11 食品GMP MES：配方批次、洁净区、批记录、放行审计
专栏：制造业各行业MES业务流程、底层逻辑与系统适配性 ｜ 第11篇
读者：MES实施顾问、CIM/EAP工程师、工艺工程师、生产负责人
一、行业业务原点
接单模式：混合。一部分是按库存生产——标准品铺渠道，靠预测备货；一部分是按单生产——商超自有品牌、餐饮连锁定制、出口代工，包装规格和配方微调随单变。同一条线上午做自有品牌、下午做代工，这是食品厂的日常。
产品特征：单价低、体积大、保质期短。一个厂 100 到 400 个品种，单批产量 2 到 10 吨，一箱货值几十块，但一批货铺到几百家门店。保质期从 7 天（短保烘焙、鲜食）到 18 个月（罐头、饼干）不等。保质期短的产品，库存周转以小时计。
换线频率：高。一条灌装线一天换 4 到 8 个品种，每次换型要清洗 40 分钟到 2 小时。含过敏原的品种切换，还要做清洗验证，2 到 4 小时，验证不过要重洗。这个时间在排产里如果被忽略，排出来的计划一定是假的。
合规约束：HACCP 体系、食品生产通用卫生规范、生产许可，出口还要叠加进口国体系要求。批记录必须留档到保质期满后 6 个月到 2 年。留样要按批留、按温度留。召回演练要求几小时内出全链路清单。
主范式：Batch 批次配方。配料、调配、杀菌这三段，一批一锅、一锅一个配方、一锅一条工艺曲线，标准的批次范式。
次要范式：重复流水线。灌装、封口、贴标、装箱、码垛是标准的流水线段，节拍固定、工位固定、按瓶按袋计数。
判断依据：前段看锅，后段看瓶。前段错了整批报废，后段错了单瓶剔除。两套逻辑必须在同一个系统里共存，中间靠批次码打通。
二、标准业务流转链路
第一段 ERP：销售订单/预测 → 生产订单
单据：销售订单、要货计划、生产订单。
载体：物料号加需求日期。注意这里还带一个隐含约束——交货期必须早于保质期，系统里往往只有一个日期字段。
最容易断的地方：保质期约束没传到排产。ERP 按"客户要货日"下订单，MES 按"设备空闲"排产，先产了临期货，后产了新鲜货，结果新鲜货先发、临期货压库。这个错在财务上三个月才看得出来。
第二段 PPC/APS：主计划 → 日排产
单据：主生产计划、日排产表、换型计划。
载体：锅次、线别、时段。
最容易断的地方：清洗时间和过敏原顺序没进模型。排产结果一天换 8 个品种，实际产能只能换 5 个，计划从下发那一刻就是超额的。另一个常见断点是过敏原顺序——先做含花生酱的，再做无过敏原的，中间要验证清洗；反过来做就省一次验证。排产不考虑这个顺序，清洗成本翻倍。
第三段 MES：工单 → 配料 → 批记录
单据：工单、配料单、称量记录、批生产记录、清洗记录、偏差记录。
载体：批次码。一批一个码，从投料生成到成品入库不变。
最容易断的地方：手工投料不入系统。大料（糖、面粉、油）有自动称量，小料（香精、色素、防腐剂、维生素）靠人拿小勺称，称完记在纸上，下班统一录。这一段的记录一旦是事后补的，批记录的真实性就没了，追溯也只剩个大概。
第四段 EAP/设备层：曲线 → 设备
单据：杀菌曲线、CIP 记录、金检剔除记录、灌装计数。
载体：批次码加设备号。
最容易断的地方：杀菌釜的曲线只打印不采集。设备自带记录仪，出一卷打印纸，随批归档。纸上有曲线，系统里只有一个"合格"的勾。要查某一分钟的温度，得翻纸。
第五段 检验/入库：检验单 → 入库单
单据：理化检验、微生物检验、感官评定、留样记录、放行单。
载体：批次码加留样柜位号。
最容易断的地方：微生物结果 3 到 5 天才出，货已经装车在途。行业里叫"待检放行"，靠风险评估顶着，但系统里如果没有"待检"这个状态，这批货在账上就是"合格"，出了事说不清。
第六段 出货：发货单 → 门店
单据：发货单、拣货单、冷链温度记录。
载体：箱码加批次码，一物一码。
最容易断的地方：先到期先出被手工改。业务员为了清某个客户的旧货，让仓库改拣货批次，系统里没有拦截规则，改完就发出去了。等到门店投诉临期，回头查不到是谁改的。
三、管控优先级（严格排序）
第一位：配料称重防错。
错了会出什么事：少加一种防腐剂，保质期内整批霉变，货在货架上胀袋；多加一种添加剂，超标，行政处罚加召回。一批 5 吨，货值不高，但召回要覆盖几百家门店，加上品牌损失，一次就是七位数。更麻烦的是这类错往往不是一批，是一个班次连续几十批。所以配料防错必须是硬拦截：称量值与配方值比对，超差不开阀、不放行、不打印标签。这条是生死线。
第二位：CCP 参数的真实与完整。
