控制措施的独立性：独立保护层（IPL）的判定（IPL条件、层数、验证）

控制措施的独立性：独立保护层（IPL）的判定（IPL条件、层数、验证）本文档提供：IPL四项条件判定表（表2）；四性失效形态与退回处理表（表3）；IPL层数与风险降低因子对照表（表4）；PFD典型取值与取数来源表（表5）；IPL验证测试计划表（表6）；IPL判定有效性评分式(1)与变量定义表（表7）；案例变量表（表8）；六条决策规则与一处矛盾处置；数据来源与时效说明表。2026-11-10表1目录与定位表这一节的标题读完能拿到什么这一节在全文中的功能一、IPL的判定入口：一项控制措施先过哪四道门表2IPL四项条件判定表逐项核验专一性、独立性、可靠性、可审计性，决定控制措施能否计入IPL二、四性失效的典型形态与退回处理表3四性失效形态与退回处理表识别判定中最常见的失效形态，确定退回补证或改判非IPL三、层数与风险降低：几层IPL才算够表4IPL层数与风险降低因子对照表按初始事件频率与可接受频率确定所需总风险降低因子，反推IPL层数四、PFD取值：每层IPL的失效概率从哪来、填多少表5PFD典型取值与取数来源表为被动、主动、人员IPL分别指定PFD取值区间和取数依据五、验证：IPL在LOPA之后如何保持有效表6IPL验证测试计划表为每层IPL设定测试内容、周期、责任角色和不通过处置六、判定有效性的综合评分：式(1)与三项权重式(1)、表7变量定义表把条件完备性、层数充分性和验证执行度合成为一个判断值七、决策规则与矛盾处置六条决策规则与一处矛盾四段在层数不足、条件冲突和验证逾期时给出裁决顺序和退路八、案例：一次加氢裂化进料中断场景的IPL判定与层数修正表8案例变量表与完整案例复现从条件核验到层数反推、PFD取值的完整判定链一、IPL的判定入口：一项控制措施先过哪四道门安全研究中列出的保护措施与LOPA中可计入风险降低的IPL不是同一集合。工厂设计中的压力指示、报警、联锁和手动阀门数量众多，其中只有满足全部判定条件的子集才被授予IPL资格并允许使用PFD量化其风险降低贡献。判定入口是四项条件：专一性要求该措施被设计用于阻止一个明确识别的事故场景，站区通用安全规程、交接班记录和例行巡检不满足此项，因为它们无法保证对突发压力尖峰或失控放热反应做出及时、直接响应；独立性要求该措施在物理、电气和运行依赖上与初始事件及其他被计入的IPL完全隔离，共用电源、仪表空气管线或逻辑控制器即丧失独立性；可靠性要求失效概率以PFD量化并有现场性能记录或行业数据库支撑，取值范围通常从10⁻¹至10⁻⁴；可审计性要求周期性测试、校准日志和维修记录可查，安全阀未按期校验即失去IPL资格。四项条件在判定顺序上并非并列：专一性与独立性通过后，才进入PFD赋值；PFD赋值完成且测试记录可查，可靠性才成立；可审计性贯穿始终，任一环节缺少文档支撑，该措施退回补证或改判为非IPL。成品块：输入为SIL定级报告或LOPA场景表中列出的全部保护措施清单；动作为按表2逐项核验四项条件，标记“通过/不通过/待补证”；输出为IPL候选清单，仅含四项全部通过的措施；判定为四项条件均有判定结论且不通过项注明退回动作。