HAZOP & LOPA

1 . Utilità dell’analisi HAZOP & LOPA

Per valutare al meglio i rischi di processo, è indispensabile integrare nella valutazione dei rischi metodi strutturati come HAZOP e LOPA, capaci di evidenziare deviazioni di processo, catene causali e barriere critiche che sfuggono all’analisi tradizionale del rischio macchina. Solo così è possibile ottenere una visione completa, dimostrabile e robusta della sicurezza, assicurando che ogni decisione progettuale sia fondata su un’analisi profonda del comportamento reale dell’impianto.

2. HAZOP

La metodologia HAZOP (Hazard and Operability Study) rappresenta un approccio strutturato e sistematico finalizzato all’analisi di un processo, con i seguenti principali obiettivi:

- Identificare i rischi connessi alle fasi di esercizio e manutenzione del sistema. Le fonti di pericolo individuate possono riguardare sia l’ambito locale dell’area in cui il processo è collocato, sia avere una portata più ampia, comprendendo ad esempio impatti ambientali di rilievo;

- Rilevare eventuali criticità operative del sistema, in particolare analizzando le cause di disfunzioni e deviazioni del processo produttivo che possano costituire potenziali situazioni di rischio.

Uno dei principali vantaggi derivanti dall’applicazione degli studi HAZOP consiste nel valore informativo che essi forniscono: l’identificazione sistematica dei pericoli e delle problematiche operative rappresenta un supporto fondamentale nella definizione delle misure correttive più appropriate.

Il fulcro dell’analisi HAZOP è costituito dall’impiego delle cosiddette “parole guida”, le quali consentono di esplorare in maniera sistematica le possibili deviazioni rispetto all’intento progettuale originario. A tal fine, il sistema in esame viene suddiviso in sezioni o “nodi”, ciascuna delle quali rappresenta un’unità funzionale per la quale è possibile definire chiaramente l’obiettivo progettuale.

La dimensione di ciascun nodo è generalmente correlata alla complessità del sistema e alla rilevanza potenziale delle conseguenze derivanti da eventuali deviazioni. Nei sistemi complessi o caratterizzati da elevati livelli di rischio atteso, si tende a suddividere il processo in nodi di dimensioni più ridotte per garantire una maggiore accuratezza dell’analisi. Al contrario, in presenza di sistemi semplici o a basso rischio, l’utilizzo di nodi più ampi consente di ottimizzare i tempi dell’indagine.

L’intento progettuale di ciascun nodo viene descritto in termini di variabili di processo (es. pressione, temperatura, portata), le quali rappresentano le caratteristiche fondamentali del sistema e costituiscono criteri naturali di segmentazione dell’analisi.

Per ogni variabile considerata, l’approccio HAZOP prevede l’esame sistematico delle possibili deviazioni dall’intento progettuale, utilizzando parole guida come “maggiore” o “minore” per stimolare un’esplorazione esaustiva degli scenari ipotizzabili. La valutazione delle conseguenze di tali deviazioni deve inizialmente essere effettuata prescindendo dalla presenza di sistemi di controllo, regolazione o sicurezza, che saranno eventualmente considerati in una fase successiva dell’analisi.

L’analisi HAZOP può includere anche una pre-ponderazione del rischio volta ad individuare quegli scenari per i quali è necessario un approfondimento LOPA utile a determinare matematicamente la necessità di ulteriori sistemi di riduzione del rischio, eventualmente attraverso funzioni di sicurezza (SIF) con un determinato livello di affidabilità (SIL). 

Una matrice di ponderazione rischio utilizzabile è quella dell’Annex C della IEC 61511-3. Questa si serve dei tre parametri “frequenza della causa, severità del danno in assenza di sistemi di controllo, numero di IPL Independent Protection Layers (da 1 a 3)”, per poi stabilire in quali casi è possibile che serva o è fondamentale definire ulteriori livelli di riduzione del rischio attraverso un’analisi LOPA; laddove non serve approfondire con una LOPA, significa che il rischio associato si può ritenere già opportunamente ridotto senza alcun approfondimento matematico.

2.1 Parametri di pre-ponderazione del rischio in fase di HAZOP

→ La frequenza deve essere associata alla causa della variazione del parametro sottoposto ad analisi ed è suddivisa in:

- BASSA: eventi come guasti multipli di diversi strumenti o valvole, errori umani multipli in un ambiente privo di stress o guasti spontanei di recipienti di processo. 

