Trabajo Fin de Máster

Máster en Ingeniería Química

Aplicación de la herramienta BOW-TIE para la

identificación y gestión de los riesgos en
instalaciones de procesos

Autor: Andrés Muñoz Arjona

Tutor: Luis Cañadas Serrano

Equation Chapter 1 Section 1

Dpto. Ingenieria Química y ambiental

Escuela Técnica Superior de Ingeniería
Universidad de Sevilla
Sevilla, 2021
2
 Trabajo Fin de Máster
Ingeniería Química

Aplicación de la herramienta BOW-TIE para la

identificación y gestión de los riesgos en
instalaciones de procesos

Autor:
Andrés Muñoz Arjona

Tutor:
Luis Cañadas serrano

Dpto. Ingeniería Química y ambiental

Escuela Técnica Superior de Ingeniería
Universidad de Sevilla
Sevilla, 2021
4
Trabajo Fin de Máster: Aplicación de la herramienta BOW-TIE para la identificación y gestión de los riesgos
en instalaciones de procesos

Autor: Andrés Muñoz Arjona

Tutor: Luis Cañadas Serrano

El tribunal nombrado para juzgar el Proyecto arriba indicado, compuesto por los siguientes miembros:

Presidente:

Vocales:

Secretario:

Acuerdan otorgarle la calificación de:

Sevilla, 2021
6

El Secretario del Tribunal

A mi familia
A mis profesores
A mis amigos
8
 Agradecimientos

En primer lugar, quería agradecer a mi familia la oportunidad de haber podido completar mi formación
con el máster, han sido muchos años fuera de casa y nunca han dudado en ayudar a formarme en lo que
realmente he querido y necesitado. Por ello y por todo el apoyo recibido durante todo este tiempo, gracias.
También agradecer a mis compañeros y de máster, muchos convertidos en muy buenos amigos.
Aunque este camino haya sido un poco más corto, ha sido mucho más duro y hemos sabido como poder
sacarlo todo adelante, juntos y sin dejar de lado un buen rato de descanso y alguna cerveza de por medio. En
estos 7 años en Sevilla, hemos forjado una amistad muy fuerte y durarera, por lo que se que a muchos de ellos
los voy a llevar siempre y a donde sea, cueste lo que cueste.
También agradecer a los compañeros y responsables del departamento de Seguridad Industrial de
INERCO, lugar donde se ha realizado el presente trabajo, desde el que he formado parte desde el pasado
noviembre y que me han hecho todo un poco más fácil, sabiendo ser siempre responsable y echar una mano en
aquello que costaba un poco más. Siempre dispuestos a ayudar, con un gran sentido del humor y un ambiente
muy agradable; estoy muy agradecido de poder haber conociedo y formado parte de ellos este tiempo, ha sido
una experiencia que viviría una y mil veces.
Por último, agradecer a mis tutores su ayuda y entrega para con este trabajo, a Luis Cañadas Serrano,
siempre dispuesto a resolver cualquier tipo de duda que se presentaba. También, a Pilar Ojeda Rodríguez que,
pese a todo el trabajo que ha tenido en INERCO, siempre sacaba el tiempo necesario de donde hiciese falta
para dedicárselo a este trabajo, pendiente de cualquier fallo o duda que se presentase y dispuesta a ayudar en
cualquier momento. No hay mejor tutora. Me alegro mucho de los tutores que he tenido, muchas gracias a
ambos.

Mi paso como estudiante por la ETSI, con este trabajo, finaliza. Estos 7 años me han dado cosas,
conocimientos y personas por las que estar agradecido para siempre. No hace falta decir nombres porque
aquellas personas que sabéis que hago alusión en estas frases, sois conscientes de ellos. Por ello y mucho más,
gracias a todos.

Andrés Muñoz Arjona

Córdoba-Sevilla 2021
10
 Resumen

La seguridad en la industria de procesos es uno de los aspectos más importantes. Toda instalación y
cadena de procesos debe estar adecuada y preparada para saber actuar ante cualquier tipo de situación que
lleve asociado un peligro, desde un posible fallo en la cadena de proceso hasta un accidente grave, tanto con
daños a instalaciones y equipos como a personas.
El primer objetivo de este trabajo es la de utilizar una de las herramientas más conocidas en las
instalaciones de procesos para la evaluación de su seguridad, la metodología de evaluación de riesgos BOW-
TIE. Esta metodología muestra, de forma visual, todos los elementos que pueden contribuir en el desarrollo de
un posible escenario, teniendo en cuenta los posibles peligros involucrados en el proceso de producción de
cualquier instalación, con el objetivo de producir un producto de la forma más segura posible, analizando qué
tipo de causas pueden generar dicho evento (que se quiere evitar) hasta las consecuencias que pueden llegar a
originarse.
La metodología BOW-TIE no es de obligado cumplimiento, por lo que no hay ninguna ley que obligue
a las instalaciones a usarla como estudio de seguridad. Sin embargo, es una de las herramientas más útiles y
visuales, usadas para analizar los posibles escenarios peligrosos que se pueden producir, identificando las
capas de protección que evitan y/o mitigan las consecuencias derivadas de los mismos.
Como segunda parte de dicho proyecto, se presenta un software basado en la metodología que sirve de
objeto de estudio en este trabajo, denominado BowTieXP. Se ha realizado un caso práctico basado en la
metodología BOW-TIE, usando el software mencionado anteriormente. El caso práctico está basado en un
análisis de riesgos en un horno industrial de procesos.
El horno objeto de estudio fue examinado para poder definir el peligro y evento principal que
conformarían el inicio del diagrama BOW-TIE, siendo los cuales “presencia de fuel gas dentro del horno de
procesos” y “formación de atmosfera explosiva”, respectivamente. Una vez seleccionado uno de todos los
posibles peligros que caracterizan a un horno de procesos, fue posible poder generar todo el diagrama BOW-
TIE, visualizando de forma clara, por un lado, el estudio correspondiente a la parte de amenazas y cualquier
situación que pueda generar el evento no deseado y, por otro lado, el estudio correspondiente a la parte de
consecuencias, determinando que escenario no deseado podría llegar a generarse.
En ambos casos, se determinó de qué forma poder evitar tanto la generación del evento no deseado, a
través de barreras de prevención, como la forma de poder controlar, de manera segura, las consecuencias una
vez que este evento ya se haya descontrolado, a través de barreras de mitigación.
12
 Abstract

Safety in the process industry is one of the most important aspects. Every installation and process chain
must be adequate and prepared to know how to act in any type of situation that involves a danger, from a
possible failure in the process chain to a serious accident, both with damage to facilities and equipment and to
people.
The first objective of this work is to use one of the best known tools in process facilities for the
evaluation of their safety, the BOW-TIE risk assessment methodology. This methodology visually shows all
the elements that can contribute to the development of a possible scenario, taking into account the possible
dangers involved in the production process of any facility, with the aim of producing a product in the safest
way. possible, analyzing what type of causes can generate said event (which is to be avoided) to the
consequences that may arise.
The BOW-TIE methodology is not mandatory, so there is no law that requires facilities to use it as a
safety study. However, it is one of the most useful and visual tools, used to analyze the possible dangerous
scenarios that may occur, identifying the layers of protection that avoid and / or mitigate the consequences
derived from it..
As the second part of this project, a software based on the methodology that serves as the object of
study in this work is presented, called BowTieXP. A practical case based on the BOW-TIE methodology has
been carried out, using the software mentioned above. The practical case is based on a risk analysis in an
industrial process furnace.
The furnace under study was examined in order to define the danger and main event that would make
up the beginning of the BOW-TIE diagram, being "presence of fuel gas inside the process furnace" and
"formation of explosive atmosphere", respectively. Once one of all the possible hazards that characterize a
process furnace had been selected, it was possible to generate the entire BOW-TIE diagram, clearly
visualizing, on the one hand, the study corresponding to the part of threats and any situation that may
generating the unwanted event and, on the other hand, the study corresponding to the consequences part,
determining which unwanted scenario could be generated.
In both cases, it was determined how to avoid both the generation of the unwanted event, through
prevention barriers, as well as how to safely control the consequences once this event has already got out of
control, through through mitigation barriers.
14

Índice

Agradecimientos ........................................................................................................................................... 9
Resumen ..................................................................................................................................................... 11
Abstract....................................................................................................................................................... 13
Índice .......................................................................................................................................................... 14
Índice de Tablas........................................................................................................................................... 15
Índice de Figuras ......................................................................................................................................... 17
1 Alcances y Objetivos ............................................................................................................................ 19
2 Parte Teórica ........................................................................................................................................ 21
2.1. Antecedentes ............................................................................................................................................. 21
2.2. Normativas ................................................................................................................................................ 22
2.3. Conceptos y Definiciones .......................................................................................................................... 23
2.4. Modelos de evaluación de riesgos y modelo BOW-TIE........................................................................... 23
2.5. Metodología BOW-TIE [7]......................................................................................................................... 28
2.5.1. Elementos principales del diagrama BOW-TIE ................................................................................ 28
2.5.1.1. PELIGRO...................................................................................................................................... 28
2.5.1.2. TOP EVENT ................................................................................................................................. 29
2.5.1.3. CONSECUENCIAS ....................................................................................................................... 30
2.5.1.4. AMENAZAS................................................................................................................................. 31
2.5.1.5. BARRERAS .................................................................................................................................. 32
2.5.1.6. FACTORES DE DEGRADACIÓN Y CONTROLES DE DEGRADACIÓN.......................................... 37
2.5.2. Desarrollo y estructura del diagrama. ............................................................................................. 38
3. Caso Práctico........................................................................................................................................ 47
3.1. Análisis de la documentación a utilizar para el desarrollo del BOW-TIE ............................................... 47
3.2. Desarrollo del estudio BOW-TIE ............................................................................................................... 50
4. Conclusiones ........................................................................................................................................... 61
Referencias.................................................................................................................................................. 66
 ÍNDICE DE TABLAS

Tabla 1. Efectividad y color de las barreras. 34

Tabla 2. Tipos de barreras y vínculos con los elementos “Detectar-Decidir-Actuar”. 36
Tabla 3. Formulación de peligros. 41
Tabla 4. Formulación del top event. 42
Tabla 5. Formulación de amenazas. 43
Tabla 6. Formulación de consecuencias. 43
Tabla 7. Formulación de barreras de prevención. 44
Tabla 8. Formulación de barreras de mitigación. 44
Tabla 9. Factores y controles de degradación bien formulados 45
Tabla 10. Factores y controles de degradación mal formulados. 45
Tabla 11. Equipos del proceso 48
Tabla 12. Consecuencias definidas en el caso práctico para el horno H1. 51
Tabla 13. Causas definidas en el caso práctico para el horno H1. 51
16
 ÍNDICE DE FIGURAS

Figura 1. Estructura de la metodología BOW-TIE. 20

Figura 2. Estructura de la cebolla de capas de protección. 24
Figura 3. Esquema de evaluación de riesgos típico de instalaciones de procesos. 25
Figura 4. Ejemplo de árbol de fallos [6]. 26
Figura 5. Ejemplo de árbol de eventos o sucesos [6]. 27
Figura 6. Ejemplo de esquema BOW-TIE generado a partir de los árboles de fallos y eventos,
respectivamente. 27
Figura 7. Esquema básico del modelo BOW-TIE. 38
Figura 8. Estructura de realización de un diagrama BOW-TIE estándar. 39
Figura 9. Representación del peligro en el diagrama BOW-TIE. 41
Figura 10. Representación del top event en el diagrama BOW-TIE. 42
Figura 11. Representación de las amenazas en el diagrama BOW-TIE. 43
Figura 12. Representación de las consecuencias en el diagrama BOW-TIE. 43
Figura 13. Representación de cualquier barrera en el diagrama BOW-TIE. 44
Figura 14. Representación de los factores de degradación en el diagrama BOW-TIE. 45
Figura 15. Representación de un diagrama BOW-TIE. 46
Figura 16. Diagrama del proceso. 48
Figura 17. Peligro definido en el caso práctico para el horno H1. 50
Figura 18. Top event definido en el caso práctico para el horno H1. 50
Figura 19. Diagrama general del esquema BOW-TIE del horno 1. 46
Figura 20. Modelo del queso suizo [8]. 61
18
 1 ALCANCES Y OBJETIVOS
El objetivo principal de este trabajo Fin de Máster se centra en el estudio y desarrollo de la metodología de
evaluación de riesgos BOW-TIE y, a su vez, en el uso y conocimiento de un software, denominado
BowTieXP, basado en la aplicación de dicha metodología para la evaluación de riesgos.
Esta metodología tiene el propósito principal de evaluar el riesgo a través de un análisis exhaustivo de las
distintas capas de protección envueltas en un escenario de riesgo.
Los objetivos de dicha metodología se resumen a continuación:
• Generar un cuadro global de todos los escenarios de posibles accidentes que se pudieran generar a raíz
de un evento de riesgo.
• Una vez establecidas las medidas de control, recoger las acciones necesarias para controlar los
escenarios de riesgo.
Este trabajo se ha dividido en dos grandes bloques, uno teórico y otro práctico. En cada uno de ellos se ha
establecido un objetivo parcial para poder alcanzar el objetivo principal de dicho proyecto.
• Parte teórica. Se busca conocer la metodología y las bases del software para poder implementar dicha
metodología a proyectos ya existentes o proyectos de nueva generación, haciendo una evaluación de
riesgos. En dicho bloque se expone un breve marco histórico en el que se desarrollo la metodología
BOW-TIE por primera vez, así como una serie de conceptos importantes que aparecerán a lo largo del
trabajo asociados a dicha metodología. Como se describirá más adelante, esta metodología no es de
obligado cumplimiento; sin embargo, se hace referencia a ella en algunas normas relacionadas con la
seguridad industrial. Por último, se desarrolla en su totalidad la metodología BOW-TIE, así como un
desglosamiento de cada una de las partes que conforman el diagrama, explicándolas una a una y
situándolas visualmente en el esquema.
• Parte práctica. Se propone un caso práctico existente para realizar una evaluación de riesgo con el
software BowTieXP. De esta forma, se puede dar una visión positiva del programa, puesto que es una
herramienta muy visual, a la par que clara. En él, se expone un horno de procesos, al que se le ha
llamado horno H1, y se le ha realizado un estudio de seguridad BOW-TIE, donde se ha analizado uno
de los posibles peligros que pueda desencadenar en un evento no deseado, siendo este evento la
formación de una atmósfera explosiva dentro del horno.

La finalidad de este trabajo ha sido un estudio detallado de la metodología BOW-TIE que, aunque no siendo
una de las metodologías más usadas dentro de seguridad en instalaciones de procesos es, sin embargo, una de
las más completas, debido a que, al ser un esquema altamente visual e intuitivo, proporciona mucha
información para aquellas personas que no tengan un alto grado de formación en seguridad de procesos. Por
tanto, se trata de una metodología cuyo uso se ha incrementado en los últimos años.

19
20 Alcances y Objetivos

Figura 1. Estructura de la metodología BOW-TIE.

Con dicha metodología se pretende conseguir una capacitación global del uso de este análisis de riesgos
aplicado a instalaciones industriales.
 2 PARTE TEÓRICA
2.1. Antecedentes
La evaluación de riesgos es una parte fundamental de la gestión de la seguridad y la operación en la empresa
que ayuda al empresario a controlar los riesgos en el lugar de trabajo derivados del manejo, transporte,
generación, etc., de sustancias peligrosas y/o del uso de procesos en los que se desarrollan condiciones de
procesos que llevan intrínseco un determinado peligro capaz de generar un riesgo, en caso de que dicho peligro
sea capaz de materializarse.
Para llevar a cabo la evaluación de riesgo se deberán determinar los elementos peligrosos e identificar a los
trabajadores expuestos a los mismos, valorando a continuación el riesgo existente en función de criterios
objetivos de valoración, de manera que se pueda llegar a la conclusión sobre la magnitud de los riesgos y la
necesidad de evitar, controlar o mitigar dicho riesgo, con el objetivo de ser reducido [1].
Las instalaciones industriales llevan continuamente a cabo proyectos de modificaciones, los cuales introducen
en las mismas nuevos procesos tecnológicos o mejoras y cambios en los ya implantados.
El concepto de seguridad aplicado en estas instalaciones, va mucho más allá del mero cumplimiento de
las obligaciones legales. Así, para estos proyectos se pueden llevar a cabo los siguientes estudios y
análisis, los cuales algunos son de obligado cumplimiento, y otros no (siendo estos últimos análisis de
mejora de la seguridad, o pudiendo ser de obligado cumplimiento en caso de requerirlo su plan de gestión
de la seguridad), y que se desarrollan previos a la implantación y operación de las instalaciones [2]:

• Estudios de Riesgos y Operabilidad (HAZOP), a partir de los cuales se identifican y detectan

posibles desviaciones en los procesos, analizando aspectos de control, y operación y
mantenimiento de la planta, implantándose las medidas correctoras necesarias para evitarlas.
Estos estudios se desarrollan durante la ingeniería de detalle con objeto de que las medidas se
consideren para la construcción de la planta.

