ISO/FDIS 5133

ISO/TC 67/SC 6/WG 8
Secretariat: AFNOR
Date: 2026-03-09-17
Oil and gas industries including lower carbon energy – — Protective
system requirements for fired equipment
Industries du pétrole et du gaz, y compris les énergies à faible teneur en carbone — Exigences relatives au
système de protection des équipements à combustion
FDIS stage
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication
may be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying,
or posting on the internet or an intranet, without prior written permission. Permission can be requested from either ISO
at the address below or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: + 41 22 749 01 11
EmailE-mail: copyright@iso.org
Website: www.iso.org
Published in Switzerland
ii
Contents
Foreword . iv
Introduction . v
1 Scope . 1
2 Normative references . 2
3 Terms and definitions . 2
4 Normative requirements . 6
4.1 General. 6
4.2 Inputs . 7
4.3 Hazard analysis team . 7
4.4 Hazard identification . 8
4.5 Hazard scenario progression diagram . 8
4.6 Severity of harm and tolerability criteria . 11
4.7 Establishing predicted event frequency, tolerability and ALARP . 11
4.8 Ongoing Testing, Inspection and Maintenance . 12
4.9 Training materials, schedules and record retention . 13
Annex A (informative) Quantitative ALARP subroutine . 14
Annex B (informative) Qualitative ALARP subroutine . 19
Annex C (normative) Safeguards and Independent Protection Layers . 22
Annex D (informative) Feasibility of Detonation in Fired Heaters in Upset Conditions . 24
Annex E (informative) Fired Equipment Deflagration Probability Modifier . 32
Annex F (informative) Flammable Mixture and Flooded Firebox Hazard Scenario Progression
diagrams. 34
Annex G (informative) Typical Hazard Scenario Progression Diagram Examples . 36
Bibliography . 80

iii
Foreword
ISO (the International Organization for Standardization) is a worldwide federation of national standards
bodies (ISO member bodies). The work of preparing International Standards is normally carried out through
ISO technical committees. Each member body interested in a subject for which a technical committee has been
established has the right to be represented on that committee. International organizations, governmental and
non-governmental, in liaison with ISO, also take part in the work. ISO collaborates closely with the
International Electrotechnical Commission (IEC) on all matters of electrotechnical standardization.
The procedures used to develop this document and those intended for its further maintenance are described
in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for the different types of
ISO document should be noted. This document was drafted in accordance with the editorial rules of the
ISO/IEC Directives, Part 2 (see www.iso.org/directives).
ISO draws attention to the possibility that the implementation of this document may involve the use of (a)
patent(s). ISO takes no position concerning the evidence, validity or applicability of any claimed patent rights
in respect thereof. As of the date of publication of this document, ISO had not received notice of (a) patent(s)
which may be required to implement this document. However, implementers are cautioned that this may not
represent the latest information, which may be obtained from the patent database available at
www.iso.org/patents. ISO shall not be held responsible for identifying any or all such patent rights.
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and expressions
related to conformity assessment, as well as information about ISO's adherence to the World Trade
Organization (WTO) principles in the Technical Barriers to Trade (TBT), see www.iso.org/iso/foreword.html.
This document was prepared by Technical Committee ISO/TC 67, Oil and gas industries including lower carbon
energy, Subcommittee SC 6, Process equipment, piping, systems, and related safety.
Any feedback or questions on this document should be directed to the user’s national standards body. A
complete listing of these bodies can be found at www.iso.org/members.html.
iv
Introduction
The purpose of this document is to provide a basic framework for hazard identification, risk assessment, and
risk reduction including the “as low as reasonably practicable” (ALARP) methodology as it applies specifically
to fired equipment.
This document defines hazards associated with fired equipment that have potential to cause harm. The
standardThis document explains how these hazards develop into scenarios, starting with initiating events, in
the presence of probability modifiers that allow the fired equipment to progress through intermediate process
states and if unimpeded can lead to an irreversible loss event, potentially leading to harm.
This document gives guidance to the reader as to what initiating events, probability modifiers and safeguards
can be applied to fired equipment.
This document gives guidance to the reader as to how initiating event frequencies, probability modifiers and
safeguards can be applied to fired equipment to determine a loss event frequency. To reduce the loss event
frequency, improvements can be applied as reductions in the initiating event frequency or in the form of
safeguards. Regardless of how improvements are classified, they are only counted once per hazard scenario.
The user of this document is informed that further or differing requirements can be needed for individual
applications. This document is not intended to inhibit a vendor from offering, or the purchaser accepting,
alternative equipment or engineering solutions for the individual application. This can be particularly
applicable where there is innovative or developing technology. Where an alternative is offered, the vendor
needs to detail any variations from this document.
v
Oil and gas industries including lower carbon energy – — Protective
system requirements for fired equipment
1 Scope
This document defines a risk-based program for determining protective system requirements for petroleum,
petrochemical and natural gas industry fired equipment including lower carbon energy. The process applies
to new or existing fired equipment.
For modifications to existing fired equipment that has been designed in accordance with this document, the
scope can be limited to changes.
This document applies to:
— — hazards that have potential to produce harm;
— — engineered and administrative forms of risk reduction.
NOTE 1 See Figure 1Figure 1 for a graphical representation of the hierarchy of risk reduction.

