Equipo Consultto
Especialistas en sistemas de gestión · 12 sep 2026
La investigación del paro de línea terminó en la tercera pregunta. El primer porqué decía que la bomba se detuvo, el segundo que el sensor no envió señal y el tercero que el operador no lo revisó en la ronda. De ahí salió una acción correctiva que consistió en reforzar la capacitación del operador y agregar una casilla a la lista de verificación. Once semanas después la línea volvió a pararse por la misma bomba, con otro operador y con la casilla firmada. El problema no era la capacitación: era que nadie había preguntado qué combinación de fallas tenía que ocurrir para que el paro fuera posible.
El análisis de árbol de fallas es una técnica deductiva: arranca de un evento superior no deseado, que puede ser un accidente, un paro, una fuga, un lote perdido o una entrega incumplida, y baja preguntando qué tiene que ocurrir inmediatamente antes para que ese evento sea posible. Cada nivel se conecta con el siguiente mediante compuertas lógicas. La compuerta O indica que cualquiera de los eventos de abajo basta para producir el de arriba; la compuerta Y indica que deben ocurrir todos a la vez. Esa distinción es toda la técnica: define si el sistema tiene una sola línea de defensa o varias que deben caer juntas.
La construcción empieza por definir bien el evento superior, con su frontera y sus condiciones. Un evento superior vago produce un árbol inservible: incendio en la planta no sirve, incendio en el almacén de solventes durante trasvase sí. A partir de ahí se desarrolla nivel por nivel con eventos intermedios, sin saltar pasos, hasta llegar a eventos básicos que ya no conviene o no se puede seguir descomponiendo: falla de un componente, error de una acción concreta, ausencia de suministro, condición externa. También se marcan eventos no desarrollados, que son ramas que se deciden no abrir por falta de información o de relevancia, y eso queda registrado como decisión, no como olvido.
Conviene tener clara la diferencia con el AMEF, porque son complementarios y se confunden. El AMEF es inductivo y va de abajo hacia arriba: toma cada elemento o cada operación y pregunta cómo puede fallar y qué efecto produce. El árbol de fallas es deductivo y va de arriba hacia abajo: toma el efecto que no debe ocurrir y busca todas las combinaciones que lo producen. El AMEF es bueno para barrer exhaustivamente fallas individuales; el árbol es bueno para ver fallas combinadas y causas comunes, que es exactamente lo que el AMEF no muestra. Tampoco es un diagrama de Ishikawa: ese agrupa causas posibles por categorías y no tiene lógica ni cuantificación.
El primer resultado es cualitativo y suele ser el más valioso: los conjuntos de corte mínimos, que son las combinaciones más pequeñas de eventos básicos que bastan para producir el evento superior. Un corte de un solo elemento es un punto único de falla y casi siempre justifica acción inmediata. Cuando aparecen varios cortes que comparten el mismo evento básico, ese evento es una causa común y explica por qué dos barreras que se creían independientes caen juntas: la misma fuente de alimentación, el mismo instrumento, el mismo proveedor, la misma persona. Ver eso es lo que cambia decisiones de diseño y de mantenimiento.
El segundo resultado es cuantitativo y es opcional. Si se asignan probabilidades o tasas de falla a los eventos básicos, el árbol permite estimar la probabilidad del evento superior y ordenar las contribuciones de cada rama. Requiere datos con sustento, que pueden venir del historial de mantenimiento de la propia planta, de los tiempos medios entre fallas del fabricante o de bases de datos sectoriales, y exige cuidado con la hipótesis de independencia: si dos eventos comparten una causa común, multiplicar sus probabilidades subestima el riesgo. Cuando no hay datos confiables, la versión cualitativa sigue siendo útil y es preferible a una cifra inventada.
El árbol se usa en dos momentos distintos. De forma preventiva, durante el diseño de un producto, de una línea o de un cambio, para encontrar puntos únicos de falla antes de construirlos. De forma reactiva, en la investigación de un evento que ya ocurrió, donde permite documentar qué combinaciones eran posibles y verificar cuál se materializó realmente, con evidencia sobre cada rama. Ese uso reactivo es el que corrige la investigación que se detiene en el error humano: la persona aparece como un evento básico más, bajo una compuerta, junto a las barreras que debieron impedir que su error tuviera consecuencia.
