殷衛(wèi)兵 左 信 杜殿林 張惠良 曲德偉

(1.中國(guó)石油大學(xué)(北京)，北京 102249；2.北京安穩(wěn)優(yōu)科技有限公司，北京 102200)

保護(hù)層分析(Layer of Protection Analysis，LOPA)是一種可重復(fù)評(píng)估選定事故場(chǎng)景風(fēng)險(xiǎn)的方法[1]。一個(gè)典型的化工過(guò)程包括各種保護(hù)層，如工藝設(shè)計(jì)(本質(zhì)安全概念)、基本過(guò)程控制系統(tǒng)(Basic Process Control System，BPCS)、安全儀表系統(tǒng)(Safety Instruments System，SIS)、被動(dòng)減緩或隔離防護(hù)設(shè)施(如堤壩)、主動(dòng)防護(hù)設(shè)施(如安全閥)及人工干預(yù)等，這一系列保護(hù)層都有效地降低了事故發(fā)生的頻率。而保護(hù)層分析作為一種半定量的風(fēng)險(xiǎn)分析和評(píng)估方法，能夠使用合理、客觀(guān)、基于風(fēng)險(xiǎn)的方法，對(duì)保護(hù)層的有效性進(jìn)行分析，并將所有保護(hù)層共同作用下的事故風(fēng)險(xiǎn)與風(fēng)險(xiǎn)可容忍標(biāo)準(zhǔn)進(jìn)行比較[2,3]。

對(duì)于特定場(chǎng)景，LOPA基于一致的事故場(chǎng)景分析，能夠判斷該事故風(fēng)險(xiǎn)是否擁有足夠的獨(dú)立保護(hù)層以防止事故風(fēng)險(xiǎn)發(fā)生。LOPA適用于那些對(duì)于定性分析來(lái)說(shuō)過(guò)于復(fù)雜、后果嚴(yán)重的場(chǎng)景，也能為進(jìn)一步需要定量分析的場(chǎng)景做出預(yù)先篩選[4,5]。

1 獨(dú)立保護(hù)層的定義①

獨(dú)立保護(hù)層(Independent Protection Layer，IPL)和一般保護(hù)措施是指能夠中斷初始事件發(fā)生后事件鏈中的任何一種設(shè)備、系統(tǒng)或行動(dòng)；但由于有效性、確定性和獨(dú)立性不同，獨(dú)立保護(hù)層和一般保護(hù)措施有著本質(zhì)的差別，獨(dú)立保護(hù)層及其構(gòu)成元素必須具備有效性、獨(dú)立性和可審查性[1]，具體如下：

a. 有效性。按照設(shè)計(jì)功能發(fā)揮作用，一定能夠有效防止后續(xù)事件發(fā)生。

b. 獨(dú)立性。必須獨(dú)立于初始事件或同一場(chǎng)景中其他獨(dú)立保護(hù)層的構(gòu)成元素。

c. 可審查性。對(duì)于阻止后續(xù)事件發(fā)生的有效性和要求時(shí)失效概率(Probability of Failure on Demand，PFD)必須能夠通過(guò)某種方式驗(yàn)證，驗(yàn)證方式可以是審查及測(cè)試等。

獨(dú)立保護(hù)層能夠防止特定場(chǎng)景分析中的事件發(fā)生，或?qū)⑹录l(fā)生后的不良影響降至最低。根據(jù)保護(hù)作用和行動(dòng)方式，獨(dú)立保護(hù)層可以劃分為：主動(dòng)作用或被動(dòng)作用；事件前阻止發(fā)生或事件發(fā)生后減緩。

