4. 危害识别与风险评估基础

召回范围不是凭感觉划出来的，它由危害本身的特征决定。同样是"产品不合格"，微生物污染可能只涉及一个班次的产品，而化学迁移可能横跨数月产量；一颗金属碎片可能只影响单件包装，而过敏原标签错误往往意味着整条产品线全部召回。理解生物、化学、物理三类危害的"行为方式"，是判断召回深度（召回层级）与广度（涉及批次、区域、客户）的第一块基石。

三类危害的本质差异

生物危害指致病菌（沙门氏菌、单核细胞增生李斯特菌、大肠杆菌O157:H7）、病毒、霉菌毒素或腐败微生物。它的关键特征是活的、会增殖的、分布不均匀的。一个初始污染点可能在适宜温度下随时间放大数个数量级，因此"检出即超标"往往意味着同批产品普遍存在风险；同时微生物在物料中呈斑块状分布，抽样阴性并不能证明整批安全。生物危害还常与加工环境（设备死角、冷凝水、排水口）形成持久污染源，一旦环境分离株与产品分离株同源，召回范围就要从"某批产品"扩展到"该生产线在污染窗口期内的全部产品"。

化学危害包括农药残留、兽药残留、重金属、真菌毒素、清洗剂残留、非法添加物以及加工过程产生的污染物（如丙烯酰胺、苯并芘）。它的特征是浓度可测、相对均匀、具有剂量—反应关系。化学危害通常不会在成品中增殖，但会沿物料混合、稀释、分配过程被"摊平"：一桶超标原料进入配料罐后，污染物会按比例分散到所有使用该罐的产品中。因此化学危害的召回范围判断高度依赖物料平衡与批次追溯——用了多少超标原料、混入哪些批次、稀释倍数多少、最终浓度是否仍超限量。若最终浓度低于法规限量，可依据风险评估缩小范围；若无法证明稀释充分，则按最坏情况扩大。

物理危害指金属、玻璃、硬塑料、石块、骨头碎片等硬质异物。它的特征是离散、偶发、与设备状态强相关。异物通常来自破损的筛网、磨损的刀片、脱落的密封圈或维修遗留工具。物理危害的分布往往集中在故障发生的时间窗口内，因此召回范围常以"设备异常前后的生产时段"为边界。但异物也可能进入多个批次，尤其是共用输送带、共用包装线的情形，需要通过金检机/X光机的剔除记录、设备维护日志来反推受影响批次。

从危害特征推导召回范围的三个关键量

把上述差异落到操作层面，召回范围实际上由三个量共同决定：污染时间窗、物料扩散面、危害严重度。

污染时间窗回答"从什么时候到什么时候的产品可能受影响"。生物危害的时间窗由污染引入点与增殖条件共同决定，例如冷却隧道温度失控的6小时；化学危害的时间窗由超标原料的投料起止时间决定；物理危害的时间窗由设备故障或维修作业的起止时间决定。时间窗越难界定，召回范围越应取保守边界。

物料扩散面回答"这些产品流向了哪里"。生物危害沿生产线和冷链扩散，需追到同一生产日、同一设备、同一冷链暴露的所有批次；化学危害沿配料与混料扩散，需用物料平衡计算受影响成品数量；物理危害沿共用输送与包装线扩散，需核对同线其他产品的生产时段。扩散面直接决定召回是"单批次"还是"多批次"，是"区域"还是"全国"。

危害严重度回答"要不要召回到消费端"。致病菌、过敏原、硬质异物通常构成严重健康风险，即使暴露量低也应考虑消费端召回并公告；而某些化学污染物在稀释后低于限量、且无急性风险时，可依据风险评估将召回限制在流通环节。严重度判断应参照法规限量、健康参考值和既往病例，而不是凭经验拍板。

实操示例：一次假设的混合污染判定

假设某调味酱工厂在2024年3月12日发现一批花生原料的黄曲霉毒素B1检测值为28 μg/kg，超过企业内控限值20 μg/kg（示例数据，仅用于演示判定逻辑）。该批花生共1.2吨，于3月5日至3月9日分四次投入三个产品配方。此时不能简单地把3月5日至9日的所有成品全部召回，而应先做物料平衡：

受影响成品批次 = 投料批次 × 配方中花生占比 × 稀释系数
示例：批次A 使用花生300 kg，配方占比12%，成品25吨
      批次B 使用花生450 kg，配方占比8%，成品56吨
      批次C 使用花生450 kg，配方占比5%，成品90吨
若成品中黄曲霉毒素按投料比例折算后仍高于20 μg/kg，
则该成品批次纳入召回；低于限值的批次记录在案、暂不召回。

这个示例说明：化学危害的召回范围是"算出来"的，而不是"猜出来"的。计算所需的投料记录、配方比例、成品产量必须可追溯，否则只能按最坏情况全量召回。相比之下，若本例中检出的是一颗2 mm金属碎片，判定逻辑就完全不同——应调取金检机剔除记录与设备维修日志，锁定故障发生的那一班次，范围通常远小于化学危害。

常见误判与纠正

实践中三类典型误判值得警惕。其一，用抽样阴性缩小生物危害范围——微生物分布不均，抽样阴性只能说明该样本未检出，不能证明整批安全，尤其当环境监控已提示同源污染时。其二，用"稀释后应该没事"缩小化学危害范围——稀释结论必须有配方与投料数据支撑，且要按最坏混合情形核算，不能以平均值代替。其三，用"只坏了一台设备"缩小物理危害范围——需确认该设备是否与其他产线共用、故障前是否已有产品流出，剔除记录是否完整。纠正这些误判的共同方法是：让危害特征决定证据类型，让证据决定范围边界，而不是让范围迁就成本。

归根结底，危害识别与风险评估不是填一张表，而是建立"危害行为—证据链—范围边界"的对应关系。生物危害看时间与同源性，化学危害看物料平衡与浓度，物理危害看设备状态与时间窗口。把这三条线索理清，召回范围才能既不过度扩大造成浪费，也不遗漏风险留下隐患。