• Análisis SIL (Safety Integrity Level), con objeto de evaluar en base a un análisis de riesgos de los
procesos cuál es el nivel de Seguridad o Índice SIL exigible a los Sistemas Instrumentados de
Seguridad (SIS) de las instalaciones.

• Análisis de Riesgos (AR), a partir de los cuales se identifican posibles puntos de fallos y
accidentes de las instalaciones, evaluándose las posibles consecuencias de éstos en caso de que
ocurriesen, de forma que se pueden establecer medidas que eviten que éstos ocurran o en su caso
limiten o mitiguen sus posibles efectos.

• Análisis Cuantitativo de Riesgos (ACR), a partir de estos estudios se puede conocer cuál es el
riesgo derivado de las distintas instalaciones a los que pueden estar expuestos tanto los propios
trabajadores como el público en general. Este tipo de estudio permite además priorizar sobre las
actuaciones y las medidas de seguridad a implantar con el objetivo siempre de llegar a niveles de
riesgo totalmente admisibles y tolerables.

Cabe destacar que la metodología de riesgos BOW-TIE, objetivo de este trabajo, no se considera de obligado
cumplimiento, aun así, se usa como metodología de Análisis de Riesgos en un número elevado de
instalaciones de procesos.
El origen exacto de la metodología BOW-TIE no se conoce con exactitud, ni el cómo ni el cuándo se originó.

21
 Parte Teórica

Sin embargo, se asociá su origen a unos primeros esbozos, como notas que pertenecían a un curso que se dio
en la Universidad de Queensland, Australia, en 1979.
Ya en 1988, a raíz del accidente ocurrido en la plataforma petrolífera Piper Alpha se llegó a la conclusión de
que había muy poca comprensión de las amenazas y riesgos que forman parte de las instalaciones, por lo que
urgía el uso de una metodología que cubriese dichas necesidades.
En la década de los noventa, Shell Group adoptó el método BOW-TIE como estándar de la compañía para el
análisis y gestión de sus riesgos. El objetivo era crear una metodología de estudio que permitiera asegurar la
implementación de capas de protección adecuadas, asegurando así el control de los riesgos.
En la última década, la metodología BOW-TIE ha ganado mucha popularidad al erigirse como una
herramienta clara de identificación y gestión de riesgo a una mayor escala que las otras metodologías ya
existentes. Dicha metodología se ha extendido fuera de la industria del petróleo y gas, incluyendo sectores
como la aviación, minería, química, etc. [3].

2.2. Normativas
• ISO 31000:2018. Gestión del riesgo. Directrices [4].
En la Parte- 1 de las Directivas ISO/IEC se describen los procedimientos utilizados para desarrollar este
documento y para su mantenimiento posterior. En particular debería tomarse nota de los diferentes criterios de
aprobación necesarios para los distintos tipos de documentos ISO. Este documento se redactó de acuerdo a las
reglas editoriales de la Parte 2 de las Directivas ISO/IEC.
Las organizaciones de todos los tipos y tamaños se enfrentan a factores e influencias externas e internas
que hacen incierto si lograrán sus objetivos.
La gestión del riesgo es iterativa y asiste a las organizaciones a establecer su estrategia, lograr sus
objetivos y tomar decisiones informadas.
La gestión del riesgo es parte de la gobernanza y el liderazgo y es fundamental en la manera en que se
gestiona la organización en todos sus niveles. Esto contribuye a la mejora de los sistemas de gestión.
La gestión del riesgo es parte de todas las actividades asociadas con la organización e incluye la
interacción con las partes interesadas.
La gestión del riesgo considera los contextos externo e interno de la organización, incluido el
comportamiento humano y los factores culturales.

• ISO 17776:2016. Industrias del petróleo y del gas natural. Instalaciones marinas de producción.
Gestión de riesgos de accidentes graves durante el diseño de nuevas instalaciones [5].
Esta norma describe los procesos para gestionar los peligros de accidentes graves (MA, Mayor Accident)
durante el diseño de instalaciones de producción de gas y petróleo en alta mar. Proporciona requisitos y
orientación sobre el desarrollo de estrategias tanto para prevenir la aparición de MA como para limitar las
posibles consecuencias. También contiene algunos requisitos y orientación sobre la gestión de los peligros de
MA en funcionamiento.
ISO 17776: 2016 es aplicable al diseño de
- Estructuras marinas fijas, y
- Sistemas flotantes para producción, almacenamiento y descarga para las industrias del petróleo y del gas
natural.
El alcance incluye todos los peligros de MA creíbles con el potencial de tener un efecto material en las
personas, el medio ambiente y los activos.
 2.3. Conceptos y Definiciones
Capas de mitigación: Son aquellas que se encargan de disminuir la severidad de los accidentes que ya han
ocurrido.
Capas de prevención: Son aquellas que actúan antes de que se produzca la pérdida de contención.
Causas: Las causas, también denominadas amenazas, corresponden a los posibles desencadenantes del top
event, es decir, aquellos escenarios que, en caso de fallo, pueden provocar que el top event se produzca en la
instalación.
Consecuencias: Se entiende por consecuencia los resultados no deseados a los que puede conducir el top
event, es decir, aquellos escenarios que se producen de una serie de fallos que ha desencadenado el top event.
Control de degradación: Elemento que previene que un factor de degradación actúe sobre una barrera
determinada.
Factor de degradación: Es una condición que puede reducir la efectividad de la barrera a la que está
adherido.
Fuente de riesgo: Elemento que, por sí solo o en combinación de otros, tiene potencial de causar daño.
Gestión de riesgo: Actividades coordinadas para dirigir y controlar la organización para controlar el riesgo.
Modelo Bow-Tie: Un diagrama de riesgo que muestra cómo varias amenazas pueden conducir a la pérdida de
control de un peligro y permitir que esta condición insegura se convierta en una serie de consecuencias no
deseadas. El diagrama puede mostrar todas las barreras y controles de degradación implementados.
Peligro: El peligro es una actividad, operación o material dentro de una organización que tiene el potencial de
causar daño.
Riesgo: Se entiende como riesgo la probabilidad de que ocurra un suceso tanto físico como químico inherente
a un material, equipo o sustancia, el cual tiene el potencial de causar daño.
Top event: El top event (o evento principal) corresponde al momento en el que se ha perdido el control sobre
el peligro.

2.4. Modelos de evaluación de riesgos y modelo BOW-TIE.

Las instalaciones son diseñadas para adecuarse a las condiciones normales de trabajo, pero deben ser capaces
de soportar alteraciones previsibles, aunque sean ocasionales, sin generar daños a personas, bienes y/o
medioambiente.
El análisis de riesgos en este tipo de instalaciones requiere considerar todas las variables que condicionan los
procesos físicos y químicos de dichas instalaciones, planteándose variaciones en las mismas ante posibles
fallos o deficiencias y, consecuentemente, la capacidad de respuesta de la instalación en base a sus
características y a los distintos elementos de seguridad de los que esté constituida, muchos de los cuales deben
garantizar una respuesta activa. No es tarea fácil ya que las alteraciones posibles son diversas y, tanto las
causas, como las consecuencias, las cuales deben ser consideradas para poder efectuar una evaluación de
riesgos de la instalación, son múltiples.
Una peculiaridad destacable en las instalaciones de procesos es la relación que suele existir entre riesgos y
factores casuales, que según las circunstancias que desencadenan los problemas, generan diferentes niveles de
peligrosidad y de gravedad de sus consecuencias.
Para hacer frente a estos niveles de peligrosidad, las instalaciones de procesos aplican criterios de distinta
importancia tanto en el diseño de los equipos e instalaciones como en medidas de seguridad, traducidas como
capas de protección.
En las instalaciones industriales, las capas de protección están ligadas unas y otras, y representadas con una
estructura definida como “estructura de la cebolla”, siendo su orden de dentro hacía fuera.

23
 Parte Teórica

Figura 2. Estructura de la cebolla de capas de protección.

Dicha estructura está dividida en dos grandes bloques:
• Las capas de prevención. Están destinadas a disminuir la probabilidad de que se produzca un
accidente en una instalación
• Las capas de mitigación. Destinadas a limitar las consecuencias derivadas una vez ocurrida la
pérdida de contención.
Algunas de las metodologías más importantes pueden ser los estudios HAZOP o Análisis SIL, los cuales se
encargan de hacer un estudio en profundidad enfocado a la mejora de las capas preventivas, es decir, se
centran en tener un buen sistema de prevención en la instalación. Esto es debido a que estas metodologías
están enfocadas a que sean aún mejores las capas de prevención para, así, poder evitar la formación de
accidentes en las propias instalaciones, disminuyendo así la probabilidad de ocurrencia de los mismos, aunque
por supuesto es importante tener un buen sistema de mitigación que actúe de forma rápida y eficaz ante una
pérdida de contención, siendo la metodología BOW-TIE una de las mejores técnicas que desarrollan y evalúan
todas estas capas de protección, tanto prevención como mitigación.
Para la evaluación de riesgos se pueden realizar diversos estudios para saber coo gestionar los distintos riesgos
que se pueden generar en instalaciones de procesos.
El objetivo de dichos estudios se centra en 3 puntos importantes a tener en cuenta:
• Entender qué puede salir mal y qué pasaría en el caso de que saliese mal.
• Saber qué hacer para prevenir que algo salga mal.
• Asegurar que los mecanismos preventivos y mitigadores funcionen.
 Figura 3. Esquema de evaluación de riesgos típico de instalaciones de procesos.

Con respecto a los modelos de evaluación de riesgos, hay dos en particular, en los que podemos basarnos para
explicar la metodología BOW-TIE y que caben destacar. Dichos modelos son:

• Modelo de árbol de fallos [6]: El árbol de fallos en un modelo en el que se representan los factores
que contribuyen a los accidentes. El desarrollo de dicho modelo empieza en el momento de estudio de
las causas que pueden generar un posible accidente, hasta en el momento que éste ocurre.
Dicho modelo utiliza la lógica booliana (basa en puertas tipo And y tipo Or) para modelar las
relaciones causales entre los eventos. Con las puertas de tipo And, el suceso de salida ocurre si se dan
simultáneamente todos los sucesos de entradas. Sin embargo, con las puertas tipo Or, el suceso de
salida se da si sucede, al menos, uno de los sucesos de entrada.
Es importante una buena elección del suceso deseado puesto que, si se escoge uno demasiado general,
el análisis se hace inmanejable. Sin embargo, si el suceso elegido es demasiado especifíco, el análisis
no proporcionará información suficiente del sistema de estudio.

25
 Parte Teórica

Figura 4. Ejemplo de árbol de fallos [6].

• Modelo de árbol de eventos [6]: El árbol de eventos o árbol de sucesos es un método inductivo que
describe la evolución de un suceso iniciador sobre la base de la respuesta de distintos sistemas
tecnológicos o condiciones externas. Desarrolla una secuencia de sucesos a partir del suceso iniciador
del fallo.
La construcción del árbol comienza por la identificación de todos los factores que condicionan la
evolución del suceso iniciador. A continuación, se colocan dichos factores como cabezales de la
estructura gráfica.
Partiendo del suceso iniciador, se plantean dos bifurcaciones: La que se desarrolla en la parte superior
representa el éxito del suceso, mientras que en la parte inferior se desarrolla el fallo o la no ocurrencia
de dicho suceso.
 Figura 5. Ejemplo de árbol de eventos o sucesos [6].

Teniendo en cuenta los dos modelos propuestos anteriormente se puede hacer una similitud con la
metodología BOW-TIE. El árbol de fallos se centra en el estudio de todas las causas y sus posibles capas de
prevención de un suceso, basándose en cómo se puede evitar dicho suceso y, por otro lado, el árbol de eventos
estudia todos los posibles escenarios posibles una vez ocurrida la pérdida de contención, es decir, se centra en
como minimizar los daños que se pueden causar y disminuir la probabilidad de que dicho evento indeseable
desencadene situaciones peores y más peligrosas a la ocurrida.
Entonces, podemos deducir que el árbol de fallos equivale al lado izquierdo del modelo BOW-TIE y, por otro
lado, el lado derecho del modelo equivale al árbol de eventos.
Finalmente, se obtiene que el modelo BOW-TIE nace de una combinación de los dos modelos descritos
anteriormente, siguiendo el siguiente esquema:

Figura 6. Ejemplo de esquema BOW-TIE generado a partir de los árboles de fallos y eventos,
respectivamente.

27
 Parte Teórica

2.5. Metodología BOW-TIE [7]

La metodología BOW-TIE proporciona un modelo visual, intuitivo y de fácil comprensión que comunica tanto
las causas como las consecuencias de un potencial peligro principal. También cuenta con barreras y el estado
de dichas barreras de una manera que sea más fácil de entender para los no expertos, ingenieros, gerentes, etc.
El desarrollo de los BOW-TIE sigue muchas de las técnicas de identificación de PHA (Preliminar Hazard
Analysis). La información de otras técnicas de PHA se pueden utilizar para el desarrollo de los diagramas
BOW-TIE, como pueden ser losinformes HAZOP, HAZID, árbol de fallas y eventos, etc.
Un aspecto que caracteriza a los PHA son su extenso formato, lo cual perjudica su comunicación, debido a que
éstos pueden evaluar una amplia gama de escenarios. Sin embargo, el modelo BOW-TIE es muy útil para
facilitar dicha información, ya que muestra visualmente el escenario con las amenazas, medidas de prevención
y mitigación y las posibles consecuencias.

2.5.1. Elementos principales del diagrama BOW-TIE

El diagrama BOW-TIE contiene 8 elementos principales, los cuales se describen a continuación:
• Peligro
• Top event (evento principal)
• Causas o amenazas
• Consecuencias
• Barreras de prevención
• Barreras de mitigación
• Factores de degradación
• Controles de degradación

Aunque en el apartado 2.3 se introducen algunos de estos conceptos, a continuación, se desarrollan más en
detalle para cada una de las partes que conforman el BOW-TIE:

2.5.1.1. PELIGRO

El peligro es el objeto de estudio que puede desencadenar el top event. En el diagrama, está representado
encima del top event; el peligro hace referencia a una situación existente en la planta o a algún paso en el
proceso de producción de un producto, pero en una situación contralada. Un descontrol del peligro sería la
situación de generación del top event.
La función del peligro es definir el alcance de todo el modelo BOW-TIE. Los peligros definidos de forma
genérica van a dar lugar a modelos BOW-TIE genéricos; por lo que el peligro debe ser específico. Esto tiende
a agregar valor porque aumenta el nivel de detalle del resto del estudio.
Existen dos conceptos que pueden ser muy relevantes a la hora de definir el peligro:
• Contexto situacional: La información situacional del peligro puede ser de tan importancia para
comprender a qué tipo de peligro se enfrenta, como puede ser la ubicación geográfica, la fase de
operaciones u otras actividades recurrentes, entre otros.
• Indicación de escala: La escala involucrada también puede proporcionar información importante,
como puede ser el volumen de un tanque de almacenamiento o la presión a la que se encuentra una
sustancia química, entro otros.
Los peligros normalmente son identificados en el proceso de estudio PHA, aunque también es de gran ayuda la
lista de verificación de peligros que están recogidos en la (ISO 17776:2016), que puede proporcionar una
orientación sobre una gran gama de peligros potenciales.
Para poder formular el peligro de forma correcta hay que tener en cuenta dos aspectos muy importantes:

• Describir el peligro en su estado controlado. Para la descripción del peligro en el diagrama, éste tiene
que estar descrito de una forma controlada, no como un escenario peligroso (debido a que este último
correspondería al top event). Un peligro describe una sustancia o proceso que es potencialmente
dañino, pero no la pérdida de control sobre el mismo. Por ejemplo, en el caso de un tanque de
almacenamiento con metanol, el peligro no puede describirse como “Sobrellenado del tanque de
almacenamiento de metanol” porque éste es un hecho descontrolado y describe el top event. La forma
correcta de definir al peligro sería “tanque de almacenamiento de metanol”. Una forma útil de saber si
el peligro está bien definido es hacerse la siguiente pregunta: “¿El peligro, tal y como está definido,
forma parte del proceso normal?”. Si es así, está bien definido; por el contrario, habría que
reformularlo.
• Agregar detalles al peligro para determinar alcance y nivel de detalle. Cuanto mejor definido esté el
peligro, más útil y más preciso será el bow-tie desarrollado. El peso sobre la importancia de las
palabras “ser preciso” dentro del diagrama bow-tie recae, casi en su totalidad, en el peligro descrito
debido a que el nivel de detalle en el resto del diagrama será mayor cuanto más preciso sea el peligro.