2 獨(dú)立保護(hù)層的識(shí)別

設(shè)備、系統(tǒng)或行動(dòng)只有滿(mǎn)足有效性、獨(dú)立性和可審查性，才能作為獨(dú)立保護(hù)層。

2.1 有效性

作為獨(dú)立保護(hù)層，必須能夠有效防止所在場(chǎng)景中的事故風(fēng)險(xiǎn)的發(fā)生，有效性包括：

a. 獨(dú)立保護(hù)層必須能夠有效檢測(cè)所要采取行動(dòng)的條件，該條件可以是過(guò)程變量或報(bào)警等。如果不能檢測(cè)到行動(dòng)條件，那么就不可能產(chǎn)生進(jìn)一步的行動(dòng)，則保護(hù)自然不可能實(shí)現(xiàn)。

b. 行動(dòng)條件的檢測(cè)和保護(hù)行動(dòng)的及時(shí)性，也就是必須有時(shí)效性。這里包括行動(dòng)條件檢測(cè)及時(shí)、決策及時(shí)和行動(dòng)及時(shí)，這樣才能共同作用產(chǎn)生及時(shí)的保護(hù)行動(dòng)，任何一個(gè)環(huán)節(jié)上的時(shí)間遲緩都可能造成保護(hù)行動(dòng)的失效。

c. 保護(hù)行動(dòng)一旦作用，就必須具備有效強(qiáng)度，足以遏制事故風(fēng)險(xiǎn)的發(fā)生。

2.2 獨(dú)立性

獨(dú)立保護(hù)層的獨(dú)立性，用以保證初始事件或其他獨(dú)立保護(hù)層不會(huì)對(duì)該獨(dú)立保護(hù)層產(chǎn)生影響，來(lái)確保該獨(dú)立保護(hù)層的保護(hù)能力。獨(dú)立性包括兩個(gè)方面：

a. 構(gòu)成獨(dú)立保護(hù)層的任一元素必須獨(dú)立于初始事件及其后果。因?yàn)槿绻?dú)立保護(hù)層的構(gòu)成元素與初始事件或后果時(shí)間有重疊，這將造成獨(dú)立保護(hù)層的這一元素?zé)o法發(fā)揮作用，從而造成保護(hù)失效。

b. 構(gòu)成獨(dú)立保護(hù)層的任一元素必須獨(dú)立于同一場(chǎng)景其他獨(dú)立保護(hù)層構(gòu)成元素。這是因?yàn)榫哂邢嗤M成元素的保護(hù)層，如果其中一個(gè)失效，那么另一個(gè)也可能無(wú)法作用。

2.3 可審查性

組成獨(dú)立保護(hù)層的元素、系統(tǒng)或行動(dòng)都必須經(jīng)過(guò)審查，證明其滿(mǎn)足阻止或減緩事故風(fēng)險(xiǎn)的要求。此外，獨(dú)立保護(hù)層的設(shè)計(jì)、安裝、功能測(cè)試和后期維護(hù)也必須具有可審查性。

3 保護(hù)層分析

3.1 典型的獨(dú)立保護(hù)層

典型的獨(dú)立保護(hù)層大致包括七類(lèi)[1]。

本質(zhì)安全的工藝設(shè)備設(shè)計(jì)。工藝設(shè)計(jì)或設(shè)備設(shè)計(jì)的本質(zhì)安全能夠從根本上杜絕初因事件的發(fā)生。例如設(shè)計(jì)高壓容器時(shí)，設(shè)計(jì)使用遠(yuǎn)遠(yuǎn)高于工藝運(yùn)行負(fù)荷的高壓標(biāo)準(zhǔn)。遠(yuǎn)遠(yuǎn)高于工藝運(yùn)行負(fù)荷的高壓容器作為保護(hù)層，同時(shí)滿(mǎn)足有效性、獨(dú)立性及可審查性等幾個(gè)方面的要求，因此是獨(dú)立保護(hù)層。

