2. LNG接收站工艺危害与SIF识别基础
LNG接收站的工艺危害具有“低温、易燃、易挥发、易积聚”的复合特征，这决定了它的安全防护不能只靠一层措施。SIL定级工作的起点，不是直接去算PFDavg，而是先把工艺危害看清楚，再判断哪些事故场景需要由安全仪表功能（SIF）承担风险削减任务。本节围绕典型事故场景、HAZOP与SIF识别的关系，以及如何从工艺偏差中筛选出需要SIL定级的SIF展开。
一、LNG接收站的典型事故场景
LNG在常压下约-162℃，一旦泄漏，低温液体迅速吸热气化，体积膨胀约600倍，形成比空气重的可燃蒸气云，沿地面低洼处扩散。接收站内典型事故场景可归纳为以下几类：
- LNG/NG泄漏：卸料臂快速接头失效、低温泵密封损坏、法兰垫片冷脆开裂、储罐接管根部裂纹等，是最基础的事故源。
- 火灾：泄漏的可燃气体遇点火源形成池火、喷射火或蒸气云火灾；LNG池火辐射热强度高，对周边设备与人员威胁大。
- 爆炸：密闭或半密闭空间（如压缩机厂房、管廊、集液池上方）内可燃蒸气积聚，遇点火源发生蒸气云爆炸（VCE）。
- 翻滚（Rollover）：储罐内分层LNG密度不同，底层突然上升与上层混合，大量蒸发气瞬间释放，导致罐压骤升、安全阀起跳甚至罐顶超压。
- 超压：储罐、管道、换热器因出口堵塞、火灾受热、BOG压缩机故障或翻滚导致压力超过设计压力。
- 低温危害：泄漏LNG使设备、管道、混凝土基础发生低温脆断，或造成人员冻伤。
这些场景的共同点是：初始偏差往往很小（如液位偏高、压力偏低、流量异常），但若缺少及时有效的自动保护，可能在数分钟内演变为重大事故。这正是SIF存在的意义——在偏差发展为事故之前，由安全仪表功能自动完成检测、判断和动作。
二、HAZOP与SIF识别的关系
HAZOP是识别工艺偏差及其后果的系统化方法，它回答的是“哪里可能出问题、后果有多严重”。SIF识别则是在HAZOP结论的基础上，进一步回答“哪些后果需要由独立的安全仪表功能来防护”。两者是前后衔接的关系，而不是替代关系。
HAZOP分析时，以工艺参数（压力、温度、液位、流量）为引导词（高、低、无、反向等），逐个节点分析偏差、原因、后果和现有保护措施。当某个偏差的后果被判定为不可接受，且现有保护措施（如报警、操作规程、机械安全阀）不足以将风险降到可接受水平时，就需要考虑设置SIF。此时HAZOP记录中的“建议增加联锁”就是SIF识别的候选来源。
三、从工艺偏差筛选需要SIL定级的SIF
筛选的核心逻辑是：先判断该偏差的后果是否属于“不可接受风险”，再判断SIF是否是必要的独立保护层。具体可按以下判断路径推进：
- 确认后果等级：依据风险矩阵，将后果按人员伤亡、环境影响、财产损失分级。后果为“重大”及以上的偏差优先纳入候选。
- 评估现有保护层：机械安全阀、爆破片、围堰、消防系统、操作规程等是否已足够？若现有保护层已将风险降至可接受，则无需SIF。
- 判断SIF独立性：若现有保护层与偏差原因存在共因失效（如共用电源、共用传感器），则不能计入独立保护层，需增设SIF。
- 确定SIF功能描述：明确“检测什么、判断什么、动作什么”，例如“储罐液位高高于95%时，联锁关闭进料阀并停泵”。
- 进入SIL定级：对确认需要的SIF，用风险矩阵或LOPA确定所需风险削减因子，进而确定SIL等级。
以储罐翻滚场景为例：HAZOP分析发现“储罐液位分层导致翻滚、罐压骤升”的偏差，后果为罐顶超压、安全阀起跳、可能引发泄漏火灾。现有保护为安全阀和压力报警，但安全阀仅能泄放、不能阻止翻滚发生，且报警依赖人工响应。此时可识别出SIF：“储罐压力高高时联锁切断进料并启动BOG压缩机”，再通过LOPA确认其风险削减需求，进入SIL定级。
四、筛选时的常见误区
实践中容易出现的偏差有三类。第一，把HAZOP建议直接等同于SIF清单，忽略了风险矩阵和LOPA的定量确认，导致SIF设置过多、SIL等级虚高。第二，把报警和操作规程当作独立保护层，实际上人工响应存在响应时间和可靠性限制，不能与SIF等同。第三，忽视共因失效，例如传感器与联锁阀共用同一电源或同一控制系统，导致SIF的独立性不成立。
正确的做法是：HAZOP负责“找偏差、定后果”，风险矩阵或LOPA负责“定风险、定削减量”，SIF识别负责“定功能、定独立性”，SIL定级负责“定等级、定验证要求”。四步环环相扣，缺一不可。只有把工艺危害看清楚，SIF识别才有依据，SIL定级才不会沦为数字游戏。