HAZOP et LOPA : comment le SIL est réellement déterminé

Deux méthodes, deux rôles

On confond souvent HAZOP et LOPA. Elles s’enchaînent mais ne répondent pas à la même question.

• HAZOP répond à : que peut-il mal tourner, et pourquoi ? C’est une analyse qualitative et exhaustive qui produit une liste de scénarios.
• LOPA répond à : ce scénario est-il assez couvert, et sinon de combien ? C’est une analyse semi-quantitative qui chiffre le besoin restant.

L’ordre est toujours le même : HAZOP d’abord, LOPA ensuite, sur les scénarios que HAZOP a jugés graves. LOPA sans HAZOP revient à chiffrer des scénarios qu’on n’a pas cherchés méthodiquement.

HAZOP : la revue par mots-guides

L’HAZOP (hazard and operability study, étude de dangers et d’exploitabilité) découpe l’installation en nœuds — un tronçon fonctionnel : une conduite entre deux équipements, un réacteur, un ballon avec ses entrées et sorties. Pour chaque nœud et chaque paramètre pertinent (débit, pression, température, niveau, composition), l’équipe applique des mots-guides :

Mot-guide	Sens	Exemple sur « débit »
Pas de	absence totale	pompe arrêtée, ligne bouchée
Plus de	augmentation	vanne bloquée ouverte, pompe survitesse
Moins de	diminution	filtre encrassé, fuite
Inverse	sens contraire	retour de produit, clapet défaillant
Partie de	composition altérée	perte d’un constituant
En plus de	contamination	entrée d’eau, d’air
Autre que	tout autre écart	mauvais produit, mauvais mode opératoire

Pour chaque déviation ainsi produite, l’équipe documente : les causes plausibles, les conséquences si rien n’arrête la dérive, les protections existantes, et une cotation du risque.

Deux conditions font la qualité d’un HAZOP, et aucune n’est technique. D’abord la composition de l’équipe : procédé, exploitation, instrumentation, maintenance, sécurité — un HAZOP fait par deux personnes du bureau d’études rate systématiquement les scénarios d’exploitation réelle. Ensuite les documents : schémas P&ID à jour. Un HAZOP mené sur des plans périmés valide une installation qui n’existe pas.

Point souvent négligé : on analyse la conséquence sans crédit de protection. La question n’est pas « que se passe-t-il ? » mais « que se passerait-il si rien ne fonctionnait ? ». C’est cette conséquence non atténuée qui alimente le calcul suivant.

LOPA : compter les couches

La LOPA (layer of protection analysis) reprend les scénarios graves et pose une arithmétique simple, en ordres de grandeur :

$f_{\text{résiduelle}} = f_{\text{initiateur}} \times \prod_i \mathrm{PFD}_i$

La fréquence de l’événement initiateur, multipliée par la probabilité de défaillance de chacune des couches indépendantes, donne la fréquence résiduelle de l’accident. On la compare au risque tolérable — un critère d’entreprise, typiquement de l’ordre de 10⁻⁴ à 10⁻⁵ par an pour un décès.

Si la fréquence résiduelle reste supérieure au tolérable, l’écart est ce que la fonction instrumentée doit apporter. Cet écart est le facteur de réduction de risque à couvrir, donc le SIL.

Fréquences d’initiateurs usuelles

Les valeurs employées en LOPA sont des ordres de grandeur consensuels, à ajuster avec les données du site :

Événement initiateur	Fréquence typique (par an)
Défaillance d’une boucle de régulation (BPCS)	10⁻¹
Erreur humaine sur tâche routinière	10⁻¹ à 10⁻²
Rupture de joint / petite fuite	10⁻²
Défaillance de pompe	10⁻¹
Rupture de capacité sous pression	10⁻⁵ à 10⁻⁶

Crédits de couches usuels

Couche de protection	PFD créditée
Système de conduite (BPCS), si indépendant	10⁻¹ (jamais mieux)
Alarme + action opérateur, avec temps suffisant	10⁻¹
Soupape de sûreté, disque de rupture	10⁻²
Cuvette de rétention, confinement	10⁻²
Fonction instrumentée de sécurité	selon le SIL visé

L’ordre de grandeur du crédit BPCS n’est pas une convention arbitraire : c’est la limite fixée par l’IEC 61511, qui refuse d’accorder plus d’un facteur 10 à un système de conduite non conçu selon la norme.

