手機(jī)版
吳希銘
（上海浦江檢驗(yàn)檢疫局，上海 200002）
摘要：在當(dāng)今食品工業(yè)中，普遍使用計(jì)算機(jī)系統(tǒng)代替人工監(jiān)控加工過(guò)程的關(guān)鍵工序。對(duì)于這些關(guān)鍵工序，有效的控制是保障食品安全的重要前提。在審核過(guò)程中有必要重點(diǎn)對(duì)這些系統(tǒng)的適宜性和有效性進(jìn)行確認(rèn)。本文在參考美國(guó)FDA相關(guān)操作指南的基礎(chǔ)上，結(jié)合國(guó)內(nèi)食品企業(yè)的實(shí)際情況，在原有審核技術(shù)的基礎(chǔ)上為審核員審核此類食品加工企業(yè)提供一些附加審核建議。
關(guān)鍵詞：計(jì)算機(jī);控制系統(tǒng);食品加工;HACCP
KEYWORDS:Computerized System;Food processing;HACCP
1、 引 言
1.1 食品企業(yè)使用的計(jì)算機(jī)監(jiān)控系統(tǒng)
述及食品企業(yè)使用的自動(dòng)控制系統(tǒng)，最為熟悉的莫過(guò)于熱加工過(guò)程的自動(dòng)溫度記錄儀了。圖1‑1為國(guó)產(chǎn)某型號(hào)自動(dòng)溫度記錄儀。這類儀表能夠持續(xù)的記錄溫度―時(shí)間數(shù)據(jù)以供后期審核和追溯，大大減少人工記錄的頻率。某些儀表還能設(shè)置報(bào)警溫度，將參數(shù)設(shè)置為關(guān)鍵限值或操作限值后，能及時(shí)提供故障信息報(bào)警，從而避免后期采取糾偏措施。
計(jì)算機(jī)監(jiān)控系統(tǒng)的引入不僅能用于記錄生產(chǎn)過(guò)程數(shù)據(jù)，還能用于：
(1) 配方控制；
例如：嬰兒配方食品中各類營(yíng)養(yǎng)素的添加量控制、復(fù)配食品添加劑中各單一添加劑的添加量控制等；
(2) 過(guò)程偏離情況的計(jì)算評(píng)估；
(3) 控制溫度、壓力以及維持時(shí)間；
(4) 實(shí)施密封性能檢查；
1.2 引入計(jì)算機(jī)控制系統(tǒng)的優(yōu)勢(shì)
國(guó)產(chǎn)某型號(hào)自動(dòng)溫度記錄儀
(1) 可實(shí)現(xiàn)更為精細(xì)的工藝控制;
(2) 及時(shí)響應(yīng)異常狀態(tài)，實(shí)施動(dòng)態(tài)調(diào)整及糾偏;
(3) 實(shí)現(xiàn)多個(gè)批次同時(shí)監(jiān)控;
一般車間加工是多條生產(chǎn)線平行、連續(xù)生產(chǎn)的，若而使用人工監(jiān)控，需要依流水線數(shù)量配備相應(yīng)操作/管理人員。而一臺(tái)主機(jī)可完成多臺(tái)相同流水線的監(jiān)控。
(4) 節(jié)省人力和資料成本。
人工監(jiān)控需要委派專門人員實(shí)施數(shù)據(jù)觀察、記錄、后續(xù)審核等任務(wù)。對(duì)于大批量連續(xù)生產(chǎn)的企業(yè)，這是一項(xiàng)繁重而又枯燥乏味的工作。
企業(yè)每天會(huì)生成大量紙質(zhì)記錄，記錄紙張便是一筆很大的開銷。何況記錄后期需要經(jīng)過(guò)多部門流轉(zhuǎn)、審核和歸檔，也會(huì)耗費(fèi)不小的勞動(dòng)力成本。
隨著勞動(dòng)力成本的增加，這些工作（包括資料的電子化流轉(zhuǎn)和審核）完全可通過(guò)自動(dòng)化系統(tǒng)完成，管理人員可以通過(guò)網(wǎng)絡(luò)對(duì)各類電子記錄實(shí)施驗(yàn)證審核。
1.3 引入計(jì)算機(jī)控制系統(tǒng)帶來(lái)的挑戰(zhàn)
計(jì)算機(jī)并非時(shí)時(shí)刻刻準(zhǔn)確無(wú)誤，亦會(huì)出各類故障和失效情況。原因包括：
