论文部分内容阅读
[摘 要]保护层是一类安全保护措施，它是能有效阻止始发事件演变为事故的设备、系统或者动作。兼具独立性、有效性和可审计性的保护层称为独立保护层（Independent Protection Layer，IPL）。正确识别和选取独立保护层是完成LOPA分析的核心内容。
[关键词]保护层分析（LOPA）；独立保护层（IPL）
中图分类号：X913 文献标识码：A 文章编号：1009-914X（2016）14-0336-02
目前，我国长距离输气管道建设发展迅猛，建设项目规模大，工艺过程复杂，而社会对安全理念提升，对站场的安全化、规范化、标准化管理要求升高，因此降低长输管道事故发生率是管道运营单位的首要任务。HAZOP分析能识别流程中的危险，但识别出的重大事故场景，分析人员难以准确对其进行评价，需要进一步采取半定量的LOPA分析方法加以修改、补充和完善。
1、 LOPA分析法简介
保护层分析（Layer of protection analysis，简称LOPA）是在定性危害分析的基础上，对结果中过于复杂、过于危险以及提出SIS要求的部分进行LOPA分析，进一步评估保护层的有效性，并进行风险决策的系统方法。
保护层分析可以用一个“洋葱”来描述其模型，所有的洋葱皮对内核都起到独立保护作用，故洋葱内核遭受外侵的风险大大降低。因此，在对某个事故场景进行保护层分析时，确定哪些保护层措施能够起到预防事故的目的尤为重要[1]。
具体思路过程如图1所示。
LOPA主要过程包括：a）场景识别与筛选；b）初始事件（IE）确认；c）独立保护层（IPL）评估；d）场景频率计算；e）风险评估与决策；f）后续跟踪与审查。[2]
2、 独立保护层（IPL）的辨识规则
LOPA 分析中的独立保护层（IPL）是能够阻止场景向不期望后果发展，并且独立于场景的初始事件或其它保护层的设备、系统或行动。
2015年3月6日国家安全生产监督管理总局发布的《保护层分析（LOPA）方法应用导则》（报批稿）AQ/T3054-2015规定“化工企业保护层作为IPL时，应满足一下基本要求：独立性、有效性、安全性、变更管理及可审查性。”
1）独立性
保护层性能不会因固定危险场景的初始事件或其它独立保护层失效受到影响。即：IPL独立于初始事件的发生及其后果且独立于同一场景中的其它独立保护层。
2）有效性
a）必须能够有效检测所要采取行动的异常条件，该条件可以是过程变量或报警等。
b）在有效的时间内，能及时响应。
c）在可用的时间内，有足够的能力采取所要求的行动。
d）满足所选择的PFD的要求。
行动条件检测、决策和行动及时，这样才能共同作用，产生及时的保护行动，任何一个环节上的时间迟缓都可能造成保护行动的失效。IPL一旦发挥作用，必须具备足够的强度遏制事故风险的发生。
3）安全性
使用管理员控制或技术手段减少非故意的或未授权的变动。例如安全仪表系统逻辑控制器配置的密码保护，其所在房间的上锁管理等。[1]
4）变更管理
设备、操作程序、原料、过程条件等任何改动应执行变更管理程序，以满足变更后保护层的IPL要求。
5）可审查性
组成独立保护层的元素、系统或行动都必须经过审查，证明其符合LOPA独立保护层阻止或减缓事故风险的要求。审查程序必须确认IPL如何按照设计发生作用。此外，独立保护层的设计、安装、功能测试和后期维护也必须具有可审查性，以取得IPL特定的PFD。
3、 长输管道站场典型IPL的识别
典型的保护层包括本质安全设计、基本过程控制系统、关键报警与人员干预、安全仪表功能、物理保护（安全阀等）、释放后物理保护、工厂应急响应和社区应急响应等8重保护。
1）本质安全设计
从根本上消除或减少工艺系统存在的危害。例如管道设计压力高于工艺运行高压标准，可承受事故后果产生的高压等。
出口设置压力表，压力高时操作人员无法及时获取压力信息，在压力高时无法进行响应。因此，出口压力测量显示不能作为独立保护层。
2）BPCS（基本过程控制系统）
BPCS 是执行基本过程控制功能的控制系统，它使生产过程的温度、压力、流量、液位等工艺参数维持在规定的正常范围之内。BPCS 是主动的、动态的，它必须根据系统的设定要求和生产过程的扰动状态不断地动态运行，才能保持生产过程的连续稳定运行。BPCS作为IPL应满足以下要求：
——BPCS应与安全仪表系统（SIS）在物理上分离，包括传感器、逻辑控制器和最终执行元件；