2.5.1.2. TOP EVENT

El top event (o evento principal) corresponde al momento en el que se pierde el control sobre el peligro
analizado, liberando un potencial daño.
Aunque el top evente haya podido ocurrir, las barreras de mitigación aún podrían actuar para evitar un numero
considerable de consecuencias.
Es posible identificar varios top events procedentes de un solo peligro, es decir, aunque sea un único peligro el
que se analice, éste puede dar lugar a varios top event. De aquí, se puede deducir que de un solo peligro se
pueden generar varios diagramas BOW-TIE distintos.
Sin embargo, cada diagrama BOW-TIE estudia un único top event para un único peligro. Por ejemplo, si bien
un peligro puede ser “almacenamiento de gasolina en tanque”, de este peligro se podrían analizar varios top
events, como pueden ser “sobrellenado del tanque de gasolina” o “corrosión del tanque de gasolina”, entre
otros.
En términos de estructura, el diagrama y, sin tener en cuenta el peligro del que viene el top event, se podría
decir que el top event resulta como final de la estructura del árbol de fallas, que corresponde a la parte
izquierda del esquema BOW-TIE. También correspondería al inicio del lado derecho del diagrama (el cual
corresponde al árbol de eventos), convirtiéndose en la antesala del estudio de las posibles consecuencias que se
pudiesen generar.
Para poder formular el top event de una forma correcta hay que tener en cuenta los siguientes aspectos:
• Describir cómo se pierde el control del peligro. Se conoce que para poder formular bien el top event,
éste tiene que definir bien la pérdida de control del peligro. Algunos de los casos más comunes
pueden ser una pérdida de contención, pérdida de separación, pérdida de estabilidad (como puede ser
una plataforma) o una pérdida de control (de una reacción química, por ejemplo).
• Dar una indicación de la escala, si es posible. Al igual que ocurría en el análisis del peligro, una buena
forma de tener un diagrama más exacto sería poder cuantificar de manera descriptiva y detallada el
top event. Por ejemplo, si se analiza una “fuga de hidrocarburos”, sería mucho mejor poder diferenciar
entre la ruptura del tanque o tubería en cuestión y la fuga de los mismos, debido a que tanto las

29
 Parte Teórica

barreras de mitigación como las consecuencias serán diferentes.

• El top event no es una consecuencia. Es importante no confundir el desarrollo de un top event con una
consecuencia originada por dicho evento, ya que lo que se tiene que desarrollar es una pérdida de
control sobre el peligro. Una buena pregunta para saber si se está formulando de forma correcta podría
ser “¿Es esto una pérdida de contención o una consecuencia?”. Por ejemplo, la muerte de un
empleado sería una consecuencia de la pérdida de control de un evento ocurrido, habiendo pasado por
varias barreras de mitigación que podrían haber evitado dicha consecuencia.
• Elegir el mejor top event. Como se ha comentado anteriormente, para un único peligro pueden
corresponderla más de un top event, sin embargo, no todos los eventos analizados son igual de
buenos, puesto que uno de ellos puede dar lugar un BOW-TIE muy escueto y otro a un BOW-TIE
muy extenso. Para ello, hay que analizar cuál es el mejor de todos en aspectos tanto de seguridad
como económicos.
Al igual que en los casos anteriores, hay varias preguntas que pueden ayudar a corroborar que el top
event elegido es el adecuado: “¿Este top event cubre todos los riesgos de esta operación?”; “¿Se puede
hacer el mismo análisis con una sola pajarita y no con varias?”. Sin embargo, la pregunta más
importante para un buen diagrama, tanto en seguridad como en económico es: “¿Cuántas amenazas y
consecuencias podemos generar para este top event?”. Si la respuesta es inferior a 2, el BOW-TIE será
demasiado estrecho; por el contrario, si es superior a 10, el BOW-TIE será demasiado extenso.

2.5.1.3. CONSECUENCIAS

Las consecuencias en un diagrama BOW-TIE están referidas a aquellos escenarios que se generan a partir del
top event y no son deseados. Por la estructura del propio diagrama, el camino natural a la hora de desarrollarlo
sería de izquierda a derecha, es decir, amenazas y consecuencias, respectivamente. Sin embargo, el desarrollar
primero las posibles consecuencias puede ayudar a definir únicamente las amenazas que van a desencadenar
las consecuencias más importantes.
De un top event particular, se pueden generar muchas consecuencias, aunque las que se suelen desarrollar en el
diagrama, una vez que la pérdida de contención se ha originado, son aquellas que requieren de barreras de
mitigación, las más importantes en esta sección. A veces, también se puede mostrar información de la matriz
de riesgos en el diagrama, para así mostrar la gravedad de la pérdida o daño que una consecuencia puede
generar. Aun así, esta información suele estar disponible en el propio estudio PHA.
Generalmente, las consecuencias son escenarios severos derivados del top event, aunque a menudo se pueden
plasmar en el BOW-TIE algunas consecuencias de menor importancia si lo que se busca es un mapeo general
que cubra barreras de todo tipo: ambientales, económicas y de seguridad.
Para poder formular las consecuencias de un modo correcto hay que tener en cuenta que:
• Deben describirse como daño debido al evento. Es muy importante incluir el evento por el cual nace
la consecuencia, debido a que las barreras de mitigación deben de ir caracterizadas al evento en
cuestión que genera la consecuencia. Por ejemplo, en el caso de “muerte por incendio” pueden
requerir unas barreras de mitigación distintas que en el caso de “muertes por exposición a gases
tóxicos”.
Al revisar un diagrama BOW-TIE, si todas las barreras son iguales podrían combinarse, a no ser que
sea de interés que se encuentren separadas. Por lo general, es más fácil combinar las cosecuencias una
vez se haya avanzado en el diagrama que al principio, puesto que en ese momento pueden ser
demasiado genéricas.
 2.5.1.4. AMENAZAS

Las amenazas corresponden a las razones potenciales que pueden desencadenar la pérdida de control de un
peligro que conduce a un top event. Para cada top event, hay varios escenarios que suponen ser una amenaza
para que este evento suceda, los cuales pueden desencadenar el evento de forma dependiente o independiente
unos de otros.
Los documentos que más ayudan a la hora de identificar las amenazas son los PHA o los HAZID/HAZOP,
debido a que estos estudios identifican amenazas que provocan accidentes importantes, aunque no se
identifican todos puesto que son estudios muy amplios y la dedicación a cada amenaza (en tiempo) es menor
que la que se le dedica en un diagrama BOW-TIE.
Cabe destacar que, si no se evitan las amenazas, pueden desencadenar en el top event. Existen 3 categorias
útiles que ayudan a identificar las posibles amenazas referentes al top event:
• Fallos en equipos primarios (Fallo mecánico, en sellos de bombas, etc.)
• Influencia ambiental (sobrepresión por calentamiento o bloqueo de tuberías, entre otros)
• Problemas operativos (falta de personal en el arranque de la planta, por ejemplo).
Entre las amenazas más comunes que pueden desencadenar la pérdida de contención del peligro se encuentran:
• Sobrellenado/ llenado insuficiente.
• Sobrepresión/ baja presión.
• Corrosión.
• Desgaste por uso.
• Daño/ impacto físico.
• Hundimiento/ asentamiento/ terremoto.
Otro método para la identificación de amenazas es el análisis de los procedimientos o protocolos.
Normalmente, la existencia de éstos está destinada a evitar algunas amenazas que desencadenen la pérdida de
contención, lo cual es útil para la realización del BOW-TIE.
Es importante no confundir el error humano como una amenaza que puede ser potencialmente peligrosa. Por
lo general, el error humano se considera como una barrera de degradación de las barreras de prevención de las
amenazas.
Otro error bastante frecuente que aparece cuando se realiza el diagrama es el de no incluir aquellas amenazas
que rara vez ocurren o que pueden estar cubiertas por alguna barrera referida a otra amenaza. Se deben agregar
todas las amenazas creíbles para facilitar las decisiones sobre si existen suficientes barreras de prevención de
suficiente fuerza para controlar la amenaza en particular. Cuando las amenazas utilizan barreras idénticas, estas
se pueden combinar en una única vía de amenaza.
Para poder formular las amenazas de un modo correcto hay que tener en cuenta varios aspectos:
• Deben tener una causalidad directa y ser específicas. Para que una amenaza sea directa, la relación
entre ella y top event debe ser lo suficientemente clara como para que no requiera de ninguna
explicación adicional. Por ejemplo, ante un evento no deseado como puede ser “pérdida de control de
vehículo”, una amenaza sería “conducir por una carretera resbaladiza”. Sin embargo, no se podría
decir “condiciones climáticas adversas”, puesto que realmente no se está dejando clara la amenaza.
Esto también ayuda a la determinación de unas barreras de prevención más específicas. Las barreras
específicas brindan información más práctica que conduce a una mejor comprensión de lo que se debe
hacer para evitar que una amenaza actúe sobre el peligro para producir un evento superior. En el caso
mencionado anteriormente, una barrera de prevención para una carretera resbaladiza será mucho más
efectiva que una barrera dedicada a condiciones climatológicas, que es más general.
• Las amenazas deberían ser suficientes. Cada amenaza como tal debería bastarse por sí sola para poder
llegar a desencadenar el top event. En el caso de no ser así y requerir una combinación con otra
amenaza, ésta no debería estar incluida en el BOW-TIE. Aun así, no dejan de ser amenazas que,
31
 Parte Teórica

combinadas, si pueden desencadenarlo. En ese caso, dichas amenazas deben ser reformuladas en una
sola independiente. Por ejemplo, las amenazas “Cierre incorrecto de válvula por mantenimiento” y
“puesta en marcha de la planta”, independientes no suponen un riesgo que desencadene la pérdida de
contención. Sin embargo, si se reformula tal que “puesta en marcha de la operación mientras la
válvula esté abierta” si supone una amenaza independiente.
• Las amenazas no son barreras de fallos. Hay que tener claro la diferencia entre una barrera de fallo y
una amenaza. La barrera de fallos, por sí sola, no es capaz de desencadenar el top event, mientras que
la amenaza sí tiene la energía suficiente para hacerlo. Por ejemplo, que un candado se haya
deteriorado o incluso roto no tiene energía para desencadenar un evento mayor. Por el contrario, un
impacto mecánico si puede desencadenar un evento mayor.

2.5.1.5. BARRERAS

Las barreras pueden ser físicas o no físicas para prevenir (barreras de prevención) o mitigar (barreras de
mitigación) los eventos no deseados. Las barreras activas pueden diferir con respecto a los componentes
"detectar", "decidir" y "actuar" que contienen y si estos componentes son realizados por humanos o ejecutados
por tecnología. Los mecanismos de detección de la barrera detectan el estado actual y, en base a este estado, se
toma una decisión y se realiza una acción si es necesario.
Se coloca una barrera en el diagrama donde cumple su función. Como ejemplo, en un BOW-TIE con "pérdida
de contención" como evento principal y "fuego" como consecuencia, el "sistema automático de extinción de
incendios" de la barrera solo es efectivo después del evento principal y, por lo tanto, aparece en el lado derecho
del diagrama. Una buena pregunta es si una barrera evitará el evento superior, en cuyo caso debe colocarse a la
izquierda, siendo éstas las barreras de prevención, o si actúa después del evento superior, en cuyo caso aparece
a la derecha, denominadas barreras de mitigación.
• Barreras de prevención
Las barreras de prevención son aquellas que están destinadas a evitar que ocurra el top event. Una
prueba clave para una barrera de prevención es que debe ser capaz de detener por completo el evento
principal por sí sola.
Hay dos formas principales en las que las barreras de prevención tienen efecto.
1. Evitar que una amenaza ocurra.
2. Evitar que una amenaza ya ocurrida desencadene en el top event.
La mejor forma de poder identificar la utilidad de dicha barrera y comprobar que cubre las
necesidades que debe es realizar dos preguntas: “¿De qué manera se pueden prevenir las amenazas?”
y “¿De qué forma se puede prevenir que se genere el top event una vez hayan ocurrido las
amenazas?”.
• Barreras de mitigación
Las barreras de mitigación se emplean después de que haya ocurrido el evento principal y deberían
ayudar a una organización a reducir o minimizar las pérdidas y recuperar el control una vez que se ha
perdido.
Una barrera de mitigación puede tener un rendimiento menor que una barrera de prevención en el
sentido de que solo puede mitigar, no terminar, una consecuencia.
Hay dos formas principales en las que las barreras de mitigación tienen efecto.
1. Evitar que una consecuencia ocurra.
2. Reducir la magnitud de una consecuencia ya ocurrida.
Las barreras se pueden clasificar en dos grupos:
• Barreras basadas en hardware: Se conocen colectivamente como SECE (Safety and Environmental
Critical Event), puediéndose dividir, a su vez, en dos grupos:
o SECE activos. Requieren de una activación para cumplir su objetivo. Dicha activación puede
ser manual, lógica o automática. Ejemplos: Parada de emergencia o sistema de extinción de
incendios, entre otros.
o SECE pasivos. No requieren de ningún tipo de activación para cumplir su objetivo.
Ejemplos: Integridad mecánica (cubetos) o muros contraincendios, entre otros.
• Barreras basadas en personas. Al igual que las anteriores, se pueden dividir en dos grupos:
o Tareas críticas. Acciones que dependen completamente de las personas para prevenir o
mitigar directamente un MA. Tal acción puede involucrar interacción con equipos y
sistemas. Las tareas críticas no deben confundirse con las tareas que tienen una influencia
directa en el desempeño de los SECE (por ejemplo, pruebas, inspección y mantenimiento).
o Procesos críticos. Principalmente impulsado por un procedimiento / estándar / programa /
sistema. Estos procesos necesitan una acción asociada para ser efectivos (por ejemplo,
implementar un plan de evacuación).
Además de identificar las barreras para controlar los peligros, es importante comprender la relación entre las
diferentes barreras para controlar con éxito las amenazas, las consecuencias y los factores de degradación.
Por ejemplo, un sistema de diluvio que se activa presionando un botón puede considerarse como un sistema de
barrera que consiste en una barrera basada en personas (presionar el botón) y dos barreras basadas en hardware
(el botón y el diluvio). Estas barreras dependen unas de otras y el rendimiento de cada barrera afectará el
rendimiento general del sistema.
Un sistema de barrera puede contener tres partes distintas:
• Un mecanismo de detección.
• Una decisión basada en lo que se detecta.
• Una acción que sigue a la decisión.
El uso de sistemas de barreras ayudará a comprender las interacciones entre las barreras y la diversidad en el
tipo de barreras existentes. Tener solo barreras basadas en hardware o personas hace que un sistema sea
vulnerable porque las barreras de un tipo pueden compensar las debilidades de otros tipos y evitar fallas en el
modo común. Se prefieren las barreras pasivas a las activas que, a su vez, se prefieren a las barreras basadas en
personas.
Los controles de amenazas, las medidas de recuperación y los controles de factores de degradación se evalúan
para determinar su eficacia en función de los criterios para los SECE, los procesos críticos y las tareas críticas
que se muestran en la Tabla 1.
Estos criterios son genéricos y están destinados a guiar al equipo de BOW-TIE a la hora de emitir juicios sobre
la eficacia de las barreras.
Evaluar una barrera como Parcialmente eficaz (PE) o Eficacia limitada (LE) es una indicación de que la acción
/ acciones deben evaluarse para considerar la barrera como una evaluación Efectiva (EF).
Esto se puede hacer reforzando la efectividad de la barrera, reemplazando la barrera por una más efectiva o
agregando barreras adicionales que aumenten la efectividad del sistema.

