植物工厂基础与概要

植物工厂的安全性，靠"无农药"守不住

植物工厂的商业计划书里，几乎都写着”密闭环境，因此安全”。但出货先的采购员在QA审核时看的不是这句话。营养液循环系统里出现了菌，要追溯到哪个批次才启动召回？空调系统停了、整片区域全毁时，合同责任和保险怎么运转？审核清单逼着你回答的不是”有没有用农药”，而是”出了事，有没有止血的设计”。如果你自家的验证项目还停在”残留农药有没有问题”这一步，那这篇文章就是你在那次审核之前该读的东西。

“安全性”这个词捆着三层含义

植物工厂被说成是”封闭，所以安全”。但封闭意味着，一旦内部出了事，水路和空调系统就会把所有东西都串联起来。某一个架子上出了菌，它可能随水路流到旁边的生产线。这一点，和”有没有用农药”完全是两回事，你有没有在这里卡住过？这样想下来，安全不是”种法干不干净”的问题，而是”一旦扩散，会拖进来多大范围”的问题。不过，这不是”密闭就等于全军覆没”的决定论。我的看法恰恰相反——水量充足、正常循环、管理到位的水耕设备，病原菌蔓延的风险本就不高。关键在于，安全性的观察单元从”一株植物”变成了”水路相连的范围”，问题变成了如何划定这个范围、如何保持循环正常。后面会细说，但我站在彻底做好正常管理这一边，而不是用杀菌设备压制。实际上和出货先谈的时候，对方在意的不是有没有农药，而是出了事之后的召回、保险、合同安排。这些本该是各自独立的事，实际却都被”安全”这一个词打包在一起。另外，这里说的前提是：以营养液循环为基础的水耕型、以叶菜为主的植物工厂。果菜类或日光型温室，菌的扩散方式和对策的效果都会不同。

无农药标签的问题，和这里说的卡点，是两个层次。标签只保证了”入口处没放进什么”，对设施内部可能发生什么，它什么都没说。甚至，一个封闭而均质的环境，一旦菌进来，反而是个容易扩散的地方——没有土壤，没有天敌，温度湿度恒定，水在循环。干净，和菌容易扩散，可以同时成立。干净不等于不繁殖。所以安全的单元不是”一株”或”一个架子”，而是”水路相连的范围”。但这说的是”经路相通”——正因为相通，能不能把那条水路维持在正常状态，才是分水岭。种法的干净是点的问题，但风险沿线传播——能不能保住流量和循环，让这条”线”不失控，是管理的决胜点。出货先在意的是召回、保险、合同而不是农药，正是因为他们在用金钱和责任来衡量”一旦扩散，会拖进多大范围”。对他们来说，安全不是栽培品质，而是出了事之后谁承担多少的安排。整理一下：“无农药”是产品标签，是点的保证。而植物工厂的安全性，是菌可能经水路扩散的路径、通过正常循环与管理加以压制的运营，以及扩散时合同、保险、召回同步启动——这一整套经营风险的束。同一个”安全”这个词，其实捆着三个属于不同层次的东西。

而这个悖论，从设计的出发点就已经埋下了。无土栽培——即前面说的以营养液种植的水耕型——本来就是为了规避土壤病害而开发的，但循环营养液这件事本身，却为腐霉、疫霉等会释放游走子的病原体创造了合适的水环境，文献如此整理（参考: 1）。不过同一篇综述也并排指出，这些病原体通常可以通过管理（包括消毒在内的处置）加以抑制（参考: 1）。为了避开土壤病害而选择的方式，反而催生了水耕特有的病害路径。但那条路径，被描述为”处置得当就能压住”的东西。我自己认为，那个处置与其偏向强力杀菌，不如保住流量、正常循环、分开管理水系，这才是正道。过度依赖杀菌，后面的章节会说到，副作用会落到营养液的成分上。经水路容易扩散的，首先是破坏作物本身的植物病原菌——也就是无法出货这一经营风险。那消费者的食品安全呢？从某些方面来说，反而比露地更有优势。有实测数据显示，实验室栽培的生菜叶片上的菌落数，比露地种植的低10到100倍（参考: 2）。但那份干净并不意味着”菌不会扩散”。即使菌的绝对数量少，一旦哪里混入，循环水就可能成为传播路径，召回和合同这类经营风险并不会降为零。拿看待露天种植的眼光去解读室内那份干净的数字，本身就有点牵强了。

