LOPA vs Bow-Tie vs HAZOP: qual usar para SIF

LOPA, Bow-Tie e HAZOP não competem pelo mesmo lugar na gestão de riscos. O erro começa quando a empresa escolhe um deles como ferramenta universal, porque cada método responde a uma pergunta diferente sobre o acidente que ainda não aconteceu. O HAZOP procura desvios de processo, o Bow-Tie organiza causas, evento central, consequências e barreiras, enquanto a LOPA testa se as camadas independentes realmente reduzem a frequência de uma consequência crítica a um patamar tolerável.

Essa diferença importa quando a decisão envolve SIF, risco de fatalidade, explosão, perda de contenção, energia perigosa ou qualquer cenário no qual uma planilha qualitativa já não sustenta a governança. Em mais de 250 projetos de transformação cultural acompanhados por Andreza Araujo, a falha mais comum não foi falta de método, mas excesso de método usado fora de lugar. A operação fazia HAZOP para tudo, Bow-Tie para apresentar no comitê e matriz 5x5 para encerrar a discussão, embora a dúvida real fosse outra: as barreiras são independentes, verificáveis e suficientes?

Critérios de avaliação

Um comparativo sério entre LOPA, Bow-Tie e HAZOP precisa sair da preferência pessoal do especialista e entrar nos critérios de decisão. A pergunta não é qual método parece mais sofisticado, e sim qual deles entrega a evidência necessária para a decisão que a liderança precisa tomar. Para este artigo, a comparação usa seis dimensões: pergunta respondida, momento de aplicação, qualidade da evidência, maturidade exigida da equipe, utilidade para SIF e risco de uso indevido.

O HAZOP é forte quando a operação precisa enxergar desvios em um processo técnico cuja intenção de projeto está clara. O Bow-Tie é forte quando a liderança precisa visualizar a cadeia de causalidade e manter barreiras vivas depois da análise. A LOPA é forte quando o debate já chegou ao nível de suficiência das camadas de proteção, especialmente quando há decisão sobre função instrumentada de segurança, intertravamento, alarme crítico ou camada independente de proteção.

A base técnica também é distinta. O HAZOP é tratado pela IEC 61882 como estudo estruturado de perigos e operabilidade. A LOPA ganhou forma prática na literatura do CCPS, dentro da análise por camadas de proteção. O Bow-Tie, embora apareça em diferentes guias setoriais, funciona melhor como linguagem de barreira e comunicação de risco crítico do que como cálculo isolado de redução de frequência.

LOPA: quando a dúvida é suficiência de proteção

A LOPA deve entrar quando a equipe já conhece o cenário acidental e precisa responder se as camadas existentes bastam. Ela parte de um evento iniciador, estima frequência, avalia consequência e verifica quantas camadas independentes reduzem o risco. O ponto central está na palavra independentes, porque uma barreira que depende da mesma causa de falha de outra barreira não pode ser contada como nova proteção.

Esse método vence quando a empresa precisa decidir se um alarme com resposta humana é suficiente, se um intertravamento deve ser elevado, se uma válvula de alívio pode ser considerada camada independente ou se um cenário exige nova função instrumentada. Em processos com inflamáveis, reações exotérmicas, vasos pressurizados ou energia perigosa, a LOPA força a discussão que a matriz qualitativa costuma esconder: qual é a frequência esperada do evento e qual redução cada camada entrega?

A armadilha aparece quando a LOPA vira exercício de preenchimento. Se a equipe credita redução de risco para procedimento, treinamento e supervisão como se fossem camadas independentes robustas, o resultado fica matematicamente limpo e tecnicamente frágil. Como Andreza Araujo argumenta em A Ilusão da Conformidade, cumprir o rito não prova controle real, sobretudo quando a evidência depende de papel preenchido e não de verificação em campo.

Use LOPA para cenários selecionados, não para todo risco do PGR. Ela é pesada demais para perigos rotineiros e leve demais para substituir uma análise quantitativa completa quando o risco exige modelagem profunda. O melhor uso é como ponte entre a descoberta qualitativa e a decisão de engenharia, principalmente quando a liderança precisa justificar investimento em barreira crítica.

