Análisis bow tie (diagrama de pajarita): qué es, cómo se hace y ejemplo industrial

Por Sabrina Muñoz · actualizado el 13 de noviembre de 2026

Curso relacionado: Análisis de riesgos: HAZOP y árbol de fallos.

El análisis bow tie (diagrama de pajarita) es una forma de dibujar un accidente en una sola hoja: en el centro, el momento en que se pierde el control; a la izquierda, las amenazas que lo provocan; a la derecha, las consecuencias; y entre medias, las barreras que lo evitan o limitan el daño. No calcula nada, pero enseña de un vistazo dónde falta protección. Aquí tienes las piezas, un ejemplo industrial resuelto y cómo encaja con HAZOP y LOPA.

Qué es un bow tie

El nombre viene de la forma: dos triángulos unidos por el centro, como una pajarita (en inglés, bow tie; nada que ver con zapatos ni con pasta). Por dentro es la unión de dos ideas conocidas: el lado izquierdo es un árbol de fallos tumbado y simplificado, y el lado derecho es un árbol de sucesos. La diferencia es que el bow tie no pone números: está pensado para entender y comunicar.

Aparece entre las técnicas de la norma IEC 31010:2019 (técnicas de evaluación del riesgo), y la guía práctica más citada es la del CCPS y el Energy Institute, de 2018. Su gran ventaja es que cabe en una hoja: lo entienden igual el jefe de turno, el ingeniero de proceso y la dirección.

Las piezas del diagrama

Pieza	Dónde va	Qué es	Ejemplo
Peligro	Arriba, en el centro	Lo que puede hacer daño si se pierde el control	Reacción que desprende calor
Suceso tope	Centro	El momento en que se pierde el control, antes del daño	La temperatura supera 130 °C y la mezcla empieza a descomponerse
Amenazas	Izquierda	Causas directas y concretas del suceso tope	Se para la bomba de agua de refrigeración
Consecuencias	Derecha	Finales concretos con daño	Rotura del reactor y escape en la nave
Barreras preventivas	Entre amenazas y suceso tope	Impiden que la amenaza llegue al suceso tope	Corte automático por temperatura muy alta
Barreras mitigadoras	Entre suceso tope y consecuencias	Evitan o reducen el daño	Disco de ruptura con depósito de recogida
Factores de degradación	Colgando de una barrera	Lo que puede dejar fuera de juego a esa barrera	Nadie recuerda la última prueba del corte
Controles de degradación	Junto a su factor	Lo que mantiene viva la barrera	Prueba periódica con registro

Una barrera de verdad tiene que ser eficaz (puede cortar la línea por sí sola), independiente (de la amenaza y de las otras barreras) y auditable (se puede comprobar que funciona). «Formación» o «procedimientos» a secas no son barreras: son, como mucho, controles de degradación que apoyan a una barrera.

Cómo se hace, paso a paso

Elige el peligro y el suceso tope. Concreta el suceso tope: no una etiqueta, sino qué pasa y dónde.
Escribe las amenazas a la izquierda. Si escribes «falla la alarma», bórralo: es el fallo de una barrera, no una amenaza. Si escribes «error humano», concreta qué persona hace qué.
Escribe las consecuencias a la derecha: finales concretos, no categorías.
Coloca las barreras línea a línea. Para cada amenaza, pregunta qué barrera la corta de verdad. No copies las mismas barreras en todas las líneas.
Añade los factores de degradación de las barreras importantes y sus controles.
Marca el estado de cada barrera (por ejemplo, verde, amarillo o rojo) y dibuja con trazo discontinuo las que están recomendadas pero no existen.

Ejemplo industrial: pérdida de control de un reactor

Fábrica ficticia de resinas, con datos de formación. En un reactor por lotes se dosifica un reactivo B durante dos horas, con el reactor a 80 °C y el agitador en marcha. El agua de la camisa retira el calor de la reacción.

Peligro: reacción que desprende calor en el reactor. Suceso tope: pérdida de control de la reacción; la temperatura supera 130 °C y la mezcla empieza a descomponerse y generar gas.

Barreras preventivas candidatas: alarma de temperatura alta a 90 °C (el operador para la dosificación y tiene unos 20 minutos), corte automático a 100 °C con sensor propio que cierra la válvula de B, y corte por agitador parado.

Lado izquierdo: amenazas y barreras, línea a línea

Amenaza	Barreras que sí cortan	Por qué
1. Sin agua de refrigeración durante la dosificación	Alarma + operador; corte a 100 °C	Los sensores funcionan, y cortar B detiene la generación de calor
2. El sensor del control de temperatura marca de menos y cierra el agua	Solo el corte a 100 °C	La alarma lee del mismo sensor: no suena
3. La válvula de B se queda abierta (más caudal)	Alarma + operador (en amarillo); corte a 100 °C	Los 20 minutos del operador se estimaron para otra causa: con caudal máximo sube más rápido
4. Se dosifica antes de llegar a 80 °C y B se acumula	Ninguna. Recomendada: permisivo de temperatura (discontinua)	Alarma y corte cortan B, pero lo acumulado ya está dentro
5. Se para el motor del agitador	Corte por agitador parado	Cierra B antes de que se acumule; las de temperatura llegarían tarde
6. En el depósito de B hay otro producto	Comprobación de albarán y etiqueta (amarillo). Recomendada: análisis de cada entrega (discontinua)	Los umbrales de temperatura están pensados para la reacción conocida

Resultado: 2, 1, 2, 0, 1 y 1 barreras. Siete barras, tres en amarillo, y no las dieciocho que habrían salido copiando tres barreras en seis líneas. Ya ves dónde está el problema: una línea sin ninguna barrera de prevención.

