保護(hù)層分析（LOPA）是半定量的工藝危害分析方法之一。用于確定發(fā)現(xiàn)的危險(xiǎn)場(chǎng)景的危險(xiǎn)程度，定量計(jì)算危害發(fā)生的概率，已有保護(hù)層的保護(hù)能力及失效概率，如果發(fā)現(xiàn)保護(hù)措施不足，可以推算出需要的保護(hù)措施的等級(jí)。

LOPA是由事件樹分析發(fā)展而來的一種風(fēng)險(xiǎn)分析技術(shù)，作為辨識(shí)和評(píng)估風(fēng)險(xiǎn)的半定量工具，是溝通定性分析和定量分析的重要橋梁與紐帶。LOPA耗費(fèi)的時(shí)間比定量分析少，能夠集中研究后果嚴(yán)重或高頻率事件，善于識(shí)別、揭示事故場(chǎng)景的始發(fā)事件及深層次原因，集中了定性和定量分析的優(yōu)點(diǎn)，易于理解，便于操作，客觀性強(qiáng)，用于較復(fù)雜事故場(chǎng)景效果甚佳。所以在工業(yè)實(shí)踐中一般在定性的危害分析如HAZOP，檢查表等完成之后，對(duì)得到的結(jié)果中過于復(fù)雜的、過于危險(xiǎn)的以及提出了SIS要求的部分進(jìn)行LOPA，如果結(jié)果仍不足以支持最終的決策，則會(huì)進(jìn)一步考慮如QRA等定量分析方法。

LOPA先分析未采取獨(dú)立保護(hù)層之前的風(fēng)險(xiǎn)水平，通過參照一定的風(fēng)險(xiǎn)容許準(zhǔn)則，再評(píng)估各種獨(dú)立保護(hù)層將風(fēng)險(xiǎn)降低的程度，其基本特點(diǎn)是基于事故場(chǎng)景進(jìn)行風(fēng)險(xiǎn)研究。

保護(hù)層是一類安全保護(hù)措施，它是能有效阻止始發(fā)事件演變?yōu)槭鹿实脑O(shè)備、系統(tǒng)或者動(dòng)作。兼具獨(dú)立性、有效性和可審計(jì)性的保護(hù)層稱為獨(dú)立保護(hù)層（Independent Protection Layer，IPL），它既獨(dú)立于始發(fā)事件，也獨(dú)立于其他獨(dú)立保護(hù)層。正確識(shí)別和選取獨(dú)立保護(hù)層是完成LOPA分析的重點(diǎn)內(nèi)容之一。典型化工裝置的獨(dú)立保護(hù)層呈“洋蔥”形分布，從內(nèi)到外一般設(shè)計(jì)為：過程設(shè)計(jì)、基本過程控制系統(tǒng)、警報(bào)與人員干預(yù)、安全儀表系統(tǒng)、物理防護(hù)、釋放后物理防護(hù)、工廠緊急響應(yīng)以及社區(qū)應(yīng)急響應(yīng)等。

關(guān)于IPL

一、獨(dú)立保護(hù)層(IPL)的辨識(shí)規(guī)則

LOPA 分析中的獨(dú)立保護(hù)層(IPL)是能夠阻止場(chǎng)景向不期望后果發(fā)展，并且獨(dú)立于場(chǎng)景的初始事件或其它保護(hù)層的設(shè)備、系統(tǒng)或行動(dòng)。

2015年3月6日國(guó)家安全生產(chǎn)監(jiān)督管理總局發(fā)布的《保護(hù)層分析(LOPA)方法應(yīng)用導(dǎo)則》(報(bào)批稿)AQ/T3054-2015規(guī)定“化工企業(yè)保護(hù)層作為IPL時(shí)，應(yīng)滿足一下基本要求：獨(dú)立性、有效性、安全性、變更管理及可審查性?！?/p>

1)獨(dú)立性

保護(hù)層性能不會(huì)因固定危險(xiǎn)場(chǎng)景的初始事件或其它獨(dú)立保護(hù)層失效受到影響。即：IPL獨(dú)立于初始事件的發(fā)生及其后果且獨(dú)立于同一場(chǎng)景中的其它獨(dú)立保護(hù)層。

2)有效性

a)必須能夠有效檢測(cè)所要采取行動(dòng)的異常條件，該條件可以是過程變量或報(bào)警等。

b)在有效的時(shí)間內(nèi)，能及時(shí)響應(yīng)。

c)在可用的時(shí)間內(nèi)，有足夠的能力采取所要求的行動(dòng)。

d)滿足所選擇的PFD的要求。

行動(dòng)條件檢測(cè)、決策和行動(dòng)及時(shí)，這樣才能共同作用，產(chǎn)生及時(shí)的保護(hù)行動(dòng)，任何一個(gè)環(huán)節(jié)上的時(shí)間遲緩都可能造成保護(hù)行動(dòng)的失效。IPL一旦發(fā)揮作用，必須具備足夠的強(qiáng)度遏制事故風(fēng)險(xiǎn)的發(fā)生。