(1) 軟件、硬件設(shè)計(jì)的瑕疵；
例如：傳感器精度不符合監(jiān)控要求、軟件編程存在瑕疵、處理器處理能力無(wú)法滿足多線程并行運(yùn)行要求、各類電子設(shè)備不適應(yīng)嚴(yán)酷的工況環(huán)境等。
(2) 員工操作不當(dāng)；
(3) 設(shè)備維護(hù)保養(yǎng)不當(dāng)；
例如：使用和設(shè)計(jì)要求不符合的配件替換原件等。
(4) 配套管理文件存在缺陷；
例如：各類程序或記錄未加密，未授權(quán)人員便可隨意修改。修改操作無(wú)法有效追溯修改人員、修改的內(nèi)容、修改的時(shí)間信息等。
(5) 惡意或者以經(jīng)濟(jì)激勵(lì)性摻雜為目的故意更改操作參數(shù)等。
可見，計(jì)算機(jī)監(jiān)控系統(tǒng)用于監(jiān)控關(guān)鍵工序，無(wú)效的監(jiān)控可能導(dǎo)致食品安全存在嚴(yán)重隱患。
因此，審核員在現(xiàn)場(chǎng)技術(shù)審核階段需要評(píng)估使用計(jì)算機(jī)系統(tǒng)和軟件控制是否會(huì)給食品安全帶來(lái)危害。
為實(shí)施有效審核，需要在常規(guī)審核的基礎(chǔ)上附加針對(duì)計(jì)算機(jī)監(jiān)控系統(tǒng)的審核技術(shù)。
2、 計(jì)算機(jī)控制系統(tǒng)的構(gòu)成
在食品行業(yè)中，計(jì)算機(jī)控制系統(tǒng)常被用來(lái)監(jiān)控關(guān)鍵步驟，例如：
(1) 巴氏殺菌過(guò)程；
(2) 高溫殺菌過(guò)程；
(3) pH的連續(xù)監(jiān)控；
(4) 營(yíng)養(yǎng)素的控制/添加；
(5) 記錄保持；
(6) 微生物生長(zhǎng)控制；
(7) 在線清洗（CIP，Clean In Place）等清洗過(guò)程的控制。
一個(gè)計(jì)算機(jī)控制系統(tǒng)，包括計(jì)算機(jī)硬件、計(jì)算機(jī)軟件、附屬裝置、操控人員以及電子文檔數(shù)據(jù)記錄等。
圖2‑1為一個(gè)簡(jiǎn)單的計(jì)算機(jī)控制系統(tǒng)實(shí)施對(duì)低酸罐頭熱力殺菌過(guò)程的監(jiān)控。
圖2‑1計(jì)算機(jī)系統(tǒng)控制殺菌關(guān)鍵點(diǎn)運(yùn)作圖
(1) 操作人員將殺菌工藝關(guān)鍵參數(shù)通過(guò)鍵盤錄入可編程邏輯控制器(PLC，Program Logic Controller)。參數(shù)主要包括加熱溫度和維持時(shí)間。例如：排氣溫度和時(shí)間參數(shù)以及殺菌恒溫溫度和維持時(shí)間參數(shù)[1]。
(2) 殺菌鍋內(nèi)的熱電阻傳感器檢測(cè)殺菌鍋環(huán)境溫度。通過(guò)模擬/數(shù)字轉(zhuǎn)換器將溫度模擬信號(hào)輸入給PLC。
(3) PLC比照程度設(shè)定要求，將需要調(diào)整蒸汽進(jìn)入量的信息以數(shù)字信號(hào)方式輸出至數(shù)字/模擬轉(zhuǎn)換器。
(4) 通過(guò)數(shù)/模轉(zhuǎn)換，將閥門開閉大小的模擬信號(hào)傳送給電磁閥。
(5) 電磁閥依據(jù)模擬信號(hào)實(shí)施開合，控制空氣進(jìn)入的大小。
(6) 氣動(dòng)閥依據(jù)電磁閥的輸出（即空氣流量）控制加熱蒸汽流入量，以調(diào)節(jié)殺菌鍋內(nèi)的溫度。
(7) 重復(fù)步驟⑵-⑹以使溫度━時(shí)間控制滿足程序設(shè)定要求。
(8) PLC按規(guī)定頻率將溫度━時(shí)間予以記錄和暫存。
(9) 關(guān)鍵點(diǎn)數(shù)據(jù)通過(guò)顯示器供操作人員參考，通過(guò)通信端口供給打印機(jī)予以輸出，通過(guò)調(diào)制解調(diào)器傳輸至數(shù)據(jù)服務(wù)器予以保存。
