LOPA, análisis de capas de protección: qué es y cómo se calcula, con números
Por Sabrina Muñoz · actualizado el 13 de noviembre de 2026
Curso relacionado: Análisis de riesgos: HAZOP y árbol de fallos.
LOPA (layer of protection analysis) es el análisis de capas de protección: toma un escenario de accidente, multiplica la frecuencia de su causa por la probabilidad de fallo de cada protección independiente y compara el resultado con un criterio de riesgo tolerable. Te dice, con un número, si las protecciones bastan y cuánto falta si no. Aquí lo tienes explicado sin jerga y con un ejemplo calculado.
Qué es LOPA y dónde encaja
LOPA es una técnica semicuantitativa. Se sitúa entre el HAZOP, que es cualitativo, y un análisis cuantitativo de riesgo completo, que es caro y lento. El método lo popularizó el CCPS (Center for Chemical Process Safety) con su libro de 2001 sobre análisis simplificado de riesgos de proceso.
El flujo normal es este: el HAZOP identifica los escenarios y las salvaguardas. Los escenarios con consecuencias graves pasan al LOPA. Si el LOPA dice que falta protección, se decide qué añadir, y si la protección es una función instrumentada de seguridad, el LOPA da su SIL.
Las siglas despistan: en algunos países LOPA es también una ley. En estas guías siempre es el análisis de capas de protección.
Las piezas de un LOPA
1. El escenario: una causa y una consecuencia
Cada fila del LOPA es una pareja: una causa concreta que lleva a una consecuencia concreta. Si una consecuencia tiene tres causas, son tres filas. Y al final se suman las filas que acaban en la misma consecuencia, porque a quien está junto al equipo le da igual por qué causa rompe.
2. La frecuencia del suceso iniciador
Cuántas veces al año ocurre la causa. Se toma de valores típicos publicados o, mejor, del historial de tu planta. Ejemplos habituales en tablas de referencia: el fallo de un lazo de control, del orden de 0,1 por año; el paro de una bomba, del mismo orden. Son valores orientativos: tu empresa debe tener su propia tabla justificada.
3. Condiciones habilitantes y modificadores
La condición habilitante es la fracción de tiempo en la que la causa puede llevar a la consecuencia. Si una bomba solo importa durante la dosificación y la hora siguiente, tres horas de cada doce, la condición es 0,25. Ojo: solo vale si un fallo fuera de ese tiempo se nota y no se arrastra al lote siguiente.
Los modificadores son probabilidades de que, ocurrido el escape, haya ignición, haya alguien presente o el daño llegue a ser el valorado. Úsalos con prudencia: es donde más se maquillan las hojas.
4. Capas de protección independientes (IPL)
No toda salvaguarda del HAZOP es una IPL. Para contar tiene que cumplir tres condiciones:
- Eficaz: capaz de parar el escenario por sí sola, a tiempo.
- Independiente: de la causa y de las otras capas. Si comparte sensor, lógica o válvula con lo que ha fallado, no cuenta.
- Auditable: se puede probar y hay registro de que funciona.
El control normal del proceso no es una IPL contra su propio fallo. La formación, los procedimientos sin verificación o el plan de emergencia (que llega después del daño) tampoco suelen contar.
5. PFD: la probabilidad de fallo en demanda
Cada IPL lleva su PFD, la probabilidad de que falle cuando se le pide actuar. Valores orientativos que se ven en la bibliografía:
| Capa | PFD orientativa | Condición |
|---|---|---|
| Alarma con respuesta del operador | 0,1 | Tiempo suficiente para actuar (por ejemplo, 20 minutos) y alarma que se oiga |
| Corte instrumentado no certificado | 0,1 como mucho | Probado periódicamente |
| Función instrumentada SIL 1 | 0,1 a 0,01 | Diseñada y mantenida conforme a IEC 61511 |
| Función instrumentada SIL 2 | 0,01 a 0,001 | Ídem |
| Disco de ruptura o válvula de seguridad bien dimensionados | 0,01 | Descarga a un sitio seguro, inspección programada |
6. La cuenta y el criterio
Frecuencia del escenario = frecuencia del iniciador × condición habilitante × modificadores × PFD de cada IPL
El resultado se compara con el criterio de riesgo tolerable para esa consecuencia. El criterio no lo da el método: lo fija cada empresa, o la autoridad competente cuando la normativa lo exige. Si el resultado es mayor que el criterio, el cociente entre los dos es el factor que falta.
Ejemplo resuelto: pérdida de control de un reactor
Fábrica ficticia de resinas, valores de ejemplo para formación. En un reactor por lotes se dosifica un reactivo durante dos horas; la reacción desprende calor que retira el agua de la camisa. Si se pierde la refrigeración, la temperatura pasa de 130 °C, la mezcla se descompone, sube la presión y el reactor puede romper, con escape de vapores en la nave y posible muerte de un operador.
Criterio de ejemplo para esa consecuencia: 10-5 por año (10 veces por millón de años).
Protecciones existentes: alarma de temperatura alta con respuesta del operador (sale del mismo transmisor que el control de temperatura), corte automático de temperatura muy alta con sensor y válvula propios (no certificado) y disco de ruptura con depósito de recogida.