基本過(guò)程控制系統(tǒng)。基于DCS的自動(dòng)控制回路或手動(dòng)控制回路通常均可作為獨(dú)立保護(hù)層。但要注意，控制回路的測(cè)量?jī)x表部分不能與初因事件或同一場(chǎng)景中的其他獨(dú)立保護(hù)層的測(cè)量?jī)x表相同，否則獨(dú)立性不具備。同樣，控制回路中的執(zhí)行元件(閥門(mén)及變頻器等)也不能與初因事件或同一場(chǎng)景中的其他獨(dú)立保護(hù)層的執(zhí)行元件相同。當(dāng)同一場(chǎng)景中確實(shí)出現(xiàn)了多個(gè)基本過(guò)程控制系統(tǒng)類(lèi)型的獨(dú)立保護(hù)層時(shí)，由于均使用DCS邏輯控制作為決策元件，此時(shí)獨(dú)立保護(hù)層的失效概率(PFD)應(yīng)適當(dāng)調(diào)增。

系統(tǒng)報(bào)警與人工干涉。系統(tǒng)報(bào)警作為檢測(cè)、人工決策、再配合人員行動(dòng)也構(gòu)成了保護(hù)層，但能否作為獨(dú)立保護(hù)層，就要嚴(yán)格考核人工決策與人員行動(dòng)的有效性、獨(dú)立性和可審查性。人工決策和人員行動(dòng)必須簡(jiǎn)單、快捷、有效，否則就不能被認(rèn)定為獨(dú)立保護(hù)層。例如操作室內(nèi)系統(tǒng)報(bào)警后，人工決策要快速關(guān)閉閥門(mén)，但目標(biāo)閥門(mén)為位于室外裝置區(qū)遠(yuǎn)處的手動(dòng)閥，由于關(guān)閥時(shí)間不能得到保證，則這一保護(hù)一般不能作為獨(dú)立保護(hù)層。

安全儀表功能。安全儀表功能由安全儀表系統(tǒng)的專(zhuān)用傳感器、邏輯運(yùn)算模塊和執(zhí)行器組成，一般能夠滿(mǎn)足有效性、獨(dú)立性和可審查性的要求，可作為獨(dú)立保護(hù)層。但也有例外情況，如傳感器或執(zhí)行器可能采用與其他安全儀表功能或控制回路中的傳感器或執(zhí)行器共用，則此時(shí)獨(dú)立性條件不滿(mǎn)足，不能視作獨(dú)立保護(hù)層。

物理保護(hù)設(shè)施。設(shè)計(jì)、性能、維護(hù)適合的主動(dòng)保護(hù)設(shè)備中，滿(mǎn)足有效性、獨(dú)立性和可審查性的設(shè)施可作為獨(dú)立保護(hù)層。例如某些高壓容器配置的安全閥，當(dāng)初因事件引發(fā)的壓力升高至設(shè)定值，安全閥自動(dòng)打開(kāi)、泄壓。

減緩設(shè)施。事故風(fēng)險(xiǎn)發(fā)生后，能夠減緩事故后果的設(shè)施中，符合有效性、獨(dú)立性和可審查性的設(shè)施也可視作獨(dú)立保護(hù)層。例如消防蒸汽、自動(dòng)噴淋可在明火發(fā)生后遏制火勢(shì)蔓延，甚至滅火。

其他如現(xiàn)場(chǎng)應(yīng)急響應(yīng)、消防、撤離及隔離等措施，往往由于有效性不能保證，也不具有獨(dú)立性，因此不能作為獨(dú)立保護(hù)層。

3.2 獨(dú)立保護(hù)層分析示例

3.2.1濾后原料油罐液位低

濾后原料油罐是某柴油加氫裝置中的工藝環(huán)節(jié)，經(jīng)過(guò)濾后的柴油進(jìn)入緩存儲(chǔ)罐，罐底流出的柴油與氫氣混合后依次進(jìn)入一系列換熱器，再經(jīng)加熱爐升溫后，進(jìn)入反應(yīng)器進(jìn)行柴油加氫反應(yīng)，其流程如圖1所示。原料油罐液位低會(huì)造成罐出口管線(xiàn)流量低或斷流，可能導(dǎo)致原料油泵損壞，加熱爐爐管高溫結(jié)焦。

