２０１ 年第一１７誊第星期 ＨＡＺＯＰ／ＬＯＰＡ分析确定ＳＩＬ等级 赵文芳 （中国石化安全工程研究院化学品安全控制国家重点实验室，山东青岛２６６０７１） 摘要：介绍了系统性ＨＡＺＯＰ／风险矩阵／ＬＯ． １ 安全仪表功能的安全完整性等级 ＰＡ半定量安全仪表功能等级（ＳＩＬ）确定方案。基 于ＨＡＺＯＰ分析和风险矩阵评估，采用ＬＯＰＡ方法 安全仪表功能（Ｓａｆｅｔｙ Ｉｎｓｔｒｕｍｅｎｔｅｄ Ｆｕｎｃｔｉｏｎｓ， ＳＩＦ）是用测量仪表、逻辑控制器、最终元件及相关 软件等实现的安全保护功能或安全控制功能。安 全仪表系统是实现一个或多个安全仪表功能的仪 表系统。 对识别出的危害进行分析，并分析所有能阻止该 场景后果发生的保护层。由初始事件的频率 和保护层要求的失效概率得到事故发生的可能 性，根据风险可接受标准，确定安全仪表系统仪表 安全功能的安全完整性等级。 既然是一种安全保护功能，就应保证当需要 这种功能时，必须有足够的可靠性来保证这种功 能起作用。这种“可靠性”用安全完整性等级 （Ｓａｆｅｔｙ Ｉｎｔｅｇｒｉｔｙ Ｌｅｖｅｌ，ＳＩＬ）来衡量（表１）。 关键词：ＨＡＺＯＰ分析风险矩阵ＬＯＰＡ安 全仪表系统安全完整性等级 随着国内危险化学品生产装置及储存设施规 ２ 基于ＨＡＺＯＰ／风险矩阵／ＬＯＰＡ分析的ＳＩＬ定级 模大型化、生产过程自动化水平逐步提高，必须同 步加强和规范安全仪表系统的设置和管理。《国 家安全监管总局关于加强化工安全仪表系统管理 方案 研究系统性“ＨＡＺＯＰ／风险矩阵／ＬＯＰＡ”的半 定量评估技术，确定安全仪表功能安全完整性等 级，包括采用ＨＡＺＯＰ分析技术识别可能发生的危 害后果；利用ＨＳＥ风险矩阵，通过确定危害后果的 的指导意见》（安监总管三［２０１４］１１６号）对不同 企业生产装置、危险化学品储存设施安全仪表系 统的设计提出了要求，从２０１６年１月１日起，大型 和外商独资合资等具备条件的化工企业新建涉及 “两重点一重大”的化工装置和危险化学品储存设 严重性等级和频率等级，评估危害后果的风险等 级；对高后果和高风险事故场景，开展保护层分 析，提出安全仪表系统的安全完整性等级要求，确 保事故场景的风险降低到可接受等级。 ２．１危险场景确定 ＨＡＺＯＰ分析是一种以系统工程为基础、针对 施，要设计符合相关标准规定的安全仪表系统。 安全仪表系统（ＳＩＳ）的设计首先要确定安全 仪表功能（ＳＩＦ）的安全完整性等级（ＳＩＬ）。本文研 究基于半定量ＨＡＺＯＰ／风险矩阵／ＬＯＰＡ分析的 ＳＩＬ定级确定方法，并针对ＬＮＧ气化站ＬＮＧ储罐 进行ＳＩＬ定级分析，为确定危险化学品建设项目安 全仪表系统的安全功能等级提供依据。 。 境 化工装置而开发的定性的危险性分析方法。 ＨＡＺＯＰ用来识别工艺过程安全方面的危险以及操 作性问题，它是对生产工艺系统危险性与可操作 性进行全面审查的一种危险分析方法。 ２０１７年第１７卷第２期 风险分析，确定必要的风险降低指标，采用不同安 全完整性等级的安全仪表系统，实现控制风险的 目的，根据风险降低要求确定ＳＩＬ等级。 ２．３．１ 设置可接受风险标准 为了给风险分析及制定减少风险的措施提供 表１ 安全仪表等级的可靠性（失效概率） 依据，需要预先制定一个风险可接受准则。