Figure 1 — Hierarchy of risk reduction and scope
NOTE 2 For guidance on elimination and substitution of hazards, see ISO 45001:2018, 8.1.2.
Figure 1 — Hierarchy of risk reduction and scope
NOTE 3 An example of hierarchy of risk reduction related to a natural draft gas-fired process fired heater is as follows:
— — Elimination - eliminate the gas-fired process heater combustion risk by replacing with electric heating;
— — Substitution - refinery fuel gas replaced with constant calorific value natural gas, for example, from a utility
pipeline;
— — Engineering function - install mass flow meter that compensates for composition change in refinery fuel gas;
— — Administrative function – maintain low occupancy around natural draft gas fired process fired heater.
The scope of this document excludes:
— — assessment of environmental impact, business impact or loss of reputation;
— — risk reductions in the forms of elimination, substitution, and personal protective equipment;
— — commercial fired equipment used for food preparation, space heating, small potable water heaters,
and other non-process applications such as small heaters used in maintenance applications.
2 Normative references
There are no normative references in this document.
3 Terms and definitions
For the purposes of this document, the following terms and definitions apply.
ISO and IEC maintain terminology databases for use in standardization at the following addresses:
— — ISO Online browsing platform: available at https://www.iso.org/obp
— — IEC Electropedia: available at https://www.electropedia.org/
3.1 3.1
basic process control system
BPCS
combination of associated equipment, and either programmable systems or operators, or both that generate
output signals causing the process and its associated equipment to operate in the desired manner, but which
does not perform any safety instrumented function
3.2 3.2
competent person
competent personnel
person who has acquired through training, qualifications or experience, or a combination of these, the
knowledge and skills enabling that person to perform a specified task
3.3 3.3
control loop failure
failure of components or aspects of a control loop
Note 1 to entry: Examples of control loop failure include but are not limited to: sensor, controller, final element,
inadvertent set-point, loss of communication, loss of utility
3.4 3.4
facility operator
person, company, or organization that is responsible for the operations of a facility or worksite, or who has
the responsibility for a hazardous material or hazardous energy in a facility
3.5 3.5
fired equipment
device to convert fuel into heat by means of combustion, including the fuel gas train downstream of the fuel
supply manual shut-off valve, heat transfer sections, associated combustion air and flue gas handling systems,
instrumentation, controls and protection layers
3.6 3.6
flooded firebox hazard
presence of unburned fuel in firebox in the presence of an ignition source (flame), with sufficient calorific
value that when air is added, or fuel is quickly reduced an explosion may occur
3.7 3.7
flammable mixture hazard
presence of unburned fuel in the firebox in the presence of air, with sufficient calorific value that when an
ignition source is added an explosion can occur
3.8 3.8
flooding
continuing accumulation of unburned fuel in fired equipment where the injection of fuel is increased by the
feedback control of the primary process variable
EXAMPLE Coil outlet temperature for a heater.
Coil outlet temperature for a heater.
3.9 3.9
good practice
recognized minimum methods and measures addressing an aspect of the fired equipment that existed at the
time the fired equipment project’s final investment decision was approved
Note 1 to entry: Aspects can include but are not limited to procedures writing, mechanical design, instrumentation
specification and installation, logic solver specification and installation, controls design and installation, protection layer
design installation.
3.10 3.10
harm
injury or damage to the health of people, or damage to property or the environment
Note 1 to entry: For the purposes of this document, the definition of harm is further reduced to death, or irreversible
physical injury to individual.
[SOURCE: ISO/IEC Guide 51:2014, 3.1, modified — Note 1 to entry added.]
3.11 3.11
hazard
potential source of harm
[SOURCE: ISO/IEC Guide 51:2014, 3.2]
3.12 3.12
hazard scenario
sequence of events starting with an initiating event, potentially causing harm
3.13 3.13
independent protection layer
IPL
device, system, or action capable of preventing a scenario from proceeding to the undesired consequence
regardless of the initiating event or the action of any other protection layer associated with the scenario
[13][13]
]]
[SOURCE: CCPS
3.14 3.14
initiating event
IE
failure or error necessary to start the propagation of a hazard scenario
Note 1 to entry: Failure of an independent protection layer is not an initiating event.
3.15 3.15
loss event
LE
point in time in a hazard scenario when an irreversible physical event occurs that has the potential to cause
harm
Note 1 to entry: A primary loss event is sometimes the initiating event for one or more secondary loss events.
Note 2 to entry: Loss event is generally synonymous with hazardous event.
3.16 3.16
mode of operation
definable operating condition of process equipment as it progresses from shutdown to running and back to
shut down, where each mode of operation represents a unique operating regime that supports the process
equipment’s objectives of processing an input into a desired output
Note 1 to entry: Examples of modes of operation include but are not limited to: pre-firing, ignition, pilots only, normal
running, post-firing.
Note 2 to entry: Modes of operation can contain sub-modes, for example, purge is a sub-mode of pre-firing.
3.17 3.17
operational discipline
performance of all tasks correctly every time
[1][1]
[SOURCE: CCPS ]]
3.18 3.18
probability modifier
PM
dimensionless value that provides a numerical adjustment to the sequence, likelihood, consequence, and
severity associated with the hazard scenario
EXAMPLE Probability of a hazardous atmosphere, probability of ignition, probability of explosion, probability of
personnel presence, probability of injury or fatality, probability of equipment damage, probability of increasing air flow
after combustibles are present in the firebox and time at risk.
Note 1 to entry: Enabling conditions and conditional modifiers are probability modifiers.
3.19 3.19
process control narrative
design document describing how the basic process control system is configured and programmed, and how
the operator interacts with the system, to cause the process and its associated equipment to function in a
desired manner within its operating envelope
3.20 3.20
process state
PS
initial or intermediate operating condition of fired equipment in a hazard scenario
Note 1 to entry: Examples of process states are default, fuel accumulation and flammable mixture hazard.
3.21 3.21
protection layer
any independent mechanism that reduces risk by control, prevention or mitigation
[SOURCE: IEC 61511-1:2016+AMD1:2017, 3.2.57]
3.22 3.22
risk
combination of the probability of occurrence of harm and the severity of that harm
Note 1 to entry: The probability of occurrence includes the exposure to a hazard scenario, the occurrence of a hazardous
event and the possibility to avoid or limit the harm.
[SOURCE: ISO/IEC Guide 51:2014, 3.9]
3.23 3.23
residual risk
risk remaining after protection layers have been implemented
[SOURCE: ISO/IEC Guide 51:2014, 3.8]
3.24 3.24
safe
safety
freedom from risk which is not tolerable
[SOURCE: ISO/IEC Guide 51:2014, 3.14]
3.25 3.25
safeguard
any device, system, or action that either interrupts the chain of events following an initiating event or that
mitigates the consequences
Note 1 to entry: Not all safeguards will meet the requirements of an IPL.
[13][13]
[SOURCE: CCPS ]]
3.26 3.26
safety instrumented function
SIF
safety function to be implemented by a safety instrumented system
[SOURCE: IEC 61511-1:2016+AMD1:2017 3.2.67]
3.27 3.27
safety instrumented system
SIS
instrumented system used to implement one or more safety instrumented functions
[SOURCE: IEC 61511-1:2016+AMD1:2017 3.2.67]
3.28 3.27
tolerable risk
level of risk which is accepted in a given context based on the current values of society
Note 1 to entry: The terms “acceptable risk” and “tolerable risk” are considered to be synonymous.
[SOURCE: ISO/IEC Guide 51:2014, 3.15]
4 Normative requirements
4.1 General
These clauses and subclauses define the normative requirements for a risk-based program for determining
protective system requirements for fired equipment in the petroleum, petrochemical and natural gas industry
including lower carbon energy.
NOTE See Figure 2figure 2 for an informative flowchart representation of the risk-based program.

Figure 2 — Informative Flowchart of Risk-based program for determining protective system
requirements
4.2 Inputs
4.2.1 Good practice
The fired equipment shall be designed, operated, inspected, tested, and maintained in accordance with good
practice addressing the following aspects of the equipment:
— — fired equipment design;
— — instrumentation design;
— — controls design;
— — protection layer design;
— — logic solver design;
— — ongoing inspection, testing and maintenance;
— — operational discipline.
4.2.2 Documents
The following documents shall be provided as inputs to the risk-based process:
— — general arrangement drawings;
— — specifications;
— — Piping and Instrument Diagram (PID);
— — process control narrative;
— — procedures.
4.3 Hazard analysis team
The hazard analysis team shall include representatives from process safety, instrumentation, operations and
fired equipment engineering.
The hazard analysis team shall include representatives of other technical disciplines as determined necessary
by the facility operator, for example:
— — controls design;
— — protection layer design;
— — maintenance;
— — process engineering.
A minimum of three hazard analysis team members shall be familiar with fired equipment.
One competent person may fill multiple roles.
A hazard analysis team coordinator shall be appointed.
The team coordinator may also be one of the discipline representatives.
The team should be a collaboration between all companies that are involved with design, manufacture,
ownership, operation and maintenance of the fired equipment.
4.4 Hazard identification
4.4.1 Primary loss events
The primary loss events shall be identified.
NOTE 1 Examples of primary loss events include:
— — deflagration of accumulated gaseous fuel and air flammable mixture;
— — deflagration of accumulated volatilized components of liquid fuels and air flammable mixture;
— — pool fire of accumulated liquid fuel;
— — process tube loss of containment;
— — release of unburned toxic fuel;
— — large mass of water at boiling point and high pressure.
NOTE 2 For discussion of deflagrations, see informative Annex DAnnex D.
4.4.2 Hazards leading to primary loss events
Hazards that can lead to each primary loss event shall be identified.
NOTE 1 Examples of hazards include:
a) flammable mixture hazard (fuel and air in absence of source of ignition), including flame out, fuel left in firebox after
trip, leaking tube during pre-firing mode of operation.;
b) flooded firebox hazard (fuel and source of ignition in absence of air), including severely substoichiometric operation,
process tube failure, toxic fuel gas release.;
c) process hazards at the outlet of the fired equipment, including high process fluid temperature, high process fluid
pressure.
4.4.3 Escalation hazards following primary loss events
The hazard analysis team shall determine if shutting down the fired equipment has the potential to create
another hazard within the fired equipment or elsewhere in the facility.
NOTE For example, shutting down the heater cools the process unit quickly which can lead to a flange fire elsewhere
in the unit.
4.5 Hazard scenario progression diagram
4.5.1 Form and format
Hazard scenarios follow the general form shown in Figure 3Figure 3,, starting with an initiating event (IE)
occurring when the fired equipment is in the default process state PS and in a particular mode of operation,
potentially in the presence of probability modifiers PM and safeguards SG , that causes the fired
1(x) 1(x)
equipment to progress to a new intermediate process state PS . The sequence then continues through a further
intermediate process states PS via probability modifiers and safeguards before the loss event (LE) is reached.
Final probability modifiers PM and mitigative safeguards SG can then be applied prior to the harm event
4(x) 4(x)
(HE) occurring.
NOTE For a detailed explanation of example hazard scenario progression diagrams related to typical initiating
events, see informative Annex GAnnex G.