表2IPL四项条件判定表判定条件观察什么什么算通过不通过时的退回动作专一性该措施的设计意图是否指向唯一事故场景设计文件中写明所阻止的场景编号退回设计文件补写场景指向独立性该措施与初始事件及其他IPL是否共用元件无共用电源、仪表空气、逻辑控制器或检测元件改判为非IPL，或改造为独立系统后重新判定可靠性该措施是否有PFD赋值且取值有来源PFD数值可查且来源为现场数据或行业数据库补PFD赋值，无依据时按保守值暂定可审计性该措施是否有测试记录、校准日志或维修工单最近一个测试周期内的记录可查补做测试并归档记录后再判定表2第2行示例行中，判定条件“专一性”、观察什么“该措施的设计意图是否指向唯一事故场景”、什么算通过“设计文件中写明所阻止的场景编号”、不通过时的退回动作“退回设计文件补写场景指向”四项具体。四项条件中，独立性最常导致判定失败，因为基本过程控制系统与安全仪表系统共用检测元件或逻辑求解器的情况在既有装置中普遍存在，共用元件的保护功能不能作为独立保护层计入。二、四性失效的典型形态与退回处理判定动作的产出需要区分“条件不满足”与“证据不足”两种状态。证据不足时退回补证，补证完成后可重新判定；条件本身不满足时，该措施在当前形态下不被授予IPL资格，退回修改设计或改判为非IPL。以下六种形态覆盖LOPA实践中频率最高的判定失败情形。成品块：输入为表2中标记“不通过”或“待补证”的措施；动作为按表3匹配失效形态并执行退回动作；输出为退回记录或改判决定；判定为每条不通过项有失效形态编号和退回/改判结论。表3四性失效形态与退回处理表失效形态对应条件典型表现退回或改判共用检测元件独立性SIS与BPCS共用同一压力变送器改判为非IPL；或更换为独立变送器后重新判定共用逻辑求解器独立性安全联锁逻辑运行在BPCS控制器内改判为非IPL；独立SIS改造后重新判定共用公用工程独立性两台切断阀共用同一仪表空气管线改判为非IPL；独立气源改造后重新判定响应时间不足专一性与有效性人员响应所需时间超过场景过程安全时间改判为非IPL；或改为自动动作并重新赋值PFD无来源可靠性PFD栏填写“经验值”而无数据库或现场记录支撑退回补PFD来源；无法补证时按保守值10⁻¹暂计测试逾期可审计性安全阀校验日期超过设定测试周期补做校验并归档；逾期期间该IPL在LOPA中不计风险降低表3第2行示例行中，失效形态“共用检测元件”、对应条件“独立性”、典型表现“SIS与BPCS共用同一压力变送器”、退回或改判“改判为非IPL；或更换为独立变送器后重新判定”四项具体。独立性失效的三种形态——共用检测元件、共用逻辑求解器、共用公用工程——覆盖了装置中多数“看似独立、实际不独立”的情形。人员响应作为IPL时，有效性受过程安全时间约束：关键报警与人员响应需要充分考虑人员响应能力和有效响应时间，场景过程安全时间过短时该IPL无效。测试逾期属于可审计性失效，逾期期间该IPL的风险降低不计入LOPA，不因为“设备仍在运行”而保留资格。三、层数与风险降低：几层IPL才算够LOPA回答的核心问题是“是否有足够的独立保护层使风险满足可接受标准”。足够与否不由层数本身决定，而由总风险降低因子决定。总风险降低因子等于初始事件频率除以可接受频率。每一层IPL按其PFD提供相应的风险降低因子：PFD为10⁻¹的IPL提供10倍降低，PFD为10⁻²的IPL提供100倍降低。IEC61511对IPL的定义中包含一项数量级要求：系统必须具有至少100（10⁻²）的风险降低因子。该要求意味着PFD高于10⁻¹（即降低因子小于10）的措施不能单独作为一层IPL计入，10⁻¹在多数实践语境中作为人员IPL的最有利取值出现。层数的反推逻辑是：初始事件频率与可接受频率之间的差距，由各层IPL的PFD连乘来填补；达到目标所需的最少IPL层数取决于每层PFD的取值，而非固定的“至少几层”。