2. LNG储罐超压场景独立保护层有效性评估
场景边界与现有保护层清单
本例评估对象为一座 16×10⁴ m³ 全包容式LNG储罐，超压场景定义为：储罐气相空间压力超过设计压力（示例取 29 kPa(g)）并持续上升，可能导致罐顶泄放系统动作或罐体结构受损。场景边界从罐内压力上升的起因开始，到最终泄放至火炬/大气为止。根据HAZOP记录，该储罐现有三层候选保护层：
- BPCS压力控制回路：PIC-1001 检测罐压，调节BOG压缩机抽气量，控制阀为PV-1001。
- 操作员响应：PIC-1001 高报警（PAH-1001，设定 22 kPa(g)）后，操作员手动启动备用BOG压缩机或开启火炬阀。
- 安全阀：罐顶两台并联弹簧式安全阀 PSV-1001A/B，整定压力 27 kPa(g)。
LOPA要求每个IPL必须同时满足独立性、专一性、可靠性、可审计性四项准则。下面逐项核查，而不是笼统地"认为有保护"。
IPL有效性核查：逐项判定
核查采用"证据驱动"方式：每项保护层都要找到对应的独立性证据、PFD数据来源和可审计记录，缺一即降级或剔除。
| 候选保护层 | 独立性核查 | 可靠性（PFD） | 可审计性 | 判定 |
|---|---|---|---|---|
| BPCS PIC-1001 压力控制 | 与初始事件（BOG压缩机跳车）共用同一控制阀PV-1001及同一I/O卡，不独立 | — | 有趋势记录 | 不作为IPL（属BPCS，仅计入初始事件缓解） |
| 操作员响应（PAH-1001 后手动干预） | 报警与BPCS共用PIC-1001变送器，传感环节不独立 | 需满足：报警后10 min内可完成动作，且有书面规程与演练记录 | 需有报警响应时间记录、操作日志 | 有条件作为IPL，PFD取 0.1（需验证响应窗口） |
| 安全阀 PSV-1001A/B | 机械式，独立于BPCS与操作员，独立 | 按API 520/521及历史校验记录，PFD 取 0.01（两台并联，需确认不会共因失效） | 需有定期校验报告、铅封记录 | 作为IPL，PFD = 0.01 |
关键判定：BPCS压力控制回路因与初始事件共享最终元件，不能计为IPL；操作员响应只有在"报警独立于BPCS传感"且"响应时间窗口经演练验证"时才可计入，否则应剔除。安全阀是唯一无争议的独立保护层。
可审计性证据清单
IPL判定不能停留在"应该有"，必须落到可追溯的记录。以下为本次评估实际需要归档的证据项：
- 安全阀：最近一次校验报告（整定压力 27 kPa(g)、回座压力记录）、铅封照片、校验周期（示例：每年一次）。
- 操作员响应：PAH-1001 报警设定值变更记录、报警响应时间演练记录（示例：最近一次演练响应时间 6 min）、操作规程版本号。
- BPCS：P&ID 确认 PV-1001 同时受 PIC-1001 控制，作为"非独立"的书面依据。
评估顺序建议：先查独立性（共用元件/共用传感器/共因失效），再查可靠性数据来源（企业历史 vs 行业数据库），最后查审计记录是否齐全。任何一项缺失，该保护层应降级或剔除，而不是"先算进去再说"。
结果判读与常见误区
本例中，若仅把安全阀计为IPL，组合PFD = 0.01，RRF = 100；若操作员响应经证据验证后计入，组合PFD = 1×10⁻³，RRF ≈ 1000。两者相差一个数量级，直接影响后续LOPA中"是否需要增设SIF"的结论。因此，操作员响应是否成立，是本场景最敏感的判定点。
常见误区：把BPCS压力控制当作IPL重复计入；把"有报警"等同于"操作员响应有效"；忽略两台安全阀的共因失效（如共用泄放总管堵塞）。评估时应逐项写明判定理由与证据编号，便于复核。