菌沿”线”传播，设备沿”面”倒下

停电。空调系统停止。在这种封闭而均质的设施里，这类机械故障也感觉会一下子蔓延到全部。这种”沿线传播”的问题，是不是不只限于菌？菌说的是扩散路径，但设备侧的故障，是不是同一个”封闭就是同舟共济”的另一个版本？

它们是同类。但作为层次，最好分开来看。原因在于，扩散起点不同。菌是从内部发生、沿水路传播的，可以说是从内部向外划线。停电和空调系统停止，是从外部一下子把整个面打垮。不是沿路径逐一拖入，而是共同的基础垮掉，同时倒下。所以菌是”线”，设备是”面”。两者唯一的共同点是，越封闭越均质，损失就越集中——但传播方式是两回事。这个区分之所以有用，是因为有效的对策方向恰好相反。菌要靠切断路径来防守，也就是分开生产线、分开水系、保持流量和循环正常。设备反过来，靠冗余化来防守——备用发电、双路系统。同样是”分开”，菌的分是为了阻止扩散，设备的分是为了一个倒了其他还能运转。混为一谈，一方的对策对另一方就会毫无作用。

再仔细看看菌这边的”沿线传播”，繁殖速度会随温度大幅变化。某实验观察了一种机会性细菌在基质和罗勒汁中的表现：在4°C下6天几乎没有增殖，而在20°C下3天之内增殖了5个数量级（10万倍）以上（参考: 3）。病毒的方向则恰好相反。营养液中某种病毒减少到十分之一（灭活）所需的天数，在15°C下长达48天，在37°C下则缩短到约7天（参考: 5）。无论细菌还是病毒（替代株），“安全线”都随温度这同一个变量而移动。但细菌在高温下繁殖，病毒在高温下更快消亡，移动方向相反。正因如此，不知道对手是什么菌，就无法说”几度才安全”。关于污染从何处进入，有研究报告指出，水耕菠菜中，水比基质更是主要的污染路径（参考: 4）。如果是这样，需要切断的那条线，首先就是水，这一点也变得清晰了。

栽培侧按原因看，出货侧按结果约束

菌从内部沿水路传播，是”线”；设备故障从外部一口气拉垮整个面，是”面”——到这里，我一直在按原因来切分世界。那么，与出货先的合同，是否细致到能看出这种原因差异的程度？大多数情况下，合同并不会把原因写得那么细。写的是”结果”那一面：交期未达到怎么办，出了规格外品怎么办，需要召回时谁承担费用。不管是被停电打垮还是被菌搞坏一部分，从出货先的角度看，都是”约定好的东西没来”这同一个结果。所以他们用结果来约束，不拆分原因的层次。

这里你会发现，立场不同，看世界的方式恰好相反。栽培侧在原因层次上看世界，需要区分是菌还是设备。出货侧在结果层次上看，刻意不区分。“安全”这个词捆着属于不同层次的三样东西，但如何切开这个捆，取决于立场而方向相反。栽培侧按原因切，出货侧按结果切。这就是合同谈判对不上的症结所在。

事故发生后，那个”结果”会进一步分裂为三种损害各自运动。第一是召回、废弃、重新检查等当场流出去的直接损失。第二是交易中断、被踢出局的损失——这比一次事故拖得更久。第三是”那家出过事”的信誉受损。前两种直接在结果层次上与金额和合同挂钩，容易估算。棘手的是第三种，它作用于接下来要谈的”态度层次”，在合同的任何地方都没有以数字写出来。事故后合同、保险、召回同步启动——这就是在”结果层次”看待安全的含义。

消费者的不安与经营者的风险，不在同一条轴上

这三种损害中的第三种——信誉受损，与消费者之间存在的另一个错位相连。你有没有感觉过，植物工厂的蔬菜”总觉得不太安全”？那时候，自己不安的内容——是农药、是菌，还是对”人工”技术的违和感——往往连自己都说不清楚。而经营者实际承担的风险——菌经水路扩散、菌随温度条件存活——和消费者所担心的内容并不对应。

