第3章危害识别与分析

3. 危害识别与分析：HAZOP方法、LOPA分析、保护层概念、独立保护层（IPL）识别

好，咱们进入实战计算前最烧脑的一环——危害识别与分析。

说实话，很多工程师觉得SIL定级就是套公式。但我要泼盆冷水：如果危害识别没做透，后面算出来的SIL全是空中楼阁。我见过太多项目，因为HAZOP分析漏了一个场景，导致安全系统投用后该动作时不动作，差点出大事。

HAZOP，全称是危险与可操作性分析。说白了，就是一群人坐在一起，对着P&ID图，用引导词去“找茬”。

我个人习惯，做HAZOP时最核心的思维是：“如果这里偏了，会怎样？”

核心引导词（我常用的）：

举个例子。我在一个化工项目中，分析一个反应釜的冷却水系统。引导词“无”——冷却水断流。后果是什么？反应釜温度飙升，可能引发爆炸。这就是一个典型的偏差。

HAZOP的产出，是一张张记录表。每一条记录，都是一个“原因-后果-现有保护措施”的链条。这些链条，就是后续LOPA分析的原材料。

我的避坑指南：

我曾经犯过一个错——HAZOP分析时只关注了“大”偏差，忽略了“小”偏差的累积效应。比如，一个阀门微漏，单次看风险不大，但持续泄漏24小时，浓度就达到了爆炸极限。所以，分析时一定要考虑时间维度。

HAZOP做完，你手里有一堆“风险场景”。但哪个场景需要上SIL1，哪个需要SIL3？这时候就需要LOPA了。

LOPA，即保护层分析。它把HAZOP的定性描述，变成了数字。

LOPA的核心公式很简单：

风险 = 后果严重性 × 后果发生频率

但这里有个关键点：频率不是瞎猜的。我们需要把“初始事件频率”乘以“各保护层的失效概率”，才能得到最终的“后果发生频率”。

我举个例子：

那么，最终后果发生频率 = 1 × 0.1 × 0.01 = 0.001次/年。

如果企业可容忍风险标准是1e-4次/年，那这个场景的风险就不可接受，需要提升SIS的SIL等级。

注意：LOPA分析中，千万不要重复计算保护层。比如，同一个压力变送器既用于报警，又用于联锁，那它只能算一个保护层。我见过有人把同一个传感器拆成两个保护层来算，结果风险被严重低估。

保护层，就像洋葱一样，一层套一层。每一层都能独立地阻止事故的发生。

标准的保护层模型，从内到外依次是：

这里我要强调一点：不是所有层都能算作独立保护层（IPL）。只有满足独立性、有效性、可审计性的层，才能被计入LOPA计算。

IPL的三个硬性条件：

识别IPL，是SIL计算中最容易扯皮的地方。为什么？因为很多工程师会把“非独立”的保护层强行算作IPL。

我举一个典型的反面案例：

一个反应釜，有温度高报警（报警值100℃），也有温度高联锁（联锁值110℃）。这两个保护层，共用了同一个温度传感器。那么，它们能算作两个独立的IPL吗？

不能。因为传感器一旦失效，报警和联锁同时失效。它们共享了同一个失效点。

正确的做法是：报警和联锁使用不同的传感器，或者报警使用温度传感器，联锁使用压力传感器（通过压力间接判断温度）。

我的经验：识别IPL时，我习惯画一个“因果链图”。从初始事件开始，到最终后果结束，中间每一个保护层都画成一个方框。然后问自己：“如果这个方框失效，会不会导致下一个方框也失效？”如果会，那它们就不是独立的。

为了让你更直观地理解这三者的关系，我画了一张图：

你看，这三者是一环扣一环的。HAZOP是基础，LOPA是桥梁，保护层和IPL是核心。缺了任何一环，SIL计算都会跑偏。

最后提醒一句：做LOPA分析时，不要为了降低SIL等级而故意夸大保护层的有效性。我见过一个项目，把操作工手动干预的PFD算成0.01（即99%可靠），但实际上操作工在紧急情况下能正确操作的概率能有50%就不错了。这种“乐观估计”，最终坑的是自己。

公众号:蓝海资料掘金营，微信deep3321