La chaîne du froid a un plancher : le gel que personne ne surveille

C'est un mardi après-midi dans un dépôt régional de vaccination au Manitoba, et le congélateur affiche −18 °C toute la semaine sans la moindre alarme. Rien dans le registre ne paraît anormal — jusqu'à ce qu'un test d'agitation de routine sur un lot signalé revienne positif : gelé, puis dégelé, il y a des semaines. Chaque dose de ce lot est désormais perdue, et le relevé continu du congélateur lui-même ne l'a jamais signalé.

Personne n'a outrepassé un protocole, et personne n'a ignoré une alarme — il n'y en avait aucune à ignorer. La plupart des systèmes de surveillance de la chaîne du froid sont conçus pour repérer la chaleur, pas le gel qui s'est réellement produit ici — et le gel est une défaillance répandue et systématiquement négligée, sans signe visible. Une règle qui ne se déclenche qu'au-dessus d'un plafond est structurellement aveugle à la défaillance qui se produit en dessous.

Cet article porte sur ce plancher : pourquoi c'est une défaillance répandue et négligée dans les médicaments sensibles à la température, pourquoi elle reste invisible jusqu'à l'examen médico-légal, et les trois gardes-fous qui referment cet écart avant la perte d'un lot, pas après.

La chaîne du froid a été conçue pour surveiller le plafond

Tout médicament ou vaccin sensible à la température voyage dans un corridor validé à deux bords, pas un seul — un plafond et un plancher. Depuis des décennies, la pratique de la chaîne du froid est calibrée pour ne protéger que le premier.

La revue systématique de PATH sur l'exposition des vaccins au gel a constaté qu'entre 14 et 35 % des réfrigérateurs et des envois examinés exposaient les vaccins au gel, et que dans les études suivant chaque segment de la distribution, 75 à 100 % des envois subissaient au moins un épisode de gel (Matthias et al., Vaccine, 2007).

La revue est directe sur la raison : la pratique se protège contre la chaleur « souvent au risque de s'exposer à des températures de gel » — un problème qu'elle qualifie elle-même de largement négligé.

Le réflexe n'est pas irrationnel. La chaleur abîme les choses de façon visible, donc une lecture tiède est facile à percevoir comme une défaillance. Le gel ne s'annonce pas de la même manière, et le réflexe qui protège dans une direction laisse l'autre direction sans protection par défaut.

« Apparence intacte, dose déjà perdue »

L'écart s'aggrave parce que les dégâts du gel ne laissent aucun signe visuel. De l'insuline gelée puis dégelée peut paraître parfaitement normale après dégel tout en étant définitivement dégradée (American Diabetes Association, Safe Storage of Insulin, 2018). Pour les vaccins adsorbés, la seule façon de confirmer un dégât de gel après coup est le test d'agitation de l'OMS — précis, mais réalisé après qu'un gel est déjà suspecté, pas un moyen de le prévenir (OMS, How to monitor temperatures in the vaccine supply chain).

C'est là le piège opérationnel. Sans une surveillance qui observe spécifiquement le côté gel, le premier signal est un test de puissance en échec ou le test d'agitation d'un technicien — des lots ou des semaines après que la dose était déjà morte, pas au moment où c'est arrivé.

Le plancher de congélation : trois gardes-fous pour l'angle mort

Surveiller le plancher, ce n'est pas une alarme de plus boulonnée au dispositif existant. Ce sont trois choses précises qu'une règle pensée uniquement pour la chaleur ne peut pas faire, structurellement.

1. Un seuil plancher, pas seulement un plafond. Une règle symétrique à borne inférieure se déclenche dès qu'une lecture franchit 0 °C, ou le plancher propre au produit — de la même façon qu'une règle de plafond se déclenche sur la chaleur. La plupart des systèmes de surveillance configurés n'en ont jamais eu.
2. Une sonde dans le produit, pas seulement le capteur d'air de l'appareil. Un réfrigérateur ou un camion frigorifique ne mesure que son propre air ; le produit contre la paroi froide, l'évaporateur ou un bloc réfrigérant peut geler pendant que la moyenne de l'appareil affiche un résultat normal. Les régulateurs identifient déjà précisément ce risque de positionnement — la propre directive canadienne de conservation des vaccins cible le fond du réfrigérateur, avertissant que le vaccin ne doit jamais être placé dans les balconnets de la porte ni dans les bacs à légumes, car la température près de ces surfaces « n'est pas stable » (Public Health Agency of Canada, Canadian Immunization Guide). La même logique s'applique à un congélateur de distribution ou à un camion frigorifique : le capteur de l'appareil se trouve dans l'appareil, pas dans le produit.
3. Une surveillance de la vitesse de variation, pas seulement une limite. Une lecture qui chute rapidement vers zéro est le signe qu'un appareil est défaillant ou qu'une porte est ouverte, et cela apparaît avant que la limite absolue ne soit franchie — pendant qu'il est encore temps de sauver le produit, pas seulement de constater la perte.

