Árbol de fallos (árbol de fallas, FTA): cómo hacerlo, con un ejercicio resuelto
Por Sabrina Muñoz · actualizado el 13 de noviembre de 2026
Curso relacionado: Análisis de riesgos: HAZOP y árbol de fallos.
Un árbol de fallos (árbol de fallas o FTA, fault tree analysis) parte de un suceso no deseado y baja, con puertas lógicas Y y O, hasta los fallos básicos que lo provocan. Con él ves qué combinaciones de fallos llevan al accidente y, si pones datos, calculas su probabilidad. Aquí tienes los símbolos, los pasos y un ejercicio resuelto con números.
Qué es un árbol de fallos
Es una técnica deductiva: piensa de arriba abajo. Empiezas por el final de la historia (el tanque rebosa, el reactor rompe, la prensa baja con la mano dentro) y te preguntas qué tiene que pasar justo antes para que ocurra. Luego repites la pregunta con cada respuesta hasta llegar a fallos que ya no tiene sentido descomponer.
Nació a principios de los años sesenta en el sector aeroespacial y de defensa estadounidense, y hoy tiene su norma internacional, la IEC 61025. En español, la NTP 333 del INSST lo explica con el nombre de árbol de fallos y errores, porque las personas también fallan y también van en el árbol.
Lo que lo hace distinto de un HAZOP o un AMFE (AMEF, FMEA): esas técnicas miran los fallos de uno en uno. El árbol de fallos mira combinaciones. Y casi todos los accidentes graves son combinaciones.
Símbolos básicos
| Símbolo | Qué es | Cómo se lee |
|---|---|---|
| Rectángulo | Suceso intermedio (o el suceso tope) | Un suceso que se sigue descomponiendo |
| Círculo | Suceso básico | Un fallo que ya no se descompone y del que tienes dato |
| Rombo | Suceso no desarrollado | Se podría descomponer, pero no merece la pena o no hay información |
| Puerta Y | Todas las entradas a la vez | La salida ocurre solo si ocurren todas |
| Puerta O | Al menos una entrada | La salida ocurre si ocurre cualquiera |
Truco para no liarte: debajo de una protección que falla suele haber una puerta O (basta con que falle una pieza). Entre la causa y las protecciones que la tendrían que parar suele haber una puerta Y (tienen que fallar todas).
Cómo se hace, paso a paso
- Define el suceso tope con qué, dónde y cuándo. «Fallo del tanque» no sirve. «La gasolina rebosa del tanque durante una recepción» sí.
- Pregunta qué hace falta justo antes. Causas inmediatas, no las de fondo. Elige la puerta y completa todas sus entradas antes de bajar.
- Baja nivel a nivel hasta sucesos básicos con dato (fallo de un equipo, error de una persona).
- Escribe cada suceso igual cada vez que sale. Si un fallo aparece en dos ramas, con el mismo nombre letra por letra. Lo vas a necesitar.
- Saca los conjuntos mínimos de corte: las combinaciones más pequeñas de sucesos básicos que provocan el tope.
- Pon números y calcula, cuidando las unidades.
Cómo se calcula la probabilidad
Con sucesos independientes:
- Puerta Y: se multiplican. Si A tiene 0,1 y B tiene 0,01, A y B a la vez: 0,001.
- Puerta O: se suman. A o B: 0,11. La suma es una aproximación que vale cuando las probabilidades son pequeñas; la fórmula exacta es 1 − (1 − A) × (1 − B), que aquí da 0,109.
Dos avisos que evitan la mitad de los errores. Primero, no mezcles unidades: o todo son probabilidades por demanda (por llenado, por arranque, por lote) o frecuencias por año, y el tiempo entra una sola vez. Segundo, si un suceso se repite en varias ramas, no calcules puerta a puerta: calcula por conjuntos mínimos de corte. Lo vas a ver en el ejemplo.
Ejercicio resuelto: sobrellenado de un tanque de gasolina
Terminal de combustible ficticia, con valores de ejemplo para formación. Un tanque de gasolina se llena desde un oleoducto unas cien veces al año. El operador calcula el hueco disponible, alinea válvulas y da permiso de bombeo. El nivel lo mide un radar, que además da una alarma de nivel alto al 90 %. Hay un interruptor independiente de nivel muy alto al 95 % que cierra solo la válvula motorizada de entrada; no está certificado y se prueba una vez al año.
Suceso tope: la gasolina rebosa del tanque durante una recepción desde el oleoducto. Calculamos por recepción: la probabilidad de que un llenado cualquiera acabe en rebose.
El árbol
Primer nivel, puerta Y con tres entradas (tienen que pasar las tres):
- G1. El nivel pasa del máximo con el bombeo en marcha. Puerta O de: A, hueco mal calculado; B, medidor de nivel clavado (marca menos de lo que hay); C, producto alineado a este tanque por error; D, llega más caudal del previsto.
- G2. La alarma de nivel alto no para el bombeo. Puerta O de: E, el operador no responde a tiempo; B, medidor de nivel clavado (la alarma sale de ese mismo medidor).
- G3. No actúa el corte independiente. Puerta O de: F, falla el interruptor; G, falla la lógica (un relé); H, no cierra la válvula.
Ocho sucesos básicos, y uno (B) sale dos veces. Ese es el detalle que decide el ejercicio.
Conjuntos mínimos de corte
Combina G1 con G2: 4 × 2 = 8 combinaciones. B con B es B solo, y esa fila corta absorbe a todas las que contienen B. Quedan cuatro: {B}, {A, E}, {C, E} y {D, E}. Cada una necesita además que falle G3 (F, G o H): 4 × 3 = 12 conjuntos mínimos.
