保护层分析（LOPA）是半定量的工艺危害分析方法之一。用于确定发现的危险场景的危险程度，定量计算危害发生的概率，已有保护层的保护能力及失效概率，如果发现保护措施不足，可以推算出需要的保护措施的等级。

LOPA是由事件树分析发展而来的一种风险分析技术，作为辨识和评估风险的半定量工具，是沟通定性分析和定量分析的重要桥梁与纽带。LOPA耗费的时间比定量分析少，能够集中研究后果严重或高频率事件，善于识别、揭示事故场景的始发事件及深层次原因，集中了定性和定量分析的优点，易于理解，便于操作，客观性强，用于较复杂事故场景效果甚佳。所以在工业实践中一般在定性的危害分析如HAZOP，检查表等完成之后，对得到的结果中过于复杂的、过于危险的以及提出了SIS要求的部分进行LOPA，如果结果仍不足以支持最终的决策，则会进一步考虑如QRA等定量分析方法。

LOPA先分析未采取独立保护层之前的风险水平，通过参照一定的风险容许准则，再评估各种独立保护层将风险降低的程度，其基本特点是基于事故场景进行风险研究。

保护层是一类安全保护措施，它是能有效阻止始发事件演变为事故的设备、系统或者动作。兼具独立性、有效性和可审计性的保护层称为独立保护层（Independent Protection Layer，IPL），它既独立于始发事件，也独立于其他独立保护层。正确识别和选取独立保护层是完成LOPA分析的重点内容之一。典型化工装置的独立保护层呈“洋葱”形分布，从内到外一般设计为：过程设计、基本过程控制系统、警报与人员干预、安全仪表系统、物理防护、释放后物理防护、工厂紧急响应以及社区应急响应等。

关于IPL

一、独立保护层(IPL)的辨识规则

LOPA 分析中的独立保护层(IPL)是能够阻止场景向不期望后果发展，并且独立于场景的初始事件或其它保护层的设备、系统或行动。

2015年3月6日国家安全生产监督管理总局发布的《保护层分析(LOPA)方法应用导则》(报批稿)AQ/T3054-2015规定“化工企业保护层作为IPL时，应满足一下基本要求：独立性、有效性、安全性、变更管理及可审查性。”

1)独立性

保护层性能不会因固定危险场景的初始事件或其它独立保护层失效受到影响。即：IPL独立于初始事件的发生及其后果且独立于同一场景中的其它独立保护层。

2)有效性

a)必须能够有效检测所要采取行动的异常条件，该条件可以是过程变量或报警等。

b)在有效的时间内，能及时响应。

c)在可用的时间内，有足够的能力采取所要求的行动。

d)满足所选择的PFD的要求。

行动条件检测、决策和行动及时，这样才能共同作用，产生及时的保护行动，任何一个环节上的时间迟缓都可能造成保护行动的失效。IPL一旦发挥作用，必须具备足够的强度遏制事故风险的发生。

3)安全性

使用管理员控制或技术手段减少非故意的或未授权的变动。例如安全仪表系统逻辑控制器配置的密码保护，其所在房间的上锁管理等。[1]

4)变更管理

设备、操作程序、原料、过程条件等任何改动应执行变更管理程序，以满足变更后保护层的IPL要求。

5)可审查性

组成独立保护层的元素、系统或行动都必须经过审查，证明其符合LOPA独立保护层阻止或减缓事故风险的要求。审查程序必须确认IPL如何按照设计发生作用。此外，独立保护层的设计、安装、功能测试和后期维护也必须具有可审查性，以取得IPL特定的PFD。

二、 长输管道站场典型IPL的识别

典型的保护层包括本质安全设计、基本过程控制系统、关键报警与人员干预、安全仪表功能、物理保护(安全阀等)、释放后物理保护、工厂应急响应和社区应急响应等8重保护。

1)本质安全设计

从根本上消除或减少工艺系统存在的危害。例如管道设计压力高于工艺运行高压标准，可承受事故后果产生的高压等。

出口设置压力表，压力高时操作人员无法及时获取压力信息，在压力高时无法进行响应。因此，出口压力测量显示不能作为独立保护层。

2)BPCS(基本过程控制系统)

