Il report mostra «ciclo completato», ma una sonda indipendente segnala un ritardo, l'orologio del registratore non coincide con quello del PLC e l'operatore annota un allarme scomparso dalla schermata. La domanda da risolvere non è se la macchina abbia terminato la sequenza: è se esistano evidenze affidabili che il carico abbia ricevuto il processo validato e sia rimasto nelle condizioni richieste fino allo scarico.
1. Separare controllo, registrazione e verifica
Il controllo regola il processo; la registrazione conserva ciò che è accaduto; la verifica valuta se i dati soddisfano i criteri applicabili. Queste funzioni possono condividere componenti, ma le dipendenze devono essere comprese. Due valori identici sullo schermo non costituiscono necessariamente due misure indipendenti: potrebbero derivare dallo stesso sensore, dalla stessa conversione o dal medesimo canale.
[QRM] Definire per ogni parametro la funzione svolta e l'effetto del suo guasto. Valutare cosa accade se il sensore rimane bloccato su un valore plausibile, se la registrazione si interrompe o se il collegamento restituisce l'ultimo valore valido. Le risposte devono essere progettate e provate, senza affidarsi alla sola presenza di un allarme generico.
Una matrice utile collega parametro, punto di misura, strumento, ruolo nel controllo, ruolo nel record e criterio di accettazione. Essa permette di individuare dipendenze nascoste e di scegliere gli strumenti di validazione. L'indipendenza necessaria deve essere coerente con criticità e architettura, non con il numero di curve stampate.
2. Misurare la temperatura dove risponde alla domanda
La temperatura di camera descrive una condizione del mezzo; la temperatura nel carico descrive la risposta termica dell'oggetto misurato. Nel caso di liquidi, la posizione della misura nel contenitore influenza l'interpretazione della penetrazione. Per materiali porosi e parti, occorre considerare contatto del mezzo e geometrie difficili. Nessuna singola posizione può essere dichiarata rappresentativa senza evidenze.
Durante la validazione, gli studi di distribuzione e penetrazione identificano punti significativi e variabilità. Questi risultati sostengono la scelta delle misure ordinarie. Non significa installare una sonda permanente in ogni punto studiato: significa dimostrare il collegamento tra controllo di routine, configurazione del carico e prestazione validata.
[REGULATORY REQUIREMENT] EU GMP Annex 1, § 8.51, richiede una giustificazione delle posizioni delle sonde utilizzate per controllo e registrazione e una verifica in validazione con una sonda indipendente nella stessa posizione. Il requisito sostiene la comparabilità delle misure; non prescrive una quantità universale di sensori per ogni sterilizzatore.
3. Interpretare la pressione nel contesto corretto
Nei cicli a vapore, temperatura e pressione possono fornire informazioni complementari sulle condizioni del mezzo. La loro correlazione richiede misure affidabili, convenzioni chiare e comprensione del processo. Distinguere pressione assoluta da pressione relativa: confrontare dati basati su riferimenti diversi può generare una falsa deviazione o nascondere un'incoerenza reale.
La pressione di camera non dimostra da sola l'assenza di aria nel carico. Un sistema può raggiungere il valore previsto mentre persistono condizioni locali sfavorevoli al contatto del vapore. La strategia di rimozione dell'aria e le prove pertinenti devono quindi restare parte della dimostrazione del processo.
Per cicli di liquidi con sovrapressione, il significato della pressione differisce da quello di un ciclo a vapore saturo per carichi porosi. La protezione del contenitore e il trasferimento termico devono essere valutati secondo l'architettura specifica. Non applicare automaticamente una verifica di correlazione progettata per un'altra tecnologia.
4. Misurare il tempo come parte della sequenza
Il tempo di esposizione deve iniziare quando sono soddisfatte le condizioni previste dal ciclo validato. Il raggiungimento del setpoint da parte del sensore di controllo non prova necessariamente che tutto il carico abbia raggiunto la condizione richiesta. La logica di fase deve riflettere la strategia sviluppata e verificata.
Documentare l'origine temporale degli eventi, l'unità di misura e la sincronizzazione tra PLC, registratore, historian e sistema di gestione dei lotti. Piccoli disallineamenti possono diventare importanti quando si deve capire se un allarme preceda o segua il termine dell'esposizione. Il record deve conservare informazioni sufficienti per ricostruire la sequenza.
Intervallo di campionamento e frequenza di archiviazione non sono necessariamente uguali. Un sistema può acquisire frequentemente e salvare soltanto medie più distanziate. Valutare se questa trasformazione nasconde variazioni significative. La scelta deve derivare dalla dinamica del processo e dall'uso previsto dei dati, con criteri documentati.