- MEDIA: eventi come guasti di strumenti e valvole doppi o rilasci importanti nelle aree di carico/scarico.

- ALTA: eventi come perdite di processo, guasti di singoli strumenti e valvole o errori umani che provocano piccoli rilasci di materiali pericolosi.

→ La severità del danno si divide in:

- MINORE: danni minori alle apparecchiature. Nessuna interruzione del processo. Lesioni temporanee al personale e danni all'ambiente.

- SERIA: danni alle apparecchiature. Breve arresto del processo. Gravi lesioni al personale e all'ambiente.

- GRAVE: danni su larga scala alle apparecchiature. Arresto del processo per lungo tempo. Conseguenze catastrofiche

→ Fra gli IPL da considerare nella pre-analisi del rischio ci sono:

- Design intrinsecamente sicuro

- Sistemi di controllo e regolazione

- Allarmi

- Misure di riduzione del rischio addizionali

3. LOPA

Il metodo LOPA (Layer of Protection Analysis) costituisce una tecnica di valutazione del rischio semplificata e di natura semi-quantitativa, finalizzata principalmente a determinare l’adeguatezza dei livelli di protezione presenti rispetto a uno specifico scenario incidentale. L’output dell’analisi consiste in una stima della frequenza o della probabilità di accadimento dell’evento indesiderato, ottenuta mediante calcoli probabilistici.

La metodologia LOPA si basa sui dati emersi durante l’analisi HAZOP, documentando le cause scatenanti (initiating events) e i relativi livelli di protezione atti a modificare il rischio. Tali informazioni consentono di stimare l’efficacia delle misure di controllo esistenti e di valutare l’eventuale necessità di ulteriori interventi di riduzione del rischio.

Il processo analitico ha inizio con l’identificazione preliminare dei pericoli e prosegue con la formalizzazione di ciascuno scenario tramite la registrazione della causa iniziale e dei livelli di protezione indipendenti (IPL – Independent Protection Layers) che agiscono per prevenire o mitigare l’evento pericoloso. Successivamente, si procede alla quantificazione della riduzione del rischio complessiva e alla determinazione del fabbisogno residuo di mitigazione. Qualora risulti necessario introdurre un ulteriore livello di protezione sotto forma di funzione strumentale di sicurezza (SIF – Safety Instrumented Function), il LOPA consente di definire il livello di integrità di sicurezza (SIL – Safety Integrity Level) richiesto per la specifica SIF.

A seconda della complessità dell’impianto e della gravità potenziale delle conseguenze, uno scenario può richiedere l’implementazione di uno o più livelli di protezione. Se la stima del rischio residuo risulta non accettabile rispetto ai criteri aziendali o normativi, si può procedere all’introduzione di ulteriori IPL.

La metodologia LOPA non prescrive direttamente quali IPL adottare né impone specifiche soluzioni progettuali, ma fornisce un supporto oggettivo alla selezione tra alternative di mitigazione del rischio. L’analisi è focalizzata su singoli scenari causa-conseguenza, analizzati uno alla volta. Gli IPL possono includere sistemi di controllo di base, dispositivi di sicurezza strumentata, valvole di sicurezza, oppure sistemi di allarme che attivano l’intervento dell’operatore.

L’analisi parte dalla probabilità di accadimento dell’evento iniziale (es. esplosione di un serbatoio per sovrapressione) e applica progressivamente i fattori di riduzione associati ai livelli di protezione. Ad esempio, assumendo una probabilità iniziale pari a 10⁻¹, la presenza di un sistema di controllo di processo di base (BPCS) può ridurre il rischio di un fattore 10. L’aggiunta di un sistema di sicurezza strumentato con valore medio di probabilità di guasto (PFDavg) pari a 3·10⁻³, e infine l’installazione di una valvola di sicurezza con Risk Reduction Factor (RRF) pari a 100, porta la probabilità complessiva di incidente a:

10⁻ ¹ × 10⁻ ¹ × 3·10⁻³ × 10⁻² = 3·10⁻⁷.

Tale calcolo è valido solo se ogni IPL è indipendente dagli altri. In caso contrario, è necessario tenere conto degli errori di causa comune, ossia dei guasti che possono interessare simultaneamente più dispositivi o sistemi a causa di un unico evento.