ProChem : boucler la boucle entre mesure et contrôle

Une mesure n'est pas encore une action de régulation

Le guide PAT de la FDA décrit la technologie analytique des procédés comme un système permettant de concevoir, d'analyser et de maîtriser la fabrication grâce à des mesures en temps utile des attributs critiques de qualité et de performance, effectuées pendant le procédé plutôt qu'après [1]. Le mot qui compte est maîtriser : un analyseur proche infrarouge qui rapporte la composition à chaque cycle de mesure n'a produit que le premier maillon d'une chaîne. ICH Q8(R2) et ICH Q10 définissent une stratégie de contrôle comme un ensemble planifié de contrôles, issu de la connaissance du produit et du procédé, qui comprend les contrôles en cours de fabrication ainsi que les méthodes et la fréquence de surveillance et de contrôle associées [2][3]. Dans ce cadre, l'analyseur n'est qu'un élément ; les contrôles de validité de son résultat, les limites, l'action entreprise et l'enregistrement de cette action constituent le reste. Cet article suit la chaîne du spectre à l'actionneur et se demande ce dont chaque maillon a besoin pour être digne de confiance. Le vocabulaire provient de la réglementation chimique et pharmaceutique, mais l'ingénierie est la même dans une usine d'aliments pour animaux ou sur une ligne laitière.

Du spectre à un résultat exploitable

La première exigence est que le nombre qui sort de l'analyseur soit valide. L'ASTM D6122 le dit explicitement pour les analyseurs infrarouges multivariés : il faut démontrer que le spectre d'un échantillon appartient à la population utilisée pour construire le modèle d'étalonnage, car l'applicabilité ne peut pas être présumée, et un résultat calculé à partir d'un spectre aberrant est invalide [4]. La pratique distingue en outre la vérification du bon fonctionnement de l'instrument de la vérification de l'applicabilité du modèle à l'échantillon, et traite les deux comme des contrôles permanents plutôt que comme une validation ponctuelle [4]. Vargas et al. décrivent ce que cela donne sur une ligne commerciale de fabrication continue de comprimés : un test de diagnostic confirme que de la poudre est réellement présente devant la fenêtre de la sonde au moment de l'acquisition du spectre, un modèle PCA vérifie que le mélange ressemble aux mélanges d'étalonnage, et ce n'est qu'ensuite que le modèle PLS rapporte une concentration ; les trois étapes étaient intégrées dans une même plateforme logicielle qui collectait les spectres et appliquait les modèles en temps réel, et au cours d'un essai de 28 heures portant sur 12 633 spectres, le contrôle PCA a détecté un dysfonctionnement d'équipement qu'une valeur de concentration seule n'aurait pas révélé [5].

Kourti soutient que toute la valeur d'un analyseur en temps réel apparaît lorsque sa sortie est combinée aux mesures de procédé ordinaires — température, débit, pression — dans un schéma de surveillance multivariée, ce qui améliore la détection des situations anormales ainsi que la compréhension du procédé [6]. Le système de contrôle-commande devrait donc recevoir non seulement une valeur de composition, mais aussi un statut associé : valide ou non, et sinon, pourquoi.

Rétroaction, anticipation et niveau de supervision

Une fois qu'un résultat valide existe, la question est de savoir quelle structure agit sur lui. Åström et Murray posent la distinction de base : la rétroaction mesure la sortie et corrige après l'apparition d'un écart, ce qui la rend robuste aux incertitudes du modèle de procédé, tandis que l'anticipation (feedforward) mesure une perturbation et agit avant qu'elle n'atteigne la sortie, ce qui exige un modèle de la propagation de cette perturbation [7]. Seborg et al. considèrent les deux comme complémentaires et décrivent la combinaison habituelle — anticipation à partir d'une perturbation amont mesurée, avec une correction par rétroaction sur la grandeur réglée — ainsi que les configurations de rapport et de cascade [8]. Un analyseur NIR placé à la réception des matières premières est un capteur d'anticipation pour l'étape de mélange ou de dosage en aval ; le même analyseur sur le flux de produit est un capteur de rétroaction.

En pratique, l'analyseur pilote rarement une vanne directement. Les ouvrages de contrôle des procédés décrivent une hiérarchie dans laquelle des boucles de régulation rapides dans l'automate ou le SNCC maintiennent débits, niveaux et températures, tandis qu'un niveau de supervision plus lent ajuste leurs consignes [8]. Un résultat de composition qui arrive une fois par cycle de mesure, auquel s'ajoute le temps mort de l'échantillonnage et de l'analyse, relève de ce niveau externe : la régulation en cascade, dans laquelle la boucle de l'analyseur fixe la consigne d'une boucle de débit interne, est l'arrangement naturel, et le retard qu'elle introduit doit être pris en compte dans la conception et le réglage de la boucle externe [8]. Singh et al. montrent, dans une simulation de schéma de procédé d'une ligne de granulation continue, comment des boucles PID imbriquées en cascade et en rapport peuvent être organisées pour les attributs de composition, de granulés et de comprimés [9]. Le guide PAT ajoute une conséquence pour le fonctionnement par lots : dans son cadre, le point final d'un procédé est l'atteinte de l'attribut matière souhaité, et non une durée fixe [1]. La manière dont le changement de consigne est transmis au régulateur et dont la boucle interne est réglée est traitée dans les articles complémentaires sur l'intégration PLC et SCADA et sur les vannes de dosage en boucle fermée.