3、 現(xiàn)場(chǎng)審核建議
3.1 審核步驟
(1) 收集車間平面圖、工藝流程圖，對(duì)設(shè)備布局、設(shè)備功能有一個(gè)大致了解；
(2) 確認(rèn)哪些步驟是由計(jì)算機(jī)實(shí)施控制、監(jiān)視或者進(jìn)行記錄的；
(3) 確定哪些工序/步驟可能對(duì)食品安全產(chǎn)生影響。
需要注意的是部分計(jì)算機(jī)系統(tǒng)僅僅用于產(chǎn)品質(zhì)量的監(jiān)控而不涉及安全衛(wèi)生。例如：炸薯?xiàng)l流水線用于監(jiān)控油溫的系統(tǒng)，其目的僅僅在于控制終產(chǎn)品的感官指標(biāo)。
在此步驟，建議審核員獨(dú)立使用HACCP原理予以分析，確定關(guān)鍵工序和關(guān)鍵記錄步驟，排除其他干擾因素。
(4) 收集系統(tǒng)工作的邏輯流程簡(jiǎn)圖，對(duì)照工藝流程圖實(shí)施分析�？赏ㄟ^(guò)比照人工操作的方式查看計(jì)算機(jī)系統(tǒng)執(zhí)行的邏輯是否合理。
(5) 進(jìn)一步確認(rèn)如下信息：
(a) 確定系統(tǒng)包含的主要部件和位置；
例如：主要的傳感器、微處理器的位置，與各類輸入輸出裝置的連接方式。
(b) 使用了何種計(jì)算公式得出結(jié)果，公式是否使用正確；
例如轉(zhuǎn)速(rpm/min)至維持時(shí)間的轉(zhuǎn)換，高壓容器內(nèi)蒸汽壓力至溫度的轉(zhuǎn)換等。
(c) 確認(rèn)軟件是如何處理數(shù)據(jù)結(jié)果的；
例如：使用屏幕反饋、即刻打印�；蚴菍⒔Y(jié)果反饋給控制執(zhí)行機(jī)構(gòu)，形成循環(huán)。如圖2‑1所以的閥門開啟大小的反饋。
(6) 實(shí)地觀察操作員工與計(jì)算機(jī)的交互過(guò)程；
例如：確定操作員需要錄入哪些參數(shù)，哪些屬于關(guān)鍵參數(shù)。操作員讀取哪些參數(shù)，讀取后如何處理等。
(7) 確認(rèn)計(jì)算機(jī)系統(tǒng)以及相關(guān)人員如何處理偏離情況；
(8) 記錄相應(yīng)信息；
(9) 與法規(guī)進(jìn)行比較，初步得出評(píng)估結(jié)論。包括：
(a) 系統(tǒng)運(yùn)作是否符合關(guān)鍵點(diǎn)的控制要求；
(b) 傳感器輸入信息是否準(zhǔn)確；
(c) 時(shí)間信息記錄是否準(zhǔn)確；
(d) 糾偏以及應(yīng)急處理措施的有效性；
(e) 記錄內(nèi)容是否完整、準(zhǔn)確；
(f) 相關(guān)人員（包括操作、管理、維護(hù)和審核人員）是否得到有效培訓(xùn)。
3.2 常用審核方法
3.2.1 與人工計(jì)算數(shù)值的比對(duì)
根據(jù)輸入的數(shù)據(jù)，人工計(jì)算結(jié)果再與計(jì)算機(jī)系統(tǒng)自動(dòng)計(jì)算結(jié)果比較。例如，對(duì)于低酸罐頭F值的計(jì)算可以采用此法。
3.2.2 比照輸入輸出數(shù)值
現(xiàn)場(chǎng)比照傳感器的指示數(shù)據(jù)與計(jì)算機(jī)系統(tǒng)顯示的數(shù)據(jù)�；蛘呤褂糜�(jì)量合格的基準(zhǔn)測(cè)量工具與其實(shí)施對(duì)比。例如：對(duì)于低酸罐頭殺菌，中國(guó)出口行業(yè)標(biāo)準(zhǔn)以及美國(guó)FDA要求獨(dú)立對(duì)照水銀溫度計(jì)比較計(jì)算機(jī)傳感器獲取的溫度數(shù)據(jù)是否準(zhǔn)確[2]。