Les trois critères d’une couche indépendante

Une couche ne se crédite que si elle satisfait les trois critères d’une IPL (independent protection layer) :

Indépendante. Elle ne partage ni cause de défaillance ni composant avec l’événement initiateur ni avec les autres couches. Une alarme affichée par le même automate que celui dont la panne cause la demande n’est pas indépendante.

Efficace. Elle arrête réellement le scénario considéré — pas un scénario voisin. Une soupape dimensionnée pour une surpression thermique ne protège pas d’une surpression par réaction emballée, dont le débit est d’un autre ordre.

Auditable. On peut prouver qu’elle fonctionne : essais documentés, périodicité, traçabilité. Une protection qu’on ne teste pas ne se crédite pas.

Les pièges qui faussent le résultat

Créditer deux fois le même équipement. Le cas d’école : le BPCS provoque la demande et est crédité comme protection. Interdit, et pourtant fréquent quand la LOPA est remplie vite.

Surestimer l’opérateur. Le crédit d’une action humaine suppose une alarme claire, distincte du bruit d’alarmes ambiant, une procédure connue, un moyen d’agir, et du temps — au moins une dizaine de minutes en pratique. Sur un transitoire de trente secondes, l’opérateur n’est pas une couche.

Oublier les causes communes. Deux capteurs identiques, même fournisseur, même lot, même piquage, même colmatage : la redondance est apparente. C’est le facteur β du chapitre sur les architectures.

Prendre des fréquences génériques pour des vérités. Les tables publiées sont des points de départ. Un site avec un historique de défaillances a mieux : ses propres données.

Risk graph et matrice : les alternatives rapides

Deux autres méthodes sont admises pour attribuer un SIL :

• Le graphe de risque (risk graph) — un arbre de décision à quatre paramètres : conséquence, temps d’exposition, possibilité d’évitement, probabilité d’occurrence. Rapide, calibrable, mais fortement dépendant de la calibration retenue : deux entreprises appliquant le même graphe avec des calibrations différentes peuvent aboutir à des SIL séparés d’un niveau.
• La matrice de risque — gravité × fréquence, avec des cases donnant directement le SIL. Encore plus rapide, encore plus grossière.

Ces méthodes conviennent au dégrossissage ou aux scénarios simples. Dès que le résultat approche SIL 2 ou SIL 3, ou que plusieurs couches interviennent, la LOPA reste la méthode défendable devant un auditeur, parce qu’elle explicite chaque hypothèse.

Un exemple complet

Réacteur avec risque de surpression par emballement de réaction.

• Initiateur : défaillance de la régulation de refroidissement — 10⁻¹ par an
• Couche 1 : alarme haute température + intervention opérateur, quinze minutes disponibles — 10⁻¹
• Couche 2 : soupape de sûreté, dimensionnée pour ce scénario — 10⁻²
• Fréquence résiduelle sans SIS : 10⁻¹ × 10⁻¹ × 10⁻² = 10⁻⁴ par an
• Risque tolérable retenu : 10⁻⁵ par an

L’écart est d’un facteur 10. La fonction instrumentée doit donc apporter une réduction de risque de 10, soit une PFD moyenne de 10⁻¹ : c’est la frontière basse du SIL 1.

On note deux choses. D’abord, un SIL modeste suffit ici parce que deux couches non instrumentées portent déjà l’essentiel. Ensuite, si l’on découvre que la soupape n’est pas dimensionnée pour ce scénario précis — cas réel et fréquent — son crédit tombe, et la même fonction bascule en SIL 3. Toute la sensibilité du résultat tient à la qualité des hypothèses, pas à la finesse du calcul.

Le chapitre suivant traite de la question qui vient immédiatement après : comment construire une boucle qui atteint effectivement la PFD visée.