3)安全性

使用管理員控制或技術(shù)手段減少非故意的或未授權(quán)的變動(dòng)。例如安全儀表系統(tǒng)邏輯控制器配置的密碼保護(hù)，其所在房間的上鎖管理等。[1]

4)變更管理

設(shè)備、操作程序、原料、過程條件等任何改動(dòng)應(yīng)執(zhí)行變更管理程序，以滿足變更后保護(hù)層的IPL要求。

5)可審查性

組成獨(dú)立保護(hù)層的元素、系統(tǒng)或行動(dòng)都必須經(jīng)過審查，證明其符合LOPA獨(dú)立保護(hù)層阻止或減緩事故風(fēng)險(xiǎn)的要求。審查程序必須確認(rèn)IPL如何按照設(shè)計(jì)發(fā)生作用。此外，獨(dú)立保護(hù)層的設(shè)計(jì)、安裝、功能測(cè)試和后期維護(hù)也必須具有可審查性，以取得IPL特定的PFD。

二、 長(zhǎng)輸管道站場(chǎng)典型IPL的識(shí)別

典型的保護(hù)層包括本質(zhì)安全設(shè)計(jì)、基本過程控制系統(tǒng)、關(guān)鍵報(bào)警與人員干預(yù)、安全儀表功能、物理保護(hù)(安全閥等)、釋放后物理保護(hù)、工廠應(yīng)急響應(yīng)和社區(qū)應(yīng)急響應(yīng)等8重保護(hù)。

1)本質(zhì)安全設(shè)計(jì)

從根本上消除或減少工藝系統(tǒng)存在的危害。例如管道設(shè)計(jì)壓力高于工藝運(yùn)行高壓標(biāo)準(zhǔn)，可承受事故后果產(chǎn)生的高壓等。

出口設(shè)置壓力表，壓力高時(shí)操作人員無法及時(shí)獲取壓力信息，在壓力高時(shí)無法進(jìn)行響應(yīng)。因此，出口壓力測(cè)量顯示不能作為獨(dú)立保護(hù)層。

2)BPCS(基本過程控制系統(tǒng))

BPCS 是執(zhí)行基本過程控制功能的控制系統(tǒng)，它使生產(chǎn)過程的溫度、壓力、流量、液位等工藝參數(shù)維持在規(guī)定的正常范圍之內(nèi)。BPCS 是主動(dòng)的、動(dòng)態(tài)的，它必須根據(jù)系統(tǒng)的設(shè)定要求和生產(chǎn)過程的擾動(dòng)狀態(tài)不斷地動(dòng)態(tài)運(yùn)行，才能保持生產(chǎn)過程的連續(xù)穩(wěn)定運(yùn)行。BPCS作為IPL應(yīng)滿足以下要求：

——BPCS應(yīng)與安全儀表系統(tǒng)(SIS)在物理上分離，包括傳感器、邏輯控制器和最終執(zhí)行元件；

——BPCS故障不是造成初始事件的原因；

——在同一個(gè)場(chǎng)景中，當(dāng)滿足IPL的要求時(shí)，具有多個(gè)回路的BPCS宜作為一個(gè)IPL。

3)報(bào)警和人員響應(yīng)

關(guān)鍵報(bào)警和人員干預(yù)保護(hù)層是指操作人員或其他工作人員對(duì)報(bào)警響應(yīng)或在系統(tǒng)常規(guī)檢查后，采取的防止不良后果的行動(dòng)。人員行動(dòng)作為IPL 應(yīng)滿足以下要求：

——操作人員應(yīng)能夠得到采取行動(dòng)的指示或報(bào)警；

——操作人員應(yīng)訓(xùn)練有素，能夠完成特定報(bào)警所要求的操作任務(wù)；

——任務(wù)應(yīng)具有單一性和可操作性，不宜要求操作人員執(zhí)行IPL要求的行動(dòng)時(shí)同時(shí)執(zhí)行其它任務(wù)；

——操作人員應(yīng)有足夠的響應(yīng)時(shí)間等。

人工決策和人員行動(dòng)必須簡(jiǎn)單、快捷、有效，否則就不能被認(rèn)定為IPL。

4)安全儀表功能(SIF)