杀菌温度低 2 度、时间短 3 分钟，商业无菌就不成立。这个错不会当天暴露，会在货架期第 20 天到第 60 天集中爆发。CCP 的记录不能是"平均值合格"，必须是完整曲线，能证明每一秒都在限值内。曲线缺一段，这批就要按偏差处理。
第三位：批次谱系与召回能力。
要求是几小时内出全链路清单：这批成品用了哪些原料批次、发到了哪些客户、还有多少在库在途。做不到这一点，一次舆情就能让整个品类下架。这一条排在第三不是因为不重要，是因为前两条做不好，压根不需要召回——货本身就不合格。
第四位是清洗验证与过敏原隔离，第五位是 FEFO 与库存周转。
四、MES适配特征
底层引擎类型
以批次配方为核心的引擎，且必须支持双段模型：前段（配料、调配、杀菌）按批次建模，后段（灌装、包装）按流水线建模。两段之间用批次码继承，不允许断。
只有流水线段能力的引擎做不了食品，因为它没有"配方版本"和"批次谱系"这两个实体；只有批次段能力的引擎也做不全，因为灌装段的瓶级计数和剔除它接不住。
核心模块重心（三个必须做深的模块）
- 配方与配料防错。配方要有版本、有生效时点、有审批；称重要接秤、要比对、要留原始重量值，不是只留"合格"。
- 电子批记录。一批一份，含实际投料、实际参数曲线、清洗记录、偏差、签名。格式要能直接打印出来给人看，也要能按字段检索。
- 批次谱系与放行。正查反查一秒出结果，放行要有独立的状态机，不是把工单状态改成"完成"就算放行。
EAP采集重点
采什么：杀菌釜的温度、压力、F0 值；CIP 的回液电导率、温度、流量、时间；金属检测的剔除信号与灵敏度自检；X 光机的剔除记录；灌装机的速度与计数；洁净区的温湿度、压差、沉降菌（离线）。
多快：杀菌曲线 1 到 5 秒一个点，全程不能断点；CIP 10 秒级；金检按事件采，每一次剔除都要带时间戳和批次码；灌装计数按瓶。
采不到怎么办：老杀菌釜只有纸带记录仪，没有通讯口。这种要么加装温度采集模块（成本不高，必须做），要么整条线不上电子批记录——因为 CCP 数据靠人抄，批记录就是假的。这一条没有中间路线。
追溯单元
批次码为主，成品再加一物一码（瓶码、袋码、箱码）。原料端挂供应商批号和入厂日期，成品端挂门店或经销商。食品的追溯必须能向下追到"发给了谁"，这是和装备、汽车最大的不同。
排程约束
约束清单：保质期与剩余货架期、清洗换型时间、过敏原顺序（先无后有）、锅容与线速匹配、人员健康证与岗位资质、冷链可用性、留样与稳定性考察占用。
注意"锅容与线速匹配"这一条：一口锅 5 吨，灌装线一小时 8 吨，一锅料必须在 40 分钟内灌完，否则中间罐存放超时要判废。排产把锅和线分开排，就会排出一锅料等两小时的情况。
| 子项 | 食品 GMP 的答案 | 判定要点 |
|---|---|---|
| 底层引擎 | 批次配方为核心，前后双段 | 必须同时有配方版本和批次谱系实体 |
| 核心模块 | 配料防错、电子批记录、谱系放行 | 称重要接秤，批记录要能按字段检索 |
| EAP 采集 | 杀菌曲线、CIP、金检剔除，秒级 | CCP 数据必须自动采集，不允许人工抄 |
| 追溯单元 | 批次码加一物一码 | 要能向下追到客户和门店 |
| 排程约束 | 保质期、清洗、过敏原顺序、锅线匹配 | 清洗时间不进模型，排产就是假的 |
五、✅ 这套方案的优势
批次引擎天生擅长"投入产出"的多对多关系。
原因在数据模型。批次谱系是一张关系表，左边是投入批次，右边是产出批次，中间是数量。一批白砂糖可以分到五批成品，一批成品可以用三批白砂糖，这张表天然表达得了。正查是"这批糖去了哪些成品"，反查是"这批成品用了哪些糖"，都是一次索引。这种模型不需要额外开发，建表的时候就长这样。
第二个天生优势是批记录的模板化。批记录在模型里是"模板加实例"：模板定义有哪些工序、哪些参数、哪些签名位；实例是某一天某一锅的实际值。模板改版不影响历史实例，历史实例也不允许被改。这个结构让"每批一份、批批可查、批批可比"变成默认行为，而不是靠文控去管。
第三个优势是参数按时间序列存。杀菌曲线、CIP 曲线在模型里是时间序列点集，不是一个平均值字段。有了点集，才能回答"第 12 分钟到第 14 分钟温度掉了 3 度"这种问题；只有平均值，这种问题永远答不了。食品的 CCP 判定，本质上是对曲线的判定，不是对数字的判定。
第四个优势是状态机天然适配放行。批次有明确的生命周期：待检、合格、放行、拒绝、召回。这个状态机和批次是一对一的，不需要额外建模。工单引擎里没有这个概念，放行只能靠"改个字段"，改完没有痕迹。