Limites, alarmes et résultat non conforme

Comparer un résultat à une limite de spécification est simple ; décider de ce que la comparaison doit déclencher ne l'est pas. L'ANSI/ISA-18,2 définit une alarme comme une indication sonore ou visuelle signalant à l'opérateur un dysfonctionnement d'équipement, un écart de procédé ou une situation anormale exigeant une réponse rapide, et elle impose une philosophie d'alarme documentée au regard de laquelle chaque alarme proposée est rationalisée : justifiée, documentée avec son seuil, sa cause, sa conséquence et l'action de l'opérateur, puis hiérarchisée et classée [10]. Seborg et al. situent la gestion des alarmes parmi les couches de protection d'une installation et la traitent séparément de la détection des événements anormaux [8]. Pour un analyseur, cela signifie qu'un résultat hors spécification, un indicateur de spectre invalide et un défaut d'instrument sont trois événements différents appelant trois réponses différentes, et que seuls ceux qui exigent une action de l'opérateur doivent devenir des alarmes.

Les lignes directrices réglementaires sur les essais de libération en temps réel (RTRT) sont instructives même en dehors de la pharmacie. La ligne directrice de l'EMA indique que lorsque les résultats RTRT sont non conformes ou tendent vers la non-conformité, la défaillance doit faire l'objet d'une investigation et la décision de libération doit reposer sur cette investigation plutôt que sur un retour aux essais sur produit fini ; elle note aussi que la stratégie peut reposer sur des paramètres de procédé, des attributs du produit ou les deux, et doit se fonder sur la compréhension de leurs relations [11]. Trois pratiques en découlent :

• Filtrer avant d'agir. Un résultat n'atteint le régulateur qu'accompagné d'un statut de validité ; ce qu'il advient d'un résultat invalide — conserver la dernière valeur valide ou rendre la boucle à l'opérateur — est décidé et consigné par écrit à l'avance [4][5].
• Rationaliser les limites. Limites de spécification, limites de contrôle et seuils d'alarme ne sont pas le même nombre ; chacun est justifié séparément, et les alarmes suivent la philosophie ISA-18,2 afin que les opérateurs ne soient pas submergés [10].
• Garder la boucle interne sûre par elle-même. La boucle de régulation dans l'automate doit se comporter de manière raisonnable si la consigne de supervision cesse d'être mise à jour ; c'est tout l'intérêt de la structure en couches [8].

L'enregistrement : piste d'audit et connaissance

Chaque étape de la chaîne doit pouvoir être reconstituée après coup. Le guide de la FDA sur l'intégrité des données définit la piste d'audit comme un enregistrement électronique sécurisé, généré par ordinateur et horodaté, qui permet de reconstituer la suite des événements liés à la création, à la modification ou à la suppression d'un enregistrement, et souligne qu'une donnée n'a pas de sens sans ses métadonnées — horodatage, utilisateur, instrument, unités, modèle utilisé [12]. Pour une boucle pilotée par un analyseur, cela signifie que le spectre, la version du modèle, les indicateurs de validité, la valeur rapportée, la limite en vigueur et la consigne envoyée sont conservés ensemble, et non dans des systèmes séparés qu'il serait impossible de rapprocher plus tard. ICH Q10 considère l'acquisition et l'analyse systématiques de ces données de procédé comme une gestion des connaissances au service de l'amélioration continue [3], et le guide PAT décrit l'apprentissage continu par la collecte de données tout au long du cycle de vie du produit comme partie intégrante de son cadre [1].

L'approche d'USTECH

Le logiciel ProChem d'USTECH relie ses analyseurs NIR — les modèles en ligne ProLine2550 et ProLine17EC — à l'automate ou au système SCADA de l'usine, présente les résultats sur des tableaux de bord en direct, déclenche des alarmes selon des limites configurées et peut ajuster automatiquement les consignes à partir des valeurs mesurées ; les modèles d'étalonnage qu'il exécute sont construits dans caliX. Les paramètres susceptibles de porter une action de régulation, la configuration des contrôles de validité et des limites, ainsi que la place de l'analyseur dans la hiérarchie de contrôle-commande sont déterminés lors d'une étude de faisabilité réalisée avec vos propres échantillons et votre propre procédé.