核心論斷：在 LOPA 與 SIS 設(shè)計(jì)中，保護(hù)層（IPL）的數(shù)量達(dá)標(biāo)只是風(fēng)險(xiǎn)受控的必要條件。設(shè)定值之間的幾何關(guān)系與由工藝動(dòng)力學(xué)決定的時(shí)間預(yù)算共同決定保護(hù)層在被要求時(shí)是否真的有效：當(dāng)正常操作范圍與安全操作限值（SOL）過度接近時(shí)，安全儀表功能（SIF）會(huì)偏離低需求假設(shè)、陷入頻繁動(dòng)作（乃至高需求 High Demand）工況；當(dāng)SOL 被設(shè)定在過于接近設(shè)備最高允許工作壓力（MAWP）的位置時(shí)，可用的工藝安全時(shí)間（PST）被壓縮，安全系統(tǒng)響應(yīng)時(shí)間可能無法在后果發(fā)生前完成動(dòng)作。需強(qiáng)調(diào)：幾何裕量是充足 PST 的必要而非充分條件——最終必須經(jīng)動(dòng)態(tài)核算驗(yàn)證，而非僅憑設(shè)定值間距判斷。

1. 問題提出：從一次工廠討論說起

在與某工廠的工藝安全討論中，團(tuán)隊(duì)就一個(gè)壓力控制回路的失效場景達(dá)成一致：壓力控制回路故障（如控制閥卡澀、變送器失效、控制器輸出飽和）導(dǎo)致壓力漂移，進(jìn)而依次觸發(fā)獨(dú)立的超壓聯(lián)鎖（SIS 高壓聯(lián)鎖）和安全閥（PSV）起跳。從保護(hù)層數(shù)量看——BPCS 調(diào)節(jié)層、報(bào)警層、SIS 聯(lián)鎖層、泄壓層——似乎已經(jīng)滿足 LOPA 估算出的風(fēng)險(xiǎn)降低要求。

但團(tuán)隊(duì)未深入審視一個(gè)更隱蔽的問題：操作范圍與各項(xiàng)安全保護(hù)層設(shè)定值之間的"距離"是否足夠。這正是本白皮書要澄清的。LOPA 把每個(gè) IPL 當(dāng)作一個(gè)可乘的"風(fēng)險(xiǎn)降低因子（RRF）"，但其有效性隱含兩個(gè)前提：

• 該 IPL 在其被要求時(shí)確實(shí)可用（獨(dú)立性、可靠性、可審查性）；
• 該 IPL 在其被要求時(shí)來得及動(dòng)作——即存在足夠的工藝安全時(shí)間（PST），且"檢測時(shí)間 + 系統(tǒng)響應(yīng)時(shí)間"小于 PST。

第二個(gè)前提與設(shè)定值的幾何布局直接相關(guān)，卻常常在 LOPA 表格里被默認(rèn)滿足而跳過驗(yàn)證。下面先厘清五個(gè)核心概念，再揭示它們的耦合關(guān)系。

2. 五個(gè)核心概念的精確定義

2.1 操作范圍 / 操作窗口（Operating Envelope / Operating Window）

操作范圍是工藝在正常、穩(wěn)定運(yùn)行中允許波動(dòng)的變量區(qū)間，也稱正常操作范圍（Normal Operating Range, NOR）。它被安全操作限值所包圍，是操作員日常維持的"目標(biāo)帶"。OSHA PSM 法規(guī)將"溫度、壓力、流量或組成等參數(shù)的安全上限與下限"列為工藝安全信息（PSI）的法定內(nèi)容 (29 CFR 1910.119(d)(2)(iii))，操作范圍與操作限值正是其具體化。

2.2 安全操作限值（Safety Operating Limits, SOL）

SOL 是安全運(yùn)行的邊界：一旦工藝變量越出 SOL，工藝便不再處于安全運(yùn)行狀態(tài)，必須在限定時(shí)間內(nèi)被糾正、降至安全狀態(tài)或停車。在 CCPS 與行業(yè)實(shí)踐中，這類邊界常稱工藝安全限值（Process Safety Limits, PSL），作為 PSI 與操作規(guī)程的組成部分管理，報(bào)警與聯(lián)鎖設(shè)定值在其內(nèi)側(cè)分層布置 (CCPS, Guidelines for Safe Automation of Chemical Processes, 2nd ed., 2017)。實(shí)踐中 SOL 常以"高/低安全操作限值"的形式存在，例如高壓安全操作限值（High SOL）。

