1 of 9

BP Texas City: el mal uso de la estadística

ESTUDIO DE CASO · SEGURIDAD DE PROCESOS

Cómo una tasa de lesiones personales ocultó, durante años, el riesgo real de una explosión catastrófica.

23 de marzo de 2005 — Refinería de BP, Texas City, Texas

2 of 9

Contexto

02 / 14

Figura 1. Sección de Isomerización en la refinería. Fuente: Refinery Explosion and Fire, BP Texas City, Report No. 2005-04-I-TX

El 23 de marzo de 2005 durante el arranque de una unidad de isomerización de la refinería BP Texas City, una torre de destilación (raffinate splitter) se llenó en exceso con hidrocarburos y se presurizó. El accidente causó 15 muertes y aproximadamente 180 personas heridas (CSB, 2007).

Principales Variables de Operación

Temperatura del reactor

Velocidad espacial horaria del líquido (LHSV)

Relación hidrógeno-hidrocarburo

Presión del sistema

El 23 de marzo de 2005, durante el arranque de una unidad de isomerización de la refinería BP Texas City, una torre de destilación (raffinate splitter) se llenó en exceso con hidrocarburos y se presurizó. El material llegó al sistema de blowdown, que descargó hidrocarburos inflamables a la atmósfera. Se formó una nube de vapor que se incendió y produjo una serie de explosiones. El accidente causó 15 muertes y aproximadamente 180 personas heridas (CSB, 2007).

La investigación determinó que no se trató de una única falla de operación. La unidad fue arrancada pese a fallas previamente reportadas del indicador de nivel, el visor de nivel y una válvula de control; el sistema de blowdown era insuficiente y no estaba conectado a una antorcha; además existían problemas de mantenimiento, supervisión, procedimientos, capacitación y cultura de seguridad (CSB, 2007, pp. 24, 184).

Variables de Operación Clave

Temperatura del reactor:

Controla la velocidad de reacción.

Como las reacciones de isomerización son ligeramente exotérmicas, un aumento de temperatura favorece la velocidad cinética, pero disminuye la conversión máxima debido al equilibrio termodinámico (se opera típicamente entre 110 °C y 260 °C según el tipo de catalizador). Presión del sistema:

Afecta la estabilidad del catalizador y la presión parcial del hidrógeno.

Dado que no hay cambio en el número de moles netos en la reacción principal, la conversión no depende directamente de los cambios de presión, pero se opera a presiones moderadas/altas para evitar el coquizado y favorecer el rendimiento.

Relación hidrógeno / hidrocarburo ($H_2 / HC$):

Se inyecta hidrógeno para minimizar la formación de depósitos de coque (desactivación del catalizador).

Una relación adecuada mantiene la vida útil del catalizador sin consumir grandes cantidades de hidrógeno, ya que el consumo neto en la reacción es bajo.

Velocidad espacial horaria del líquido (LHSV):

Mide el volumen de carga líquida que pasa por volumen de catalizador por hora.

Determina el tiempo de contacto de los reactivos con el catalizador; valores altos reducen la conversión, mientras que valores muy bajos requieren reactores más grandes

3 of 9

Cuál fue la premisa del problema?

02 / 14

Inferencia problemática: si disminuyen las lesiones personales, entonces disminuye el riesgo de una catástrofe de proceso

El problema de la estimación en colas pesadas o la inferencia de eventos raros

Los indicadores lagging (o reactivos) son métricas retrospectivas que miden los resultados o sucesos que ya han ocurrido. Si el resultado es malo, no puedes modificar el pasado; solo sirven para ajustar la estrategia a futuro o confirmar si los objetivos se cumplieron. Usar solo indicadores rezagados —como la tasa de lesiones— es, según la guía del HSE citada en el informe, como manejar mirando únicamente el espejo retrovisor: dice dónde se estuvo, no hacia dónde se va.

Se utilizó el desempeño de seguridad personal como señal de la seguridad del proceso. Aunque ambas variables pertenecen al ámbito general de “seguridad”, no describen el mismo mecanismo causal. Las lesiones ocupacionales son relativamente frecuentes y de menor consecuencia; una explosión catastrófica es rara, pero de enorme consecuencia. El CSB señaló explícitamente que el enfoque en lesiones personales podía ocultar el deterioro de la seguridad de procesos.

Los accidentes mayores son eventos raros. Observar pocos o ningún evento catastrófico durante un periodo no demuestra que el sistema esté bajo control. El riesgo puede crecer de forma silenciosa mientras las barreras preventivas se degradan. Este es un problema clásico de inferencia con eventos de baja frecuencia: la muestra observada contiene poca información sobre la cola extrema de la distribución.

el problema de la estimación en colas pesadas o la inferencia de eventos raros

Cuando un evento ocurre con muy baja frecuencia, la ley de los grandes números no nos ayuda mucho porque la muestra observada casi nunca contiene registros de la cola extrema. En consecuencia, si intentas usar estadísticas tradicionales (como la media muestral o una distribución normal), terminarás subestimando drásticamente el riesgo o la probabilidad de que ocurra un desastre.

4 of 9

Riesgo no es lo mismo que frecuencia

R = Σ fᵢ × Cᵢ

riesgo = frecuencia del escenario i × consecuencia del escenario i, sumado sobre todos los escenarios

Seguridad personal

f alta, C baja por evento — el mismo R se acumula con muchos eventos pequeños

Seguridad de procesos

f muy baja, C catastrófica — el mismo R (o mayor) puede estar oculto en un solo escenario de cola

f y C son dos términos distintos de la misma ecuación. Que uno sea bajo no dice nada sobre el otro — y BP solo estaba midiendo f, nunca R.

