Analiza warstw ochrony (LOPA) to półilościowa metoda bezpieczeństwa procesowego, która odpowiada na pytanie pozostawione otwartym przez badania zagrożeń: czy zabezpieczenia wokół niebezpiecznego scenariusza są rzeczywiście wystarczające? Analizuje po jednym scenariuszu, szacuje, jak często występuje zdarzenie inicjujące, mnoży przez prawdopodobieństwa awarii każdej niezależnej warstwy ochronnej i porównuje otrzymaną częstotliwość z akceptowalnym celem ryzyka, wszystko w przejrzystych rzędach wielkości.
HAZOP doskonale wykrywa scenariusze: jakie odchylenia mogą wystąpić i co może z nich wyniknąć. Jest z założenia jakościowy. LOPA przejmuje scenariusze, które wydają się poważne, i zadaje ilościowe pytania uzupełniające: częstotliwość przyczyny inicjującej, nasilenie skutków oraz ile redukcji ryzyka rzeczywiście dają istniejące warstwy. Pełna ilościowa ocena ryzyka idzie jeszcze dalej, ale LOPA zajmuje środkową pozycję i działa wystarczająco szybko, by stosować ją w kilkudziesięciu scenariuszach na jednostkę.
Nie każdy środek ochronny kwalifikuje się. IPL musi być niezależna od przyczyny inicjującej i od innych warstw, skuteczna przeciwko danemu scenariuszowi oraz możliwa do audytu. Podstawowa pętla sterowania, alarm z uznanym działaniem operatora, funkcja bezpieczeństwa, zawór upustowy i wał przeciwpowodziowy mogą każda stanowić IPL. Dwa alarmy trafiające do tego samego przeciążonego operatora nie są dwiema warstwami, a zabezpieczenie, które dzieli uszkodzony czujnik z przyczyną inicjującą, jest warte nic.
Scenariusz: utrata chłodzenia w reaktorze egzotermicznym prowadząca do niekontrolowanego przyrostu temperatury i pęknięcia. Zdarzenie inicjujące: awaria pompy chłodziwa, szacowana raz na 10 lat (0,1 rocznie). Warstwy: alarm wysokiej temperatury z uznanym działaniem operatora, prawdopodobieństwo awarii na żądanie 0,1; funkcja bezpieczeństwa (SIF), która uruchamia chłodzenie awaryjne, PFD 0,01; system upustowy dobrany do tego przypadku, PFD 0,01. Zredukowana częstotliwość: 0,1 x 0,1 x 0,01 x 0,01 = 0,000001 rocznie, raz na milion lat. Jeśli korporacyjny cel dla tej klasy skutków to raz na sto tysięcy lat, scenariusz przechodzi z zapasem rzędu dziesięciu; gdyby SIF nie istniał, zabrakłoby rzędu dziesięciu i trzeba by coś dodać lub poprawić. Arytmetyka jest celowo prosta; trudniejsza jest uczciwość w ocenie niezależności.
Każde PFD w tym mnożeniu zakłada, że warstwa jest testowana i utrzymywana: zawory upustowe są inspektowane, testy dowodowe SIF wykonywane zgodnie z harmonogramem, alarmy działają i nie są trwale potwierdzone. Kredyt LOPA przyjęty na papierze, nigdy niepotwierdzony w zakładzie, to fikcja z przecinkiem dziesiętnym. To właśnie miejsce, gdzie bezpieczeństwo procesowe spotyka się z codzienną dyscypliną utrzymania ruchu: zaległe testy dowodowe i obejścia wyłączeń nie są drobiazgami, to brakujące warstwy ochronne. Zmiany w jakiejkolwiek uznanej warstwie muszą również przejść przez zarządzanie zmianą, inaczej analiza przestaje cicho opisywać zakład.
Fabrico nie jest narzędziem do analiz bezpieczeństwa procesowego i nie wykonuje LOPA. To, co chroni, to założenie leżące u podstaw każdej uznanej warstwy: że testy i konserwacja rzeczywiście się odbywają. Testy dowodowe, inspekcje zaworów upustowych i kontrole blokad uruchamiają się jako zaplanowane zlecenia robocze z dowodami wykonania; zalegające prace krytyczne dla bezpieczeństwa są widoczne zamiast ukrytych; a historia aktywów pokazuje każdy wynik testu, gdy audyt tego wymaga. Studium bezpieczeństwa pozostaje na biurku inżyniera ds. bezpieczeństwa; dyscyplina, która utrzymuje jego prawdziwość, żyje w CMMS. Wybudowane w UE, z lokalizacją danych w UE.
LOPA czerpie scenariusze z badania zagrożeń: zobacz HAZOP vs LOPA, jak te dwie metody współgrają.
Macierz ryzyka ocenia prawdopodobieństwo i nasilenie w sposób ocenowy w jednym kroku. LOPA rozkłada prawdopodobieństwo na częstotliwość zdarzenia inicjującego oraz wyraźne prawdopodobieństwa awarii dla każdej warstwy ochronnej, co ujawnia dokładnie, skąd pochodzi redukcja ryzyka i co się stanie, jeśli warstwa ulegnie degradacji.
Przeszkolony facylitator, inżynieria procesowa, eksploatacja, automatyka i aparatura oraz utrzymanie ruchu. Obecność zespołu utrzymania ruchu ma większe znaczenie, niż zespoły się spodziewają: oni wiedzą, które zabezpieczenia są rzeczywiście testowane, obejściowe lub przewlekle zawodzą.
Różnica jest wyrażana jako wymagana dodatkowa redukcja ryzyka, która zazwyczaj przyjmuje formę nowej lub zmodernizowanej funkcji bezpieczeństwa (SIF) z docelowym poziomem integralności, zmiany projektu zwiększającej inherentne bezpieczeństwo lub dodatkowej niezależnej warstwy. Dalsze działania to prace inżynieryjne, śledzone aż do zamknięcia.
Chcesz, aby testy dowodowe i zlecenia robocze krytyczne dla bezpieczeństwa nigdy nie wygasały po cichu? Zarezerwuj demo Fabrico, aby zobaczyć, jak planowanie prewencyjne i historia aktywów utrzymują twoje warstwy ochronne w rzeczywistości.
Zaloguj
Blog
