可食用涂层加工线的食品防护风险评估：TACCP与CARVER+SHOCK的比较案例研究

《Foods》：Food Defense Risk Assessment of an Edible-Coating Processing Line: A Comparative Case Study Using TACCP and CARVER+SHOCK

　　

美国FSMA故意掺假（IA）规则以及GFSI认可的认证方案（如IFS Food和BRCGS Food）包含建立和维持书面食品防护计划（包括脆弱性评估）的要求。本研究评估了两种成熟的食品防护风险评估方法TACCP和CARVER+SHOCK在带可食用涂层的整果橙子加工中的适用性和政策相关性。在一家获得IFS Food和BRCGS Food标准认证的中型柑橘加工企业开展了一项结构化案例研究。研究人员使用FDA食品防护自我评估工具系统地识别了整个生产线上的食品防护威胁。随后，使用基于可能性和影响的TACCP，以及整合运营、经济和心理影响因素的多维定量方法CARVER+SHOCK对已识别的威胁进行评估。共识别出24个潜在故意污染威胁。两种方法均一致识别出关键控制点上的关键脆弱性，特别是在清洗系统、化学品处理区域以及无限制进入的阶段。TACCP被证明快速、直观，易于整合到现有的食品安全管理体系中。相比之下，CARVER+SHOCK因其多维评分结构对所识别威胁提供了更具差异化的排序，从而支持制定结构化和经济合理的缓解计划，并为寻求协调风险评估实践的政策制定者和认证机构提供了价值。

**论文解读：可食用涂层加工线的食品防护风险评估——TACCP与CARVER+SHOCK的比较案例研究**

**一、研究背景与问题**

食品安全领域日益关注食品防护（Food Defense），即防范针对食品供应链的故意污染或恶意破坏行为。随着全球食品供应链日益复杂，消费者对食品安全和真实性的期望不断提高，食品防护已成为GFSI认可的所有标准（包括IFS Food和BRCGS Food）的可审核要求。美国FSMA故意掺假规则（IA Rule）进一步要求建立书面食品防护计划，涵盖脆弱性评估、缓解措施、监控、纠正措施、验证和培训，并明确考虑“内部攻击者”情景。食品防护区别于食品欺诈（Food Fraud），后者通常指出于经济动机的欺骗行为，通过VACCP系统管理；而食品防护聚焦于故意恶意行为，如破坏、恐怖主义或刑事篡改，旨在造成公共卫生、经济或社会危害。

尽管威胁识别（第一步）和风险管理（第三步）通常有较好的文献和行业指南支持，但风险评估（第二步）仍是一项复杂且往往模糊的任务，尤其是在新兴食品技术（如可食用涂层整果）背景下。当前缺乏针对特定食品工艺选择和应用风险矩阵的标准化强制协议。现有法规和自愿性框架虽提供一些指导，但方法各异，可能导致行业困惑，因为并未强制规定特定食品工艺必须使用何种矩阵模型。缺乏明确指南意味着风险矩阵的选择常由评估者自行决定，可能受个人经验、主观判断或组织偏好影响，导致不同评估之间的一致性和可靠性存在显著差异。

创新食品产品（如带可食用涂层的整果）引入了新的挑战。涂层旨在延长货架期和改善外观，但需区分传统柑橘加工中已存在的脆弱性与可食用涂层技术本身带来的脆弱性。传统设施常见问题包括原料接收、清洗系统、储存、运输和可追溯性控制；而可食用涂层操作引入了额外成分、制备阶段、浸蘸系统、沥水程序、干燥操作及相关处理活动，创造了传统柑橘包装线中不常见的脆弱性节点。例如，浸蘸槽和环境温度干燥室因其开放式设计和长时间暴露可能成为污染源，需要专门的食品防护风险评估。橙子作为全球主要水果，占全球柑橘产量50%以上，出口量超40%，其国际贸易价值巨大。可食用涂层因其延长货架期、减少采后损失和增强安全性而受到关注，但其在食品防护评估中的应用缺乏比较证据。

因此，本研究的科学兴趣不在于开发新方法，而是评估两种成熟方法（TACCP和CARVER+SHOCK）在同一工业背景下的表现差异，帮助从业者根据运营特点选择最合适的评估框架。

