保護層分析（LOPA）是半定量的工藝危害分析方法之一。用于確定發(fā)現(xiàn)的危險場景的危險程度，定量計算危害發(fā)生的概率，已有保護層的保護能力及失效概率，如果發(fā)現(xiàn)保護措施不足，可以推算出需要的保護措施的等級。

LOPA是由事件樹分析發(fā)展而來的一種風險分析技術，作為辨識和評估風險的半定量工具，是溝通定性分析和定量分析的重要橋梁與紐帶。LOPA耗費的時間比定量分析少，能夠集中研究后果嚴重或高頻率事件，善于識別、揭示事故場景的始發(fā)事件及深層次原因，集中了定性和定量分析的優(yōu)點，易于理解，便于操作，客觀性強，用于較復雜事故場景效果甚佳。所以在工業(yè)實踐中一般在定性的危害分析如HAZOP，檢查表等完成之后，對得到的結果中過于復雜的、過于危險的以及提出了SIS要求的部分進行LOPA，如果結果仍不足以支持最終的決策，則會進一步考慮如QRA等定量分析方法。

LOPA先分析未采取獨立保護層之前的風險水平，通過參照一定的風險容許準則，再評估各種獨立保護層將風險降低的程度，其基本特點是基于事故場景進行風險研究。

保護層是一類安全保護措施，它是能有效阻止始發(fā)事件演變?yōu)槭鹿实脑O備、系統(tǒng)或者動作。兼具獨立性、有效性和可審計性的保護層稱為獨立保護層（Independent Protection Layer，IPL），它既獨立于始發(fā)事件，也獨立于其他獨立保護層。正確識別和選取獨立保護層是完成LOPA分析的重點內(nèi)容之一。典型化工裝置的獨立保護層呈“洋蔥”形分布，從內(nèi)到外一般設計為：過程設計、基本過程控制系統(tǒng)、警報與人員干預、安全儀表系統(tǒng)、物理防護、釋放后物理防護、工廠緊急響應以及社區(qū)應急響應等。

關于IPL

一、獨立保護層(IPL)的辨識規(guī)則

LOPA 分析中的獨立保護層(IPL)是能夠阻止場景向不期望后果發(fā)展，并且獨立于場景的初始事件或其它保護層的設備、系統(tǒng)或行動。

2015年3月6日國家安全生產(chǎn)監(jiān)督管理總局發(fā)布的《保護層分析(LOPA)方法應用導則》(報批稿)AQ/T3054-2015規(guī)定“化工企業(yè)保護層作為IPL時，應滿足一下基本要求：獨立性、有效性、安全性、變更管理及可審查性。”

1)獨立性

保護層性能不會因固定危險場景的初始事件或其它獨立保護層失效受到影響。即：IPL獨立于初始事件的發(fā)生及其后果且獨立于同一場景中的其它獨立保護層。

2)有效性

a)必須能夠有效檢測所要采取行動的異常條件，該條件可以是過程變量或報警等。

b)在有效的時間內(nèi)，能及時響應。

c)在可用的時間內(nèi)，有足夠的能力采取所要求的行動。

d)滿足所選擇的PFD的要求。

行動條件檢測、決策和行動及時，這樣才能共同作用，產(chǎn)生及時的保護行動，任何一個環(huán)節(jié)上的時間遲緩都可能造成保護行動的失效。IPL一旦發(fā)揮作用，必須具備足夠的強度遏制事故風險的發(fā)生。

3)安全性

使用管理員控制或技術手段減少非故意的或未授權的變動。例如安全儀表系統(tǒng)邏輯控制器配置的密碼保護，其所在房間的上鎖管理等。[1]

4)變更管理

設備、操作程序、原料、過程條件等任何改動應執(zhí)行變更管理程序，以滿足變更后保護層的IPL要求。

5)可審查性

組成獨立保護層的元素、系統(tǒng)或行動都必須經(jīng)過審查，證明其符合LOPA獨立保護層阻止或減緩事故風險的要求。審查程序必須確認IPL如何按照設計發(fā)生作用。此外，獨立保護層的設計、安裝、功能測試和后期維護也必須具有可審查性，以取得IPL特定的PFD。

二、 長輸管道站場典型IPL的識別

典型的保護層包括本質(zhì)安全設計、基本過程控制系統(tǒng)、關鍵報警與人員干預、安全儀表功能、物理保護(安全閥等)、釋放后物理保護、工廠應急響應和社區(qū)應急響應等8重保護。

1)本質(zhì)安全設計

從根本上消除或減少工藝系統(tǒng)存在的危害。例如管道設計壓力高于工藝運行高壓標準，可承受事故后果產(chǎn)生的高壓等。

出口設置壓力表，壓力高時操作人員無法及時獲取壓力信息，在壓力高時無法進行響應。因此，出口壓力測量顯示不能作為獨立保護層。

2)BPCS(基本過程控制系統(tǒng))