實(shí)施此類輸入輸出的比照的原因：防止傳感器探測(cè)的模擬信號(hào)經(jīng)過(guò)不恰當(dāng)?shù)哪?shù)轉(zhuǎn)換產(chǎn)生失真，從而導(dǎo)致數(shù)據(jù)誤差。
例如：若信號(hào)轉(zhuǎn)換器出現(xiàn)故障，在輸入端讀得熱電偶溫度數(shù)值為80℃，在計(jì)算機(jī)系統(tǒng)的顯示器上可能顯示為100℃（見圖3‑1）。特別需要注意的是，這種故障可能僅僅存在于某一個(gè)測(cè)量區(qū)間。例如：在50-80℃呈現(xiàn)異常，而在0-20℃區(qū)間呈現(xiàn)正常。因此，有必要?jiǎng)澐秩舾蓚�(gè)區(qū)間實(shí)施比照。
圖3‑1轉(zhuǎn)換器故障引起的數(shù)據(jù)異常
3.2.3 兩獨(dú)立系統(tǒng)監(jiān)控結(jié)果的比對(duì)
例如：對(duì)于計(jì)算機(jī)控制的多階段殺菌工藝，工藝參數(shù)事先通過(guò)編程輸入。可以使用獨(dú)立的熱分布實(shí)驗(yàn)來(lái)對(duì)比驗(yàn)證殺菌工藝的實(shí)際執(zhí)行情況。
3.2.4 時(shí)鐘比對(duì)
對(duì)于巴氏殺菌或者其它熱殺菌關(guān)鍵工序而言，通常將加熱維持時(shí)間作為關(guān)鍵點(diǎn)來(lái)控制，因此準(zhǔn)確的時(shí)間監(jiān)控是極為重要的。
以往人工監(jiān)控時(shí)間參數(shù)，著重強(qiáng)調(diào)兩點(diǎn)，即：
(1) 時(shí)鐘的準(zhǔn)確性。依靠定期校準(zhǔn)來(lái)實(shí)現(xiàn)。
(2) 時(shí)鐘的可讀性。包括時(shí)鐘應(yīng)安裝在監(jiān)控位置附近，方便監(jiān)控人員就近及時(shí)讀�。粫r(shí)鐘的表盤應(yīng)清晰，刻度符合監(jiān)控參數(shù)的精度要求。
而對(duì)于計(jì)算機(jī)控制系統(tǒng)，通常情況下一個(gè)車間會(huì)有多臺(tái)設(shè)備，即會(huì)使用到分布式系統(tǒng)[3]。例如，如圖2‑4所示：在一家低酸罐頭企業(yè)內(nèi)，由一套PLC同時(shí)對(duì)兩臺(tái)殺菌鍋實(shí)施監(jiān)控（即一套PLC和兩臺(tái)殺菌鍋組成一個(gè)獨(dú)立的生產(chǎn)單元），在該獨(dú)立單元中PLC完成蒸汽壓力和加熱維持時(shí)間的監(jiān)控以及數(shù)據(jù)的收集和傳送，通過(guò)網(wǎng)絡(luò)提供給主服務(wù)器。每一個(gè)主服務(wù)器獲取監(jiān)控?cái)?shù)據(jù)后統(tǒng)一進(jìn)行儲(chǔ)存和打印。
圖3‑2分布式控制系統(tǒng)演示圖
(3) 基準(zhǔn)時(shí)鐘的選擇。是由主計(jì)算機(jī)還是由PLC作為記錄的基準(zhǔn)時(shí)鐘
在這種系統(tǒng)中同時(shí)存在著多個(gè)時(shí)鐘。時(shí)鐘之間的差異可能會(huì)引起數(shù)據(jù)間的矛盾或沖突�，F(xiàn)場(chǎng)審核時(shí)除按常規(guī)使用比照驗(yàn)證外，還應(yīng)額外關(guān)注：
(4) 時(shí)鐘的計(jì)時(shí)制。有一些計(jì)算機(jī)系統(tǒng)使用12小時(shí)計(jì)時(shí)制，而另一些采用24小時(shí)計(jì)時(shí)制。應(yīng)進(jìn)一步確認(rèn)數(shù)據(jù)供給處理器的計(jì)時(shí)制和主服務(wù)器的計(jì)時(shí)制是否存在矛盾。
(5) 系統(tǒng)時(shí)鐘的重置機(jī)制。檢查各處理器的時(shí)鐘是否存在重置機(jī)制，重置機(jī)制可定期使各系統(tǒng)時(shí)鐘與基準(zhǔn)時(shí)鐘保持更新一致。
