HAZOP vs LOPA: Wie die beiden Prozesssicherheitsstudien die Arbeit aufteilen

HAZOP findet die Gefahrenszenarien; LOPA entscheidet, ob die Schutzmaßnahmen dagegen ausreichen. Sie sind nacheinander, nicht konkurrierend: ein HAZOP ist eine qualitative, systematische Suche danach, was schiefgehen kann, und eine LOPA ist eine semi-quantitative Überprüfung, ob die Schutzschichten um die schwerwiegenden Befunde das Risiko auf ein tolerierbares Niveau reduzieren. Führt man das eine ohne das andere durch, hat die Prozesssicherheit entweder eine Liste ohne Zahlen oder Zahlen ohne Liste.

Was jede Studie leistet

• HAZOP (Hazard-and-Operability-Studie): ein Team geht den Prozess Knoten für Knoten durch und wendet Leitwörter (kein Durchfluss, mehr Druck, Rückfluss) an, um Abweichungen und deren Folgen aufzudecken. Sie ist breit, strukturiert und qualitativ: sie beantwortet „Was kann hier passieren?“ ohne Wahrscheinlichkeiten zu beziffern.
• LOPA (Layer-of-Protection-Analysis): nimmt ein konkretes schwerwiegendes Szenario und multipliziert die Häufigkeit des auslösenden Ereignisses mit den Ausfallwahrscheinlichkeiten jeder unabhängigen Schutzschicht und vergleicht das Ergebnis mit einem Ziel für tolerierbares Risiko. Sie beantwortet „Ist dieses Szenario ausreichend geschützt, und wenn nicht, um welchen Faktor reicht der Schutz nicht aus?“

Die Übergabe zwischen beiden

Der natürliche Arbeitsablauf: zuerst HAZOP, dann LOPA für die Szenarien, die es rechtfertigen. HAZOP erzeugt typischerweise Dutzende bis Hunderte von Befunden; die meisten werden durch guten technischen Sachverstand behandelt, aber diejenigen mit schweren Folgen und unsicherem Schutz werden an LOPA zur rigorosen Überprüfung weitergegeben. LOPA ist bewusst enger gefasst und pro Szenario teurer, also wird gezielt angewendet. Findet LOPA eine Lücke, wird die erforderliche zusätzliche Risikoreduktion häufig zu einer safety-instrumented-Funktion mit einem Zielintegritätslevel, und das Gesamtbild wird häufig als Bowtie visualisiert.

Ein durchgerechnetes Beispiel: eine Abweichung, zwei Studien

HAZOP an einem Reaktorknoten, Leitwort „mehr Temperatur“: das Team identifiziert einen Kühlverlust, der zu Durchgehen und möglichem Bersten führen kann, eine schwere Folge. Das ist die Aufgabe des HAZOP erfüllt: Szenario gefunden, Folge als schwer eingestuft, Empfehlung „Schutzangemessenheit bewerten“. LOPA nimmt das auf: auslösendes Ereignis (Ausfall der Kühlpumpe) mit 0,1 pro Jahr, mal ein Hochtemperaturalarm mit Bedienerreaktion (PFD 0,1), mal eine sicherheitsinstrumentierte Funktion (SIF) (PFD 0,01), mal eine korrekt dimensionierte Entlastungseinrichtung (PFD 0,01) ergibt eine geminderte Häufigkeit von einmal in einer Million Jahren, komfortabel innerhalb eines Ziels von einmal in hunderttausend Jahren. Urteil: ausreichend geschützt, mit Sicherheitsabstand. Entfernt man die SIF aus dieser Kette, zeigt LOPA, dass das Szenario das Ziel um den Faktor zehn verfehlt — ein objektiver, vertretbarer Fall für deren Installation. HAZOP hätte diese Zahl nie liefern können; LOPA hätte das Szenario niemals alleine gefunden.