这个错位，是要去填平的吗？在我与出货先和参观者沟通的范围内，我的真实感受是：一旦试图填平，往往反而搞砸。消费者的不安是”人工的，所以危险”这种感觉，这是态度问题，不是内容问题。对此用技术内容来回应——“我们把水系分开了""我们切断了菌的传播路径”——对方会接收为”要这么管理才不危险吗”，反而让不安变得更大，这种情况是有过的。因为用技术回答去回应不安的层次，不仅对不上，看起来还在恶化。至少在我自己手边，这样的场面出现过好几次。

所以不是去填平，而是从一开始就分开说话的方式。但如果把”分开”理解成”给消费者假安慰、给经营者讲真风险”的双重标准，那也是下策。正确的做法是，该还给消费者的，是”谁在负责盯着这件事”的保证。不是路径的内容和菌的条件，而是这个人值不值得信赖。消费者真正想确认的，可能与其说是菌的细节，不如说是”靠谱的人在做这件事”。所以与其把技术透明度摆在前面，不如展示责任的归属。即便如此，被问到的内容——菌的对策、检查结果——要诚实公开。不是隐藏内容，而是不主动推销没被问到的内容。但是，消费者根本没有能力提出疑问的重要安全信息——比如封闭环境带来的传播风险，以及如何通过正常循环管理加以压制——即便没被问到，也要主动公开。这作为”不主动推销”的例外，从一开始就划好线。

那么，只有在同一个层次看问题的对象才能对上吗？这一半对，一半不对。同层次的对象确实好打交道。和出货先可以在结果层次谈，和现场技术人员可以在原因层次谈。但真正重要的工作，在于跨越层次的翻译。把消费者的”总觉得不安”，怎么对应到经营者的”该点检的条件”？把出货先的”结果约束”，怎么落实到现场的”原因对策”？层与层之间，谁来承担翻译的角色？安全本身靠正常循环管理、记录、冗余化设计来保障，但层与层之间产生的龃龉——合同谈判的错位、消费者不安的恶化——能不能减少，很大程度上取决于这个翻译者是否存在。

这种”消费者担心的与经营者该检查的之间的错位”，也可以从调查数据中得到印证。关于城市种植的蔬菜，博洛尼亚的调查中超过六成的人担心来自空气和土壤的污染，而对旧金山都市农场（土耕）的重金属实测报告显示，数值低于FAO和WHO的标准（参考: 6, 7）。连土耕的都市农场数值都在标准以下，那么至少在使用管理过的基质和水源的设施里，人们担心的内容和实测的实体，并不一定吻合。而消费者模糊联想到的是土壤和大气来源的污染，植物工厂经营者实际承担的是经水路传播的微生物——完全是另一条轴。

点检项目按原因、结果、态度三层来组

不管是新制定商业计划，还是为既有设施的品质保证审核做准备，最初卡住的地方总是一样的：点检项目该列什么、列到哪里。卫生、微生物、可追溯性、合同保证……这些领域想得到，但不知道该用什么顺序、什么粒度落进清单里。就是这种时候。

如果一开始就按”卫生""微生物""合同”这样的领域排列点检项目，通常能做出一份厚厚的审核用清单，但在现场根本用不起来。因为性质不同的三层——原因、结果、态度——混在一起并排着。所以在按领域划分之前，先用这三层做一次分类。

具体分三段落实。第一段是原因层，也就是现场自己要搞定的项目。菌的话：水系隔离、清洗消毒记录、温度偏差日志；设备的话：停电时的保持时间、冗余系统的点检。这正是”路径”和”面”的对策方向相反那个话题，项目也要分开写。第二段是结果层，对出货先负责的项目：交期未达、规格外品、召回的触发条件和费用分担，以及可追溯性放在这里。考虑到污染最容易先从水进来，如果能追溯哪条水系和哪个批次相连，一旦出事就能缩小召回范围。批次以什么单位切割，才能在出事时把召回范围最小化——用这个思路来决定粒度。第三段是态度层，对消费者展示的责任归属。这不是技术项目，而是能不能用一句话说出”谁在做保证”。粒度的诀窍只有一条：“出了事，能不能追溯到这个项目，找到原因或责任人。“追溯不到的项目是装饰，直接去掉。

