手機版
吳希銘
（上海浦江檢驗檢疫局，上海 200002）
摘要：在當今食品工業(yè)中，普遍使用計算機系統(tǒng)代替人工監(jiān)控加工過程的關鍵工序。對于這些關鍵工序，有效的控制是保障食品安全的重要前提。在審核過程中有必要重點對這些系統(tǒng)的適宜性和有效性進行確認。本文在參考美國FDA相關操作指南的基礎上，結合國內(nèi)食品企業(yè)的實際情況，在原有審核技術的基礎上為審核員審核此類食品加工企業(yè)提供一些附加審核建議。
關鍵詞：計算機;控制系統(tǒng);食品加工;HACCP
KEYWORDS:Computerized System;Food processing;HACCP
1、 引 言
1.1 食品企業(yè)使用的計算機監(jiān)控系統(tǒng)
述及食品企業(yè)使用的自動控制系統(tǒng)，最為熟悉的莫過于熱加工過程的自動溫度記錄儀了。圖1‑1為國產(chǎn)某型號自動溫度記錄儀。這類儀表能夠持續(xù)的記錄溫度―時間數(shù)據(jù)以供后期審核和追溯，大大減少人工記錄的頻率。某些儀表還能設置報警溫度，將參數(shù)設置為關鍵限值或操作限值后，能及時提供故障信息報警，從而避免后期采取糾偏措施。
計算機監(jiān)控系統(tǒng)的引入不僅能用于記錄生產(chǎn)過程數(shù)據(jù)，還能用于：
(1) 配方控制；
例如：嬰兒配方食品中各類營養(yǎng)素的添加量控制、復配食品添加劑中各單一添加劑的添加量控制等；
(2) 過程偏離情況的計算評估；
(3) 控制溫度、壓力以及維持時間；
(4) 實施密封性能檢查；
1.2 引入計算機控制系統(tǒng)的優(yōu)勢
國產(chǎn)某型號自動溫度記錄儀
(1) 可實現(xiàn)更為精細的工藝控制;
(2) 及時響應異常狀態(tài)，實施動態(tài)調(diào)整及糾偏;
(3) 實現(xiàn)多個批次同時監(jiān)控;
一般車間加工是多條生產(chǎn)線平行、連續(xù)生產(chǎn)的，若而使用人工監(jiān)控，需要依流水線數(shù)量配備相應操作/管理人員。而一臺主機可完成多臺相同流水線的監(jiān)控。
(4) 節(jié)省人力和資料成本。
人工監(jiān)控需要委派專門人員實施數(shù)據(jù)觀察、記錄、后續(xù)審核等任務。對于大批量連續(xù)生產(chǎn)的企業(yè)，這是一項繁重而又枯燥乏味的工作。
企業(yè)每天會生成大量紙質(zhì)記錄，記錄紙張便是一筆很大的開銷。何況記錄后期需要經(jīng)過多部門流轉(zhuǎn)、審核和歸檔，也會耗費不小的勞動力成本。
隨著勞動力成本的增加，這些工作（包括資料的電子化流轉(zhuǎn)和審核）完全可通過自動化系統(tǒng)完成，管理人員可以通過網(wǎng)絡對各類電子記錄實施驗證審核。
1.3 引入計算機控制系統(tǒng)帶來的挑戰(zhàn)
計算機并非時時刻刻準確無誤，亦會出各類故障和失效情況。原因包括：
(1) 軟件、硬件設計的瑕疵；
例如：傳感器精度不符合監(jiān)控要求、軟件編程存在瑕疵、處理器處理能力無法滿足多線程并行運行要求、各類電子設備不適應嚴酷的工況環(huán)境等。
(2) 員工操作不當；
(3) 設備維護保養(yǎng)不當；
例如：使用和設計要求不符合的配件替換原件等。
(4) 配套管理文件存在缺陷；
例如：各類程序或記錄未加密，未授權人員便可隨意修改。修改操作無法有效追溯修改人員、修改的內(nèi)容、修改的時間信息等。
(5) 惡意或者以經(jīng)濟激勵性摻雜為目的故意更改操作參數(shù)等。
可見，計算機監(jiān)控系統(tǒng)用于監(jiān)控關鍵工序，無效的監(jiān)控可能導致食品安全存在嚴重隱患。
因此，審核員在現(xiàn)場技術審核階段需要評估使用計算機系統(tǒng)和軟件控制是否會給食品安全帶來危害。
