Une sonde se remplace, un modèle se met à jour, une liaison se coupe. Le référentiel demande que le dossier dise ce qui prend le relais pendant ce temps, et cette réponse se rédige au cadrage plutôt que le jour où la question se pose.
ICH Q13 range le plan de continuité parmi les informations attendues au dossier dès qu’un modèle est associé à une procédure analytique de libération : des contrôles et une surveillance de substitution prévus pour le moment où le modèle n’est pas disponible, par exemple lorsqu’une lacune apparaît dans les données PAT ou en cas de défaillance de l’équipement PAT (tableau 1, sections 3.2.S.4 et 3.2.P.5).
Le § 4.2 ajoute l’exemple qui parle à tout le monde, et il le pose dans le cadre du RTRT : le recalibrage d’une sonde proche infrarouge. Une mise à jour de modèle est une période pendant laquelle la méthode change de version.
Une installation qui a préparé cette réponse traverse ces périodes avec une conduite écrite. Voici ce que contient cette page-là.
En bref
Six réponses écrites avant la mise en service : le critère qui déclare la mesure indisponible et qui le prononce, le contrôle qui prend le relais, le sort de la matière produite pendant la période, la condition de retour en service, la trace, et le seuil de fréquence qui ouvre une investigation. Elles tiennent sur une page.
Ce que le texte demande, section par section
Et le tableau 1 le demande à deux endroits, pas à un seul. Une ligne plus haut, aux sections 3.2.S.2.4 et 3.2.P.3.4, il attend déjà, pour les modèles de procédé employés dans la stratégie de maîtrise, les informations garantissant leur application correcte « including contingency plan when the model is not available ». Un modèle de libération et un modèle de pilotage appellent donc chacun le leur, et ils ne se rédigent pas au même endroit du dossier.
La règle générale, elle, est un cran plus haut. Au § 3.1.5, Process Monitoring and Control, le texte demande que l’évaluation du risque associé aux lacunes de données détermine si des méthodes de substitution se justifient, et il nomme trois exemples : le recalibrage d’un capteur PAT, le réapprovisionnement d’un système d’alimentation, la défaillance d’un composant. C’est cette phrase qui couvre les quatre situations ci-dessous, et non la seule ligne du tableau.
Quatre situations, et elles appellent des réponses différentes
Le mot « indisponible » recouvre quatre états que le système connaît très différemment. Les distinguer est ce qui permet d’écrire une conduite à tenir plutôt qu’une consigne générale.
| Situation | Ce que le système sait encore | Ce qui prend le relais |
|---|---|---|
| Maintenance programmée changement de source, nettoyage du hublot, requalification périodique | Tout, hors de la fenêtre d’intervention, dont la date est connue à l’avance | Le plan de production, qui place la fenêtre hors campagne. Aucune matière concernée tant que la fenêtre est tenue |
| Mise à jour du modèle | L’instrument mesure. La version en vigueur reste celle d’avant tant que la nouvelle n’est pas approuvée | La version en vigueur, ou le contrôle de substitution si la matière en cours sort de son domaine |
| Sortie de domaine | Beaucoup : le T² de Hotelling et le résidu Q disent que l’échantillon présenté n’est pas celui que le modèle connaît | Le contrôle de confirmation, et une investigation procédé si la sortie se répète |
| Arrêt de l’équipement panne, coupure de communication, alimentation | Rien sur la période concernée, et c’est ce qui la rend la plus exigeante | Le contrôle de substitution, avec son plan d’échantillonnage, pour toute la matière produite pendant la période |
Les trois premières lignes se planifient. La quatrième est la seule qui arrive sans prévenir, et c’est pour elle que le plan existe.
Ce qu’un plan de continuité contient
Six réponses écrites, et elles tiennent sur une page. Chacune se décide avec la production, le contrôle qualité et l’assurance qualité, avant la mise en service.
- Le critère qui déclare la mesure indisponible, et qui le prononce. Un seuil sur un indicateur de diagnostic, une alarme instrument, une absence de donnée pendant une durée définie. Tant que le critère reste implicite, la décision se prend à chaud.
- Le contrôle qui prend le relais, nommé. Sa méthode, son plan d’échantillonnage et le temps de réponse qu’il demande. C’est souvent le contrôle au laboratoire qui reprend la main, et il le fait d’autant mieux que sa méthode est restée à jour.
- Le sort de la matière produite pendant la période. Libérée sur le contrôle de substitution, mise en attente, ou écartée du flux collecté selon le mode de fabrication.
- La condition de retour en service. Ce qui se vérifie, sur combien de lots ou de minutes, et qui prononce la reprise.
- La trace. Période, motif, contrôles substitués, décision prise et par qui. C’est ce qui se relit à l’inspection.