關(guān)鍵性質(zhì)：SOL 必須位于設(shè)備物理極限（如 MAWP、設(shè)計(jì)溫度/壓力）之內(nèi)，并保留足夠裕量，使獨(dú)立保護(hù)層有時(shí)間在后果發(fā)生前動(dòng)作。該裕量是否"足夠"，取決于工藝動(dòng)力學(xué)，須經(jīng)核算確認(rèn)（見 2.3 與第 4 節(jié)）。

2.3 工藝安全時(shí)間（Process Safety Time, PST）

按 CCPS 與 ISA 技術(shù)報(bào)告的通行定義，PST 是從初始事件發(fā)生（偏差開始發(fā)展）到危險(xiǎn)后果實(shí)際發(fā)生（假設(shè)期間沒有任何保護(hù)系統(tǒng)動(dòng)作）之間的時(shí)間窗口 (CCPS, Guidelines for Safe and Reliable Instrumented Protective Systems, 2007; ISA-TR84.00.04)。它是保護(hù)層"來得及動(dòng)作"的物理時(shí)間預(yù)算。

工程使用中的一個(gè)重要約定：若以 SIF 觸發(fā)點(diǎn)作為時(shí)鐘零點(diǎn)來核驗(yàn)響應(yīng)時(shí)間，則必須把"偏差發(fā)生 → 到達(dá)觸發(fā)點(diǎn)"的檢測時(shí)間一并計(jì)入預(yù)算，否則會(huì)系統(tǒng)性高估可用時(shí)間。用一句話概括：PST 是留給保護(hù)系統(tǒng)的時(shí)間，不是保護(hù)系統(tǒng)自己的時(shí)間。

2.4 安全系統(tǒng)響應(yīng)時(shí)間（Safety System Response Time）

指 SIF 從感知偏差到完成最終元件動(dòng)作、使工藝達(dá)到安全狀態(tài)所需的總時(shí)間，由三段串聯(lián)組成：

有效性判據(jù)：檢測時(shí)間 + 安全系統(tǒng)響應(yīng)時(shí)間 < PST（并保留不確定性裕量）。若不滿足，SIF 在后果發(fā)生前尚未把工藝帶回安全狀態(tài)，則該層在物理上失效。

2.5 安全要求規(guī)范（Safety Requirements Specification, SRS）

SRS 是 IEC 61511 / GB/T 21109 強(qiáng)制要求的技術(shù)文件，逐條定義每個(gè) SIF 的：安全狀態(tài)、過程測量與設(shè)定值、所需 SIL、要求的響應(yīng)時(shí)間、操作模式（低/高需求）、proof test 間隔、復(fù)位與旁路規(guī)則等 (IEC 61511-1:2016, Clause 10)。SRS 是把"概念關(guān)系"固化為"可驗(yàn)證設(shè)計(jì)要求"的載體——PST 與設(shè)定值幾何關(guān)系，最終必須落到 SRS 的"設(shè)定值"和"響應(yīng)時(shí)間"兩欄，并接受定期的驗(yàn)證與復(fù)核。

3. 概念間的耦合關(guān)系

五個(gè)概念并非并列清單，而是沿"空間（壓力/溫度軸）"與"時(shí)間軸"兩條線索耦合。先看空間層級(jí)。

壓力（或溫度等工藝變量）升高 →正常操作范圍 NORSOL 安全運(yùn)行區(qū)間PSV 起跳區(qū)MAWP 設(shè)備極限PAH 高報(bào)警（操作員介入窗口）SIF 高壓聯(lián)鎖設(shè)定值（SIS 動(dòng)作點(diǎn)，≤ SOL）SOL 邊界（不可逾越）PSV 設(shè)定壓力（≤ MAWP）MAWPPST 窗口（SIS 動(dòng)作點(diǎn) → MAWP/后果）操作裕量（NOR→SIS）

