 (2021) (who.int); WHO TRS 1025, Annex 3 (2020), che richiede sanitizzazione termica e/o chimica validata a intervalli fissati dal produttore.
• ISPE GPG Ozone Sanitization of Pharmaceutical Water Storage & Distribution Systems, 2ª ed., ottobre 2024; ISPE Baseline Guide Vol. 4 Water and Steam Systems, 3ª ed., settembre 2019 — guide di settore, non testi normativi.
• ISO/DIS 25413 Purified water (PW) and water for injection (WFI) storage and distribution systems — progetto in sviluppo, ballot DIS aperto dal 21 luglio 2026: non è uno standard pubblicato.
• ASME BPE — edizione applicabile da fissare contrattualmente; ASTM A967/A967M-25 e ASTM A380/A380M-25.
• PIC/S PI 009-4 Inspection of Utilities, rev. 4, dal 1° gennaio 2021 (picscheme.org); ICH Q9(R1), Step 4 il 18 gennaio 2023; FDA Guide to Inspections of High Purity Water Systems (1993), non vincolante (fda.gov).