A cadeia de frio tem um piso: o congelamento que ninguém está vigiando

É uma tarde de terça-feira num centro regional de imunização em Manitoba, e a câmara fria de congelamento vem marcando −18 °C a semana toda sem disparar um único alarme. Nada no registro parece fora do normal — até que um teste de agitação de rotina num lote sinalizado dá positivo: congelou, depois descongelou, semanas atrás. Toda dose daquele lote agora é perda, e o próprio registro contínuo do freezer nunca acusou nada.

Ninguém pulou um protocolo, e ninguém ignorou um alarme — não havia alarme nenhum para ignorar. A maior parte do monitoramento de cadeia de frio é feita para pegar calor, não o congelamento que de fato aconteceu aqui — e o congelamento é uma falha generalizada e sistematicamente ignorada, sem nenhum sinal visível. Uma regra que só dispara acima de um teto é estruturalmente cega para a falha que acontece abaixo dele.

Este artigo é sobre esse piso: por que é uma falha generalizada e ignorada em medicamentos sensíveis à temperatura, por que ela fica invisível até virar forense, e os três guardiões que fecham essa brecha antes de perder um lote, não depois.

A cadeia de frio foi construída para vigiar o teto

Todo medicamento ou vacina sensível à temperatura viaja dentro de um corredor validado com duas bordas, não uma só — um teto e um piso. A prática de cadeia de frio passou décadas calibrada para proteger só o primeiro.

A revisão sistemática da PATH sobre exposição de vacinas ao congelamento encontrou que entre 14% e 35% dos refrigeradores e remessas examinados expuseram a vacina ao congelamento, e nos estudos que acompanharam cada trecho da distribuição, entre 75% e 100% das remessas tiveram pelo menos um episódio de congelamento (Matthias et al., Vaccine, 2007). A própria revisão é direta sobre o motivo: a prática se protege contra o calor "muitas vezes correndo o risco de exposição a temperaturas de congelamento" — um problema que ela mesma chama de amplamente ignorado.

O instinto não é irracional. O calor estraga as coisas de forma visível, então uma leitura morna é fácil de imaginar como uma falha. O congelamento não se anuncia da mesma forma, e o reflexo que protege numa direção deixa a outra direção desprotegida por padrão.

"Parece normal, já não vale nada"

A brecha piora porque o dano por congelamento não deixa sinal visual nenhum. Insulina que congelou e depois descongelou pode parecer completamente normal depois de descongelada e mesmo assim estar permanentemente degradada (American Diabetes Association, Safe Storage of Insulin, 2018). Para vacinas adsorvidas, a única forma de confirmar dano por congelamento depois do fato é o teste de agitação da OMS — preciso, mas feito depois que um congelamento já é suspeito, não uma forma de evitá-lo (OMS, How to monitor temperatures in the vaccine supply chain).

Essa é a armadilha operacional. Sem um monitoramento que vigie especificamente o lado do congelamento, o primeiro sinal é um teste de potência reprovado ou o teste de agitação de um técnico — lotes ou semanas depois de a dose já estar morta, não no momento em que isso aconteceu.

O piso de congelamento: três guardiões para o ponto cego

Vigiar o piso não é mais um alarme parafusado na estrutura que já existe. São três coisas específicas que uma regra pensada só para calor não consegue fazer, estruturalmente.

1. Um limite de piso, não só um teto. Uma regra simétrica de limite inferior dispara no momento em que uma leitura cruza 0 °C, ou o piso próprio do produto — do mesmo jeito que uma regra de teto dispara com o calor. A maioria dos monitoramentos configurados nunca teve uma.
2. Uma sonda no produto, não só o sensor de ar da própria unidade. Uma geladeira ou um baú refrigerado reporta o próprio ar; o produto encostado na parede fria, no evaporador ou num gelo reciclável pode congelar enquanto a média da unidade mostra tudo certo. Os reguladores já apontam exatamente esse risco de posicionamento — a própria diretriz canadense de armazenamento de vacinas destaca o piso da geladeira, alertando que a vacina nunca deve ficar nas prateleiras da porta nem nas gavetas de verduras porque a temperatura perto dessas superfícies "não é estável" (Public Health Agency of Canada, Canadian Immunization Guide). A mesma lógica vale para um freezer de distribuição ou um baú refrigerado: o sensor da unidade fica na unidade, não no produto.
3. Um monitoramento de taxa de variação, não só um limite. Uma leitura caindo rápido em direção a zero é o sinal de que uma unidade está falhando ou uma porta está aberta, e isso aparece antes de o limite absoluto ser rompido — enquanto ainda dá para salvar, não só registrar a perda.

