1、保護(hù)層分析（LOPA ）在生產(chǎn)中的運(yùn)用（一） 刖言在過(guò)程安全評(píng)價(jià)時(shí)，來(lái)自不同專業(yè)的人員采用頭腦風(fēng)暴方式進(jìn)行危害識(shí)別的 過(guò)程中，就安全措施是否足以將風(fēng)險(xiǎn)降到可容忍風(fēng)險(xiǎn)標(biāo)準(zhǔn)之下往往會(huì)進(jìn)行激烈的 辯論，因?yàn)閬?lái)自不同背景專業(yè)的人員各自的經(jīng)歷不同，對(duì)同樣的降低風(fēng)險(xiǎn)的措施， 其認(rèn)知也會(huì)有很大的差別。這主要是他們根據(jù)各自的經(jīng)驗(yàn)得出的結(jié)論。舉例來(lái)說(shuō)， 一個(gè)經(jīng)歷過(guò)事故或處理過(guò)安全設(shè)施故障的人和沒(méi)有這方面經(jīng)歷的人對(duì)安全措施 的有效性可能會(huì)有兩種極端的看法，一種認(rèn)為措施還不足以防止事故的發(fā)生，并 且會(huì)以自己的經(jīng)歷為例說(shuō)明。另一種看法則相反，他會(huì)認(rèn)為安全措施足夠了，他 也會(huì)以自己的工作經(jīng)歷來(lái)佐證自己的說(shuō)法。這種看法的

2、分歧導(dǎo)致產(chǎn)生的爭(zhēng)論會(huì)極 大的延長(zhǎng)分析時(shí)間，最后達(dá)成結(jié)論時(shí)可能往往會(huì)以一方的妥協(xié)或放棄發(fā)表意見(jiàn)來(lái) 形成一致意見(jiàn)。但實(shí)際的結(jié)果可能是存在過(guò)保護(hù)或保護(hù)不足。過(guò)保護(hù)會(huì)造成資源 的浪費(fèi)，保護(hù)不足則風(fēng)險(xiǎn)降低的不夠，這都是我們不愿看到的。據(jù)Source公司 一份統(tǒng)計(jì)，在進(jìn)行LOPA分析后，針對(duì)煉油廠制氫裝置，有49%的安全儀表安全 保護(hù)系統(tǒng)是過(guò)保護(hù)的，有4%是不足的。（這是以Source公司的風(fēng)險(xiǎn)可承受標(biāo)準(zhǔn)作 為風(fēng)險(xiǎn)衡量的依據(jù)，對(duì)Source公司來(lái)說(shuō)，他們對(duì)各種保護(hù)措施的PFDavg（平均需 求故障概率）取值和IEC-61511標(biāo)準(zhǔn)的取值會(huì)有不同，具體的PFDavg取值需要每 個(gè)公司依據(jù)自己的管理維護(hù)水平在

3、IEC-61511的標(biāo)準(zhǔn)數(shù)值上進(jìn)行適當(dāng)?shù)恼{(diào)整。（過(guò) 保護(hù)與保護(hù)不足的判斷必須依據(jù)公司自己的風(fēng)險(xiǎn)可接受標(biāo)準(zhǔn)或公司統(tǒng)一采用的 國(guó)家相關(guān)標(biāo)準(zhǔn)，我國(guó)現(xiàn)在還沒(méi)有類似的強(qiáng)制標(biāo)準(zhǔn)。）（安全管理交流 -）1.保護(hù)層分析（1。?入）介紹風(fēng)險(xiǎn)的概念和理解風(fēng)險(xiǎn)是事故發(fā)生的頻率和后果的合成。對(duì)事故來(lái)說(shuō)，他的后果通常是確定的，比如爆炸或人員傷害等，但發(fā)生的頻 率是可以變化的，每年發(fā)生一次爆炸和每十年或每百年發(fā)生一次爆炸給人們產(chǎn)生 的影響是不同的，不同的人們對(duì)此產(chǎn)生的承受能力也是不同的。保護(hù)層的運(yùn)用就 是從降低事故的發(fā)生頻率來(lái)考慮削減事故的風(fēng)險(xiǎn)等級(jí)。保護(hù)層分析（LOPA的概念保護(hù)層分析是英譯引用，具體名為：Layer o