圖 1　沿工藝變量軸的設(shè)定值層級(jí)。SIS 高壓聯(lián)鎖設(shè)定值應(yīng)不高于 SOL，PSV 設(shè)定壓力 ≤ MAWP；SIS 動(dòng)作點(diǎn)到 MAWP（或后果點(diǎn)）之間的"高度差"只有在給定升壓速率下才對(duì)應(yīng) PST 窗口。

空間關(guān)系小結(jié)（以升壓偏差為例）

正常操作范圍 NOR ? SOL；自底向上依次為：PAH 高報(bào)警 < SIS 高壓聯(lián)鎖設(shè)定值 ≤ SOL 邊界 < PSV 設(shè)定壓力 ≤ MAWP。SIS 動(dòng)作點(diǎn)應(yīng)不高于 SOL，使 SIS 在越界前將工藝?yán)兀粡钠畎l(fā)生點(diǎn)到后果點(diǎn)（MAWP 或失效）之間的時(shí)間即為 PST。

再看時(shí)間軸。PST 與響應(yīng)時(shí)間的關(guān)系是一條生死線：

時(shí)間 →t? 控制失效，偏差開始PST 計(jì)時(shí)起點(diǎn)t? 達(dá) SIS 設(shè)定值檢測時(shí)間安全系統(tǒng)響應(yīng)時(shí)間 Δt工藝回安全態(tài)后果（MAWP/失效）PST（偏差發(fā)生 → 后果，假設(shè)無保護(hù)動(dòng)作）檢測時(shí)間 + Δt < PST ? 有效

圖 2　工藝安全時(shí)間線。檢測時(shí)間（偏差發(fā)生至 SIS 觸發(fā)）與安全系統(tǒng)響應(yīng)時(shí)間 Δt（邏輯+執(zhí)行）之和必須落在 PST 窗口內(nèi)，否則 SIF 在后果發(fā)生前尚未完成動(dòng)作。

時(shí)間關(guān)系不等式（設(shè)計(jì)硬約束）

檢測時(shí)間 +（邏輯求解 + 最終元件行程）< PST ? 不確定性裕量

SRS 中寫下的"要求響應(yīng)時(shí)間"必須滿足上式；否則該 SIF 在物理上不可用，無論其 PFDavg 多低。

4. 兩類典型失效模式

4.1 失效模式 A：操作范圍過貼近 SOL → 偏離低需求假設(shè)，SIF 頻繁被要求

當(dāng) NOR 與 SOL/報(bào)警/SIS 設(shè)定值之間的"操作裕量"很薄時(shí)，正常波動(dòng)就會(huì)頻繁觸及聯(lián)鎖設(shè)定值。這里要區(qū)分兩種機(jī)理，它們后果不同但根源相同：

• 頻繁誤跳（spurious trip）：
  NOR 貼近設(shè)定值時(shí)，多數(shù)觸發(fā)來自正常波動(dòng)而非真實(shí)危險(xiǎn)需求。誤跳直接侵蝕可用性與產(chǎn)量，并在現(xiàn)場誘發(fā)"為保產(chǎn)量而旁路 SIS"的違規(guī)操作——這恰恰破壞保護(hù)層的獨(dú)立性與可用性，是 CCPS 安全自動(dòng)化指南反復(fù)警告的陷阱 (CCPS, Safe Automation, 2017)。
• 真實(shí)需求率升高（true demand / High Demand）：
  若偏差真正越界的頻率也升高，SIF 就偏離了 LOPA 默認(rèn)的低需求假設(shè)。IEC 61511 定義低需求模式為需求頻率不大于每年 1 次且不大于證明測試頻率的 2 倍 (IEC 61511-1:2016, 第 3 章術(shù)語及 Clause 9)；一旦越界進(jìn)入高需求/連續(xù)需求模式，SIL 的驗(yàn)證指標(biāo)（由 PFD_avg 轉(zhuǎn)向 PFH 等危險(xiǎn)故障頻率指標(biāo)）、架構(gòu)約束與檢驗(yàn)測試策略都須重新核算，否則"層數(shù)達(dá)標(biāo)"掩蓋了"該層不可靠"。