33

Tabla 1. Efectividad y color de las barreras.
Efectividad SECE
El hardware cumple con los
criterios de funcionalidad,
disponibilidad y
confiabilidad de acuerdo con
Efectiva (EF) su Estándar de desempeño
cuando se prueba.
El hardware cumple con su
estándar de rendimiento
durante el funcionamiento
El hardware necesita ajustes
frecuentes para cumplir con
los criterios de funcionalidad,
disponibilidad y
confiabilidad de acuerdo con
su estándar de desempeño.
No debe existir retraso en el
Parcialmente efectiva (EF)
mantenimiento planificado
que pueda afectar el
rendimiento.
El hardware debe cumplir
parcialmente con su estándar
de rendimiento durante el
funcionamiento.
El hardware no siempre está
disponible o no siempre ha
cumplido con su
funcionalidad cuando se
requiere.
Hay un retraso en el
Efectividad limitada (LE) mantenimiento planificado
que podría afectar el
rendimiento.
El hardware cumple
ligeramente con su estándar
de rendimiento durante el
funcionamiento.
Falta de control o no se
Inefectiva (IE) o sin
cumplen los requisitos
efectividad asignada
obligatorios.
Proceso crítico
Se realiza una auditoría
integral del proceso.
Los elementos de acción
identificados para corregir los
hallazgos se completan y
están en su lugar.
El plan de implementación se
sigue según lo programado.
Todas las cuadrillas deben
utilizar el proceso de manera
uniforme.
Se realiza una auditoría
integral del proceso y existe
un plan de implementación
continuo para corregir los
hallazgos.
El activo comienza a
implementar el proceso en su
ubicación.
El proceso no se aplica de
manera uniforme, pero cada
cuadrilla / turno aún lo
considera funcional.
No se ha realizado una
auditoría del proceso.
El activo comienza a
implementar el proceso en su
ubicación.
El proceso no se aplica de
manera uniforme entre todas
las tripulaciones / turnos.
El proceso no se aplica o se
aplica de manera
inconsistente o intermitente.
Parte Teórica
Tareas críticas
La formación del personal
interesado se actualiza.
El personal interesado se
evalúa como competente (en
base a su experiencia,
certificados…) para realizar
sus actividades.
La formación del personal
interesado debe estar
actualizada.
El personal interesado debe
ser evaluado como
competente, pero tiene poca
experiencia en estas tareas
específicas (<1 año).
La formación del personal
interesado no está
actualizada.
El personal interesado tiene
poca experiencia (<1 año) en
el desarrollo de tareas
similares.
El personal interesado no ha
recibido la formación
necesaria.
El personal interesado no
tiene experiencia en el
desarrollo de tareas similares.
Como se muestra en la Tabla 1, cada barrera tiene asignado un color. Esto es así para poder entender mejor un
diagrama en el caso de que, para un mismo sistema, se encuentren más de una barrera con distintos niveles de
eficacia.
Según la clasificación propuesta anteriormente, dividiendo las barreras en hardware y personas, éstas pueden
ser aún más específicas, generándose 5 grupos:
• Hardware pasivo
• Hardware activo
• Hardware activo + humano
• Humano activo
• Hardware continuo
Un error común es clasificar las barreras de hardware activo + humano como hardware activo. Si bien los
elementos más visibles de dicha barrera consisten en hardware (por ejemplo, un sistema de detección de gas y
ESD), esto pasa por alto la contribución humana al aspecto de decidir de detectar-decidir-actuar (por ejemplo,
presionar el botón ESD). Solo se convierte en hardware activo si los tres aspectos de detectar-decidir-actuar
son hardware, por ejemplo, como en un sistema de apagado automático basado en lógica.
Las barreras activas deben tener elementos separados de 'detectar-decidir-actuar', es decir, 'detectar' un cambio
en la condición o lo que va mal, 'decidir' qué acción se requiere para rectificar el cambio y 'actuar' para detener
la amenaza. progresando más. Estos tres términos a veces se denominan "sensor", "lógica" y "actuador" por
algunos usuarios de BOW-TIE, y los relacionan con elementos comunes de un bucle de control instrumentado.
Si falta alguno de los elementos detectar-decidir-actuar para una barrera activa, la barrera no podrá detener un
evento no deseado. Por ejemplo:
1. Un sistema de extinción de incendios podría diseñarse perfectamente para escenarios de incendio
realistas, pero no funcionará si no hay ningún elemento de "detección" que permita a una persona o
controlador decidir que el sistema es necesario y luego activarlo.
2. Una alarma (detección) muy buena es ineficaz si no conduce a una acción de respuesta adecuada. Por
lo tanto, la barrera sería "alarma y respuesta del operador". La respuesta del operador incluye los
elementos decidir y actuar.
3. Una "válvula de cierre de emergencia" (actuar) por sí sola no es una barrera. El sistema debe incluir
elementos de "detección y decisión" o la barrera no funcionará.

35
 Parte Teórica

Tabla 2. Tipos de barreras y vínculos con los elementos “Detectar-Decidir-Actuar”.

Tipo barrera Descripción Detectar Decidir Actuar

La barrera funciona
Hardware Pasivo N/A N/A N/A
según su presencia

Todos los
elementos de la
Hardware Activo barrera son Tecnología Tecnología Tecnología
ejecutados por la
tecnología.

La barrera es una
combinación de
Hardware Activo + comportamiento
Tecnología Humana Tecnología
Humano humano y
ejecución
tecnológica.

La barrera consiste
en acciones Humana (aunque la
Humano Activo humanas, que a Humana Humana acción sea
menudo interactúan tecnológica)
con la tecnología.

La barrera está
Hardware continuo N/A N/A Tecnología
siempre operativa.
 2.5.1.6. FACTORES DE DEGRADACIÓN Y CONTROLES DE DEGRADACIÓN

Los factores de degradación se dibujan en la parte inferior del diagrama, debajo de las barreras a las que se
aplican. Los controles a lo largo de la ruta de degradación se denominan controles de degradación. Un factor
de degradación no causa directamente un evento superior o una consecuencia, pero dado que degrada la
barrera de la ruta principal, la probabilidad de alcanzar consecuencias no deseadas será mayor.
Los factores de degradación se pueden aplicar tanto a las amenazas como a las consecuencias, es decir, a
ambos lados del diagrama BOW-TIE. Por otro lado, los controles de degradación reducen la probabilidad de
que ocurra un accidente y brindan una mayor confianza en que la barrera hará su trabajo de manera efectiva.
Los controles de degradación se encuentran a lo largo de las vías de degradación hacia esa barrera donde
ayudan a vencer el factor de degradación. Además, solo deben aparecer en las vías de degradación, ya que no
evitan un evento superior ni mitigan una consecuencia directamente.
Es un error común colocar controles de degradación en las vías principales del BOW-TIE. Esto genera
confusión por dos razones: pierde la conectividad entre los controles de degradación que soportan qué barrera
y presenta una visualización incorrecta de demasiadas barreras en la vía principal. El papel de los controles de
degradación es mejorar la fuerza de las principales barreras de las vías; no actúan como barreras separadas por
derecho propio.
Los factores de degradación están relacionados con:
• Factores humanos (por ejemplo, no familiarizado con un nuevo equipo / sistema)
• Condiciones anormales (por ejemplo, problemas al recuperar equipos debido a sólidos)
• Fallos mecánicos (por ejemplo, el árbol de prueba no funciona después de la reconexión debido a
escombros)
• Servicios de apoyo (por ejemplo, falta de repuestos)
• Pérdida de servicios críticos (por ejemplo, pérdida de energía)
Por ejemplo, si se tuviese un top event “pérdida del control del vehículo”, con una consecuencia “impacto
interno del conductor en el vehículo”, una posible barrera para minimizar dicha consecuencia podría ser
“ponerse el cinturón de seguridad”. Sin embargo, esta barrera podría llevar un factor de degradación bastante
común en los conductores, que sería “olvidarse de ponerse el cinturón de seguridad”, el cual hace que la
barrera pierda efectividad ante la consecuencia.
Para poder subsanar dicho factor de degradación, se colocaría en el diagrama un control de degradación para
así eliminar el efecto del factor de degradación sobre la barrera, como podría ser “cinturón de seguridad con
alarma”.

37
 Parte Teórica

2.5.2. Desarrollo y estructura del diagrama.

Como se ha mencionado en los puntos anteriores, el diagrama BOW-TIE tiene en su centro el top event que
quiere ser evitado, gracias al estudio del mismo, que coloca a la izquierda todos aquellos elementos que se
centran en la prevención del mismo y, a su derecha, todos aquellos elementos que se centran en la mitigación
del mismo.
Un diagrama estándar del modelo BOW-TIE sería:

Figura 7. Esquema básico del modelo BOW-TIE.

Uno de los bloques fundamentales para la realización del diagrama es el equipo de trabajo. El éxito del trabajo
depende en gran medida de la habilidad del facilitador y del conocimiento, experiencia, compromiso y
cooperación del equipo. Se espera que los miembros del equipo presten toda su atención durante la sesión, que
es fundamental para el proceso de “brainstorming” o lluvia de ideas. Este desarrollo es similar al
proporcionado para otros enfoques basados en equipos (por ejemplo, estudios de PHA).
Algunos de los miembros más importantes que conforman el equipo de trabajo son:
• El facilitador
Un facilitador experimentado debe liderar el equipo de trabajo y cualquier discusión. Alternativamente, los
facilitadores menos experimentados pueden realizar sesiones supervisadas, observadas por un facilitador
experimentado. El papel clave del facilitador es guiar el proceso y controlar y motivar al equipo. El facilitador
debe conocer la metodología BOW-TIE y tener un conocimiento práctico de otras técnicas de evaluación de
riesgos basadas en equipos, como HAZID, HAZOP, análisis de consecuencias y/o LOPA. El facilitador
también debe tener suficiente experiencia técnica para comprender el proceso u operación que se analiza. Los
facilitadores suelen ser ingenieros (por ejemplo, químicos o mecánicos, para estudios de la industria de
procesos). Se necesitan fuertes habilidades de comunicación y facilitación para estimular la lluvia de ideas,
resumir la discusión y guiar al equipo hacia el consenso.
Los facilitadores deben estar familiarizados con otros BOW-TIEs generados en la empresa para ver cómo se
han abordado problemas similares antes y mantener un enfoque coherente.
• El secretario
El secretario del diagrama suele ser alguien que no tiene tanta experiencia como el facilitador, pero que tiene
una experiencia básica en la evaluación de peligros. Se encarga de documentar las discusiones que tienen lugar
durante la generación del diagrama y registra la primera versión aproximada del BOW-TIE a medida que el
equipo las crea. Durante el proceso, éste debe generar una lista de suposiciones o preguntas planteadas por el
equipo que se utilizan para ayudar a simplificar los esquemas y mejorar su claridad. Generalmente, esto reduce
la acumulación innecesaria de factores de degradación. Dicha persona trabajará con el facilitador para
asegurarse de que las recomendaciones estén redactadas con claridad.
Es posible que el facilitador actúe también como secretario, como ocurre a veces con los talleres de PHA. Si
bien esto reduce el costo del estudio, genera una carga de trabajo adicional para el facilitador y puede ralentizar
la velocidad del estudio. También reduce el tiempo de pensamiento disponible para el facilitador, ya que esto a
menudo se hace en la pausa mientras el secretario escribe la entrada más reciente. La persona que encarga el
estudio debe evaluar la compensación.
• Miembros del equipo
La composición y diversidad de conocimientos del equipo es fundamental para un taller exitoso. La
composición del equipo es similar a la de los estudios HAZOP o HAZID, pero necesita miembros que
comprendan la gama completa de barreras y controles de degradación implementados; esto incluye barreras
técnicas, humanas y organizacionales. El equipo debe estar formado por expertos en la materia con
conocimientos en las operaciones y el mantenimiento de la instalación y sus controles; idealmente, esto
debería incluir una combinación de disciplinas (operaciones, mantenimiento, ingeniería de seguridad, control e
instrumentación de procesos, procedimientos, gestión de riesgos y seguridad de procesos).
Es importante tener una combinación de especialistas técnicos junto con el personal de primera línea que esté
al tanto de las operaciones diarias. Un equipo demasiado grande dificultará que el facilitador controle los
procedimientos. El equipo central no debe cambiarse durante la generación del diagrama y se debe minimizar
la sustitución de otros miembros del equipo durante el estudio. Esto evitará la necesidad de revisar definiciones
o enfoques ya acordados.

En el momento en el que se decide generar un nuevo diagrama BOW-TIE, se debe generar un documento el
cual incluya un breve objetivo y alcance del proyecto, terminología, metodología y reglas básicas.
El trabajo que comprende a todo el equipo para la generación del diagrama se resume en el Figura 8.

Figura 8. Estructura de realización de un diagrama BOW-TIE estándar.

39
 Parte Teórica

El facilitador se encargará de seguir un orden durante la reunión de generación del diagrama:

1. Identificar el peligro y el top event o, en su defecto si ya está creado el diagrama, confirmar ambos.
2. Identificar las consecuencias a través de la sesión de lluvia de ideas. Identificar las consecuencias
antes que las amenazas ayudan al equipo a dimensionar el evento y luego evitar las amenazas que
generan consecuencias triviales. Esto luego debe revisarse con los generados a partir de la PHA, si
corresponde.
3. Identificar las amenazas a través de una lluvia de ideas que podrían conducir al evento principal para
el peligro dado y comprobar esto con el PHA, si corresponde.
4. Identificar las barreras de prevención una vez que se hayan identificado todas las amenazas y
consecuencias. Documentar sistemáticamente todas las barreras de prevención existentes y las
posibles nuevas barreras para cada amenaza identificada. Los controles de degradación / barreras
identificadas pueden compararse con los generados por HAZID, HAZOP o LOPA, si corresponde.
5. Identificar las barreras de mitigación. Primero se documentan las barreras de mitigación existentes y
luego se definen las posibles nuevas barreras para cada consecuencia. Las mismas consideraciones
para las barreras de prevención enumeradas anteriormente también deben aplicarse aquí.
6. Identificar factores de degradación y sus controles de degradación. Algunas empresas desarrollan vías
de degradación para todas las barreras, pero la mayoría opta por desarrollarlas para las barreras más
importantes o críticas, pero no para todas las barreras. Identificar los factores de degradación y los
controles de degradación vigentes y, si procede, los posibles nuevos si el equipo considera que la
resistencia de la barrera debe mejorarse.
7. Agregar metadatos para barreras y controles de degradación. Este paso captura el conocimiento de los
propietarios de las barreras, la eficacia, el estándar de desempeño, el estado actual, etc. utilizando el
conocimiento disponible del equipo.
8. Revisar el BOW-TIE para que esté completo y sea de calidad. Esto es para confirmar que se han
abordado los términos de referencia y que se ha incluido una gama completa de amenazas y
consecuencias.

A continuación, desglosamos de una manera más detallada cada fase que compone un modelo BOW-TIE,
basándonos en los conceptos desarrollados en el apartado 2.5.1:
PELIGRO [8]
Para el correcto desarrollo del modelo BOW-TIE, el primer elemento que se tendría que definir es el peligro,
descrito en el apartado 2.5.1.1. Como se ha mencionado anteriormente, el peligro está asociado a una
operación, actividad o sustancia que puede representar un daño potencial. Es por ello que la primera acción a
realizar es la identificación de los posibles peligros.
Hay que tener en cuenta que, para la identificación del peligro, éste hay que identificarlo en su forma
controlada (ya que es la deseable), puesto que una situación o actividad pueda representar un peligro no
significa que simplemente por el hecho de existir coexista con una consecuencia.
Algunos de los posibles peligros se muestran en la Tabla 3:
Tabla 3. Formulación de peligros.

PELIGROS BIEN FORMULADOS PELIGROS MAL FORMULADOS

Almacenamiento de propano en tanque Ignición

Conducir un camión cisterna por carretera Fallo en sistema de control

Procesamiento de hidrocarburos que contienen H2S H2S

10 toneladas de cloro presurizado en tanque de

Cloro
almacenamiento

Cabe destacar, para la buena formulación de un peligro, que los peligros “existen”, pero no ocurren. La
situación que ocurre es la que se define como top event, que se describirá a continuación.

Figura 9. Representación del peligro en el diagrama BOW-TIE.

TOP EVENT [8]

Una vez definido el peligro y en base a éste, se puede deducir cual puede ser el top event (descrito en el
apartado 2.5.1.2) que se puede generar como consecuencia de un descontrol sobre el peligro. Para ello, se debe
realizar un estudio de seguridad que analice cuáles pueden ser las situaciones en las que se pueda perder el
control sobre el peligro y desencadenar el top event. Sin embargo, un solo peligro no tiene porqué generar un
único top event.
El top event es aquel cuya presencia se trata de evitar por temor a las consecuencias que le siguen y es el
primero de una serie de eventos negativos. Cada top event representa situaciones no deseadas. Sin embargo, no
se califica al top event como una catástrofe en sí; las catástrofes corresponderían a las consecuencias finales
derivadas de dicho top event.
Algunos de los posibles top events se muestran en la Tabla 4:

41
 Parte Teórica

Tabla 4. Formulación del top event.

TOP EVENTS BIEN FORMULADOS TOP EVENTS MAL FORMULADOS

Desbordamiento del tanque y derrame de gasolina Corrosión del tanque

Pérdida de control del petrolero Desbordamiento del tanque e incendio

Pérdida de control y entrada de hidrocarburos Impacto contra un árbol

Figura 10. Representación del top event en el diagrama BOW-TIE.

AMENAZAS Y CONSECUENCIAS [8]

Una vez que tanto el peligro como el top event están identificados y definidos, se puede resolver el modelo de
dos formas distintas: de izquierda a derecha o de derecha a izquierda, es decir, analizando primero las
amenazas o las consecuencias. Ambas están descritas en los apartados 2.5.1.3 y 2.5.1.4.
Ambas formas son iguales de correctas porque, por un lado, al detectar las amenazas que originan el top event
se puede hacer un camino directo hacia la consecuencia que se pude dar lugar. Por otro lado, si primero se
identifican las consecuencias generadas de dicho top event, es más fácil identificar cual es la amenaza que ha
dado lugar dicha consecuencia.
Las amenazas son aquellas que desencadenan directamente en el top event, provocando la pérdida de control
en el peligro. El carácter de las amenazas es muy variado, entre las cuales se pueden encontrar de tipo térmico,
químico, biológico, eléctrico, radiación, etc. Las amenazas deben ser directas y siempre es importante conocer
las dimensiones que pueden tener.
Las consecuencias, al fin y al cabo, corresponden a los escenarios de mayor alto riesgo y que, por tanto, tienen
que ser evitados a toda costa. El objetivo principal del BOW-TIE es identificar rápidamente cuales pueden ser
los distintos escenarios que se pueden generar una vez que el top event ha ocurrido y, de esa forma, poder
contar con suficientes medidas para poder evitarlas.
Hay que tener en cuenta que, para hacer un modelo BOW-TIE correcto hay que saber definir de forma
detallada las consecuencias. Es un error muy común definir las consecuencias de forma muy genérica. Aunque
“daños a personas” o “daños ambientales” sean consecuencias, éstas son demasiado genéricas como para
poder actuar de forma efectiva sobre ellas.