Key
PMx(a) probability modifier
PSx(a) process state
IE initiating event
LE loss event
HE harm event
SGx(a) safeguard
A fuel accumulation
B second constituent leading to creation of flammable mixture hazard
C deflagration
D harm
NOTE Where the facility operator applies a risk assessment methodology which involves multiple IE Figure 3 can
be modified accordingly.
Figure 3 — Example flammable mixture hazard scenario progression diagram with safeguards
Key
NOTE Where the facility operator applies a risk assessment methodology which involves multiple IE Figure 3 can be
modified accordingly.
4.5.2 Hazard scenario identification
4.5.2.1 General
For hazards identified in 4.4.24.4.2, the team shall identify hazard scenarios based on unique IEs addressing
the following clauses.
4.5.2.2 Modes of operation
Hazard scenarios shall be identified for all modes of operation.
Hazard scenarios shall be identified when the fired equipment is transitioning between modes of operation.
Hazard scenarios shall be identified where transient conditions occur within modes of operation.
NOTE Examples of transient conditions are fuel composition change, process feed composition change, unit charge
rate change.
4.5.2.3 Initiating events
Hazard scenario IEs shall be identified in the following categories:
a) internal to the fired equipment;
b) external to the fired equipment;
c) equipment failure;
d) Process control failure;
e) human failure.
NOTE 1 An example of internal IE is fuel gas basic process control system (BPCS) loop failure.
NOTE 2 Examples of external initiating events include 3rd party intervention, external gas cloud, lightning strike,
liquid or solids in fuel, or general utility failure.
NOTE 3 Examples of an equipment failure initiating events include a piping leak.
NOTE 4 Examples of process control failures include BPCS loop failure.
NOTE 5 Examples of human failures include closing one or more burner air registers while burners are in service, or
operator setpoint entry error.
4.6 Severity of harm and tolerability criteria
4.6.1 Severity of harm
The severity of harm associated with each hazard scenario shall be identified and quantified based on the
number of people subject to harm.
NOTE 1 The proximity of the fired [ equipment relative to occupied buildings and to the public can have a large impact
on the severity of harm.
NOTE 2 For guidance regarding deflagrations when quantifying the severity of harm, see Annex DAnnex D.
4.6.2 Risk criteria thresholds
The following threshold frequencies shall be provided based on severity of harm (4.5.1(4.5.1). ). These
thresholds may be the same:
— — threshold between unacceptable and tolerable risk,;
— — threshold between tolerable and broadly acceptable risk.
NOTE 1 Tolerable risk criteria can be determined in partnership with regulating bodies in certain jurisdictions.
[23], [24][23, 24]
NOTE 2 Tolerable risk criteria can be extrapolated from risk contours published in public documents .
4.7 Establishing predicted event frequency, tolerability and ALARP
4.7.1 Initiating event frequency
The IE frequency shall be determined for each hazard scenario based on facility operator data.
NOTE 1 Facility operator data can be derived from internal and external sources including industry reliability
[13][13
databases and CCPS reference
NOTE 2 Initiating event frequency is typically 0,1/year or greater, unless analysis justifies a value less than 0,1/year.
NOTE 3 Analysis methods for equipment failure IE frequencies include Failure Mode and Effect Analysis (FMEA).
NOTE 4 Analysis methods for human error IE frequency include Human Error Assessment and Reduction Technique
(HEART), Empirical Technique to Estimate Operator Errors (TESEO).
4.7.2 Safeguards
Safeguards shall be identified for each hazard scenario, as per normative Annex CAnnex C.
The average probability of failure on demand (PFD ) of the safeguard(s) shall be determined.
AVG
NOTE If there are no safeguards the PFD of the safeguard is 1.
4.7.3 Probability modifiers
Probability modifiers shall be determined for each hazard scenario.
When applicable, probability modifiers shown as PM , PM , PM and PM on Figure 3Figure 3 shall be
1 2 3 4
determined.
Limiting exposure of personnel to hazards may be a PM probability modifier or an SG administrative
4 4
protection layer, but it shall not be used as both in the same hazard scenario.
The product of all applicable probability modifiers, PM , PM , PM and PM , shall be determined.
1 2 3 4
NOTE 1 PM1, PM2 and PM4 probability modifiers are typically 0,1 or greater, unless analysis justifies a value less than
0,1.
NOTE 2 PM probability modifiers are typically 0,1 or greater, except for fired equipment that runs for a significant
amount of time above the auto-ignition temperature for fuels, where a value of less than 0,1 can be appropriate. See
informative Annex EAnnex E for details.
NOTE 3 PM is the location in the hazard scenario progression diagram where the 2nd constituent in the creation of
the flammable mixture hazard is introduced. See informative Annex FAnnex F for details on how this probability modifier
is used.
[14] [14]
NOTE 4 For guidance on probability modifiers see Reference
NOTE 5 The product of probability modifiers is typically 0,01 or greater, unless analysis capable of withstanding
scrutiny justifies a value less than 0,01.
4.7.4 Predicted event frequency
For each hazard scenario, the predicted event frequency, shall be determined as the product of the IE
frequency or frequencies (4.7.1(clause 4.7.1)) and the product of the PFD of the safeguard(s)
AVG
(4.7.2(clause 4.7.2)) and the product of all applicable probability modifiers, PM , PM , PM and PM
1 2 3 4
(4.7.3(clause 4.7.3).).
4.7.5 Predicted event frequency categorization
For each hazard scenario, the predicted event frequency determined in 4.7.4clause 4.7.4 shall be categorized
as unacceptable, tolerable, or broadly acceptable (see 4.6.2refer clause 4.6.2).).
If the predicted event frequency determined is broadly acceptable, further risk reductions are not necessary,
and further assessment shall not be required.
If the predicted event frequency determined is unacceptable, an additional SG shall be implemented, and the
PFD provided by the SG shall be determined, and the user shall proceed to subclause 4.7.3subclause 4.7.3.
If the predicted event frequency determined is tolerable but not broadly acceptable, a quantitative or
qualitative ALARP assessment shall be performed to determine if additional risk reductions are justified.
NOTE See Annex AAnnex A for guidance on quantitative ALARP and Annex BAnnex B for guidance on qualitative
ALARP.
4.7.6 Completion of risk reduction assessment procedure
If the predicted event frequency remaining after application of risk reductions justified by the ALARP
assessment is broadly acceptable or ALARP, further risk reductions are not necessary, and further assessment
shall not be required.
4.8 Ongoing Testing, Inspection and Maintenance
4.8.1 Inspection
The facility operator shall prepare procedures, schedules, and record retention policies for ongoing inspection
of fired equipment components.
NOTE 1 The purpose of the ongoing inspection program is to reveal developing component failures prior to a full
failure. Ongoing inspection procedures and schedules are based on applicable manufacturer’s recommendations,
industry standards, and prior operating experience.
NOTE 2 Application of a facility operator’s internal standard overlay to IEC 61511-1 meets the intent of this
requirement for instrumented protection layers.
NOTE 3 Application of a facility operator’s internal standard overlay to American Petroleum Institute (API)API RP 556
meets the intent of this requirement.
4.8.2 Testing
The facility operator shall prepare procedures, schedules, and record retention policies for ongoing testing of
fired equipment components.
NOTE 1 The purpose of the ongoing testing program is to reveal dangerous undetected failures of fired equipment
components that will cause the safeguard (SG) to fail to function upon demand. Ongoing testing procedures and schedules
are based on applicable manufacturer’s recommendations, industry standards, and prior operating experience.
NOTE 2 Application of a facility operator’s internal standard overlay to IEC 61511-1 meets the intent of this
requirement for instrumented protection layers.
4.8.3 Maintenance
The facility operator shall prepare procedures, schedules, and record retention policies for ongoing
maintenance of fired equipment components.
NOTE 1 Ongoing maintenance procedures and schedules are based on applicable manufacturer’s recommendations,
industry standards, and prior operating experience.
NOTE 2 Application of a facility operator’s internal standard overlay to IEC 61511-1 meets the intent of this
requirement for instrumented protection layers.
4.9 Training materials, schedules and record retention
The facility operator shall prepare training material, re-training schedules, and training record retention
policies for personnel involved in operation, ongoing inspection, testing, and maintenance of fired equipment.
NOTE 1 This training covers operational discipline, identification of process and fired equipment hazards, how to
identify and correct unsafe situations, procedures used as part of human independent protection layers (IPLs), as well as
procedures directing job tasks.
[13] [13]
NOTE 2 For qualification of operators used in human IPLs see Reference  5.2.2.5 and table 5.4
Annex A
(informative)
Quantitative ALARP subroutine
A.1 General
This annex presents informative guidance for an iterative quantitative “as low as reasonably practicable”
ALARP assessment.
NOTE See Figure A.1figure A.1 for a flowchart representation of the iterative quantitative ALARP assessment.
Figure A.1 — Quantitative ALARP Assessment Flowchart
A.2 Input variables
The value of preventing harm (VopH) is provided.
The discount factor for investment calculations (r) is provided.
The expected equipment lifespan used in investment calculations (t) is provided.
NOTE 1 This is a financial representation of the potential consequences of the harm event (HE).
[21]
NOTE 2 See Reference [21] for an example calculation of the value of harm.
A.3 Value of additional safeguards
A reusable function is created to determine the value of potential additional safeguards to further reduce the
risk.
NOTE The quantitative “as low as reasonably practicable” (ALARP) subroutine is written with the following example
formula:
𝑉𝑉𝑉𝑉𝑉𝑉𝑉𝑉𝑉𝑉𝑉𝑉𝑉𝑉𝐹𝐹 1
𝐽𝐽
𝑃𝑃𝑉𝑉 = ( ) (1− ( )) (A.1)
𝐽𝐽
𝑡𝑡
𝑟𝑟 (1+𝑟𝑟)
Where
PV is the present value (PV) following application of safeguard J, in monetary units which represents the money
J
available to implement the next risk reducing option
VopH is the value of preventing harm, in monetary units which is a financial representation of the potential consequences
of the HE
PEF is the predicted event frequency following application of safeguard J per annum
J
r is the discount factor, in percentage
t is the term of investment, in years
J is a series from 1 to N
A.4 Predicted event frequency after risk reductions
The predicted event frequency after application of good practice and extra risk reductions (4.7.5(clause 4.7.5))
is determined as PEF .
A.5 Safeguard zero
Safeguard is defined as the combination of good practice and extra risk reductions (4.7.5(clause 4.7.5).).
A.6 Present value after safeguard zero
The PV following application of safeguard SG is calculated as PV .
0 0
A.7 Evaluation List of potential safeguards
The user creates an evaluation list of potential additional SGs to further reduce the risk and designates it
SG .
1→→N
If there are no potential additional SGs (i.e., N=0), the predicted event frequency determined in
4.7.4clause 4.7.4 is considered to be already ALARP and the user proceeds to subclause 4.7.6subclause 4.7.6.
A.8 Estimate PFD and cost per safeguard
For each potential additional SG, the probability of failure on demand (PFD) and present value cost of
J J
implementation (PV ) is estimated.
J
A.9 Ranking of safeguards
The potential additional safeguard list SG is ranked from 1 to N in the following order:
1→→N
a) engineering functions from greatest to least risk reduction;
b) administrative functions from greatest to least risk reduction.
A.10 Predicted event frequency after safeguard J
Predicted event frequency following application of additional SG (PEF ) is determined as the product of the
J J
predicted event frequency following application of additional SG (PEF ) and the PFD of additional SG
J-1 J-1 J
(PFD ).
J
𝑃𝑃𝑃𝑃𝐹𝐹 = 𝑃𝑃𝑃𝑃𝐹𝐹 × 𝑃𝑃𝐹𝐹𝐷𝐷 (A.2)
𝐽𝐽 𝐽𝐽−1 𝐽𝐽
Where:
PEFj is the predicted event frequency following application of safeguard J per annum
PFDj is the probability of demand J per annum
A.11 Present value after safeguard J
The PV following application of additional SG (PV ) is calculated using Formula (A.1)A1.
J J
A.12 Benefit of safeguard J
The benefit of additional SG (BoS ) is calculated as the PV following application of additional SG (PV ) minus
J J J-1 J-1
the PV following application of additional SG (PV ).
J J
𝐵𝐵𝐵𝐵𝑆𝑆 =𝑃𝑃𝑉𝑉 −𝑃𝑃𝑉𝑉 (A.3)
𝐽𝐽 𝐽𝐽−1 𝐽𝐽
Where:
BoS is the benefit of the additional safeguard J
J
PV is the present value (PV) following application of safeguard J, in monetary units which represents the money
J
available to implement the next risk reducing option
A.13 Net present value of safeguard J
The net present value (NPV ) of additional safeguard J is calculated as the benefit of the additional SG (BoS )
J J J
minus the cost of additional safeguard J (PV ).
J
𝑁𝑁𝑃𝑃𝑉𝑉 =𝐵𝐵𝐵𝐵𝑆𝑆 − 𝑃𝑃𝑉𝑉
𝐽𝐽 𝐽𝐽 𝐽𝐽
(A.4)
Where:
NPV is the net present value of additional safeguard J
J
BoS is the benefit of the additional safeguard J
J
PV is the present value (PV) following application of safeguard J, in monetary units which represents the money
J
available to implement the next risk reducing option
A.14 Practicability of safeguard J
If NPV < 0 then additional SG is unjustified and is removed from the evaluation list, and the user sets value of
J J
PEF = PEF .
J J-1
If NPV ≥ 0 then additional SG is reasonably practicable.
J J
A.15 Categorization of predicted event frequency
Predicted event frequency is categorized as tolerable, or broadly acceptable.
A.16 Predicted event frequency is broadly acceptable
If predicted event frequency (PEF ) is broadly acceptable, further assessment is not required and the user
J
proceeds to 4.7.6subclause 4.7.6.
A.17 Additional safeguards remaining
If predicted event frequency (PEF ) is tolerable and there are additional SGs to be evaluated (i.e., J < N), the
J
user sets J = J + 1 and proceeds to A.10subclause A.10.
A.18 No additional safeguards remaining
If there are no additional SGs to be evaluated (i.e., J = N), predicted event frequency (PEF ) is ALARP, and the
J
user proceeds to 4.7.6subclause 4.7.6.
Annex B
(informative)
Qualitative ALARP subroutine
B.1 General
This annex presents informative guidance for an iterative qualitative “as low as reasonably practicable”
ALARP assessment. The ALARP process can be summarized by the following question: “can we do a little more
to make things a lot better?”
NOTE See Figure B.1figure B.1 for a flowchart representation of the iterative qualitative ALARP assessment.