La ISO 9001 no nombra el árbol de fallas, igual que no nombra ninguna otra herramienta. Lo que exige es que, ante una no conformidad, la organización reaccione, evalúe la necesidad de acciones para eliminar las causas con el fin de que no vuelva a ocurrir, revise y analice la no conformidad, determine sus causas y determine si existen no conformidades similares o si podrían ocurrir. Esa frase, determinar las causas en plural, es la que el árbol atiende mejor que los métodos lineales: obliga a mostrar que se buscaron todas las ramas y no solo la primera que apareció.
También conecta con el pensamiento basado en riesgos, porque el árbol es una forma de determinar riesgos y de justificar por qué se eligieron ciertas acciones de tratamiento y no otras, y con la evaluación de la eficacia, porque los cortes mínimos dan un criterio verificable: la acción es eficaz si eliminó o interrumpió el corte que se materializó, no si el problema no ha vuelto a aparecer en tres meses. La norma pide además conservar información documentada de la naturaleza de las no conformidades, de las acciones tomadas y de sus resultados, y el árbol con sus evidencias es un soporte natural de ese registro.
La técnica tiene norma propia dentro de las herramientas de análisis de confiabilidad, con simbología y reglas de construcción estandarizadas, y eso hace que se vea igual en cualquier sector. En aeroespacial forma parte del proceso de evaluación de seguridad, donde se combina con el análisis de modos de falla y sus efectos para demostrar que no existen puntos únicos de falla en funciones críticas. En automotriz aparece en el análisis de seguridad funcional de sistemas electrónicos, donde se usa para verificar arquitecturas frente a objetivos de seguridad. En dispositivos médicos se emplea dentro del expediente de gestión de riesgos, donde el daño al paciente es el evento superior.
En industria de proceso y en seguridad laboral convive con otras herramientas del mismo linaje: el análisis de capas de protección, que estima si las barreras existentes son suficientes, y el diagrama de corbata de moño, que junta en una sola figura el árbol de causas y el árbol de consecuencias alrededor de un evento central. En inocuidad alimentaria, la lógica de causas combinadas ayuda a explicar por qué un peligro llega al producto pese a los programas prerrequisito. En todos los casos el aporte es el mismo: obligar a razonar con lógica explícita en vez de con una lista de causas probables.
El análisis de causas se rompe cuando el sistema de acciones correctivas premia el cierre y no el entendimiento. Con un indicador de no conformidades cerradas a tiempo y un formato que pide una causa raíz en singular, el camino más corto es escribir falta de capacitación, adjuntar una lista de asistencia y cerrar. La herramienta no cambia eso por sí sola, pero el árbol lo dificulta: obliga a dibujar las barreras que debieron actuar y a mostrar por qué no actuaron. En Guadalajara, donde la manufactura electrónica por contrato, los dispositivos médicos, las autopartes y las plantas de alimentos y bebidas responden a clientes que piden ocho disciplinas con causa raíz sustentada y verificación de eficacia, cerrar con capacitación reforzada es la vía más rápida a una escalada. Ordenar el método de investigación, el criterio de profundidad y la verificación posterior es parte de lo que se estructura en la Consultoría ISO 9001 en Guadalajara, donde la acción correctiva se mide por lo que impide y no por la fecha en que se cerró.
El árbol de fallas es una técnica deductiva que parte de un evento superior no deseado y baja por compuertas Y y O hasta los eventos básicos que pueden producirlo. Su resultado más útil son los conjuntos de corte mínimos, que revelan los puntos únicos de falla y las causas comunes que hacen caer juntas a dos barreras supuestamente independientes; si hay datos confiables, permite además estimar la probabilidad del evento superior. Complementa al AMEF, que es inductivo y barre fallas individuales, y no se parece al diagrama de Ishikawa, que agrupa causas sin lógica. La ISO 9001 no lo exige, pero pide determinar las causas de la no conformidad y verificar la eficacia, y esta herramienta es de las pocas que dejan ver si la investigación se detuvo antes de tiempo.
Sin compromisos. Sin presentaciones genéricas. Te escuchamos, entendemos tu empresa y te decimos honestamente qué necesitas y cómo podemos ayudarte.
Hablemos