為實施有效審核，需要在常規(guī)審核的基礎上附加針對計算機監(jiān)控系統(tǒng)的審核技術。
2、 計算機控制系統(tǒng)的構成
在食品行業(yè)中，計算機控制系統(tǒng)常被用來監(jiān)控關鍵步驟，例如：
(1) 巴氏殺菌過程；
(2) 高溫殺菌過程；
(3) pH的連續(xù)監(jiān)控；
(4) 營養(yǎng)素的控制/添加；
(5) 記錄保持；
(6) 微生物生長控制；
(7) 在線清洗（CIP，Clean In Place）等清洗過程的控制。
一個計算機控制系統(tǒng)，包括計算機硬件、計算機軟件、附屬裝置、操控人員以及電子文檔數(shù)據(jù)記錄等。
圖2‑1為一個簡單的計算機控制系統(tǒng)實施對低酸罐頭熱力殺菌過程的監(jiān)控。
圖2‑1計算機系統(tǒng)控制殺菌關鍵點運作圖
(1) 操作人員將殺菌工藝關鍵參數(shù)通過鍵盤錄入可編程邏輯控制器(PLC，Program Logic Controller)。參數(shù)主要包括加熱溫度和維持時間。例如：排氣溫度和時間參數(shù)以及殺菌恒溫溫度和維持時間參數(shù)[1]。
(2) 殺菌鍋內(nèi)的熱電阻傳感器檢測殺菌鍋環(huán)境溫度。通過模擬/數(shù)字轉(zhuǎn)換器將溫度模擬信號輸入給PLC。
(3) PLC比照程度設定要求，將需要調(diào)整蒸汽進入量的信息以數(shù)字信號方式輸出至數(shù)字/模擬轉(zhuǎn)換器。
(4) 通過數(shù)/模轉(zhuǎn)換，將閥門開閉大小的模擬信號傳送給電磁閥。
(5) 電磁閥依據(jù)模擬信號實施開合，控制空氣進入的大小。
(6) 氣動閥依據(jù)電磁閥的輸出（即空氣流量）控制加熱蒸汽流入量，以調(diào)節(jié)殺菌鍋內(nèi)的溫度。
(7) 重復步驟⑵-⑹以使溫度━時間控制滿足程序設定要求。
(8) PLC按規(guī)定頻率將溫度━時間予以記錄和暫存。
(9) 關鍵點數(shù)據(jù)通過顯示器供操作人員參考，通過通信端口供給打印機予以輸出，通過調(diào)制解調(diào)器傳輸至數(shù)據(jù)服務器予以保存。
3、 現(xiàn)場審核建議
3.1 審核步驟
(1) 收集車間平面圖、工藝流程圖，對設備布局、設備功能有一個大致了解；
(2) 確認哪些步驟是由計算機實施控制、監(jiān)視或者進行記錄的；
(3) 確定哪些工序/步驟可能對食品安全產(chǎn)生影響。
需要注意的是部分計算機系統(tǒng)僅僅用于產(chǎn)品質(zhì)量的監(jiān)控而不涉及安全衛(wèi)生。例如：炸薯條流水線用于監(jiān)控油溫的系統(tǒng)，其目的僅僅在于控制終產(chǎn)品的感官指標。
在此步驟，建議審核員獨立使用HACCP原理予以分析，確定關鍵工序和關鍵記錄步驟，排除其他干擾因素。
(4) 收集系統(tǒng)工作的邏輯流程簡圖，對照工藝流程圖實施分析。可通過比照人工操作的方式查看計算機系統(tǒng)執(zhí)行的邏輯是否合理。
(5) 進一步確認如下信息：
(a) 確定系統(tǒng)包含的主要部件和位置；
例如：主要的傳感器、微處理器的位置，與各類輸入輸出裝置的連接方式。
(b) 使用了何種計算公式得出結果，公式是否使用正確；
例如轉(zhuǎn)速(rpm/min)至維持時間的轉(zhuǎn)換，高壓容器內(nèi)蒸汽壓力至溫度的轉(zhuǎn)換等。
(c) 確認軟件是如何處理數(shù)據(jù)結果的；
例如：使用屏幕反饋、即刻打印。或是將結果反饋給控制執(zhí)行機構，形成循環(huán)。如圖2‑1所以的閥門開啟大小的反饋。
(6) 實地觀察操作員工與計算機的交互過程；
例如：確定操作員需要錄入哪些參數(shù)，哪些屬于關鍵參數(shù)。操作員讀取哪些參數(shù)，讀取后如何處理等。
(7) 確認計算機系統(tǒng)以及相關人員如何處理偏離情況；