審核時(shí)應(yīng)確認(rèn)重置的時(shí)間點(diǎn)（是在使用過(guò)程中，還是在非生產(chǎn)過(guò)程中），記錄并判斷時(shí)鐘重置的間隔是否合理。
3.3 審核內(nèi)容
3.3.1 執(zhí)行步驟核查
以計(jì)算機(jī)控制的CIP清洗為例：CIP清洗步驟一般包括[4]：預(yù)沖洗→堿性→中間沖洗→酸性→最后沖洗→生產(chǎn)前消毒等步驟。
可通過(guò)PLC程序設(shè)定面板查看執(zhí)行程序的框圖[5]，與規(guī)定的程序文件實(shí)施比照。
審核員可進(jìn)一步確認(rèn)計(jì)算機(jī)系統(tǒng)如何確認(rèn)清洗的強(qiáng)度、洗滌劑殘留達(dá)標(biāo)的控制手段，了解其具體的參數(shù)設(shè)置。
例如：計(jì)算機(jī)系統(tǒng)可依靠電導(dǎo)率儀判斷洗滌劑的濃度是否符合要求，依靠液位儀判斷缸內(nèi)洗滌劑的覆蓋面，依靠溫度傳感器控制洗滌劑的最佳作用溫度。
3.3.2 過(guò)程記錄檢查
在實(shí)施常規(guī)審核時(shí)，通常需要調(diào)閱大量紙質(zhì)記錄來(lái)獲取過(guò)程控制有效性的各類證據(jù)。對(duì)由計(jì)算機(jī)實(shí)施關(guān)鍵步驟控制的企業(yè)，同樣需要調(diào)閱計(jì)算機(jī)產(chǎn)生的各類記錄。當(dāng)然，這類記錄可能以電子數(shù)據(jù)的形式存在。
建議審核人員關(guān)注：
(1) 電子記錄是否覆蓋法律法規(guī)（例如GMP和各類強(qiáng)制標(biāo)準(zhǔn)）、企業(yè)程序文件規(guī)定的所有必填項(xiàng)。
(2) 是否有安全措施保證計(jì)算機(jī)生成的數(shù)據(jù)不會(huì)被未經(jīng)授權(quán)的更改。
若錄入數(shù)值允許修改，系統(tǒng)應(yīng)能識(shí)別修改的人員信息以及修改的原因。
例如：操作員工誤讀取了溫度計(jì)上的信息并且已錄入了系統(tǒng)，計(jì)算機(jī)系統(tǒng)警告操作人員錄入數(shù)值超出限值范圍了。操作員工讀取正確數(shù)值后錄入計(jì)算機(jī)，數(shù)值被系統(tǒng)接納。
建議核查上述過(guò)程中，修改的歷史步驟是否能被系統(tǒng)完整記錄，并且修改歷史記錄本身是不能刪改的。這一點(diǎn)等效于常規(guī)紙質(zhì)記錄修改時(shí)使用的劃線、簽修改人名字以及注明修改日期的方式。
(3) 通過(guò)計(jì)算機(jī)系統(tǒng)監(jiān)控關(guān)鍵控制點(diǎn)的，是否能在兩個(gè)記錄點(diǎn)內(nèi)記錄下過(guò)程中極值。（依據(jù)關(guān)鍵點(diǎn)的屬性可能為最大值和/或最小值）
例如：在一個(gè)高溫容器內(nèi)設(shè)置了一個(gè)溫度傳感器[3]，傳感器連續(xù)向計(jì)算機(jī)系統(tǒng)傳送溫度電信號(hào)，計(jì)算機(jī)每過(guò)數(shù)毫秒識(shí)別一次溫度信息，每過(guò)兩分鐘將溫度數(shù)據(jù)輸出打印。對(duì)此，有必要知曉在這兩分鐘周期內(nèi)數(shù)據(jù)的最小值。（見圖2‑1）
圖3‑3連續(xù)溫度檢測(cè)過(guò)程中記錄數(shù)據(jù)與監(jiān)測(cè)數(shù)據(jù)比較
(4) 電子記錄是否能以可讀取的方式及時(shí)提供給審核人員。
可以是紙質(zhì)的拷貝也可以在是通過(guò)計(jì)算機(jī)軟件顯示的經(jīng)過(guò)合理組織的形式（例如圖表、數(shù)據(jù)列表）。
(5) 若使用電子簽名的，確認(rèn)其安全保密措施是否有效，能且僅能代表錄入信息的操作人員本人。
3.3.3 軟件使用安全檢查
(1) 確認(rèn)工廠制定了相應(yīng)的安全措施防止未經(jīng)授權(quán)的軟件代碼更改以及存儲(chǔ)數(shù)據(jù)的變更。這些變更包括非故意的刪除或者丟失。
