Wat is LOPA?
LOPA (Layer of Protection Analysis) is een semi-kwantitatieve methode voor risicobeoordeling die per gevaarlijk scenario berekent hoe vaak het ongewenste gevolg nog optreedt nadat alle onafhankelijke beschermingslagen hun werk hebben gedaan, en die uitkomst vergelijkt met een vooraf vastgesteld toelaatbaar risico. De methode rekent in ordes van grootte: frequenties en faalkansen worden afgerond op machten van tien. Zo bepaalt een team of de bestaande maatregelen volstaan of dat een extra laag nodig is, meestal een safety instrumented system met een bepaald SIL.
LOPA vertaalt de scenario’s uit een HAZOP naar een getal: hoeveel risicoreductie ontbreekt er nog, en welk SIL moet een nieuwe veiligheidsfunctie dus krijgen?
LOPA is in de jaren negentig ontstaan in de chemische industrie. Het Amerikaanse Center for Chemical Process Safety (CCPS) legde de methode in 2001 vast in Layer of Protection Analysis: Simplified Process Risk Assessment. Eind 2014 volgde een tweede CCPS-boek over initiërende gebeurtenissen en beschermingslagen, met uitgebreidere eisen en referentiewaarden.
🎯 Waarom gebruiken procesbedrijven LOPA?
Een HAZOP levert tientallen tot honderden scenario’s met oorzaken, gevolgen en bestaande beveiligingen, maar zegt niet of die beveiligingen genoeg zijn. Een volledige kwantitatieve risicoanalyse per scenario is te duur. LOPA zit daartussen en is daarmee een kerninstrument van procesveiligheid (safety). De methode helpt u om:
- Risicoreductie te onderbouwen - met een traceerbare berekening in plaats van een gevoel
- SIL-niveaus toe te wijzen - aan safety instrumented functions (SIF’s), zoals IEC 61511 vraagt
- Overbodige beveiligingen te herkennen - als het risico al ruim binnen het criterium valt, hoeft er geen extra SIF bij
- Zwakke plekken te vinden - beveiligingen die bij nader inzien niet onafhankelijk zijn of niet getest worden
- Keuzes vast te leggen - voor de inspectie, voor audits en voor latere wijzigingen via wijzigingsbeheer
Zowel IEC 61511-3 als IEC 61508-5 beschrijven LOPA in een informatieve bijlage, naast de kwalitatieve risicograaf. De methode is daarmee niet verplicht, maar wel de gangbare manier om de SIL-bepaling uit IEC 61508 en IEC 61511 uit te voeren.
🧱 Hoe werkt een LOPA-berekening?
Elk LOPA-scenario is één paar van oorzaak en gevolg. De kernformule vermenigvuldigt de frequentie van de oorzaak met de faalkans van elke beschermingslaag:
f(gevolg) = f(initiërende gebeurtenis) × kansfactoren × PFD₁ × PFD₂ × … × PFDₙ
- Initiërende gebeurtenis - de oorzaak, uitgedrukt in keren per jaar, bijvoorbeeld een falende regelkring of een pompafdichting die lekt
- Voorwaardelijke factoren - enabling conditions (het proces staat maar een deel van de tijd in de gevaarlijke toestand) en conditional modifiers (kans op ontsteking, op aanwezigheid van personeel, op dodelijk letsel)
- PFD per laag - de probability of failure on demand: de kans dat de laag faalt op het moment dat hij moet ingrijpen
- Toelaatbare frequentie - het bedrijfscriterium, bijvoorbeeld 10⁻⁵ per jaar voor een scenario met een mogelijk dodelijk slachtoffer
Is de berekende frequentie hoger dan het criterium, dan bepaalt de verhouding tussen beide de ontbrekende risicoreductie. Een tekort van factor 10 tot 100 vraagt een SIF met SIL 1, een tekort van 100 tot 1.000 SIL 2, en zo verder.