Algunas de las amenazas y consecuencias se muestran en las Tabla 5 y Tabla 6:

 Tabla 5. Formulación de amenazas.

AMENAZAS BIEN FORMULADAS AMENAZAS MAL FORMULADAS

Exceso de llenado del tanque Indicador de nivel fuera de ciclo de mantenimiento

Exceso de velocidad para las condiciones de la Fallo en sistema de frenos antibloqueo

carretera

Fallo de cementación en pozo Pozo de alta presión

Elevación de carga desequilibrada Viento durante la elevación

Tabla 6. Formulación de consecuencias.

CONSECUENCIAS BIEN FORMULADAS CONSECUENCIAS MAL FORMULADAS

Daños a los activos por fuego en toda la superficie

Daños ambientales o pulución
del tanque

Lesión o muerte del conductor por choque contra un

Daño a la barrera de choque
objeto

Daños importantes a la fauna marina por vertido de

Retraso
hidrocarburos

Daños por impacto y pérdida total del objeto que se

Evacuación de la instalación
cae

Figura 11. Representación de las amenazas en el diagrama BOW-TIE.

Figura 12. Representación de las consecuencias en el diagrama BOW-TIE.

43
 Parte Teórica

BARRERAS DE PREVENCIÓN Y MITIGACIÓN [8]

Una vez que tanto las amenazas como las consecuencias están definidas, sería el turno de las barreras, tanto de
prevención como de mitigación, ambas definidas en el apartado 2.5.1.5.
Las barreras de prevención pueden ser de dos tipos:
• Eliminación. Eliminan la amenaza para que no desencadene el top event.
• Preventivas. No eliminan amenazas, pero evitan que se produzca el top event.

Por otro lado, las barreras de mitigación son aquellas que ocurren después de haber perdido el control sobre el
peligro. Sin embargo, no tienen porqué ocurrir antes de las consecuencias. Hay dos tipos:
• Control. Evitan que se generen las consecuencias.
• Mitigación. No evitan la consecuencia, pero disminuyen su severidad.

Algunas de las barreras se muestran en las Tabla 7 y Tabla 8:

Tabla 7. Formulación de barreras de prevención.

BARRERAS PREV. BIEN FORMULADAS BARRERAS PREV. MAL FORMULADAS

Tapa a prueba de derrames Implementar protección de espuma

Sistema de protección ante corrosión externa Barreras de seguridad

Tabla 8. Formulación de barreras de mitigación.

BARRERAS MIT. BIEN FORMULADAS BARRERAS MIT. MAL FORMULADAS

Detectar fugas e implementar equipos de respuesta Cumplir con el plan de emergencias

ante derrames

Uso del cinturón de seguridad Sistema de detección de fuegos

Uso de ropa protectora Alarma contra incendios

Figura 13. Representación de cualquier barrera en el diagrama BOW-TIE.

FACTORES Y CONTROLES DE DEGRADACIÓN [8]
Por último, para el desarrollo del modelo, se encuentran los últimos elementos, los factores y los controles de
degradación, ambos descritos en el apartado 2.5.1.6.
Como se mencionó anteriormente, los factores de degradación corresponden a circunstancias o elementos que
actúan sobre las barreras de prevención y de mitigación, haciendo que éstas pierdan efectividad. Sin embargo,
los controles de degradación se encargan de eliminar el efecto de dichos factores sobre las barreras.
Algunos de los factores y controles de degradación se muestran en las Tabla 9 y Tabla 10:

Tabla 9. Factores y controles de degradación bien formulados

FACTORES DEGR. CONTROLES DEGR.

El equipo no cumple con los requisitos del proceso Estudio HAZOP para confirmar la integridad del
diseño

Personal nuevo o visitantes no capacitados en Formación para todo el personal nuevo y visitantes
evacuación en evacuación

La dirección del viento no está clara en una planta de Indicadores de viento iluminados en equipos
noche elevados

Tabla 10. Factores y controles de degradación mal formulados.

FACTORES DEGR. CONTROLES DEGR.

Sin válvula de alivio de presión Diseño para incluir válvula de alivio de presión

Válvula de alivio de presión bloqueada Pruebas periódicas

Olvidar el uso del cinturón de seguridad Airbags

Figura 14. Representación de los factores de degradación en el diagrama BOW-TIE.

En la generación de distintos diagramas, se podrán obtener de manera más efectiva si se originan en base a
algunos ya existentes y no partiendo desde cero. De hecho, ocurre que en algunas empresas ya poseen algunos
BOW-TIE con el objetivo de que sirvan de punto de partida para otros. Esto proporciona una estructura básica
del diagrama y permite al equipo concentrarse en diferencias específicas, identificar las barreras y sistemas
correctos en su lugar y modificar rápidamente el esquema a una forma final. Si utilizan BOW-TIEs anteriores,
es fundamental que las barreras se verifiquen durante el montaje del mismo, ya que algunas barreras pueden
dejar de existir debido a diferencias en el proceso, los procedimientos o el diseño del equipo.

45
 Parte Teórica

Por último, como resumen, se adjunta una representación gráfica completa del diagrama BOW-TIE, en la
Figura 15.

Figura 15. Representación de un diagrama BOW-TIE.

 3. CASO PRÁCTICO
Una vez expuesto en el bloque teórico todo lo relacionado con la metodología BOW-TIE, a modo de
aplicación, se realiza un caso práctico: Estudio de análisis BOW-TIE en un horno industrial de procesos.
El caso práctico se aplica a un horno de proceso (denominado como H1 para este caso práctico), tipo tiro
inducido, en el cual es introducido un fluido que calentado con una corriente de fuel gas que se quema dentro
del mismo y aporta calor al fluido introducido. La descripción del proceso de dicho horno se explicará con más
detalle en el punto 3.1.1. del presente trabajo.
Para poder aplicar el modelo BOW-TIE al horno H1, inicialmente, se ha necesitado elaborar un estudio
HAZOP que representa las distintas causas y consecuencias que se pueden generar en el horno H1. Para el
desarrollo del estudio HAZOP es necesaria cierta información, como pueden ser los diagramas de control e
intrumentación (P&IDs) y la matriz causa-efecto (MCE) que describe los enclavamientos que hay en la planta,
entre otros.
Una vez realizado el estudio HAZOP del horno, con la información extraída del mismo, se puede proceder a la
realización del diagrama BOW-TIE para un peligro específico que estará asociado al horno H1. Para ello se
requerirá también de cierta información, como es por ejemplo la descripción de las capas de prevención y
mitigación, las cuales se describen en los siguientes puntos.

3.1. Análisis de la documentación a utilizar para el desarrollo del BOW-TIE

1. DESCRIPCIÓN DEL PROCESO
El proceso objeto del estudio consta de un horno de fuel gas (H1) que calienta un fluido proveniente del
fondo de una columna. Este fluido se calienta pasando primero por la etapa convectiva del horno y después
por la radiante, a través del único paso del que dispone el horno. El caudal es regulado a través de un lazo de
control de caudal a la entrada del horno.
En cuanto a la parte combustible, el horno dispone de un quemador y un piloto de fuel gas, los cuales se
alimentan desde la red de suministro de fuel gas de la planta. El caudal de fuel gas a quemador es regulado a
través de un lazo de control de caudal en cascada con un lazo de control de temperatura actuando sobre una
válvula de control que, en función de la temperatura del fluido a calentar a la salida del horno, abre o cierra el
aporte de combustible. En cuanto al caudal de fuel gas a piloto, este es regulado a través de una válvula PCV
(autorreguladora de presión).
Respecto a la parte de aire de combustión, éste es suministrado a través de una soplante que toma aire de la
atmósfera, se precalienta y se suministra al horno regulando el caudal a través de un lazo de control para
conservar el ratio combustible/aire. El precalentamiento consta de dos equipos: el aire de combustión pasa
primero por un intercambiador de vapor de baja y luego por un intercambiador aire-humos, donde los gases
de combustión se enfrían aumentando la temperatura de la corriente de aire. Existe un bypass que permite
regular el ratio de aire que se precalienta y el que pasa directamente al horno.
En cuanto a los humos del horno, estos salen a través del damper que regula el tiro del horno y se dirigen
hasta el intercambiador aire-humos donde se enfrían y son enviados a la chimenea a través de otra soplante.
Existe también la posibilidad de bypassear el intercambiador y la soplante, enviando los humos directamente
a la chimenea mediante tiro inducido.

47
48 Caso Práctico

Figura 16. Diagrama del proceso.

Tabla 11. Equipos del proceso

H1 E-101 S-101

Horno de procesos Intercambiador Soplante de tiro inducido

2. ESTUDIO HAZOP
Como se ha comentado anteriormente, el estudio HAZOP es uno de los documentos necesarios para poder
formar el diagrama BOW-TIE. Del estudio HAZOP podemos sacar información, como sería el peligro, el top
event y las barreras de prevención, entre otros.
Para poder realizar de forma completa el estudio HAZOP también es necesario tener cierta documentación
requerida. Entra dicha documentación se encuentra los P&IDs, la descripción del objeto de estudio (para este
proyecto correspondería al horno H1) y la matriz causa-efecto, en la cual, se describen los enclavamientos que
se encuentran en el horno.
El estudio HAZOP está orientado a identificar las desviaciones que se puedan generar en el horno de procesos,
pudiendo desencadenar así una serie de accidentes en las instalaciones. También está orientado a identificar
desviaciones que puedan generar problemas relevantes de operatividad del proceso.
Con dicha metodología, se sigue una aproximación nodo a nodo. El estudio HAZOP consiste en analizar una
serie de desviaciones según los parámetros de procesos y palabras guías correspondientes. Los parámetros que
se han analizado en el presente estudio HAZOP son:
• Presión
• Temperatura
• Caudal
• Nivel
• Composición
• Seguridad
• Otros
 Aplicación de la herramienta BOW-TIE para la identificación y gestión de los riesgos en instalaciones
49
de procesos
Con respecto a las palabras guía, para el análisis de un estudio HAZOP, las palabras que entran a analizar los
nodos son:
• No
• Más
• Menos
• Inverso
• Diferente
• Otros
El estudio se ha extendido a diferentes líneas y equipos que conforman todo el proceso, siendo los nodos de
estudio los siguientes:

• NODO 1: Horno H1: Parte Proceso.

• NODO 2: Horno H1: Parte Combustible y aire de combustión.

Las tablas del estudio HAZOP de dicho proyecto se adjuntan en el Anexo I del trabajo.

3. P&IDs
Para la resolución de este caso práctico, se han utilizado una serie de planos de instrumentación y control, los
cuales son:
• P&D 1: Corresponde al horno H1. Parte procesos.
• P&D 2: Corresponde al horno H1. Parte combustible
• P&D 3: Corresponde al horno H1. Parte aire combustible

Los planos de dicho proyecto se adjuntan en el Anexo II del trabajo.

4. MCE
Una matriz causa-efecto muestra, de forma visual, aquellos enclavamientos o interlocks que se encuentran
involucrados dentro del proceso. Dichos elementos, bajo unas condiciones determinadas según su
configuración, actúan sobre un elemento final. Por ejemplo, un enclavamiento configurado para detectar un
muy bajo caudal, puede actuar sobre una válvula, abriéndola para regular el nivel de un tanque.
Los elementos de entradas se sitúan, de forma horizontal, en la parte izquierda de la matriz, mientras que los
elementos finales se colocan, de forma vertical, en la parte superior de la matriz.
La MCE aporta algunas de las barreras que conforman el diagrama BOW-TIE, de la que se extraen algunos
interlocks que actuarán como capas de prevención.
La MCE de este proyecto se adjunta en el Anexo III del trabajo.

49
50 Caso Práctico

3.2. Desarrollo del estudio BOW-TIE

Como se ha expuesto, en este apartado de caso práctico, se va a realizar un estudio BOW-TIE a un horno
industrial de procesos. A continuación, se desarrollan cada una de las fases que conformarán el diagrama
BOW-TIE:

• PELIGRO
Para ello, después de haber realizado el estudio HAZOP al horno H1, se ha determinado que el peligro que
servirá de base para el estudio sea la presencia de fuel gas como combustible del horno. El fuel gas es una
sustancia peligrosa de carácter extremadamente inflamable, que es la característica que implica dicho peligro.

Figura 17. Peligro definido en el caso práctico para el horno H1.

• TOP EVENT
Para el peligro determinado en el horno objeto de estudio y, según el estudio previo, se ha definido como top
event la formación de una atmósfera explosiva dentro del horno por apagado de llama. Como se ha
mencionado anteriormente, debido a la característica de inflamabilidad del fuel gas, la formación de una
posible atmósfera explosiva podría generarse y aplicarse como top event.

Figura 18. Top event definido en el caso práctico para el horno H1.

• CONSECUENCIAS
Siguiendo con los pasos a seguir descritos en el capítulo 2 del presente proyecto, ahora bien, podrían definirse
o las amenazas o las consecuencias. Para dicho proyecto, se van a definir en primer lugar las consecuencias.
No obstante, las amenazas podrían haber sido definidas en primer lugar, indistintamente y sin que ello
perjudicara el desarrollo de dicho estudio.
Dentro de un horno industrial de procesos se pueden generar muchas consecuencias de diversa índole. Sin
embargo, para este caso, se han identificado aquellas consecuencias que se derivan de la formación de una
atmósfera explosiva dentro del horno.
 Aplicación de la herramienta BOW-TIE para la identificación y gestión de los riesgos en instalaciones
51
de procesos
Algunas de las consecuencias identificadas han sido:

Tabla 12. Consecuencias definidas en el caso práctico para el horno H1.

Explosión del horno con daños a equipos

Explosión del horno con daños a personas

Pérdidas económicas debido al lucro cesante,

daños a equipos y responsabilidad civil (daños a
personas, a terceros y al medioambiente)

• AMENAZAS
Con las causas definidas, es más fácil identificar las amenazas que pueden dar lugar a la generación de la
atmósfera explosiva dentro del horno. Para ello, con las consecuencias identificadas, se puede evaluar cuáles
son los escenarios que pueden terminar en la consecuencia señalada.
Algunas de las causas que se han identificado son:
Tabla 13. Causas definidas en el caso práctico para el horno H1.