风险 是风险频率和后果的组合，所以风险频率下降程 度也是风险下降的程度。 允许风险水平确定下来后，对必要的风险降 低进行估计，然后就可分配安全仪表系统为安全 完整性要求。 当开展ＳＩＬ评估并确定ＳＩＦ的ＳＩＬ等级时，根据 通过ＨＡＺＯＰ分析，识别出系统存在的全部问题 和危险。确定所有可能发生的危害后果。利用 ＨＡＺＯＰ分析结果，根据后果危害程度确定事故场景。 ２．２应用风险矩阵进行风险评估 风险矩阵是一种形式简单、方便实用的风险 评估方法；进行ＨＡＺＯＰ分析后，利用中国石化Ｑ／ 中国石化ＨＳＥ风险矩阵，可接受分风险标准如下。 ａ）对于Ｅ等级的后果，如果需要将剩余风险 降低到低风险，应使危害事件发生频率小于１０ 次／ａ。 ｂ）对于Ｄ等级的后果，如果需要将剩余风险 降低到低风险，应使危害事件发生频率小于１０ 次／ａ。 ＳＨ０５６０—２０１３《ＨＳＥ风险矩阵标准》确定危害后 果的严重性等级和风险等级。 对风险矩阵评估出的高风险事件（棕色区 Ｏ）对于Ｃ等级的后果，如果需要将剩余风险 降低到低风险，应使危害事件发生频率小于１０ Ｉ４ 次／ａ。 域）、严重高风险事件（红色区域）、后果Ｄ级及Ｅ 级的危害事件，开展保护层分析，提出安全仪表系 统的安全完整性等级要求，确保事故场景的风险 降低到可接受等级。 ２．３应用ＬＯＰＡ分析确定安全完整性等级 ２．３．２安全完整性等级与风险降低的关系 根据风险分析，确定必要的风险降低指标，采 用不同安全完整性等级的安全仪表系统，实现控 制风险的目的，根据风险降低要求确定ＳＩＬ等级。 安全仪表功能的安全完整性等级与风险降低 需求的关系见图１。 基于ＨＡＺＯＰ／风险矩阵分析结果，采用ＬＯＰＡ 分析方法对每一种识别出的危害进行分析，根据 场景危害后果ｃ 场景初始风险Ｒ —＿．｛ 安全防护措施 Ｈ场景初始频率ｆ 需要的风险降低Ｄ，Ｒ 允许风险目标Ｒ 需ＳＩＦ降低的风险 ＳＩＬ等级要求 一图１ 安全完整性等级与风险降低需求的关系 ２．３．３ ＬＯＰＡ分析确定安全完整性等级 安全完整性等级的确定受初始事件频率、初 始事件频率修正因子、事故发展场景，以及有效的 防护保护层（ＩＰＬ）等因素影响。 ａ）保护层分析。保护层是能够阻止 场景向不期望后果发展，并且于场景的初始 ｏ ＳＡＦＥＴＹ ＨＥＡＬＴＨ＆ＥＮＶＩＲＯＮＭＥＮＴ ２０１７年第１７卷第２期 赵文芳．ＨＡＺＯＰ／ＬＯＰＡ分析确定ＳＩＬ等级 事件或其它保护层的设备、系统或行动。 目前生产过程包含各种保护层，常见的包括： 基本过程控制系统（ＢＰＣＳ）、报警与人员干预、安 全仪表功能、物理保护（安全阀等）、释放后保护设 分析。 初始事件、防护保护层及初始事件导致 后果的频率之间的关系图２，初始事件导致后果的 频率按公式（１）计算。 施、 这些保护层能否有效降低事故发生频率器 窭 蛹南押 起 ，“ Ｘ 。 ： ×ｎＪ Ｐ肋 ： ×Ｐ肋 Ｐ封 “ 肋 … “ （１） 初始事件导致的 到保护层的作用，需根据实际情况进行判断后果ｃ萁频率厂 ｆ ＝ｆ ￣ＰＦＤＩ￣ＰＦＤ２￣ＰＦＤ３ 图２ 初始事件、防护保护层及初始事件导致后果的频率之间的关系 ｂ）确定ＳＩＦ回路所需的ＳＩＬ等级。