- 3 de orden dos: {B, F}, {B, G}, {B, H}.
- 9 de orden tres: una causa (A, C o D), el operador (E) y una pieza del corte (F, G o H).
Lectura sin números: no hay ningún punto único de fallo, pero el medidor deja una sola barrera en pie, porque llena el tanque a ciegas y a la vez apaga la alarma. Y el corte independiente está en los doce conjuntos: todo pasa por él.
Valores (por recepción, de ejemplo)
| Suceso | Probabilidad | De dónde sale |
|---|---|---|
| A. Hueco mal calculado | 0,01 | Supuesto: un error al año |
| B. Medidor clavado | 0,001 | 0,1 fallos por año repartido entre 100 llenados |
| C. Alineación equivocada | 0,001 | Supuesto |
| D. Más caudal del previsto | 0,001 | Supuesto |
| E. El operador no responde a la alarma | 0,1 | Valor prudente para alarma en sala atendida |
| G3. Falla el corte (F + G + H) | 0,1 | Las piezas suman 0,07, pero un corte sin certificar y probado una vez al año no se toma mejor que 0,1 |
La cuenta
Por grupos de conjuntos, en llenados de cada cien mil:
- Medidor clavado y corte: 0,001 × 0,1 = 0,0001, es decir, 10 de cada 100.000.
- Las otras tres causas (0,01 + 0,001 + 0,001 = 0,012), por el operador (0,1) y por el corte (0,1): 0,00012, es decir, 12 de cada 100.000.
- Total: 22 de cada 100.000 llenados acaban en rebose (2,2 × 10-4).
Por las cien recepciones del año: 2,2 × 10-4 × 100 = 0,022 por año, un rebose cada 45 años más o menos.
El error típico: calcular puerta a puerta
Si calculas cada puerta por separado: G1 = 0,013; G2 = 0,001 + 0,1 = 0,101; G3 = 0,1. Multiplicas: 0,013 × 0,101 × 0,1 ≈ 1,3 × 10-4 por llenado, 0,013 por año. Poco más de la mitad del valor correcto. Has tratado el medidor clavado como si fueran dos averías independientes, y ese resultado es el de otra terminal, una donde la alarma tiene su propio medidor.
Qué te dice el resultado
Casi la mitad del número viene del medidor clavado y casi toda la otra mitad del cálculo del hueco: las personas pesan aquí tanto como los instrumentos. El árbol sirve sobre todo para comparar mejoras:
- Una segunda persona revisa el cálculo del hueco (diez veces más fiable): de 22 a 13 por cien mil.
- Alarma con medidor propio: también a 13.
- Corte certificado, diez veces más fiable: todo se divide entre diez, porque está en los doce conjuntos.
No es casualidad: en el accidente de Buncefield (Reino Unido, 2005) el medidor del tanque se quedó clavado, las alarmas que dependían de él no saltaron y el interruptor independiente no actuó. Cayeron las tres ramas de este árbol.
Errores frecuentes
- Suceso tope vago. Si no dice qué, dónde y cuándo, cada persona dibuja un árbol distinto.
- Saltar niveles. Pasar de «rebosa el tanque» a «falta de formación» sin los pasos intermedios.
- Ignorar la causa común. Dos sensores iguales, calibrados por la misma persona el mismo día, no son independientes.
- Dar el número como verdad. Con valores genéricos, el resultado vale para ordenar y comparar, no para presumir de decimales.
Dónde encaja con otras técnicas
El árbol de fallos explica el lado izquierdo de un bow tie con números. El suceso tope suele salir de un HAZOP, y su frecuencia alimenta un LOPA o un árbol de sucesos. En España, en el informe de seguridad de las instalaciones Seveso, el árbol de fallos aparece como ejemplo de técnica para estimar frecuencias en el análisis cuantitativo de riesgo; lo cuento en la guía de la Directriz básica de 2026. Y si buscas la causa raíz de un fallo que ya ha ocurrido, el árbol también sirve, aunque allí suelen bastar herramientas como el análisis de causa raíz.
Preguntas frecuentes
¿Qué es un árbol de fallos?
Es un diagrama que parte de un suceso no deseado (el suceso tope) y baja, con puertas lógicas Y y O, hasta los fallos básicos que lo pueden provocar. Sirve para ver qué combinaciones de fallos llevan al accidente y, con datos, para calcular su probabilidad.
¿Árbol de fallos o árbol de fallas?
Es lo mismo. En España se dice árbol de fallos y en buena parte de Latinoamérica árbol de fallas. En inglés es fault tree analysis (FTA).
¿Cómo se calcula una puerta Y y una puerta O?
En una puerta Y con sucesos independientes se multiplican las probabilidades. En una puerta O se suman, lo que es una buena aproximación cuando las probabilidades son pequeñas. Si un mismo suceso aparece en varias ramas, hay que calcular por conjuntos mínimos de corte.
¿Qué es un conjunto mínimo de corte?
Es la combinación más pequeña de sucesos básicos que, si ocurren a la vez, provoca el suceso tope. Un conjunto de un solo suceso es un punto único de fallo.
¿Qué diferencia hay entre árbol de fallos y árbol de sucesos?
El árbol de fallos va hacia atrás, del accidente a sus causas. El árbol de sucesos (o de eventos) va hacia delante, desde un suceso iniciador hasta sus posibles desenlaces.