O que é LOPA
LOPA é a sigla de Layer of Protection Analysis, ou Análise de Camadas de Proteção. É uma metodologia semiquantitativa de análise de risco que responde a uma pergunta muito específica: para um determinado cenário de acidente, as camadas de proteção existentes reduzem a frequência do evento a um nível considerado tolerável, ou falta proteção?
A palavra "semiquantitativa" é o que define o lugar do LOPA. De um lado estão as análises qualitativas, como o HAZOP, que identificam perigos e classificam o risco em categorias (alto, médio, baixo) apoiadas no julgamento da equipe. Do outro lado está a Análise Quantitativa de Riscos (AQR, ou QRA), que modela consequências e frequências com detalhamento e trata cenários complexos com múltiplas causas. O LOPA fica no meio: usa ordens de grandeza em vez de valores exatos, trabalha com um único par causa-consequência por vez e chega a um número que pode ser comparado com um critério de tolerabilidade. É rápido o suficiente para ser aplicado a dezenas de cenários e rigoroso o suficiente para sustentar uma decisão de engenharia.
Na prática, o LOPA quase nunca começa do zero. Ele parte de cenários já levantados em um HAZOP ou estudo equivalente e serve para priorizar e dimensionar a proteção. É também a ferramenta padrão para determinar o nível de integridade de segurança (SIL) que um sistema instrumentado de segurança (SIS) precisa atingir, conforme a lógica das normas IEC 61511 e IEC 61508.
Um acidente só acontece quando um evento iniciador ocorre e todas as camadas de proteção falham ao mesmo tempo. O LOPA multiplica a frequência do iniciador pelas probabilidades de falha de cada camada independente e verifica se o resultado é baixo o suficiente. Se não for, faltam camadas.
Os seis passos do método
O fluxo de um estudo LOPA é enxuto e sempre segue a mesma lógica, o que é justamente o que o torna reproduzível entre analistas diferentes. Uma forma consolidada de descrever o método é em seis passos.
Os componentes de um cenário LOPA
Todo cenário LOPA é montado com um conjunto pequeno e bem definido de elementos. Entender cada um evita o erro mais comum da metodologia, que é dar crédito de proteção para algo que não merece.
Evento iniciador (IE)
É a falha ou o erro que dá partida na sequência do acidente. Pode ser a falha de uma malha de controle, o rompimento de uma tubulação, a falha de um selo de bomba, um erro humano em uma tarefa ou uma intervenção externa. O evento iniciador é caracterizado por uma frequência, expressa em ocorrências por ano.
Camada de Proteção Independente (IPL)
É uma barreira que, sozinha, é capaz de interromper a progressão do cenário do iniciador até a consequência. Cada IPL é caracterizada por um PFD (probabilidade de falha sob demanda). É o componente mais delicado do método, porque exige critérios rígidos, tratados na próxima seção.
Modificador condicional
É uma probabilidade que não faz parte da cadeia de falhas em si, mas afeta o desfecho. Geralmente está associada à parte pós-liberação do cenário: probabilidade de ignição de uma nuvem inflamável, probabilidade de haver pessoas na área exposta, probabilidade de que a exposição resulte em ferimento ou fatalidade. Entra na conta como um fator multiplicativo adicional.
Condição habilitadora
É uma situação que precisa estar presente ao mesmo tempo que o evento iniciador para que o cenário possa evoluir. Não causa o acidente por si só, mas é uma condição de contorno, por exemplo, uma operação que só ocorre parte do tempo, ou um modo específico do processo. Nem todo cenário LOPA tem condições habilitadoras ou modificadores condicionais.
Modificadores condicionais e condições habilitadoras reduzem a frequência calculada e, por isso, são exatamente onde a análise pode ser "maquiada" para fechar o número. Cada valor usado precisa ser justificável com dado ou premissa explícita, nunca escolhido para caber no resultado desejado.
O que faz de uma camada uma IPL
Aqui está o coração do LOPA. Uma instalação tem muitas "camadas de proteção", mas apenas algumas se qualificam como independentes para efeito de cálculo. Dar crédito a uma proteção que não é realmente independente é o que produz análises otimistas e perigosas. Uma IPL precisa reunir, ao mesmo tempo, os seguintes atributos.