Tres causas quitan la refrigeración. Las tres tienen 0,1 por año y condición habilitante 0,25 (solo importan durante la dosificación y la hora siguiente).
| Fila (causa) | Iniciador | Condición | Alarma + operador | Corte | Disco | Por millón de años |
|---|---|---|---|---|---|---|
| A. Se para la bomba de agua | 0,1 | 0,25 | 0,1 | 0,1 | 0,01 | 2,5 |
| B. Falla el lazo de control de temperatura y cierra el agua | 0,1 | 0,25 | 1 (comparte transmisor) | 0,1 | 0,01 | 25 |
| C. Falta el suministro de agua | 0,1 | 0,25 | 0,1 | 0,1 | 0,01 | 2,5 |
| Suma | 30 | |||||
Fila A paso a paso: 0,1 × 0,25 × 0,1 × 0,1 × 0,01 = 2,5 × 10-6 por año, es decir, 2,5 por millón de años.
La trampa está en la fila B. Si copias las capas de la fila de arriba, te sale 2,5 y escribes «cumple». Pero la alarma lee del mismo transmisor que ha fallado: está ciega. Vale 1, no 0,1, y la fila sube a 25.
Resultado: 30 por millón de años frente a un criterio de 10. No cumple: falta un factor 3. Y de esas 30, 25 vienen de la fila B.
Prueba de sensibilidad
¿Qué cifra manda? El 0,1 del corte, que está en las tres filas. Si nadie recuerda su última prueba y le pones un 1, el total sube a 300 por millón de años. La primera acción no es comprar nada: es probar el corte de punta a punta y meterlo en el plan de pruebas.
Opciones de mejora
| Opción | Total (por millón de años) | Resultado |
|---|---|---|
| Hoy | 30 | No cumple |
| Alarma con un transmisor independiente (ni el del control ni el del corte) | 7,5 | Cumple con poco margen |
| Corte rehecho como SIL 1 con PFD 0,03 demostrada | 9 | Cumple por muy poco |
| Corte rehecho como SIL 2 (PFD 0,01) | 3 | Cumple con margen |
| Limitar el caudal de reactivo | 30 | No actúa en estas filas |
| Alarma independiente + corte SIL 2 | 0,75 | Cumple con margen amplio |
Dos lecciones de esta tabla. Una: limitar el caudal es una buena medida, pero para otra fila (la de la válvula de dosificación abierta); aquí lo que falta es agua, no sobra reactivo. Una mejora cuenta en la fila en la que actúa. Dos: un SIL 1 con su valor prudente (0,1) no movería nada; necesitarías demostrar 0,03. Por eso la recomendación razonable es el corte en SIL 2 y, de paso, la alarma independiente, que cuesta poco.
Y la hoja no termina en el número. Se dejan escritas las condiciones que lo sostienen: dos lotes al día (si pasan a tres, se revisa la condición habilitante), alarma repetida en la nave, corte y disco con prueba, inspección y dueño.
LOPA y SIL
El SIL (nivel de integridad de seguridad) es la forma de pedir una PFD a una función instrumentada. Las bandas para la industria de proceso están en la norma IEC 61511: SIL 1, PFD entre 0,1 y 0,01; SIL 2, entre 0,01 y 0,001; SIL 3, entre 0,001 y 0,0001. El LOPA da la reducción que falta y de ahí sale el SIL. Un SIL no se compra hecho: se especifica, se diseña la función entera (sensor, lógica y válvula), se calcula y se prueba durante toda su vida.
Errores frecuentes en LOPA
- Copiar capas de una fila a otra sin comprobar la independencia, como en la fila B.
- Contar dos veces lo mismo: la alarma y el corte que comparten sensor o válvula son una capa, no dos.
- Créditos generosos al operador sin comprobar que tiene tiempo y que la alarma se oye donde está.
- Comparar fila a fila en lugar de sumar todas las que llevan a la misma consecuencia.
- Olvidar las filas que faltan: si tu hoja tiene tres causas y el bow tie tiene seis amenazas, tu total es un mínimo.
De dónde salen las filas y adónde van
Las causas salen del HAZOP o del lado izquierdo del bow tie. Si una frecuencia iniciadora no está en tablas, se calcula con un árbol de fallos. Y si tu instalación es Seveso en España, ten en cuenta que la Directriz básica no nombra el LOPA ni fija una cifra de riesgo aceptable: lo explico en la guía de la Directriz básica de 2026.
Preguntas frecuentes
¿Qué es LOPA en seguridad de procesos?
LOPA (layer of protection analysis) es el análisis de capas de protección. Toma un escenario (una causa y una consecuencia), multiplica la frecuencia de la causa por la probabilidad de fallo de cada protección independiente y compara el resultado con un criterio de riesgo tolerable.
¿Qué es una IPL?
Una capa de protección independiente (independent protection layer). Para contar como tal tiene que ser capaz de parar el escenario por sí sola, ser independiente de la causa y de las demás capas, y poder auditarse o probarse.
¿Qué es la PFD?
La probabilidad de fallo en demanda: la probabilidad de que una protección no funcione cuando se la necesita. Una PFD de 0,1 significa que falla una de cada diez veces que se le pide actuar.
¿Qué relación hay entre HAZOP y LOPA?
El HAZOP identifica los escenarios y las salvaguardas de forma cualitativa. El LOPA toma los escenarios más graves del HAZOP y comprueba con números si las salvaguardas bastan. Si no bastan, el LOPA dice cuánta reducción falta, que es la base para fijar un SIL.
¿Qué SIL hace falta según el LOPA?
Si falta un factor entre 10 y 100, la función instrumentada que lo cubra necesita una PFD entre 0,1 y 0,01, que corresponde a SIL 1. Entre 100 y 1.000, SIL 2. Las bandas están definidas en la norma IEC 61511 para la industria de proceso.