——BPCS故障不是造成初始事件的原因；
——在同一个场景中，当满足IPL的要求时，具有多个回路的BPCS宜作为一个IPL。
3）报警和人员响应
关键报警和人员干预保护层是指操作人员或其他工作人员对报警响应或在系统常规检查后，采取的防止不良后果的行动。人员行动作为IPL 应满足以下要求：
——操作人员应能够得到采取行动的指示或报警；
——操作人员应训练有素，能够完成特定报警所要求的操作任务；
——任务应具有单一性和可操作性，不宜要求操作人员执行IPL要求的行动时同时执行其它任务；
——操作人员应有足够的响应时间等。
人工决策和人员行动必须简单、快捷、有效，否则就不能被认定为IPL。[3]
4）安全仪表功能（SIF）
安全仪表功能一般能够满足有效性、独立性和可审查性的要求，在功能上独立于BPCS，可作为独立保护层。
天然气管线进出站设置ESD紧急关断，当采用人工确认后触发时，不具有独立性，因此不能作为IPL。
5）物理保护（安全阀等）
——独立于场景中的其他保护层；
——在确定安全阀、爆破片等设备的PFD时，应考虑其实际运行环境中可能出现的污染、堵塞、腐蚀、不恰当维护等因素对PFD进行修正。
各压力容器均設安全阀，当压力达到设定值时自动起跳放空，具有独立性、有效性和可审查性等，可以作为IPL。
6）释放后保护设施（防火堤、自动喷淋等）
危险物质释放后，用来降低事故后果的保护设施。
自动喷淋可在明火发生后遏制火势蔓延，甚至灭火，可以视作IPL。
7）工厂和社区应急响应
其有效性受多种因素影响，一般不作为IPL。
4、 结束语
识别和确定场景中的IPL，并确定合适的PFD，是LOPA 分析的核心内容。在实际运用中，必须谨慎识别各种IPL，防止IPL 虚假使用或被忽略[4]，以保证更全面、系统地识别流程中的危险。
参考文献
【1】周荣义、李石林、刘何清HAZOP 分析中LOPA 的应用研究[J]，中国安全科学学报，2010.07.15
【2】保护层分析（LOPA）方法应用导则，国家安全生产监督管理总局，2015.03.06
【3】殷卫兵、左信、杜殿林、张惠良、曲德伟 保护层分析中独立保护层的识别与应用[J]，化工自动化及仪表，2015.04.10
【4】刘昌华 保护层分析（LOPA）中的独立保护层探讨[J]，安全、健康和环境，2011.11.15
[关键词]保护层分析（LOPA）；独立保护层（IPL）
中图分类号：X913 文献标识码：A 文章编号：1009-914X（2016）14-0336-02
目前，我国长距离输气管道建设发展迅猛，建设项目规模大，工艺过程复杂，而社会对安全理念提升，对站场的安全化、规范化、标准化管理要求升高，因此降低长输管道事故发生率是管道运营单位的首要任务。HAZOP分析能识别流程中的危险，但识别出的重大事故场景，分析人员难以准确对其进行评价，需要进一步采取半定量的LOPA分析方法加以修改、补充和完善。
1、 LOPA分析法简介
保护层分析（Layer of protection analysis，简称LOPA）是在定性危害分析的基础上，对结果中过于复杂、过于危险以及提出SIS要求的部分进行LOPA分析，进一步评估保护层的有效性，并进行风险决策的系统方法。
保护层分析可以用一个“洋葱”来描述其模型，所有的洋葱皮对内核都起到独立保护作用，故洋葱内核遭受外侵的风险大大降低。因此，在对某个事故场景进行保护层分析时，确定哪些保护层措施能够起到预防事故的目的尤为重要[1]。
具体思路过程如图1所示。
LOPA主要过程包括：a）场景识别与筛选；b）初始事件（IE）确认；c）独立保护层（IPL）评估；d）场景频率计算；e）风险评估与决策；f）后续跟踪与审查。[2]
2、 独立保护层（IPL）的辨识规则
LOPA 分析中的独立保护层（IPL）是能够阻止场景向不期望后果发展，并且独立于场景的初始事件或其它保护层的设备、系统或行动。
2015年3月6日国家安全生产监督管理总局发布的《保护层分析（LOPA）方法应用导则》（报批稿）AQ/T3054-2015规定“化工企业保护层作为IPL时，应满足一下基本要求：独立性、有效性、安全性、变更管理及可审查性。”
1）独立性
保护层性能不会因固定危险场景的初始事件或其它独立保护层失效受到影响。即：IPL独立于初始事件的发生及其后果且独立于同一场景中的其它独立保护层。