Figure B.1 — Qualitative ALARP Assessment Flowchart
B.2 List of additional risk reduction options
The hazard analysis team identifies a list of additional risk reduction options (RR ).
1→→N
NOTE Source of additional risk reduction options can be those implemented in comparable fired equipment in
similar circumstances and locations.
B.3 No additional risk reduction options
If no additional risk reduction options can be identified (i.e., N = 0), predicted event frequency (PEF ) is ALARP,
J
and the user proceeds to 4.7.6subclause 4.7.6.
B.4 Risk reduction option ranking
The additional risk reduction options identified in B.2clause B.2 are designated RR to RR and ranked in order
1 N
from highest to lowest magnitude of risk reduction.
B.5 Reasonably practicable determination
For the additional risk reduction option with the highest magnitude of risk reduction, the hazard analysis team
determines if the option is reasonably practicable.
B.5.1 Reasonably practicable determination
The additional risk reduction option is deemed to be practicable if the technology is available to be
implemented and in the opinion of the team, the approximate cost is not grossly disproportionate to the
perceived risk reduction benefit.
NOTE Among other factors, the degree of gross disproportionality applied depends on the residual risk prior to
application of the proposed additional risk reduction option. Referring to region 2 of Figure B.2Figure B.2,, if the residual
risk is close to the threshold between unacceptable and tolerable risk, the justified cost (time, money, effort) of the
proposed additional risk reduction option can be significantly more than if the residual risk is close to the threshold
between tolerable and broadly acceptable.

Figure B.2 — Risk categorization visualization
B.5.2 Risk reduction reasonably practicable
When the further risk reduction option (RR ) is deemed to be practicable and reasonable it is reasonably
J
practicable and is implemented.
B.5.3 Risk reduction not reasonably practicable
If the additional risk reduction option (RR ) is not reasonably practicable, the risk reduction option may not
J
be implemented and RR is removed from the list of options identified in B.2clause B.2.
J
B.5.4 Predicted event frequency reassessed
If the additional risk reduction option (RR ) is reasonably practicable the predicted event frequency (PEF ) is
J J
reassessed including the new risk reduction option.
B.5.5 Predicted event frequency categorized
The predicted event frequency (PEF ) is categorized as tolerable or broadly acceptable.
J
B.6 Determine completion
B.6.1 General
Determine whether the qualitative ALARP sub-routine is complete or go back into the qualitative ALARP sub-
routine.
B.6.2 Complete - predicted event frequency is broadly acceptable
If the predicted event frequency (PEF) is categorized as broadly acceptable, then the user proceeds to
J
subclause 4.7.6subclause 4.7.6.
B.6.3 Incomplete - option not reasonably practicable and other options exist
If the additional risk reduction option (RR ) is not reasonably practicable and there are still unassessed risk
J
reductions options on the list (i.e.,. J < N), the user sets J = J + 1 and proceeds to B.5.1B.5.1 to assess the next
highest ranked unassessed option.
B.6.4 Complete - no options remaining
If no additional risk reduction options are determined to be reasonably practicable, the predicted event
frequency (PEF ) is ALARP, and the user proceeds to subclause 4.7.6subclause 4.7.6.
J
Annex C
(normative)
Safeguards and Independent Protection Layers
C.1 General
As per the
...