✅ Wanneer telt een maatregel als onafhankelijke beschermingslaag?
Niet elke beveiliging mag in LOPA meetellen. Een independent protection layer (IPL) moet aan strenge voorwaarden voldoen. CCPS noemt in de richtlijnen van 2014 onder meer:
- Onafhankelijk - de laag deelt geen sensor, logic solver, eindelement of voeding met de initiërende gebeurtenis of met een andere geclaimde laag
- Functioneel en specifiek - de laag kan het scenario daadwerkelijk stoppen, snel genoeg en met voldoende capaciteit
- Betrouwbaar en integer - de PFD is onderbouwd met ontwerp, faaldata en onderhoud
- Controleerbaar - de werking wordt periodiek getest en die tests worden vastgelegd
- Beschermd tegen toegang en wijziging - instellingen kunnen niet ongemerkt worden veranderd, fysiek of digitaal
Training, werkprocedures en wijzigingsbeheer zijn daarom geen IPL. Ze zijn wel nodig om echte IPL’s betrouwbaar te houden. Ook een mechanische beveiliging telt mee, hoewel die buiten de scope van functional safety-normen valt. Inherent veilig procesontwerp gaat nog een stap verder: een vat dat bestand is tegen de hoogst mogelijke druk, of een leiding die zo is gedimensioneerd dat een blokkade geen gevaar oplevert, kan het scenario volledig wegnemen in plaats van alleen de frequentie te verlagen.
| Beschermingslaag | Voorbeeld | Typische PFD |
|---|---|---|
| Basisbesturing (DCS of PLC) | Onafhankelijke regelkring die de afwijking corrigeert | 0,1 (IEC 61511 staat maximaal factor 10 toe) |
| Alarm met operatoringreep | Hoogdrukalarm in SCADA of DCS op een eigen meting, met voldoende reactietijd (vaak minimaal tien minuten) | 0,1 |
| Safety instrumented function | Drukmeting die via een safety PLC de toevoer afsluit | 0,1 tot 0,001 afhankelijk van SIL 1–3 |
| Mechanische drukontlasting | Overdrukventiel of breekplaat, juist gedimensioneerd | 0,01 |
| Opvangvoorziening | Tankput of opvangbak die een lekkage beperkt | 0,01 |
| Interlock in de basisbesturing | Pompstop bij laag niveau, in hetzelfde systeem als de regeling | 0,1, mits onafhankelijk van de oorzaak |
Alarmen zijn alleen een IPL als het alarmsysteem goed is ingericht volgens alarmmanagement en ISA-18.2. Een operator die in een alarmvloed honderden meldingen krijgt, haalt geen PFD van 0,1.
🧠 Hoe ziet een LOPA-voorbeeld eruit?
Neem een reactor waarvan de drukregeling via een regelklep de toevoer van stoom regelt. In de HAZOP is het scenario regelklep faalt open, druk loopt op, vat kan scheuren gevonden.
| Stap | Waarde | Toelichting |
|---|---|---|
| Initiërende gebeurtenis | 0,1 per jaar | Storing in de drukregelkring van de basisbesturing |
| Gevolg | Vatbreuk, mogelijk dodelijk slachtoffer | Ernstklasse uit de risicomatrix van het bedrijf |
| IPL 1: hoogdrukalarm | PFD 0,1 | Eigen drukmeting, los van de regelkring, met voldoende reactietijd |
| IPL 2: overdrukventiel | PFD 0,01 | Mechanisch, gedimensioneerd voor dit scenario en periodiek getest |
| Frequentie met bestaande lagen | 1 × 10⁻⁴ per jaar | 0,1 × 0,1 × 0,01, ofwel eens per 10.000 jaar |
| Toelaatbare frequentie | 1 × 10⁻⁵ per jaar | Bedrijfscriterium |
| Ontbrekende risicoreductie | Factor 10 | Nieuwe SIF met PFDavg ≤ 0,1: SIL 1 |
Twee lessen uit dit voorbeeld. Het hoogdrukalarm mag alleen meetellen omdat het een eigen meting heeft: draait het op dezelfde transmitter als de falende regelkring, dan is het niet onafhankelijk. En de oplossing hoeft niet altijd een SIF te zijn: een tweede, onafhankelijk overdrukventiel of een sterker vat kan het gat ook dichten.
