3. HAZOP与LOPA分析实战
HAZOP与LOPA不是两张独立的表格，而是一条从“定性找偏差”到“定量定等级”的连续分析链。本节以一个典型的Honeywell Experion PKS控制的加氢反应器进料系统为对象，走完从偏差识别到SRS初稿的完整过程。需要说明的是，下文所有节点号、偏差、频率、PFD、SIL等级均为教学示例，用于说明方法，不代表任何实际装置的实测数据。
一、先界定分析对象与边界
分析对象为加氢反应器R-101的进料系统，控制与联锁由Honeywell Experion PKS的C300控制器和安全管理器SM（Safety Manager）实现。HAZOP节点划分如下：
- 节点1：原料罐V-101至进料泵P-101A/B；
- 节点2：进料泵出口至反应器R-101入口，含流量控制回路FIC-101、进料切断阀XV-101；
- 节点3：反应器R-101本体及氢气进料线，含温度TI-102、压力PI-103、氢气切断阀XV-102。
边界条件：上游V-101液位由LIC-100控制，下游R-101出口由PIC-104控制。分析前必须确认这些边界上的控制回路是否已纳入保护层，否则LOPA会重复计算或漏算独立保护层（IPL）。
二、HAZOP偏差分析：从引导词到后果
以节点2为例，引导词“No/None”对应“无流量”。原因包括：P-101A/B同时停运、XV-101误关、FIC-101调节阀故障关闭、过滤器F-102堵塞。后果是反应器进料中断，若氢气继续进入，反应器内氢分压升高、温度失控，可能引发飞温。现有保护措施：FIC-101低流量报警、操作员响应、XV-101联锁关闭。
引导词“More”对应“流量过高”。原因是FIC-101调节阀故障全开或控制信号漂移。后果是反应器进料过量、放热加剧、温度TI-102超限。现有措施：TI-102高高温报警、反应器紧急切断联锁。
引导词“Less”对应“流量过低”。原因是泵汽蚀、阀门部分堵塞。后果是反应转化率下降、未反应物料在下游积聚。现有措施：低流量报警。
引导词“Reverse”对应“逆流”。原因是下游压力高于上游、止回阀失效。后果是反应器物料倒灌至进料泵和V-101，可能污染原料罐。现有措施：止回阀、泵出口压力低报警。
HAZOP完成后，对每个“后果严重且现有保护不足”的偏差，标记为需要LOPA进一步分析的场景。本例中，“无流量导致飞温”和“流量过高导致飞温”两个场景进入LOPA。
三、LOPA定量：把偏差变成SIL等级
LOPA的核心是“场景—初始事件—独立保护层—剩余风险”的量化。以“无流量导致飞温”为例，初始事件（IE）取进料泵同时停运，示例频率为0.1/年。独立保护层依次为：
- BPCS流量控制回路FIC-101，PFD取0.1；
- 操作员响应低流量报警，PFD取0.1；
- SIS联锁XV-101关闭，PFD取0.01。
剩余风险 = 0.1 × 0.1 × 0.1 × 0.01 = 1×10⁻⁵/年。若该场景的可容忍风险目标为1×10⁻⁵/年，则现有保护层刚好满足，SIS联锁的PFD要求为0.01，对应SIL 2。若目标更严（如1×10⁻⁶/年），则需提高SIS的PFD至0.001，对应SIL 3，或增加独立保护层。
对“流量过高导致飞温”场景，初始事件取调节阀故障全开，示例频率0.01/年。IPL包括：TI-102高高温报警（PFD 0.1）、SIS联锁XV-101关闭（PFD 0.01）。剩余风险 = 0.01 × 0.1 × 0.01 = 1×10⁻⁵/年，同样对应SIL 2。
四、从LOPA结果到SRS初稿
SRS（安全要求规格书）初稿应把LOPA结论转化为可设计、可验证、可测试的条目。以SIF-101为例，初稿至少包含以下字段：
| 字段 | 示例内容 |
|---|---|
| SIF编号 | SIF-101 |
| 安全功能 | 反应器进料低流量时，切断XV-101并停P-101A/B |
| SIL等级 | SIL 2（PFDavg 1×10⁻³～1×10⁻²） |
| 传感器 | FT-101，2oo3冗余，量程0～50 t/h |
| 逻辑 solver | Honeywell Safety Manager，与C300独立 |
| 执行元件 | XV-101，失电关闭，带部分行程测试 |
| 响应时间 | 从流量低低信号到XV-101全关 ≤2 s |
| 复位方式 | 现场确认后手动复位 |
| 测试周期 | 1年（或按PFD验证结果调整） |
| 旁路管理 | 需MOC审批，旁路时间≤8 h |
编写SRS时，常见错误是把HAZOP原因直接写成SIF功能，或把BPCS控制回路误列为IPL。正确做法是：每个SIF对应一个明确的“传感器—逻辑—执行元件”链，且该链的PFD必须与LOPA分配值一致。SRS初稿完成后，应返回HAZOP和LOPA交叉核对，确认没有遗漏场景、没有重复计算保护层、没有把非独立保护层计入。
五、实战中的关键判断
第一，HAZOP偏差必须落到具体节点和具体原因，否则LOPA无法取频率。第二，LOPA中IPL的PFD取值要有依据，不能随意填0.1或0.01。第三，SRS中的SIL等级是“分配结果”，不是“设备选型结果”；同一SIF的传感器、逻辑、执行元件可以有不同的SIL能力，但整条链必须满足目标PFD。第四，Honeywell SM的联锁逻辑与C300的BPCS逻辑必须物理和功能独立，否则BPCS不能作为IPL。
按上述流程，一个典型加氢进料系统可在2～3天内完成HAZOP节点分析、LOPA量化和SRS初稿。最终交付物包括：HAZOP工作表、LOPA场景表、SIF清单和SRS初稿。这四份文件构成后续SIS设计、验证和运维的基础。