PROJET FINAL
Norme
internationale
ISO/TC 67/SC 6
Industries du pétrole et du gaz, y
Secrétariat: AFNOR
compris les énergies à faible teneur
Début de vote:
en carbone — Exigences relatives
2026-10-02
au système de protection des
Vote clos le:
équipements à combustion
2026-11-27
Oil and gas industries including lower carbon energy —
Protective system requirements for fired equipment
LES DESTINATAIRES DU PRÉSENT PROJET SONT
INVITÉS À PRÉSENTER, AVEC LEURS OBSERVATIONS,
NOTIFICATION DES DROITS DE PROPRIÉTÉ DONT ILS
AURAIENT ÉVENTUELLEMENT CONNAISSANCE ET À
FOURNIR UNE DOCUMENTATION EXPLICATIVE.
OUTRE LE FAIT D’ÊTRE EXAMINÉS POUR
ÉTABLIR S’ILS SONT ACCEPTABLES À DES FINS
INDUSTRIELLES, TECHNOLOGIQUES ET COM-MERCIALES,
AINSI QUE DU POINT DE VUE DES UTILISATEURS, LES
PROJETS DE NORMES
INTERNATIONALES DOIVENT PARFOIS ÊTRE CONSIDÉRÉS
DU POINT DE VUE DE LEUR POSSI BILITÉ DE DEVENIR DES
NORMES POUVANT
SERVIR DE RÉFÉRENCE DANS LA RÉGLEMENTATION
NATIONALE.
Numéro de référence
PROJET FINAL
Norme
internationale
ISO/TC 67/SC 6
Industries du pétrole et du gaz, y
Secrétariat: AFNOR
compris les énergies à faible teneur
Début de vote:
en carbone — Exigences relatives
2026-10-02
au système de protection des
Vote clos le:
équipements à combustion
2026-11-27
Oil and gas industries including lower carbon energy —
Protective system requirements for fired equipment
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO 2026
LES DESTINATAIRES DU PRÉSENT PROJET SONT
Tous droits réservés.
INVITÉS À PRÉSENTER, AVEC LEURS OBSERVATIONS,
NOTIFICATION DES DROITS DE PROPRIÉTÉ DONT ILS
La présente publication de l’ISO est protégée par le droit d’auteur et demeure la propriété de l’ISO et/ou de ses concédants de
AURAIENT ÉVENTUELLEMENT CONNAISSANCE ET À
licence.
FOURNIR UNE DOCUMENTATION EXPLICATIVE.
Le contenu de la présente publication de l’ISO est fourni sous licence, et n’est pas vendu. Son utilisation est soumise aux conditions
OUTRE LE FAIT D’ÊTRE EXAMINÉS POUR
ÉTABLIR S’ILS SONT ACCEPTABLES À DES FINS
de licence applicables définies par l’ISO, un organisme membre de l’ISO, ou un distributeur tiers agréé.
INDUSTRIELLES, TECHNOLOGIQUES ET COM-MERCIALES,
Sous réserve des besoins liés à sa mise en œuvre ou d’une autorisation expresse prévue aux termes d’une licence distincte, aucune
AINSI QUE DU POINT DE VUE DES UTILISATEURS, LES
partie de la présente publication de l’ISO ne peut être reproduite, distribuée, modifiée, utilisée ou mise à disposition sous quelque PROJETS DE NORMES
INTERNATIONALES DOIVENT PARFOIS ÊTRE CONSIDÉRÉS
forme ou par quelque moyen que ce soit – électronique ou mécanique, y compris la photocopie, la numérisation, l’enregistrement
DU POINT DE VUE DE LEUR POSSI BILITÉ DE DEVENIR DES
ou la publication sur des plateformes numériques internes ou externes.
NORMES POUVANT
SERVIR DE RÉFÉRENCE DANS LA RÉGLEMENTATION
Toute utilisation hors du champ d’application des droits accordés est interdite et peut donner lieu à des poursuites judiciaires.
NATIONALE.
ISO copyright office
Case postale 401 • CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
Numéro de référence
ii
Sommaire Page
Avant-propos .iv
Introduction .v
1 Domaine d'application . 1
2 Références normatives . 2
3 Termes et définitions . 2
4 Exigences normatives . 6
4.1 Généralités .6
4.2 Intrants . .7
4.2.1 Bonne pratique .7
4.2.2 Documents .8
4.3 Équipe d'analyse des risques .8
4.4 Identification des phénomènes dangereux .8
4.4.1 Événements dommageables primaires .8
4.4.2 Phénomènes dangereux entraînant des événements dommageables primaires .9
4.4.3 Phénomènes dangereux d'escalade à la suite d'événements dommageables
primaires .9
4.5 Diagramme de progression du scénario de phénomène dangereux .9
4.5.1 Forme et format.9
4.5.2 Identification d'un scénario de phénomène dangereux .11
4.6 Gravité du dommage et critères de tolérance .11
4.6.1 Gravité du dommage .11
4.6.2 Seuils des critères de risque . 12
4.7 Détermination de la fréquence prévue des événements, de la tolérance et d'ALARP . 12
4.7.1 Fréquence des événements déclencheurs . 12
4.7.2 Moyens de protection . 12
4.7.3 Modificateurs de probabilité . 12
4.7.4 Fréquence des événements prévus . 13
4.7.5 Catégorisation de fréquence des événements prévus . 13
4.7.6 Achèvement d'une procédure d'évaluation de la réduction du risque . 13
4.8 Inspection, essais et maintenance en cours . 13
4.8.1 Inspection . 13
4.8.2 Essais .14
4.8.3 Maintenance .14
4.9 Matériel de formation, calendriers et conservation des enregistrements.14
Annexe A (informative) Quantitative ALARP subroutine .15
Annexe B (informative) Qualitative ALARP subroutine .20
Annexe C (normative) Moyens de protection et couches de protection indépendantes .23
Annexe D (informative) Feasibility of Detonation in Fired Heaters in Upset Conditions .25
Annexe E (informative) Fired Equipment Deflagration Probability Modifier .33
Annexe F (informative) Flammable Mixture and Flooded Firebox Hazard Scenario Progression
diagrams .35
Annexe G (informative) Typical Hazard Scenario Progression Diagram Examples .37
Bibliographie .77

iii
Avant-propos
L'ISO (Organisation internationale de normalisation) est une fédération mondiale d'organismes nationaux
de normalisation (comités membres de l'ISO). L'élaboration des Normes internationales est en général
confiée aux comités techniques de l'ISO. Chaque comité membre intéressé par une étude a le droit de faire
partie du comité technique créé à cet effet. Les organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l'ISO participent également aux travaux. L'ISO collabore étroitement avec
la Commission électrotechnique internationale (IEC) en ce qui concerne la normalisation électrotechnique.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier, de prendre note des différents
critères d'approbation requis pour les différents types de documents ISO. Le présent document
a été rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directives).
L'ISO attire l'attention sur le fait que la mise en application du présent document peut entraîner l'utilisation
d'un ou de plusieurs brevets. L'ISO ne prend pas position quant à la preuve, à la validité et à l'applicabilité de
tout droit de propriété revendiqué à cet égard. À la date de publication du présent document, l'ISO n'avait pas
reçu notification qu'un ou plusieurs brevets pouvaient être nécessaires à sa mise en application. Toutefois,
il y a lieu d'avertir les responsables de la mise en application du présent document que des informations
plus récentes sont susceptibles de figurer dans la base de données de brevets, disponible à l'adresse
http://www.iso.org/brevets. L'ISO ne saurait être tenue pour responsable de ne pas avoir identifié tout ou
partie de tels droits de brevet.
Les appellations commerciales éventuellement mentionnées dans le présent document sont données pour
information, par souci de commodité, à l'intention des utilisateurs et ne sauraient constituer un engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion de
l'ISO aux principes de l'Organisation mondiale du commerce (OMC) concernant les obstacles techniques au
commerce (OTC), voir le lien suivant: www.iso.org/iso/fr/avant-propos.
Le présent document a été élaboré par le comité technique ISO/TC 67, Industries du pétrole et du gaz, y compris
les énergies à faible teneur en carbone, sous-comité SC 6, Équipements des procédés, tuyauteries, systèmes, et
sécurité qui y est rattachée.
Il convient que l'utilisateur adresse tout retour d'information ou toute question concernant le présent
document à l'organisme national de normalisation de son pays. Une liste exhaustive desdits organismes se
trouve à l'adresse http://www.iso.org/fr/members.html.