06 / 14

El indicador se volvió el objetivo

Ley de Goodhart

"Cuando una medida se convierte en objetivo, deja de ser una buena medida."

11 / 14

5 of 9

Errores metodológicos

02 / 14

Uso de una variable proxy con baja validez para el fenómeno estudiado
Confusión entre ausencia de eventos y bajo riesgo
Selección sesgada de indicadores para la toma de decisiones
Falta de atención a tendencias contradictorias
Dependencia excesiva de indicadores rezagados
Error de agregación conceptual

Los indicadores lagging (o reactivos) son métricas retrospectivas que miden los resultados o sucesos que ya han ocurrido. Si el resultado es malo, no puedes modificar el pasado; solo sirven para ajustar la estrategia a futuro o confirmar si los objetivos se cumplieron.

Se utilizó el desempeño de seguridad personal como señal de la seguridad del proceso. Aunque ambas variables pertenecen al ámbito general de “seguridad”, no describen el mismo mecanismo causal. Las lesiones ocupacionales son relativamente frecuentes y de menor consecuencia; una explosión catastrófica es rara, pero de enorme consecuencia. El CSB señaló explícitamente que el enfoque en lesiones personales podía ocultar el deterioro de la seguridad de procesos.

Los accidentes mayores son eventos raros. Observar pocos o ningún evento catastrófico durante un periodo no demuestra que el sistema esté bajo control. El riesgo puede crecer de forma silenciosa mientras las barreras preventivas se degradan. Este es un problema clásico de inferencia con eventos de baja frecuencia: la muestra observada contiene poca información sobre la cola extrema de la distribución.

el problema de la estimación en colas pesadas o la inferencia de eventos raros

Cuando un evento ocurre con muy baja frecuencia, la ley de los grandes números no nos ayuda mucho porque la muestra observada casi nunca contiene registros de la cola extrema. En consecuencia, si intentas usar estadísticas tradicionales (como la media muestral o una distribución normal), terminarás subestimando drásticamente el riesgo o la probabilidad de que ocurra un desastre.

6 of 9

Resultados del error

15

trabajadores muertos

180

heridos

02 / 14

$1,500M

en pérdidas (USD)

El hecho de basarse en la baja tasa de lesiones personales registrada en Texas City como indicador de seguridad no permitió obtener una imagen fiel del rendimiento en materia de seguridad de los procesos ni del estado de la cultura de seguridad.

7 of 9

Un indicador rezagado de alta frecuencia no es un estimador válido de un riesgo de baja frecuencia y alta consecuencia.

LA LECCIÓN ESTADÍSTICA

Indicador rezagado (lagging)

Resume lo que ya pasó — tasa de lesiones, número de incidentes

Indicador adelantado (leading)

Mide si el sistema sigue funcionando — cierre de acciones correctivas, inspecciones a tiempo

8 of 9

Lecciones

02 / 14

La variable que se puede medir no siempre es la variable que se necesita modelar
Correlación, asociación y proxy no equivalen a causalidad
Un sistema complejo requiere un modelo multivariable
Los eventos raros necesitan métricas diferentes
Analizar tendencias es tan importante como analizar niveles
La función objetivo condiciona el comportamiento del sistema

La variable que se puede medir no siempre es la variable que se necesita modelar

La disponibilidad de una métrica no garantiza su relevancia. Antes de analizar datos debe definirse con precisión la variable de interés y justificar por qué cada indicador tiene relación causal o predictiva con ella.

Correlación, asociación y proxy no equivalen a causalidad

Aunque dos indicadores estén relacionados con un mismo concepto general, no necesariamente uno predice al otro. El modelo debe declarar sus supuestos y estos deben ser contrastados con evidencia.

Un sistema complejo requiere un modelo multivariable

El riesgo industrial depende de múltiples barreras y mecanismos. Representarlo con una sola tasa puede producir una pérdida crítica de información. Una formulación multivariable permite detectar señales contradictorias y dependencias entre componentes.

Los eventos raros necesitan métricas diferentes

Los eventos catastróficos tienen baja frecuencia y alta consecuencia. Esperar a observar suficientes accidentes para estimar su probabilidad sería inaceptable. Por ello se necesitan variables precursoras, análisis de confiabilidad, near misses, integridad de barreras y otros indicadores adelantados.

Analizar tendencias es tan importante como analizar niveles

Un valor aislado puede parecer aceptable; una tendencia sostenida puede revelar degradación. En el caso de Texas City, el aumento de pérdidas de contención y la caída en el cierre de acciones PSM constituían señales temporales que debían analizarse conjuntamente.

La función objetivo condiciona el comportamiento del sistema

Cuando una organización asigna incentivos a determinados KPIs, esos indicadores se convierten de hecho en parte de su función objetivo. Si la función objetivo omite variables esenciales, es posible optimizar el indicador sin optimizar el fenómeno real. Este principio es cercano a la Ley de Goodhart: cuando una medida se convierte en objetivo, puede dejar de ser una buena medida.

9 of 9

Fuentes

U.S. Chemical Safety and Hazard Investigation Board, Investigation Report — Refinery Explosion and Fire, BP Texas City, Report No. 2005-04-I-TX (marzo 2007)
The Report of the BP U.S. Refineries Independent Safety Review Panel ("Baker Panel"), enero 2007
Kletz, T., Learning from Accidents, 2001/2003
ICHEME, "Texas City Refinery explosion — safety out of focus"

14 / 14