Una perspectiva de sistema
STPA, System-Theoretic Process Analysis, se basa en el modelo STAMP. Estudia pérdidas y peligros a través de la estructura de control del sistema, incluyendo personas, software, equipos y organizaciones. Una interacción puede resultar peligrosa aunque cada componente funcione según su especificación aislada.
En seguridad de procesos, esto permite examinar coordinación, información y restricciones además de fallos físicos. El alcance debe definirse con claridad: qué pérdidas se quieren evitar, qué parte del sistema se analiza y qué condiciones externas influyen.
Representar control y realimentación
La estructura identifica quién controla qué proceso, mediante qué acciones y con qué información de retorno. Un controlador puede ser una persona, un programa o una entidad organizativa; el modelo no se limita a circuitos electrónicos.
La realimentación importa porque las decisiones dependen de cómo se entiende el estado del proceso. Información desactualizada o incompleta puede hacer que una acción aparentemente razonable resulte inadecuada para la situación real.
Acciones de control inseguras
Se estudia si una acción necesaria no se proporciona, si proporcionarla crea un peligro, si llega en un momento u orden incorrecto o si su duración es inadecuada cuando ese aspecto aplica. Cada caso necesita un contexto definido, no una etiqueta genérica de error.
Después se construyen escenarios que expliquen cómo podría ocurrir y se derivan restricciones o requisitos. Por ejemplo, dos autorizaciones válidas por separado podrían permitir actividades incompatibles si no existe coordinación entre sus responsables.
De escenarios a decisiones comprobables
La trazabilidad debería conectar pérdida, peligro, acción de control, escenario y requisito propuesto. Esto permite revisar si un cambio de diseño o procedimiento responde realmente a la situación analizada y qué evidencia se necesitará para comprobarlo.
STPA no calcula por sí mismo una frecuencia de accidente ni reemplaza todas las pruebas de ingeniería. Requiere competencia metodológica y participación de quienes conocen el sistema. Su utilidad está en hacer visibles interacciones peligrosas y orientar controles antes de que el diseño o la operación las consoliden.
