4. HAZOP原因与后果分析模板

HAZOP分析表里最容易出现的问题，不是节点划分不对，而是原因和后果两栏写得“虚”。原因栏只写“设备故障”“操作失误”，后果栏只写“泄漏”“火灾爆炸”，这样的记录在评审会上无法支撑风险判断，也无法为后续SIL定级提供依据。本节要解决的核心问题是：把原因写到“可追溯的具体失效”，把后果写到“可判断的具体场景”，并用LNG接收站的典型偏差做示范。

一、原因分析模板：三层拆解，落到具体失效

HAZOP的原因应当回答“什么具体失效导致了这个偏差”。建议采用三层结构填写：失效类别 → 具体部件/动作 → 触发机理或条件。第一层是分类标签，便于统计和审查完整性；第二层是真实对象，如“低压泵机械密封”“储罐压力变送器PT-1203”；第三层是机理，如“密封面磨损导致内漏”“导压管堵塞导致测量滞后”。只有三层齐全，原因才具备可验证性。

常见原因类别可归纳为五类，每类在LNG接收站都有典型表现：

• 设备/机械故障：泵密封失效、阀门内漏或卡涩、换热器管束泄漏、安全阀起跳后不回座。
• 仪表/控制系统失效：变送器漂移或冻结、联锁旁路未恢复、控制阀失气开度错误、DCS输出卡件故障。
• 操作失误：阀门开闭顺序错误、切换作业未按操作规程、误操作旁路阀、充装前未确认隔离。
• 公用工程与外部条件：仪表空气压力低、氮气供应中断、电源切换失败、极端天气导致BOG量突增。
• 工艺与物料因素：LNG组分变化导致密度与蒸发率改变、储罐分层翻滚、水击或低温脆断。

二、后果分析模板：写清“介质—场景—影响范围”

后果栏要回答“如果这个偏差不被拦截，会发生什么”。推荐按释放/状态 → 触发条件 → 影响对象 → 严重度判据四要素描述。以LNG泄漏为例，不能只写“泄漏”，而应写“低温LNG从泵出口法兰持续泄漏，形成液池并蒸发为可燃蒸气云，遇点火源引发闪火，影响泵区操作人员及邻近管廊”。这样写，后果的严重度等级才有依据。

LNG接收站典型后果类型及判据要点如下表所示（示例参数为教学假设，实际项目须以工艺物料平衡和后果模拟为准）：

三、典型场景示范填写

场景一：LNG储罐超压。偏差为“储罐压力高于设计操作上限”。原因可写：BOG压缩机因入口过滤器堵塞跳车（设备故障）；罐压变送器PT-1203导压管堵塞，DCS显示偏低导致操作员未及时启动备用压缩机（仪表失效）；安全阀PV-1201A/B定压值设定错误或起跳后不回座（设备/校验问题）。后果写：罐内压力持续上升，先触发高高报警并联锁切断进液，若泄放系统能力不足，可能导致罐顶安全阀频繁起跳、放空量激增，极端情况下威胁罐体结构完整性。这样填写后，后续可以针对“PT-1203导压管堵塞”这一原因评估现有联锁是否独立、是否需要提高SIL等级。

场景二：低压泵密封泄漏。偏差为“泵出口法兰/密封处LNG外漏”。原因写：机械密封二级密封面磨损（设备故障）；泵启动前预冷不充分导致密封环热应力开裂（操作失误）；密封气/吹扫氮气压力不足（公用工程失效）。后果写：低温LNG持续滴漏形成液池，蒸发气在泵坑低洼处积聚，若泵坑通风不足且遇电气火花，可能引发局部闪火；同时低温液体接触碳钢支架可能造成脆性损伤。此处应注明“泵坑可燃气探测报警设定值为25%LEL”这类可观察量，使后果描述与现场检测手段对应。

四、填写时的三个判断要点

第一，原因与现有保护层要能对上。写完原因后，应立刻检查该原因是否已有报警、联锁、操作规程或物理防护覆盖。例如“PT-1203导压管堵塞”这一原因，若现有设计只有DCS显示而无独立高高联锁，则说明该路径的保护层薄弱，需要在建议措施栏提出增加独立压力开关或改进导压管伴热/吹扫。原因栏和保护层栏是联动的，不能各写各的。

第二，后果严重度要有“最坏可信场景”意识。同一偏差在不同工况下后果差异很大。储罐超压在正常运行时可能只是放空量增加，但在装船同时进行、BOG系统检修的工况下，泄放能力下降，后果会显著升级。因此后果栏应注明所依据的工况假设，例如“按单台BOG压缩机运行、安全阀一台检修的工况评估”。

第三，区分“原因”和“后果”的边界。常见错误是把“联锁未动作”写成原因。联锁未动作往往是仪表失效或旁路未恢复的结果，应继续向下拆解到具体失效部件；同样，“人员伤亡”是最终影响，不是后果描述的全部，必须补上中间的释放、火灾、爆炸或低温接触路径。边界清晰，HAZOP记录才具备可审查性。

把上述结构落到表格中，一条完整的记录应至少包含：偏差、原因（分类+部件+机理）、现有保护措施、后果（释放/状态+触发条件+影响对象+判据）、风险等级和建议措施。原因与后果两栏写实了，后续的SIL定级才有可靠的输入，报告也才经得起第三方审查。