Pourquoi le plancher est aussi un motif d'audit

Au Canada, ce n'est pas seulement un risque opérationnel — c'est une question de bonnes pratiques de fabrication (BPF). La directive de Santé Canada sur le contrôle environnemental des médicaments (GUI-0069) exige que les réfrigérateurs et congélateurs de stockage disposent de capteurs pour une surveillance continue partout où la température risque le plus de dévier, et exige que les véhicules et conteneurs de transport soient cartographiés thermiquement et surveillés de la même façon.

Un écart n'est pas automatiquement disqualifiant — Santé Canada permet d'en accepter un avec une justification scientifique documentée. Mais un écart que personne n'a détecté est un problème différent : il n'y a ni relevé à justifier ni donnée à examiner.

Contrairement à l'UE, le Canada ne sépare pas cela dans un régime distinct de « bonnes pratiques de distribution ». Distributeurs et grossistes répondent du même cadre de bonnes pratiques de fabrication que les fabricants (Santé Canada, politique d'application des BPF et des licences d'établissement), donc un écart constaté chez un dépôt ou un transporteur constitue un motif relevant des BPF, pas un simple manquement mineur limité à la distribution.

Le relevé qu'un auditeur veut réellement n'est pas non plus une moyenne quotidienne. La température cinétique moyenne (MKT) — une température « effective » pondérée selon Arrhenius, toujours égale ou supérieure à la moyenne arithmétique — combinée au temps hors plage montre le stress thermique cumulé, la même combinaison qui sous-tend un relevé défendable de chaîne du froid (ICH Q1A ; USP General Chapter <1079.2>). Un rapport qui ne livre qu'un min/max ne parle pas le langage dont la décision de disposition a besoin.

Un auto-audit rapide pour votre chaîne du froid

• Votre surveillance a-t-elle une alerte de plancher, ou seulement de plafond — une lecture de −0,5 °C déclencherait-elle quoi que ce soit ?
• Au moins une sonde est-elle dans le produit — un carton, un plateau, un rack de flacons — ou seulement sur le capteur d'air propre de l'appareil ?
• Une vitesse de variation rapide vers zéro serait-elle signalée avant que la limite absolue ne soit franchie, ou seulement après ?
• Si un auditeur demandait demain la cartographie de température du transport, comme l'exige GUI-0069, pourriez-vous la produire — ou seulement celle du stockage ?
• Votre relevé exportable est-il la MKT et le temps hors plage, ou une moyenne quotidienne qui peut masquer un écart bref mais réel ?

Si une seule réponse est fragile, c'est de là que viendra le prochain gel silencieux — et chacune de ces failles est corrigible avant la perte d'un lot, pas après.

Comment Navixy procède, sans surpromettre

Rien de tout cela ne dépend d'une marque de capteur en particulier — le plancher est une discipline que vous pouvez exiger de n'importe quel dispositif de surveillance, calibré et positionné correctement. Pour être concret sur le mécanisme : Navixy configure le plancher de congélation comme une règle à borne inférieure dans IoT Logic, fonctionnant aux côtés de la règle de plafond probablement déjà en place, évaluée par rapport à une sonde placée dans le chargement ou sur le rack plutôt que sur le seul air de retour de l'appareil.

Le même flux surveille aussi la pente. Une règle de vitesse de variation détecte une lecture qui chute rapidement vers zéro — un compresseur défaillant, une porte ouverte, un réfrigérant épuisé — pendant qu'il reste encore le temps de déplacer le produit, pas seulement de consigner ce qui lui est arrivé.

IoT Query transforme la série continue en température cinétique moyenne et en temps hors plage par envoi ou par unité de stockage, et l'exporte via une API ouverte vers un système qualité — la même logique de relevé défendable conçue pour les produits frais, adaptée ici à une piste d'audit BPF plutôt qu'à un litige de bonne livraison.

Navixy produit le relevé que réclame la directive de surveillance continue de Santé Canada ; Navixy ne certifie pas la conformité aux BPF. Cette détermination reste entre les mains du fabricant, du distributeur et de leur système qualité — le rôle de la plateforme est de garantir que les données dont ces acteurs ont besoin ont bien été captées, plancher compris.

Votre prochaine étape

N'attendez pas qu'un test d'agitation vous révèle ce qui s'est déjà produit. Vérifiez si votre surveillance a un plancher en plus d'un plafond : une règle à borne inférieure, une sonde dans le produit, et une surveillance de la vitesse de variation à la baisse. Si la réponse est non, c'est exactement la faille que le prochain gel silencieux trouvera en premier.