(2) 確認(rèn)工廠范圍內(nèi)具備權(quán)限以及具備對(duì)軟件做出變更能力的人員名單。
(3) 查看企業(yè)的《食品防護(hù)計(jì)劃》的信息部分[6]，確認(rèn)在《食品防護(hù)計(jì)劃》中存在相應(yīng)的程序，保證軟件使用和儲(chǔ)存的安全；
3.3.4 人員資質(zhì)檢查
現(xiàn)場(chǎng)審核時(shí)應(yīng)確認(rèn)對(duì)計(jì)算機(jī)系統(tǒng)具有關(guān)鍵操作權(quán)限的人員名單。這些人員可能不僅僅包括企業(yè)內(nèi)部人員，還包括設(shè)備供應(yīng)商以及外部的顧問(wèn)。
檢查內(nèi)容包括
(1) 確認(rèn)操作、維護(hù)以及對(duì)計(jì)算機(jī)系統(tǒng)實(shí)施編程的人員是否經(jīng)過(guò)培訓(xùn)，具備足夠的經(jīng)驗(yàn)完成本職工作。
(2) 在出現(xiàn)應(yīng)急情況時(shí)，技術(shù)支持人員是否能及時(shí)到崗處理故障。
在對(duì)相應(yīng)企業(yè)的現(xiàn)場(chǎng)審核過(guò)程中，發(fā)現(xiàn)不少企業(yè)僅僅關(guān)注操作方面的培訓(xùn)，而忽視了系統(tǒng)出現(xiàn)故障后的應(yīng)急處理措施，包括人工應(yīng)急操作處理，糾偏以及實(shí)施有效記錄等。
如同常規(guī)現(xiàn)場(chǎng)審核，可以通過(guò)查閱企業(yè)相關(guān)培訓(xùn)記錄獲取這方面的信息。
3.3.5 備用人工操作有效性檢查
通常情況下由計(jì)算機(jī)系統(tǒng)控制的程序可同時(shí)由人工介入操作。在現(xiàn)場(chǎng)審核階段應(yīng)確定哪些功能可以同時(shí)由人工操作，確認(rèn)涉及到的具體設(shè)備。
確認(rèn)人工操作和計(jì)算機(jī)自動(dòng)控制交互的程度，以及這樣的交互是否會(huì)造成計(jì)算機(jī)控制的失效。
對(duì)照企業(yè)的相關(guān)程序文件，是否注明在何時(shí)、何種條件下，允許何類人工干預(yù)，誰(shuí)被授權(quán)執(zhí)行這些操作。
檢查這些人工干預(yù)操作是否準(zhǔn)確記錄。檢查執(zhí)行這些人工干預(yù)的操作人員是否經(jīng)過(guò)相應(yīng)的培訓(xùn)。
3.3.6 對(duì)系統(tǒng)故障恢復(fù)的檢查
(1) 確認(rèn)企業(yè)是否配備恢復(fù)系統(tǒng)故障的程序或預(yù)案；
(2) 是否具備相應(yīng)的程序，以控制在系統(tǒng)故障階段生產(chǎn)的食品。這些食品是否能得到有效隔離和后續(xù)評(píng)估；
(3) 若存在故障重啟恢復(fù)的實(shí)例，應(yīng)重點(diǎn)關(guān)注：
(a) 系統(tǒng)恢復(fù)后，程序執(zhí)行點(diǎn)位于運(yùn)行周期內(nèi)的哪一個(gè)步。是位于程序啟動(dòng)最初的一步，還是任意一步，或者是程序暫停工作的那一步？（見圖3‑4）
(b) 查找重啟后已重復(fù)執(zhí)行（或者遺漏執(zhí)行）的步驟。這些重復(fù)執(zhí)行或者遺漏的步驟可能導(dǎo)致關(guān)鍵點(diǎn)監(jiān)控的失效。
(c) 確認(rèn)是否記錄重啟恢復(fù)的時(shí)間點(diǎn)以及其他信息。
從系統(tǒng)故障到重啟恢復(fù)（或者使用備用人工操作模式）的耗時(shí)非常關(guān)鍵，例如：在低酸罐頭熱力殺菌階段，系統(tǒng)監(jiān)控的失效可能導(dǎo)致殺菌時(shí)間無(wú)法維持CCP點(diǎn)限值要求。而通過(guò)記錄相應(yīng)的時(shí)間點(diǎn)，可方便后續(xù)的評(píng)估處理以及實(shí)施補(bǔ)救措施。亦可將有潛在安全隱患的產(chǎn)品（半成品）與合格品區(qū)分區(qū)分，減少損失。
