#687 1963 · NASA / Pillsbury Company (Paul Lachance, Howard Bauman) · Food safety / quality engineering

NASA 意识到没法靠测试保证宇航员食品安全，于是不再测成品，转而控制生产过程

问题

对成批食品做污染检测会毁掉样品，而且仍会漏掉大部分出厂产品

背景

NASA 要为宇航员准备维持数天或数周的太空任务，而他们离任何医生都有几十万英里远。航天局需要的食品必须保证不含任何病原体或污染——在轨上发生一次食物中毒就可能酿成灾难，这是地球上绝不会有的风险。NASA 早期的做法沿用了食品行业的标准：先对成批成品做污染检测，再认证为安全。

这个做法有个根本缺陷。检测食品样品中的细菌通常要毁掉样品本身，所以没有厂商能逐一检测每个单位而不毁掉整批要卖的产品——检测永远只能抽样，而真正送到宇航员餐盘上的大部分食品从未被直接验证过。

换别人会怎么做

在出厂前检测更多成品——这是每家食品厂商都在用的标准品控做法：收紧抽样比例到宇航员能拿到之前，或在产线末端加设更多检验站来拦截污染。

他们看到了什么

检测一批成品中有没有病原体，本质上要么是破坏性的、要么在统计上不完整——你只能检测愿意毁掉的样品，这意味着真正出厂的大部分食品根本没被测过；而对几十万英里外没有医生的宇航员来说，混进一件未检的受污染食品绝不可接受。真正的问题不是「如何检测更多产品」，而是「污染最初究竟会从生产过程的哪个环节进入」——只要能在这些具体环节逐一识别并直接控制，成品就不需要靠检测来证明安全，因为不安全的东西根本进不来。

那一手

从 1963 年起，NASA 的阿波罗计划办公室与 Pillsbury 食品科学家 Howard Bauman 和 NASA 的 Paul Lachance 合作，采用了美国陆军此前用于保障医疗用品质量的可靠性工程方法：不再检测制成品有无危害，而是逐段梳理生产过程，找出污染实际可能进入的具体环节，再在这些关键控制点上做有针对性的预防和持续监测。

为什么管用

通过梳理食品生产的每个阶段、识别危害（细菌、异物）实际可能被引入的具体关键点，再在这些点上做精准预防和持续监测，Pillsbury 和 NASA 把质量保证从抽检出厂成品，转向控制生产出这批产品的过程。这意味着每一件产出的产品都带有同样的内建安全，而不只是碰巧被测过的那个统计样本；也不需要毁掉一批中的一部分来证明其余安全。直接借用美国陆军保障医疗用品质量时现成的可靠性工程方法，让这套系统有了已验证的结构模板，而无需从零搭建危害分析。

值了多少

这套系统就是后来广为人知的 HACCP。它让 Pillsbury 无需毁掉样品即可证明食品安全，因为安全性已内建在过程中，而非事后到成品里验证。Pillsbury 于 1971 年首次公开该方法，次年用来培训 FDA 检查员，FDA 也于同年将该方法纳入低酸罐头食品安全法规。

什么时候会失灵

只有当生产过程中每个真实危害点都能被提前识别并监测时，它才有效——一条没人预料到的全新污染途径会从这套完全围绕已知关键点设计的系统中溜过去，这是任何预防导向系统都有的盲区，随机抽检出厂成品至少还有机会抓到意外情况。而且它要求每次生产全程持续监测每个关键点，运营承诺比定期检测成品更重，尽管它给出的保障更强。

后来呢

1993 年一起因未烤透的碎牛肉引发的 E. coli 疫情，促使肉类和家禽业游说推行 HACCP 监管；到本世纪初，USDA 和 FDA 已把 HACCP 设为美国几乎所有商业食品生产的强制要求。这套源于「给宇航员供餐」这一特殊问题的框架，如今已成为全球 100 多个国家食品安全体系的基础标准。

资料来源

[1]How the Moon Landing Led to Safer Food for EveryoneNASA, 2019spinoff.nasa.gov
[2]History, development, and current status of food safety systems worldwidePubMed Central (National Institutes of Health), 2019pmc.ncbi.nlm.nih.gov