HAZOP: qué es, cómo se hace y una hoja HAZOP rellena de ejemplo
Por Sabrina Muñoz · actualizado el 13 de noviembre de 2026
Curso relacionado: Análisis de riesgos: HAZOP y árbol de fallos.
Un HAZOP es un estudio en equipo que recorre una instalación tramo a tramo (los nodos) y, combinando parámetros con palabras guía, busca todas las formas en que el proceso puede desviarse de lo que el diseño pretendía. Para cada desviación se anotan causas, consecuencias, salvaguardas y recomendaciones en una hoja de trabajo. Abajo tienes el método completo y una hoja HAZOP rellena de un reactor por lotes.
Plantilla gratis: descarga la plantilla en Excel, en blanco y con el ejemplo de esta guía.
Qué es un HAZOP y para qué sirve
HAZOP viene del inglés hazard and operability study: estudio de peligros y operabilidad. Las dos palabras cuentan. Los peligros son lo que puede hacer daño a personas, medio ambiente o instalación. La operabilidad es lo que impide trabajar bien aunque no haga daño a nadie: un lote fuera de especificación, una bomba que no se puede aislar para repararla. En muchos estudios salen más problemas de operabilidad que de seguridad, y eso también es dinero.
La nota técnica NTP 238 del INSST lo llama análisis funcional de operabilidad (AFO) y sitúa su origen en la industria química de los años sesenta. Hoy la referencia internacional es la norma IEC 61882 (en España, UNE-EN 61882), que es una guía de aplicación. Yo te la cito, no te la copio: es de pago.
La definición cabe en cuatro piezas:
- Lo hace un equipo, no una persona.
- Es sistemático: sigue un orden fijo y lo deja escrito.
- Va por partes: la instalación se divide en nodos.
- Busca desviaciones de la intención de diseño.
Quédate con la pareja intención y desviación, porque todo el método gira alrededor de ella.
Cuándo se hace
Hay tres momentos buenos:
- En el diseño, cuando los diagramas de tuberías e instrumentos están firmes en lo esencial pero todavía se puede cambiar sobre el papel. Si los planos cambian cada semana, estudias una planta que no va a existir.
- Antes de una modificación. No hace falta repetir el estudio entero, pero sí pasar el método por los nodos afectados. El accidente de Flixborough (1974) empezó con una conexión provisional montada sin evaluar.
- En revisiones periódicas, porque con los años cambian equipos, productos y personas. Un HAZOP guardado en un cajón describe una planta del pasado.
Los siete pasos del HAZOP
El método completo cabe en una línea con siete casillas:
- Se elige un nodo.
- Se escribe su intención de diseño.
- Se fabrica una desviación (parámetro + palabra guía).
- Se buscan sus causas.
- Se siguen sus consecuencias hasta el final, sin contar con ninguna protección.
- Se anotan las salvaguardas que ya existen y actúan de verdad contra esa causa.
- Si no bastan, se escribe una recomendación.
Después se vuelve al paso 3 con otra desviación, y cuando se agotan, al nodo siguiente. Siete casillas y dos bucles.
Nodos e intención de diseño
Un nodo es un trozo de instalación con una función clara: una línea de dosificación, un depósito, un intercambiador. La prueba es sencilla: si su intención de diseño no cabe en una frase, el nodo es demasiado grande. Si te salen diez nodos para una tubería de tres metros, demasiado pequeño.
La intención de diseño dice qué debe pasar en el nodo, con cantidades: qué producto, de dónde a dónde, a qué caudal, temperatura o presión, durante cuánto tiempo. De esa frase salen los parámetros.