成品块：输入为LOPA场景表中的初始事件频率、可接受频率和各候选IPL的PFD；动作为计算所需总风险降低因子，按候选IPL的PFD连乘判断是否达到目标；输出为层数充分性结论；判定为总降低因子≥所需值，或注明差距及补层方案。表4IPL层数与风险降低因子对照表初始事件频率（/年）可接受频率（/年）所需总风险降低因子候选IPL组合（PFD连乘）总降低因子是否充分10⁻¹10⁻⁴10³SIF10⁻²×安全阀10⁻¹×人员响应10⁻¹10³充分10⁻¹10⁻⁵10⁴SIF10⁻²×安全阀10⁻²×人员响应10⁻¹10⁵充分，超出1个数量级10⁻¹10⁻⁵10⁴SIF10⁻²×安全阀10⁻¹10³不足，差1个数量级10⁻²10⁻⁵10³BPCS联锁10⁻¹×SIF10⁻²10³充分表4第3行示例行中，初始事件频率10⁻¹/年、可接受频率10⁻⁵/年、所需总风险降低因子10⁴、候选IPL组合“SIF10⁻²×安全阀10⁻¹”、总降低因子10³、是否充分“不足，差1个数量级”六项具体。该行展示的判定结论是层数不足，处理方式是补一层PFD为10⁻¹的独立保护层，或将该场景中的某一层替换为PFD低一个数量级的措施。表4第2行中三层IPL的总降低因子超出所需值一个数量级，超出的部分不构成“层数冗余”的证明，因为各层PFD的取值本身带有不确定性，超出量用于覆盖赋值偏差。层数充分性的判定以连乘结果与所需值的比较为准，不以“至少三层”或“至少两层”的固定计数替代计算。四、PFD取值：每层IPL的失效概率从哪来、填多少PFD是IPL判定的量化载体。取值来源分三类：现场性能记录、行业数据库和标准推荐值。CCPS指南为各类IPL提供了参考PFD区间，被动IPL（防火堤、防爆墙、阻火器）典型区间为10⁻²至10⁻³，主动IPL（安全阀、独立BPCS回路、SIF）为10⁻¹至10⁻³，人员IPL最有利情形为10⁻¹。安全阀的PFD在文献中跨度较大（10⁻¹至10⁻⁵），筛选阶段通常取10⁻²，取值须与校验周期和维护质量匹配。BPCS回路的PFD在IEC框架下不允许取10⁻¹以下的乐观值，筛查阶段取10⁻¹。取值时须避免两个常见错误：将设备铭牌上的“高可靠性”直接等同于低PFD而不查测试记录；将人员IPL的PFD取为10⁻²，而人员响应在无强制演练和可审计程序支撑时只能取10⁻¹。成品块：输入为表3中通过条件判定的IPL候选清单；动作为按IPL类型匹配表5的典型区间，选择有来源支撑的取值并记录取数依据；输出为表5取值行；判定为每层IPL有PFD数值、类型和取数来源，无来源的PFD标记“暂定”并注明补证期限。表5PFD典型取值与取数来源表IPL类型具体措施典型PFD区间筛选常用值取数来源被动IPL防火堤、防爆墙、阻火器10⁻²至10⁻³10⁻²CCPS指南区间，结合现场检查记录主动IPL：安全阀弹簧式或先导式安全阀10⁻¹至10⁻⁵10⁻²校验记录与维修工单；清洁服务可趋近下限主动IPL：独立BPCS回路不参与初始事件的BPCS控制回路10⁻¹至10⁻²10⁻¹IEC框架下限约束；回路测试覆盖率主动IPL：SIF具有明确SIL等级的安全仪表功能按SIL反推SIL2对应10⁻²至10⁻³SIL验证报告与PFDavg计算人员IPL报警后操作员响应或手动干预10⁻¹（最有利）10⁻¹演练记录与响应时间测试；无记录时不授IPL资格表5第3行示例行中，IPL类型“主动IPL：安全阀”、具体措施“弹簧式或先导式安全阀”、典型PFD区间“10⁻¹至10⁻⁵”、筛选常用值“10⁻²”、取数来源“校验记录与维修工单；清洁服务可趋近下限”五项具体。