🔄 Hoe verhoudt LOPA zich tot andere analysemethoden?
| Methode | Type | Wat levert het op? | Wanneer gebruiken? |
|---|---|---|---|
| HAZOP | Kwalitatief | Scenario’s, oorzaken, gevolgen, bestaande beveiligingen | Eerst, als bron voor LOPA |
| Risicograaf | Kwalitatief | Snelle SIL-schatting met parameters voor gevolg, blootstelling, vermijdbaarheid en aanspraakfrequentie | Screenen van functies met een laag SIL |
| LOPA | Semi-kwantitatief | Frequentie per scenario en ontbrekende risicoreductie | Standaard voor SIL-toewijzing |
| Foutenboom of QRA | Kwantitatief | Gedetailleerde kansberekening, inclusief gemeenschappelijke oorzaken | Complexe scenario’s of hoge SIL |
| BOW-TIE | Kwalitatief, visueel | Overzicht van oorzaken, barrières en gevolgen rond één topgebeurtenis | Communicatie en barrièrebeheer |
| FMEA | Componentgericht | Faalwijzen en effecten per onderdeel | Ontwerp van apparatuur en SIS-componenten |
LOPA is dus een filter. Scenario’s met een klein risico vallen al bij de HAZOP af, LOPA behandelt het grote middenveld, en alleen de lastigste scenario’s gaan door naar een volledige kwantitatieve analyse.
🧭 Hoe voert u een LOPA stap voor stap uit?
- Selecteer scenario’s - neem uit de HAZOP de scenario’s met ernstige gevolgen; elk scenario heeft precies één oorzaak en één gevolg.
- Bepaal de ernst en het criterium - classificeer het gevolg met de risicomatrix en lees de toelaatbare frequentie af.
- Kies de frequentie van de oorzaak - gebruik vaste bedrijfswaarden, zoals 0,1 per jaar voor een falende regelkring of 10⁻² tot 10⁻³ per keer voor een operatorfout bij een routinetaak.
- Benoem de IPL’s - toets elke beveiliging op onafhankelijkheid, effectiviteit en testbaarheid en ken alleen dan een PFD toe.
- Reken en vergelijk - vermenigvuldig, voeg voorwaardelijke factoren toe en bepaal het verschil met het criterium.
- Besluit en leg vast - kies een SIF met het juiste SIL of een andere maatregel, en neem de aannames op in de safety requirements specification.
- Houd het actueel - herhaal de LOPA bij procesaanpassingen en evalueer de aannames tijdens de periodieke herziening van de HAZOP.
In Nederland beschouwen inspecteurs bij Seveso-bedrijven IEC 61511 als stand der techniek, en daarmee ook een onderbouwde SIL-bepaling (zie Brzo en cybersecurity). Let op het verschil met externe veiligheid: de grens van 10⁻⁶ per jaar voor het plaatsgebonden risico bij kwetsbare gebouwen gaat over de omgeving, terwijl LOPA-criteria interne bedrijfscriteria per scenario zijn.
🔐 Wat betekent cybersecurity voor LOPA?
LOPA gaat uit van toevallige, onafhankelijke storingen. Een cyberaanval is precies het omgekeerde: een aanvaller kan tegelijk de regelkring verstoren, het alarm onderdrukken en de safety PLC uitschakelen. De malware TRITON richtte zich in 2017 op die laatste laag bij een petrochemische fabriek in Saoedi-Arabië. Dan klopt de vermenigvuldiging van PFD’s niet meer.