圖3‑4系統(tǒng)故障恢復(fù)后程序執(zhí)行位置的判斷
3.3.7 對(duì)系統(tǒng)部件的維護(hù)和校準(zhǔn)檢查
(1) 檢查更換的配件是否符合系統(tǒng)原廠設(shè)計(jì)的技術(shù)指標(biāo)要求；
(2) 檢查和確認(rèn)各類傳感器的適用性；
傳感器是作為計(jì)算機(jī)控制系統(tǒng)實(shí)現(xiàn)監(jiān)視和控制功能的重要部件，其精確度以及量程范圍應(yīng)與待測(cè)參數(shù)的指標(biāo)要求相匹配。例如：使用熱電阻傳感器監(jiān)控121℃高壓蒸汽殺菌的溫度，熱電阻傳感器的量程精確度必須達(dá)到121℃以上，低于100℃便不適用。
(3) 檢查企業(yè)是否對(duì)計(jì)算機(jī)控制系統(tǒng)的輸入（例如熱電偶傳感器、熱電阻傳感器、壓力傳感器等）和輸出實(shí)施驗(yàn)證；
當(dāng)然，無(wú)需對(duì)每項(xiàng)輸入、輸出數(shù)據(jù)實(shí)施人工核查，但應(yīng)保持足夠頻率的核查水準(zhǔn)以保證數(shù)據(jù)的精確性。
(4) 檢查企業(yè)是否定期對(duì)各類傳感器實(shí)施校準(zhǔn)；
(5) 檢查企業(yè)糾偏或糾偏演練執(zhí)行情況。
當(dāng)監(jiān)控關(guān)鍵工序的計(jì)算機(jī)控制系統(tǒng)的傳感器部件出現(xiàn)不精準(zhǔn)的情況，那么在此期間生產(chǎn)的產(chǎn)品應(yīng)被認(rèn)定為潛在不安全的而予以追溯。
追溯的范圍包括從發(fā)現(xiàn)部件不精準(zhǔn)開始起至前一次確認(rèn)該部件正常運(yùn)作期間生產(chǎn)的所有產(chǎn)品。
3.3.8 報(bào)警機(jī)制核查
當(dāng)系統(tǒng)檢測(cè)到異常值（數(shù)據(jù)偏離關(guān)鍵限值）或者故障時(shí)會(huì)引發(fā)報(bào)警機(jī)制。在現(xiàn)場(chǎng)審核報(bào)警機(jī)制時(shí)應(yīng)關(guān)注：
(1) 確認(rèn)報(bào)警具體代表的環(huán)節(jié)或功能
例如報(bào)警可能代表電力、蒸汽供應(yīng)的異常�；蛘邇H僅是操作指令完成的提示或反饋�；蛘呤称芳庸すば蛩幍囊环N狀態(tài)，例如：物料存放容器處于空置狀態(tài)或者滿載狀態(tài)的提示等。
(2) 確認(rèn)報(bào)警限值設(shè)定的合理性
現(xiàn)場(chǎng)確認(rèn)報(bào)警限值（thresholds）的設(shè)定依據(jù)是否明確，例如：是否依據(jù)關(guān)鍵限值或操作限值而設(shè)定。
(3) 檢查報(bào)警限值的設(shè)定是否可能被未經(jīng)授權(quán)的修改
例如：使用計(jì)算機(jī)系統(tǒng)監(jiān)控巴氏殺菌的殺菌水槽。根據(jù)HACCP體系文件，當(dāng)水缸溫度T≤95℃中將觸發(fā)聲光報(bào)警。現(xiàn)場(chǎng)操作員是否存在未經(jīng)授權(quán)將參數(shù)調(diào)整為T≤93℃的可能性？
(4) 確認(rèn)報(bào)警事件是否得到記錄
進(jìn)一步確針對(duì)認(rèn)報(bào)警事件的記錄以及后續(xù)處理措施的記錄。確認(rèn)記錄方式：是人工記錄在生產(chǎn)日志中還是由計(jì)算機(jī)自動(dòng)產(chǎn)生電子記錄。
(5) 多重報(bào)警的處理措施