(8) 記錄相應信息；
(9) 與法規(guī)進行比較，初步得出評估結論。包括：
(a) 系統(tǒng)運作是否符合關鍵點的控制要求；
(b) 傳感器輸入信息是否準確；
(c) 時間信息記錄是否準確；
(d) 糾偏以及應急處理措施的有效性；
(e) 記錄內(nèi)容是否完整、準確；
(f) 相關人員（包括操作、管理、維護和審核人員）是否得到有效培訓。
3.2 常用審核方法
3.2.1 與人工計算數(shù)值的比對
根據(jù)輸入的數(shù)據(jù)，人工計算結果再與計算機系統(tǒng)自動計算結果比較。例如，對于低酸罐頭F值的計算可以采用此法。
3.2.2 比照輸入輸出數(shù)值
現(xiàn)場比照傳感器的指示數(shù)據(jù)與計算機系統(tǒng)顯示的數(shù)據(jù)。或者使用計量合格的基準測量工具與其實施對比。例如：對于低酸罐頭殺菌，中國出口行業(yè)標準以及美國FDA要求獨立對照水銀溫度計比較計算機傳感器獲取的溫度數(shù)據(jù)是否準確[2]。
實施此類輸入輸出的比照的原因：防止傳感器探測的模擬信號經(jīng)過不恰當?shù)哪?shù)轉(zhuǎn)換產(chǎn)生失真，從而導致數(shù)據(jù)誤差。
例如：若信號轉(zhuǎn)換器出現(xiàn)故障，在輸入端讀得熱電偶溫度數(shù)值為80℃，在計算機系統(tǒng)的顯示器上可能顯示為100℃（見圖3‑1）。特別需要注意的是，這種故障可能僅僅存在于某一個測量區(qū)間。例如：在50-80℃呈現(xiàn)異常，而在0-20℃區(qū)間呈現(xiàn)正常。因此，有必要劃分若干個區(qū)間實施比照。
圖3‑1轉(zhuǎn)換器故障引起的數(shù)據(jù)異常
3.2.3 兩獨立系統(tǒng)監(jiān)控結果的比對
例如：對于計算機控制的多階段殺菌工藝，工藝參數(shù)事先通過編程輸入�？梢允褂锚毩⒌臒岱植紝嶒瀬韺Ρ闰炞C殺菌工藝的實際執(zhí)行情況。
3.2.4 時鐘比對
對于巴氏殺菌或者其它熱殺菌關鍵工序而言，通常將加熱維持時間作為關鍵點來控制，因此準確的時間監(jiān)控是極為重要的。
以往人工監(jiān)控時間參數(shù)，著重強調(diào)兩點，即：
(1) 時鐘的準確性。依靠定期校準來實現(xiàn)。
(2) 時鐘的可讀性。包括時鐘應安裝在監(jiān)控位置附近，方便監(jiān)控人員就近及時讀��；時鐘的表盤應清晰，刻度符合監(jiān)控參數(shù)的精度要求。
而對于計算機控制系統(tǒng)，通常情況下一個車間會有多臺設備，即會使用到分布式系統(tǒng)[3]。例如，如圖2‑4所示：在一家低酸罐頭企業(yè)內(nèi)，由一套PLC同時對兩臺殺菌鍋實施監(jiān)控（即一套PLC和兩臺殺菌鍋組成一個獨立的生產(chǎn)單元），在該獨立單元中PLC完成蒸汽壓力和加熱維持時間的監(jiān)控以及數(shù)據(jù)的收集和傳送，通過網(wǎng)絡提供給主服務器。每一個主服務器獲取監(jiān)控數(shù)據(jù)后統(tǒng)一進行儲存和打印。
圖3‑2分布式控制系統(tǒng)演示圖
(3) 基準時鐘的選擇。是由主計算機還是由PLC作為記錄的基準時鐘
在這種系統(tǒng)中同時存在著多個時鐘。時鐘之間的差異可能會引起數(shù)據(jù)間的矛盾或沖突�，F(xiàn)場審核時除按常規(guī)使用比照驗證外，還應額外關注：
(4) 時鐘的計時制。有一些計算機系統(tǒng)使用12小時計時制，而另一些采用24小時計時制。應進一步確認數(shù)據(jù)供給處理器的計時制和主服務器的計時制是否存在矛盾。
(5) 系統(tǒng)時鐘的重置機制。檢查各處理器的時鐘是否存在重置機制，重置機制可定期使各系統(tǒng)時鐘與基準時鐘保持更新一致。
審核時應確認重置的時間點（是在使用過程中，還是在非生產(chǎn)過程中），記錄并判斷時鐘重置的間隔是否合理。
