Layers Of Protection Analysis (LOPA) is een semi-kwantitatieve methode voor risicobeoordeling die wordt toegepast binnen de procesindustrie om de frequentie en potentiële gevolgen van ongewenste gebeurtenissen te evalueren. De methode bepaalt tevens de benodigde en aanwezige effectiviteit van onafhankelijke beschermingslagen (Independent Protection Layers, IPL’s) om het risico tot een aanvaardbaar niveau te reduceren.

LOPA wordt doorgaans uitgevoerd na een Process Hazard Analysis (PHA), vaak een Hazard and Operability Study (HAZOP), waarin mogelijke gevaarlijke scenario’s werden geïdentificeerd. Op basis van deze scenario’s worden tijdens LOPA de resterende risico’s berekend en vergeleken met vooraf vastgestelde tolerantiecriteria. Indien bijkomende risicoreductie nodig is wordt dit doorgaans met functionele veiligheidsmaatregelen opgelost ^[1]. Deze methode wordt beschreven in de Europese norm IEC 61511 voor functionele veiligheid in de procesindustrie.

Het concept Layer of Protection Analysis werd in de jaren 1990 ontwikkeld in de Verenigde Staten waar organisaties binnen de (petro)chemische industrie zochten naar een methode die de kloof kon overbruggen tussen kwalitatieve technieken, zoals de Hazard and Operability Study (HAZOP), en volledig kwantitatieve benaderingen, zoals Quantitative Risk Assessment (QRA). Het Center for Chemical Process Safety (CCPS), onderdeel van de American Institute of Chemical Engineers (AIChE), speelde hierin een centrale rol.^[2]

In 2001 publiceerde het CCPS het boek Layer of Protection Analysis: Simplified Process Risk Assessment, waarin de methode voor het eerst systematisch werd beschreven en gestandaardiseerd. Deze publicatie vormde de basis voor de huidige toepassing van LOPA in de procesindustrie. Sindsdien is de methodiek opgenomen in internationale richtlijnen en normen zoals IEC 61511.^[3]

Verschillende, onafhankelijke beschermingslagen worden gebruikt om risico’s van ongewenste gebeurtenissen te beheersen. Een veelgebruikt visueel model is het Swiss Cheese Model waarbij elke beschermingslaag wordt voorgesteld als een schijf kaas met gaten. De gaten symboliseren tekortkomingen of het falen van bepaalde maatregelen. Het doel van een LOPA is om te beoordelen hoe effectief elke laag is en te bepalen of aanvullende lagen nodig zijn, en zo ja, welke effectiviteit deze nieuwe laag moet hebben om het risico tot een acceptabel niveau te reduceren.

LOPA maakt onderscheid tussen preventieve lagen, die een incident voorkomen, en mitigerende lagen, die de impact beperken zodra een incident zich voordoet. Binnen LOPA worden typisch de volgende lagen onderscheiden.

Een belangrijke categorie binnen deze lagen is het Safety Instrumented System (SIS): een geautomatiseerd veiligheidssysteem dat ontworpen is om het proces in een veilige toestand te brengen wanneer vooraf bepaalde voorwaarden worden overschreden. Een SIS bestaat uit één of meerdere Safety Instrumented Functions (SIF), die elk een specifieke veiligheidsfunctie uitvoeren, zoals het afsluiten van een toevoerleiding bij te hoge druk. De betrouwbaarheid van een SIF wordt gekwantificeerd via het Safety Integrity Level (SIL), een maat voor de kans dat de functie correct wordt uitgevoerd wanneer een actie vereist is. Binnen LOPA wordt bepaald welk SIL-niveau noodzakelijk is om het risico te reduceren tot het acceptabele criterium. Er worden vier SIL-niveaus onderscheiden. ^[4][2]

Een LOPA wordt uitgevoerd volgens een gestructureerde reeks stappen die ervoor zorgen dat gevaren systematisch worden geëvalueerd en dat het restrisico onder een aanvaardbaar niveau wordt gebracht. De methodiek verloopt doorgaans als volgt:

Deze scenario’s zijn vaak afkomstig uit een eerdere Process Hazard Analysis, zoals een HAZOP-studie. Elk scenario beschrijft een keten van gebeurtenissen die begint bij een oorzaak (bv. het falen van een pomp) en eindigt in een potentieel ongewenst gevolg (bv. een te grote overdruk in een vat).

• Richtfrequentie: de verwachte frequentie waarmee de oorzaak zal optreden, vaak gebaseerd op data uit de literatuur of eerdere ervaring.

• Incidentfrequentie: de berekende frequentie van het scenario, rekening houdend met reeds aanwezige beschermingslagen.

Voor elke geïdentificeerde beschermingslaag wordt nagegaan wat de Probability of Failure on Demand (PFD) is. Dit kwantificeert hoe effectief een laag is in het voorkomen of mitigeren van het scenario.

De berekende incidentfrequentie wordt vergeleken met het door de organisatie vastgelegde acceptabel risiconiveau. Indien de frequentie hoger ligt dan toegestaan, wordt de vereiste risicoreductie berekend:

• Nodige risicoreductie (GAP): het verschil tussen het huidige en het gewenste risiconiveau.
• Risicoreductiegraad: de mate waarin de risico’s reeds verminderd zijn door bestaande lagen.
• Gereduceerde incidentfrequentie: de frequentie na toepassing van alle bestaande beschermingslagen.

Indien er nog een risicogap bestaat, worden extra lagen van bescherming ontworpen of bestaande lagen verbeterd. Hierbij kan het gaan om technische, procedurele of organisatorische maatregelen.

Na afronding van de LOPA-studie volgt doorgaans de volgende stap in de safety life cycle: het definiëren van de Safety Instrumented Functions (SIF) en het opstellen van de Safety Requirements Specification (SRS) voor ontwerp en implementatie van de veiligheidsvoorzieningen. ^[2][5][6]

1. ↑ HAZOP/LOPA/SIF-begeleiding hoogtemperatuur-procesinstallatie. Prohead Engineering. Geraadpleegd op 03/02/2026.
2. ↑ ^{a b c} (en) What is LOPA. American Institute of Chemical Engineers & Center for Chemical Process Safety (28 augustus 2025).
3. ↑ CCPS (Center for Chemical Process Safety) (2001). Layer of protection analysis: Simplified process risk assessment.. John Wiley & Sons.
4. ↑ (en) Schwarz, Hans V (2019). Semiquantitative Risk Analysis – An EPSC Working Group. Chemical Engineering Transactions 2019
5. ↑ (en) Kolmetz, Karl (2016). Kolmetz Handbook of Process Equipment Design. KLM Technology Group.
6. ↑ LOPA (Layers of Protection Analysis) — wat, waarom en hoe?. Prohead Engineering. Geraadpleegd op 03/02/2026.