Sur un site Seveso, une raffinerie, une usine chimique ou une centrale nucléaire, démontrer qu'un risque est maîtrisé ne suffit plus. Il faut désormais quantifier la maîtrise — c'est-à-dire prouver, par le calcul, que la fréquence d'un scénario accidentel a été ramenée à un niveau acceptable.
C'est la mission de la LOPA (Layer Of Protection Analysis) : une méthode quantitative semi-empirique qui complète l'HAZOP qualitative, en chiffrant la fréquence d'occurrence d'un scénario indésirable et en validant le niveau d'intégrité de sécurité (SIL) requis pour la fonction instrumentée de sécurité (SIF).
Cette méthode, formalisée par la CCPS (Center for Chemical Process Safety) et adoptée par la norme IEC 61511 / 61508, est devenue en 2026 l'un des standards mondiaux de la sûreté de fonctionnement des process industriels.
Cet article décrit la LOPA pas à pas : principes, cadre normatif, identification des couches de protection (IPL), calcul de la PFD et conclusion sur le SIL requis. Avec un exemple chiffré complet.
1. Du danger au SIL : pourquoi LOPA ?
Toute analyse de risques industriels procède en deux temps : identification qualitative des scénarios dangereux (typiquement par HAZOP), puis évaluation du niveau de risque résiduel après prise en compte des barrières de sécurité existantes.
L'HAZOP, bien que puissante pour identifier les déviations process, reste qualitative. Elle ne dit pas si la combinaison « 5 vannes de sécurité + 2 alarmes + 1 SIF » est suffisante pour ramener la fréquence du scénario à un niveau acceptable. C'est ce que LOPA permet de chiffrer.
Le triptyque HAZOP → LOPA → SIL
HAZOP
Identification qualitative des déviations dangereuses (process, opérations) à partir de mots-clés (NO, MORE, LESS, AS WELL AS…).
LOPA
Quantification semi-empirique du risque résiduel, identification du gap, calcul du SIL cible pour la SIF correctrice.
SIL
Niveau d'intégrité de sécurité de la SIF (Safety Instrumented Function) : SIL 1 à SIL 4 selon la PFD requise.
Que dit le SIL ?
Le SIL (Safety Integrity Level) caractérise la fiabilité demandée à une fonction instrumentée de sécurité, exprimée par sa PFD (Probability of Failure on Demand) :
| Niveau SIL | PFD (low demand) | Réduction de risque (RRF) |
|---|---|---|
| SIL 1 | 10⁻¹ à 10⁻² | 10 à 100 |
| SIL 2 | 10⁻² à 10⁻³ | 100 à 1 000 |
| SIL 3 | 10⁻³ à 10⁻⁴ | 1 000 à 10 000 |
| SIL 4 | 10⁻⁴ à 10⁻⁵ | 10 000 à 100 000 |
Plus le SIL est élevé, plus la SIF doit être fiable — ce qui se traduit par des architectures redondantes (1oo2, 2oo3), des composants à PFD faible, des tests périodiques plus fréquents, et un coût d'investissement / maintenance significativement plus élevé.
2. Cadre normatif : IEC 61511 / 61508 et CCPS
Trois textes structurent la pratique LOPA en industrie process :
- IEC 61508 (« Sécurité fonctionnelle des systèmes électriques / électroniques / programmables relatifs à la sécurité ») : norme générique tous secteurs, qui pose les fondations de la sécurité fonctionnelle et du SIL.
- IEC 61511 (« Sécurité fonctionnelle — systèmes instrumentés de sécurité pour le secteur des industries de transformation ») : déclinaison spécifique pour les industries process. Reconnaît explicitement LOPA comme méthode d'allocation du SIL (clause 9 de la partie 1).
- Référentiel CCPS (Center for Chemical Process Safety) : ouvrage fondateur de la méthode, publié pour la première fois en 2001. Aujourd'hui complété par le guide Guidelines for Initiating Events and Independent Protection Layers in LOPA (2014).
Le cycle de vie sécurité fonctionnelle
IEC 61511 décrit un cycle de vie en 11 phases, de l'analyse de risques jusqu'au démantèlement. La LOPA intervient typiquement à la phase 3 (allocation des fonctions de sécurité) après l'identification des dangers.
Le résultat de la LOPA — le SIL cible — alimente la phase 4 (spécification des SIF) et conditionne l'ensemble du dimensionnement matériel et logiciel des protections instrumentées.
En France : ICPE et MMR
Dans le cadre français, le ministère de la Transition Écologique et l'INERIS ont décliné LOPA dans le contexte des ICPE Seveso et de l'analyse des Mesures de Maîtrise des Risques (MMR). La méthode est devenue de fait incontournable dans les études de dangers (EDD).