人员IPL的PFD取值以10⁻¹为上限，前提是响应时间在场景过程安全时间之内且有演练记录支撑；缺少可审计的响应时间测试时，该措施在表2的可审计性判定中已退回，不进入PFD取值环节。SIF的PFD不在此表直接选择，而从SIL验证报告的PFDavg中取数，确保LOPA赋值与SIL验证结果一致。五、验证：IPL在LOPA之后如何保持有效LOPA完成时确认的是IPL在分析时点的有效性和独立性，但PFD赋值所依据的可靠性需要在全生命周期内通过测试维持。验证的功能是确认IPL的现场状态仍支撑其被赋予的PFD。验证活动包括周期性校验测试、响应时间测试、校准和维护记录审查。测试周期由PFD目标反推：要求的PFD越低，测试间隔通常越短。IPL的验证不是一次性审计，而是以固定周期运行的持续活动，测试结果反馈至PFD复核，连续测试不通过触发IPL资格重审。成品块：输入为表5中已赋值的IPL清单和对应的目标PFD；动作为按IPL类型设定测试内容、周期、责任角色和不通过处置；输出为表6验证计划行；判定为每层IPL有测试内容、以月或年计的周期、责任角色和“不通过时暂停计权”的处置规则。表6IPL验证测试计划表IPL编号测试内容测试周期责任角色不通过时的处置记录归档位置IPL-031-SV安全阀起跳压力校验与密封性检查12个月设备校验岗逾期或不合格期间，该IPL在LOPA中暂停计权校验报告台账IPL-031-SIFSIF回路全行程测试与响应时间测量按SIL验证确定的测试间隔仪表维护岗测试不通过时启动SIL验证复核，期间按PFD=1处理SIS测试记录IPL-031-HA操作员报警响应演练与响应时间记录6个月运行值班主管无演练记录时，该人员IPL从LOPA中移除演练档案IPL-031-BPCS独立BPCS回路传感器与最终元件校验12个月仪表维护岗校验不合格或共用元件时改判为非IPL回路校验记录表6第2行示例行中，IPL编号IPL-031-SV、测试内容“安全阀起跳压力校验与密封性检查”、测试周期“12个月”、责任角色“设备校验岗”、不通过时的处置“逾期或不合格期间，该IPL在LOPA中暂停计权”五项具体。验证逾期的处置规则是暂停计权，而非仅在审计意见中记录，因为逾期期间PFD赋值失去现场状态支撑。人员IPL的验证以演练记录为载体，无记录的响应能力不构成可审计的有效性。测试周期变更须经LOPA复核，不得由维护部门单独缩短或延长。六、判定有效性的综合评分：式(1)与三项权重IPL判定的质量取决于条件核验的完备程度、层数计算的充分性和验证计划的执行状态。权重分配以“判定链的断裂后果”为依据：条件核验是入口，任何一项条件在无证据状态下被标记通过，后续层数和PFD均建立在不可靠基础上，权重最高；层数充分性直接决定风险是否落在可接受范围，权重次之；验证执行度决定IPL在未来是否仍然成立，权重与前两者构成闭环。式(1)IPL判定有效性=条件完备性得分×0.40+层数充分性得分×0.35+验证执行度得分×0.25表7变量定义表变量含义数据从哪张表取取值范围评分方向条件完备性得分表2四项条件均有书面判定结论的IPL占比×100表2“什么算通过”列与退回动作列0–100数值越高，入口判定越可靠层数充分性得分表4中总降低因子≥所需值的场景占比×100表4“是否充分”列0–100数值越高，层数配置越充分验证执行度得分表6中测试在周期内完成且记录可查的IPL占比×100表6“测试周期”与“记录归档位置”列0–100数值越高，IPL持续性越有保障表7第2行示例行中，变量“条件完备性得分”、含义“表2四项条件均有书面判定结论的IPL占比×100”、取值范围“0–100”、评分方向“数值越高，入口判定越可靠”四项具体。