Definition
Semi-quantitative Methode zur Bewertung der Wirksamkeit von Schutzschichten gegen identifizierte Gefährdungen. Ergänzt HAZOP, indem die Risikoreduktion durch unabhängige Schutzlagen (Independent Protection Layers, IPLs) quantitativ bewertet wird. Ergebnis: Aussage, ob die kumulierte Risikoreduktion ausreicht oder ob zusätzliche Schutzlagen — z.B. SIS nach IEC 61511 — erforderlich sind. Standard in der Prozesssicherheits-Industrie.
In der Praxis
LOPA ist die Methode, bei der ich die teuersten Denkfehler sehe — weil sie harmlos aussieht und es nicht ist. Der Klassiker ist die Unabhängigkeitsverletzung: Schutzlagen werden gezählt, die gar nicht unabhängig voneinander sind — gleicher Sensor, gleiche SPS, gleiche bedienende Person. Dann stehen auf dem Papier vier Schutzlagen, und real ist es eine. Zweiter Dauerbrenner: Das Basic Process Control System wird doppelt als Schutzlage gezählt, obwohl es bereits Auslöser des Szenarios sein kann. Drittens bestellt jemand „wir brauchen SIL 2", ohne dass eine LOPA die Herkunft dieser Forderung liefert — dann wird eine Sicherheitsfunktion nach IEC 61511 beschafft, deren Sicherheitsintegritätslevel aus der Luft gegriffen ist. Und bitte nicht verwechseln: LOPA ist keine bunte Risikomatrix, sondern eine semi-quantitative Bewertung mit definierten Eintrittswahrscheinlichkeiten und Risikoreduktionsfaktoren. Wer das handwerklich sauber aufsetzt — meist auf Basis einer HAZOP —, bekommt eine belastbare Antwort auf die Frage: reicht unsere Schutzarchitektur, oder braucht es mehr?
Verwandte Begriffe
Häufige Fragen zu LOPA
Was unterscheidet LOPA von der klassischen Risikomatrix?
Die Risikomatrix ist qualitativ: Sie ordnet Eintrittswahrscheinlichkeit und Schadensausmaß in Kategorien und liefert eine Risikoklasse — schnell, aber grob. LOPA arbeitet semi-quantitativ: Ausgehend von einem konkreten Szenario wird die Eintrittshäufigkeit der auslösenden Ursache mit Zahlenwerten belegt, und jede unabhängige Schutzlage reduziert das Risiko um einen definierten Faktor. Am Ende steht ein rechnerischer Vergleich: verbleibende Häufigkeit gegen tolerierbare Häufigkeit. Damit beantwortet LOPA eine Frage, die die Matrix nicht beantworten kann — nämlich ob die Summe der vorhandenen Schutzmaßnahmen ausreicht oder ob eine zusätzliche, etwa eine sicherheitstechnische Funktion nach IEC 61511, erforderlich ist. Die Matrix bleibt das Werkzeug für den schnellen Überblick, LOPA das für die belastbare Schutzschicht-Entscheidung (Methodeneinordnung: IEC 31010).
Wann sind wir verpflichtet, eine LOPA durchzuführen?
Eine unmittelbare gesetzliche LOPA-Pflicht existiert nicht — weder die BetrSichV noch eine andere deutsche Regelung nennt die Methode. Verpflichtend wird sie über den Stand der Technik: Wer in der Prozessindustrie sicherheitsinstrumentierte Systeme nach IEC 61511 einsetzt, muss das erforderliche Sicherheitsintegritätslevel irgendwoher belegen — und LOPA ist dafür die international etablierte Methode. Ohne diese Herleitung ist jede SIL-Festlegung eine Behauptung. Rechtlich sauber verankert bleibt die Grundpflicht: Gefährdungen beurteilen und ausreichende Schutzmaßnahmen festlegen (§ 3 Abs. 1 BetrSichV), bei Anlagen mit Gefahrenpotenzial nach dem jeweils aktuellen Stand der Technik. LOPA ist das Werkzeug, mit dem Sie „ausreichend" nachweisbar machen.
Wie vermeiden wir den häufigsten LOPA-Fehler — das Zählen abhängiger Schutzlagen?
Wenden Sie die Unabhängigkeitsprüfung konsequent auf jede einzelne Schutzlage an: Eine IPL muss unabhängig von der auslösenden Ursache und von allen anderen beanspruchten Lagen wirken — eigenständiger Sensor, eigene Logik, eigener Aktor, eigene Verantwortung. Typische Verletzungen: zwei Alarme aus derselben SPS, ein Bedieneingriff, der auf derselben Messung beruht wie der Alarm, oder Wartung durch dieselbe Person, die auch bedient. Auch das Basic Process Control System darf je Szenario nur einmal zählen — und nicht, wenn sein Versagen das Szenario auslöst. Dokumentieren Sie zu jeder anerkannten Lage, warum sie unabhängig ist und wie ihre Wirksamkeit geprüft wird; diese Begründung ist im Audit wichtiger als die Zahl selbst. Im Zweifel eine Lage weniger anerkennen — eine ehrliche LOPA mit drei Lagen schlägt eine geschönte mit fünf (Schutzlagen-Logik: IEC 61511).