在进行独 立保护层分析的基础上，要确定ＳＩＦ回路所需的 ＳＩＬ等级，主要内容包括：确定事故场景的初始事 件发生频率，确定每一个保护层的失效概率， 确定事故场景的可接受风险等级。 根据初始事件发生频率、保护层失效概 率、可接受风险等级，安全仪表系统必须提供的风险降低．厂ｓ。 按公式（２）计算。 。 ＝ ／（ ＸＰＦＤｉ，Ｘ啪 ×…舯ｉ（ｉ＿１）） （２） 空管排出，导致火灾爆炸和人员伤害事故。 事故场景初始风险等级为Ｄ６，即事故后果等 级为Ｄ，不考虑保护措施时的发生频率为１×１０ 次／ａ；该事故场景已有的保护层为：ＬＮＧ储罐 设有液位高报警，根据统计数据，液位高报警的失 效概率取０．１，设定ＬＮＧ排出后的点火概率为 ０．５，设定发生火灾爆炸事故时，人员在现场的概 率为０．５。 根据确定的风险标准，Ｄ级事故后果的发生 频率应小于１０ 次／ａ（Ｄ１等级），由此计算高高液 位联锁安全仪表功能的失效概率 应小于： ｆｓＩＦ＝１０一 ／（１×１０一 ×０．１ ｘ０．５ ｘ０．５）＝４×１０一 根据计算得到的安全仪表系统安全功能回路 的失效概率，查表１中安全仪表系统ＳＩＬ与失效概 率的对应关系，即可得到安全仪表等级（ＳＩＬ）。 ３实例分析 根据表１，失效概率为４×１０ 对应的安全仪 表等级为ＳＩＬ２。且采用安全仪表等级为ＳＩＬ２的 联锁后，事故场景的风险定级降至Ｄ１等级。 ｂ）事故场景２：储罐液位仪表误信号，导致在 储罐液位低时，继续送液；增压泵气蚀损坏。 液化天然气（ＬＮＧ）气化站是设置的ＬＮＧ 接收、存储及气化的设施系统。仅对ＬＮＧ储罐的 液位进行ＨＡＺＯＰ分析，以说明ＳＩＬ等级的确定。 事故场景初始风险等级为Ｃ６，即事故后果等 级为Ｃ，不考虑保护措施时的发生频率为１×１０。。 次／ａ；该事故场景已有的保护层为：ＬＮＧ储罐 设有液位低报警，根据统计数据，液位低报警的失 效概率取０．１。 ＬＮＧ储罐液位ＨＡＺＯＰ分析见表２，表中的发 生频率、事故后果及风险等级的判别均依据中国 石化ＨＳＥ风险矩阵标准。 根据ＨＡＺＯＰ分析结果，确定事故场景并进行 分析。 根据确定的风险标准，Ｃ级事故后果的发生频 ａ）事故场景１：ＬＮＧ储罐液位仪表误信号，导 率应小于１０ Ｉ４次／ａ（Ｃ２等级），由此计算高高液位 应小于： 致在储罐液位高时，继续卸车，液位超限导致ＬＮＧ 联锁安全仪表功能的失效概率．厂ｓＩＦ：１０ ／（１×１０ ×０．１）＝１０ 进入气相管路，从安全阀或溢流管线通过ＥＡＧ放 ．ＳＡＦＥＴＹ ＨＥＡＬＴＨ＆ＥＮＶＩＲＯＮＭＥＮＴ ｏ ２０１７年第１７卷第２期 表２ ＬＮＧ储罐ＨＡＺＯＰ部分分析结果 根据表１，失效概率小于１０ 对应的安全仪表 ＬＮＧ储罐液位高高、低低联锁ＳＩＬ等级确定 详细内容见表３。 等级为ＳＩＬ２。且采用安全仪表等级为ＳＩＬ２的联 锁后，事故场景的风险定级降至Ｃ２等级。 表３ ＬＮＧ储罐液位高高、低低联锁ＳＩＬ等级 序号 场景 初始事件 后果 墓 翕 会 茎螽篷 １．００Ｅ一０１ Ｄ Ｄ６ １．０Ｅ一０１ ＳＩＬ２ Ｏ．５０ ０．５ Ｄ１ ０ ＳＡＦＥＴＹ ＨＥＡＬＴＨ＆ＥＮＶＩＲＯＮＭＥＮＴ ２０１７年第１７卷第２期 赵文芳．