3. 海洋平台危险源辨识与风险分析
海洋平台的ESD（Emergency Shutdown，紧急关断）系统不是凭空设计出来的，它的每一个关断动作、每一个联锁逻辑、每一个安全完整性等级（SIL）要求，都应当能追溯到具体的危险源和可量化的风险。把“哪里可能出事、出多大的事、需要多可靠的安全屏障”转化为ESD的检测点、逻辑和阀门动作，正是HAZOP与LOPA两项分析方法的用武之地。本节围绕这两类方法在ESD设计中的分工、衔接与落地展开，并给出一个可复现的分析案例。
一、两类方法的分工：HAZOP找“因”，LOPA定“量”
HAZOP（危险与可操作性分析）是一种以引导词驱动的系统性偏差分析。它以工艺管道仪表流程图（P&ID）为对象，把每个工艺节点（Node）的参数（流量、压力、液位、温度等）与引导词（无、多、少、反向、部分等）组合成偏差，例如“原油外输管线——流量——少”，再倒推原因、后果和现有保护措施。HAZOP的产出是“危险情景清单”，它回答的是可能发生什么、由什么引起、后果有多严重。
LOPA（保护层分析）则是在HAZOP情景基础上做半定量计算。它把每一个独立保护层（IPL）赋予一个要求时的失效概率（PFD），用初始事件频率乘以各保护层PFD，得到减缓后的事故频率，再与可接受风险目标（如海洋平台常用的1×10⁻⁴/年量级，具体以企业风险准则为准）比较，差额即为需要补充的安全完整性。LOPA回答的是现有保护够不够、ESD需要做到什么SIL等级。
两者的衔接关系可以概括为：HAZOP产出“未减缓后果”和“现有保护层清单”，LOPA把这些保护层逐一“打折”计算，最终输出SIL定级结论，直接指导ESD的SIF（安全仪表功能）设计。下图展示了这一从辨识到定级、再到ESD回路落地的完整链条。
二、HAZOP在ESD设计中的具体落点
在海洋平台上，HAZOP通常按工艺系统划分节点：井口管汇、原油处理、天然气压缩、外输泵与计量、火炬与放空、公用工程（燃料气、仪表风）等。每个节点分析时，需要特别关注那些会触发ESD动作的偏差，因为它们是SIF的候选来源。例如：
- 分离器液位“高—高”：液体进入气相管线，可能造成下游压缩机液击，后果为设备损坏与气体泄漏，候选SIF为LSHH触发入口关断阀SDV。
- 外输管线压力“高—高”：管线超压破裂，候选SIF为PZHH触发外输泵停机与出口SDV关闭。
- 火炬分液罐液位“高—高”：带液火炬造成下火雨，候选SIF为LSHH触发火炬气关断。
- 可燃气体探测“高”：工艺区泄漏，候选SIF为气体探测联锁触发区域ESD-2级关断。
HAZOP记录中必须明确写出“现有保护措施”及其独立性，否则LOPA阶段无法判断哪些能计入IPL。一个常见错误是把BPCS（基本过程控制系统）的压力控制回路当作独立保护层，但若它与ESD共用同一传感器或同一逻辑控制器，独立性不成立，PFD不能计入。
三、LOPA计算的关键取值与判断
LOPA的核心是一个乘法链：减缓后频率 = 初始事件频率 × 各独立保护层PFD之积。工程上常用的参考取值（示例，需按企业准则校核）为：BPCS控制回路PFD约1×10⁻¹，操作员响应（有独立报警、有足够响应时间）约1×10⁻¹，ESD安全仪表功能按SIL等级取1×10⁻¹（SIL 1）、1×10⁻²（SIL 2）、1×10⁻³（SIL 3）。
判断逻辑是：若减缓后频率已低于风险目标，则现有保护足够，ESD按现有SIL维持；若高于目标，则差额部分必须由新增或升级的SIF承担，并据此确定SIL等级。需要强调的是，LOPA中的“独立”是硬条件——传感器独立、逻辑独立、执行元件独立，三者缺一不可，否则该保护层不能计入。
四、从分析结论到ESD回路的落地
LOPA给出的SIL等级最终要落到具体的SIF回路规格上。以“外输管线高压联锁”为例，若定级为SIL 2，则设计上通常要求：压力变送器采用1oo2或2oo3表决以降低误动与拒动风险；SIS逻辑控制器满足SIL 2认证；执行元件选用经过SIL认证的SDV，并考虑部分行程测试（PST）以维持PFD；同时明确检验测试周期（如1年），因为PFDavg与测试周期直接相关。这些参数都应回写到SIF台账中，形成“HAZOP情景—LOPA定级—SIF规格—测试策略”的闭环。
五、案例复盘要点
上述外输管线案例中，若现场实际配置为“压力高高联锁直接关断外输泵并关闭出口SDV”，且压力变送器为2oo3、SDV带PST，则SIL 2的定级与硬件配置是匹配的。反之，若现场仅有一个压力开关且与BPCS共用取压点，则独立性不足，LOPA应判定该保护层PFD不可信，需增设独立变送器或提升冗余。分析报告应把这一判断依据写清楚，便于后续MOC（变更管理）时复核。
归根结底，HAZOP与LOPA不是两张独立的表格，而是一条从“识别危险”到“量化风险”再到“定义ESD可靠性”的技术链路。只有把每个关断动作都追溯到具体情景和计算依据，ESD系统才真正具备可验证的安全价值。