HACCP体系是建立在良好操作规范（GMP）和卫生标准操作程序（SSOP）基础上，以预防主的控制体系，更能保障食品的陌生安全，其经济效益和社会效益更为显著。这也是该体系逐渐被各国政府所接受，并在越来越多的食品生产企业及其相关领域推广应用的根本原因。HACCP体系有七个原理，其中的“进行危害分析”和“确定关键控制点”原理是整个HACCP计划的基础和最重要的步骤，危害分析是否识别充分，关键控制点是否判定准确，直接决定了HACCP体系的有效性。
进行危害分析、确定关键控制点的方法很多，“判断树”法是常用的一种。但该方法过分依赖于评定人的主观判断，在实际运用中会造成因评定人不同而得出相反的判定结果。那么，有没有一种更便于操作且行之有效的判定方法呢？笔者认为，失效模式和后果分析（FMEA）方法可以弥补“判断树”方法的缺陷。
一、 FMEA（失效模式和后果分析）的基本原理
FMEA是由美国三大汽车制造公司（戴姆勒－克莱斯勒、福特、通用）制定并广泛应用于汽车零组件生产行业的可靠性设计分析方法。其工作原理为：（1）明确潜在的失效模式，并对失效所产生的后果进行评分;(2)客观评估各种原因出现的可能性，以及当某种原因出现时企业能检测出该原因发生的可能性;（3）对各种潜在的产品和流程失效进行排序;（4）以消除产品和流程存在的问题为重点，并帮助预防问题的再次发生。
有关FMEA原理的应用主要体现在美国三大汽车制造公司制定的《潜在失效模式和后果分析》表格中。该表的内容包括：
（1）功能要求：填写被分析过程（或工序）的简要说明和工艺描述;
（2）潜在失效模式：记录可能会出现的问题点;
（3）潜在失效后果：推测问题点可能会引发的不良影响;
（4）严重度（S）：评价上述失效后果并赋予分值（1－10分，不良影响愈严重分值愈高）;
（5）潜在失效起因或机理：潜在问题点可能出现的原因或产生机理;
（6）频度（O）：上述潜在失效起因或机理出现的几率（1－10分，出现的几率愈大分值愈高）;
（7）现行控制：列出目前本企业对潜在问题点的控制方法;
（8）探测度（D）：在采用现行的控制方法实施控制时，潜在问题可被查出的难易程度（1－10，查出难度愈大分值愈高）;
（9）风险顺序数（RPN）：严重度、频度、探测度三者得分之积，其数值愈大潜在问题愈严重，愈应及时采取预防措施;
（10）建议措施：列出“风险顺序数”较高的潜在问题点，并制定相应预防措施，以防止潜在问题的发生;
（11）责任及目标完成日期：制定实施预防措施的计划案;
（12）措施结果：对预防措施计划案实施状况的确认。
从上述内容不难看出，FMEA原理的核心是对失效模式的严重度、频度和探测进行风险评估，通过量化指标确定高风险的失效模式，并制定预防措施加以控制，从而将风险完全消除或减小到可接受的水平。因此FMEA原理不仅适用于汽车零配件生产企业的质量管理体系，也可应用于其他类似管理体系。
二、 FMEA原理在HACCP体系中的应用
对于食品生产企业而言，可以运用FMEA原理，采用填写《危害分析风险评估表》（见表一）的形式对食品生产链的各个特定操作程序的潜在危害进行风险（严重度、频度和探测度）评估，从而得出量化指标并确定关键控制点。
风险评分：分值：1（最好）到10（最差）。
严重性（S）：潜在危害对客户的影响程度。
频度（O）：导致危害产生的原因，其出现的可能性如何。
探测度（D）：当前系统检查出原因和危害的可能程度。
风险顺序数（RPN）：计算特定危害相对风险的数字运算式，即RPN=S×O×D.一般来说，当RPN的得数大于120时，应确定为关键控制点。实际操作时，企业可根据具体情况确定本企业关键控制点的最低RPN，评分标准见表二。