現(xiàn)場信號(hào)

若某高壓聯(lián)鎖每周甚至每天動(dòng)作、操作員已習(xí)慣于"聯(lián)鎖跳了再手動(dòng)恢復(fù)"，這就是失效模式 A 的明確信號(hào)：不是 SIS 太靈敏，而是操作范圍與 SOL 的幾何關(guān)系設(shè)計(jì)錯(cuò)了。此時(shí)正確的動(dòng)作是重新核算操作裕量與 SIF 需求頻率（必要時(shí)通過工藝改造擴(kuò)大操作窗口），而不是旁路。

4.2 失效模式 B：SOL 過貼近 MAWP → PST 上界被壓縮，響應(yīng)時(shí)間可能來不及

當(dāng) SOL（進(jìn)而 SIS 高壓聯(lián)鎖設(shè)定值）被設(shè)定在接近 MAWP 的位置，從 SIS 動(dòng)作點(diǎn)到后果點(diǎn)的可用"高度差"很小。必須強(qiáng)調(diào)：幾何距離只是 PST 的必要條件而非充分條件——PST 由該區(qū)間內(nèi)的動(dòng)態(tài)速率決定：慢過程即使裕量較小，PST 仍可能充足；快過程（放熱失控、快速相變、小容積高壓系統(tǒng)）即使裕量較大，PST 也可能不足。因此 SOL 貼近 MAWP 的真正風(fēng)險(xiǎn)是壓縮了 PST 的上界，使"響應(yīng)時(shí)間 < PST"這一判據(jù)更難甚至無法滿足。若最終元件（如切斷閥數(shù)十秒的行程時(shí)間）來不及在后果前完成動(dòng)作，則：

• SIS 雖正確觸發(fā)，但在閥門關(guān)嚴(yán)、壓力受控之前，壓力已越過 MAWP，PSV 起跳；
• 若 PSV 起跳后排放能力不足（須按 API 520/521 核算）、或下游火炬/放空系統(tǒng)受限，則直接破設(shè)備、泄漏、著火爆炸；
• 換言之，SOL 設(shè)得太高，等于放棄了本可用于"事前阻斷"的時(shí)間窗口，把保護(hù)退化為"事后泄壓"。

泄壓裝置的設(shè)定壓力不得超過承壓設(shè)備 MAWP，這一限值由 ASME VIII（UG-134）與 API 520 Part II 給出，泄放系統(tǒng)與下游處理的設(shè)計(jì)則遵循 API 521 (ASME BPVC VIII; API Std 520 Part II; API Std 521)。但"不超過 MAWP"只是上限，并不保證 PST 充足——SOL 與 MAWP 之間的裕量是否足以支撐所需的 PST，必須由穩(wěn)態(tài)/動(dòng)態(tài)核算確定，而非憑經(jīng)驗(yàn)填數(shù)。

5. 真實(shí)事故案例：保護(hù)層為何"看似夠、實(shí)際不夠"

案例使用聲明（重要）

以下三個(gè)事故的完整根因都是多因素的——管理體系、操作紀(jì)律、疲勞、設(shè)計(jì)哲學(xué)、檢驗(yàn)缺失等均被調(diào)查報(bào)告確認(rèn)。本文僅截取"保護(hù)層的時(shí)間與幾何有效性"這一個(gè)視角作映射，用于說明概念，不構(gòu)成單一歸因。三個(gè)案例分別對(duì)應(yīng)三種不同的失敗形態(tài)：缺層（Texas City）、層不可用（Buncefield）、時(shí)間固有不足（T2）——它們共同框定了第 4 節(jié)兩類失效模式所處的設(shè)計(jì)邊界。

