# HAZOP et LOPA : comment le SIL est réellement déterminé

> Le SIL sort d'une analyse structurée, pas d'une intuition. HAZOP identifie les scénarios dangereux avec des mots-guides ; LOPA les chiffre en comptant les couches de protection indépendantes. Méthode, crédits usuels et pièges qui faussent le résultat.

- Source : https://industryhub.site/fr/learn/safety/hazop-lopa-determination-sil
- Parcours : Sécurité fonctionnelle
- Niveau : Praticien
- Lecture : 11 min
- Langue : français

## En bref

HAZOP est une revue systématique par nœuds et mots-guides qui produit une liste de scénarios danger–cause–conséquence. LOPA reprend chaque scénario critique et le chiffre : fréquence de l'événement initiateur, multipliée par la probabilité de défaillance de chaque couche de protection indépendante, comparée au risque tolérable. L'écart restant définit le SIL de la fonction instrumentée.

## Deux méthodes, deux rôles

On confond souvent HAZOP et LOPA. Elles s'enchaînent mais ne répondent pas à la même question.

- **HAZOP** répond à : *que peut-il mal tourner, et pourquoi ?* C'est une analyse **qualitative** et exhaustive qui produit une liste de scénarios.
- **LOPA** répond à : *ce scénario est-il assez couvert, et sinon de combien ?* C'est une analyse **semi-quantitative** qui chiffre le besoin restant.

L'ordre est toujours le même : HAZOP d'abord, LOPA ensuite, sur les scénarios que HAZOP a jugés graves. LOPA sans HAZOP revient à chiffrer des scénarios qu'on n'a pas cherchés méthodiquement.

## HAZOP : la revue par mots-guides

L'**HAZOP** (*hazard and operability study*, étude de dangers et d'exploitabilité) découpe l'installation en **nœuds** — un tronçon fonctionnel : une conduite entre deux équipements, un réacteur, un ballon avec ses entrées et sorties. Pour chaque nœud et chaque paramètre pertinent (débit, pression, température, niveau, composition), l'équipe applique des **mots-guides** :

| Mot-guide | Sens | Exemple sur « débit » |
|---|---|---|
| Pas de | absence totale | pompe arrêtée, ligne bouchée |
| Plus de | augmentation | vanne bloquée ouverte, pompe survitesse |
| Moins de | diminution | filtre encrassé, fuite |
| Inverse | sens contraire | retour de produit, clapet défaillant |
| Partie de | composition altérée | perte d'un constituant |
| En plus de | contamination | entrée d'eau, d'air |
| Autre que | tout autre écart | mauvais produit, mauvais mode opératoire |

Pour chaque **déviation** ainsi produite, l'équipe documente : les **causes** plausibles, les **conséquences** si rien n'arrête la dérive, les **protections existantes**, et une **cotation** du risque.

Deux conditions font la qualité d'un HAZOP, et aucune n'est technique. D'abord la **composition de l'équipe** : procédé, exploitation, instrumentation, maintenance, sécurité — un HAZOP fait par deux personnes du bureau d'études rate systématiquement les scénarios d'exploitation réelle. Ensuite les **documents** : schémas P&ID à jour. Un HAZOP mené sur des plans périmés valide une installation qui n'existe pas.

Point souvent négligé : on analyse la conséquence **sans crédit de protection**. La question n'est pas « que se passe-t-il ? » mais « que se passerait-il si rien ne fonctionnait ? ». C'est cette conséquence non atténuée qui alimente le calcul suivant.

## LOPA : compter les couches

La **LOPA** (*layer of protection analysis*) reprend les scénarios graves et pose une arithmétique simple, en ordres de grandeur :

$$f_{\text{résiduelle}} = f_{\text{initiateur}} \times \prod_i \mathrm{PFD}_i$$

La fréquence de l'événement initiateur, multipliée par la probabilité de défaillance de chacune des couches indépendantes, donne la fréquence résiduelle de l'accident. On la compare au **risque tolérable** — un critère d'entreprise, typiquement de l'ordre de 10⁻⁴ à 10⁻⁵ par an pour un décès.

Si la fréquence résiduelle reste supérieure au tolérable, l'écart est ce que la fonction instrumentée doit apporter. Cet écart **est** le facteur de réduction de risque à couvrir, donc le SIL.

