LOPA — Layer of Protection Analysis: analisi dei livelli di protezione indipendenti

Definizione di LOPA

La Layer of Protection Analysis è una tecnica di analisi del rischio sviluppata dal Center for Chemical Process Safety (CCPS) dell'AIChE e descritta nella pubblicazione Layer of Protection Analysis: Simplified Process Risk Assessment. Si colloca tra le analisi qualitative (come la HAZOP) e le analisi quantitative complete (QRA), combinando la sistematicità della prima con la capacità di produrre stime numeriche della seconda, senza richiedere la modellazione probabilistica complessa tipica della QRA.

L'obiettivo della LOPA è determinare se il rischio associato a uno scenario incidentale è tollerabile, e in caso contrario individuare quanti e quali livelli di protezione indipendenti siano necessari per ridurlo al di sotto del target di rischio accettabile dell'organizzazione.

Il concetto di IPL (Independent Protection Layer)

Un IPL (livello di protezione indipendente)è un dispositivo, sistema o procedura in grado di prevenire o mitigare uno scenario incidentale in modo indipendente rispetto all'evento iniziatore e agli altri IPL. Per essere riconosciuto come tale, un IPL deve soddisfare tre caratteristiche fondamentali:

• Efficacia:deve essere in grado di prevenire la conseguenza indesiderata con un PFD sufficientemente basso (tipicamente compreso tra 10⁻¹ e 10⁻⁵ per richiesta).
• Indipendenza:il funzionamento dell'IPL non deve dipendere dall'evento iniziatore né dalla disponibilità degli altri IPL presenti nello scenario.
• Auditabilità:l'IPL deve essere verificabile, testabile e documentabile, in modo da confermare nel tempo il suo livello di prestazione.

Esempi tipici di IPL negli impianti di processo includono:

• SIS (Safety Instrumented System): sistemi strumentati di sicurezza conformi alla norma IEC 61511, composti da sensori, logica di controllo e attuatori finali dedicati alla funzione di sicurezza.
• PSV (Pressure Safety Valve):valvola di sicurezza tarata per aprirsi al superamento della pressione massima ammissibile, proteggendo l'apparecchiatura da una sovrapressione.
• Sistemi di contenimento: bacini di contenimento, muri di contenimento o vasche a tenuta che limitano la dispersione di sostanze pericolose in caso di sversamento o rottura.
• Procedure operative umane:azioni manuali correttive intraprese da un operatore in risposta a un allarme, riconosciute come IPL solo se il tempo di risposta disponibile, la diagnosticabilità e la formazione dell'operatore soddisfano criteri specifici (generalmente PFD non inferiore a 10⁻¹).
• Sistemi di rilevazione gas e incendio (F&G): rilevatori combinati con sistemi di allarme e soppressione che intervengono autonomamente dopo un rilascio.

Frequenza di iniziazione (IEF) e PFD degli IPL

Il punto di partenza di ogni scenario LOPA è la frequenza dell'evento iniziatore (IEF, Initiating Event Frequency), espressa in eventi per anno (eventi/anno). L'evento iniziatore è la causa iniziale che, senza la presenza degli IPL, porterebbe direttamente alla conseguenza indesiderata.

Valori tipici di IEF presenti nelle linee guida CCPS e IEC 61511:

• Guasto di una valvola di controllo in posizione aperta: 10⁻¹ per anno
• Guasto di un regolatore di pressione: 10⁻¹ per anno
• Errore di procedura umana (operazione di routine): 10⁻² per anno
• Guasto di una pompa: 10⁻¹ per anno
• Perdita di contenimento da tubazione (frattura completa): 10⁻⁶ per metro per anno

La PFD (Probability of Failure on Demand)di un IPL rappresenta la probabilità che l'IPL non risponda correttamente alla richiesta di intervento nel momento in cui si verifica l'evento iniziatore. La PFD è determinata dall'affidabilità del componente, dalla frequenza di prova e dal tempo di esposizione al guasto. Valori PFD tipici:

• SIS con SIL 1: PFD compreso tra 10⁻¹ e 10⁻²
• SIS con SIL 2: PFD compreso tra 10⁻² e 10⁻³
• SIS con SIL 3: PFD compreso tra 10⁻³ e 10⁻⁴
• Valvola di sicurezza PSV (progettata e mantenuta): 10⁻² tipico
• Azione umana correttiva con allarme e tempo adeguato: 10⁻¹ tipico

Come si esegue una LOPA: il foglio di lavoro

L'analisi LOPA è strutturata attorno a un foglio di lavoro standardizzato che consente di documentare ogni scenario in modo ordinato e verificabile. Le colonne principali sono:

• Scenario:descrizione sintetica dello scenario incidentale (es. "Sovrariempimento del serbatoio T-101 con conseguente trabocco e incendio").
• Evento iniziatore (IE):causa radice identificata (es. "guasto valvola di controllo di livello LCV-101 in posizione aperta").
• IEF:frequenza dell'evento iniziatore in eventi/anno (es. 10⁻¹/anno).
• IPL: elenco degli IPL applicabili allo scenario, ciascuno valutato in modo indipendente.
• PFD di ciascun IPL:probabilità di guasto su richiesta assegnata a ogni IPL (es. 10⁻² per una PSV, 10⁻² per un SIS SIL 2).
• Frequenza mitigata:risultato del calcolo IEF moltiplicato per le PFD di tutti gli IPL (es. 10⁻¹ x 10⁻² x 10⁻² = 10⁻⁵/anno).
• Target di frequenza tollerabile:valore soglia fissato dall'organizzazione (tipicamente 10⁻⁴ o 10⁻⁵ per anno per scenari con conseguenze gravi).