- Le seuil de fréquence. Au-delà d’un nombre d’occurrences sur une période, la situation ouvre une investigation. Écrire ce seuil évite d’avoir à en débattre au moment où il est franchi.
Ces six réponses sont aussi ce qui permet de chiffrer ce qu’une journée sans mesure représente, et donc de décider si une redondance se justifie. La décomposition d’un coût de contrôle.
Le cas du recalibrage, que le référentiel nomme
ICH Q13 cite le recalibrage d’une sonde proche infrarouge comme exemple de lacune de collecte dont le risque s’évalue — au § 4.2, au titre du développement de la collecte de données pour un RTRT, et la stratégie de maîtrise proposée doit alors prévoir les contrôles qualité de substitution ou supplémentaires. La raison est précise : pendant la mise à jour, la méthode analytique change de version, et une version est ce sur quoi une libération s’appuie.
Trois points se règlent avant, et ils relèvent de la gestion des changements autant que de la technique.
- La version en vigueur reste identifiée pendant toute l’opération, et l’ancienne reste restituable après. Les principes ALCOA+ s’appliquent au modèle comme à toute donnée. Ce qu’une déclaration de conformité laisse à votre charge.
- La production continue sur le contrôle de substitution si la matière en cours sort du domaine de la version en vigueur. C’est le seul cas où une mise à jour devient pressante, et c’est celui qui se prépare le mieux.
- La comparaison des performances avant et après fait partie du dossier de mise à jour, au même titre que les données qui ont motivé la décision. Ce qu’entretenir un modèle demande.
Ce que la continuité change à la conception
Une installation conçue avec son plan de continuité se reconnaît à quatre choix, tous faits au cadrage.
- Le repli est prévu d’un cran. Une mesure qui pilote redevient une mesure qui documente le temps de l’interruption. Le niveau d’ambition inférieur reste exploitable, et il est déjà décrit. Les trois niveaux d’ambition.
- La donnée absente ou douteuse porte un marqueur. Un blanc, une valeur à zéro et une valeur signalée comme non valide se traitent différemment en aval, et le choix se fait à l’acquisition. Où la mesure arrive, et qui la relit.
- La redondance se décide sur un calcul. Une seconde sonde, un instrument de remplacement mis à disposition par le contrat de service, ou le contrôle hors ligne : les trois se comparent sur la même base. Et redondance et sauvegarde répondent à deux questions distinctes : un ensemble en miroir couvre le matériel, une sauvegarde tenue à l’écart couvre ce qui se propage. Le modèle, sa configuration et ses jeux de calibration se gardent donc hors du dispositif redondé. Ce qu’un contrat de service achète réellement.
- Le protocole de vérification en conditions réelles sert aussi au retour en service. Écrit une fois pour la qualification de performance, il se rejoue après chaque intervention. Ce que la phase Déployer contient.
Questions fréquentes
Ce plan vaut-il hors fabrication continue ?
ICH Q13 l’attend au dossier pour la fabrication continue. En fabrication par lots, l’exigence est portée autrement : une méthode analytique qui soutient une décision de conformité a une conduite à tenir définie pour le moment où elle n’est pas disponible, et un auditeur la demande sous forme de procédure. L’écrire une fois sert dans les deux modes.
Combien de temps une installation fonctionne-t-elle sans sa mesure en ligne ?
Aussi longtemps que le contrôle de substitution tient la cadence de décision. C’est le rapport entre la fenêtre de décision et la durée de la méthode de remplacement qui donne la réponse, et il se calcule au cadrage. Quand ce rapport devient serré, la redondance se justifie d’elle-même.
Qui prononce l’indisponibilité, et qui prononce la reprise ?
Deux rôles nommés, avec une suppléance. En environnement réglementé, production, contrôle qualité et assurance qualité sont concernés, et une décision prise par un seul des trois se rediscute à l’audit suivant. Le plan gagne à nommer des fonctions plutôt que des personnes, pour survivre aux mouvements d’équipe.
Notre modèle sort du domaine plusieurs fois par semaine. Que dit cela ?
Que le domaine de validité a été établi sur une population plus étroite que la variabilité réelle, ou que le procédé a évolué depuis. Les deux se diagnostiquent sur les résidus et sur un matériau de contrôle stable. C’est une bonne nouvelle au sens propre : le dispositif de détection fait son travail, et il indique où enrichir le modèle.
Par où commencer quand rien n’est écrit ?
Par une page et une réunion. Les six réponses ci-dessus, posées avec la production et la qualité, constituent déjà un plan de continuité recevable. Le reste, redondance et protocole de retour en service, découle de ce que cette page aura révélé.
Dites-nous ce que votre production fait pendant une heure sans mesure. Nous vous dirons ce qu’il reste à écrire.
Quarante-cinq minutes suffisent pour situer les quatre situations sur votre installation, nommer le contrôle qui prend le relais et voir si une redondance se justifie sur vos chiffres.