**二、主要关键技术方法**

本研究采用案例研究设计，针对西班牙瓦伦西亚一家中型柑橘加工企业（年产能约12000吨，75名员工，获得IFS Food和BRCGS Food认证）的带可食用涂层整果橙子生产线进行食品防护评估。研究团队使用美国FDA食品防护自我评估工具（Food Defense Self-Assessment Tool）系统审查从原料接收到最终发货的每个流程阶段，识别潜在故意污染机会，共确定24个威胁。随后分别采用TACCP方法（基于可能性×影响评分，简化五级分类）和CARVER+SHOCK方法（七个维度：关键性、可及性、可恢复性、脆弱性、效应、可识别性和冲击，各维度1-10分，总分超过50为高风险）对每个威胁进行评估。TACCP和CARVER+SHOCK的评分由研究团队基于设施特征、可及条件、流程布局、潜在污染机会、预期后果和恢复要求进行集体讨论达成共识后确定。样本队列来源为单一工业设施，具有GFSI认证、出口导向、传统柑橘加工和可食用涂层技术等典型特征。

**三、研究结果**

**3.1 食品防护威胁识别**

通过FDA工具识别出员工相关、访客相关、承包商相关和基础设施相关的脆弱性。由于该设施已实施食品防护培训、访客管理、限制进入政策和物理安全措施，内部威胁的重要性相对降低。最相关的脆弱性与特定加工操作相关，共识别出24个威胁。这些威胁反映了最小加工果蔬（MPFV）操作中常见的模式，即缺乏最终杀菌步骤，产品生鲜消费，加工中仅进行适度微生物减少，增加了风险。具体威胁包括：原料接收阶段化学添加剂掺假和涂层成分替换；清洗阶段开放式水槽和化学品储存不当；涂层浸蘸和干燥阶段开放式设计和长时间暴露；人工分选和分级阶段人为因素难以控制；包装、标签和运输阶段标签和可追溯性数据篡改等。研究指出，大多数识别出的脆弱性并非可食用涂层橙子生产独有，而是常见于传统新鲜农产品加工设施；可食用涂层工艺的具体贡献是引入了额外加工阶段（涂层成分接收、配方制备、浸蘸操作、沥水活动、干燥室、涂层相关材料和器具储存），需要独立评估。

**3.2 比较风险评估结果**

**3.2.1 TACCP与CARVER+SHOCK的总体比较**

两种方法在方法路径、范围和结果上存在显著差异。TACCP是简单、半定量的方法，基于HACCP原则，评估可能性和影响，易于整合到现有食品安全管理体系，符合PAS 96建议，适合中型组织。CARVER+SHOCK是定量、多维工具，源自军事应用，评估七个属性（关键性、可及性、可恢复性、脆弱性、效应、可识别性、冲击），允许更精细的分析，特别适用于高风险环境或复杂供应链。在本案例中，CARVER+SHOCK的应用复杂度显著高于预期，需要大量具体输入数据（运营布局、访问控制、心理和经济影响评估），需广泛收集信息。但尽管挑战较大，CARVER+SHOCK提供了更具差异化的威胁排序，例如开放式洗涤槽因高可及性和脆弱性得分较高，而仅限明显损伤的视觉检查得分较低。

**3.2.2 关键脆弱性识别**

TACCP和CARVER+SHOCK在识别高风险威胁方面表现出高度一致性。两种方法均将伊马唑利储存缺乏限制访问、洗涤槽开放式设计以及添加剂在制造或运输过程中的掺假列为高优先级风险。对供水系统的攻击被认为是最频繁且最容易攻击食品链的方式之一。两种方法均清晰识别了洗涤槽脆弱性作为优先事项。这些结果证明两种方法均能识别可能严重危害食品安全的高风险威胁，满足GFSI认可标准（如IFS和BRCGS）的要求。

**3.2.3 脆弱性排序与风险区分**

TACCP作为半定量方法，无法像CARVER+SHOCK那样提供差异化的优先级排序。例如，缺乏剂量操作视觉控制、开放式传送带便于污染物引入和储存访问控制不足均被评为极高风险，表明同等紧迫性；但CARVER+SHOCK为这些威胁分配了48、43和55分，显示其重要程度不同。可识别性因素是造成差异的原因之一，该因素在TACCP中未直接考虑。对于中等风险，两种方法大多一致，但CARVER+SHOCK能更具体地表达其关键性和潜在影响。CARVER+SHOCK独有的“冲击”因素评估社会和经济后果，这是TACCP缺乏的。最核心的差异在于优先级排序方式：TACCP将威胁归入较宽泛的风险等级，CARVER+SHOCK则通过多维评分产生更细致的排序。

