Layer of Protection Analysis (LOPA) est une méthode semi-quantitative de sécurité des procédés qui répond à une question que les études de dangers laissent ouverte: les dispositifs de protection autour d'un scénario dangereux sont-ils réellement suffisants ?
Elle prend un scénario à la fois, estime la fréquence de l'événement initiateur, multiplie par les probabilités de défaillance de chaque couche de protection indépendante, et compare la fréquence résultante à un objectif de risque tolérable, le tout en ordres de grandeur transparents.
Un HAZOP est excellent pour identifier les scénarios: quelles déviations peuvent survenir et quelles conséquences peuvent en découler. Il est qualitatif par nature.
Le LOPA reprend les scénarios qui semblent graves et pose la question quantitative: la fréquence de la cause initiatrice, la gravité des conséquences, et combien de réduction du risque les couches existantes apportent réellement.
Une analyse quantitative complète va encore plus loin, mais le LOPA couvre le terrain intermédiaire assez rapidement pour s'appliquer à des dizaines de scénarios par unité.
Toute mesure de protection ne se qualifie pas. Une IPL doit être indépendante de la cause initiatrice et des autres couches, efficace contre le scénario spécifique, et auditable .
Une boucle de contrôle basique, une alarme assortie d'une action opérateur créditée, une fonction instrumentée de sécurité, une soupape de décharge et une digue peuvent chacune être des IPL.
Deux alarmes aboutissant au même opérateur surchargé ne font pas deux couches, et une mesure de protection qui partage le capteur défaillant avec la cause initiatrice ne vaut rien.
Scénario: perte du refroidissement d'un réacteur exothermique entraînant un emballement thermique et une rupture. Événement initiateur: panne de la pompe d'eau de refroidissement, estimée à une fois tous les 10 ans (0,1 par an).
Couches: l'alarme haute température avec action opérateur créditée, probabilité de défaillance à la demande 0,1; une fonction instrumentée de sécurité qui déverse un quench, PFD 0,01; le système de décharge dimensionné pour le cas, PFD 0,01.
Fréquence atténuée: 0,1 x 0,1 x 0,01 x 0,01 = 0,000001 par an, soit une fois par million d'années.
Si l'objectif de l'entreprise pour cette classe de conséquences est d'une fois tous les cent mille ans, le scénario est conforme avec un facteur dix de marge; si la fonction instrumentée de sécurité n'existait pas, il échouerait d'un facteur dix et il faudrait ajouter ou améliorer quelque chose.
L'arithmétique est délibérément simple; l'honnêteté sur l'indépendance est la partie difficile.
Chaque PFD dans cette multiplication suppose que la couche est testée et entretenue: soupapes de décharge inspectées, tests de vérification programmés de la fonction instrumentée de sécurité réalisés selon le calendrier, alarmes fonctionnelles et non reconnues en permanence.
Un crédit LOPA accordé sur le papier et jamais vérifié sur le terrain est une fiction avec une virgule.
C'est là que la sécurité des procédés rencontre la discipline quotidienne de la maintenance: des tests de vérification en retard et des déclenchements contournés ne sont pas de simples détails d'entretien, ce sont des couches de protection manquantes.
Les changements à toute couche créditée doivent également transiter par la gestion des modifications , sinon l'analyse cesse silencieusement de décrire l'usine.
Fabrico n'est pas un outil d'analyse de sécurité des procédés et n'effectue pas de LOPA. Ce qu'il protège, c'est l'hypothèse sous-jacente à chaque couche créditée: que les tests et la maintenance ont bien lieu.
Les tests de vérification, les inspections des soupapes de décharge et les vérifications des interlocks s'exécutent sous forme d'ordres de travail programmés avec preuve d'achèvement; les travaux critiques pour la sécurité en retard sont visibles au lieu d'être enfouis; et l'historique des actifs montre chaque résultat de test lorsque l'audit le demande.
L'étude de sécurité reste sur le bureau de l'ingénieur sécurité; la discipline qui la maintient vraie vit dans la GMAO (CMMS). Conçu dans l'UE, avec résidence des données dans l'UE.
Le LOPA puise ses scénarios dans une étude de dangers : voir HAZOP vs LOPA pour comprendre comment les deux s'articulent.
Une matrice de risque évalue la vraisemblance et la gravité de manière subjective en une seule étape. Le LOPA décompose la vraisemblance en une fréquence initiatrice et des probabilités de défaillance explicites par couche de protection, ce qui met en évidence précisément d'où provient la réduction du risque et ce qui se passe si une couche se dégrade.
Un animateur formé, les ingénieries procédé, l'exploitation, l'instrumentation et la régulation, et la maintenance. La présence de la maintenance est plus importante que les équipes ne l'imaginent : elle sait quelles protections sont réellement testées, contournées ou en défaillance chronique.
L'écart s'exprime en réduction de risque supplémentaire requise, qui se traduit typiquement par une nouvelle fonction instrumentée de sécurité ou une fonction améliorée avec un niveau d'intégrité cible, un changement de conception intrinsèquement plus sûr, ou une couche indépendante supplémentaire. Le suivi est un travail d'ingénierie, tracé jusqu'à la clôture.
Vous voulez des tests de vérification et des ordres de travail critiques pour la sécurité qui ne sont jamais laissés à l'abandon ? Réservez une démo Fabrico pour voir comment la planification préventive et l'historique des actifs maintiennent vos couches de protection réelles.
Connexion
Blog