Por que o piso também é um achado de auditoria

No Canadá isso não é só um risco operacional — é uma questão de Boas Práticas de Fabricação. A diretriz da Health Canada sobre controle ambiental de medicamentos (GUI-0069) exige que geladeiras e freezers de armazenamento tenham sensores para monitoramento contínuo em qualquer ponto onde a temperatura tenha mais chance de desviar, e exige que veículos e contêineres de transporte sejam mapeados termicamente e monitorados da mesma forma.

Um desvio não é automaticamente desqualificante — a Health Canada permite aceitar um desvio com justificativa científica documentada. Mas um desvio que ninguém detectou é um problema diferente: não existe registro para justificar nem dado para investigar.

Diferente da UE, o Canadá não separa isso num regime distinto de "Boas Práticas de Distribuição". Distribuidores e atacadistas respondem ao mesmo marco de BPF que os fabricantes (Health Canada, política de fiscalização de BPF e licenciamento de estabelecimentos), então uma brecha encontrada num depósito ou numa transportadora é um achado relevante para BPF, não uma falha menor restrita à distribuição.

O registro que um auditor realmente quer também não é uma média diária. A temperatura cinética média (MKT) — uma temperatura "efetiva" ponderada por Arrhenius que sempre marca igual ou acima da média aritmética — combinada com o tempo fora da faixa mostra o estresse térmico acumulado, a mesma combinação por trás de um registro defensável de cadeia de frio (ICH Q1A; USP General Chapter <1079.2>). Um relatório que só entrega um mínimo/máximo não fala a língua de que a decisão de disposição precisa.

Uma autoauditoria rápida para a sua cadeia de frio

• O seu monitoramento tem um alerta de piso, ou só de teto — uma leitura de −0,5 °C dispararia alguma coisa?
• Pelo menos uma sonda está no produto — uma caixa, uma bandeja, um rack de frascos — ou só no sensor de ar da própria unidade?
• Uma taxa de variação rápida em direção a zero seria sinalizada antes de o limite absoluto ser cruzado, ou só depois?
• Se um auditor pedisse amanhã o mapeamento de temperatura do transporte, do jeito que a GUI-0069 espera, você conseguiria entregar — ou só o do armazenamento?
• O seu registro exportável é MKT e tempo fora da faixa, ou uma média diária que pode esconder um desvio breve mas real?

Se alguma resposta ficou fraca, é dali que vai vir o próximo congelamento silencioso — e cada uma delas dá para corrigir antes de perder um lote, não depois.

Como a Navixy faz isso, sem prometer além da conta

Nada disso depende de uma marca de sensor específica — o piso é uma disciplina que você pode exigir de qualquer sistema de monitoramento, calibrado e posicionado corretamente. Para ser concreto sobre o mecanismo: a Navixy configura o piso de congelamento como uma regra de limite inferior no IoT Logic, rodando junto com qualquer regra de teto que provavelmente já existe, avaliada contra uma sonda posicionada na carga ou no rack, em vez de só o ar de retorno da própria unidade.

O mesmo fluxo monitora a inclinação também. Uma regra de taxa de variação pega uma leitura caindo rápido em direção a zero — um compressor falhando, uma porta aberta, um refrigerante esgotado — enquanto ainda dá tempo de mover o produto, não só registrar o que aconteceu com ele.

O IoT Query transforma a série contínua em temperatura cinética média e tempo fora da faixa por remessa ou unidade de armazenamento, e exporta tudo via API aberta para um sistema de qualidade — a mesma lógica de registro defensável construída para produtos frescos, adaptada aqui para uma trilha de auditoria de BPF em vez de uma disputa de boa entrega.

A Navixy produz o registro que a diretriz de monitoramento contínuo da Health Canada exige; ela não certifica conformidade com BPF. Essa determinação continua sendo do fabricante, do distribuidor e do sistema de qualidade deles — o papel da plataforma é garantir que os dados de que essas funções precisam foram realmente capturados, piso incluído.

Seu próximo passo

Não espere um teste de agitação para te contar o que já aconteceu. Verifique se o seu monitoramento tem um piso além de um teto: uma regra de limite inferior, uma sonda no produto, e um monitoramento de taxa de variação na queda. Se a resposta for não, essa é a brecha que o próximo congelamento silencioso vai encontrar primeiro.