Què és LOPA
L’anàlisi de capes de protecció, conegut per les sigles LOPA, estudia un escenari d’accident de procés mitjançant una estimació de la seva freqüència i la contribució de proteccions específiques. Sol utilitzar-se després d’una identificació de perills per a aprofundir en escenaris que requereixen una decisió sobre reducció del risc.
El seu abast és més concret que el d’una avaluació general de llocs. Cada anàlisi necessita una seqüència definida, des d’un succés iniciador fins a una conseqüència. Si s’agrupen causes i resultats incompatibles en una mateixa fila, les estimacions perden sentit i pot atribuir-se protecció a equips que no actuen enfront d’aquest escenari.
Definir l’escenari i el succés iniciador
La descripció identifica les condicions d’operació, la desviació inicial i la conseqüència que es pretén evitar. El succés iniciador ha de tenir una freqüència estimable amb dades apropiades i una referència temporal clara. La seva selecció pot secundar-se en un HAZOP, en incidents o en altres estudis documentats.
És important distingir freqüència de fallada, freqüència de demanda i probabilitat. Tampoc han de sumar-se o multiplicar-se dades sense comprovar que representen el mateix. La font, la seva aplicabilitat a la instal·lació i les incerteses han de quedar registrades. Un valor procedent d’una altra indústria pot servir com a referència inicial i necessitar una justificació addicional.
Què és una capa de protecció independent
Una capa de protecció independent pot ser un dispositiu, sistema o acció capaç d’impedir que l’escenari aconsegueixi la conseqüència definida. Per a acreditar-la ha de funcionar amb independència de l’iniciador i d’altres capes considerades. A més, necessita una funció clara i un acompliment sustentat i verificable.
No totes les mesures d’un Bow-tie poden comptabilitzar-se automàticament com a capes independents. La formació general, una instrucció o una alarma sense resposta definida no reben crèdit numèric sol per estar esmentades. Han de revisar-se els requisits del mètode i les condicions específiques que permeten confiar en la seva actuació.
Dependències i doble comptabilització
Dues proteccions poden compartir sensor, alimentació, lògica, element final o intervenció d’una mateixa persona. En aquests casos cal estudiar si una causa comuna pot comprometre-les. L’aparença de redundància no demostra independència. Un arbre de fallades pot ajudar a examinar relacions que no es resolen amb una llista senzilla.
També pot existir doble comptabilització si una mesura ja està inclosa en la freqüència de l’iniciador i es torna a aplicar com a reducció addicional. La revisió ha de reconstruir què representa cada dada. Els supòsits sobre disponibilitat, manteniment i proves necessiten correspondre al que realment es fa en la instal·lació.
Estimació i criteris de decisió
En un esquema simplificat, la freqüència de l’escenari es combina amb probabilitats de fallada de les capes acreditades. El mètode pot considerar condicions habilitants o modificadors quan siguin pertinents i estiguin justificats. No han d’afegir-se factors per a aconseguir un resultat favorable ni ometre dependències rellevants.
El resultat es contrasta amb criteris de risc definits per a la decisió. LOPA no proporciona per si sola un llindar universal d’acceptabilitat ni substitueix les obligacions legals. Si s’identifica una necessitat addicional de reducció, la solució requereix disseny i validació adequats. L’assignació de requisits a sistemes instrumentats exigeix el desenvolupament tècnic corresponent.
Exemple pràctic
Com a exercici exclusivament didàctic, se suposa un iniciador amb freqüència de 0,1 per any i dues capes independents amb probabilitat de fallada en demanda de 0,1 cadascuna. Sota aquests supòsits simplificats, el producte és 0,001 per any. Els números són inventats per a mostrar l’operació i no serveixen com a dades de disseny.
Si totes dues capes depenen del mateix sensor, el càlcul anterior no pot acceptar-se com si fossin independents. Ha de revisar-se el model i la protecció realment disponible. L’exemple mostra per què el resultat numèric depèn de la qualitat de l’escenari, de les dades i de les relacions entre els seus elements. Si existeixen diversos iniciadors capaços de produir una conseqüència semblant, l’anàlisi ha de conservar la seva identificació i aplicar criteris coherents per a valorar el conjunt. Revisar una única seqüència no representa automàticament tot el risc de la instal·lació.
Mantenir l’acompliment de les capes
Les barreres crítiques necessiten comprovacions, manteniment i resposta quan fallen. Una estimació basada en proves periòdiques deixa de representar la realitat si aquestes proves no es realitzen o no cobreixen la funció completa. Han d’existir registres suficients per a demostrar l’acompliment que s’ha suposat.
La gestió del canvi ha de revisar modificacions d’equips, condicions i procediments. També importa la gestió d’anul·lacions temporals i d’indisponibilitats. Una capa acreditada en l’estudi no pot donar-se per disponible indefinidament sense verificar les condicions que van permetre assignar-li aquest crèdit.
Documentació i límits del mètode
L’informe conserva escenari, fonts, dades, supòsits, capes acreditades, dependències, criteris i decisions. Les incerteses rellevants han d’expressar-se amb claredat. La revisió per persones competents ajuda a detectar crèdits injustificats i omissions que un full de càlcul no pot resoldre per si sola.
LOPA és una eina de seguretat de processos, no una demostració automàtica de seguretat total. El seu valor està a fer explícita la relació entre escenari i protecció, i a sostenir les mesures que l’anàlisi considera necessàries durant tota la vida del procés.