- Independência. A camada não pode compartilhar componente, fonte de energia ou modo de falha com o evento iniciador nem com as outras IPLs do mesmo cenário. Se a mesma falha derruba duas camadas, elas contam como uma.
- Funcionalidade (eficácia). A camada precisa, de fato, ser capaz de deter aquele cenário específico. Uma proteção eficaz para sobrepressão pode ser irrelevante para um cenário de contaminação.
- Integridade. A camada precisa ter a robustez de projeto necessária para desempenhar sua função com a confiabilidade que o PFD atribuído pressupõe.
- Confiabilidade. O desempenho precisa ser demonstrável e sustentado ao longo do tempo, apoiado em dados e em manutenção adequada.
- Auditabilidade. Deve ser possível verificar, por inspeção e teste, que a camada está e permanece capaz de cumprir sua função.
- Segurança de acesso e gestão de mudança. A camada precisa ser protegida contra alterações não autorizadas e estar sob controle de gerenciamento de mudanças (MoC), para que seu crédito não seja silenciosamente perdido.
Na dúvida sobre creditar ou não uma camada, o mais defensável é não creditar. Um LOPA que exige uma camada a mais do que o estritamente necessário custa dinheiro; um LOPA que credita uma camada inexistente custa um acidente.
A matemática do LOPA
Apesar do nome intimidante, a conta do LOPA é uma multiplicação. A frequência da consequência mitigada é a frequência do evento iniciador reduzida por cada IPL e por cada modificador condicional.
Como quase tudo é expresso em ordens de grandeza (10⁻¹, 10⁻², 10⁻³), na prática o cálculo vira uma soma de expoentes. Um exemplo torna isso concreto. Suponha um cenário com evento iniciador de frequência 10⁻¹ por ano (uma vez a cada dez anos) protegido por duas IPLs independentes: um alarme com resposta do operador (PFD 10⁻¹) e uma válvula de alívio bem mantida (PFD 10⁻²).
Se o critério de risco tolerável da empresa para essa severidade for, por exemplo, 10⁻⁴ por ano, o cenário está exatamente no limite e nenhuma camada adicional é exigida. Se o critério fosse 10⁻⁵, faltaria um fator de 10 de redução, o que normalmente se resolve com um sistema instrumentado de segurança (SIS). A diferença entre a frequência calculada e a tolerável é o que define o fator de redução de risco necessário e, a partir dele, o SIL do SIS, conforme a IEC 61511.
Valores de referência: frequência e PFD
A pergunta que sempre aparece é: de onde saem os números? Frequências de eventos iniciadores e PFDs de IPLs vêm de três fontes, em ordem de preferência: dados da própria instalação, dados de bancos setoriais e valores típicos publicados na literatura. As tabelas abaixo trazem faixas de referência amplamente publicadas na literatura de segurança de processos, úteis como ponto de partida e para checagem de sanidade. Elas não substituem a justificativa específica de cada valor no seu estudo.
Frequências típicas de eventos iniciadores
| Evento iniciador (exemplo) | Faixa típica (por ano) |
|---|---|
| Falha de malha de controle do BPCS | 10⁻¹ a 10⁰ |
| Falha de regulador de pressão | 10⁻¹ |
| Falha de resfriamento (água de resfriamento) | 10⁻¹ |
| Vazamento de selo de bomba | 10⁻¹ a 10⁻² |
| Intervenção de terceiros (impacto externo) | 10⁻² |
| Falha catastrófica de tanque atmosférico | ~10⁻³ |
| Vazamento por ruptura de tubulação (por 100 m) | 10⁻⁵ a 10⁻⁶ |
| Ruptura de vaso de pressão | 10⁻⁵ a 10⁻⁶ |
| Erro humano (tarefa rotineira, bem treinado) | 10⁻¹ a 10⁻³ |
Faixas de ordem de grandeza consolidadas na literatura de segurança de processos (CCPS, Layer of Protection Analysis) e alinhadas à IEC 61511. Valores devem ser adaptados à realidade da instalação.