Se la frequenza mitigata è uguale o inferiore al target, lo scenario è considerato tollerabile. In caso contrario, è necessario aggiungere ulteriori IPL o migliorare il progetto impiantistico.

IEC 61511 e relazione con il SIL

La norma IEC 61511 (Functional safety — Safety instrumented systems for the process industry sector) è lo standard internazionale di riferimento per la progettazione, realizzazione, gestione e manutenzione dei SIS nell'industria di processo. La norma richiede che, prima di definire il requisito di SIL di una funzione strumentata di sicurezza (SIF), venga condotta un'analisi del rischio sistematica.

La LOPA è uno dei metodi più utilizzati per determinare il SIL richiesto: il gap tra la frequenza dell'evento iniziatore e il target di rischio, al netto degli IPL non-SIS già presenti, indica quanta riduzione del rischio deve essere fornita dalla funzione SIS e quindi quale SIL deve essere assegnato.

• SIL 1:fattore di riduzione del rischio (RRF) compreso tra 10 e 100 (PFD tra 10⁻¹ e 10⁻²).
• SIL 2:RRF compreso tra 100 e 1.000 (PFD tra 10⁻² e 10⁻³).
• SIL 3:RRF compreso tra 1.000 e 10.000 (PFD tra 10⁻³ e 10⁻⁴).

L'IEC 61511 richiede inoltre che il SIL assegnato sia verificato in fase di progetto tramite calcoli di affidabilità (es. analisi RBD o alberi di guasto) e che la funzione SIS sia testata con frequenza adeguata durante la vita operativa dell'impianto.

Applicazione in Italia: impianti Seveso III e settori regolamentati

In Italia la LOPA trova applicazione prevalente negli impianti soggetti alla normativa Seveso III (D.Lgs. 26 giugno 2015 n. 105), che recepisce la Direttiva 2012/18/UE e impone ai gestori di impianti a rischio di incidente rilevante (RIR) l'obbligo di effettuare una valutazione dei rischi adeguata e di dimostrare alle autorità competenti (ISPRA, ARPA, Prefettura, VVF) che i rischi sono mantenuti al di sotto dei livelli tollerabili.

I settori in cui la LOPA viene più frequentemente applicata sono:

• Raffinerie e petrolchimico: per la valutazione di scenari di perdita di contenimento di idrocarburi infiammabili o tossici.
• Industria chimica: per reattori esotermici, stoccaggi di sostanze pericolose e impianti di trattamento gas.
• Farmaceutico e biotech: per impianti con solventi infiammabili, reattori in pressione e sistemi di contenimento biologico.
• Impianti di trattamento acque e rifiuti: per scenari con cloro, ammoniaca e altri agenti tossici in stoccaggio.

Il rapporto di sicurezza (RS) previsto dall'art. 15 del D.Lgs. 105/2015 per gli stabilimenti di soglia superiore deve documentare la valutazione dei rischi con un livello di dettaglio sufficiente a giustificare l'adeguatezza delle misure di prevenzione e protezione adottate; la LOPA è spesso lo strumento scelto per fornire questa dimostrazione quantitativa.

LOPA, HAZOP e QRA: differenze e complementarità

Le tre metodologie operano su piani diversi e spesso vengono utilizzate in sequenza nello stesso progetto di valutazione del rischio:

• HAZOP (Hazard and Operability Study): analisi qualitativa sistematica che, mediante parole guida (More, Less, No, Reverse, Other than…), identifica i possibili deviazioni dal processo di progetto e le loro conseguenze. La HAZOP produce un elenco di scenari di pericolo ma non fornisce stime numeriche del rischio; è il punto di partenza da cui la LOPA riceve gli scenari da analizzare.
• LOPA: analisi semi-quantitativa che, a partire dagli scenari individuati dalla HAZOP, stima la frequenza residua attribuendo valori numerici a IEF e PFD degli IPL. Richiede sforzo moderato e produce risultati robusti per la maggioranza degli scenari industriali.
• QRA (Quantitative Risk Assessment): analisi completamente quantitativa che utilizza alberi di guasto (FTA), alberi degli eventi (ETA), modelli di dispersione e modelli di danno (effetti termici, sovrappressione) per calcolare il rischio individuale e sociale (curve F-N). La QRA è richiesta per stabilimenti Seveso di soglia superiore o quando le autorità richiedono una dimostrazione di rischio più approfondita; richiede risorse specialistiche significative e tempi di sviluppo più lunghi rispetto alla LOPA.

Il percorso tipico in un progetto di impianto industriale è: HAZOP per identificare gli scenari, LOPA per determinare i requisiti SIL e la tollerabilità del rischio, QRA per gli scenari critici residui o per la conformità regolatoria.