Cómo hacer un análisis LOPA para definir el SIL de un SIS
LOPA (Layer of Protection Analysis) es el método más usado en la industria para decidir si un escenario de riesgo necesita un Sistema Instrumentado de Seguridad (SIS) y con qué nivel de integridad (SIL). Estos son los pasos, con un ejemplo numérico simplificado.
Paso 1: Identificar el escenario de riesgo a partir del HAZOP
LOPA no reemplaza al HAZOP: lo continúa. Cada desviación del HAZOP con consecuencia severa (daño a personas, ambiente o activos mayores) se convierte en un “escenario LOPA” con una causa iniciadora identificada (ej. falla de válvula de control en posición abierta que sobrepresuriza un reactor).
Paso 2: Estimar la frecuencia del evento iniciador
Se usan valores de frecuencia genéricos por tipo de falla (bases de datos como OREDA, ISA-TR84 o históricos propios de planta). Ejemplo típico: falla de válvula de control ≈ 0,1 eventos/año.
Paso 3: Identificar las capas de protección independientes (IPL)
Cada capa debe ser independiente del evento iniciador y de las demás capas (auditable, con factor de reducción de riesgo conocido). Capas típicas:
| Capa de protección (IPL) | PFD típico |
|---|---|
| Control básico de proceso (BPCS) — si es independiente de la causa | 0,1 |
| Alarma con respuesta operador | 0,1 |
| Válvula de alivio (PSV) dimensionada | 0,01 |
| Contención física / dique | 0,01 (según diseño) |
PFD = Probabilidad de Falla en Demanda. A menor PFD, mayor reducción de riesgo aporta esa capa.
Paso 4: Calcular la frecuencia mitigada sin el SIS
Frecuencia mitigada = Frecuencia del iniciador × PFD de cada IPL existente (multiplicando todas las capas independientes ya presentes, sin contar el SIS que se está evaluando).
Ejemplo: 0,1 eventos/año × 0,1 (BPCS independiente) × 0,1 (alarma+operador) = 0,001 eventos/año sin considerar el SIS.
Paso 5: Comparar contra el criterio de riesgo tolerable
Cada empresa define su frecuencia tolerable para cada categoría de consecuencia (ej. 1×10⁻⁴/año para consecuencia “un fatality potencial”). Si la frecuencia mitigada del Paso 4 sigue por encima del criterio tolerable, se necesita reducción adicional: ahí entra el SIS.
Paso 6: Determinar el SIL requerido para el SIS
La reducción de riesgo que todavía falta cubrir define directamente el SIL del sistema instrumentado de seguridad.
| Reducción de riesgo requerida (RRF) | SIL correspondiente | PFD objetivo |
|---|---|---|
| 10 a 100 | SIL 1 | 10⁻¹ a 10⁻² |
| 100 a 1.000 | SIL 2 | 10⁻² a 10⁻³ |
| 1.000 a 10.000 | SIL 3 | 10⁻³ a 10⁻⁴ |
RRF (Risk Reduction Factor) = frecuencia mitigada del Paso 4 ÷ frecuencia tolerable objetivo. El SIL resultante define la arquitectura del SIS (1oo1, 1oo2, 2oo3) y el nivel de sensores/lógica/actuadores certificados según IEC 61511 / IEC 61508.
Paso 7: Documentar y validar en un workshop multidisciplinario
El LOPA se hace en equipo: proceso, seguridad de proceso, instrumentación y operaciones. Cada IPL propuesta debe cumplir los criterios de independencia, auditabilidad, especificidad y confiabilidad de IEC 61511 — no alcanza con “creer” que una capa reduce el riesgo, hay que poder demostrarlo.
Preguntas frecuentes
¿LOPA reemplaza al HAZOP?
No. El HAZOP identifica desviaciones y causas; LOPA cuantifica el riesgo de los escenarios más severos identificados en el HAZOP y decide si se necesita un SIS. Son metodologías complementarias, en ese orden.
¿El BPCS siempre cuenta como capa de protección?
Solo si es independiente de la causa iniciadora del escenario. Si el mismo lazo de control que causó la desviación es el que debería “protegerte”, no cuenta como IPL independiente.
¿Qué pasa si el SIL requerido es SIL 3 o más?
SIL 3 exige arquitecturas redundantes (1oo2 o 2oo3), sensores y elementos finales certificados SIL, y un ciclo de vida de seguridad completo según IEC 61511. Es habitual replantear el diseño del proceso para reducir el riesgo inherente antes de llegar a SIL 3.
¿Necesitás definir el SIL de un lazo de seguridad?
Acompañamos el workshop LOPA y especificamos el SIS (sensores, lógica, válvulas) según IEC 61511.