PFD típicos de camadas de proteção independentes
| IPL (exemplo) | PFD típico |
|---|---|
| BPCS utilizado como IPL (limite de crédito) | 10⁻¹ |
| Resposta humana a alarme (com tempo adequado) | 10⁻¹ |
| Válvula de retenção única | 10⁻¹ |
| Duas válvulas de retenção em série | 10⁻² |
| Válvula de alívio de pressão (PSV) bem mantida | 10⁻² |
| Disco de ruptura | 10⁻² |
| Bacia de contenção / dique | 10⁻² |
| SIS · SIL 1 | 10⁻¹ a 10⁻² |
| SIS · SIL 2 | 10⁻² a 10⁻³ |
| SIS · SIL 3 | 10⁻³ a 10⁻⁴ |
Faixas de PFD médio consolidadas na literatura (CCPS, Layer of Protection Analysis); as faixas de SIL correspondem à IEC 61511/IEC 61508. A IEC 61511 limita o crédito de um BPCS não certificado a um fator de 10 (PFD 10⁻¹).
Valores como probabilidade de ignição, probabilidade de pessoa presente na área e probabilidade de fatalidade também entram como fatores. Por serem muito dependentes do contexto (tipo de substância, layout, ocupação), devem ser estimados caso a caso e sempre documentados.
Onde consultar os dados completos
Os valores acima são pontos de partida. Para um estudo real, o ideal é ancorar cada frequência e cada PFD em uma fonte rastreável. Vale conhecer as principais bases e referências.
O CCPS (Center for Chemical Process Safety), ligado ao AIChE, mantém uma base colaborativa e crescente de eventos iniciadores e camadas de proteção, a chamada base LOPA. A lista de categorias de eventos iniciadores é pública e serve para organizar o raciocínio; alguns exemplos que aparecem nela são "vazamento em tubulação aérea", "falha catastrófica de tanque atmosférico", "falha de malha de controle do BPCS", "falha completa de selo de bomba primária" e "falha de válvulas de retenção em série". Os valores numéricos detalhados dessa base, porém, são um benefício restrito a funcionários de empresas associadas ao CCPS e exigem login. Vale a pena acessar diretamente para consultar a fonte original:
- CCPS LOPA Data, página principal da ferramenta.
- Initiating Events, lista de eventos iniciadores.
- Independent Protection Layers, camadas de proteção independentes.
- Conditional Modifiers e Enabling Conditions.
No campo normativo, as referências centrais são a série IEC 61511 (segurança funcional de sistemas instrumentados de segurança para a indústria de processo) e a IEC 61508 (norma-mãe de segurança funcional), que definem a lógica de SIL, PFD e fator de redução de risco usada na etapa final do LOPA. Somam-se a elas os guias do CCPS sobre LOPA e a série técnica ISA-TR84, que trata da aplicação de LOPA à determinação de SIL.
O valor do LOPA não está na tabela de números, e sim na disciplina de só creditar proteção que é real, independente e auditável. Os números apenas dão linguagem comum a essa disciplina.
Do julgamento à conta defensável
O LOPA não é mais rigoroso que uma AQR nem mais rico que um HAZOP. Sua força está no equilíbrio: com poucas ordens de grandeza e uma multiplicação simples, ele transforma a pergunta "as proteções bastam?" em um número que a equipe pode reproduzir, auditar e defender diante de um regulador ou de uma investigação.
Mas esse número só vale o que valem as premissas por trás dele. Uma frequência de iniciador mal justificada, ou uma camada creditada como independente sem que seja, produzem um resultado tranquilizador e falso. É por isso que um bom estudo LOPA depende menos da tabela de valores e mais do critério de quem conduz.
Se a sua instalação precisa determinar SIL, revisar créditos de IPL ou integrar LOPA aos estudos de HAZOP e SIS já existentes, a PSM Expert conduz essas análises com base rastreável e alinhada à IEC 61511.
Fontes e referências
- CCPS / AIChE. Layer of Protection Analysis: Simplified Process Risk Assessment e materiais associados da ferramenta LOPA Data (Center for Chemical Process Safety). Disponível em aiche.org/ccps/resources/tools/lopa.
- IEC 61511. Functional safety: Safety instrumented systems for the process industry sector (partes 1 a 3). International Electrotechnical Commission.
- IEC 61508. Functional safety of electrical/electronic/programmable electronic safety-related systems. International Electrotechnical Commission.
- ISA. Série técnica ISA-TR84 sobre aplicação de LOPA e sistemas instrumentados de segurança.