ＨＡＺＯＰ／ＬＯＰＡ分析确定ＳＩＬ等级 ４ 结语 ＨＡＺＯＰ／ＬＯＰＡ Ａｎａｌｙｓｉｓ ｔｏ ＳＩＬ Ｒａ￣ｎｇ ＨＡＺＯＰ分析／风险矩阵／ＬＯＰＡ可以构建系统 性安全仪表系统的安全完整性等级确定方案。应 Ｚｈａｏ Ｗｅｎｆａｎｇ 用ＬＯＰＡ方法识别保护层，在半定量风险评估 基础上，确定安全仪表功能的ＳＩＬ等级。 该系统性方法的优势在于，基于事件频率和 （Ｓｔａｔｅ Ｋｅｙ Ｌａｂｏｒａｔｏｒｙ ｏｆ Ｓａｆｅｔｙ ａｎｄ Ｃｏｎｔｒｏｌ ｆｏｒ Ｃｈｅｍｉｃａｌｓ，ＳＩＮＯＰＥＣ Ｒｅｓｅａｒｃｈ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓａｌｔｙ Ｅｎｇｉｎｅｅｒｉｎｇ，Ｓｈａｎｄｏｎｇ，Ｑｉｎｇｄａｏ ２６６０７ １） Ａｂｓｔｒａｃｔ：Ｔｈｉｓ ｐａｐｅｒ ｄｅｓｃｒｉｂｅｓ ｔｈｅ ｓｙｓｔｅｍ ＨＡＺＯＰ／ ｒｉｓｋ ｍａｔｒｉｘ／ＬＯＰＡ ｓｅｍｉ——ｑｕａｎｔｉｔａｔｉｖｅ ｓａｆｅｔｙ ｉｎｓｔｒｕ－－ 风险后果，分析评估现有的所有安全保护层，采取 量化计算获得风险发生的实际频率。该方法属于 简化的量化风险评估方法，且直观易懂，便于应 ｍｅｎｔ ｆｕｎｃｔｉｏｎ ｌｅｖｅｌ（ＳＩＬ）ｔｏ ｄｅｔｅｒｍｉｎｅ ｔｈｅ ｐｒｏｇｒａｍ． 用。 ５参考文献 ［１］ Ｑ／ＳＨ０５５９—２０１３危险与可操作性分析实施导则 ［Ｓ］． ［２］Ｑ／ＳＨ０５６０—２０１３ＨＳＥ风险矩阵标准［Ｓ］． ［３］ＡＱ／Ｔ３０５４—２０１５保护层分析（ＬＯＰＡ）方法应用导则 ［Ｓ］． ［４］ ＧＢ／Ｔ ２０４３８—２００６电气／电子／可编程电子安全相 关系统的功能安全［Ｓ］． ［５］ＧＢ／Ｔ ２１１０９—２００７过程工业领域安全仪表系统的 功能安全［Ｓ］． Ｂａｓｅｄ ｏｎ ｔｈｅ ＨＡＺＯＰ ａｎａｌｙｓｉｓ ａｎｄ ｔｈｅ ｒｉｓｋ ｍａｔｒｉｘ ａｓ— ｓｅｓｓｍｅｎｔ，ｔｈｅ ＬＯＰＡ ａｎａｌｙｓｉｓ ｍｅｔｈｏｄ ｗａｓ ｕｓｅｄ ｔｏ ａｎ— ａｌｙｚｅ ｔｈｅ ｉｄｅｎｔｉｆｉｅｄ ｈａｚａｒｄｓ ａｎｄ ａｎａｌｙｚｅ ａｌｌ ｔｈｅ ｉｎｄｅ— ｐｅｎｄｅｎｔ ｐｒｏｔｅｃｔｉｖｅ ｌａｙｅｒｓ ｔｈａｔ ｃｏｕｌｄ ｐｒｅｖｅｎｔ ｔｈｅ ＯＣ— ｃｕ￣ｅｎｃｅ ｏｆ ｔｈｅ ｓｃｅｎｅ．Ｆｒｏｍ ｔｈｅ ｐｒｏｂａｂｉｌｉｔｙ ｏｆ ｔｈｅ ｉｎｉ— ｔｉａｌ ｅｖｅｎｔ ａｎｄ ｔｈｅ ｆａｉｌｕｒｅ ｐｒｏｂａｂｉｌｉｔｙ ｒｅｑｕｉｒｅｄ ｂｙ ｔｈｅ ｐｒｏｔｅｃｔｉｖｅ ｌａｙｅｒ ｔｏ ｏｂｔａｉｎ ｔｈｅ ｐｏｓｓｉｂｉｌｉｔｙ ｏｆ ａｎ ａｃｃｉ－ ｄｅｎｔ，ａｃｃｏｒｄｉｎｇ ｔｏ ｔｈｅ ｒｉｓｋ ａｃｃｅｐｔａｂｌｅ ｓｔａｎｄａｒｄｓ ｔｏ ｄｅｔｅｒｍｉｎｅ ｔｈｅ ｓａｆｅｔｙ ｉｎｔｅｇｒｉｔｙ ｌｅｖｅｌ ｏｆ ｓａｆｅｔｙ ｉｎｓｔｒｕ－ ｍｅｎｔ ｓｙｓｔｅｍ ｆｕｎｃｔｉｏｎ． Ｋｅｙ ｗｏｒｄｓ：ＨＡＺＯＰ ａｎａｌｙｓｉｓ；ｒｉｓｋ ｍａｔｒｉｘ；ＬＯＰＡ； ｓａｆｅｔｙ ｉｎｓｔｒｕｍｅｎｔ ｓｙｓｔｅｍ；ｓａｆｅｔｙ ｉｎｔｅｇｒｉｔｙ ｌｅｖｅｌ ＳＡＦＥＴＹ ＨＥＡＬＴＨ＆ＥＮＶＩＲＯＮＭＥＮＴ ０