按出货先区分标准的差异，用这三段来整理也会更清晰。首先，任何出货先都适用的最低底线，是原因层的记录（清洗消毒、温度、水系）和结果层的批次追溯——也就是”出了事能追溯”的状态。在此之上，附加要求因出货先而异。在我与出货先打交道的范围内，大型零售往往重视结果层，对可追溯性和召回安排要求得很细。批次管理的粒度会被直接追问。外食对方更多关注的是鲜度和规格稳定性，也就是原因层中品质波动这一块。团餐则更重一层——因为用餐者包含儿童和老人，对微生物项目的审查更严，而且结果层还会加入事故时的即时召回和联络体系要求，我自己就被这样要求过。这些只是我自己的交易对象这么要求，不能推广为行业整体趋势。同一个设施，出货先不同，“要加厚的层”就不同。不是重新做清单，而是针对每个出货先，切换三层中哪一层要深挖。从一开始就按层来组，这种因应出货先的灵活分配才能生效。

那营养液是不是消毒就完了？这里我明确写出立场。我认为，与其依赖杀菌设备，不如在保障充足流量的基础上彻底做好正常循环与管理。理由有两个。一是消毒没有想象中那么万能。一项针对灌溉水中植物病原体的研究，对比了氯、二氧化氯、紫外线，结果显示即便用同样的处理，要杀灭99%以上所需的浓度和暴露时间，因病原体种类而相差悬殊，“一套标准处理对所有菌同样有效”的前提根本不成立（参考: 8）。二是消毒的副作用会落到营养液本身上。臭氧微气泡对病原体有效，但有个固有特点——会同时降低营养液中的锰和铁（参考: 9）。紫外线、加热、臭氧等强力杀菌可能在消灭病原体的同时，把有益微生物也一起打掉——某综述如此指出（定性提示，但值得注意）（参考: 1）。目标菌是减少了，但营养液的成分和菌的平衡——也就是”种植侧”——也被削弱了。所以我站在这一边：保住流量、正常循环、分开水系来管理，而不是用设备压制。当然，并用消毒的场合仍然存在，但那时候不能一句”消毒了”带过，而要留下记录：消的是什么、用了多少量、作用了多长时间。反向的做法也有一例：用木霉这类有益微生物，能在抑制生菜镰刀菌根腐病的同时保住产量——这份实验结果，不是无农药的卖点，而是可以重新列为”什么条件如何设计能降低卫生风险”这一验证项目之一的材料（参考: 10）。消除的方向和培育的方向，最好分开来设计。

自助的边界与交给专家的分界线

到这里，我谈的一直是经营者自行搭建点检项目的”看法”。这里划一条线：自己能组建的，到此为止。到了要确定微生物管理标准值、取得HACCP认证、或者在食品事故发生时设计保险方案、敲定合同条款措辞的阶段，这就不是自己摸索能搞定的领域了，需要与食品卫生专家、保险法务的实务人员合作。这里能交给你的是”把什么重新列为点检对象”的框架，各项目的标准值和法律上的细化，属于专家的领域。

不要把”食品事故发生时”当成不会发生的前提。“事故是可能发生的”这种心理准备，不是自我安慰，而是符合实际。比如微型蔬菜，虽然迄今尚未与集体食物中毒事件挂钩，但仅近年就成为7起自主召回的对象，事故和召回不是”万一”，而是切实发生着的（参考: 11）。而且微型蔬菜这类幼嫩植物，保护组织尚未发育成熟，比成熟蔬菜更容易让病原菌进入内部，一旦超过适合生长的18至25°C，微生物的增殖反而会被促进（参考: 12）。团餐中用餐者包含儿童和老人，点检往往需要更重一层——把这个植物侧的脆弱性与召回切实发生的现实合在一起看，这条分界线就自然说得通了。

最初那种”安全其实不是简单的事情吗”的卡感，大概不会消散。毋宁说，“不简单”的内容会变得更清晰。一开始模糊的”除了无农药，还有别的什么”，会分化为原因层、结果层、态度层三个层次，进而清晰到：每个层次观察的对象不同，对策的方向也不同。下次打开商业计划书或风险点检表的时候，安全性应该不再作为一个笼统的卖点出现在你眼前，而是呈现为一列项目——逐个领域确认验证做到了几分。而最终留下来的，是谁来承担层与层之间的翻译这个问题。从”我对什么感到茫然”，到”原来我一直卡着的，是不知道这个翻译者是谁”。问题的落点移动了一格。光是这一点，就足以让你从那种一想起来就隐约不安的状态中走出来。