4、f Protection Analysis(LOPA) o 過(guò)名稱即可看出該方法主要是對(duì)每一假定事故情形的每一個(gè)保護(hù)措施進(jìn)行分析， 具體來(lái)講就是分析防止事故情形發(fā)生的保護(hù)措施是否有效，每種保護(hù)措施的有效 程度為多少，各種保護(hù)措施綜合運(yùn)用后對(duì)于風(fēng)險(xiǎn)的削減作用為多大，是否還需要 增加保護(hù)措施，所增加的保護(hù)措施對(duì)風(fēng)險(xiǎn)的削減等級(jí)為多大。而所有這些分析最 終都是通過(guò)具體的數(shù)學(xué)綜合運(yùn)算來(lái)計(jì)算得出，包括初始事件頻率與獨(dú)立保護(hù)層 (IPL)故障可能性的數(shù)量級(jí)(即有效程度)、后果嚴(yán)重度以及可容忍風(fēng)險(xiǎn)標(biāo)準(zhǔn)。因此保護(hù)層分析方法也是一種半定量的方法，通過(guò)對(duì)一些通用的保護(hù)措施的 故障可能性的數(shù)量級(jí)PFDavg進(jìn)行賦值，

5、不同專業(yè)背景的人員可以容易地在此基 礎(chǔ)上達(dá)成對(duì)風(fēng)險(xiǎn)削減程度的共識(shí)，從而很容易的計(jì)算出已有的安全措施可以將風(fēng) 險(xiǎn)降低到什么程度，是否符合公司的風(fēng)險(xiǎn)標(biāo)準(zhǔn)，提出的安全措施應(yīng)該將風(fēng)險(xiǎn)削減 到什么程度，從而避免過(guò)保護(hù)或保護(hù)不足的情況。在IEC-61511標(biāo)準(zhǔn)中，對(duì)LOPA 保護(hù)層的應(yīng)用舉了一個(gè)例子來(lái)說(shuō)明如何運(yùn)用保護(hù)層分析的方法計(jì)算消減的風(fēng)險(xiǎn)， 并以此來(lái)確定需要的安全儀表系統(tǒng)的等級(jí)。具體的過(guò)程如圖1所示。IPL1 IPL2 IPL3圖-11.3,獨(dú)立保護(hù)層保護(hù)層，就是保護(hù)措施，可以是一個(gè)設(shè)備，系統(tǒng)或?qū)?yīng)的行動(dòng)，對(duì)不希望的 后果起到預(yù)防或減輕作用。這些保護(hù)層有些是共同作用后對(duì)風(fēng)險(xiǎn)起到削減作用，單獨(dú)分開(kāi)時(shí)則作

6、用減弱， 甚至不起作用，而有些則可以獨(dú)立的完成其保護(hù)功能，因此安全分析專家們將這 種可以獨(dú)立起到保護(hù)作用的保護(hù)層稱為獨(dú)立保護(hù)層。對(duì)于保護(hù)層分析(LOPA)方法 而言，為了能充分而適當(dāng)?shù)膶?duì)風(fēng)險(xiǎn)做出評(píng)估，所要求的保護(hù)層就要求必須能真正 起到作用，在該方法中稱其為獨(dú)立保護(hù)層，且給了更為嚴(yán)格的要求標(biāo)準(zhǔn)，在 IEC-61511標(biāo)準(zhǔn)中，要求獨(dú)立保護(hù)層的確認(rèn)必須滿足四方面的要求：專一性，獨(dú)立保護(hù)層是針對(duì)特定的后果或危險(xiǎn)事件而設(shè)計(jì)。獨(dú)立性，獨(dú)立保護(hù)層的效果不依賴于其他保護(hù)層或受其他保護(hù)層的限制，在 結(jié)構(gòu)上完全獨(dú)立。同時(shí)還獨(dú)立于初始事件或獨(dú)立于與情形有關(guān)的其它保護(hù)層的對(duì) 應(yīng)行動(dòng)?？煽啃?，獨(dú)立保護(hù)層必須能有效的依