Concrètement, l'inspecteur des installations classées peut demander à voir la matrice LOPA pour chaque scénario majorant identifié dans l'EDD, avec la justification de chaque IPL retenue et le calcul de fréquence résiduelle.
3. Les couches de protection (IPL) : qu'est-ce qui compte ?
L'élément central de la LOPA est l'IPL (Independent Protection Layer) : une couche de protection qui, pour pouvoir être prise en compte dans le calcul, doit satisfaire trois critères cumulatifs.
- Effectivité : la couche est capable de prévenir le scénario indésirable lorsqu'elle fonctionne correctement.
- Indépendance : son fonctionnement est indépendant de la cause initiatrice et des autres IPL. Pas de mode commun de défaillance.
- Auditabilité : sa performance peut être vérifiée et testée. La PFD attribuée est documentée et sourcée.
Hiérarchie typique des IPL (du process vers la mitigation)
1. Conception process
Conception intrinsèquement sûre : limitation d'inventaire, choix de matériaux, simplification.
2. Régulation BPCS
Système de contrôle process basique. PFD typique 0,1 — soit RRF de 10 si retenu.
3. Alarmes opérateur
Alarme + intervention humaine (si délai suffisant). PFD typique 0,1 sous conditions.
4. SIF (système instrumenté de sécurité)
Capteur + automate + actionneur dédié. C'est la couche dont on calcule le SIL.
5. Soupapes / disques de rupture
Protection ultime mécanique. PFD très basse pour soupape bien dimensionnée et entretenue.
6. Mitigation post-événement
Cuvettes de rétention, systèmes d'extinction, plans d'urgence (POI/PPI). Réduisent les conséquences, pas la fréquence.
Valeurs typiques de PFD
| Type d'IPL | PFD typique | Notes |
|---|---|---|
| BPCS bien conçu | 10⁻¹ | Ne peut être compté qu'une seule fois |
| Alarme + opérateur (délai > 10 min) | 10⁻¹ | Sous conditions strictes : alarme dédiée, formation, pas de surcharge |
| SIF SIL 1 | 10⁻¹ à 10⁻² | Architecture simple, tests réguliers |
| SIF SIL 2 | 10⁻² à 10⁻³ | Souvent redondance partielle (1oo2) |
| SIF SIL 3 | 10⁻³ à 10⁻⁴ | Architecture redondante (2oo3 typique) |
| Soupape de sécurité | 10⁻² à 10⁻³ | Selon entretien, maintenance, redondance |
| Disque de rupture | 10⁻⁴ | Très fiable mais non testable |
Valeurs indicatives reprises de la documentation CCPS et de la pratique industrielle. Toujours justifier la valeur retenue dans le projet.
4. La méthode pas à pas
Une LOPA bien menée s'articule autour de sept étapes reproductibles, à appliquer scénario par scénario.
1 Sélectionner les scénarios
Issus de l'HAZOP. On retient ceux dont les conséquences sont jugées sérieuses (dommages humains, environnementaux, financiers majeurs).
2 Définir la conséquence cible
Décrire l'événement final indésirable (ex : explosion réacteur). Lui associer une fréquence cible acceptable selon une matrice de tolérance (ex : 10⁻⁵/an).
3 Identifier les causes initiatrices
Causes susceptibles de déclencher le scénario (ex : défaillance pompe, erreur opérateur, perte d'utilités). Attribuer une fréquence d'occurrence à chacune.
4 Identifier les IPL applicables
Lister les couches de protection existantes ou prévues. Vérifier les trois critères (effectivité, indépendance, auditabilité). Attribuer une PFD à chacune.
5 Calculer la fréquence résiduelle
Formule : Frésiduelle = Fcause × Π PFDi. Multiplier la fréquence de la cause par toutes les PFD des IPL retenues.
6 Comparer à la fréquence cible
Si Frésiduelle ≤ Fcible : OK. Sinon : déterminer le facteur de réduction manquant et la SIF correspondante (avec son SIL cible).
7 Documenter et valider
Compiler dans une matrice LOPA : scénario, cause, fréquence, IPL, PFD, fréquence résiduelle, conclusion SIL. Validation collégiale (responsable HSE, process, automatismes, exploitation).
La rigueur méthodologique est essentielle : chaque PFD attribuée doit être justifiée par référence (CCPS, retours d'exploitation interne, données fabricant), et chaque IPL retenue doit avoir prouvé son indépendance vis-à-vis des autres barrières.
5. Exemple chiffré : surpression d'un réacteur
Prenons un cas type : un réacteur chimique exothermique soumis à un risque de surpression en cas d'emballement de réaction. L'EDD a évalué les conséquences à un événement de gravité majeure (rupture mécanique, explosion BLEVE possible).
Données d'entrée
- Conséquence : explosion réacteur, victimes possibles.
- Fréquence cible acceptable : 10⁻⁵ /an (matrice de tolérance interne).