式(1)计算结果分为三个区间：80分及以上为判定链完整，可进入LOPA计权；60至79分为存在可修复缺口，缺口项在下一轮LOPA复核前补齐；低于60分为判定链不可靠，该场景中IPL计权结果不得用于SIL定级或风险决策。两个常见错误：把“LOPA会议中口头确认独立”计为条件完备，而不检查表2的书面判定结论；把“测试计划已制定”计为验证执行，而不检查测试是否在周期内完成且记录归档。校验方法：从表2、表4、表6分别导出四项条件的判定结论、层数充分场景数和周期内完成测试的IPL数，按表7定义计算三项得分后代入式(1)，与80、60两个阈值对照。七、决策规则与矛盾处置规则一。如果表2独立性判定发现SIS与BPCS共用检测元件或逻辑求解器，则该保护功能在LOPA中改判为非IPL，不因“SIS有SIL等级”而保留计权；如果改造为独立系统，则退路为改造完成后按表2重新判定，改造期间的场景风险按无该层IPL计算。规则二。如果表4层数连乘结果低于所需总降低因子，则补充一层满足表2四项条件的独立保护层，或替换现有某一层为PFD低一个数量级的措施；如果两种方案均不可行，则退路为该场景的可接受频率重新提交审批，附层数不足的量化差距和补层方案的时间表。规则三。如果表5某一IPL的PFD填写值无现场记录或行业数据库支撑，则该PFD标记“暂定”，按同类型IPL的保守上限取值，并在下一轮LOPA复核前补证；如果补证后实际PFD高于暂定值，则退路为重新执行表4层数计算，不沿用原层数结论。规则四。如果表6某一IPL的测试逾期，则该IPL在逾期期间暂停计权，LOPA场景的风险计算结果按缺少该层重新核算；如果逾期由测试资源不足造成且预计持续超过一个测试周期，则退路为将该IPL从计权清单中移出，场景层数按规则二重新判定。规则五。如果式(1)评分低于60分但表4的层数计算结果在数值上满足要求，则条件完备性或验证执行度的缺口优先修正，层数数值不构成判定链完整的依据；如果修正后条件完备性得分上升至80分以上，则退路为按新评分重新判定，原层数结论予以确认或按修正后的PFD重算。规则六。如果同一场景中两层IPL的PFD取值均来自同一行业数据库且类型相同，则须核查两层之间是否存在表3所列的共用元件形态；如果核查发现共用，则按独立性判定将其中一层改判为非IPL，不保留两层计权；如果共用不成立，则退路为在表2的独立性判定栏附共用元件核查记录，两层均可计权。矛盾陈述：IPL层数计算要求每层IPL有明确的PFD数值以连乘得出总降低因子，而部分被动IPL和人员IPL的PFD在行业数据库中以区间形式给出（如安全阀10⁻¹至10⁻⁵），区间上下限相差四个数量级，取上限或下限会使命中率截然不同；取保守值可能使层数结论显示“不足”而实际风险可接受，取乐观值可能使层数结论显示“充分”而实际存在缺口。实质分析：这一矛盾的根源在于PFD的区间属性与层数计算的点值需求之间的不匹配，区间宽度本身反映了维护质量、测试覆盖和服役条件对失效概率的影响。权衡规则：筛选阶段按同类型IPL的保守上限取值，使层数结论偏向“不足”而非“充分”；在补充测试数据或维护记录足以支撑更窄区间后，按表5的取数来源重新赋值并重算层数，不直接将区间中值作为点值使用。退路：当保守取值导致层数不足且无法补层时，以该场景的维护记录和测试数据编制PFD窄化论证，提交LOPA复核会议审定一个可追溯的赋值，审定记录附于表5取数来源列。