Una perspectiva de sistema
STPA, System-Theoretic Process Analysis, es basa en el model STAMP. Estudia pèrdues i perills a través de l’estructura de control del sistema, incloent-hi persones, programari, equips i organitzacions. Una interacció pot resultar perillosa encara que cada component funcioni segons la seva especificació aïllada.
En seguretat de processos, això permet examinar coordinació, informació i restriccions a més de fallades físiques. L’abast ha de definir-se amb claredat: quines pèrdues es volen evitar, quina part del sistema s’analitza i quines condicions externes influeixen.
Representar control i realimentació
L’estructura identifica qui controla quin procés, mitjançant quines accions i amb quina informació de retorn. Un controlador pot ser una persona, un programa o una entitat organitzativa; el model no es limita a circuits electrònics.
La realimentació importa perquè les decisions depenen de com s’entén l’estat del procés. Informació desactualitzada o incompleta pot fer que una acció aparentment raonable resulti inadequada per a la situació real.
Accions de control insegures
S’estudia si una acció necessària no es proporciona, si proporcionar-la crea un perill, si arriba en un moment o ordre incorrecte o si la seva durada és inadequada quan aquest aspecte aplica. Cada cas necessita un context definit, no una etiqueta genèrica d’error.
Després es construeixen escenaris que expliquin com podria ocórrer i es deriven restriccions o requisits. Per exemple, dues autoritzacions vàlides per separat podrien permetre activitats incompatibles si no existeix coordinació entre els seus responsables.
D’escenaris a decisions comprovables
La traçabilitat hauria de connectar pèrdua, perill, acció de control, escenari i requisit proposat. Això permet revisar si un canvi de disseny o procediment respon realment a la situació analitzada i quina evidència es necessitarà per a comprovar-ho.
STPA no calcula per si mateix una freqüència d’accident ni reemplaça totes les proves d’enginyeria. Requereix competència metodològica i participació dels qui coneixen el sistema. La seva utilitat està a fer visibles interaccions perilloses i orientar controls abans que el disseny o l’operació les consolidin.