圖1 濾后原料油罐部分流程

對(duì)于由于儲(chǔ)罐底部流量控制回路FIC702失效初因引發(fā)的事故場(chǎng)景，可用的獨(dú)立保護(hù)層分析如下:

a. BPCS保護(hù)層。液位控制回路LIC601，其中傳感器LT601、DCS邏輯控制、調(diào)節(jié)閥LY601均滿(mǎn)足獨(dú)立性、有效性和可審查性的要求，因此構(gòu)成獨(dú)立保護(hù)層。

b. 系統(tǒng)報(bào)警加人員干涉。液位低報(bào)警LI602、LI603加人工判定并開(kāi)啟儲(chǔ)罐進(jìn)料管線(xiàn)副線(xiàn)手動(dòng)截止閥，雖然LI602、LI603與前面的LT601都是同一儲(chǔ)罐的液位測(cè)量，而安裝、元件組成均相互獨(dú)立，因此這里的液位報(bào)警滿(mǎn)足要求。人工判定、副線(xiàn)手動(dòng)截止閥的可操作性與有效性經(jīng)現(xiàn)場(chǎng)認(rèn)定，符合要求，因此也構(gòu)成獨(dú)立保護(hù)層。

c. 安全儀表功能。安全儀表功能UC601由傳感器LT601、LT602、LT603、SIS邏輯控制和數(shù)個(gè)安全截止閥構(gòu)成，能夠?qū)崿F(xiàn)柴油加氫裝置局部停車(chē)，避免事故發(fā)生。雖然SIS邏輯控制與安全截止閥滿(mǎn)足要求，但三取二(2oo3)的傳感器與上述兩個(gè)獨(dú)立保護(hù)層的傳感器部分有重復(fù)，當(dāng)這兩個(gè)獨(dú)立保護(hù)層由于傳感器故障不能起作用時(shí)，安全儀表功能UC601必然不能作用，因此不滿(mǎn)足獨(dú)立保護(hù)層獨(dú)立性的要求，不能作為獨(dú)立保護(hù)層。若重新設(shè)計(jì)安裝，使用獨(dú)立的液位傳感器或液位開(kāi)關(guān)，則UC601可以作為獨(dú)立保護(hù)層。

綜上所述，由于儲(chǔ)罐D(zhuǎn)2102泄漏初因引發(fā)的事故場(chǎng)景中BPCS保護(hù)層和系統(tǒng)報(bào)警加人員干涉為獨(dú)立保護(hù)層。

3.2.2反應(yīng)加熱爐爐出口溫度高

反應(yīng)加熱爐及其相關(guān)工藝過(guò)程是某柴油加氫裝置中的工藝環(huán)節(jié)(圖2)，經(jīng)過(guò)一系列換熱器初步升溫的混氫油在加熱爐中被加熱，進(jìn)一步升溫后進(jìn)入加氫反應(yīng)器進(jìn)行加氫反應(yīng)，反應(yīng)流出物經(jīng)冷卻進(jìn)入高壓分離罐進(jìn)行三相分離。反應(yīng)加熱爐的出口混氫油溫度高可能造成反應(yīng)器超溫、超壓，嚴(yán)重時(shí)可能引起爆炸或起火等嚴(yán)重后果。

對(duì)于因燃?xì)夥忠汗迚毫刂芇IC201失效引起燃?xì)鈮毫Ω?、流量大造成的被加熱混氫油溫度高引發(fā)的事故場(chǎng)景，可用的獨(dú)立保護(hù)層分析如下：

a. BPCS保護(hù)層。加熱爐出口混氫油溫度串級(jí)控制TIC903能夠有效控制進(jìn)入加熱爐燃燒火嘴的燃?xì)饬髁?；此外，反?yīng)器中段溫度控制TIC001和TIC002的急冷氫注入能有效控制反應(yīng)器溫度。經(jīng)過(guò)對(duì)有效性、獨(dú)立性和可審查性的考查，這些保護(hù)層可視作獨(dú)立保護(hù)層，但由于同屬BPCS的獨(dú)立保護(hù)層，在計(jì)算PFD時(shí)應(yīng)適當(dāng)調(diào)增。

b. 系統(tǒng)報(bào)警加人員干涉。加熱爐出口溫度報(bào)警TIC903，反應(yīng)器溫度報(bào)警TIC001、TIC002，與上面的BPCS獨(dú)立保護(hù)層測(cè)量部分重疊，由于不滿(mǎn)足獨(dú)立性要求，無(wú)法參與構(gòu)成獨(dú)立保護(hù)層。