iv
Introduction
Le présent document a pour but de fournir un cadre de base pour l'identification des phénomènes
dangereux, l'appréciation du risque et la réduction du risque, y compris la méthodologie «as low as
reasonably practicable» (aussi bas que raisonnablement possible) (ALARP) qui s'applique spécifiquement
aux équipements à combustion.
Le présent document définit les phénomènes dangereux associés aux équipements à combustion qui
sont susceptibles de causer des dommages. La norme explique comment ces phénomènes dangereux se
transforment en scénarios, en commençant par des événements déclencheurs, en présence de modificateurs
de probabilité qui permettent à l'équipement à combustion de progresser à travers des états de processus
intermédiaires et, s’ils ne sont pas maîtrisés, de conduire à un événement dommageable irréversible, pouvant
conduire à un dommage.
Le présent document donne des recommandations au lecteur sur les événements déclencheurs, les
modificateurs de probabilités et les moyens de protection qui peuvent être appliqués aux équipements à
combustion.
Le présent document donne des recommandations au lecteur sur la manière dont les fréquences des
événements déclencheurs, les modificateurs de probabilités et les moyens de protection peuvent être
appliqués aux équipements à combustion afin de déterminer la fréquence d'un événement dommageable.
Afin de réduire la fréquence des événements dommageables, des améliorations peuvent être apportées
sous forme de réduction de la fréquence des événements déclencheurs ou de moyens de protection. Quelle
que soit la manière dont les améliorations sont classées, elles ne sont comptabilisées qu'une seule fois par
scénario de phénomène dangereux.
Les utilisateurs du présent document sont informés que des exigences supplémentaires ou différentes
peuvent être nécessaires pour des applications particulières. Le présent document n'est pas destiné à
empêcher un fournisseur de proposer, ou un acheteur d'accepter, d'autres équipements ou d'autres solutions
techniques pour l'application spécifique. Cela est d'autant plus vrai lorsque la technologie est innovante
ou en cours de développement. Si une alternative est proposée, le fournisseur doit détailler tout écart par
rapport au présent document.
v
PROJET FINAL Norme internationale ISO/FDIS 5133:2026(fr)
Industries du pétrole et du gaz, y compris les énergies à
faible teneur en carbone — Exigences relatives au système de
protection des équipements à combustion
1 Domaine d'application
Le présent document définit un programme fondé sur les risques pour déterminer les exigences relatives aux
systèmes de protection pour les équipements alimentés par du pétrole, de la pétrochimie et du gaz naturel,
y compris les énergies à faible teneur en carbone. Le processus s'applique aux équipements à combustion
neufs ou existants.
Pour les modifications apportées à des équipements à combustion existants qui ont été conçus conformément
au présent document, le domaine d'application peut se limiter aux modifications.
Le présent document s'applique aux:
— phénomènes dangereux susceptibles de provoquer des dommages;
— formes conceptuelles et administratives de réduction du risque.
NOTE 1 Voir la Figure 1 pour une représentation graphique de la hiérarchie de la réduction du risque.
NOTE 2 Pour des recommandations relatives à l'élimination et à la substitution des phénomènes dangereux, voir
l'ISO 45001:2018, 8.1.2.
Figure 1 — Hiérarchie de la réduction du risque et domaine d'application
NOTE 3 Un exemple de hiérarchie des mesures de réduction du risque lié à un réchauffeur à gaz à tirage naturel
utilisé dans les processus industriels est le suivant:
— élimination - éliminer le risque lié à la combustion des réchauffeurs à gaz utilisés dans les processus industriels en
les remplaçant par des réchauffeurs électriques;
— substitution - remplacer le gaz combustible utilisé dans les raffineries par du gaz naturel à pouvoir calorifique
constant, provenant par exemple d'un réseau de distribution;

— fonction d'ingénierie - installer un débitmètre massique qui compense les variations de composition du gaz
combustible utilisé dans les raffineries;
— fonction administrative - maintenir une faible occupation autour des réchauffeurs à gaz à tirage naturel.
Le domaine d'application du présent document exclut:
— l'évaluation de l'impact environnemental, de l'impact commercial ou de la perte de réputation;
— les réductions de risque sous forme d'élimination, de substitution et d'équipement de protection
individuelle;
— les équipements à combustion commerciaux utilisés pour la préparation des aliments, le chauffage des
locaux, les petits chauffe-eau potable et d'autres applications non liées au processus telles que les petits
appareils de chauffage utilisés dans les applications de maintenance.
2 Références normatives
Le présent document ne contient aucune référence normative.
3 Termes et définitions
Pour les besoins du présent document, les termes et définitions suivants s'appliquent.
L'ISO et l'IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en normalisation,
consultables aux adresses suivantes:
— ISO Online browsing platform: disponible à l'adresse https:// www .iso .org/ obp
— IEC Electropedia: disponible à l'adresse https:// www .electropedia .org/
3.1
système de contrôle de processus de base
BPCS
combinaison d'un équipement associé, et soit d'autres systèmes programmables ou opérateurs, soit les deux
qui génèrent des signaux de sortie entraînant le fonctionnement du processus et de l'équipement associé de
la manière souhaitée, mais qui n'effectue aucune fonction instrumentée de sécurité
3.2
personne compétente
personnel compétent
personne qui a acquis, par le biais d'une formation, de qualifications ou d'une expérience, ou une combinaison
de ces éléments, les connaissances et les compétences permettant à cette personne d'exécuter une tâche
spécifiée
3.3
défaillance de boucle de régulation
défaillance de composants ou d'aspects d'une boucle de régulation
Note 1 à l'article: Des exemples de défaillance de boucle de régulation comprennent, mais sans s'y limiter: capteur,
régulateur, élément final, point de consigne incorrect, perte de communication, perte d'alimentation.
3.4
opérateur de l'installation
personne, entreprise ou organisme responsable de l'exploitation d'une installation ou d'un lieu de travail, ou
qui a la responsabilité d'une matière dangereuse ou d'une énergie dangereuse dans une installation

3.5
équipement à combustion
dispositif permettant de convertir un combustible en chaleur par voie de combustion, y compris le circuit de
gaz combustible en aval de la vanne d'arrêt manuelle d'alimentation en carburant, les sections de transfert de
chaleur, l'air de combustion et les systèmes de traitement des gaz de combustion associés, l'instrumentation,
les commandes et les couches de protection
3.6
phénomène dangereux de chambre de combustion inondée
présence de combustible non brûlé dans la chambre de combustion en présence d'une source d'inflammation
(flamme), avec un pouvoir calorifique suffisant pour qu'une explosion se produise lorsque de l'air est ajouté
ou que le combustible est rapidement réduit
3.7
risque de mélange inflammable
présence de combustible non brûlé dans la chambre de combustion en présence d'air, avec un pouvoir
calorifique suffisant pour qu'une explosion puisse se produire lorsqu'une source d'inflammation est ajoutée
3.8
noyage
accumulation continue de combustible non brûlé dans les équipements à combustion où l'injection de
combustible est augmentée par la régulation par rétroaction de la variable primaire du processus
EXEMPLE Température de sortie de la bobine pour un appareil de chauffage.
3.9
bonne pratique
méthodes et mesures minimales reconnues traitant un aspect de l'équipement à combustion qui existait au
moment de l'approbation de la décision finale d'investissement du projet d'équipement à combustion
Note 1 à l'article: Les aspects peuvent inclure, sans toutefois s'y limiter, la rédaction des modes opératoires, la
conception mécanique, la spécification et l'installation d'instruments, la spécification et l'installation du solveur
logique, la conception et l'installation des commandes, l'installation de la conception de la couche de protection.
3.10
dommage
blessure physique ou atteinte à la santé des personnes, ou atteinte aux biens ou à l'environnement
Note 1 à l'article: Pour les besoins du présent document, la définition du dommage est réduite à la mort ou aux blessures
physiques irréversibles pour les personnes.
[SOURCE: Guide ISO/IEC 51:2014, 3.1, modifié — Note 1 à l'article ajoutée.]
3.11
phénomène dangereux
source potentielle de dommage
[SOURCE: Guide ISO/IEC 51:2014, 3.2]
3.12
scénario de phénomène dangereux
séquence d'événements commençant par un événement déclencheur, entraînant potentiellement un
dommage
3.13
couche de protection indépendante
IPL
dispositif, système ou action capable d'empêcher un scénario d'entraîner la conséquence indésirable,
indépendamment de l'événement déclencheur ou de l'action de toute autre couche de protection associée au
scénario
[13]
[SOURCE: CCPS ]
3.14
événement déclencheur
IE
défaillance ou erreur nécessaire pour commencer la propagation d'un scénario de phénomène dangereux
Note 1 à l'article: La défaillance d'une couche de protection indépendante n'est pas un événement déclencheur.
3.15
événement dommageable
LE
point dans le temps dans un scénario de phénomène dangereux lorsqu'un événement physique irréversible
se produit et qu'il est susceptible de causer un dommage
Note 1 à l'article: Un événement dommageable primaire est parfois l'événement déclencheur pour un ou plusieurs
événements dommageable secondaires.
Note 2 à l'article: L'événement dommageable est généralement synonyme d'événement dangereux.
3.16
mode de fonctionnement
condition de fonctionnement définissable d'un équipement de traitement lorsqu'il passe de l'arrêt au
fonctionnement, puis de nouveau à l'arrêt, chaque mode de fonctionnement représentant un régime de
fonctionnement unique qui soutient les objectifs de l'équipement de traitement consistant à transformer une
entrée en une sortie souhaitée
Note 1 à l'article: Les exemples de modes de fonctionnement comprennent, sans toutefois s'y limiter: pré-allumage,
allumage, pilotes uniquement, fonctionnement normal, post-allumage.
Note 2 à l'article: Les modes de fonctionnement peuvent contenir des sous-modes, par exemple, la purge est un sous-
mode de pré-allumage.
3.17
discipline opérationnelle
exécution correcte de toutes les tâches à chaque fois
[1]
[SOURCE: CCPS ]
3.18
modificateur de probabilité
PM
valeur sans dimension qui fournit un ajustement numérique de la séquence, de la probabilité, des
conséquences et de la sévérité associées au scénario de phénomène dangereux
EXEMPLE Probabilité d'une atmosphère dangereuse, probabilité d'inflammation, probabilité d'explosion,
probabilité de présence de personnel, probabilité d'une blessure ou d'un décès, probabilité d'un endommagement
de l'équipement, probabilité d'augmentation du débit d'air après la présence de combustibles dans la chambre de
combustion et durée d'exposition au risque.
Note 1 à l'article: Les conditions favorables et les modificateurs conditionnels sont des modificateurs de probabilité.
3.19
description du contrôle des processus
document de conception décrivant la configuration et la programmation du système de contrôle de
processus de base, et la manière dont l'opérateur interagit avec le système, pour amener le processus et les
équipements associés à fonctionner de la manière souhaitée dans son enveloppe opérationnelle