Lado derecho: consecuencias y barreras mitigadoras

Consecuencia 1: se abre el disco de ruptura y la mezcla descarga al depósito de recogida; lote perdido. Es el final menos malo. Queda una pregunta para ingeniería: ¿tiene el depósito capacidad para todo el reactor y adónde van los gases?
Consecuencia 2: el reactor rompe y escapan vapores inflamables y tóxicos en la nave. Barreras: disco de ruptura con su depósito (una sola barrera, porque uno sin el otro no sirve) y detección de gas con alarma de evacuación.
Consecuencia 3: los vapores encuentran una chispa: incendio en la nave. Barreras: disco con depósito y detección de gas, que arranca la ventilación de emergencia.

Ojo con un detalle: alarma de evacuación, ventilación y plan de emergencia arrancan con el mismo detector de gas. Si falla, caen los tres. Cuentan como una sola barrera, y el detector pasa a ser un equipo crítico.

Factores de degradación

Corte automático: nadie recuerda su última prueba. Control: prueba periódica de la cadena entera, del sensor a la válvula cerrada, con registro.
Disco: restos de resina que endurecen en la línea de descarga. Control: inspección y limpieza programadas.
Alarma: suena en una sala que a veces está vacía. Control: repetirla en la nave.

Con esto puedes hacer un registro de barreras: una fila por barrera con qué hace, en qué líneas está, quién es su dueño, cómo se comprueba y cada cuánto. El corte automático está en tres líneas y en una es la única barrera: su prueba no puede ser la que se aplaza cuando hay prisa.

Relación del bow tie con HAZOP y LOPA

Las técnicas se encadenan así:

HAZOP → bow tie. Las amenazas del ejemplo son las causas de las desviaciones del HAZOP (más caudal, antes, otro que…), y las barreras son sus salvaguardas. El bow tie no añade información nueva: reúne en una hoja lo que en el HAZOP estaba repartido en muchas filas, y por eso se entiende.
Bow tie → LOPA. Cada camino de una amenaza a una consecuencia es un escenario listo para ponerle números: frecuencia de la amenaza por la probabilidad de fallo de cada barrera. El bow tie dice qué barreras existen; el LOPA, si bastan.
Árbol de fallos y árbol de sucesos. Si una amenaza necesita frecuencia y no la tienes en tablas, la calculas con un árbol de fallos. Si quieres saber con qué frecuencia acaba en cada consecuencia, el lado derecho se convierte en un árbol de sucesos.

En España, el informe de seguridad de los establecimientos Seveso pide describir las medidas de prevención, control y mitigación de cada accidente grave. El bow tie no es obligatorio, pero es una forma muy clara de presentarlas. Lo cuento en la guía de la Directriz básica de 2026.

Errores frecuentes

Todo en verde y las mismas barras en cada línea. El dibujo queda bonito y no enseña nada.
Llamar barrera a cualquier cosa: formación, cultura de seguridad o «procedimientos».
Suceso tope que ya es una consecuencia (por ejemplo, «explosión»). Entonces la izquierda se llena de cosas que eran barreras.
Querer meter todo en un bow tie. Se reserva para los accidentes graves; si no cabe en una hoja, sobra algo.

Lo más valioso del dibujo son sus huecos: la línea sin barreras, la barrera en amarillo, la pregunta sin contestar. Eso es lo que hay que llevar al plan de acciones.

Preguntas frecuentes

¿Qué es un análisis bow tie?

Es un diagrama con forma de pajarita que pone en el centro un suceso tope (la pérdida de control), a la izquierda las amenazas que lo provocan, a la derecha las consecuencias que puede tener y, entre medias, las barreras que lo evitan o limitan el daño.

¿Qué es el suceso tope en un bow tie?

Es el momento en que se pierde el control del peligro, antes de que haya daño. Por ejemplo, la temperatura de un reactor supera el punto de descomposición. Hasta ahí se puede evitar; a partir de ahí solo se puede limitar el daño.

¿Qué diferencia hay entre barreras preventivas y mitigadoras?

Las preventivas están a la izquierda: impiden que una amenaza llegue al suceso tope. Las mitigadoras (o de recuperación) están a la derecha: evitan o reducen las consecuencias una vez ocurrido el suceso tope.

¿Qué relación tiene el bow tie con HAZOP y LOPA?

Las amenazas y salvaguardas suelen salir del HAZOP; el bow tie las reúne en una hoja. Cada camino de una amenaza a una consecuencia es un escenario que se puede cuantificar con un LOPA.

¿Hay una norma del bow tie?

No hay una norma dedicada solo al bow tie. Aparece como técnica en la norma IEC 31010:2019 de técnicas de evaluación del riesgo, y la referencia práctica más usada es la guía del CCPS y el Energy Institute de 2018.