3.3 審核內(nèi)容
3.3.1 執(zhí)行步驟核查
以計算機控制的CIP清洗為例：CIP清洗步驟一般包括[4]：預沖洗→堿性→中間沖洗→酸性→最后沖洗→生產(chǎn)前消毒等步驟。
可通過PLC程序設定面板查看執(zhí)行程序的框圖[5]，與規(guī)定的程序文件實施比照。
審核員可進一步確認計算機系統(tǒng)如何確認清洗的強度、洗滌劑殘留達標的控制手段，了解其具體的參數(shù)設置。
例如：計算機系統(tǒng)可依靠電導率儀判斷洗滌劑的濃度是否符合要求，依靠液位儀判斷缸內(nèi)洗滌劑的覆蓋面，依靠溫度傳感器控制洗滌劑的最佳作用溫度。
3.3.2 過程記錄檢查
在實施常規(guī)審核時，通常需要調(diào)閱大量紙質(zhì)記錄來獲取過程控制有效性的各類證據(jù)。對由計算機實施關鍵步驟控制的企業(yè)，同樣需要調(diào)閱計算機產(chǎn)生的各類記錄。當然，這類記錄可能以電子數(shù)據(jù)的形式存在。
建議審核人員關注：
(1) 電子記錄是否覆蓋法律法規(guī)（例如GMP和各類強制標準）、企業(yè)程序文件規(guī)定的所有必填項。
(2) 是否有安全措施保證計算機生成的數(shù)據(jù)不會被未經(jīng)授權的更改。
若錄入數(shù)值允許修改，系統(tǒng)應能識別修改的人員信息以及修改的原因。
例如：操作員工誤讀取了溫度計上的信息并且已錄入了系統(tǒng)，計算機系統(tǒng)警告操作人員錄入數(shù)值超出限值范圍了。操作員工讀取正確數(shù)值后錄入計算機，數(shù)值被系統(tǒng)接納。
建議核查上述過程中，修改的歷史步驟是否能被系統(tǒng)完整記錄，并且修改歷史記錄本身是不能刪改的。這一點等效于常規(guī)紙質(zhì)記錄修改時使用的劃線、簽修改人名字以及注明修改日期的方式。
(3) 通過計算機系統(tǒng)監(jiān)控關鍵控制點的，是否能在兩個記錄點內(nèi)記錄下過程中極值。（依據(jù)關鍵點的屬性可能為最大值和/或最小值）
例如：在一個高溫容器內(nèi)設置了一個溫度傳感器[3]，傳感器連續(xù)向計算機系統(tǒng)傳送溫度電信號，計算機每過數(shù)毫秒識別一次溫度信息，每過兩分鐘將溫度數(shù)據(jù)輸出打印。對此，有必要知曉在這兩分鐘周期內(nèi)數(shù)據(jù)的最小值。（見圖2‑1）
圖3‑3連續(xù)溫度檢測過程中記錄數(shù)據(jù)與監(jiān)測數(shù)據(jù)比較
(4) 電子記錄是否能以可讀取的方式及時提供給審核人員。
可以是紙質(zhì)的拷貝也可以在是通過計算機軟件顯示的經(jīng)過合理組織的形式（例如圖表、數(shù)據(jù)列表）。
(5) 若使用電子簽名的，確認其安全保密措施是否有效，能且僅能代表錄入信息的操作人員本人。
3.3.3 軟件使用安全檢查
(1) 確認工廠制定了相應的安全措施防止未經(jīng)授權的軟件代碼更改以及存儲數(shù)據(jù)的變更。這些變更包括非故意的刪除或者丟失。
(2) 確認工廠范圍內(nèi)具備權限以及具備對軟件做出變更能力的人員名單。
(3) 查看企業(yè)的《食品防護計劃》的信息部分[6]，確認在《食品防護計劃》中存在相應的程序，保證軟件使用和儲存的安全；
3.3.4 人員資質(zhì)檢查
現(xiàn)場審核時應確認對計算機系統(tǒng)具有關鍵操作權限的人員名單。這些人員可能不僅僅包括企業(yè)內(nèi)部人員，還包括設備供應商以及外部的顧問。
檢查內(nèi)容包括
(1) 確認操作、維護以及對計算機系統(tǒng)實施編程的人員是否經(jīng)過培訓，具備足夠的經(jīng)驗完成本職工作。
(2) 在出現(xiàn)應急情況時，技術支持人員是否能及時到崗處理故障。