5.1 BP 德州城煉廠爆炸（2005-03-23）：缺層的對(duì)照案例

異構(gòu)化裝置（ISOM）的貧料分餾塔在開車期間因液位控制失效而超量充液，塔液位超越正常操作范圍后持續(xù)上升。關(guān)鍵問題：該分餾塔未設(shè)置獨(dú)立的高液位 SIS 聯(lián)鎖，糾正能力完全壓在操作員對(duì)報(bào)警的響應(yīng)上；而超充后液位變送器被淹沒失效，操作員失去有效指示。最終塔頂物料經(jīng)放空系統(tǒng)排入大氣，形成可燃蒸氣云并爆炸，15 人死亡、180 余人受傷 (CSB, BP Texas City, 2005-04-I-TX, 2007)。

與本文框架的關(guān)聯(lián)：這是"缺層"的極端形態(tài)——當(dāng) NOR 與危險(xiǎn)邊界之間根本沒有獨(dú)立、經(jīng)定義的 SIF 時(shí)，失效模式 A/B 的討論無從談起。它是幾何/時(shí)間方法論的前提性反例：先得有"層"，才談得上"層放得對(duì)不對(duì)、來不來得及"。CSB 調(diào)查同時(shí)確認(rèn)了疲勞、開車程序、放空系統(tǒng)設(shè)計(jì)等系統(tǒng)性根因，本案例僅取其"過度依賴操作員、缺乏獨(dú)立儀表保護(hù)"這一層含義。

5.2 Buncefield 油庫爆炸（2005-12-11）：層不可用的案例

912 號(hào)汽油罐在接收進(jìn)料時(shí)發(fā)生溢流。罐旁液位計(jì)失效，用于觸發(fā)停泵的獨(dú)立高液位開關(guān)未能動(dòng)作，操作員的遠(yuǎn)程指示也不可信，導(dǎo)致儲(chǔ)罐持續(xù)進(jìn)油直至溢罐，汽油揮發(fā)形成大面積蒸氣云并發(fā)生系列爆炸 (HSE/Buncefield Investigation, 2008)。調(diào)查結(jié)論強(qiáng)調(diào)：缺失真正獨(dú)立、經(jīng)驗(yàn)證的溢流保護(hù)層。

與本文框架的關(guān)聯(lián)：這是"有層但層不可用"的例證——保護(hù)層在被要求時(shí)必須可靠動(dòng)作，這一要求最終落在 SRS 的完整性與 proof test/檢驗(yàn)測試的執(zhí)行上。延伸到本文主題：一個(gè) SIF 若其設(shè)定值與要求響應(yīng)時(shí)間從未在 SRS 中被工程化定義和驗(yàn)證，就談不上可靠。液位計(jì)與獨(dú)立開關(guān)同時(shí)失效也警示：IPL 的"獨(dú)立性"必須經(jīng)得起共因失效審查。

5.3 T2 Laboratories 反應(yīng)器失控（2007-12-19）：時(shí)間固有不足的案例——幾何方法的適用邊界

該公司在間歇反應(yīng)釜中生產(chǎn) MCMT 時(shí)發(fā)生失控放熱。冷卻系統(tǒng)失效后反應(yīng)加速，釜內(nèi)溫度、壓力在極短時(shí)間內(nèi)飆升；盡管設(shè)有爆破片與泄壓裝置，但反應(yīng)失控的速率所對(duì)應(yīng)的可用時(shí)間尺度，遠(yuǎn)短于任何保護(hù)層（包括泄壓）有效抑制所需的時(shí)間尺度，最終反應(yīng)釜超壓解體、爆炸，4 人死亡、32 人受傷（含周邊企業(yè)人員），周邊企業(yè)嚴(yán)重?fù)p毀 (CSB, T2 Laboratories, 2008-9-I-FL, 2009)。

與本文框架的關(guān)聯(lián)：必須誠實(shí)地指出：T2 不是"設(shè)定值錯(cuò)誤"的案例——其 PST 短源于失控反應(yīng)動(dòng)力學(xué)與泄放能力按非失控工況設(shè)計(jì)，把 SOL 設(shè)得再低也改變不了失控速率。它的價(jià)值在于劃定了本文方法的適用邊界：當(dāng)工藝動(dòng)力學(xué)決定的 PST 固有地短于保護(hù)系統(tǒng)的動(dòng)作時(shí)間尺度時(shí)，任何設(shè)定值幾何調(diào)整都無法挽救，唯一有效的路徑是本質(zhì)安全（IST）手段——減少危險(xiǎn)物料存量、增強(qiáng)熱移除能力、改變反應(yīng)路徑——或從設(shè)計(jì)上杜絕該工況。幾何方法只在"PST 與響應(yīng)時(shí)間處于同一量級(jí)、可以通過設(shè)定值布置爭取時(shí)間"的場景中有效。

