У холодовой цепи есть пол: заморозка, за которой никто не следит

Вторник, день, региональный склад иммунизации в Манитобе — морозильная камера всю неделю показывает −18 °C, и ни одной тревоги. В журнале ничего необычного — пока плановый тест встряхивания (шейк-тест) на одной помеченной партии не дает положительный результат: препарат замерз, а потом оттаял, недели назад. Каждая доза этой партии теперь — отходы, а собственная непрерывная запись морозильной камеры ни разу этого не показала.

Никто не нарушил протокол, и никто не проигнорировал тревогу — тревоги просто не было. Большая часть систем мониторинга холодовой цепи настроена ловить тепло, а не заморозку, которая произошла здесь на самом деле, — и заморозка остается широко распространенным, систематически упускаемым сбоем без видимого сигнала. Правило, которое срабатывает только выше потолка, структурно слепо к сбою, происходящему ниже.

Этот материал — про этот пол: почему это распространенный и упускаемый сбой в чувствительных к температуре лекарствах, почему он остается невидимым до экспертизы и какие три барьера закрывают разрыв до потери партии, а не после.

Холодовую цепь строили, чтобы следить за потолком

Любой чувствительный к температуре препарат или вакцина едет внутри валидированного коридора с двумя границами, а не одной — потолком и полом. Практика холодовой цепи десятилетиями была настроена защищать только первую границу.

Систематический обзор PATH по воздействию заморозки на вакцины показал: от 14 до 35% изученных холодильников и поставок подвергали вакцину заморозке, а в исследованиях, охвативших каждый участок дистрибуции, от 75 до 100% поставок сталкивались хотя бы с одним эпизодом заморозки (Matthias et al., Vaccine, 2007). Сам обзор прямо называет причину: практика защищается от тепла «часто ценой риска подвергнуться температурам заморозки» — и характеризует эту проблему как широко упускаемую из виду.

Такой рефлекс небезоснователен. Тепло портит вещи заметно, поэтому теплые показания легко представить как сбой. Заморозка не заявляет о себе так же явно, и рефлекс, защищающий от одного направления, по умолчанию оставляет без защиты другое.

«На вид все в порядке — но уже ни на что не годится»

Разрыв усугубляется тем, что повреждение от заморозки не оставляет визуальных следов. Инсулин, который заморозили, а потом разморозили, может выглядеть совершенно нормально после разморозки и при этом быть безвозвратно испорченным (American Diabetes Association, Safe Storage of Insulin, 2018). Для адсорбированных вакцин единственный способ подтвердить повреждение от заморозки постфактум — тест встряхивания ВОЗ: точный, но выполняемый после того, как заморозка уже заподозрена, а не способ ее предотвратить (ВОЗ, How to monitor temperatures in the vaccine supply chain).

В этом и заключается операционная ловушка. Без мониторинга, который отдельно следит за стороной заморозки, первым сигналом становится провалившийся тест активности или тест встряхивания, который проводит техник, — иногда через несколько партий, а иногда лишь через недели после того, как доза уже была мертва, а не в момент, когда это произошло.

Пол холодовой цепи: три барьера для слепой зоны

Защита пола — это не еще одна тревога, прикрученная к существующей настройке. Это три конкретные вещи, которые правило, рассчитанное только на тепло, структурно не способно сделать.

1. Нижний порог, а не только потолок. Симметричное правило нижней границы срабатывает в момент, когда показание пересекает 0 °C или собственный нижний предел продукта, — точно так же, как правило верхней границы срабатывает на тепло. У большинства настроенных систем мониторинга такого правила никогда не было.
2. Датчик в самом продукте, а не только на воздушном сенсоре блока. Холодильник или рефрижератор показывает температуру собственного воздуха; продукт у холодной стенки, у испарителя или рядом с хладоэлементом может замерзнуть, пока среднее по блоку выглядит нормально. Регуляторы уже называют именно этот риск размещения: канадское руководство по хранению вакцин отдельно предупреждает про пол холодильника — вакцину нельзя держать на полках дверцы или в контейнерах для овощей, потому что температура у этих поверхностей «нестабильна» (Public Health Agency of Canada, Canadian Immunization Guide). Та же логика применима к распределительному морозильнику или рефрижератору: датчик блока находится в блоке, а не в продукте.
3. Контроль скорости изменения, а не только предела. Быстрое падение показаний к нулю — это признак того, что блок выходит из строя или открыта дверь, и он проявляется до того, как нарушен абсолютный предел, — пока ситуацию еще можно спасти, а не только зафиксировать потерю.