在對相應企業(yè)的現(xiàn)場審核過程中，發(fā)現(xiàn)不少企業(yè)僅僅關注操作方面的培訓，而忽視了系統(tǒng)出現(xiàn)故障后的應急處理措施，包括人工應急操作處理，糾偏以及實施有效記錄等。
如同常規(guī)現(xiàn)場審核，可以通過查閱企業(yè)相關培訓記錄獲取這方面的信息。
3.3.5 備用人工操作有效性檢查
通常情況下由計算機系統(tǒng)控制的程序可同時由人工介入操作。在現(xiàn)場審核階段應確定哪些功能可以同時由人工操作，確認涉及到的具體設備。
確認人工操作和計算機自動控制交互的程度，以及這樣的交互是否會造成計算機控制的失效。
對照企業(yè)的相關程序文件，是否注明在何時、何種條件下，允許何類人工干預，誰被授權執(zhí)行這些操作。
檢查這些人工干預操作是否準確記錄。檢查執(zhí)行這些人工干預的操作人員是否經(jīng)過相應的培訓。
3.3.6 對系統(tǒng)故障恢復的檢查
(1) 確認企業(yè)是否配備恢復系統(tǒng)故障的程序或預案；
(2) 是否具備相應的程序，以控制在系統(tǒng)故障階段生產(chǎn)的食品。這些食品是否能得到有效隔離和后續(xù)評估；
(3) 若存在故障重啟恢復的實例，應重點關注：
(a) 系統(tǒng)恢復后，程序執(zhí)行點位于運行周期內(nèi)的哪一個步。是位于程序啟動最初的一步，還是任意一步，或者是程序暫停工作的那一步？（見圖3‑4）
(b) 查找重啟后已重復執(zhí)行（或者遺漏執(zhí)行）的步驟。這些重復執(zhí)行或者遺漏的步驟可能導致關鍵點監(jiān)控的失效。
(c) 確認是否記錄重啟恢復的時間點以及其他信息。
從系統(tǒng)故障到重啟恢復（或者使用備用人工操作模式）的耗時非常關鍵，例如：在低酸罐頭熱力殺菌階段，系統(tǒng)監(jiān)控的失效可能導致殺菌時間無法維持CCP點限值要求。而通過記錄相應的時間點，可方便后續(xù)的評估處理以及實施補救措施。亦可將有潛在安全隱患的產(chǎn)品（半成品）與合格品區(qū)分區(qū)分，減少損失。
圖3‑4系統(tǒng)故障恢復后程序執(zhí)行位置的判斷
3.3.7 對系統(tǒng)部件的維護和校準檢查
(1) 檢查更換的配件是否符合系統(tǒng)原廠設計的技術指標要求；
(2) 檢查和確認各類傳感器的適用性；
傳感器是作為計算機控制系統(tǒng)實現(xiàn)監(jiān)視和控制功能的重要部件，其精確度以及量程范圍應與待測參數(shù)的指標要求相匹配。例如：使用熱電阻傳感器監(jiān)控121℃高壓蒸汽殺菌的溫度，熱電阻傳感器的量程精確度必須達到121℃以上，低于100℃便不適用。
(3) 檢查企業(yè)是否對計算機控制系統(tǒng)的輸入（例如熱電偶傳感器、熱電阻傳感器、壓力傳感器等）和輸出實施驗證；
當然，無需對每項輸入、輸出數(shù)據(jù)實施人工核查，但應保持足夠頻率的核查水準以保證數(shù)據(jù)的精確性。
(4) 檢查企業(yè)是否定期對各類傳感器實施校準；
(5) 檢查企業(yè)糾偏或糾偏演練執(zhí)行情況。
當監(jiān)控關鍵工序的計算機控制系統(tǒng)的傳感器部件出現(xiàn)不精準的情況，那么在此期間生產(chǎn)的產(chǎn)品應被認定為潛在不安全的而予以追溯。
追溯的范圍包括從發(fā)現(xiàn)部件不精準開始起至前一次確認該部件正常運作期間生產(chǎn)的所有產(chǎn)品。
3.3.8 報警機制核查
當系統(tǒng)檢測到異常值（數(shù)據(jù)偏離關鍵限值）或者故障時會引發(fā)報警機制。在現(xiàn)場審核報警機制時應關注：
(1) 確認報警具體代表的環(huán)節(jié)或功能
例如報警可能代表電力、蒸汽供應的異常�；蛘邇H僅是操作指令完成的提示或反饋�；蛘呤称芳庸すば蛩幍囊环N狀態(tài)，例如：物料存放容器處于空置狀態(tài)或者滿載狀態(tài)的提示等。