7、照設(shè)計(jì)的功能運(yùn)行并防止危害事件的發(fā) 生，其PFDavg值應(yīng)該低于1x10-1?？蓪徍诵?。獨(dú)立保護(hù)層必須能夠定期進(jìn)行審核和確認(rèn)。他需要定期的維護(hù)和校驗(yàn) 以確保其可靠性維持在設(shè)計(jì)的水平。（安全管理交流-）在IEC-61508及IEC-61511均對(duì)保護(hù)層分析類型進(jìn)行了圖示描述，如圖-2圖中每一保護(hù)層的可靠性數(shù)值如下：基礎(chǔ)工藝控制系統(tǒng)（BPCS ）其PFDavg=1x10-11x10-2安全閥或泄壓閥PFDavg=1x10-11x10-3儀表連鎖系統(tǒng)根據(jù)其安全完整等級(jí)的不同其取值PFDavg=1x10-11x10-3圍堰 PFDavg=1x10-21x10-3可燃?xì)鈾z測(cè)或火焰檢測(cè)加上相應(yīng)的人員響應(yīng)P

8、FDavg=1x10-11x10-2工藝報(bào)警和在規(guī)程上規(guī)定的人員響應(yīng)PFDavg=1x10-11x10-2上述數(shù)值來(lái)源于一些公開(kāi)發(fā)表的文獻(xiàn)資料。圖-2 保護(hù)層圖從圖中還可以看出，對(duì)于各公司的管理規(guī)定等措施，如罐區(qū)或裝置區(qū)域的防 火防爆禁令，人員的定時(shí)巡檢簽到制度等等沒(méi)有列入，主要是因?yàn)檫@些措施只能 屬于保護(hù)措施，可以將風(fēng)險(xiǎn)減低，但沒(méi)有滿足獨(dú)立保護(hù)層規(guī)定的四個(gè)特性因而不 能稱之為獨(dú)立保護(hù)層。而且作為管理措施，他對(duì)風(fēng)險(xiǎn)的消減值是很難量化的，而 且其有效性也無(wú)法達(dá)到獨(dú)立保護(hù)層的要求：即PFDavg大于10-1。1.4 .保護(hù)層分析（2?入）基本步驟2.保護(hù)層分析（1。?入）在生產(chǎn)中的運(yùn)用效果保護(hù)層分

9、析（1。?入）本身不是一種風(fēng)險(xiǎn)識(shí)別的方法，只是風(fēng)險(xiǎn)識(shí)別過(guò)程中用來(lái) 分析已有安全措施有效性的一種工具。在具體運(yùn)用中，他可以在很多方面起到幫 助分析人員做出判斷或幫助決策人員做出決策的作用。保護(hù)層分析（LOPA）W以識(shí)別原來(lái)定性風(fēng)險(xiǎn)分析過(guò)程中被忽略的危險(xiǎn)。我們知 道定性分析只是識(shí)別危害，但對(duì)危害發(fā)生的可能性，包括其保護(hù)措施發(fā)生作用后 危害發(fā)生的可能性均不做詳細(xì)討論，在具體的運(yùn)用過(guò)程中是依靠分析人員的經(jīng)驗(yàn) 來(lái)確認(rèn)風(fēng)險(xiǎn)等級(jí)，很可能這種粗略的判斷會(huì)掩蓋一些問(wèn)題，使得實(shí)際風(fēng)險(xiǎn)升高。我們通過(guò)具體的實(shí)例進(jìn)行說(shuō)明。下面是某石化公司裝置某一局部流程的保護(hù)層分析(LOPA)，在分析過(guò)程中就 發(fā)現(xiàn)裝置工藝、設(shè)備技術(shù)員