### Fréquences d'initiateurs usuelles

Les valeurs employées en LOPA sont des ordres de grandeur consensuels, à ajuster avec les données du site :

| Événement initiateur | Fréquence typique (par an) |
|---|---|
| Défaillance d'une boucle de régulation (BPCS) | 10⁻¹ |
| Erreur humaine sur tâche routinière | 10⁻¹ à 10⁻² |
| Rupture de joint / petite fuite | 10⁻² |
| Défaillance de pompe | 10⁻¹ |
| Rupture de capacité sous pression | 10⁻⁵ à 10⁻⁶ |

### Crédits de couches usuels

| Couche de protection | PFD créditée |
|---|---|
| Système de conduite (BPCS), si indépendant | 10⁻¹ (jamais mieux) |
| Alarme + action opérateur, avec temps suffisant | 10⁻¹ |
| Soupape de sûreté, disque de rupture | 10⁻² |
| Cuvette de rétention, confinement | 10⁻² |
| Fonction instrumentée de sécurité | selon le SIL visé |

L'ordre de grandeur du crédit BPCS n'est pas une convention arbitraire : c'est la limite fixée par l'[IEC 61511](/fr/standards/iec-61511), qui refuse d'accorder plus d'un facteur 10 à un système de conduite non conçu selon la norme.

## Les trois critères d'une couche indépendante

Une couche ne se crédite que si elle satisfait **les trois** critères d'une IPL (*independent protection layer*) :

**Indépendante.** Elle ne partage ni cause de défaillance ni composant avec l'événement initiateur ni avec les autres couches. Une alarme affichée par le même automate que celui dont la panne cause la demande n'est pas indépendante.

**Efficace.** Elle arrête réellement le scénario considéré — pas un scénario voisin. Une soupape dimensionnée pour une surpression thermique ne protège pas d'une surpression par réaction emballée, dont le débit est d'un autre ordre.

**Auditable.** On peut prouver qu'elle fonctionne : essais documentés, périodicité, traçabilité. Une protection qu'on ne teste pas ne se crédite pas.

## Les pièges qui faussent le résultat

**Créditer deux fois le même équipement.** Le cas d'école : le BPCS provoque la demande *et* est crédité comme protection. Interdit, et pourtant fréquent quand la LOPA est remplie vite.

**Surestimer l'opérateur.** Le crédit d'une action humaine suppose une alarme claire, distincte du bruit d'alarmes ambiant, une procédure connue, un moyen d'agir, et **du temps** — au moins une dizaine de minutes en pratique. Sur un transitoire de trente secondes, l'opérateur n'est pas une couche.

**Oublier les causes communes.** Deux capteurs identiques, même fournisseur, même lot, même piquage, même colmatage : la redondance est apparente. C'est le facteur β du chapitre sur les architectures.

**Prendre des fréquences génériques pour des vérités.** Les tables publiées sont des points de départ. Un site avec un historique de défaillances a mieux : ses propres données.

## Risk graph et matrice : les alternatives rapides

Deux autres méthodes sont admises pour attribuer un SIL :

- Le **graphe de risque** (*risk graph*) — un arbre de décision à quatre paramètres : conséquence, temps d'exposition, possibilité d'évitement, probabilité d'occurrence. Rapide, calibrable, mais fortement dépendant de la calibration retenue : deux entreprises appliquant le même graphe avec des calibrations différentes peuvent aboutir à des SIL séparés d'un niveau.
- La **matrice de risque** — gravité × fréquence, avec des cases donnant directement le SIL. Encore plus rapide, encore plus grossière.

Ces méthodes conviennent au dégrossissage ou aux scénarios simples. Dès que le résultat approche SIL 2 ou SIL 3, ou que plusieurs couches interviennent, la LOPA reste la méthode défendable devant un auditeur, parce qu'elle explicite chaque hypothèse.

## Un exemple complet

Réacteur avec risque de surpression par emballement de réaction.

- **Initiateur** : défaillance de la régulation de refroidissement — **10⁻¹ par an**
- **Couche 1** : alarme haute température + intervention opérateur, quinze minutes disponibles — **10⁻¹**
- **Couche 2** : soupape de sûreté, dimensionnée pour ce scénario — **10⁻²**
- Fréquence résiduelle sans SIS : 10⁻¹ × 10⁻¹ × 10⁻² = **10⁻⁴ par an**
- **Risque tolérable retenu** : 10⁻⁵ par an

L'écart est d'un facteur **10**. La fonction instrumentée doit donc apporter une réduction de risque de 10, soit une PFD moyenne de 10⁻¹ : c'est la frontière basse du **SIL 1**.

On note deux choses. D'abord, un SIL modeste suffit ici parce que **deux couches non instrumentées** portent déjà l'essentiel. Ensuite, si l'on découvre que la soupape n'est pas dimensionnée pour ce scénario précis — cas réel et fréquent — son crédit tombe, et la même fonction bascule en **SIL 3**. Toute la sensibilité du résultat tient à la qualité des hypothèses, pas à la finesse du calcul.

Le chapitre suivant traite de la question qui vient immédiatement après : comment construire une boucle qui atteint effectivement la PFD visée.

## À retenir

Une couche ne compte que si elle est indépendante, efficace et auditable — créditer une couche qui n'en est pas une est la façon la plus courante de sous-dimensionner une protection.