6. 工程落地：把關(guān)系寫進(jìn) SRS 與操作規(guī)程

避免上述兩類失效，關(guān)鍵在于把"設(shè)定值幾何關(guān)系"從經(jīng)驗(yàn)判斷轉(zhuǎn)為可驗(yàn)證設(shè)計(jì)。建議流程：

1. 先定 PST，再定設(shè)定值。
   對(duì)關(guān)鍵 SIF，用穩(wěn)態(tài)/動(dòng)態(tài)核算得出"從偏差到后果"的 PST，而不是先拍定 SOL 再反推時(shí)間。放熱、快速相變、小容積高壓設(shè)備尤其必須做動(dòng)態(tài)分析 (CCPS, Instrumented Protective Systems, 2007)。
2. 在 SRS 中顯式寫入"要求響應(yīng)時(shí)間"與"設(shè)定值"。
   響應(yīng)時(shí)間須滿足"檢測時(shí)間 + 響應(yīng)時(shí)間 < PST ? 不確定性裕量"；最終元件行程時(shí)間往往是瓶頸，選型與 SRS 一并確定 (IEC 61511-1:2016, Clause 10)。
3. 保證 SOL 與 NOR 之間有足夠"操作裕量"。
   該裕量需覆蓋正常波動(dòng) + 報(bào)警響應(yīng)時(shí)間 + SIS 動(dòng)作時(shí)間，避免 SIF 頻繁被要求。必要時(shí)通過工藝改造（更大緩沖、更強(qiáng)控制能力）擴(kuò)大操作窗口，而非一味收緊 SOL 或提高聯(lián)鎖設(shè)定值。
4. 維持層級(jí)關(guān)系不被破壞：NOR ? SOL；PAH < SIS 設(shè)定值 ≤ SOL < PSV 設(shè)定 ≤ MAWP
   。任何一層的設(shè)定值侵入其上層區(qū)間，都意味著上層保護(hù)被繞過或壓縮，須重新做 LOPA 與 SIL 驗(yàn)證 (GB/T 32857；GB/T 21109)。
5. 把"頻繁動(dòng)作"視為設(shè)計(jì)缺陷信號(hào)并給出量化觸發(fā)條件。
   統(tǒng)計(jì)每個(gè) SIF 的實(shí)際觸發(fā)頻次：當(dāng)真實(shí)需求率接近或超過每年 1 次（或超過證明測試頻率的 2 倍）時(shí)，SIF 已越出低需求假設(shè)，應(yīng)按高需求模式重新核算 SIL 驗(yàn)證指標(biāo)（PFD_avg → PFH）、檢驗(yàn)測試與診斷策略；當(dāng)誤跳頻次影響可用性目標(biāo)時(shí)，應(yīng)重新核算操作裕量。兩種情形均禁止以旁路規(guī)避。
6. HAZOP/LOPA 中增設(shè)"設(shè)定值幾何"審查項(xiàng)。
   不僅問"有沒有這一層"，更要問"這一層在被要求時(shí)是否來得及、是否會(huì)被頻繁要求、是否被真實(shí)地檢驗(yàn)測試過"。

7. 結(jié)論

保護(hù)層的數(shù)量達(dá)標(biāo)只是風(fēng)險(xiǎn)受控的必要條件，而非充分條件。真正決定保護(hù)層有效性的，是設(shè)定值的幾何關(guān)系與由工藝動(dòng)力學(xué)決定的時(shí)間預(yù)算的匹配：