Почему пол холодовой цепи — это еще и предмет аудита

В Канаде это не только операционный риск — это вопрос надлежащей производственной практики (GMP). Руководство Health Canada по контролю условий хранения лекарств (GUI-0069) требует, чтобы складские холодильники и морозильники имели датчики для непрерывного мониторинга везде, где температура наиболее вероятно отклонится, и требует такого же температурного картирования и мониторинга для транспортных средств и контейнеров.

Отклонение не дисквалифицирует автоматически — Health Canada допускает его принятие при документированном научном обосновании. Но необнаруженное отклонение — совсем другая проблема: нет ни записи, которую нужно обосновывать, ни данных для расследования.

В отличие от ЕС, Канада не выделяет это в отдельный режим «надлежащей дистрибьюторской практики». Дистрибьюторы и оптовики отвечают по тому же GMP-регламенту, что и производители (Health Canada, политика контроля GMP и лицензирования предприятий), поэтому разрыв, найденный на складе или у курьерской службы, — это находка, относящаяся к GMP, а не второстепенное нарушение уровня дистрибуции.

Запись, которую на самом деле хочет увидеть аудитор, — тоже не среднесуточное значение. Средняя кинетическая температура (MKT) — «эффективная» температура, взвешенная по уравнению Аррениуса и всегда равная или выше среднего арифметического, — в паре со временем вне диапазона показывает накопленную термическую нагрузку: та же пара показателей стоит за защищаемой записью холодовой цепи (ICH Q1A; USP General Chapter <1079.2>). Отчет, который выдает только минимум и максимум, не говорит на языке, нужном для решения о судьбе партии.

Быстрый самоаудит для вашей холодовой цепи

• Есть ли в вашем мониторинге тревога по полу, или только по потолку — сработает ли что-нибудь на показании −0,5 °C?
• Стоит ли хотя бы один датчик в самом продукте — в коробке, на лотке, в стойке с флаконами, — или только на воздушном сенсоре самого блока?
• Будет ли быстрое падение показаний к нулю отмечено до пересечения абсолютного предела — или только после?
• Если завтра аудитор попросит температурную карту транспортировки, как того требует GUI-0069, сможете ли вы ее предоставить — или только по хранению?
• Ваша экспортируемая запись — это MKT и время вне диапазона, или среднесуточное значение, способное скрыть короткое, но реальное отклонение?

Если хоть один ответ звучит неуверенно, именно там появится следующая незаметная заморозка — и каждую из этих проблем можно исправить до потери партии, а не после.

Как это делает Navixy, без завышенных обещаний

Ничего из этого не зависит от конкретного бренда датчиков — пол холодовой цепи — это дисциплина, которую можно требовать от любой системы мониторинга, если она правильно откалибрована и размещена. Конкретно о механике: Navixy настраивает нижний порог заморозки как правило нижней границы в IoT Logic, работающее рядом с уже существующим, скорее всего, правилом верхней границы, и оценивает его по датчику, установленному в грузе или на стеллаже, а не только по обратному воздуху самого блока.

То же правило следит и за наклоном кривой. Правило скорости изменения ловит показание, быстро падающее к нулю, — отказывающий компрессор, открытую дверь, закончившийся хладагент — пока еще есть время переместить продукт, а не только зафиксировать, что с ним случилось.

IoT Query превращает непрерывный ряд данных в среднюю кинетическую температуру и время вне диапазона по каждой поставке или единице хранения и экспортирует его через открытый API в систему качества — та же логика защищаемой записи, что построена для свежих продуктов, только здесь она адаптирована под аудиторский след GMP, а не под спор о добросовестной поставке.

Navixy формирует запись, которую требует руководство Health Canada по непрерывному мониторингу; Navixy не сертифицирует соответствие GMP. Это решение остается за производителем, дистрибьютором и их системой качества — задача платформы в том, чтобы данные, нужные этим сторонам, были действительно зафиксированы, включая пол.

Ваш следующий шаг

Не ждите, пока тест встряхивания расскажет о том, что уже случилось. Проверьте, есть ли в вашем мониторинге пол, а не только потолок: правило нижней границы, датчик в самом продукте и контроль скорости изменения на спаде. Если ответ «нет» — именно этот разрыв первым найдет следующая незаметная заморозка.