六、❌ 天然短板与局限
崩法一：小料靠人、记录靠补。 场景：一个班次做 6 锅，每锅 8 种小料，工人称完在纸上打勾，下班前统一录进系统。系统里显示全部合格，实际有两锅香精加错了。这种厂上电子批记录，只是把纸上的错搬到了屏幕上。判据：小料称量如果没有接秤、没有扫码核对，电子批记录的价值等于零。
崩法二：批记录事后补签。 场景：审核时发现某批的杀菌记录签名位是空的，班组长拿笔补了一个名字，日期写成当天。打印出来看不出问题。系统如果有审计追踪，能看到这条记录是三天后新增的；如果系统允许"编辑批记录"，那就永远看不出来。这一条直接决定这套系统能不能过审。
崩法三：曲线只存结果不存过程。 场景：杀菌釜的采集程序每 10 分钟取一次温度，存一个平均值。某批在第 8 分钟有一个 40 秒的低谷，平均值看不出来。这批货发了，两个月后市场反馈胀袋。查记录，记录是"合格"的。这类系统的模型缺陷在于把连续量当离散量存，后面再怎么分析都补不回来。
崩法四：多工厂批次码不统一。 场景：三个工厂各自编码，A 厂用"日期加锅号"，B 厂用"品种加流水"，C 厂用"客户代码加日期"。集团要做统一召回查询，得写三套解析规则，还经常撞码。追溯单元不统一，集团级追溯就是空话。
崩法五：共线生产的清洗验证靠人填表。 场景：从含坚果品种切到无坚果品种，清洗验证表由操作工填，电导率、温度、时间三个值都是"合格"。实际流量不足，洗了 20 分钟就结束。系统没有接 CIP 的在线仪表，验证表是一张纸。这是过敏原召回最常见的根因。
崩法六：待检品物理隔离缺失。 场景：系统里设了"待检"状态，但仓库没有物理隔离区，货堆在一起，发货员看堆位不看状态，把待检的发出去了。微生物结果三天后出来不合格，货已经在门店。系统状态和物理状态两张皮，是食品厂最典型的管理漏洞。
七、APC/FDC适用场景
结论：生产段完全不适合闭环 APC，包装段只适合设备级闭环，整体适合离线 FDC 分析。
依据三条。
第一，测量严重滞后。微生物结果 3 到 5 天，理化结果几小时，感官评定靠人。APC 需要"这一批的结果"去修正"下一批的参数"，反馈周期 3 天，中间已经生产了 20 批，等结果回来，参数早就该变了。
第二，配方不可自由调。配料表是注册或备案的，添加剂用量有法定上限，改一个配比要走标签变更、备案变更，周期以月计。自动调参在食品里不是技术行为，是合规行为。
第三，收益不对。食品的工艺窗口通常很宽（杀菌 121 度正负 1 度都能过），过程波动带来的质量损失远小于原料波动带来的损失。花大钱做闭环，不如把原料入厂检验做实。
能做的离线 FDC：杀菌釜热分布与热穿透的批次间比对、CIP 电导率曲线异常识别、灌装量标准差趋势、金检灵敏度自检记录的趋势。这些是"发现问题、人去处理"。
真正能做闭环的是包装段的设备控制：灌装液位靠在线称重反馈、贴标位置靠视觉反馈、装箱靠计数反馈。这些属于设备自控，不属于 MES 的 APC，但实施时经常被混在一起谈，要分清。
八、选型红线
绝对不能选不能出批次谱系、不能做电子批记录的 MES。
具体到模型能力，看五条：
- 没有独立的批次谱系表，投入产出关系只能用"工单用料"近似。这种结构下，"这批糖去了哪几批成品"要跨四张表拼，还拼不准。
- 批记录是"报表"，不是"实体"。表现是批记录只能打印、不能检索、不能按字段查询、不能签名。
- 批记录可以被编辑，且编辑不留审计追踪。这一条最致命，等于系统主动帮你造假。
- 配方没有版本和生效时点，改配方直接覆盖。历史批次回头查，看到的是新配方，追溯直接失效。
- 追溯单元只到"工单"不到"批次码"。食品的一物一码要求瓶级、箱级都有码，只到工单的系统接不住。
还有一类要避开：把食品当纯流程行业做的方案。这类方案只有配方和参数曲线，没有后段流水线的瓶级计数和剔除，灌装段要靠人工报数，产量和损耗永远是估的。
九、横向对比小结
食品 GMP 和医药 GMP 用的是同一套批次引擎，差在证据的强度和验证的义务：食品要证明"过程受控"，医药要证明"每一个动作可归属、系统本身被验证过"。所以食品的批记录可以接受"关键点留痕"，医药的批记录必须"全过程留痕且不可改"。这条差别在本专栏第 12 篇医药制药里展开，做食品的人去看那一篇，重点看审计追踪和验证那两段，会明白自己的系统还差多远。
十、文末引导
配套Excel工艺计算工具、良率SPC模板在主页资源栏目，适合CIM、良率工程师日常使用。