**3.2.4 对缓解计划的影响**

洗涤槽开放式设计、伊马唑利储存无限制访问和浸蘸槽无限制进入被TACCP评为极高风险，但CARVER+SHOCK分别给予56、55和53分，使缓解措施能更精确排序。CARVER+SHOCK支持组织根据优先级分配缓解预算，但更高评分分辨率不应被误解为更准确的证据。TACCP适合寻求清晰实用框架、管理日常运营风险的组织；CARVER+SHOCK适合战略风险管理，特别是威胁可能产生深远影响的行业。TACCP倾向于高估风险，可用于快速检测。研究明确说明，本比较应视为对两种方法在特定设施中优先级排序方式的评估，而非验证其准确性或有效性。

**3.3 食品防护缓解策略**

基于风险评估结果，制定了假设性实施场景的缓解计划。研究建议对高风险区域（预洗、洗涤、涂层制备、包装标签堆垛）安装安全摄像头；限制对关键区域（淋洗剂量、应用、沥水、干燥、储存）和化学品（伊马唑利、次氯酸钠）的访问；对原料接收加强供应商审计、运输监控、接收控制和可追溯性控制；对伊马唑利和次氯酸钠剂量实施持续监控和报警系统；对运输阶段加强锁定和记录；对可追溯性数据考虑区块链系统以防篡改。CARVER+SHOCK建立的明确优先级顺序允许为每项措施分配具体时间表，而TACCP因同一风险等级包含多项措施且缺乏内部排序，可能妨碍决策。研究认为CARVER+SHOCK在设计和实施缓解计划方面比TACCP更清晰，但强调缓解时间表仅为规划示例，实际优先级、成本和期限取决于具体设施条件。研究还指出，识别出的许多脆弱性（开放式设备、水基操作、成分处理、储存、运输、可追溯性）并非柑橘加工独有，也适用于鲜切水果、最小加工蔬菜、浆果、鲜食葡萄等产品，可食用涂层技术引入的额外节点与其他新兴采后技术有共性。

**3.4 研究局限性**

本研究在单一工业设施内进行，结果可能无法直接推广至其他柑橘加工操作或食品部门。评估依赖专家判断和作者共识，未进行独立验证、评估者间信度分析或实施后评估。未来研究应纳入多个设施、不同工艺配置和独立验证方法。

**四、结论**

本研究对采用可食用涂层技术的鲜橙加工线进行了全面的食品防护脆弱性评估。通过应用和比较TACCP与CARVER+SHOCK，证明两种方法均能识别关键食品防护威胁并满足GFSI认可标准和美国FSMA IA规则的要求。两种方法一致强调了与水基操作、化学品储存和剂量、开放式加工设备以及涂层应用和储存区域访问控制不足相关的高风险脆弱性。然而，两种方法在优先级排序和实际可用性方面存在显著差异。TACCP简单、直观、快速部署，易于整合到现有食品安全管理体系，其高估风险的倾向确保保守方法，但半定量性质限制了区分高风险威胁优先级的能力。CARVER+SHOCK通过纳入战略、经济和心理影响维度，提供了更详细、定量的脆弱性排序，尽管需要更多数据、技术专长和时间投入，但能实现更清晰的缓解行动层级和更高效的资源分配。对于所研究的中型柑橘加工企业，CARVER+SHOCK提供了更具差异化的威胁排序，有助于设计结构化和优先化的食品防护缓解计划。本研究为新兴鲜产加工系统中食品防护评估方法的比较文献做出贡献，结果说明不同评估框架可能导致不同威胁优先级，从而影响缓解策略的设计和实施。两种方法均能识别需缓解的脆弱性，选择哪种方法取决于组织的运营目标、可用资源和所需评估细节。研究结果仅限于所评估设施，不代表整个行业，未来需多设施和独立验证研究以评估普遍适用性。