（1）工艺描述
简化P&ID见图G.1。示例的详细描述可参见《Layer of Protection Analysis—Simplified Process Risk Assessment》。来自上游工艺单元的正己烷进入正己烷缓冲罐T-401。正己烷供料管道总是带压。正己烷缓冲罐液位受液位控制回路（LIC-90）控制，LIC-90检测储罐液位，通过调节液位阀（LV-90）控制液位。正己烷输往下游工艺使用。LIC回路包括提醒操作人员的高液位报警（LAH-90）。储罐总容量为30 t，通常盛装一半的容量。储罐位于防火堤内，该防火堤能够容纳45 t正己烷。

图G.1  正己烷缓冲罐溢流
（2）场景识别与筛选
采用前期进行的HAZOP分析作为场景信息来源。正己烷缓冲罐T-401的HAZOP分析结果见表G.1。根据后果分级表F.3，筛选进行LOPA分析的场景。本例选择分析的场景为正己烷缓冲罐溢流，防火堤发生失效，导致大面积火灾，造成人员的伤亡，后果等级为5。
 

正己烷缓冲罐T-401 HAZOP分析

序号	偏差	原因	后果	现有防护措施	建议
1	液位高	流量控制阀LV-90误开大（如液位控制LIC失效，操作人员失误等）导致至正己烷缓冲罐T-401管线流量大	高压（见5）	1）液位监测，高液位报警 2）单元操作程序	建议安装一个SIS，在T-401高液位时切断进料。
2	液位低	上游工艺至正己烷缓冲罐T-401管线流量小或无流量	无后果：在下游倒空供料罐前，如果不填充，将引起潜在的过程中断
3	温度高		无关心的后果
4	温度低	低的环境温度，而缓冲罐内有水（见7）	缓冲罐底部或缓冲罐排水线或仪表线积累的水冻结，导致排水线断裂和泄漏
5	压力高	高液位（见1）	1）正己烷通过释放阀泄放到防火堤内；如果防火堤不能包容释放物，可能造成大面积火灾 2）泄漏（如果超压值超过缓冲罐额定压力）（见8）
6	压力低	在蒸气吹扫后，冷却前缓冲罐发生堵塞	真空下缓冲罐塌陷导致设备破坏	标准程序和容器蒸气吹扫检查
7	污染物浓度高	在蒸气吹扫和冲洗后，水没有完全排出	在低的环境温度期间，缓冲罐内积累的水可能冻结（见4）
8	包容物损失	1）腐蚀/侵蚀 2）外部影响（如火灾） 3）液位高（见1） 4）垫片、填料或密封失效 5）不适当的维护 6）仪表或仪表线失效 7）材质缺陷 8）采样阀泄漏 9）通风口和排水阀泄漏 10）低温（见4）	正己烷泄漏，如果防火堤不能包容释放物，可能造成大面积火灾，造成人员伤亡	1）操作和维护程序，需要时隔离 2）能手动隔离缓冲罐 3）按照规范和标准进行预防性检测 4）安全阀，释放到缓冲罐防火堤内 5）防火堤容积能容纳正己烷45 t（1.5倍缓冲罐能力） 6）紧急响应程序

（3） IE确认
本例选定IE为BPCS液位控制回路失效，根据表E.1，其失效频率为1×10^-1 /a。
（4） IPL评估
a）防火堤
一旦发生罐体溢流，合适的防火堤可以包容这些溢流物。如果防火堤失效，将发生大面积扩散，从而发生潜在的火灾、损害和死亡。防火堤满足IPL所有的要求，包括：
1）如果按照设计运行，防火堤可有效地包容储罐的溢流；
2）防火堤独立于任何其他独立保护层和IE；
3）可以审查防火堤的设计、建造和目前的状况。
对于本例，根据表E.3，防火堤的PFD取1 × 10^-2。
b）BPCS报警和人员响应行动
在本例中，人员行动不作为独立保护层，原因如下：
1）由于操作人员不总是在现场，在防火堤失效导致重大释放前，不能假设独立于任何报警的操作人员行动能有效地检测和阻止释放。
2）BPCS液位控制回路失效（IE）导致系统不能产生报警，从而不能提醒操作人员采取行动以阻止缓冲罐进料。因此，BPCS产生的任何报警不能完全独立于BPCS系统，不能作为独立保护层。
c）安全阀
缓冲罐上的安全阀无法防止缓冲罐发生溢流，因此，对于本场景，安全阀不是IPL。
（5） 场景频率计算
取点火概率为1，人员暴露概率为0.5，人员伤亡概率为0.5，则后果发生频率为：
f_i^C= f_i^I×PFD_dike×P_ig×P_ex×P_d
=（1×10^-1/a）×（1×10^-2）×1×0.5×0.5
=2.5×10^-4/a
=2×10^-4/a（取整）
式中：
f_i^C——初始事件i的后果C的发生频率，单位为 /a；
f_i^I ——初始事件i的发生频率，单位为 /a；
PFD_dike——防火堤的PFD；
P_ig ——点火概率；
P_ex ——人员暴露概率；
P_d ——人员伤亡概率。
（6） 风险评估与决策
缓冲罐LIC失效，溢流物未被防火堤包容，溢出物被点燃，造成人员伤亡，后果等级为5级。事件发生的频率为2×10^-4 /a。根据后果等级5和频率2×10^-4 /a，查询表F.2，其风险等级为高风险，要求：选择合适的时机采取行动。
分析小组决定安装一个独立的SIF，用于检测和阻止溢流。本SIF采用独立的液位传感器，逻辑控制器和独立的截断阀，见图G.2中粗线部分。当检测到高液位时，该SIF联锁关流量控制阀LV-90和远程截断阀。可根据企业具体的风险控制要求，确定该SIF的SIL。在本例中，确定该SIF的FPD为1×10^-2（SIL1）。对于场景，SIF将释放事件的频率从2×10^-4 /a降低到2×10^-6 /a。在风险矩阵中，对于后果等级5，频率为2×10^-6 /a的事件，其风险等级为中风险，要求：可选择性的采取行动。此时，企业可采用成本效益分析，决定是否需采用额外的措施进一步降低风险。
 

正己烷缓冲罐溢流（增加IPL后）
（7） LOPA记录表
本案例LOPA记录表见下表。

LOPA记录表

公司名称

装置名称

时间

工艺单元

分析组成员

图纸号

分析节点

正己烷缓冲罐

序号

场景

后果

初始事件

使能必要事件/条件

条件修正

IPL

其他保护措施

后果发生频率

现有风险等级

需求的SIL等级或建议的IPL

减缓后的后果发生频率

减缓后的风险等级

备注

描述

等级

描述

频率 （/a）

描述

概率

点火概率

人员暴露概率

致死概率

描述

IPL类别

PFD

描述

IPL类别

PFD

1

正己烷缓冲罐溢流，溢流物未被防火堤包容

由于储罐溢流和防火堤失效，导致释放的正己烷流出防火堤，发生火灾和人员伤亡

5

BPCS LIC控制回路失效

1×10-1

—

—

1

0.5

0.5

防火堤

释放后保护设施

1×10-2

人员响应行动

2.5×10-4

高风险

增加一个独立的SIF，用于检测和阻止溢流

SIF

1×10-2 ( SIL1)

2.5×10-6

中风险

1.人员行动不作为IPL，原因如下： ——操作人员不总是在现场； ——BPCS液位控制回路失效（IE）导致系统不能产生报警，从而不能提醒操作人员采取行动以阻止缓冲罐进料。 2.企业可采用成本效益分析，决定是否需采用额外的措施进一步降低风险