八、案例：一次加氢裂化进料中断场景的IPL判定与层数修正示例案例，细节为合理设定。本案例的转折集中在独立性判定中的共用逻辑控制器、层数连乘的PFD取值分歧，以及验证逾期对计权资格的影响三处，第四处转折因第三轮修正后关键分叉已穷尽而未发生。起点：某加氢裂化装置进料中断场景的LOPA复核中，场景初始事件频率为10⁻¹/年，可接受频率为10⁻⁵/年，所需总风险降低因子为10⁴。候选IPL清单列有三层：高压联锁（拟按SIF计权）、安全阀、操作员报警响应。表2初次核验时，高压联锁的独立性栏被标记为“通过”，依据是“联锁功能在SIS中实现”。第一次转折。信号：表2独立性核查中，调取SIS逻辑图发现高压联锁的压力信号接入SIS，但联锁的最终执行元件（进料切断阀）的电磁阀由BPCS的同一输出卡驱动。假设：联锁功能在SIS中实现，独立性即成立。试了什么：追溯电磁阀的驱动回路和电源来源。新信息：SIS与BPCS共用最终执行元件的驱动卡，属于表3所列“共用逻辑求解器/输出”形态；SIS的逻辑求解独立不覆盖执行元件的共用。推翻的假设：SIS实现联锁功能即满足独立性。换哪条路：高压联锁在表2中改判为非IPL，不进入PFD赋值；该场景的候选IPL从三层减为两层（安全阀、人员响应）。第二次转折。信号：层数计算时，剩余两层IPL的PFD取值出现分歧。安全阀在表5中的筛选常用值为10⁻²，人员响应为10⁻¹，两层连乘为10⁻³，低于所需的10⁴一个数量级。假设：安全阀的PFD可按文献下限10⁻⁵取值，从而弥补一个数量级的差距。试了什么：调取该安全阀最近两个校验周期的记录和服役条件（清洁服务、无历史堵塞）。新信息：校验记录完整，服役条件支持PFD趋近区间下限，但现场无连续性能监测数据，10⁻⁵的取值缺乏足以支撑的现场证据。推翻的假设：文献下限可以直接作为本装置的PFD赋值。换哪条路：安全阀PFD按表5取10⁻²，不按10⁻⁵；层数不足通过补层解决，而非通过压低单层PFD解决。上一轮改判后剩余的两层在这一轮确认了层数差距为一个数量级。第三次转折。信号：补层方案考虑增设独立的高压联锁SIF（PFD10⁻²），但表6验证计划显示该装置现有安全阀的最近一次校验已逾期3个月。假设：补层SIF计入后层数即可满足，安全阀逾期属于维护问题，不影响层数结论。试了什么：按表6的“不通过时的处置”核查逾期期间安全阀的计权状态。新信息：逾期期间安全阀在LOPA中暂停计权，若在此状态下计入SIF，实际有效IPL仅有SIF和人员响应两层，连乘为10⁻³，仍不足10⁴；安全阀须先完成校验并恢复计权，补层后的三层连乘（SIF10⁻²×安全阀10⁻²×人员10⁻¹）才达到10⁵。推翻的假设：逾期不改变计权状态。换哪条路：安全阀校验在补层方案实施前完成，恢复计权后再按表4核算；补层SIF的设计和SIL验证纳入同一改造包。上一轮确认的层数差距在这一轮与验证状态合并处理，补层方案的时间表以安全阀校验完成为前置条件。终点：表2四项条件在修正后全部具备书面判定结论，高压联锁以SIF形态补入后独立性重新核验通过；表4层数连乘结果为10⁵，满足10⁴所需值；表6三项IPL的测试周期和责任角色已设定，安全阀校验完成日期记录在校验台账。式(1)评分为84分，判定链完整。表8列出案例变量与处置变化。表8案例变量表变量案例中情形如果变量不同处置变化共用执行元件SIS与BPCS共用电磁阀驱动卡执行元件独立高压联锁保留IPL资格，层数初算为三层，所需补层量