Auswahl und Reihenfolge

• Beginnen Sie mit HAZOP für jeden neuen oder wesentlich geänderten Prozess: Sie können den Schutz für Szenarien, die Sie nicht gefunden haben, nicht analysieren.
• Setzen Sie LOPA selektiv ein bei HAZOP-Befunden mit hohem Schadenspotenzial, bei denen die Angemessenheit des Schutzes wirklich unsicher ist — nicht alles wird gelopa't.
• Beide speisen dasselbe Nachgelagerte: Empfehlungen werden zu verfolgten Maßnahmen, und jede angerechnete Schutzschicht wird zur Wartungs- und Prüfanforderung; eine ungeprüfte Schicht ist ein in LOPA angerechneter Schutz, der stillschweigend zur Fiktion geworden ist.

Warum die Unterscheidung für die Instandhaltung wichtig ist

Beide Studien erzeugen Zusagen, die die Werkstatt einhalten muss. HAZOP-Empfehlungen werden zu technischen und verfahrenstechnischen Änderungen; LOPA-Anrechnungen werden zu nachweisgeprüften Trips, inspizierten Entlastungsventilen und gewarteten Alarmen. Die strengste LOPA auf dem Papier ist wertlos, wenn die von ihr angerechnete safety-instrumented-Funktion ihren Proof-Test verpasst, und genau hier hört die Prozesssicherheit auf, eine Studie zu sein, und wird zu einer Disziplin für Change-Management und Instandhaltung.

Wo Fabrico hineinpasst

Fabrico ist kein Tool zur Prozessgefahrenanalyse und führt keine HAZOP- oder LOPA-Sitzungen durch; das machen Prozesssicherheitsingenieure. Wofür Fabrico zuständig ist, ist das Nachverfolgen, auf das beide Studien angewiesen sind: Empfehlungen und angerechnete Schutzschichten werden in geplante, nachweisbare Arbeiten, Proof-Tests, Inspektionen und Verriegelungsprüfungen überführt, die niemals stillschweigend verfallen, mit überfälligen sicherheitskritischen Arbeiten, die sichtbar gemacht werden, und der vollständigen Historie bereit für das funktionale Sicherheits-Audit. Die Studien sagen, was die Anlage schützt; das CMMS beweist, dass es das immer noch tut. EU-entwickelt, mit EU-Datenresidenz.

Häufig gestellte Fragen

Brauche ich sowohl HAZOP als auch LOPA?

Für die meisten bedeutenden Prozessgefahren: ja, in der Reihenfolge HAZOP zuerst zur Findung und Einstufung von Szenarien, LOPA zur Quantifizierung des Schutzes bei den schweren. HAZOP allein überlässt die Bewert ung der Schutzangemessenheit dem Urteil; LOPA allein hat keine Möglichkeit, Szenarien zu entdecken.

Kann LOPA ohne HAZOP durchgeführt werden?

Prinzipiell kann man LOPA für ein auf irgendeine Weise identifiziertes Szenario durchführen, aber in der Praxis stammen die Szenarien aus einer Gefahrenstudie, üblicherweise HAZOP. Das Überspringen der systematischen Suche birgt das Risiko, den Schutz für die Gefahren zu analysieren, an die man zufällig gedacht hat, und die zu übersehen, an die man nicht gedacht hat.

Welche ist rigoroser?

Sie sind in unterschiedlichen Dingen rigoros. HAZOP ist rigoros in Bezug auf die Vollständigkeit der Szenarioentdeckung; LOPA ist rigoros in Bezug auf die Angemessenheit des Schutzes für ein gegebenes Szenario. Keine ersetzt die andere, und eine vollständige quantitative Risikoanalyse liegt jenseits beider für die seltenen Fälle, die sie benötigen.

Möchten Sie jede HAZOP-Maßnahme und jede in LOPA angerechnete Barriere in Arbeit verwandeln, die niemals stillschweigend verfällt? Buchen Sie eine Fabrico-Demo, um die Nachverfolgung der Prozesssicherheit in einem einsatzbereiten CMMS zu sehen.