Fallo en la puesta en marcha del horno

Fallo/fuga en la línea de fuel gas

Perturbaciones en el caudal de fuel gas a pilotos

que provoca inestabilidad de la llama

51
52 Caso Práctico

Perturbaciones en el caudal de fuel gas a

quemadores que provoca inestabilidad de la llama

Perturbaciones en el caudal de aire de combustión

a los quemadores del horno

Parada de la soplante

Cierre del damper

Con las amenazas y consecuencias identificadas y definidas para la formación de atmósfera explosiva, se
procede con otra de las partes más importantes del diagrama: las barreras.
El diagrama nos va a dar un ejemplo visual de cómo se vería afectado el horno H1 si se generase la atmósfera
explosiva por culpa de las causas identificadas, que desencadenarían en las consecuencias. Sin embargo, el
objetivo del BOW-TIE es precisamente saber identificar esas partes para poder implementar algunas barreras
que, por un lado, puedan prevenir la formación de la atmósfera, eliminando las causas o reduciendo su
intensidad, o bien, mitigando la intensidad del top event para que, de esa forma, no lleguen a generarse
ninguna de las consecuencias identificadas.
Para ello, se han analizado, por separado, cada una de las amenazas y consecuencias del diagrama, para así
evaluar e implementar sobre ellas las barreras necesarias para evitar una catástrofe.
• BARRERAS DE PREVENCIÓN
Para la definición de las barreras de cada una de las amenazas del diagrama, se van a evaluar éstas por
separadas para, así, poder identificar de forma más específica, qué barrera necesita cada una de las causas que
pueden dar lugar a la formación de atmósfera explosiva.
Causa 1: “Fallo en la puesta en marcha del horno”.
En la puesta en marcha del horno, si no se conoce el procedimiento de puesta en marcha, puede ocurrir algún
fallo que provoque que dicha puesta en marcha no se haga correctamente, pudiendo desencadenar el suceso no
deseado de formación de atmósfera explosiva. Las barreras que se han identificado como preventivas para la
primera causa son:
• Barrera Prevención 1 (BP1): Procedimientos y permisos de trabajo en el área. Permitiendo
asegurar presencia de personas en el área de forma controlada.
• Barrera Prevención 2 (BP2): Procedimiento de puesta en marcha del horno. Con este
procedimiento se pretende asegurar una correcta labor de arranque del horno, evitando así
cometer errores que pudieran provocar dicho escenario peligroso.
• Barrera Prevención 3 (BP3): Analizadores oxígeno/combustible con alarma. Los analizadores
se colocan para ver la relación oxígeno/combustible y, en el caso de que esta relación entre en
riesgo de generar la explosión, activaría la alarma que alertaría de dicho escenario.
 Aplicación de la herramienta BOW-TIE para la identificación y gestión de los riesgos en instalaciones
53
de procesos
• Barrera Prevención 4 (BP4): Procedimiento de vapor de ahogo. En este caso, ante fallo en el
horno y detección de apagado de llama, se introduce vapor en el mismo para así dificultar que
la explosión se genere, teniendo ahora vapor de agua junto al oxígeno y al combustible,
impidiendo así que se forme la explosión.
• Barrera Prevención 5 (BP5): Procedimiento de barrido del horno. Según este procedimiento,
ante cualquier fallo que se pudiera producir en el horno, se introduce, a través de una
soplante, un inerte que sirve para limpiar de fuel gas el interior del horno, disminuyendo asi la
posibilidad de que éste pueda originar una explosión.
Causa 2: “Fuga en líneas de fuel gas”. Se trataría de cualquier fallo en el circuito de fuel gas o fuga en el
mismo.
• Barrera Prevención 6 (BP6): Válvula manual remota. Esta válvula manual remota se opera
desde el suelo en la línea común de fuel gas cortando cualquier aporte de combustible al
horno y evitando así la acumulación de fuel gas.
• Barrera Prevención 3 (BP3): Analizadores oxígeno/combustible con alarma. Los analizadores
se colocan para ver la relación oxígeno/combustible y, en el caso de que esta relación entre en
riesgo de generar la explosión, activaría la alarma que alertaría de dicho escenario.
• Barrera Prevención 4 (BP4): Procedimiento de vapor de ahogo. En este caso, ante fallo en el
horno y detección de apagado de llama, se introduce vapor en el mismo para así dificultar que
la explosión se genere, teniendo ahora vapor de agua junto al oxígeno y al combustible,
impidiendo así que se forme la explosión.
Causa 3: “Perturbaciones en el caudal de fuel gas a pilotos que provoca inestabilidad de la llama”. Este evento
pudiera consistir en aumento o descenso del caudal y/o presión de fuel gas que consume el horno, que pudiera
producir cierta inestabilidad de la llama de pilotos/quemadores y el consecuente apagado de la misma,
generando así la atmósfera explosiva.
• Barrera Prevención 7 (BP7): Enclavamiento que por baja presión a pilotos en línea de fuel
gas corta combustible al horno. Dicho enclavamiento detecta una bajada de presión en el
circuito cortando el combustible al horno de forma automática a través de un sistema de
válvulas (Sistema denominado como Block and bleed).
• Barrera Prevención 8 (BP8): Alarma de baja presión y caudal de fuel gas a pilotos en línea de
fuel gas. Para asegurar esta barrera, la alarma debiera ir conjuntamente con la acción por parte
del operador que debe cortar combustible al horno evitando así el suceso no deseado.
• Barrera Prevención 3 (BP3): Analizadores oxígeno/combustible con alarma. Los analizadores
se colocan para ver la relación oxígeno/combustible y, en el caso de que esta relación entre en
riesgo de generar la explosión, activaría la alarma que alertaría de dicho escenario.
• Barrera Prevención 4 (BP4): Procedimiento de vapor de ahogo. En este caso, ante fallo en el
horno y detección de apagado de llama, se introduce vapor en el mismo para así dificultar que
la explosión se genere, teniendo ahora vapor de agua junto al oxígeno y al combustible,
impidiendo así que se forme la explosión.
Causa 4: “Perturbaciones en el caudal de fuel gas a quemadores que provoca inestabilidad de la llama”. Este
evento pudiera consistir en aumento o descenso del caudal y/o presión de fuel gas que consume el horno, que
pudiera producir cierta inestabilidad de la llama de pilotos/quemadores y el consecuente apagado de la misma,
generando así la atmósfera explosiva.
• Barrera Prevención 9 (BP9): Pilotos encendidos. En caso de que los quemadores se apaguen,
si los pilotos se mantienen encendido, esto asegura que, en caso de aporte de fuel gas al
horno, se siga quemando dicho combustible y evitando la generación de atmósfera explosiva.
• Barrera Prevención 10 (BP10): Enclavamiento que por baja presión a quemadores en línea de
fuel gas corta combustible al horno. Dicho enclavamiento detecta una bajada de presión en el
circuito cortando el combustible al horno de forma automática a través de un sistema de
válvulas (Sistema Block and bleed).

53
54 Caso Práctico

• Barrera Prevención 11 (BP11): Alarma de baja presión y caudal de fuel gas a quemadores en
línea de fuel gas. Para asegurar esta barrera, la alarma debiera ir conjuntamente con la acción
por parte del operador que debe cortar combustible al horno evitando así el suceso no
deseado.
• Barrera Prevención 3 (BP3): Analizadores oxígeno/combustible con alarma. Los analizadores
se colocan para ver la relación oxígeno/combustible y, en el caso de que esta relación entre en
riesgo de generar la explosión, activaría la alarma que alertaría de dicho escenario.
• Barrera Prevención 4 (BP4): Procedimiento de vapor de ahogo. En este caso, ante fallo en el
horno y detección de apagado de llama, se introduce vapor en el mismo para así dificultar que
la explosión se genere, teniendo ahora vapor de agua junto al oxígeno y al combustible,
impidiendo así que se forme la explosión.
Causa 5: “Perturbaciones en el caudal de aire de combustión a los quemadores del horno”. Este escenario
puede consistir en un descenso del caudal y/o presión de aire que consume el horno, que pudiera producir
cierta inestabilidad de la llama de pilotos/quemadores y el consecuente apagado de la misma, generando así la
atmósfera explosiva.
• Barrera Prevención 12 (BP12): Enclavamiento que por baja presión de aire de combustión en
línea de aire de combustión corta combustible al horno. Dicho enclavamiento detecta una
bajada de presión en el circuito de aire cortando el combustible al horno de forma automática
a través de un sistema de válvulas (Sistema Block and bleed).
• Barrera Prevención 13 (BP13): Alarma de baja presión y caudal de aire de combustión en
línea de aire de combustión. Para asegurar esta barrera, la alarma debiera ir conjuntamente
con la acción por parte del operador que debe cortar combustible al horno evitando así el
suceso no deseado.
• Barrera Prevención 3 (BP3): Analizadores oxígeno/combustible con alarma. Los analizadores
se colocan para ver la relación oxígeno/combustible y, en el caso de que esta relación entre en
riesgo de generar la explosión, activaría la alarma que alertaría de dicho escenario.
• Barrera Prevención 4 (BP4): Procedimiento de vapor de ahogo. En este caso, ante fallo en el
horno y detección de apagado de llama, se introduce vapor en el mismo para así dificultar que
la explosión se genere, teniendo ahora vapor de agua junto al oxígeno y al combustible,
impidiendo así que se forme la explosión.

Causa 6: “Parada de la soplante de aire de combustión”. Este evento produciría la ausencia del caudal y/o
presión de aire al horno con el posible apagado de la llama de fuel gas y generando así la atmósfera explosiva.
• Barrera Prevención 14 (BP14): Enclavamiento que por parada de la soplante corta
combustible al horno. Dicho enclavamiento detecta la parada de la soplante de aire cortando
el combustible al horno de forma automática a través de un sistema de válvulas (Sistema
Block and bleed).
• Barrera Prevención 12 (BP12): Enclavamiento que por baja presión de aire de combustión en
línea de aire de combustión corta combustible del horno. Dicho enclavamiento detecta una
bajada de presión en el circuito de aire cortando el combustible al horno de forma automática
a través de un sistema de válvulas (Sistema Block and bleed).
• Barrera Prevención 13 (BP13): Alarma de baja presión y caudal de aire de combustión en
línea de aire de combustión. Para asegurar esta barrera, la alarma debiera ir conjuntamente
con la acción por parte del operador que debe cortar combustible al horno evitando así el
suceso no deseado.
• Barrera Prevención 3 (BP3): Analizadores oxígeno/combustible con alarma. Los analizadores
se colocan para ver la relación oxígeno/combustible y, en el caso de que esta relación entre en
riesgo de generar la explosión, activaría la alarma que alertaría de dicho escenario.
 Aplicación de la herramienta BOW-TIE para la identificación y gestión de los riesgos en instalaciones
55
de procesos
• Barrera Prevención 4 (BP4): Procedimiento de vapor de ahogo. En este caso, ante fallo en el
horno y detección de apagado de llama, se introduce vapor en el mismo para así dificultar que
la explosión se genere, teniendo ahora vapor de agua junto al oxígeno y al combustible,
impidiendo así que se forme la explosión.
Causa 7: “Cierre del damper”. El cierre del damper del horno, situado en el tiro del mismo, provocaría el
ahogo del horno, con el apagado de la llama y generación de atmósfera explosiva.
• Barrera Prevención 15 (BP15): Tope mecánico del dámper. Dicho tope mecánico se trata de
un elemento físico que impediría el cierre total del tiro del horno e impidiendo el ahogo del
mismo.
• Barrera Prevención 16 (BP16): Enclavamiento que por alta presión en el interior del hogar
del horno corta el combustible al mismo. Dicho enclavamiento detecta un aumento de presión
en el interior del horno, cortando el combustible al mismo de forma automática a través de un
sistema de válvulas (Sistema Block and bleed).
• Barrera Prevención 3 (BP3): Analizadores oxígeno/combustible con alarma. Los analizadores
se colocan para ver la relación oxígeno/combustible y, en el caso de que esta relación entre en
riesgo de generar la explosión, activaría la alarma que alertaría de dicho escenario.
• Barrera Prevención 4 (BP4): Procedimiento de vapor de ahogo. En este caso, ante fallo en el
horno y detección de apagado de llama, se introduce vapor en el mismo para así dificultar que
la explosión se genere, teniendo ahora vapor de agua junto al oxigeno y al combustible,
impidiendo así que se forme la explosión.

55
56 Caso Práctico

• BARRERAS DE MITIGACIÓN
Una vez identificadas todas las barreras que conforman el lado izquierdo del diagrama, es decir, aquellas
asociadas a las causas que pueden generar el top event, se procede a identificar aquellas barreras asociadas a
las consecuencias y, por ello, situadas a la derecha del diagrama.
Para ello, se procede a analizar la primera consecuencia del diagrama:
Consecuencia 1: “Explosión del horno con daños a equipos”. La explosión del horno puede provocar, entre
otros, daños y pérdidas de los equipos asociados al horno o situados en la cercanía del mismo.
Las barreras asociadas a dicha explosión no sólo deben evitar que se forme, también se deben implementar
barreras que minimicen los daños causados por la explosión, una vez ocurrida.
• Barrera Mitigación 1 (BM1): Instalación de puertas contra explosión. La finalidad de las puertas
contra explosión es la de direccionar dicha explosión hacia una parte menos reforzada del horno
por lo que, si se generase una explosión, ésta saldría por las puertas instaladas, salvando así parte
del horno y minimizando los daños a equios contiguos al mismo.
• Barrera Mitigación 2 (BM2): Instalación de muro anti explosión. Una vez generada la explosión,
los muros a prueba de explosiones, situados en los alrededores del horno, serán los encargados de
minimizar los daños que ésta pueda ocasionar en sus inmediaciones, al igual que pueden servir de
escudo antes los objetos o partes del horno que puedan salir disparadas.
Consecuencia 2: “Explosión del horno con daños a personas”. La explosión del horno puede provocar, entre
otros, daños a las personas que se encuentran en los alrededores o cercanías del horno.
• Barrera Mitigación 1 (BM1): Instalación de puertas contra explosión. La finalidad de las puertas
contra explosión es la de direccionar dicha explosión hacia una parte menos reforzada del horno
por lo que, si se generase una explosión, ésta saldría por las puertas instaladas, salvando así parte
del horno y minimizando los daños a equipos contiguos al mismo.
• Barrera Mitigación 2 (BM2): Instalación de muro anti explosión. Una vez generada la explosión,
los muros a prueba de explosiones, situados en los alrededores del horno, serán los encargados de
minimizar los daños que ésta pueda ocasionar en sus inmediaciones, al igual que pueden servir de
escudo antes los objetos o partes del horno que puedan salir disparadas.
• Barrera Mitigación 3 (BM3): Procedimiento y permisos de trabajo en el área. Permitiendo
asegurar presencia de personas en el área de forma controlada.
• Barrera Mitigación 4 (BM4): Presencia mínima de trabajadores en el área. Esto reduciría el
personal al mínimo extrictamente necesario.
• Barrera Mitigación 5 (BM5): Plan de emergencias. Plan de emergencias. Según el procedimiento,
todo el personal, en caso de producirse un escenario peligroso, debe actuar según el plan de
emergencias para abandonar las instalaciones de la forma más segura posible y de forma ordenada
siguiendo dicho plan establecido para la propia instalación.
• Barrera Mitigación 6 (BM6): Ambulancias y servicios médicos. En el caso de que, por culpa de la
explosión, muchas personas resulten heridas, no se disponga de suficiente ayuda y se requiera de
evacuación inmediata y su procedente desplazamiento al hospital. También se requerirá de la
ayuda de personal médico para los heridos ocasionados.
Consecuencia 3: “Pérdidas económicas debido al de lucro cesante, daños a equipos y responsabilidad civil
(daños a personas, a terceros y al medioambiente)”.
• Barrera Mitigación 7 (BM7): Empresa aseguradora y reaseguradoras. Las reaseguradoras son las
encargadas de cubrir las pérdidas económicas ante pérdidas o daños, según la póliza contratada y
el tipo de accidente ocasionado. En este caso tratan de compensar las pérdidas económicas por
lucro cesante, daños a equipos y responsabilidad civil (daños a personas, a terceros y al
medioambiente).
 Aplicación de la herramienta BOW-TIE para la identificación y gestión de los riesgos en instalaciones
57
de procesos
• Barrera Mitigación 8 (BM8): Procedimientos de operación y existencia de producto. En el caso de
que el horno deje de producir el producto deseado, será necesario tener cierta cantidad de
producto en stock para poder cubrir la cantidad de producto que se debería generar y vender o
bien tener la capacidad de volver a producir dicho producto a través de otras instalaciones
similares perteneciente a la misma compañía.

EFICACIA Y TIPO DE BARRERAS

Con respecto a la eficacia de cada barrera, como se explicó en el bloque teórico del trabajo, las barreras pueden
llevar un rango de eficacia asociado. Dichos rangos son:
• Barrera efectiva. Este tipo de barreras evitan o mitigan directamente el escenario. Lleva asociada color
verde en el diagrama.
• Parcialmente efectiva. Este tipo de barreras evitan o mitigan parcialmente el escenario. Lleva asociada
color amarillo en el diagrama.
• Efectividad limitada. Este tipo de barreras evitan o mitigan de forma limitada el escenario. Lleva
asociada color rojo en el diagrama.
• Barrera inefectiva. Este tipo de barreras no evitan ni mitigan el escenario. Lleva asociada color negro
en el diagrama.

Por otro lado, con respecto al tipo de barrera, como se explicó en el bloque teórico del trabajo, éstas se
clasifican según estén basadas en hardware o en personas. Dichos tipos son:
• SECE. Se tratan de elementos que se consideran críticos de seguridad. Llevan asociadas un color
verde en el diagrama.
• Procesos críticos. Se tratan de elementos asociados a procesos críticos. Llevan asociadas un color azul
en el diagrama.
• Tareas críticas. Se tratan de elementos asociados a tareas críticas. Llevan asociadas un color rojo en el
diagrama.

Cada una de las barreras, tanto de prevención como de mitigación, tienen asociadas una eficacia y un tipo de
barrera. A continuación, describimos, para cada tipo de barrera usada en nuestro caso práctico, el tipo de
barrera, así como la eficacia aplicada a cada una.
Barrera Prevención 1 (BP1): Procedimientos y permisos de trabajo en el área.
Tipo de barrera: Tarea crítica.
Efectividad: Parcialmente efectiva.
Factor de degradación: Ausencia de formación del personal de trabajo.
Control de degradación: Cursos de formación para el personal de trabajo. Esta barrera es efectiva y del
tipo tarea crítica.
Barrera Prevención 2 (BP2): Procedimiento de puesta en marcha del horno.
Tipo de barrera: Tarea crítica.
Efectividad: Parcialmente efectiva.
Factor de degradación: Ausencia de formación del personal de trabajo.
Control de degradación: Cursos de formación para el personal de trabajo. Esta barrera es efectiva y del
tipo tarea crítica.

57
58 Caso Práctico

Barrera Prevención 3 (BP3): Analizadores oxígeno/combustible con alarma.