• 操作范圍與 SOL 的距離
  決定 SIF 是否偏離低需求假設(shè)：距離過薄首先表現(xiàn)為頻繁誤跳與可用性損失，進(jìn)而可能演變?yōu)楦咝枨蠊r，使 LOPA 的可靠性假設(shè)失效；
• SOL（及 SIS 設(shè)定值）與 MAWP 的距離
  決定 PST 的上界：距離過薄使"檢測時(shí)間 + 響應(yīng)時(shí)間 < PST"的判據(jù)難以滿足——而該距離是否足夠，最終須由動(dòng)態(tài)核算裁決，幾何距離本身只是必要條件；
• 這兩段"距離"最終必須被固化進(jìn) SRS 的設(shè)定值與要求響應(yīng)時(shí)間兩欄，并接受 LOPA/SIL 驗(yàn)證與 MOC 的動(dòng)態(tài)復(fù)核；
• 當(dāng)工藝動(dòng)力學(xué)決定的 PST 固有地短于保護(hù)系統(tǒng)動(dòng)作時(shí)間尺度時(shí)，幾何方法失效，須回到本質(zhì)安全設(shè)計(jì)。

Texas City、Buncefield 與 T2 分別代表"缺層""層不可用""時(shí)間固有不足"三種失敗形態(tài)。它們的共同教訓(xùn)是：保護(hù)層"看似夠"卻可能建立在錯(cuò)誤的前提之上——缺層、層在被要求時(shí)不可靠、或?qū)觼聿患皠?dòng)作。把 PST 與設(shè)定值幾何作為獨(dú)立設(shè)計(jì)變量并納入 SRS 與 HAZOP/LOPA 審查，是讓過程安全管理從紙面合規(guī)走向?qū)嵸|(zhì)安全的分水嶺。

參考文獻(xiàn)

1. IEC 61511-1:2016, Functional safety — Safety instrumented systems for the process industry sector（GB/T 21109 等同采用）.
2. IEC 61508:2010, Functional safety of E/E/PE safety-related systems（GB/T 20438）.
3. CCPS (AIChE), Layer of Protection Analysis: Simplified Process Risk Assessment, 2001.
4. CCPS (AIChE), Guidelines for Safe and Reliable Instrumented Protective Systems, 2007.
5. CCPS (AIChE), Guidelines for Safe Automation of Chemical Processes, 2nd ed., 2017.
6. CCPS (AIChE), Guidelines for Initiating Events and Independent Protection Layers in Layer of Protection Analysis, 2014.
7. ISA-TR84.00.04, Guidelines for the Implementation of ANSI/ISA-84.00.01（PST 與設(shè)定值確定方法）.
8. ASME BPVC Section VIII（UG-134）; API Standard 520 Part II, Installation of Pressure-relieving Devices; API Standard 521, Pressure-relieving and Depressuring Systems, 7th ed., 2020.
9. OSHA 29 CFR 1910.119, Process Safety Management of Highly Hazardous Chemicals（(d)(2)(iii)：安全上/下限作為 PSI）.
10. U.S. CSB, Investigation Report — Refinery Explosion and Fire, BP Texas City, Report No. 2005-04-I-TX, 2007.
11. HSE / Buncefield Investigation, The Buncefield Incident 11 December 2005: The Final Report, 2008.
12. U.S. CSB, T2 Laboratories Inc. Runaway Reaction, Report No. 2008-9-I-FL, 2009.
13. GB/T 32857《保護(hù)層分析（LOPA）應(yīng)用指南》（2016；2025 版更新）；GB/T 45111-2024《保護(hù)層分析（LOPA）、安全完整性等級(jí)（SIL）定級(jí)和驗(yàn)證的質(zhì)量控制導(dǎo)則》.

本白皮書面向工藝/儀表/PSM 工程團(tuán)隊(duì)，旨在澄清操作范圍、SOL、PST、響應(yīng)時(shí)間與 SRS 的耦合關(guān)系。文中事故結(jié)論均引自公開調(diào)查報(bào)告（CSB/HSE），案例映射僅取"保護(hù)層時(shí)間與幾何有效性"單一視角，完整根因以原調(diào)查報(bào)告為準(zhǔn)。具體工程應(yīng)用須結(jié)合裝置 P&ID、HAZOP/LOPA 記錄、SRS 與動(dòng)態(tài)核算，并經(jīng)具備資質(zhì)的功能安全人員評(píng)審。