10、以及操作人員把存在共模故障的保護(hù)層當(dāng)作了兩個(gè)保 護(hù)層，從而導(dǎo)致在辨識(shí)過(guò)程中認(rèn)為危害發(fā)生的可能性很低，而實(shí)際情況并非如此。裝置局部流程描述圖-4是我們分析具體流程圖圖中所描述的具體工藝操作為：高溫氣體通過(guò)E-112換熱器降溫后，其回收 的熱量被用來(lái)產(chǎn)生蒸汽。E-112的出口溫度TIC-119由D-112的蒸汽壓力PIC-150 來(lái)控制(串級(jí)控制)。同時(shí)設(shè)計(jì)DCS液位控制回路LIC-115,以及防止鍋爐無(wú)液位發(fā) 生干鍋導(dǎo)致爆炸事故的低低液位聯(lián)鎖LSLL116。后裝置對(duì)此處液位聯(lián)鎖進(jìn)行了變 更，將液位控制回路LIC-115的傳感檢測(cè)引入到聯(lián)鎖傳感系統(tǒng)中。汽包發(fā)生干鍋爆炸的保護(hù)層分析(LOPA)通常保

11、護(hù)層分析是在裝置危害識(shí)別的基礎(chǔ)上進(jìn)行，如裝置HAZOP分析基礎(chǔ)上進(jìn) 行，因此選取該處HAZOP分析表格記錄如下表-1：表e裝置汽包d-112, E-112的局部HAZOF分析偏差原因后果預(yù)防措施風(fēng)險(xiǎn)建議注產(chǎn)重度rJ能性風(fēng)險(xiǎn) 等級(jí)低溫PIC150控制 回路故障開(kāi)壓力突然下院，這成D112內(nèi)大 里蒸汽突然損失，導(dǎo)致D112內(nèi) 坡位下障，直至發(fā)生干鍋，若再 次補(bǔ)充鍋爐給水時(shí)會(huì)發(fā)生爆炬1.有莪位控制回路LIC-115；42III2自產(chǎn)蒸汽出口線上有流里顯示 度報(bào)警FI154；3.有低技位報(bào)警及聯(lián)鎖成LL116；4.有低液位報(bào)警LAL15. E112出口有溫度低報(bào)警TI161 ；6. PV150有手輪7

12、.有操作規(guī)程正如保護(hù)層的定義所描述，在其分析方法中重點(diǎn)是確定每個(gè)保護(hù)措施的有效性， 并且通常是在裝置危害識(shí)別的基礎(chǔ)上進(jìn)行，因此對(duì)于保護(hù)層分析步驟中前三步就 不需重復(fù)進(jìn)行分析，直接運(yùn)用危險(xiǎn)識(shí)別過(guò)程中原因、后果的內(nèi)容，并對(duì)其原因即 保護(hù)層分析所確定為的引發(fā)事件賦予一定數(shù)值即可。本分析中的引發(fā)事件則指PIC150控制回路故障開(kāi)，假設(shè)引發(fā)頻次為f1=0.1。下面則是對(duì)表中每一項(xiàng)預(yù)防措施進(jìn)行確認(rèn)，看其是否為獨(dú)立保護(hù)層。（安全 管理交流-）基礎(chǔ)工藝控制：液位控制回路LIC-115根據(jù)保護(hù)層圖-2中所示，第一層即為基礎(chǔ)工藝控制系統(tǒng)。本單元?jiǎng)t指液位控制回路LIC-115,該保護(hù)措施獨(dú)立于各保護(hù)措施，具有獨(dú) 立