(2) 確認報警限值設定的合理性
現(xiàn)場確認報警限值（thresholds）的設定依據(jù)是否明確，例如：是否依據(jù)關鍵限值或操作限值而設定。
(3) 檢查報警限值的設定是否可能被未經(jīng)授權的修改
例如：使用計算機系統(tǒng)監(jiān)控巴氏殺菌的殺菌水槽。根據(jù)HACCP體系文件，當水缸溫度T≤95℃中將觸發(fā)聲光報警�，F(xiàn)場操作員是否存在未經(jīng)授權將參數(shù)調(diào)整為T≤93℃的可能性？
(4) 確認報警事件是否得到記錄
進一步確針對認報警事件的記錄以及后續(xù)處理措施的記錄。確認記錄方式：是人工記錄在生產(chǎn)日志中還是由計算機自動產(chǎn)生電子記錄。
(5) 多重報警的處理措施
如2.8(4)所述的分布式系統(tǒng)，同一時刻可能觸發(fā)多重報警。若現(xiàn)場僅由一名員工實施系統(tǒng)監(jiān)控，應進一步詢問和確認其后續(xù)故障處理措施的及時性和有效性。
4、 結語
現(xiàn)代化的食品加工業(yè)離不開先進的自動化監(jiān)控系統(tǒng)。而這些系統(tǒng)是否運作有效又與食品安全息息相關。
對于設備制造企業(yè)，我們應鼓勵其制定行業(yè)標準，鼓勵認證機構對這類自動化監(jiān)控系統(tǒng)制定專門的認證標準；例如：類似安全儀表認證[7]等（SIF,Safety Instrumented Function）制定認證標準，實施第三方認證。
監(jiān)控設備的設計制造符合標準僅僅是保障食品安全的一方面。而設備的合理選用、正確操作與使用、以及故障和偏差的處理，記錄保障等是由食品加工企業(yè)作為使用者實現(xiàn)的。計算機監(jiān)控系統(tǒng)的有效運作仍然主責在食品加工企業(yè)，企業(yè)需要承擔食品安全的首要責任[8]。
對于審核員（無論第三方認證機構審核員還是官方審核員）。針對這類食品加工企業(yè)，我們實施技術審核方法需要更新和調(diào)整。例如：以往現(xiàn)場審核時通過對操作人員的觀察、詢問獲得審核證據(jù)的方式可能不能完全奏效了。必須進一步獲得計算機系統(tǒng)運作的程序框架，硬件配置、人機交互操作、數(shù)據(jù)安全處理等方面信息方能有審核發(fā)現(xiàn)。
當然對這類企業(yè)實施有效審核的前提仍然是正確有效地使用HACCP危害分析的工具，確定關鍵控制點。
參考文獻
[1] 汪小祿. HACCP在火腿罐頭生產(chǎn)中的應用[J]. 食品工業(yè), 2008(05): 51-3.
[3] U.S.FDA. GUIDE TO INSPECTIONS OF COMPUTERIZED SYSTEMS IN THE FOOD PROCESSING INDUSTRY[EB/OL] [2014-11-25]. [2015-5-11]. http://www.fda.gov/ICECI/Inspections/InspectionGuides/ucm074871.htm.
[4] 蔡林昌, 嚴偉榮, 蔡積赟, et al.飲料生產(chǎn)中的CIP[J]. 飲料工業(yè), 2001(06): 27-34.
[5] 高錦棟, 邱潤才, 姚智宇. CIP清洗系統(tǒng)的微機控制[J]. 中國乳品工業(yè), 1997(01): 32-5.
[6] 中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局.食品防護計劃及其應用指南[S].北京:中國標準出版社, 2010: 6.
[7] 邱輝.安全儀表系統(tǒng)的功能安全認證研究[D]. 北京: 首都經(jīng)濟貿(mào)易大學 Academic Department, 2010.
[8] 中華人民共和國食品安全法 [M]//全國人民代表大會常務委員會. 北京. 2015.