Bow-Tie: quando a dúvida é saúde das barreiras

O Bow-Tie organiza o risco em torno de um evento central. À esquerda ficam ameaças e causas; à direita, consequências; entre cada lado e o evento, aparecem barreiras preventivas e mitigadoras. Por isso ele é excelente para transformar uma análise técnica em conversa de liderança, porque o desenho mostra onde o risco entra, onde a barreira deveria atuar e onde a consequência se espalha.

No blog, já tratamos de Bow-Tie em SST como método que pode morrer engavetado quando não há dono de barreira, teste periódico e indicador de degradação. Essa crítica vale ainda mais para risco crítico. Um Bow-Tie bonito, sem rotina de verificação, vira infográfico. Um Bow-Tie vivo, com barreiras nomeadas e donos definidos, vira sistema de acompanhamento.

O Bow-Tie vence quando a empresa precisa alinhar operação, manutenção, engenharia, liderança e contratadas em torno do mesmo cenário. Ele também ajuda quando há histórico de quase-acidente, porque permite perguntar quais barreiras estavam degradadas antes do evento. Em investigação, pode ser usado de forma reversa para reconstruir a sequência de falhas, desde que não substitua a apuração causal.

A limitação é quantitativa. O Bow-Tie mostra a arquitetura do risco, mas não calcula sozinho se as camadas reduzem frequência em nível suficiente. Quando o comitê pergunta se uma SIF é necessária, o Bow-Tie organiza a conversa; a LOPA sustenta a decisão numérica. Quando o gerente pergunta por que uma barreira crítica está recebendo verba, o Bow-Tie costuma ser a melhor linguagem para explicar.

HAZOP: quando a dúvida é desvio de processo

O HAZOP começa pela intenção de projeto e aplica palavras-guia para investigar desvios. Mais vazão, menos pressão, temperatura alta, fluxo reverso, composição fora da especificação: a disciplina do método está em atravessar nós de processo sem depender apenas da memória dos especialistas. Quando bem conduzido, ele revela cenários que a operação normalizou porque nunca chegaram ao topo da pirâmide.

O artigo sobre HAZOP em SST aprofunda as decisões que precisam existir antes da sessão, como escopo, equipe, documentação, critérios de severidade e qualidade do facilitador. Sem essas condições, o HAZOP vira reunião longa cujo resultado é uma lista de ações genéricas. Com elas, ele se torna uma máquina de formular cenários que depois podem alimentar Bow-Tie e LOPA.

O HAZOP vence em planta de processo, utilidades críticas, armazenamento de químicos, transferência de inflamáveis, sistemas pressurizados e mudanças de engenharia. A força dele está na descoberta estruturada de desvios. Ele não deveria ser usado como substituto de análise comportamental, inspeção de rotina ou matriz de prioridade de ações, porque seu valor aparece quando há processo técnico com parâmetros, nós e intenção clara.

A principal armadilha é concluir que o HAZOP já resolveu o risco. Em muitos casos, ele apenas abriu a lista de cenários relevantes. Quando a consequência é grave e as salvaguardas propostas precisam ser testadas, a equipe ainda terá de migrar para Bow-Tie, LOPA ou verificação de barreiras críticas. A descoberta não equivale ao controle.

Matriz de decisão

A comparação abaixo usa nota de 1 a 5, em que 5 indica maior aderência ao critério. A nota não é ranking absoluto de qualidade. Ela mostra onde cada método tende a entregar mais valor quando a decisão envolve SIF, barreira crítica e risco de processo.

A leitura prática é que o HAZOP descobre, o Bow-Tie organiza e mantém vivo, enquanto a LOPA testa suficiência. Quando a organização tenta inverter essa sequência, perde qualidade técnica. O exemplo mais comum é usar matriz 5x5 para decidir sobre SIF, prática que pode parecer rápida, mas frequentemente esconde riscos de baixa frequência e alta consequência. Esse problema aparece também no artigo sobre matriz de risco 5x5 em risco crítico.

Recomendação por contexto

Use HAZOP primeiro quando a pergunta for: quais desvios podem levar a perda de contenção, incêndio, explosão, liberação tóxica ou falha operacional grave? Essa pergunta costuma surgir em projeto novo, ampliação, mudança de processo, partida após parada, transferência de produto químico, revisão de P&ID ou operação na qual pequenos desvios de parâmetro podem virar evento severo.