圖2 加氫反應(yīng)加熱爐相關(guān)工藝環(huán)節(jié)流程

c. 安全儀表功能。加熱爐支路出口溫度TI901/2/3(A-B)構(gòu)成的安全儀表功能UC901，能夠在支路出口溫度高于聯(lián)鎖值時(shí)，實(shí)現(xiàn)加熱爐局部停車(chē)，避免事故發(fā)生，經(jīng)過(guò)對(duì)有效性、獨(dú)立性和可審查性的考查，該保護(hù)層可視作獨(dú)立保護(hù)層。

d. 物理保護(hù)設(shè)施。由于加氫反應(yīng)器與高壓分離器為通路，因此位于高壓分離器頂部的0.7MPa和1.4MPa手動(dòng)泄壓閥可以作為保護(hù)層，但在某些極端情況下，例如加氫反應(yīng)器與高壓分離器之間的換熱器因除鹽水注入流量過(guò)低時(shí)，銨鹽結(jié)晶可能堵截該通路，此時(shí)這兩個(gè)位于高壓分離器頂部的泄壓閥將無(wú)法對(duì)反應(yīng)器泄壓，因此該保護(hù)層不滿(mǎn)足有效性和獨(dú)立性要求，不能作為獨(dú)立保護(hù)層。

綜上所述，由于燃?xì)夥忠汗迚毫刂芇IC201失效初因引發(fā)的事故場(chǎng)景中的BPCS保護(hù)層和安全儀表功能為獨(dú)立保護(hù)層。

4 結(jié)束語(yǔ)

LOPA不僅能夠評(píng)估過(guò)程危險(xiǎn)場(chǎng)景的風(fēng)險(xiǎn)等級(jí)，評(píng)判系統(tǒng)保護(hù)層配置是否安全，還能用于裝置布局的風(fēng)險(xiǎn)評(píng)價(jià)及安全儀表功能的安全完整性等級(jí)確定等。而在LOPA執(zhí)行過(guò)程中，獨(dú)立保護(hù)層的識(shí)別與確認(rèn)是關(guān)鍵步驟，對(duì)LOPA的準(zhǔn)確性有著至關(guān)重要的作用。識(shí)別獨(dú)立保護(hù)層的標(biāo)準(zhǔn)是有效性、獨(dú)立性和可審查性，但對(duì)于具體風(fēng)險(xiǎn)事故場(chǎng)景，這些標(biāo)準(zhǔn)的應(yīng)用卻可能充滿(mǎn)復(fù)雜性，評(píng)審者必須精心分析、仔細(xì)甄別，才能做到準(zhǔn)確識(shí)別獨(dú)立保護(hù)層，做好LOPA實(shí)施工作。

[1] CCPS．Layer of Protection Analysis-Simplified Process Risk Assessment[M]．New York:Wiley,2001．

[2] 白永忠,萬(wàn)古軍,張廣文.保護(hù)層分析中獨(dú)立保護(hù)層的識(shí)別研究[J].中國(guó)安全科學(xué)學(xué)報(bào),2011,21(7):74～78.

[3] Wei C Y, Rogers W J,Mannan M S.Layer of Protection Analysis for Reactive Chemical Risk Assessment[J].Journal of Hazardous Materials,2008,159(1):19～24.

[4] Markowski A S,Mannan M S.ExSys-LOPA for the Chemical Process Industry[J].Journal of Loss Prevention in the Process Industries,2010，(23):688～696.

[5] 吳重光,張貝克,馬昕.過(guò)程工業(yè)安全設(shè)計(jì)的防護(hù)層分析(LOPA)[J].石油化工自動(dòng)化,2007,43(4):1～3，28.