Parámetros y palabras guía
Una desviación se fabrica con dos ingredientes. El parámetro describe lo que debe ocurrir: caudal, presión, temperatura, nivel, composición, y según el nodo también agitación, reacción, tiempo o servicios como el agua de refrigeración. La palabra guía lo tuerce.
| Palabra guía | Qué significa | Ejemplo |
|---|---|---|
| No | No se cumple en absoluto | No hay caudal |
| Más / Menos | Cambio de cantidad | Más temperatura, menos presión |
| Además de | Pasa lo previsto y algo más | Con el producto entra agua |
| Parte de | Falta algo de lo previsto | Falta un componente de la mezcla |
| Contrario | Lo opuesto | Caudal inverso |
| Otro que | Sustitución completa | Llega un producto que no es el que toca |
| Antes / Después | Orden de los pasos | Dosificar antes de calentar |
| Pronto / Tarde | Momento | Parar la dosificación tarde |
Con no, más y menos se encuentra lo que la planta ya conoce. Las sorpresas suelen estar en además de, parte de, contrario, otro que y las palabras de tiempo. Si en el acta de una planta por lotes no aparecen antes, después, pronto y tarde, ese HAZOP ha mirado las tuberías pero no la operación.
Una regla que ahorra discusiones: una combinación se tacha solo si no tiene sentido físico (temperatura inversa no existe). Nunca porque «aquí eso no pasa». Esa frase es una opinión sobre las causas, y todavía no estás en las causas.
Ejemplo resuelto: hoja HAZOP de un reactor por lotes
Instalación ficticia de formación: una fábrica de resinas con un reactor por lotes. El reactivo B se dosifica desde su depósito con una bomba, una válvula de control de caudal y una válvula de corte automática. La reacción desprende calor, que retira el agua de la camisa. Por encima de 130 °C la mezcla se descompone y genera gas.
Salvaguardas existentes: alarma de temperatura alta a 90 °C (sale del mismo sensor que el control de temperatura), corte automático independiente a 100 °C que cierra la válvula de B, corte por agitador parado y disco de ruptura.
Nodo 1: línea de dosificación de B. Intención: dosificar B desde su depósito al reactor, al caudal de la receta, durante dos horas, con el reactor a 80 °C y el agitador en marcha. Parámetros: caudal, composición y tiempo.
El riesgo se valora con una matriz 5x5 de ejemplo (frecuencia más consecuencia), sin y con las salvaguardas que cuentan en cada fila.
| Desviación | Causas | Consecuencias (sin salvaguardas) | Salvaguardas que cuentan | Riesgo sin / con | Recomendación |
|---|---|---|---|---|---|
| No caudal | Bomba parada; válvula de control cerrada; depósito vacío | Lote retrasado. Tentación de recuperar tiempo dosificando más rápido | Ninguna que cambie el riesgo | Medio / medio | Cubierta por R1 |
| Más caudal | Fallo del lazo de caudal (válvula abierta del todo); consigna demasiado alta | B entra más rápido de lo que se retira el calor: pérdida de control, rotura del reactor, escape en la nave, posible víctima mortal | Alarma a 90 °C con operador; corte a 100 °C; disco de ruptura | Alto / medio | R1: limitar por diseño el caudal máximo de B. R2: probar el corte periódicamente |
| Menos caudal | Aspiración obstruida; bomba desgastada | Lote tarde, sin peligro inmediato | Ninguna que cambie el riesgo | Medio / medio | Cubierta por R1 |
| Contrario | Bomba parada con válvulas abiertas y más presión en el reactor | Mezcla caliente vuelve al depósito de B, que no tiene agitación ni refrigeración: reacción, sobrepresión y rotura | Ninguna (no hay válvula de retención; el corte no actúa por bomba parada) | Alto / alto | R3: válvula de retención y cierre de la válvula de corte al parar la bomba |
| Además de | Agua en la línea tras una limpieza | Lote perdido, sin reacción violenta | Instrucción de limpieza con secado firmado | Medio / medio | No |
| Otro que | Otra materia prima descargada en el depósito de B | Reacción no prevista; peor caso creíble: pérdida de control | Comprobación de albarán y etiqueta. El corte y el disco no cuentan: están calculados para la reacción conocida | Alto / medio | R4: analizar una muestra de cada entrega antes de descargar |
| Antes | Se dosifica antes de llegar a 80 °C (nada lo impide) | B se acumula sin reaccionar y luego reacciona de golpe: pérdida de control | Solo el disco. Alarma y corte no cuentan: cortar B no detiene lo acumulado | Alto / alto | R5: permisivo que no deje abrir la dosificación con el reactor frío |
| Tarde | No se para la dosificación a su hora | Exceso de B: lote fuera de especificación | Hoja de lote con horas firmadas | Medio / medio | Mejora de operación |
Fíjate en tres cosas de esta hoja:
- Las desviaciones peligrosas no son las que esperabas. Caudal inverso y dosificar antes de tiempo no salen pensando en averías. Salen solas al recorrer las palabras guía en orden.