BPCS 是执行基本过程控制功能的控制系统，它使生产过程的温度、压力、流量、液位等工艺参数维持在规定的正常范围之内。BPCS 是主动的、动态的，它必须根据系统的设定要求和生产过程的扰动状态不断地动态运行，才能保持生产过程的连续稳定运行。BPCS作为IPL应满足以下要求：

——BPCS应与安全仪表系统(SIS)在物理上分离，包括传感器、逻辑控制器和最终执行元件；

——BPCS故障不是造成初始事件的原因；

——在同一个场景中，当满足IPL的要求时，具有多个回路的BPCS宜作为一个IPL。

3)报警和人员响应

关键报警和人员干预保护层是指操作人员或其他工作人员对报警响应或在系统常规检查后，采取的防止不良后果的行动。人员行动作为IPL 应满足以下要求：

——操作人员应能够得到采取行动的指示或报警；

——操作人员应训练有素，能够完成特定报警所要求的操作任务；

——任务应具有单一性和可操作性，不宜要求操作人员执行IPL要求的行动时同时执行其它任务；

——操作人员应有足够的响应时间等。

人工决策和人员行动必须简单、快捷、有效，否则就不能被认定为IPL。

4)安全仪表功能(SIF)

安全仪表功能一般能够满足有效性、独立性和可审查性的要求，在功能上独立于BPCS，可作为独立保护层。

天然气管线进出站设置ESD紧急关断，当采用人工确认后触发时，不具有独立性，因此不能作为IPL。

5)物理保护(安全阀等)

——独立于场景中的其他保护层；

——在确定安全阀、爆破片等设备的PFD时，应考虑其实际运行环境中可能出现的污染、堵塞、腐蚀、不恰当维护等因素对PFD进行修正。

各压力容器均设安全阀，当压力达到设定值时自动起跳放空，具有独立性、有效性和可审查性等，可以作为IPL。

6)释放后保护设施(防火堤、自动喷淋等)

危险物质释放后，用来降低事故后果的保护设施。

自动喷淋可在明火发生后遏制火势蔓延，甚至灭火，可以视作IPL。

7)工厂和社区应急响应

其有效性受多种因素影响，一般不作为IPL。

4、 结束语

识别和确定场景中的IPL，并确定合适的PFD，是LOPA 分析的核心内容。在实际运用中，必须谨慎识别各种IPL，防止IPL 虚假使用或被忽略，以保证更全面、系统地识别流程中的危险。

LOPA基本程序

LOPA基本程序包括：

a)场景识别与筛选。LOPA通常评估先前危害分析研究中识别的场景。分析人员可采用定性或定量的方法对这些场景后果的严重性进行评估，并根据后果严重性评估结果对场景进行筛选；

b)初始事件确认。首先，选择一个事故场景，LOPA一次只能选择一个场景；然后确定场景IE。IE包括外部事件、设备故障和人员行为失效；

c)IPL评估。评估现有的防护措施是否满足IPL的要求是LOPA的核心内容；

d)场景频率计算。将后果、IE频率和IPL的PFD等相关数据进行计算，确定场景风险；

e)评估风险，作出决策。根据风险评估结果，确定是否采取相应措施降低风险。然后，重复步骤b)～e)直到所有的场景分析完毕；

f)后续跟踪和审查。LOPA分析完成后，对提出降低风险措施的落实情况应进行跟踪。应对LOPA的程序和分析结果进行审查。

保护层分析(LOPA)的历史

20世纪80年代末：美国化学品制造商协会出版了《责任关怀—过程安全管理实施准则》，书中建议将“足够的保护层”作为有效的过程安全管理系统的一个组成部分。

1993年：美国CCPS《化工过程安全自动化指南》，书中建议将LOPA作为确定安全仪表功能完整性水平的方法之一。

2001年：CCPS发布了《保护层分析——简化的过程风险评估》，书中详细地讨论了LOPA的基本规则和应用。

2003年：国际电工委员会(IEC)发布了IEC61511：过程工业领域安全仪表系统的功能安全，将LOPA技术作为确定安全仪表系统完整性水平的推荐方法之一。

2015年：中国*生产监督管理总局发布了《保护层分析(LOPA)方法应用导则(AQ/T 3054-2015)》。