Si consideri un reattore semi-batch in cui il guasto in apertura della valvola di dosaggio può causare una reazione fuggitiva, sovrappressione e rottura del recipiente con possibili vittime tra gli operatori del reparto. Frequenza dell'evento iniziatore: guasto dell'anello di regolazione, 0,1 all'anno. Condizione abilitante: il dosaggio avviene per circa metà del tempo annuo, fattore 0,5. Frequenza di partenza: 0,05 all'anno.
Strati di protezione esistenti: un allarme di alta temperatura indipendente con intervento dell'operatore, che ha circa venti minuti per fermare il dosaggio, PFD 0,1; un disco di rottura dimensionato per lo scenario bifase che scarica in un serbatoio di raccolta, PFD 0,01. Frequenza mitigata: 0,05 per 0,1 per 0,01, cioè 5 per dieci alla meno cinque, ovvero 0,00005 all'anno. Si aggiunge un modificatore di presenza: gli operatori sono nella zona di impatto per circa metà del turno, fattore 0,5, quindi 2,5 per dieci alla meno cinque all'anno.
Se il criterio aziendale per questa gravità è dieci alla meno sei all'anno, la frequenza calcolata è 25 volte troppo alta. Serve una funzione strumentata di sicurezza con fattore di riduzione del rischio almeno pari a 25, che ricade nella fascia del SIL 1, ad esempio un trasmettitore di temperatura dedicato che chiude una valvola di blocco sul dosaggio. Il conto mostra anche che, se il disco di rottura non fosse accreditabile, ad esempio perché scarica in un'area presidiata, il requisito salirebbe di cento volte.