Tipo de barrera: Proceso crítico.
Efectividad: Efectividad limitada.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.
Barrera Prevención 4 (BP4): Procedimiento de vapor de ahogo.
Tipo de barrera: Tarea crítica.
Efectividad: Parcialmente efectiva.
Factor de degradación: Ausencia de formación del personal de trabajo.
Control de degradación: Cursos de formación para el personal de trabajo. Esta barrera es efectiva y del
tipo tarea crítica.
Barrera Prevención 5 (BP5): Procedimiento de barrido del horno.
Tipo de barrera: Tarea crítica.
Efectividad: Parcialmente efectiva.
Factor de degradación: Ausencia de formación del personal de trabajo.
Control de degradación: Cursos de formación para el personal de trabajo. Esta barrera es efectiva y del
tipo tarea crítica.
Barrera Prevención 6 (BP6): Válvula manual remota.
Tipo de barrera: SECE.
Efectividad: Efectiva.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.
Barrera Prevención 7 (BP7): Enclavamiento que por baja presión a pilotos en línea de fuel gas corta
combustible al horno.
Tipo de barrera: SECE.
Efectividad: Efectiva.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.
Barrera Prevención 8 (BP8): Alarma de baja presión y caudal de aire de combustión en línea de aire de
combustión.
Tipo de barrera: SECE.
Efectividad: Efectiva.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.
 Aplicación de la herramienta BOW-TIE para la identificación y gestión de los riesgos en instalaciones
59
de procesos
Barrera Prevención 9 (BP9): Pilotos encendidos.
Tipo de barrera: SECE.
Efectividad: Efectiva.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.
Barrera Prevención 10 (BP10): Enclavamiento que por baja presión a quemadores en línea de fuel gas
corta combustible al horno.
Tipo de barrera: SECE.
Efectividad: Efectiva.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.
Barrera Prevención 11 (BP11): Alarma de baja presión y caudal de fuel gas a quemadores en línea de fuel
gas.
Tipo de barrera: SECE.
Efectividad: Efectiva.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.
Barrera Prevención 12 (BP12): Enclavamiento que por baja presión de aire de combustión en línea de
aire de combustión corta combustible al horno.
Tipo de barrera: SECE.
Efectividad: Efectiva.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.
Barrera Prevención 13 (BP13): Alarma de baja presión y caudal de aire de combustión en línea de aire de
combustión.
Tipo de barrera: SECE.
Efectividad: Efectiva.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.
Barrera Prevención 14 (BP14): Enclavamiento que por parada de la soplante corta combustible al horno.
Tipo de barrera: SECE.
Efectividad: Limitada.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.

59
60 Caso Práctico

Barrera Prevención 15 (BP15): Tope mecánico del dámper.

Tipo de barrera: SECE.
Efectividad: Efectiva.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.
Barrera Prevención 16 (BP16): Enclavamiento que por alta presión en el interior del hogar del horno
corta el combustible al mismo.
Tipo de barrera: SECE.
Efectividad: Efectiva.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.

Barrera Mitigación 1 (BM1): Instalación de puertas contra explosión.

Tipo de barrera: SECE.
Efectividad: Efectiva.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.
Barrera Mitigación 2 (BM2): Instalación de puertas contra explosión.
Tipo de barrera: SECE.
Efectividad: Efectiva.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.
Barrera Mitigación 3 (BM3): Procedimiento y permisos de trabajo en el área.
Tipo de barrera: Tarea crítica.
Efectividad: Parcialmente efectiva.
Factor de degradación: Ausencia de formación del personal de trabajo.
Control de degradación: Cursos de formación para el personal de trabajo. Esta barrera es efectiva y del
tipo tarea crítica.
Barrera Mitigación 4 (BM4): Presencia mínima de trabajadores en el área.
Tipo de barrera: Tarea crítica.
Efectividad: Efectividad limitada.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.
 Aplicación de la herramienta BOW-TIE para la identificación y gestión de los riesgos en instalaciones
61
de procesos

Barrera Mitigación 5 (BM5): Plan de emergencias.

Tipo de barrera: Tarea crítica.
Efectividad: Parcialmente efectiva.
Factor de degradación: Ausencia de formación del personal de trabajo.
Control de degradación: Cursos de formación para el personal de trabajo. Esta barrera es efectiva y del
tipo tarea crítica.
Barrera Mitigación 6 (BM6): Ambulancias y servicios médicos.
Tipo de barrera: SECE.
Efectividad: Efectividad limitada.
Factor de degradación: Inexistencia de ambulancias en la instalación.
Control de degradación: Disponer de ambulancias y servicios médicos en las instalaciones. Esta
barrera es efectiva y del SECE.
Barrera Mitigación 7 (BM7): Empresa aseguradora y reaseguradoras.
Tipo de barrera: Proceso crítico.
Efectividad: Efectividad limitada.
Factor de degradación: Sin factor de degradación.
Control de degradación: Sin control de degradación.
Barrera Mitigación 8 (BM8): Procedimientos de operación y existencia de producto.
Tipo de barrera: Tarea crítica.
Efectividad: Parcialmente efectiva.
Factor de degradación: Ausencia de formación del personal de trabajo.
Control de degradación: Cursos de formación para el personal de trabajo. Esta barrera es efectiva y del
tipo tarea crítica.

Por último, se adjunta el diagrama resultante en el programa BowTieXP en la Figura 19.

61
Figura 19. Diagrama general del esquema BOW-TIE del horno 1.

46
 4. CONCLUSIONES
El objetivo de este proyecto ha sido explicar el modelo BOW-TIE en su totalidad, separándolo en cada una de
las partes. Los elementos más importantes del modelo, el peligro y el top event, son la base de todo el análisis.
Sin una buena identificación de los mismos, el modelo no será todo lo efectivo que puede llegar a ser. Por el
contrario, una vez definidos correctamente, se puede hacer un buen análisis con el resto de los elementos del
BOW-TIE.
Uno de los conceptos que más claros deben quedar es que las consecuencias ocurren en el momento en el que
todas las barreras fallan. El modelo BOW-TIE también se le llama modelo del queso suizo, donde el peligro se
representa con una flecha y las barreras se representan como rebanadas de queso con agujeros: en el momento
en el que todos los agujeros se alinean y, junto con el peligro, las consecuencias ocurren.

Figura 20. Modelo del queso suizo [8].

Con respecto a las barreras, su uso debe limitarse a entre una y cinco barreras por amenaza o consecuencia.
Esto es debido a que, si se incrementan el número de barreras, se puede dar una mala percepción de si
realmente hay tantas capas que prevengan o mitiguen las amenazas o consecuencias enlazadas al top event.
Por último, cabe destacar que los factores y los controles de degradación pueden convertir un BOW-TIE en un
modelo mucho más complejo y sobrecargado de información, por lo que muchas empresas prefieren
eliminarlos del diagrama original y mostrárselos directamente a los administradores de las barreras que se vean
afectadas por ellos.
Entre las principales ventajas y beneficios de esta metodología, podemos considerar las siguientes:

- Permite una mirada global de todos los escenarios de accidentes posibles que pudieran existir en
torno a un determinado peligro.
- Facilita la construcción de un escenario de riesgos permitiendo analizarlo integralmente en lo
preventivo y post evento, definiendo las interdependencias entre las distintas etapas del
diagrama e identificando de manera rápida los puntos débiles a resolver en relación a la gestión
de riesgos, como por ejemplo las formas en que fallan las medidas de control, la ausencia de
barreras de seguridad disponibles para prevenir, controlar o mitigar los riesgos, o cuando las
barreras de seguridad son de baja calidad, para así crear planes más eficientes de mejora.

61
62
4. Conclusiones

- Su naturaleza visual e Interactiva permite su fácil comprensión y uso por parte de personas no
especialistas en el tema e incentiva la máxima participación de todos los niveles de la
organización.
- Permite ejercer de un modo más eficaz la gestión de los riesgos en instalaciones industriales a
partir de los escenarios de accidente (y elementos asociados) identificados.

62
Aplicación de la herramienta BOW-TIE para la identificación y gestión de los riesgos en instalaciones
63
de procesos

ANEXO I

ESTUDIO HAZOP

63
 ESTUDIO HAZOP DEL HORNO H1 INDUSTRIAL
1 of 8

Session: (1) 28/05/2021

Node: (1) Horno H1 (parte proceso)
Drawings: Plano 1 Rev. 0; Plano 2 Rev. 0
Parameter: Caudal
GW DESVIACIÓN CAUSAS CONSECUENCIAS SALVAGUARDAS S L R REF# RECOMENDACIONES BY
No 1.1. No Caudal 1.1.1. Fallo del lazo de control 1.1.1.1. No caudal de 1.1.1.1.1. FAL-002 A/B/C. :No se consideran necesarias
de caudal FIC-001 cerrando la alimentación al horno H1 con medidas adicionales desde el
válvula FV-001. posibles daños a los tubos del 1.1.1.1.2. Enclavamiento FALL- punto de vista de la seguridad
mismo. 002 que por muy bajo caudal de y la operabilidad.
alimentación al horno H1 corta
combustible al mismo.

Más 1.2. Más Caudal 1.2.1. Fallo del lazo de control 1.2.1.1. Aumento de caudal de
de caudal FIC-001 abriendo la alimentación al paso del horno
válvula FV-001. H1. Descenso de temperatura
en la corriente de salida del
horno H1, con actuación del
lazo de control de temperatura
TIC-005. Sin consecuencias
significativas.

Menos 1.3. Menos Caudal 1.3.1. Analizado de manera

más restrictiva en No Caudal.

Inverso 1.4. Caudal Inverso 1.4.1. No se identifican

causas.

Session: (1) 28/05/2021

Node: (1) Horno H1 (parte proceso)
Drawings: Plano 1 Rev. 0; Plano 2 Rev. 0
Parameter: Nivel
GW DESVIACIÓN CAUSAS CONSECUENCIAS SALVAGUARDAS S L R REF# RECOMENDACIONES BY
Más 1.5. Más Nivel 1.5.1. No se identifican
causas.

Menos 1.6. Menos Nivel 1.6.1. No se identifican

causas.

Session: (1) 28/05/2021

Node: (1) Horno H1 (parte proceso)
Drawings: Plano 1 Rev. 0; Plano 2 Rev. 0
Parameter: Temperatura
GW DESVIACIÓN CAUSAS CONSECUENCIAS SALVAGUARDAS S L R REF# RECOMENDACIONES BY
Más 1.7. Más Temperatura 1.7.1. Fallo del lazo de control 1.7.1.1. Aumento de la 1.7.1.1.1. TAH-004. :No se consideran necesarias
de temperatura TIC-005 en temperatura de salida de medidas adicionales desde el
cascada con el FIC-003 producto del mismo y posibles 1.7.1.1.2. TAH-020A/B. punto de vista de la seguridad
abriendo la FV-002. daños a los tubos y a los y la operabilidad.
equipos aguas abajo del... 1.7.1.1.3. Enclavamiento TAHH-...
PHAWorks by Primatech Inc. Septiembre 2021
 ESTUDIO HAZOP DEL HORNO H1 INDUSTRIAL
2 of 8

Session: (1) 28/05/2021

Node: (1) Horno H1 (parte proceso)
Drawings: Plano 1 Rev. 0; Plano 2 Rev. 0
Parameter: Temperatura
GW DESVIACIÓN CAUSAS CONSECUENCIAS SALVAGUARDIAS S L R REF# RECOMENDACIONES BY
Más (cont.) 1.7. Más Temperatura (cont.) 1.7.1. Fallo del lazo de control ...horno H1. ...020 que por muy alta :No se consideran necesarias
de temperatura TIC-005 en temperatura a la salida del horno medidas adicionales desde el
cascada con el FIC-003 H1 corta combustible al mismo. punto de vista de la seguridad
abriendo la FV-002. (cont.) y la operabilidad. (cont.)

1.7.1.2. Ver Nodo 2.

1.7.2. Ver No Caudal.

Menos 1.8. Menos Temperatura 1.8.1. Fallo del lazo de control 1.8.1.1. Descenso de 1.8.1.1.1. No identificadas. 1.8.1.1.1. Recomendación 1:
de temperatura TIC-005 en temperatura en la corriente de Configurar alarma de baja
cascada con el FIC-003 salida del horno H1. Problemas temperatura en el TT-020 con
cerrando la FV-002. operativos. señal en sala de control.

1.8.1.2. Ver Nodo 2.

1.8.2. Ver Más Caudal.

Session: (1) 28/05/2021

Node: (1) Horno H1 (parte proceso)
Drawings: Plano 1 Rev. 0; Plano 2 Rev. 0
Parameter: Presión
GW DESVIACIÓN CAUSAS CONSECUENCIAS SALVAGUARDAS S L R REF# RECOMENDACIONES BY
Más 1.9. Más Presión. 1.9.1. No se identifican
causas.

Menos 1.10. Menos Presión. 1.10.1. No se identifican

causas.

PHAWorks by Primatech Inc. Septiembre 2021

 ESTUDIO HAZOP DEL HORNO H1 INDUSTRIAL
Session: (1) 28/05/2021
Node: (2) Horno H1 (parte combustible)
Drawings: Plano 1 Rev.0; Plano 2 Rev. 0; Plano 3 Rev. 0
Parameter: Caudal
GW DESVIACIÓN CAUSAS CONSECUENCIAS
No 2.1. No Caudal 2.1.1. Fallo en el suministro 2.1.1.1. Ausencia de caudal de
de fuel gas. fuel gas a quemadores y pilotos
con apagados de los mismos.
Sin consecuencias para la
seguridad.
2.1.2. Fallo del lazo de control 2.1.2.1. Ausencia de caudal de
de temperatura TIC-005 en fuel gas a quemadores con
cascada con el FIC-003 apagados de los mismos. Sin
cerrando la FV-002. consecuencias para la
seguridad.
2.1.2.2. Ver Nodo 1.
2.1.3. Cierre inadvertido de la 2.1.3.1. Ausencia de caudal de
válvula autorreguladora PCV- fuel gas a pilotos con apagado
002. de los mismos. Posible
inestabilidad de la llama de los
quemadores con riesgo de
atmósfera explosiva en el horno
H1.
2.1.4. Parada de las soplantes 2.1.4.1. Ausencia de caudal de
de aire de combustión. aire de combustión a los
quemadores y pilotos del horno
H1, con apagado de los
mismos y generación de
atmósfera explosiva.
2.1.5. Cierre inadvertido de la 2.1.5.1. Ausencia de caudal de
válvula HV-002/004. aire de combustión a los
quemadores y pilotos del horno
H1, con apagado de los
mismos y generación de
atmósfera explosiva.
2.1.6. Cierre inadvertido de... 2.1.6.1. Ausencia de caudal...
PHAWorks by Primatech Inc.
SALVAGUARDAS
2.1.3.1.1. PAL-003A/B/C.
2.1.3.1.2. Enclavamiento PALL-
003 que por muy baja presión a
pilotos corta combustible al horno.
2.1.4.1.1. PAL-011 A/B/C.
2.1.4.1.2. FAL-004.
2.1.4.1.3. Enclavamiento PALL-
001 que por baja presión de aire
de combustión al horno H1 corta
combustible al mismo.
2.1.5.1.1. PAL-011 A/B/C.
2.1.5.1.2. FAL-004.
2.1.5.1.3. Enclavamiento PALL-
001 que por baja presión de aire
de combustión al horno H1 corta
combustible al mismo.
2.1.6.1.1. PAL-011 A/B/C.
3 of 8
S L R REF# RECOMENDACIONES BY
2.1.3.1.1. Recomendación 2:
Considerar la posibilidad de
instalar enclavamiento de
corte de combustible al
quemador ante fallo de llama
en el piloto asociado.
:Considerar la posibilidad de
instalar enclavamiento de
corte de combustible al
quemador ante fallo de llama
en el piloto asociado.
2.1.5.1.1. Recomendación 3:
Considerar la posibilidad de
instalar un tope mecánico en
el damper de las válvulas de
impulsión de las soplantes de
aire de combustión.
:Considerar la posibilidad de
instalar enclavamiento de
corte de combustible al
quemador ante fallo de llama
en el piloto asociado.
2.1.6.1.1. Recomendación 4:...
Septiembre 2021
 ESTUDIO HAZOP DEL HORNO H1 INDUSTRIAL
4 of 8

Session: (1) 28/05/2021

Node: (2) Horno H1 (parte combustible)
Drawings: Plano 1 Rev.0; Plano 2 Rev. 0; Plano 3 Rev. 0
Parameter: Caudal
GW DESVIACIÓN CAUSAS CONSECUENCIAS SALVAGUARDAS S L R REF# RECOMENDACIONES BY
No (cont.) 2.1. No Caudal (cont.) ...la válvula HV-001/003. ...de aire de combustión a los ...Considerar la posibilidad de
quemadores y pilotos del horno 2.1.6.1.2. FAL-004. instalar un tope mecánico en
H1, con apagado de los el damper de las válvulas de
mismos y generación de 2.1.6.1.3. Enclavamiento PALL- succión de las soplantes de
atmósfera explosiva. 001 que por baja presión de aire aire de combustión.
de combustión al horno H1 corta
combustible al mismo.