安全儀表功能一般能夠滿足有效性、獨(dú)立性和可審查性的要求，在功能上獨(dú)立于BPCS，可作為獨(dú)立保護(hù)層。

天然氣管線進(jìn)出站設(shè)置ESD緊急關(guān)斷，當(dāng)采用人工確認(rèn)后觸發(fā)時(shí)，不具有獨(dú)立性，因此不能作為IPL。

5)物理保護(hù)(安全閥等)

——獨(dú)立于場(chǎng)景中的其他保護(hù)層；

——在確定安全閥、爆破片等設(shè)備的PFD時(shí)，應(yīng)考慮其實(shí)際運(yùn)行環(huán)境中可能出現(xiàn)的污染、堵塞、腐蝕、不恰當(dāng)維護(hù)等因素對(duì)PFD進(jìn)行修正。

各壓力容器均設(shè)安全閥，當(dāng)壓力達(dá)到設(shè)定值時(shí)自動(dòng)起跳放空，具有獨(dú)立性、有效性和可審查性等，可以作為IPL。

6)釋放后保護(hù)設(shè)施(防火堤、自動(dòng)噴淋等)

危險(xiǎn)物質(zhì)釋放后，用來降低事故后果的保護(hù)設(shè)施。

自動(dòng)噴淋可在明火發(fā)生后遏制火勢(shì)蔓延，甚至滅火，可以視作IPL。

7)工廠和社區(qū)應(yīng)急響應(yīng)

其有效性受多種因素影響，一般不作為IPL。

4、 結(jié)束語

識(shí)別和確定場(chǎng)景中的IPL，并確定合適的PFD，是LOPA 分析的核心內(nèi)容。在實(shí)際運(yùn)用中，必須謹(jǐn)慎識(shí)別各種IPL，防止IPL 虛假使用或被忽略，以保證更全面、系統(tǒng)地識(shí)別流程中的危險(xiǎn)。

LOPA基本程序

LOPA基本程序包括：

a)場(chǎng)景識(shí)別與篩選。LOPA通常評(píng)估先前危害分析研究中識(shí)別的場(chǎng)景。分析人員可采用定性或定量的方法對(duì)這些場(chǎng)景后果的嚴(yán)重性進(jìn)行評(píng)估，并根據(jù)后果嚴(yán)重性評(píng)估結(jié)果對(duì)場(chǎng)景進(jìn)行篩選；

b)初始事件確認(rèn)。首先，選擇一個(gè)事故場(chǎng)景，LOPA一次只能選擇一個(gè)場(chǎng)景；然后確定場(chǎng)景IE。IE包括外部事件、設(shè)備故障和人員行為失效；

c)IPL評(píng)估。評(píng)估現(xiàn)有的防護(hù)措施是否滿足IPL的要求是LOPA的核心內(nèi)容；

d)場(chǎng)景頻率計(jì)算。將后果、IE頻率和IPL的PFD等相關(guān)數(shù)據(jù)進(jìn)行計(jì)算，確定場(chǎng)景風(fēng)險(xiǎn)；

e)評(píng)估風(fēng)險(xiǎn)，作出決策。根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果，確定是否采取相應(yīng)措施降低風(fēng)險(xiǎn)。然后，重復(fù)步驟b)～e)直到所有的場(chǎng)景分析完畢；

f)后續(xù)跟蹤和審查。LOPA分析完成后，對(duì)提出降低風(fēng)險(xiǎn)措施的落實(shí)情況應(yīng)進(jìn)行跟蹤。應(yīng)對(duì)LOPA的程序和分析結(jié)果進(jìn)行審查。

保護(hù)層分析(LOPA)的歷史

20世紀(jì)80年代末：美國(guó)化學(xué)品制造商協(xié)會(huì)出版了《責(zé)任關(guān)懷—過程安全管理實(shí)施準(zhǔn)則》，書中建議將“足夠的保護(hù)層”作為有效的過程安全管理系統(tǒng)的一個(gè)組成部分。

1993年：美國(guó)CCPS《化工過程安全自動(dòng)化指南》，書中建議將LOPA作為確定安全儀表功能完整性水平的方法之一。

2001年：CCPS發(fā)布了《保護(hù)層分析——簡(jiǎn)化的過程風(fēng)險(xiǎn)評(píng)估》，書中詳細(xì)地討論了LOPA的基本規(guī)則和應(yīng)用。

2003年：國(guó)際電工委員會(huì)(IEC)發(fā)布了IEC61511：過程工業(yè)領(lǐng)域安全儀表系統(tǒng)的功能安全，將LOPA技術(shù)作為確定安全儀表系統(tǒng)完整性水平的推薦方法之一。

2015年：中國(guó)*生產(chǎn)監(jiān)督管理總局發(fā)布了《保護(hù)層分析(LOPA)方法應(yīng)用導(dǎo)則(AQ/T 3054-2015)》。