3.20
état du processus
PS
état de fonctionnement initial ou intermédiaire d'un équipement à combustion dans un scénario de
phénomène dangereux
Note 1 à l'article: Des exemples d'états de processus sont les suivants: état par défaut, accumulation de combustible et
risque de mélange inflammable.
3.21
couche de protection
tout mécanisme indépendant qui réduit les risques par le contrôle, la prévention ou l'atténuation
[SOURCE: IEC 61511-1:2016+AMD1: 2017, 3.2.57]
3.22
risque
combinaison de la probabilité d'un dommage et de la gravité de ce dommage
Note 1 à l'article: La probabilité d'occurrence comprend l'exposition à un scénario de phénomène dangereux,
l'occurrence d'un événement dangereux et la possibilité d'éviter ou de limiter le dommage.
[SOURCE: Guide ISO/IEC 51:2014, 3.9]
3.23
risque résiduel
risque subsistant après que des couches de protection ont été appliquées
[SOURCE: Guide ISO/IEC 51:2014, 3.8]
3.24
en sécurité
sécurité
absence de risque intolérable
[SOURCE: Guide ISO/IEC 51:2014, 3.14]
3.25
moyen de protection
tout dispositif, système ou action qui, soit interrompt la chaîne d'événements à la suite d'un événement
déclencheur, soit atténue les conséquences
Note 1 à l'article: Tous les moyens de protection ne répondront pas aux exigences d'une IPL.
[13]
[SOURCE: CCPS ]
3.26
fonction instrumentée de sécurité
SIF
fonction de sécurité mise en œuvre par un système instrumenté de sécurité
[SOURCE: IEC 61511-1:2016+AMD1: 2017, 3.2.67]
3.27
système instrumenté de sécurité
SIS
système instrumenté utilisé pour mettre en œuvre une ou plusieurs fonctions instrumentées de sécurité
[SOURCE: IEC 61511-1:2016+AMD1: 2017, 3.2.67]

3.28
risque tolérable
niveau de risque accepté dans un contexte donné sur la base des valeurs actuelles de la société
Note 1 à l'article: Les termes «risque acceptable» et «risque tolérable» sont considérés comme synonymes.
[SOURCE: Guide ISO/IEC 51:2014, 3.15]
4 Exigences normatives
4.1 Généralités
Les présents paragraphes définissent les exigences normatives pour un programme fondé sur les risques
permettant de déterminer les exigences relatives aux systèmes de protection pour les équipements à
combustion alimentés par du pétrole, de la pétrochimie et du gaz naturel, y compris les énergies à faible
teneur en carbone.
NOTE Voir la Figure 2 pour une représentation du programme fondé sur les risques sous forme d'organigramme
informatif.
Figure 2 — Organigramme informatif d'un programme fondé sur les risques permettant de
déterminer les exigences relatives aux systèmes de protection
4.2 Intrants
4.2.1 Bonne pratique
L'équipement à combustion doit être conçu, exploité, inspecté, soumis à essai et entretenu conformément
aux bonnes pratiques concernant les aspects suivants de l'équipement:
— la conception des équipements à combustion;
— la conception de l'instrumentation;
— la conception des commandes;
— la conception de la couche de protection;
— la conception du solveur logique;

— l'inspection, les essais et la maintenance en cours;
— la discipline opérationnelle.
4.2.2 Documents
Les documents suivants doivent être fournis à titre d'intrants pour le processus fondé sur le risque:
— plans d'agencement général;
— spécifications;
— diagramme de canalisation et d'instrumentation (P&ID);
— description du contrôle;
— modes opératoires.
4.3 Équipe d'analyse des risques
L'équipe d'analyse des risques doit inclure des représentants de la sécurité du processus, de l'instrumentation,
de l'exploitation et de l'ingénierie des équipements à combustion.
L'équipe d'analyse des risques doit inclure des représentants d'autres disciplines techniques déterminées
par l'opérateur de l'installation, par exemple:
— la conception des commandes;
— la conception de la couche de protection;
— la maintenance;
— l'ingénierie des processus.
Au moins trois membres de l'équipe d'analyse des risques doivent être familiarisés avec les équipements à
combustion.
Une personne compétente peut remplir plusieurs rôles.
Un coordonnateur de l'équipe d'analyse des risques doit être désigné.
Le coordonnateur de l'équipe peut également être l'un des représentants de la discipline.
Il convient que l'équipe établisse une collaboration entre toutes les entreprises impliquées dans la conception,
la fabrication, la propriété, l'exploitation et la maintenance de l'équipement à combustion.
4.4 Identification des phénomènes dangereux
4.4.1 Événements dommageables primaires
Les principaux événements dommageables primaires doivent être identifiés.
NOTE 1 Les exemples d'événements dommageables primaires comprennent:
— déflagration d'un mélange inflammable accumulé de gaz combustible et d'air;
— déflagration d'un mélange inflammable accumulé de composants volatilisés de combustibles liquides et d'air;
— incendie de nappe de combustible liquide accumulé;
— perte de confinement du tube de traitement;
— rejet de combustible toxique non brûlé;

— grande masse d'eau à son point d'ébullition et à haute pression.
NOTE 2 Pour la description des déflagrations, voir l'Annexe D informative.
4.4.2 Phénomènes dangereux entraînant des événements dommageables primaires
Les phénomènes dangereux qui peuvent conduire à chaque événement dommageable primaire doivent être
identifiés.
NOTE 1 Les exemples de phénomènes dangereux comprennent:
a) les risques de mélange inflammable (combustible et air en l'absence de source d'inflammation), y compris
l'extinction de la flamme, la présence de combustible restant dans la chambre de combustion après un
déclenchement, une fuite dans un tube pendant le mode de fonctionnement de préchauffage;
b) les risques d'inondation de la chambre de combustion (combustible et source d'inflammation en l'absence d'air),
y compris un fonctionnement sévèrement sous-stœchiométrique, une défaillance du tube de traitement, une
libération de gaz combustible toxique;
c) les phénomènes dangereux du processus à la sortie de l'équipement à combustion, y compris la température
élevée du fluide de processus, la pression élevée du fluide de processus.
4.4.3 Phénomènes dangereux d'escalade à la suite d'événements dommageables primaires
L'équipe d'analyse des risques doit déterminer si un arrêt de l'équipement à combustion est susceptible
de créer un autre phénomène dangereux à l'intérieur de l'équipement à combustion ou ailleurs dans
l'installation.
NOTE Par exemple, l'arrêt du four refroidit rapidement l'unité de traitement, ce qui peut conduire à un incendie de
bride ailleurs dans l'unité.
4.5 Diagramme de progression du scénario de phénomène dangereux
4.5.1 Forme et format
Les scénarios de phénomène dangereux suivent la forme générale représentée à la Figure 3, en commençant
par un événement déclencheur (IE) se produisant lorsque l'équipement à combustion est dans l'état de
processus par défaut PS et dans un mode de fonctionnement particulier, potentiellement en présence de
modificateurs de probabilité PM et de moyens de protection SG , qui entraîne l'équipement à combustion
1(x) 1(x)
à progresser vers un nouvel état de processus intermédiaire PS . La séquence se poursuit ensuite dans un
autre état de processus intermédiaire PS par l'intermédiaire de modificateurs de probabilité et de moyens
de protection avant que l'événement dommageable (LE) ne soit atteint. Les modificateurs de probabilité
finaux PM et les moyens de protection atténuants SG peuvent ensuite être appliqués avant la survenue
4(x) 4(x)
de l'événement dangereux (HE).
NOTE Pour une explication détaillée de l'exemple de diagrammes de progression du scénario de phénomène
dangereux liés à des événements déclencheurs types, voir l'Annexe G informative.

