Méthode LOPA : définition, étapes et exemple d’analyse

La démarche LOPA se déploie selon une séquence logique en six étapes. Chaque étape s’appuie sur les données issues d’analyses précédentes (le plus souvent HAZOP) et permet de transformer un raisonnement qualitatif en une validation quantitative de la maîtrise du risque.

Étape 1 : Définir le scénario étudié

On sélectionne un scénario dangereux identifié comme critique lors de l’analyse HAZOP ou APR. Il est important de formuler clairement :

• l’événement initiateur (ex. : défaillance d’un capteur de température),
• le cheminement d’évolution du scénario (ex. : montée en pression dans le réacteur),
• l’événement redouté (ex. : rupture de l’équipement → explosion).

Exemple : un excès de réactif A dans une cuve de mélange peut générer une réaction incontrôlée menant à une surpression.

Étape 2 : Estimer la fréquence de l’événement initiateur

On attribue une fréquence annuelle d’occurrence à l’événement initiateur, à partir :

• de données de retour d’expérience (ex. : bases OREDA, ARIA),
• de taux de défaillance estimés (PFD, MTBF…),
• ou d’hypothèses conservatrices.

Exemple : défaillance d’un débitmètre → 1/100 an = 10⁻²/an

Étape 3 : Identifier les couches de protection indépendantes (IPL)

On recense les barrières de sécurité efficaces, indépendantes et vérifiables, capables d’interrompre le scénario avant l’événement redouté.
Chaque barrière est caractérisée par sa valeur de réduction de la probabilité (PFD – Probability of Failure on Demand).

Exemples de barrières valides :

• Interlock automatique avec capteur dédié
• Soupape de sécurité
• Alarme avec intervention opérateur rapide
• Cloisonnement d’un local ATEX

Une barrière n’est prise en compte que si elle est fonctionnelle, indépendante, et testée régulièrement.

Étape 4 : Calculer le risque résiduel

Une fois la fréquence de l’événement initiateur et les performances des différentes couches de protection indépendantes (IPL) déterminées, la LOPA permet d’estimer la fréquence de la conséquence étudiée.

Dans une approche simplifiée, le calcul est le suivant :

Fréquence de la conséquence = Fréquence de l’événement initiateur × PFD₁ × PFD₂ × … × PFDₙ

Chaque PFD (Probability of Failure on Demand) représente la probabilité qu’une couche de protection indépendante ne remplisse pas sa fonction lorsqu’elle est sollicitée.

Exemple :

• Fréquence de l’événement initiateur : 10⁻²/an
• Barrière 1 : interlock automatique → PFD = 10⁻¹
• Barrière 2 : soupape de sécurité → PFD = 10⁻²

La fréquence calculée de la conséquence devient :

10⁻² × 10⁻¹ × 10⁻² = 10⁻⁵/an

La prise en compte de ces deux couches de protection permet donc de faire passer la fréquence du scénario considéré de 10⁻²/an à 10⁻⁵/an, sous réserve que les deux barrières répondent effectivement aux critères permettant de les considérer comme des IPL indépendantes.

Cette fréquence pourra ensuite être comparée, à l’étape suivante, au critère de tolérabilité défini pour la conséquence étudiée.

Attention : une LOPA réelle peut également intégrer des enabling conditions et des modificateurs conditionnels selon la construction du scénario. La multiplication des seules PFD présentée ici correspond à une représentation simplifiée de la méthode.

Étape 5 : Comparer au critère de risque tolérable

On compare le résultat obtenu à un seuil d’acceptabilité prédéfini, en général issu de la politique de sécurité de l’entreprise ou des exigences réglementaires.

Exemples :

• Risque tolérable pour un accident avec blessure grave : 10⁻³/an
• Risque tolérable pour un scénario mortel collectif : 10⁻⁵/an

🟠 Si le risque résiduel > seuil → barrières insuffisantes
🟢 Si le risque résiduel ≤ seuil → situation maîtrisée

Étape 6 : Ajuster les mesures si nécessaire

Lorsque la fréquence calculée de la conséquence reste supérieure au critère de tolérabilité retenu, des mesures supplémentaires doivent être envisagées.

Plusieurs possibilités peuvent être étudiées :

• réduire la fréquence de l’événement initiateur ;
• ajouter une nouvelle couche de protection indépendante (IPL) ;
• améliorer la performance d’une couche de protection existante ;
• mettre en place, lorsque cela est pertinent, une fonction instrumentée de sécurité (SIF) présentant le niveau d’intégrité requis.

Dans notre exemple, la fréquence calculée après prise en compte des deux IPL est de :

10⁻⁵/an

Si le critère de tolérabilité associé à la conséquence étudiée est également fixé à 10⁻⁵/an, les couches de protection prises en compte permettent d’atteindre la fréquence cible. Il n’est donc pas nécessaire d’ajouter une troisième IPL sur la seule base de ce calcul.

En revanche, si le résultat restait supérieur à la fréquence cible, la LOPA permettrait de déterminer le facteur de réduction du risque supplémentaire nécessaire et d’évaluer les mesures permettant de combler cet écart. C’est notamment cette logique qui peut conduire à définir une exigence de performance pour une fonction instrumentée de sécurité. Le CCPS décrit bien cette dernière étape comme l’évaluation du besoin d’une IPL supplémentaire après calcul de la fréquence de la conséquence.

Point important : atteindre mathématiquement la fréquence cible ne suffit pas à démontrer que le scénario est maîtrisé. Les barrières auxquelles un crédit est accordé doivent réellement satisfaire aux critères d’une IPL, notamment en matière d’indépendance, de fonctionnalité, d’intégrité, de fiabilité et d’auditabilité.

Récapitulatif dans un tableau LOPA simplifié :