- Cause initiatrice : défaillance régulation température (T+) → emballement.
- Fréquence de la cause : 10⁻¹ /an (donnée historique exploitation).
IPL existantes ou prévues
| Couche de protection | PFD retenue | Justification |
|---|---|---|
| BPCS — régulation température | — | Considéré comme cause initiatrice (la défaillance déclenche le scénario), donc non comptable en IPL |
| Alarme HH température + opérateur | 10⁻¹ | Délai d'intervention ≥ 15 min, alarme dédiée, opérateur formé |
| SIF (capteur T + automate + vanne d'isolement réactif) | À déterminer | Couche à dimensionner |
| Soupape de sécurité | 10⁻² | Calcul API 520, entretien semestriel documenté |
Calcul
Sans la SIF, la fréquence résiduelle serait : F = 10⁻¹ × 10⁻¹ × 10⁻² = 10⁻⁴ /an. C'est insuffisant (cible : 10⁻⁵ /an).
Il manque un facteur 10 de réduction → la SIF doit avoir une PFD ≤ 10⁻¹, soit un SIL 1.
Vérification finale
Avec la SIF SIL 1 ajoutée :
Frésiduelle = 10⁻¹ (cause) × 10⁻¹ (alarme) × 10⁻¹ (SIF SIL 1) × 10⁻² (soupape) = 10⁻⁵ /an.
La fréquence résiduelle atteint la cible. La conception est validée. La SIF doit ensuite être spécifiée (capteur, automate certifié SIL 1, actionneur, tests périodiques) et auditée tout au long du cycle de vie.
6. Pièges fréquents et bonnes pratiques
Les 7 erreurs récurrentes
- Compter le BPCS deux fois : une fois comme cause initiatrice et une fois comme IPL. Inadmissible, car la même chose ne peut pas être à la fois cause et protection.
- Surévaluer la PFD humaine : prêter à un opérateur une fiabilité de 10⁻² ou 10⁻³ est généralement irréaliste. La PFD typique d'une intervention humaine sous alarme est de l'ordre de 10⁻¹ au mieux, sous conditions strictes.
- Ignorer les modes communs de défaillance : si deux IPL partagent la même alimentation électrique, le même bus terrain, la même prise de pression — elles ne sont pas indépendantes.
- Choisir des PFD optimistes sans justification : toute PFD attribuée doit s'appuyer sur une source documentée (CCPS, fabricant, retour d'exploitation interne, calculs IEC 61508).
- Mélanger prévention et mitigation : une cuvette de rétention, un système d'extinction n'empêchent pas l'événement initiateur — ils en limitent les conséquences. Ne pas les compter dans la chaîne LOPA prévention.
- Oublier l'audit régulier : la LOPA est un instantané. Modifications process, vieillissement, dérive de fiabilité changent la donne. La revue périodique est obligatoire (typiquement 5 ans, ou à chaque modification majeure).
- Considérer la LOPA comme une fin en soi : LOPA détermine le SIL cible. Reste à le réaliser (spécification, design, tests, intégration, validation, exploitation, maintenance, démantèlement). Le cycle de vie SIL complet est un projet à part entière.
Les bonnes pratiques
- Constituer une équipe pluridisciplinaire : process, automatismes, sécurité, exploitation, maintenance. Aucun spécialiste seul ne maîtrise tout.
- Documenter chaque PFD par référence : tableau CCPS, datasheet fabricant SIL-certifiée, retour d'exploitation chiffré.
- Tracer les hypothèses de conséquence : la fréquence cible dépend de la matrice de tolérance interne, qui doit être validée par la direction.
- Réviser à chaque modification : tout changement process, équipement, procédure peut invalider une LOPA précédente.
- Croiser avec les EDD : la LOPA alimente les MMR de l'étude de dangers ICPE. La cohérence entre les deux documents est attendue par les inspecteurs DREAL.
- Former les équipes : un atelier LOPA ad hoc sans culture méthodologique partagée donne souvent des résultats incohérents. Investir dans une formation reconnue (CCPS, INERIS, AFNOR) est rentable.
Conclusion : la rigueur quantitative au service de la sécurité
LOPA est devenue, en quinze ans, le langage commun de la sûreté de fonctionnement industrielle dans les secteurs Seveso, pétrochimie, raffinage, pharma. Sa force réside dans sa simplicité méthodologique et sa quantification raisonnée : pas un calcul probabiliste lourd, mais un cadre semi-empirique qui rend les arbitrages explicites.
Pour les ingénieurs sécurité, automaticiens et responsables HSE, la maîtrise de LOPA est un incontournable en 2026. Elle structure le dialogue avec les inspections DREAL, sécurise les études de dangers ICPE et conditionne le dimensionnement de toute fonction instrumentée de sécurité. Bien menée, elle économise à la fois des incidents et des surinvestissements en SIF surdimensionnées.