2.1.6.2. Daños a las soplantes 2.1.6.2.1. PAL-011 A/B/C. :Considerar la posibilidad de

de aire de combustión. instalar un tope mecánico en
2.1.6.2.2. FAL-004. el damper de las válvulas de
succión de las soplantes de
2.1.6.2.3. Enclavamiento PALL- aire de combustión.
001 que por baja presión de aire
de combustión al horno H1 para
las soplantes.

2.1.7. Fallo del lazo de control 2.1.7.1. Ausencia de caudal de 2.1.7.1.1. No identificadas. 2.1.7.1.1. Recomendación 5:
de caudal FIC-004 cerrando la aire de combustión a los Considerar la posibilidad de
FV-003. quemadores y pilotos del horno instalar un tope mecánico en
H1, con apagado de los el damper de la válvulas FV-
mismos y generación de 003.
atmósfera explosiva.
:Considerar la posibilidad de
instalar enclavamiento de
corte de combustible al
quemador ante fallo de llama
en el piloto asociado.

Más 2.2. Más caudal 2.2.1. Fallo del lazo de control
de temperatura TIC-005 en
cascada con el FIC-003
abriendo la FV-002.
2.2.1.1. Aumento de caudal de 2.2.1.1.1. TAH-004.
fuel gas a quemadores con
alargamiento de llama y 2.2.1.1.2. TAH-020A/B.
posibles daños a los tubos.
2.2.1.1.3. Enclavamiento TAHH-
020 que por muy alta temperatura
a la salida del horno H1 corta
combustible al mismo.

2.2.1.2. Inestabilidad de la 2.2.1.2.1. PAH-013

llama de los quemadores con
posible apagado de la misma y 2.2.1.2.2. PAH-001
formación de atmósfera
explosiva. 2.2.1.2.3. Enclavamiento PAHH-
013 que por muy alta presión de
fuel gas a quemadores corta...
PHAWorks by Primatech Inc. Septiembre 2021
 ESTUDIO HAZOP DEL HORNO H1 INDUSTRIAL
5 of 8

Session: (1) 28/05/2021

Node: (2) Horno H1 (parte combustible)
Drawings: Plano 1 Rev.0; Plano 2 Rev. 0; Plano 3 Rev. 0
Parameter: Caudal
GW DESVIACIÓN CAUSAS CONSECUENCIAS SALVAGUARDAS S L R REF# RECOMENDACIONES BY
Más (cont.) 2.2. Más caudal (cont.) 2.2.1. Fallo del lazo de control 2.2.1.2. Inestabilidad de la ...combustible al horno H1.
de temperatura TIC-005 en llama de los quemadores con
cascada con el FIC-003 posible apagado de la misma y
abriendo la FV-002. (cont.) formación de atmósfera
explosiva. (cont.)

2.2.1.3. Ver Nodo 1.

2.2.2. Apertura inadvertida de 2.2.2.1. Aumento de caudal de 2.2.2.1.1. No identificadas. :Considerar la posibilidad de
la PCV-007. fuel gas a pilotos con instalar enclavamiento de
inestabilidad de la llama y corte de combustible al
posible apagado de la misma. quemador ante fallo de llama
Formación de atmósfera en el piloto asociado
explosiva.

2.2.3. Fallo del lazo de control 2.2.3.1. Aumento de caudal de 2.2.3.1.1. No identificadas. :Considerar la posibilidad de
de caudal FIC-004 abriendo la aire de combustión a los instalar enclavamiento de
FV-003. quemadores de horno H1 con corte de combustible al
inestabilidad de la llama y quemador ante fallo de llama
posible apagado de la misma. en el piloto asociado.
Riesgo de generación de
atmósfera explosiva.

Menos 2.3. Menos caudal. 2.3.1. Visto de manera más

restrictiva en No Caudal.

Inverso 2.4. Caudal Inverso. 2.4.1. No se identifican

causas.

Session: (1) 28/05/2021

Node: (2) Horno H1 (parte combustible)
Drawings: Plano 1 Rev.0; Plano 2 Rev. 0; Plano 3 Rev. 0
Parameter: Nivel
GW DESVIACIÓN CAUSAS CONSECUENCIAS SALVAGUARDAS S L R REF# RECOMENDACIONES BY
Más 2.5. Más Nivel 2.5.1. No se identifican
causas.

Menos 2.6. Menos Nivel 2.6.1. No se identifican

causas.

PHAWorks by Primatech Inc. Septiembre 2021


Session: (1) 28/05/2021
Node: (2) Horno H1 (parte combustible)
Drawings: Plano 1 Rev.0; Plano 2 Rev. 0; Plano 3 Rev. 0
Parameter: Temperatura
GW DESVIACIÓN
Más 2.7. Más Temperatura.
Menos 2.8. Menos Temperatura.
PHAWorks by Primatech Inc.
ESTUDIO HAZOP DEL HORNO H1 INDUSTRIAL
6 of 8
CAUSAS CONSECUENCIAS SALVAGUARDAS S L R REF# RECOMENDACIONES BY
2.7.1. Cierre inadvertido de la 2.7.1.1. No caudal de by-pass 2.7.1.1.1. TAH-012 :No se consideran necesarias
válvula HV-005. de los precalentadores de aire medidas adicionales desde el
de combustión con aumento de 2.7.1.1.2. TAL-013 punto de vista de la seguridad
temperatura del aire de y la operabilidad.
combustión. Problemas
operativos.
2.7.1.2. Descenso de la
temperatura de los humos de
salida del horno H1. Sin
consecuencias.
2.7.2. Aumento del caudal de 2.7.2.1. Aumento de 2.7.2.1.1. TAH-012 :No se consideran necesarias
vapor de baja al precalentador temperatura en la corriente de medidas adicionales desde el
de aire de combustión. aire de combustión al horno H1. punto de vista de la seguridad
y la operabilidad.
2.8.1. Apertura inadvertida de 2.8.1.1. Aumento de caudal de 2.8.1.1.1. TAH-013 :No se consideran necesarias
la válvula HV-005. by-pass de los precalentadores medidas adicionales desde el
de aire de combustión con punto de vista de la seguridad
descenso de temperatura en la y la operabilidad.
corriente de aire de combustión
al horno H1. Problemas
operativos.
2.8.1.2. Aumento de la
temperatura de los humos de
salida del horno H1. Sin
consecuencias.
2.8.2. Descenso de caudal de 2.8.2.1. Descenso de 2.8.2.1.1. TAL-012 :No se consideran necesarias
vapor de baja al precalentador temperatura en la corriente de medidas adicionales desde el
de aire de combustión. aire de combustión al horno H1, punto de vista de la seguridad
con posibles problemas en nla y la operabilidad.
llama de los quemadores del
mismo.
Septiembre 2021
 ESTUDIO HAZOP DEL HORNO H1 INDUSTRIAL
7 of 8

Session: (1) 28/05/2021

Node: (2) Horno H1 (parte combustible)
Drawings: Plano 1 Rev.0; Plano 2 Rev. 0; Plano 3 Rev. 0
Parameter: Presión
GW DESVIACIÓN CAUSAS CONSECUENCIAS SALVAGUARDAS S L R REF# RECOMENDACIONES BY
Más 2.9. Más Presión. 2.9.1. Fallo del del lazo de 2.9.1.1. Ver Más Caudal.
control de presión PIC-001
abriendo la FV-002.

2.9.2. Fallo del lazo de control 2.9.2.1. Aumento de presión en 2.9.2.1.1. PAH-014A/B/C. 2.9.2.1.1. Recomendación 6:
de presión PIC-006 cerrando el hogar del horno H1 con Considerar la posibilidad de
el damper PV-006. posible apagado de la llama de 2.9.2.1.2. Enclavamiento PAHH- instalar tope mecánico en la
quemadores y pilotos. Riesgo 014 que por alta presión en el válvula PV-006 para que ésta
de atmósfera explosiva. hogar del horno corta combustible no pueda cerrarse
al mismo. completamente (No se
considera necesario debido a
que se dificulta mucho la
puesta en marcha del horno).

2.9.3. Fallo del lazo de control 2.9.3.1. Aumento de presión en 2.9.3.1.1. PAH-015A/B. 2.9.3.1.1. Recomendación 7:
de presión PIC-013 cerrando el precalentador de aire de Considerar la posibilidad de
la válvula PV-013. combustión/gases de 2.9.3.1.2. Enclavamiento PAHH- instalar enclavamiento de
combustión. 015 que ante muy alta presión en apertura de la válvula de by-
el precalentador de aire de pass del precalentador de aire
combustión para el horno H1. de combustión ante alta
presión en el ducto del mismo.

2.9.4. Parada de la soplante 2.9.4.1. Aumento de presión en

de gases de combustión.
el precalentador de aire de
combustión/gases de
combustión, con actuación de
controlador de presión PIC-
013A.

Menos 2.10. Menos Presión. 2.10.1. Fallo del del lazo de 2.10.1.1. Ver No Caudal.
control de presión PIC-001
cerrando la FV-002.

2.10.2. Fallo del lazo de 2.10.2.1. Aumento del tiro en el

control de presión PIC-006 horno H1. Sin consecuencias.
abriendo el damper PV-006.

2.10.3. Fallo del lazo de
control de presión PIC-013
abriendo la válvula PV-013.
PHAWorks by Primatech Inc.
2.10.3.1. Descenso de presión 2.10.3.1.1. No identificadas. :No se consideran necesarias
en el precalentador de aire de medidas adicionales desde el
combustión/gases de punto de vista de la seguridad
combustión con pérdida de y la operabilidad.
rendimiento en el proceso
precalentamiento de aire de
combustión. Problemas
operativos.
Septiembre 2021
 ESTUDIO HAZOP DEL HORNO H1 INDUSTRIAL
8 of 8

Session: (1) 28/05/2021

Node: (2) Horno H1 (parte combustible)
Drawings: Plano 1 Rev.0; Plano 2 Rev. 0; Plano 3 Rev. 0
Parameter: Seguridad
GW DESVIACIÓN CAUSAS CONSECUENCIAS SALVAGUARDAS S L R REF# RECOMENDACIONES BY
2.11. Seguridad 2.11.1. Posible acumulación 2.11.1.1. Riesgo de atmósfera 2.11.1.1.1. No identificadas. 2.11.1.1.1. Recomendación 8:
de gases inflamables en el explosiva en el hogar del horno. Considerar la posibilidad de
hogar del horno H1 durante la desactivar la corriente
parada del mismo. eléctrica de los analizadores
de oxígeno existentes en la
chimenea del horno H1 en
caso de parada del mismo.

2.11.2. Rotura/fuga en la línea 2.11.2.1. Salida al exterior de 2.11.2.1.1. Válvula manual 2.11.2.1.1. Recomendación 9:
de fuel gas al horno H1. sustancias inflamables con remota operada desde suelo en la Verificar que la válvula manual
riesgo de atmósfera explosiva. línea común de fuel gas. remota operada desde el
suelo situada en la línea
común de fuel gas es de
cierre rápido y se encuentra a
distancia segura del horno H1.

Session: (1) 28/05/2021

Node: (2) Horno H1 (parte combustible)
Drawings: Plano 1 Rev.0; Plano 2 Rev. 0; Plano 3 Rev. 0
Parameter: Diseño
GW DESVIACIÓN CAUSAS CONSECUENCIAS SALVAGUARDAS S L R REF# RECOMENDACIONES BY
2.12. Diseño 2.12.1. Cierre de las válvulas 2.12.1.1. Imposibilizar de 2.12.1.1.1. No identificadas. 2.12.1.1.1. Recomendación
UV-001/002 y U-003/004. ventear el fuel gas contenido 10: Considerar la posibilidad
entre las válvulas UV-001/002 y de instalar una línea de
UV-003/004. venteo entre las líneas UV-
001/002 y UV-003/004 con
una válvula automática del
tipo FO (a fallo abre), un
sistema de borboteo y un
apagallamas dirigido a un
lugar seguro.

2.12.2. Válvula de emergencia 2.12.2.1. Imposibilidad de 2.12.2.1.1. No identificadas. 2.12.2.1.1. Recomendación

UV-001/002 y UV-003/004.
conocer el estado de válvulas 11: Verificar que las válvulas
UV-001/002 y UV-003/004. UV-001/002 y UV-003/004 son
del tipo S/ANSI B16-104 Clase
IV, con actuador automático
de simple efecto, con finales
de carrera con señal en sala
de control y con volante
manual local desmontado.

PHAWorks by Primatech Inc. Septiembre 2021

64
4. Conclusiones

ANEXO II

DIAGRAMAS DE TUBERIAS E INSTRUMENTACIÓN (P&ID)

64
Aplicación de la herramienta BOW-TIE para la identificación y gestión de los riesgos en instalaciones
65
de procesos

ANEXO III

MATRIZ CAUSA-EFECTO (MCE)

65
Enclavamientos implicados:
E-001

UV-001

UV-002

UV-003

UV-004

UV-005

UV-006

PV-013
Tag
Equipo

H1

H1

H1

H1

H1

H1

H1
Plano 2 Rev. 0

Plano 2 Rev. 0

Plano 2 Rev. 0

Plano 2 Rev. 0

Plano 2 Rev. 0

Plano 2 Rev. 0

Parar precalentador Apertura del by-pass Plano 3 Rev. 0

P&ID
ACCIÓN

Cerrar

Cerrar

Cerrar

Cerrar

Abrir

Abrir
Venteo FG

Venteo FG
Cortar FG

Cortar FG

Cortar FG

Cortar FG
Efecto
Item Equipo Tag P&ID
Plano 1 Rev. 0
1 Muy bajo caudal de alimentación a los pasos del Horno H1 H1 FT-002 X X X
Plano 2 Rev. 0
Plano 1 Rev. 0
2 Muy alta temperatura en salida pasos del Horno H1 H1 TT-020 X X X
Plano 2 Rev. 0
Plano 1 Rev. 0
3 Muy baja presión de fuel gas a quemadores H1 PT-002 X X X
Plano 2 Rev. 0
Plano 1 Rev. 0
4 Muy baja presión de fuel gas a pilotos H1 PT-003 X X X X X X
Plano 2 Rev. 0
Plano 2 Rev. 0
5 Baja presión de aire de combustión H1 PT-011 X X X X X X
Plano 3 Rev. 0
E-001 Plano 2 Rev. 0
6 Muy alta temperatura en la salida de los gases de combustió H1 TT-013 X
Plano 3 Rev. 0
Plano 1 Rev. 0
7 Muy alta presión de fuel gas a quemadores H1 PT-013 X X X
Plano 2 Rev. 0

8 Muy alta presión en el hogar del Horno H1 H1 PT-014 Plano 2 Rev. 0 X X X X X X

Plano 1 Rev. 0
9 Alta presión en el ducto de precalentador de aire H1 PT-015 X
Plano 2 Rev. 0
Plano 1 Rev. 0
10 Switch de parada de emergencia manual H1 HS-001 Plano 2 Rev. 0 X X X X X X X
Plano 3 Rev. 0
66
Referencias

REFERENCIAS

[1] G. d. España, «Ministerio de trabajo y economía social,» Abril 2021. [En línea]. Available:
https://www.insst.es/-/-que-es-y-como-debo-realizar-la-evaluacion-de-riesgos-.

[2] P. Fernandez Zamora y G. Reyes Delgado, «La seguridad y los nuevos proyectos en instalaciones
industriales,» 2012. [En línea]. Available: https://www.interempresas.net/Seguridad/Articulos/63018-La-
seguridad-y-los-nuevos-proyectos-en-instalaciones-industriales.html.

[3] T. L. S.A.C., «El rol del Bow Tie en la gestión de la Seguridad,» 2019.

[4] N. I. 31000:2018, «Gestión del riesgo. Directrices.,» [En línea]. Available:

https://www.iso.org/obp/ui#iso:std:iso:31000:ed-2:v1:es.

[5] N. I. 1776:2016., «Industrias del petróleo y del gas natural. Instalaciones marinas de producción. Gestión
de riesgos de accidentes graves durante el diseño de nuevas instalaciones.,» [En línea]. Available:
https://www.une.org/encuentra-tu-norma/busca-tu-norma/norma/?c=N0057767.

[6] A. Trujillo, «EL ÁRBOL DE FALLOS Y EL ANÁLISIS DE IMPORTANCIA, DOS HERRAMIENTAS

PARA LA OPTIMIZACIÓN DE LA GESTIÓN DE DISTINTOS TIPOS DE RIESGOS».

[7] A. I. O. C. ENGINEERS, BOW TIES IN RISK MANAGEMENT, A Concept Book for Process Safety,
New York.

[8] T. Rheinland, «Curso de Certificación de Análisis de Riesgos y Seguridad Funcional».

66