如2.8(4)所述的分布式系統(tǒng)，同一時(shí)刻可能觸發(fā)多重報(bào)警。若現(xiàn)場(chǎng)僅由一名員工實(shí)施系統(tǒng)監(jiān)控，應(yīng)進(jìn)一步詢問(wèn)和確認(rèn)其后續(xù)故障處理措施的及時(shí)性和有效性。
4、 結(jié)語(yǔ)
現(xiàn)代化的食品加工業(yè)離不開先進(jìn)的自動(dòng)化監(jiān)控系統(tǒng)。而這些系統(tǒng)是否運(yùn)作有效又與食品安全息息相關(guān)。
對(duì)于設(shè)備制造企業(yè)，我們應(yīng)鼓勵(lì)其制定行業(yè)標(biāo)準(zhǔn)，鼓勵(lì)認(rèn)證機(jī)構(gòu)對(duì)這類自動(dòng)化監(jiān)控系統(tǒng)制定專門的認(rèn)證標(biāo)準(zhǔn)；例如：類似安全儀表認(rèn)證[7]等（SIF,Safety Instrumented Function）制定認(rèn)證標(biāo)準(zhǔn)，實(shí)施第三方認(rèn)證。
監(jiān)控設(shè)備的設(shè)計(jì)制造符合標(biāo)準(zhǔn)僅僅是保障食品安全的一方面。而設(shè)備的合理選用、正確操作與使用、以及故障和偏差的處理，記錄保障等是由食品加工企業(yè)作為使用者實(shí)現(xiàn)的。計(jì)算機(jī)監(jiān)控系統(tǒng)的有效運(yùn)作仍然主責(zé)在食品加工企業(yè)，企業(yè)需要承擔(dān)食品安全的首要責(zé)任[8]。
對(duì)于審核員（無(wú)論第三方認(rèn)證機(jī)構(gòu)審核員還是官方審核員）。針對(duì)這類食品加工企業(yè)，我們實(shí)施技術(shù)審核方法需要更新和調(diào)整。例如：以往現(xiàn)場(chǎng)審核時(shí)通過(guò)對(duì)操作人員的觀察、詢問(wèn)獲得審核證據(jù)的方式可能不能完全奏效了。必須進(jìn)一步獲得計(jì)算機(jī)系統(tǒng)運(yùn)作的程序框架，硬件配置、人機(jī)交互操作、數(shù)據(jù)安全處理等方面信息方能有審核發(fā)現(xiàn)。
當(dāng)然對(duì)這類企業(yè)實(shí)施有效審核的前提仍然是正確有效地使用HACCP危害分析的工具，確定關(guān)鍵控制點(diǎn)。
參考文獻(xiàn)
[1] 汪小祿. HACCP在火腿罐頭生產(chǎn)中的應(yīng)用[J]. 食品工業(yè), 2008(05): 51-3.
[3] U.S.FDA. GUIDE TO INSPECTIONS OF COMPUTERIZED SYSTEMS IN THE FOOD PROCESSING INDUSTRY[EB/OL] [2014-11-25]. [2015-5-11]. http://www.fda.gov/ICECI/Inspections/InspectionGuides/ucm074871.htm.
[4] 蔡林昌, 嚴(yán)偉榮, 蔡積赟, et al.飲料生產(chǎn)中的CIP[J]. 飲料工業(yè), 2001(06): 27-34.
[5] 高錦棟, 邱潤(rùn)才, 姚智宇. CIP清洗系統(tǒng)的微機(jī)控制[J]. 中國(guó)乳品工業(yè), 1997(01): 32-5.
[6] 中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局.食品防護(hù)計(jì)劃及其應(yīng)用指南[S].北京:中國(guó)標(biāo)準(zhǔn)出版社, 2010: 6.
[7] 邱輝.安全儀表系統(tǒng)的功能安全認(rèn)證研究[D]. 北京: 首都經(jīng)濟(jì)貿(mào)易大學(xué) Academic Department, 2010.
[8] 中華人民共和國(guó)食品安全法 [M]//全國(guó)人民代表大會(huì)常務(wù)委員會(huì). 北京. 2015.