5. Calcolare la letalità senza perdere le ipotesi
La letalità equivalente deriva dall'integrazione della storia termica secondo un modello dichiarato. Per ogni calcolo conservare temperatura di riferimento, valore z, unità temporale, dati utilizzati e regole applicate ai punti mancanti. Un numero finale privo di questi elementi non è pienamente interpretabile né confrontabile con altri calcoli.
F0 è associato a convenzioni specifiche per il moist heat; non equivale al semplice tempo durante il quale la camera resta al setpoint. La guida EMA del 2019 definisce F0 rispetto a 121 °C e z pari a 10 °C. Se un sistema o un metodo adotta una diversa convenzione di riferimento, occorre dichiararla e riconciliarla prima di confrontare risultati.
[GUIDEGXP RECOMMENDATION] Verificare il calcolo con serie di dati controllate: temperatura costante, profilo variabile, punto mancante, unità temporale diversa e interruzione dell'acquisizione. Confrontare l'implementazione con un calcolo indipendente approvato. La verifica del software non sostituisce la giustificazione scientifica del modello o del target del processo.
Un target raggiunto su un sensore non dimostra automaticamente la prestazione in tutte le posizioni del carico. Inoltre, una letalità calcolata non rende irrilevanti condizioni di contatto del mezzo, integrità del contenitore o protezione successiva. La valutazione deve comprendere tutti i criteri applicabili al ciclo.
6. Distinguere parametri, indicatori e risultati
| Evidenza | Che cosa sostiene | Che cosa non dimostra da sola |
|---|---|---|
| Temperatura registrata | Storia termica nel punto misurato | Esposizione di ogni posizione del carico |
| Pressione registrata | Andamento della pressione nel sistema | Assenza di aria in ogni geometria |
| Indicatore chimico | Risposta alle condizioni per cui è progettato | Sterilità del materiale |
| Indicatore biologico | Risposta del challenge microbiologico selezionato | Adeguatezza dell'intera caratterizzazione fisica |
| Stato «completato» | Esito della logica implementata | Accettazione automatica di ogni requisito GMP |
| Test endotossine | Risultato analitico nel campione e metodo definiti | Controllo di tutti i possibili pirogeni |
La forza dell'evidenza dipende dalla coerenza dell'insieme. Un indicatore biologico soddisfacente non annulla una deviazione critica dei parametri fisici. Un indicatore chimico cambiato non autorizza lo scarico come materiale sterile. Le regole di interpretazione devono essere definite prima dell'esecuzione e comprese dagli operatori.
7. Progettare allarmi che sostengano una decisione
Separare avvisi operativi, anomalie della macchina e fallimenti del processo. Un avviso di manutenzione può non compromettere il ciclo corrente; una perdita di misura critica può rendere impossibile dimostrare la conformità anche se la macchina continua. La classificazione deve derivare dall'effetto, non dal colore scelto nell'interfaccia.
Per ogni evento specificare soglia, ritardo, fase applicabile, azione automatica, registrazione, riconoscimento e condizione di reset. Valutare le conseguenze di soglie modificabili o allarmi disabilitati. Le impostazioni critiche devono essere controllate e le modifiche rintracciabili.
Provare la risposta in condizioni realistiche. Simulare un guasto non significa soltanto forzare un messaggio sullo schermo: occorre verificare stato della sequenza, comportamento delle valvole o del nastro, persistenza dei dati e indicazione dell'esito. Includere il recupero dopo l'evento, perché è spesso il momento in cui si perde la tracciabilità.
8. Costruire un cycle record revisionabile
Il record deve identificare apparecchiatura, ciclo, ricetta e versione, data, operatori e carico. Deve riportare parametri effettivi, eventi rilevanti, esito e riferimenti delle eventuali deviazioni. Se alcuni dati risiedono in sistemi separati, il collegamento deve essere stabile e utilizzabile durante la revisione.
Una rappresentazione grafica facilita la lettura, ma non sostituisce i dati originali e i metadati necessari. Conservare le informazioni con cui il grafico è stato costruito e documentare filtri, medie o arrotondamenti. L'esportazione in PDF non prova, da sola, che il record elettronico sia completo.
Definire chi esegue la revisione operativa e chi valuta le eccezioni. Il processo deve intercettare anche eventi non riassunti nel messaggio finale. Una revisione per eccezione richiede regole affidabili, validate e mantenute; non può consistere nel leggere soltanto un indicatore verde.
9. Esempio: discordanza tra due sonde
In un esempio illustrativo, il sensore di controllo raggiunge regolarmente la fase di esposizione mentre il canale di registrazione mostra un andamento più lento. Il team conserva entrambi i dati e verifica identificazione, posizione, configurazione, taratura e sincronizzazione. Non sceglie la curva più favorevole per dichiarare conforme il ciclo.