2）有效性
a）必须能够有效检测所要采取行动的异常条件，该条件可以是过程变量或报警等。
b）在有效的时间内，能及时响应。
c）在可用的时间内，有足够的能力采取所要求的行动。
d）满足所选择的PFD的要求。
行动条件检测、决策和行动及时，这样才能共同作用，产生及时的保护行动，任何一个环节上的时间迟缓都可能造成保护行动的失效。IPL一旦发挥作用，必须具备足够的强度遏制事故风险的发生。
3）安全性
使用管理员控制或技术手段减少非故意的或未授权的变动。例如安全仪表系统逻辑控制器配置的密码保护，其所在房间的上锁管理等。[1]
4）变更管理
设备、操作程序、原料、过程条件等任何改动应执行变更管理程序，以满足变更后保护层的IPL要求。
5）可审查性
组成独立保护层的元素、系统或行动都必须经过审查，证明其符合LOPA独立保护层阻止或减缓事故风险的要求。审查程序必须确认IPL如何按照设计发生作用。此外，独立保护层的设计、安装、功能测试和后期维护也必须具有可审查性，以取得IPL特定的PFD。
3、 长输管道站场典型IPL的识别
典型的保护层包括本质安全设计、基本过程控制系统、关键报警与人员干预、安全仪表功能、物理保护（安全阀等）、释放后物理保护、工厂应急响应和社区应急响应等8重保护。
1）本质安全设计
从根本上消除或减少工艺系统存在的危害。例如管道设计压力高于工艺运行高压标准，可承受事故后果产生的高压等。
出口设置压力表，压力高时操作人员无法及时获取压力信息，在压力高时无法进行响应。因此，出口压力测量显示不能作为独立保护层。
2）BPCS（基本过程控制系统）
BPCS 是执行基本过程控制功能的控制系统，它使生产过程的温度、压力、流量、液位等工艺参数维持在规定的正常范围之内。BPCS 是主动的、动态的，它必须根据系统的设定要求和生产过程的扰动状态不断地动态运行，才能保持生产过程的连续稳定运行。BPCS作为IPL应满足以下要求：
——BPCS应与安全仪表系统（SIS）在物理上分离，包括传感器、逻辑控制器和最终执行元件；
——BPCS故障不是造成初始事件的原因；
——在同一个场景中，当满足IPL的要求时，具有多个回路的BPCS宜作为一个IPL。
3）报警和人员响应
关键报警和人员干预保护层是指操作人员或其他工作人员对报警响应或在系统常规检查后，采取的防止不良后果的行动。人员行动作为IPL 应满足以下要求：
——操作人员应能够得到采取行动的指示或报警；
——操作人员应训练有素，能够完成特定报警所要求的操作任务；
——任务应具有单一性和可操作性，不宜要求操作人员执行IPL要求的行动时同时执行其它任务；
——操作人员应有足够的响应时间等。
人工决策和人员行动必须简单、快捷、有效，否则就不能被认定为IPL。[3]
4）安全仪表功能（SIF）
安全仪表功能一般能够满足有效性、独立性和可审查性的要求，在功能上独立于BPCS，可作为独立保护层。
天然气管线进出站设置ESD紧急关断，当采用人工确认后触发时，不具有独立性，因此不能作为IPL。
5）物理保护（安全阀等）
——独立于场景中的其他保护层；
——在确定安全阀、爆破片等设备的PFD时，应考虑其实际运行环境中可能出现的污染、堵塞、腐蚀、不恰当维护等因素对PFD进行修正。
各压力容器均設安全阀，当压力达到设定值时自动起跳放空，具有独立性、有效性和可审查性等，可以作为IPL。
6）释放后保护设施（防火堤、自动喷淋等）
危险物质释放后，用来降低事故后果的保护设施。
自动喷淋可在明火发生后遏制火势蔓延，甚至灭火，可以视作IPL。
7）工厂和社区应急响应
其有效性受多种因素影响，一般不作为IPL。
4、 结束语
识别和确定场景中的IPL，并确定合适的PFD，是LOPA 分析的核心内容。在实际运用中，必须谨慎识别各种IPL，防止IPL 虚假使用或被忽略[4]，以保证更全面、系统地识别流程中的危险。
参考文献
【1】周荣义、李石林、刘何清HAZOP 分析中LOPA 的应用研究[J]，中国安全科学学报，2010.07.15
【2】保护层分析（LOPA）方法应用导则，国家安全生产监督管理总局，2015.03.06
【3】殷卫兵、左信、杜殿林、张惠良、曲德伟 保护层分析中独立保护层的识别与应用[J]，化工自动化及仪表，2015.04.10
【4】刘昌华 保护层分析（LOPA）中的独立保护层探讨[J]，安全、健康和环境，2011.11.15