Layer of Protection Analysis (LOPA) ist eine semi-quantitative Methode der Prozesssicherheit, die eine Frage beantwortet, die Gefährdungsstudien offenlassen: Reichen die Schutzmaßnahmen um ein gefährliches Szenario wirklich aus? Sie betrachtet ein Szenario nach dem anderen, schätzt, wie oft das auslösende Ereignis auftritt, multipliziert die Ausfallwahrscheinlichkeiten jeder unabhängigen Schutzschicht und vergleicht die resultierende Häufigkeit transparent in Größenordnungen mit einem tolerierbaren Risikoziel.
Ein HAZOP ist hervorragend darin, Szenarien zu finden: welche Abweichungen auftreten können und was folgen könnte. Er ist von Natur aus qualitativ. LOPA greift die Szenarien auf, die ernst erscheinen, und stellt die quantitative Anschlussfrage: Häufigkeit der auslösenden Ursache, Schwere der Konsequenz und wie viel Risikoreduzierung die vorhandenen Schutzeinrichtungen tatsächlich liefern. Eine vollständige quantitative Risikoanalyse geht noch tiefer, aber LOPA deckt die mittlere Ebene schnell genug ab, um auf Dutzende von Szenarien pro Anlage anwendbar zu sein.
Nicht jede Schutzmaßnahme qualifiziert sich. Eine IPL muss unabhängig von der auslösenden Ursache und von anderen Schichten, wirksam gegen das spezifische Szenario und prüfbar bzw. auditierbar sein. Ein einfacher Regelkreis, ein Alarm mit angerechneter Bedienerreaktion, eine sicherheitsinstrumentierte Funktion, ein Entlastungsventil und ein Auffangdamm können jeweils IPLs sein. Zwei Alarme, die beim selben überlasteten Bediener landen, sind nicht zwei Schichten, und eine Schutzmaßnahme, die denselben ausgefallenen Sensor wie die auslösende Ursache teilt, zählt nichts.
Szenario: Verlust der Kühlung an einem exothermen Reaktor, was zu thermischem Durchgehen und Bersten führen kann. Auslösendes Ereignis: Ausfall der Kühlwasserpumpe, geschätzt einmal alle 10 Jahre (0,1 pro Jahr). Schutzschichten: der Hochtemperaturalarm mit angerechneter Bedienerreaktion, Versagungswahrscheinlichkeit bei Anforderung (PFD) 0,1; eine sicherheitsinstrumentierte Funktion, die durch Einleiten eines Quench kühlt, PFD 0,01; das auf den Fall ausgelegte Entlastungssystem, PFD 0,01. Geminderte Häufigkeit: 0,1 × 0,1 × 0,01 × 0,01 = 0,000001 pro Jahr, einmal in einer Million Jahren. Liegt das unternehmensseitige Ziel für diese Konsequenzklasse bei einmal in hunderttausend Jahren, besteht das Szenario mit einem Faktor zehn Reserve; würde die SIF nicht existieren, würde es um den Faktor zehn verfehlt und es muss etwas hinzugefügt oder verbessert werden. Die Rechnung ist absichtlich einfach; die Ehrlichkeit bezüglich der Unabhängigkeit ist der schwierige Teil.
Jede PFD in jener Multiplikation setzt voraus, dass die Schicht getestet und gewartet wird: Entlastungsventile inspiziert, SIF-Proof-Tests termingerecht durchgeführt, Alarme funktionsfähig und nicht permanent quittiert. Ein auf dem Papier angerechneter LOPA-Credit, der nie im Werk proof-getestet wurde, ist Fiktion mit Dezimalpunkt. Hier trifft Prozesssicherheit auf alltägliche Instandhaltungsdisziplin: überfällige Proof-Tests und umgangene Abschaltungen sind keine Hausmeisteraufgaben, sie sind fehlende Schutzschichten. Änderungen an einer angerechneten Schicht müssen ebenfalls durch das Management of Change laufen, sonst beschreibt die Analyse stillschweigend nicht mehr die Anlage.
Fabrico ist kein Tool zur Prozesssicherheitsanalyse und führt keine LOPA durch. Was es schützt, ist die Annahme unter jeder angerechneten Schicht: dass Prüfungen und Wartung tatsächlich stattfinden. Proof-Tests, Inspektionen von Entlastungsventilen und Verriegelungsprüfungen laufen als geplante Arbeitsaufträge mit Nachweisen der Durchführung; überfällige sicherheitskritische Arbeiten sind sichtbar statt vergraben; und die Anlagenhistorie zeigt jedes Testergebnis, wenn die Prüfung es verlangt. Die Sicherheitsstudie bleibt auf dem Schreibtisch des Sicherheitsingenieurs; die Disziplin, die sie wahr macht, lebt im CMMS. In der EU entwickelt, mit Datenstandort in der EU.
LOPA bezieht seine Szenarien aus einer Gefährdungsstudie: siehe HAZOP vs LOPA, wie die beiden zusammenpassen.
Eine Risikomatrix bewertet Wahrscheinlichkeit und Schwere in einem Schritt eher beurteilend. LOPA zerlegt die Wahrscheinlichkeit in eine Auslösehäufigkeit und explizite Versagenswahrscheinlichkeiten pro Schutzschicht, wodurch genau offengelegt wird, wo die Risikoreduzierung herkommt und was passiert, wenn eine Schicht nachlässt.
Ein geschulter Moderator, Prozessingenieurwesen, Betrieb, Mess‑ und Regeltechnik sowie Instandhaltung. Die Anwesenheit der Instandhaltung ist wichtiger, als Teams oft erwarten: Sie wissen, welche Schutzmaßnahmen tatsächlich geprüft, umgangen oder chronisch fehlerhaft sind.
Die Lücke wird als erforderliche zusätzliche Risikoreduzierung ausgedrückt, die typischerweise in einer neuen oder aufgerüsteten sicherheitsinstrumentierten Funktion mit einem Ziel-Integritätslevel, einer inhärent sichereren Designänderung oder einer zusätzlichen unabhängigen Schicht mündet. Die Umsetzung ist Ingenieursarbeit, die bis zum Abschluss verfolgt wird.
Möchten Sie Nachweisprüfungen und sicherheitskritische Arbeitsaufträge, die nie stillschweigend verfallen? Buchen Sie eine Fabrico-Demo, um zu sehen, wie präventive Terminplanung und die Anlagenhistorie Ihre Schutzschichten tatsächlich aufrechterhalten.
Anmeldung
Blog