BPCS 是執(zhí)行基本過程控制功能的控制系統(tǒng)，它使生產(chǎn)過程的溫度、壓力、流量、液位等工藝參數(shù)維持在規(guī)定的正常范圍之內(nèi)。BPCS 是主動的、動態(tài)的，它必須根據(jù)系統(tǒng)的設定要求和生產(chǎn)過程的擾動狀態(tài)不斷地動態(tài)運行，才能保持生產(chǎn)過程的連續(xù)穩(wěn)定運行。BPCS作為IPL應滿足以下要求：

——BPCS應與安全儀表系統(tǒng)(SIS)在物理上分離，包括傳感器、邏輯控制器和最終執(zhí)行元件；

——BPCS故障不是造成初始事件的原因；

——在同一個場景中，當滿足IPL的要求時，具有多個回路的BPCS宜作為一個IPL。

3)報警和人員響應

關鍵報警和人員干預保護層是指操作人員或其他工作人員對報警響應或在系統(tǒng)常規(guī)檢查后，采取的防止不良后果的行動。人員行動作為IPL 應滿足以下要求：

——操作人員應能夠得到采取行動的指示或報警；

——操作人員應訓練有素，能夠完成特定報警所要求的操作任務；

——任務應具有單一性和可操作性，不宜要求操作人員執(zhí)行IPL要求的行動時同時執(zhí)行其它任務；

——操作人員應有足夠的響應時間等。

人工決策和人員行動必須簡單、快捷、有效，否則就不能被認定為IPL。

4)安全儀表功能(SIF)

安全儀表功能一般能夠滿足有效性、獨立性和可審查性的要求，在功能上獨立于BPCS，可作為獨立保護層。

天然氣管線進出站設置ESD緊急關斷，當采用人工確認后觸發(fā)時，不具有獨立性，因此不能作為IPL。

5)物理保護(安全閥等)

——獨立于場景中的其他保護層；

——在確定安全閥、爆破片等設備的PFD時，應考慮其實際運行環(huán)境中可能出現(xiàn)的污染、堵塞、腐蝕、不恰當維護等因素對PFD進行修正。

各壓力容器均設安全閥，當壓力達到設定值時自動起跳放空，具有獨立性、有效性和可審查性等，可以作為IPL。

6)釋放后保護設施(防火堤、自動噴淋等)

危險物質(zhì)釋放后，用來降低事故后果的保護設施。

自動噴淋可在明火發(fā)生后遏制火勢蔓延，甚至滅火，可以視作IPL。

7)工廠和社區(qū)應急響應

其有效性受多種因素影響，一般不作為IPL。

4、 結束語

識別和確定場景中的IPL，并確定合適的PFD，是LOPA 分析的核心內(nèi)容。在實際運用中，必須謹慎識別各種IPL，防止IPL 虛假使用或被忽略，以保證更全面、系統(tǒng)地識別流程中的危險。

LOPA基本程序

LOPA基本程序包括：

a)場景識別與篩選。LOPA通常評估先前危害分析研究中識別的場景。分析人員可采用定性或定量的方法對這些場景后果的嚴重性進行評估，并根據(jù)后果嚴重性評估結果對場景進行篩選；

b)初始事件確認。首先，選擇一個事故場景，LOPA一次只能選擇一個場景；然后確定場景IE。IE包括外部事件、設備故障和人員行為失效；

c)IPL評估。評估現(xiàn)有的防護措施是否滿足IPL的要求是LOPA的核心內(nèi)容；

d)場景頻率計算。將后果、IE頻率和IPL的PFD等相關數(shù)據(jù)進行計算，確定場景風險；

e)評估風險，作出決策。根據(jù)風險評估結果，確定是否采取相應措施降低風險。然后，重復步驟b)～e)直到所有的場景分析完畢；

f)后續(xù)跟蹤和審查。LOPA分析完成后，對提出降低風險措施的落實情況應進行跟蹤。應對LOPA的程序和分析結果進行審查。

保護層分析(LOPA)的歷史

20世紀80年代末：美國化學品制造商協(xié)會出版了《責任關懷—過程安全管理實施準則》，書中建議將“足夠的保護層”作為有效的過程安全管理系統(tǒng)的一個組成部分。

1993年：美國CCPS《化工過程安全自動化指南》，書中建議將LOPA作為確定安全儀表功能完整性水平的方法之一。

2001年：CCPS發(fā)布了《保護層分析——簡化的過程風險評估》，書中詳細地討論了LOPA的基本規(guī)則和應用。

2003年：國際電工委員會(IEC)發(fā)布了IEC61511：過程工業(yè)領域安全儀表系統(tǒng)的功能安全，將LOPA技術作為確定安全儀表系統(tǒng)完整性水平的推薦方法之一。

2015年：中國*生產(chǎn)監(jiān)督管理總局發(fā)布了《保護層分析(LOPA)方法應用導則(AQ/T 3054-2015)》。