Daarom vraagt IEC 61511 sinds editie 2016 in clausule 8.2.4 een security-risicobeoordeling van het SIS. Die norm verwijst naar onder meer ISA TR84.00.09 en de IEC 62443-reeks; voor de indeling in zones en conduits gebruiken veel bedrijven inmiddels IEC 62443-3-2. In de praktijk betekent dit:
- Programmeerbare IPL’s afschermen - SIS in een eigen zone, wijzigingen alleen via een beheerde engineeringwerkplek
- Niet-hackbare lagen waarderen - overdrukventielen, breekplaten en opvangbakken blijven werken bij een aanval
- Aanvalsscenario’s toevoegen - bekijk welke HAZOP-scenario’s een aanvaller kan veroorzaken en welke lagen hij dan kan omzeilen
- Ontwerpkeuzes heroverwegen - Cyber-Informed Engineering gebruikt dezelfde scenario’s om digitale afhankelijkheden al in het ontwerp weg te nemen
Zo vult security de LOPA aan en wordt defense in depth ook digitaal waargemaakt.
❓ Veelgestelde vragen
Waar staat LOPA voor?
LOPA staat voor Layer of Protection Analysis. Het is een semi-kwantitatieve methode om per gevaarlijk scenario te bepalen of de onafhankelijke beschermingslagen het risico voldoende verlagen. De methode werd in 2001 door het CCPS vastgelegd.
Is LOPA verplicht volgens IEC 61511?
LOPA is niet verplicht volgens IEC 61511. De norm eist wel dat u de benodigde risicoreductie en het SIL van elke veiligheidsfunctie onderbouwt, en noemt LOPA en de risicograaf in het informatieve deel 3 als geschikte methoden. In de procesindustrie is LOPA daarvoor de meest toegepaste aanpak.
Wat is het verschil tussen een safeguard en een IPL?
Een safeguard is elke maatregel die een HAZOP-team noemt, van een procedure tot een veiligheidsklep. Een IPL is een safeguard die bovendien onafhankelijk, effectief en controleerbaar is, zodat hij in LOPA een PFD mag krijgen. Elke IPL is dus een safeguard, maar niet elke safeguard is een IPL.
Mag de basisbesturing meetellen in een LOPA?
De basisbesturing mag in LOPA als beschermingslaag meetellen, maar volgens IEC 61511 met hooguit een risicoreductie van factor 10. Bovendien mag de laag niet dezelfde componenten gebruiken als de initiërende gebeurtenis. Faalt de regelkring zelf, dan kan diezelfde regelkring het scenario niet stoppen.
Hoe lang duurt een LOPA-studie?
Een LOPA-studie duurt meestal enkele dagen tot enkele weken, afhankelijk van het aantal scenario’s uit de HAZOP. Het team bestaat doorgaans uit een procestechnoloog, een operator, een instrumentatiespecialist en een LOPA-voorzitter, vaak dezelfde mensen als bij de HAZOP. Goede voorbereiding met vaste bedrijfswaarden voor frequenties en PFD’s versnelt het proces sterk.
Houdt LOPA rekening met cyberaanvallen?
Een klassieke LOPA houdt geen rekening met cyberaanvallen, omdat de methode uitgaat van toevallige en onafhankelijke storingen. Een aanval kan meerdere programmeerbare lagen tegelijk uitschakelen. Daarom hoort naast LOPA een security-risicobeoordeling van het SIS volgens IEC 61511 clausule 8.2.4.
📌 Samengevat
LOPA berekent per scenario hoe vaak een gevaarlijk gevolg nog optreedt na alle onafhankelijke beschermingslagen, en bepaalt zo hoeveel extra risicoreductie en welk SIL nodig is. De methode vormt de brug tussen HAZOP en het SIS-ontwerp volgens IEC 61511. Haar kracht hangt af van eerlijke aannames over onafhankelijkheid, goed alarmmanagement en, sinds TRITON, een SIS dat ook digitaal beschermd is.