- Las salvaguardas se comprueban fila a fila. Las mismas protecciones valen distinto según la causa: en más caudal cuentan tres, en antes solo el disco, en contrario ninguna. Si copias la columna de salvaguardas en las ocho filas, todas quedan en riesgo medio y no sale ni una recomendación.
- Las consecuencias se siguen hasta el final. Si en más caudal escribes solo «sube la temperatura», la fila parece un problema de calidad.
El equipo y la hoja de trabajo
Un HAZOP necesita un líder con experiencia en el método (mejor si no es el autor del diseño), un secretario que escriba la hoja a la vista de todos, y gente que conozca el proceso: ingeniería de proceso, operación, instrumentación y mantenimiento. El operador que sabe lo que pasa de noche y el instrumentista que sabe qué alarma comparte sensor con qué control valen oro.
La hoja de trabajo suele tener estas columnas: nodo, parámetro, palabra guía, desviación, causas, consecuencias, salvaguardas, valoración del riesgo, recomendación, responsable y fecha. Las tienes en la plantilla HAZOP, con las palabras guía en una lista desplegable. Las recomendaciones dicen qué hay que conseguir y dónde, pero no se dimensiona nada en la sala: eso se diseña fuera.
Errores que arruinan un HAZOP
- Convertirlo en un formulario. Una persona sola, en su despacho, rellena la hoja en dos tardes. Parece un HAZOP. No lo es.
- Empezar por las causas. «La bomba se puede parar, ¿qué pasaría?» es una buena pregunta, pero así solo encuentras lo que ya conocías. Primero la desviación, después las causas.
- Recortar las palabras guía a no, más y menos para acabar el nodo en veinte minutos.
- Causas genéricas como «fallo de instrumentación» o «error humano». Di qué falla y hacia dónde; si no, luego no sabrás qué salvaguarda sirve.
- Contar el control normal como protección. El control de temperatura no es una salvaguarda contra su propio fallo.
Lo que el HAZOP no ve
Mira las desviaciones de una en una: no combina dos fallos simultáneos. Tampoco calcula frecuencias. Para eso tienes el árbol de fallos (combinaciones de fallos), el LOPA (si las protecciones bastan, con números) y el bow tie (para enseñar en una hoja causas, barreras y consecuencias). Si lo que analizas son componentes o pasos de montaje, encaja mejor el AMFE (AMEF, FMEA).
Y en España, si tu instalación es Seveso, el HAZOP es una de las técnicas habituales para identificar peligros en el informe de seguridad, aunque la norma no lo impone por su nombre. Lo explico en la guía de la Directriz básica de 2026.
Preguntas frecuentes
¿Qué significa HAZOP?
Viene del inglés hazard and operability study: estudio de peligros y operabilidad. Busca tanto lo que puede hacer daño como lo que impide operar bien. En España la nota técnica del INSST lo llama también análisis funcional de operabilidad (AFO).
¿Cuáles son las palabras guía del HAZOP?
Las básicas son no, más, menos, además de, parte de, contrario y otro que. En procesos por lotes y operaciones manuales se añaden las de tiempo y secuencia: antes, después, pronto y tarde.
¿Qué es un nodo en un HAZOP?
Es el trozo de instalación que se estudia de una vez, por ejemplo una línea de dosificación o un depósito, con una intención de diseño que se puede escribir en una frase. Si no cabe en una frase, el nodo es demasiado grande.
¿Cuánto dura un HAZOP?
Depende del tamaño de la instalación y del equipo. Un nodo sencillo puede llevar una o dos horas; una planta entera, varias semanas de sesiones. Las sesiones largas cansan y bajan la calidad, así que conviene repartirlas.
¿Qué diferencia hay entre HAZOP y AMFE?
El HAZOP parte de desviaciones del proceso (más caudal, menos presión) y se usa sobre todo en procesos con fluidos. El AMFE parte de los modos de fallo de cada componente o paso. Se complementan.