b.10 保护层分析(lopa)
b.10.1 概述
作为一种半定量方法，保护层分析法(layer protection analysis，简称lopa)可估算与不期望事件或情景相关的风险。它分析了是否有足够的措施来控制或减缓风险。
挑选出因果对，同时识别那些能够阻止初因演化为不期望后果的保护层。进行数量级计算，以确定保护措施足够充分，使得风险降低到可容忍(或可接受)水平。
b.10.2 用途
lopa可以定性使用，以简单分析危险或原因事件与结果之间的保护层。lopa也可以进行半定量分析，以使hazop或pha之后的筛查过程变得更严格。
lopa为iec6108与iec61511所需的独立保护层(ipl)的规格提供了依据。在确定安全完整性级别(sil)时，需要安全设备系统。通过分析各保护层产生的风险减轻行为，lopa也可以用来对风险减轻资源进行有效的配置。
b.10.3 输入
lopa的输入包括：
● 有关风险的基本信息包括pha规定的危险、原因及结果；
● 有关现有或建议控制措施的信息；
● 原因事件概率、保护层故障、结果措施及可容忍风险定义。
● 初因事件概率、保护层故障、结果措施及可容忍风险定义。
b.10.4 过程
lopa可以通过专家组运用下列程序进行实施：
● 识别不良结果的初始原因并查找有关其概率和结果的数据；
● 选择单个因果对；
● 识别那些避免原因演变成不良结果的保护层，同时对它们的效力进行分析；
● 识别独立保护层(保护层未必都是ipl)；
● 估计每个独立保护层失效的概率；
● 初因事项频率应是各ipl的故障概率以及任何条件修正因素概率的结合(例如，条件修正因素是指一个人是否会出现在受影响的环境中)。
● 保护层的综合影响应与风险容忍度进行比较，以确定是否需要进一步的保护。
独立保护层(ipl)是一种设备系统或行动，能避免某个情景演变成独立于初因事项或与情景相关的任何其他保护层的不良结果。
ipl包括：
● 设计特点；
● 实体保护装置；
● 联锁及停机系统；
● 临界报警与人工干预；
● 事件后实物保护；
● 应急反应系统(程序与检查不是ipl)。
b.10.5 输出
给出有关需要采取进一步控制措施以及这些控制措施在降低风险方面效果的建议。
在处理安全相关/设备系统时，lopa是一种可用于sil评估的技术。
b.10.6 优点及局限
优点包括：
● 与故障树分析或全面定量风险评估相比，它需要更少的时间和资源，但是比定性主观判断更为严格；
● 它有助于识别并将资源集中在最关键的保护层上。
● 它识别了那些缺乏充分安全措施的运行、系统及过程；
● 它关注最严重的结果。
局限包括：
● lopa每次只能分析一个因果对和一个情景，并没有涉及风险或控制措施之间的相互影响；
● 量化的风险可能没有考虑到普通模式的失效；
● lopa并不适用于很复杂的情景，也就是有很多因果对或有各种结果会影响不同利益相关者的情景。
b.10.7 参考文件
iec61508 (所有部分)，电器/电子/可编程电器安全相关系统的功能安全。
iec 61511 ，功能安全-用作流程工业部门的安全设备系统。