13、性;并且是專門針對(duì)控制液位而設(shè)計(jì)，同時(shí)進(jìn)行著定期的審核與檢驗(yàn)，所以滿 足保護(hù)層分析方法的要求，是獨(dú)立保護(hù)層。假設(shè)平均需求故障率為PFD1=0.1。報(bào)警及人員干預(yù)因?yàn)閳?bào)警響后所采取的措施必須依賴于人來(lái)完成，因此表中雖然有三個(gè)報(bào)警 可以響應(yīng)，但人只要對(duì)其中一個(gè)采取了行動(dòng)即可，因此對(duì)于滿足保護(hù)層分析（LOPA） 中標(biāo)準(zhǔn)要求來(lái)說(shuō)此處僅將三個(gè)報(bào)警作為一個(gè)獨(dú)立保護(hù)層。假設(shè)平均需求故障率為 PFD2=0.1。聯(lián)鎖 LALL116一般來(lái)說(shuō)聯(lián)鎖與其它保護(hù)層是相互獨(dú)立，且具有可審核性，并能有效執(zhí)行的， 是保護(hù)層分析中一個(gè)重要的獨(dú)立保護(hù)層。原有聯(lián)鎖LALL116的設(shè)計(jì)就滿足這些要 求，是一個(gè)獨(dú)立保護(hù)層。不過(guò)因?yàn)檠b置

14、對(duì)此處設(shè)計(jì)進(jìn)行了變更，需要重新審核新 的設(shè)計(jì)與舊的設(shè)計(jì)之間的差異，以判斷是否具有獨(dú)立保護(hù)層特性。先假設(shè)其平均 需求故障率為PFD3=0.1。a）裝置原始設(shè)計(jì)是：獨(dú)立的DCS液位控制LIC-115用于調(diào)節(jié)汽包D-112內(nèi)水 位以防止低或無(wú)液位情況，獨(dú)立的低低液位停汽包進(jìn)料聯(lián)鎖LSLL116防止鍋爐無(wú) 液位發(fā)生干鍋導(dǎo)致爆炸的事故，設(shè)計(jì)類型為1選1（即只有一個(gè)液位傳感器）;而低 液位聯(lián)鎖LSLL116又會(huì)導(dǎo)致裝置自動(dòng)停車。因此只要此處聯(lián)鎖誤觸發(fā)就會(huì)導(dǎo)致裝 置停車，造成不希望的生產(chǎn)損失，而且裝置也確實(shí)多次發(fā)生LSLL116誤觸發(fā)導(dǎo)致 的停車事故。為了保證正常生產(chǎn)，裝置對(duì)此聯(lián)鎖進(jìn)行了技術(shù)改造。b）裝置變

15、更后設(shè)計(jì)：將液位DCS控制系統(tǒng)LIC-115的液位傳感器加入到聯(lián)鎖 LSLL116的傳感器選擇系統(tǒng)，并將檢測(cè)類型選擇邏輯設(shè)計(jì)為2選2,即只有LSLL116 和LIC-115的液位傳感器同時(shí)發(fā)出低液位信號(hào)時(shí)，聯(lián)鎖LSLL116才會(huì)觸發(fā)停車。 這種變更裝置只需要在控制程序上修改就完成，不需要增加新的硬件設(shè)施，而且 裝置認(rèn)為這是個(gè)好辦法。那么實(shí)際會(huì)產(chǎn)生什么樣的狀況?通過(guò)LOPA分析，我們可以發(fā)現(xiàn)，當(dāng)液位控制回路LIC-115的傳感檢測(cè)發(fā)生 故障，顯示正?；蛱摳邥r(shí)，而汽包內(nèi)實(shí)際液位已經(jīng)下降，這時(shí)因?yàn)槁?lián)鎖LIC-116 需要LIC-115與LSLL-116的傳感檢測(cè)都發(fā)出低液位信號(hào)時(shí)才可以發(fā)生聯(lián)鎖觸動(dòng)停