通过运用FMEA原理填写《危害分析风险评估表》，可以分析食品生产过程的危害和确定关键控制点（以糖水桔片罐头加工过程为例）。
1、被分析过程（或工序）的工艺流程和工艺描述
糖水桔片罐头生产工艺流程如图1。
2、危害分析风险评估
按工艺流程和工艺说明的步骤列出潜在危害，并按工艺说明的具体情况判定危害的严重性、可能性和探测度，从而计算出风险顺序数（BRN）。当RPN>120时，确定该步骤为关键控制点。笔者选取糖水桔片罐头加工过程中三个有代表性的步骤进行危害分析风险评估，见表三。
由表三分析结果可见，“鲜桔收购”和“杀菌”为关键控制点。此结果与通过“判断树”分析所得的结论一致。
综上所述，FMEA原理应用于HACCP体系的危害分析和确定关键控制点是可行的。食品加工企业可视实际情况设定一系列与FMEA原理类似的评价标准，具体操作方法可根据实情而定，只要能达到有效识别危害和控制问题的发生即可。
表一 危害分析风险评估表
序
号 配料/加工
步骤 潜在危害 严重度
（S） 频度
（O） 探测度
（D） 风险顺序
数（BRN） 是否为关
键控制点
生物危害
化学危害
物理危害
表二 评分标准表
得分 严重性 可能性（频度） 探测度
1 客户不会注意到潜在危害，或
危害尚不明显 发生率极低（几乎不可以发生） 潜在危害肯定能被推测发现，或能防止它影响下一个客户
2 客户可能有少许不满，或很少
有顾客发现存在危害 发生率较低，有支持性文件 几乎可以肯定潜在危害在影响到下一个客户之前能被发现或防止
3 安全性能下降令客户感到厌烦，或一半客户发现存在危害 发生率较低，无支持文件 潜在危害影响到下一个客户的可能性很小
4 安全性能下降引起客户不满，或多数客户发现有危害 偶尔发生 控制系统可能能检测到潜在危害或能防止其影响到下一个客户
5 由于持续的不良影响，导致客户有些不满意 有时发生，有支持性文件 潜在危害影响下一个客户的可能性较小
6 保质期内接到客户投诉 有时发生，无支持性文件 控制系统难以检测到潜在危害，但能防止其影响到下一个客户
7 客户明显不满 经常发生，有支持性文件 控制系统能推测到潜在危害且防止其影响到下一个用户的可能性较大
8 客户非常不满 经常发生，无支持性文件 控制系统能检测到潜在危害且防止其影响到下一个客户的可能性较小
9 客户面临危险，不过尚能在失效或违反政府规定之前发出警告 失效几乎是肯定的 目前的控制手段不能检测到潜在危害
10 客户面临危险，且在失效或违反政府规定之前毫无警告 失效是可以肯定的 当前的控制手段不可能检测到潜在危害
表三 糖水桔片罐头三个加工步骤危害分析表
序号 加工
步骤 潜在危害 严重性
（S） 可能性
（O） 探测度
检测率
（D） 风险
顺序数
（RPN） 是否为关
键控制点
1
鲜桔收购 生物危害：腐烂变质 7 2 3 42 否
化学危害：农药残留 8 7 6 336 是
物理危害：泥土等杂质 4 7 2 56 否
2
酸碱处理
（漂洗） 生物危害：细菌、微生物、污染 6 2 2 24 否
化学危害：酸碱液残留;化学试剂的污染 4 3 4 48 否
物理危害：提升机的金属网带碎屑 4 3 3 36 否
3
杀菌 生物危害：细长、微生物的生长 8 7 6 336 是
化学危害：无 0
物理危害：无 0
空罐验收
↓
盐酸片碱的验收 洗灌
↓ ↓
鲜桔收购→下车、堆码→热烫→剥皮→分瓣→酸碱处理（漂洗）→整理装罐
↓
发货←包装←仓贮←预包装←杀菌、冷却←封口←沥水、司称、灌汤←水检
↑ ↑
装罐盖、喷码 配汤