3. 风险矩阵与可容忍风险确定

在SIF识别与分配流程中，风险矩阵是把“工艺危害”翻译成“可量化风险等级”的核心工具。它的作用不是替代HAZOP，而是承接HAZOP、LOPA等分析得到的后果与频率信息，用统一标尺判断某个场景的风险是否已经降到企业可接受的水平；若未达到，则剩余风险必须由安全仪表功能（SIF）或其他独立保护层承担。因此，风险矩阵建得是否合理，直接决定后续SIL等级分配是否可信。

一、风险矩阵的建立方法

风险矩阵本质上是“后果严重度”与“事件发生频率”的二维交叉表。建立时通常分四步：第一，确定矩阵维度与分级数量，工程上常用4×4、5×5或5×6矩阵；第二，定义后果严重度等级，涵盖人员伤亡、财产损失、环境影响和停产损失等类别；第三，定义频率等级，明确每个等级对应的年发生概率区间；第四，为每个交叉单元格赋予风险等级（如低、中、高、极高），并标注对应的可容忍风险目标与所需风险降低措施。

建立矩阵时必须明确“频率”指的是什么。通常采用“未考虑任何独立保护层时的初始事件频率”，即后果事件在现有工艺条件下的发生频率；而风险等级判断则基于该频率与后果的组合。若企业采用“剩余风险”口径，则需在矩阵中另行说明，避免同一场景在不同分析中被重复计入保护层。矩阵还应规定边界条件，例如同一后果涉及多类损失时取最严重类别，频率落在区间边界时取较高等级，以保证判定的一致性。

二、后果与频率等级划分

后果严重度划分应结合企业实际，不能照搬通用模板。以人员安全为例，可划分为：A级为轻微伤害（可现场处理，无损失工时）；B级为严重伤害（损失工时或永久性部分失能）；C级为单人死亡；D级为多人死亡。财产损失可按金额区间划分，环境后果可按泄漏量或受纳水体影响划分。每个等级都应有可核查的判据，例如“C级：事故可能导致1人死亡，或直接经济损失500万元以上”。

频率等级通常按年发生概率划分，例如：F1为≥10⁻¹/年（频繁）；F2为10⁻²～10⁻¹/年；F3为10⁻³～10⁻²/年；F4为10⁻⁴～10⁻³/年；F5为<10⁻⁴/年（极少）。这些区间是示例性假设，实际取值应依据企业历史数据、行业失效数据库和工艺特点确定。频率估算应说明来源：是来自企业事故统计、行业数据库，还是专家判断；不同来源的可信度不同，必要时应在矩阵使用说明中标注。

三、依据企业风险准则确定可容忍风险目标

可容忍风险目标回答的是“多低才算足够低”。企业风险准则通常以“可容忍风险上限”和“可接受风险下限”两条线表达：高于上限的风险不可容忍，必须降低；处于上下限之间的区域为ALARP区（合理可行的最低水平），需证明进一步降低风险的成本与收益不成比例；低于下限则可接受。风险矩阵中每个单元格应映射到这三类区域之一，而不是简单标为“高/中/低”。

以某化工企业5×5矩阵为例（示例性设定）：后果C级（1人死亡）与频率F3（10⁻³～10⁻²/年）交叉，风险等级为“高”，落在不可容忍区，必须配置独立保护层将频率降至F4以下；后果B级与F3交叉为“中”，处于ALARP区，需评估是否增设SIF；后果A级与F4交叉为“低”，可接受。这样，矩阵不仅给出等级，还直接给出“是否需要SIF、目标风险降低多少”的判据。

上图给出一个示例性5×5矩阵：横轴为后果等级A～D，纵轴为频率等级F1～F5，单元格颜色对应可接受、ALARP和不可容忍三个区域。可以看到，后果C级与F3交叉落在不可容忍区，而后果B级与F3交叉落在ALARP区，这正是SIF分配时需要区别对待的典型情形。

四、从矩阵到SIF分配的衔接

矩阵判定为“不可容忍”的场景，必须确定所需的风险降低量。若初始风险频率为10⁻²/年，可容忍上限为10⁻⁴/年，则所需风险降低因子RRF至少为100，对应SIL 2（RRF 100～1000）的典型区间。此时应优先评估其他独立保护层（如安全阀、爆破片、联锁）能否承担部分降低量，剩余部分再由SIF承担。矩阵判定为ALARP的场景，则需记录“已评估进一步降险措施、成本与收益不成比例”的论证依据，而不是直接跳过。

实际执行中，建议为每个场景保留一张风险判定记录，至少包含：场景编号、后果描述与等级、初始事件及频率来源、现有保护层、矩阵交叉结果、可容忍目标、所需RRF、拟由SIF承担的RRF。这样，矩阵不再是一张静态表格，而是SIF识别与分配的可追溯依据。矩阵本身也应定期评审，当工艺变更、事故数据更新或企业风险准则调整时同步修订，避免用过期矩阵判定新风险。