Análisis por Capas de Protección (LOPA) es un método semicuantitativo de seguridad de procesos que responde a una pregunta que dejan abiertas los estudios de peligros: ¿son las salvaguardias alrededor de un escenario peligroso realmente suficientes? Toma un escenario a la vez, estima con qué frecuencia ocurre el evento iniciador, multiplica las probabilidades de fallo de cada capa de protección independiente y compara la frecuencia resultante con un objetivo de riesgo tolerable, todo en órdenes de magnitud transparentes.
Un HAZOP es estupendo para encontrar escenarios: qué desviaciones pueden ocurrir y qué podría seguir. Es cualitativo por diseño. LOPA retoma los escenarios que parecen serios y plantea el seguimiento cuantitativo: frecuencia de la causa iniciadora, severidad de la consecuencia y cuánto reduce realmente el riesgo cada una de las capas existentes. La evaluación cuantitativa de riesgos completa profundiza aún más, pero LOPA cubre el terreno intermedio con suficiente rapidez como para aplicarse a decenas de escenarios por unidad.
No toda salvaguardia califica. Una capa de protección independiente (IPL) debe ser independiente de la causa iniciadora y de las demás capas, efectiva contra el escenario específico y auditable. Un lazo de control básico, una alarma con acción de operador acreditada, una función instrumentada de seguridad (SIF), una válvula de alivio y un dique pueden ser cada uno IPLs. Dos alarmas que recaen en el mismo operador sobrecargado no son dos capas, y una salvaguardia que comparte el sensor fallado con la causa iniciadora no vale nada.
Escenario: pérdida de refrigeración en un reactor exotérmico que conduce a una reacción incontrolada y rotura. Evento iniciador: fallo de la bomba de agua de refrigeración, estimado una vez cada 10 años (0,1 por año). Capas: la alarma de alta temperatura con acción de operador acreditada, probabilidad de fallo a la demanda (PFD) 0,1; una función instrumentada de seguridad que libera el agente de enfriamiento (quench), PFD 0,01; el sistema de alivio diseñado para el caso, PFD 0,01. Frecuencia mitigada: 0,1 × 0,1 × 0,01 × 0,01 = 0,000001 por año, una vez en un millón de años. Si el objetivo corporativo para esta clase de consecuencias es una vez cada cien mil años, el escenario aprueba con un factor de diez de margen; si la SIF no existiera, fallaría por un factor de diez y habría que añadir o mejorar algo. La aritmética es deliberadamente simple; la honestidad sobre la independencia es la parte difícil.
Cada PFD en esa multiplicación asume que la capa se prueba y mantiene: válvulas de alivio inspeccionadas, pruebas de comprobación de la SIF hechas según el calendario, alarmas funcionales y no silenciadas permanentemente. Un crédito de LOPA tomado en papel y nunca probado en la planta es ficción con un punto decimal. Aquí es donde la seguridad de procesos se encuentra con la disciplina cotidiana del mantenimiento: las pruebas de comprobación retrasadas y los dispositivos de paro anulados no son cuestiones de limpieza, son capas de protección ausentes. Los cambios en cualquier capa acreditada deben además pasar por la gestión del cambio, o el análisis deja silenciosamente de describir la planta.
Fabrico no es una herramienta de análisis de seguridad de procesos y no realiza LOPA. Lo que protege es la suposición subyacente a cada capa acreditada: que las pruebas y el mantenimiento realmente se llevan a cabo. Las pruebas de comprobación, las inspecciones de válvulas de alivio y las verificaciones de interbloqueo se gestionan como órdenes de trabajo programadas con evidencia de finalización; el trabajo crítico para la seguridad atrasado es visible en lugar de estar oculto; y el historial del activo muestra cada resultado de prueba cuando la auditoría lo solicita. El estudio de seguridad permanece en el escritorio del ingeniero de seguridad; la disciplina que lo mantiene veraz vive en el GMAO. Construido en la UE, con residencia de datos en la UE.
LOPA toma sus escenarios de un estudio de peligros: ver HAZOP vs LOPA para cómo encajan los dos.
Una matriz de riesgos puntúa probabilidad y severidad de forma subjetiva en un solo paso. LOPA descompone la probabilidad en una frecuencia iniciadora y en probabilidades explícitas de fallo por cada capa de protección, lo que expone exactamente de dónde proviene la reducción del riesgo y qué ocurre si una capa se degrada.
Un facilitador entrenado, ingeniería de procesos, operaciones, instrumentación y control, y mantenimiento. La presencia de mantenimiento importa más de lo que los equipos esperan: ellos saben qué salvaguardias se prueban realmente, cuáles están anuladas o fallando crónicamente.
La brecha se expresa como la reducción de riesgo adicional requerida, que típicamente se traduce en una nueva o mejorada función instrumentada de seguridad con un nivel de integridad objetivo, un cambio de diseño inherentemente más seguro o una capa independiente adicional. El seguimiento es trabajo de ingeniería, rastreado hasta su cierre.
¿Quiere pruebas de comprobación y órdenes de trabajo críticas para la seguridad que nunca caduquen en silencio? Reserve una demostración de Fabrico para ver cómo la programación preventiva y el historial de activos mantienen sus capas de protección reales.
Iniciar sesión
Blog