16、 車，而LIC-115此時(shí)根本不可能發(fā)出低液位信號(hào)，因而LSLL-116就根本不可能采 取正確處理措施，則干鍋就會(huì)發(fā)生，隨之而來(lái)的爆炸事故就可能發(fā)生。這種變更 實(shí)際是提高了鍋爐干鍋爆炸的風(fēng)險(xiǎn)。也就是說(shuō)當(dāng)DCS液位控制系統(tǒng)由于液位傳感 器系統(tǒng)出現(xiàn)故障時(shí)，這個(gè)貌似保護(hù)的低低液位連鎖系統(tǒng)也將失去作用。這種變更 使得聯(lián)鎖LSLL-116與基礎(chǔ)工藝控制系統(tǒng)LIC-115存在關(guān)聯(lián)，不獨(dú)立，因而不能當(dāng) 作獨(dú)立保護(hù)層對(duì)待。2.2.4 .操作規(guī)程正如LOPA對(duì)于獨(dú)立保護(hù)層的定義，操作規(guī)程不具有可量化性，不是獨(dú)立保 護(hù)層。（安全管理交流-）2.2.5.風(fēng)險(xiǎn)比較通過(guò)對(duì)該單元保護(hù)層分析，將原有設(shè)計(jì)與變更后設(shè)計(jì)的風(fēng)險(xiǎn)進(jìn)

17、行比較：原有設(shè)計(jì)的風(fēng)險(xiǎn) R1=f1xPFD1xPFD2xPFD3=0.1x0.1x0.1x0.1=10-4變更后的風(fēng)險(xiǎn) R2=f1xPFD1xPFD2=0.1x0.1x0.1=10-3可以看出風(fēng)險(xiǎn)提高十倍，與之前所述一致。經(jīng)LOPA分析后該工藝點(diǎn)的風(fēng)險(xiǎn)結(jié)果見(jiàn)表-2。表-2 : LOFA分析結(jié)果表偏差原因后果預(yù)防措施風(fēng)險(xiǎn)建詼備注產(chǎn)重 度可能 性風(fēng)險(xiǎn)等綴低溫PIC15D 控制回路故障壓力突然下降，造 成D112內(nèi)大里蒸汽 突然損失，導(dǎo)致 D112內(nèi)寇位下睦， 直至發(fā)生干鍋，若 再次補(bǔ)充鍋爐給水 時(shí)會(huì)發(fā)生爆炸1.液位控制回路LIC-11543II2自產(chǎn)蒸汽出口錢上有流里顯示 夏報(bào)警FI154；或低瓶

18、位報(bào)警授聯(lián) 鎖LALL116；或E112出口有溫度 倨報(bào)警TI1E1；同時(shí)有人員響應(yīng)但這個(gè)改動(dòng)確實(shí)可以有效的減少偽跳閘的次數(shù)。從表T中我們可以看出1選1系統(tǒng)與二選2 系統(tǒng)的差異。（其中T為連鎖系統(tǒng)的測(cè)試時(shí)間間隔知m代表安全故障率知d代表危險(xiǎn)故障 率表-3 ： 1001 0選。與2002（2選2）類型對(duì)比表傳感檢孤類型偽跳閘率平均需求故障概率1001 (11)2002 (22)保護(hù)層分析就在于幫助裝置判斷出所面臨的風(fēng)險(xiǎn)的真實(shí)大小，并最后將其與公司 的風(fēng)險(xiǎn)標(biāo)準(zhǔn)進(jìn)行比較。但由于安全與生產(chǎn)總存在一個(gè)平衡的關(guān)系，這時(shí)候裝置需 要考慮是甘愿冒更大的風(fēng)險(xiǎn)來(lái)維持生產(chǎn)還是維持原樣（有較高的偽跳閘率，影響 生產(chǎn)但卻是安全的，會(huì)造成經(jīng)濟(jì)損失）?或者有其他更好的辦法嗎?通過(guò)LOPA分析， 可以使參與人員很清晰的明白每個(gè)保護(hù)措施的有效性，從而更多的避免人為的十 擾對(duì)分析后果的評(píng)判。3.保護(hù)層分析（LOPA的優(yōu)勢(shì)3.1.確定保證安全的關(guān)鍵設(shè)備，提供更精確的維護(hù)和維修信息。舉例來(lái)說(shuō)：安全閥或儀表聯(lián)鎖系統(tǒng)可以使壓力容