Légende
PM modificateur de probabilité
x(a)
PS état du processus
x(a)
IE événement déclencheur
LE événement dommageable
HE événement dangereux
SG moyen de protection
x(a)
A accumulation de combustible
B deuxième constituant conduisant à la création d'un risque de mélange inflammable
C déflagration
D dommage
NOTE Lorsque l'opérateur de l'installation applique une méthodologie d'appréciation du risque qui implique
plusieurs IE, la Figure 3 peut être modifiée en conséquence.
Figure 3 — Exemple de diagramme de progression du scénario de risque de mélange inflammable
avec des moyens de protection
4.5.2 Identification d'un scénario de phénomène dangereux
4.5.2.1 Généralités
Pour les phénomènes dangereux identifiés en 4.4.2, l'équipe doit identifier les scénarios de phénomène
dangereux sur la base d'IE uniques répondant aux paragraphes suivants.
4.5.2.2 Modes de fonctionnement
Les scénarios de phénomène dangereux doivent être identifiés pour tous les modes de fonctionnement.
Les scénarios de phénomène dangereux doivent être identifiés lorsque l'équipement à combustion est en
transition entre les modes de fonctionnement.
Les scénarios de phénomène dangereux doivent être identifiés lorsque des conditions transitoires se
produisent dans les modes de fonctionnement.
NOTE Les conditions transitoires sont, par exemple, un changement dans la composition du combustible, un
changement dans la composition de l'alimentation du processus ou un changement dans le taux de charge de l'unité.
4.5.2.3 Événements déclencheurs
Les IE d'un scénario de phénomène dangereux doivent être identifiés dans les catégories suivantes:
a) à l'intérieur de l'équipement à combustion;
b) à l'extérieur de l'équipement à combustion;
c) la défaillance de l'équipement;
d) la défaillance du contrôle de processus;
e) la défaillance humaine.
NOTE 1 Un exemple d'IE interne est une défaillance de la boucle du système de contrôle de processus de base
(BPCS) de gaz combustible.
NOTE 2 Les exemples d'événements déclencheurs externes comprennent l'intervention de tiers, les nuages de gaz
externes, les coups de foudre, la présence de liquides ou de solides dans le combustible ou la défaillance générale du
réseau électrique.
NOTE 3 Les exemples d'événements déclencheurs d'une défaillance d'un équipement comprennent une fuite dans la
tuyauterie.
NOTE 4 Les exemples de défaillances du contrôle de processus comprennent les défaillances de la boucle du BPCS.
NOTE 5 Les exemples de défaillances humaines comprennent la fermeture d'un ou plusieurs registres d'air des
brûleurs alors que ceux-ci sont en service, ou une erreur de saisie du point de consigne par l'opérateur.
4.6 Gravité du dommage et critères de tolérance
4.6.1 Gravité du dommage
La gravité du dommage associé à chaque scénario de phénomène dangereux doit être identifiée et quantifiée
en fonction du nombre de personnes soumises à un dommage.
NOTE 1 La proximité de l'équipement à combustion par rapport aux bâtiments occupés et au public peut avoir un
impact important sur la gravité du dommage.
NOTE 2 Pour des recommandations relatives aux déflagrations lors de la quantification de la gravité du dommage,
voir Annexe D.
4.6.2 Seuils des critères de risque
Les fréquences de seuil suivantes doivent être fournies en fonction de la gravité du dommage (4.5.1). Ces
seuils peuvent être identiques:
— seuil entre un risque inacceptable et tolérable;
— seuil entre un risque tolérable et globalement acceptable.
NOTE 1 Les critères de risque tolérable peuvent être déterminés en partenariat avec des organismes de régulation
de certaines juridictions.
NOTE 2 Les critères de risque tolérable peuvent être tirés de contours de risque publiés dans des documents
[23,24]
publics .
4.7 Détermination de la fréquence prévue des événements, de la tolérance et d'ALARP
4.7.1 Fréquence des événements déclencheurs
La fréquence des IE doit être déterminée pour chaque scénario de phénomène dangereux sur la base des
données de l'opérateur de l'installation.
NOTE 1 Les données fournies par l'exploitant de l'installation peuvent provenir de sources internes et externes,
[13]
notamment des bases de données sur la fiabilité de l'industrie et une référence CCPS .
NOTE 2 La fréquence des événements déclencheurs est généralement de 0,1/an ou plus, à moins que l'analyse ne
justifie une valeur inférieure à 0,1/an.
NOTE 3 Les méthodes d'analyse pour les fréquences des IE causés par une défaillance d'un équipement comprennent
l'analyse des modes de défaillance, de leurs effets et de leur criticité (AMDEC).
NOTE 4 Les méthodes d'analyse pour la fréquence des IE causés par une erreur humaine comprennent la technique
d'évaluation et de réduction des erreurs humaines (HEART) et la technique empirique d'estimation des erreurs des
opérateurs (TESEO).
4.7.2 Moyens de protection
Des moyens de protection doivent être identifiés pour chaque scénario de phénomène dangereux,
conformément à l'Annexe C normative.
La probabilité moyenne de défaillance à la demande (PFD ) du ou des moyens de protection doit être
AVG
déterminée.
NOTE S'il n'existe pas de moyens de protection, la PFD du moyen de protection est 1.
4.7.3 Modificateurs de probabilité
Des modificateurs de probabilité doivent être déterminés pour chaque scénario de phénomène dangereux.
Le cas échéant, les modificateurs de probabilité indiqués comme PM , PM , PM et PM à la Figure 3 doivent
1 2 3 4
être déterminés.
L'exposition limitée du personnel aux phénomènes dangereux peut être un modificateur de probabilité
de PM ou une couche de protection administrative SG , mais elle ne doit pas être utilisée comme les deux
4 4
dans un même scénario de phénomène dangereux.
Le produit de tous les modificateurs de probabilité applicables, PM , PM , PM et PM , doit être déterminé.
1 2 3 4
NOTE 1 Les modificateurs de probabilité PM , PM et PM sont généralement de 0,1 ou plus, à moins que l'analyse
1 2 4
ne justifie une valeur inférieure à 0,1.

NOTE 2 Les modificateurs de probabilité PM sont généralement de 0,1 ou plus, à l'exception des équipements à
combustion qui fonctionnent pendant une durée significative au-dessus de la température d'auto-inflammation pour
les combustibles, lorsqu'une valeur inférieure à 0,1 peut être appropriée. Voir l'Annexe E informative pour plus de
détails.
NOTE 3 PM est l'emplacement dans le diagramme de progression du scénario de phénomène dangereux, où
e
le 2 constituant dans la création du risque de mélange inflammable est introduit. Voir l'Annexe F informative pour des
détails sur l'utilisation de ce modificateur de probabilité.
NOTE 4 Pour des recommandations relatives aux modificateurs de probabilité, voir Référence [14].
NOTE 5 Le produit des modificateurs de probabilité est généralement de 0,01 ou plus, à moins que l'analyse capable
de résister à l'examen ne justifie une valeur inférieure à 0,01.
4.7.4 Fréquence des événements prévus
Pour chaque scénario de phénomène dangereux, la fréquence des événements prévus doit être déterminée
comme étant le produit de la ou des fréquences des IE (4.7.1) et le produit de la PFD du ou des moyen(s)
AVG
de protection (4.7.2) et le produit de tous les modificateurs de probabilité applicables, PM , PM , PM et PM
1 2 3 4
(4.7.3).
4.7.5 Catégorisation de fréquence des événements prévus
Pour chaque scénario de phénomène dangereux, la fréquence des événements prévus déterminée en 4.7.4
doit être classée comme étant inacceptable, tolérable ou globalement acceptable (voir 4.6.2).
Si la fréquence des événements prévus déterminée est globalement acceptable, d'autres réductions de risque
ne sont pas nécessaires et une évaluation supplémentaire ne doit pas être requise.
Si la fréquence des événements prévus déterminée est inacceptable, un SG supplémentaire doit être mis en
œuvre, la PFD fournie par le SG doit être déterminée, et l'utilisateur doit se référer au 4.7.3.
Si la fréquence des événements prévus déterminée est tolérable mais pas globalement acceptable, une
évaluation ALARP quantitative ou qualitative doit être effectuée pour déterminer si des réductions de
risque supplémentaires sont justifiées.
NOTE Voir l'Annexe A pour des recommandations relatives à une ALARP quantitative et l'Annexe B pour des
recommandations relatives à une ALARP qualitative.
4.7.6 Achèvement d'une procédure d'évaluation de la réduction du risque
Si la fréquence des événements prévus restant après l'application de réductions de risque justifiées par
l'évaluation ALARP est globalement acceptable ou ALARP, d'autres réductions de risque ne sont pas
nécessaires et une évaluation supplémentaire ne doit pas être requise.
4.8 Inspection, essais et maintenance en cours
4.8.1 Inspection
L'opérateur de l'installation doit élaborer des procédures, des programmes et des politiques de conservation
des enregistrements pour l'inspection en cours des composants de l'équipement à combustion.
NOTE 1 Le but du programme d'inspection en cours est de révéler les défaillances de composants en cours de
développement avant une défaillance complète. Les procédures et les programmes d'inspection en cours sont fondés
sur les recommandations du fabricant, les normes de l'industrie et l'expérience d'exploitation antérieure.
NOTE 2 L'application d'une norme interne de l'opérateur de l'installation en plus de l'IEC 61511-1 répond à
l'intention de cette exigence pour les couches de protection instrumentées.
NOTE 3 L'application d'une norme interne de l'opérateur de l'installation en plus de l'American Petroleum Institute
(API) RP 556 répond à l'intention de cette exigence.
...