Use Bow-Tie quando a pergunta for: quais barreiras seguram esse cenário hoje, quem é dono delas e como sabemos que continuam capazes? Essa pergunta serve para risco crítico já conhecido, programa de barreiras, conversa com liderança, integração de contratadas e auditoria de campo. O Bow-Tie também ajuda o C-level porque traduz risco técnico em mapa de defesa, sem reduzir a conversa a cores de matriz.

Use LOPA quando a pergunta for: as camadas existentes reduzem o risco o bastante ou precisamos de uma camada adicional independente? Essa pergunta aparece depois de HAZOP ou Bow-Tie, quando a consequência é intolerável e a liderança precisa tomar decisão de investimento. Em geral, LOPA não deveria ser o primeiro método da fila; ela entra quando há cenário delimitado e consequência bem definida.

Em operações maduras, os três métodos podem conviver em uma sequência limpa. O HAZOP identifica cenários, o Bow-Tie traduz os cenários críticos em arquitetura de barreiras e a LOPA calcula, para os cenários selecionados, se as camadas independentes bastam. Depois disso, a rotina de campo precisa verificar se as barreiras continuam disponíveis, competentes e testadas, tema aprofundado no guia sobre barreiras críticas no PGR.

Armadilhas que distorcem a escolha

A primeira armadilha é usar o método mais conhecido da equipe, e não o método que responde à pergunta certa. Se o especialista domina HAZOP, tudo vira HAZOP; se a liderança gosta de figura, tudo vira Bow-Tie; se a engenharia quer número, tudo vira LOPA. O método, nesse caso, deixa de servir ao risco e passa a servir à preferência do grupo.

A segunda armadilha é contar barreira fraca como barreira independente. Procedimento, treinamento, alarme, operador e supervisão podem depender da mesma cultura, da mesma carga de trabalho e da mesma pressão de produção. James Reason descreveu acidentes organizacionais como resultado de camadas cujas falhas se alinham; por isso, contar camadas sem testar independência cria falsa sensação de defesa.

A terceira armadilha é abandonar o método depois da apresentação. O risco crítico não diminui porque o comitê aprovou uma matriz, um desenho ou uma planilha. Ele diminui quando a barreira é instalada, testada, mantida e recusada quando falha. Em Muito Além do Zero, Andreza Araujo critica justamente a segurança que protege o indicador, mas não protege a vida.

Como decidir em reunião executiva

Leve a decisão para uma pergunta binária. Se ninguém sabe quais cenários existem, comece por HAZOP; se todos conhecem o cenário, mas ninguém consegue explicar quais barreiras seguram a consequência, use Bow-Tie; se as barreiras estão mapeadas, mas há dúvida sobre suficiência, use LOPA. Essa sequência evita que o comitê discuta ferramenta antes de discutir risco.

O diretor não precisa aprender todos os detalhes de cada técnica, embora precise exigir quatro evidências: cenário definido, consequência clara, barreiras com dono e critério de suficiência. Quando uma dessas quatro peças falta, a decisão ainda não está pronta. A pressa para aprovar uma recomendação técnica, especialmente em planta com energia perigosa ou produto inflamável, costuma revelar cultura de conformidade mais do que maturidade de risco.

Para Andreza Araujo, segurança madura nasce quando a liderança troca pergunta genérica por pergunta operacional. Não pergunte se a análise foi feita. Pergunte qual cenário foi rejeitado, qual barreira falhou no teste, qual camada foi descartada por falta de independência e qual decisão de investimento ficou sem evidência. Essa mudança de pergunta transforma LOPA, Bow-Tie e HAZOP de documentos em instrumentos de governança.

Conclusão

LOPA, Bow-Tie e HAZOP formam uma sequência de raciocínio, não uma disputa de prestígio. O HAZOP amplia o campo de visão sobre desvios, o Bow-Tie transforma o cenário em arquitetura de barreiras e a LOPA testa se as camadas independentes sustentam a decisão sobre SIF e risco tolerável. A empresa que entende essa diferença deixa de colecionar relatórios e passa a governar risco crítico com mais clareza.

Quando a operação precisa escolher apenas um método, escolha pela pergunta: descoberta pede HAZOP, barreiras pedem Bow-Tie e suficiência pede LOPA. O restante é preferência, e preferência não deveria decidir sobre fatalidade, incêndio, explosão ou perda de contenção.