Se la discordanza deriva da un canale configurato con un filtro diverso, occorre valutarne l'effetto sui cicli già eseguiti e correggere la configurazione tramite change control. Se invece emerge un problema fisico, la riparazione deve essere accompagnata dalle verifiche necessarie. In entrambi i casi la decisione sul materiale resta distinta dalla riparazione tecnica.
La conclusione documenta quale dato è affidabile, su quali evidenze e con quali limiti. Se l'informazione disponibile non permette di dimostrare il processo richiesto, l'assenza di un allarme non colma la lacuna. L'indagine deve riconoscere l'incertezza invece di trasformarla in una conformità presunta.
10. Taratura e gestione delle misure fuori tolleranza
La taratura deve coprire l'uso previsto dello strumento, includendo i punti rilevanti del campo operativo e la catena di misura pertinente. Una verifica del solo sensore può non comprendere errori introdotti da trasmettitore, conversione o configurazione. Stabilire cosa viene verificato e cosa resta escluso.
La frequenza deriva da criticità, stabilità, condizioni d'impiego, storia e requisiti applicabili. Non usare un intervallo fisso come sostituto della valutazione. Una deriva inattesa richiede un'indagine che consideri l'ultimo stato noto affidabile, l'entità dell'errore e le decisioni basate su quella misura.
La valutazione retrospettiva deve identificare cicli potenzialmente coinvolti e informazioni complementari disponibili. Una seconda misura può essere utile solo se la sua indipendenza e affidabilità sono dimostrate. Conservare il ragionamento e i dati: correggere il sensore risolve il futuro, non chiarisce automaticamente il passato.
11. Monitorare la prestazione nel tempo
Il trending può confrontare tempi di riscaldamento, stabilità dell'esposizione, comportamento del vuoto, asciugatura, raffreddamento e frequenza degli allarmi. Confrontare carichi e ricette omogenei, distinguendo cambiamenti pianificati da anomalie. Una media complessiva di configurazioni diverse può nascondere un deterioramento specifico.
Definire segnali di attenzione prima del superamento dei criteri di accettazione, quando la conoscenza del processo lo consente. Questi segnali sostengono l'indagine e la manutenzione, ma non devono essere confusi con nuovi limiti di rilascio non approvati. Ogni modifica ai criteri operativi richiede il percorso documentale previsto.
Il controllo ordinario e la riqualifica rispondono a esigenze complementari. I dati di routine mostrano il comportamento quotidiano; studi periodici o successivi a modifiche verificano aspetti che la misura ordinaria non osserva direttamente. Una buona serie storica non autorizza a ignorare una verifica richiesta dalla strategia validata.
12. Checklist di revisione tecnica
Prima di approvare il sistema di monitoraggio, verificare la relazione tra punti misurati e prestazione del carico, la tracciabilità degli strumenti, le dipendenze tra canali e la completezza del record. Controllare anche unità, orologi, acquisizione, archiviazione e comportamento in caso di perdita di alimentazione. Ogni elemento deve contribuire a una decisione concreta.
Le principali red flag sono curve senza identificazione, valori medi senza dati di origine, letalità senza parametri del modello, allarmi cancellati e ricette prive di versione. Un monitoraggio efficace rende ricostruibile il ciclo e chiarisce i limiti delle evidenze disponibili. È questa capacità, oltre alla qualità della strumentazione, che sostiene una revisione affidabile.
Per rendere la revisione sostenibile, preparare un esempio approvato di record completo e uno con deviazioni rappresentative. La formazione deve mostrare quali elementi controllare e quando fermare la valutazione per richiedere un approfondimento. Verificare che l'operatore sappia distinguere il riconoscimento di un allarme dalla sua risoluzione e dall'accettazione del materiale.
Conservare anche una matrice delle responsabilità tra produzione, ingegneria, microbiologia, automazione e qualità. Le anomalie attraversano spesso più discipline: una curva incoerente può derivare da una misura, da una trasformazione dei dati o dal processo reale. Una responsabilità chiara riduce il rischio che ogni gruppo consideri il problema già valutato da un altro.
Riferimenti e percorsi
Fonti verificate il 23 settembre 2026: EU GMP Annex 1 e Annex 11; EMA, linea guida sulla sterilizzazione, 2019; ISO 11140-1:2014, catalogo ufficiale. Le indicazioni operative originali devono essere adattate al processo validato.
Consulta Sterilization & Depyrogenation Systems, sviluppo dei cicli moist heat, automation e data integrity e Critical Utilities Systems.
