SAFETY FIRST! PER DAVVERO?

Ho sempre nutrito verso gli slogan relativi alla sicurezza (“Safety First”, “Infortuni zero”, “Tutti gli incidenti sono prevenibili”, ecc.) una certa diffidenza pur essendo consapevole della loro facile memorizzabilità, della semplificazione che introducono e della loro (relativa) utilità.

A quest’ultimo riguardo, in verità, nel corso degli anni la mia posizione è stata oscillante, diciamo così.

In questo periodo sono in fase negativa, avverto chi mi legge.

La sensazione è che gli slogan di sicurezza più che semplificare il problema HSE e di processo, lo banalizzino. Le “frasi fatte”, ripetute e/o lette allo sfinimento, si trasformano, nel medio periodo, in “formule vuote”.

Il “Bianco o Nero” tipico di questi slogan (“Safety First!”), l’assenza di sfumature, di scale di grigio, può rapidamente far deviare il significato originale della frase piuttosto che, cosa ancora peggiore, essere contraddetto dalla realtà vera del reparto.

Perché accade? Perché, cioè, si creano messaggi distonici rispetto a quanto avviene in reparto o nel processo di produzione? Mi sono dato alcune risposte, senza pretesa di chiudere l’argomento:

  • perché, banalmente, il RSPP, magari esterno, è poco presente e, dovendo gestire decine di aziende, non ha il tempo fisico per approfondire il “territorio” che è posto sotto la sua responsabilità consulenziale (senza discutere del contributo in tema di VDR, spesso inesistente, dato dal MC);
  • perché, ancor più banalmente, per il DDL la sicurezza non è una priorità e si “buttano lì” formule vuote per coprire la mancanza di interesse sull’argomento;
  • perché il “lavoro come pensato” è differente dal “lavoro effettivamente svolto” (cfr. Hollnagel) e se non consumo le scarpe antinfortunistiche dentro al reparto è difficile che lo comprenda realmente dal chiuso di un ufficio. Da un ufficio con aria condizionata e Spotify in sottofondo non si intercettano i segnali deboli, le mezze parole, gli sguardi rassegnati oppure ben disposti oppure ancora astiosi degli operatori di reparto. Annoto che, per esperienza personale, comprendere il clima organizzativo, le dinamiche interne aziendali, la cultura della sicurezza presente in un’unità produttiva è cosa tra le più difficili.

Peraltro, un messaggio lanciato in “pompa magna” e poi rapidamente contraddetto dalla realtà vera delle cose distrugge all’istante qualsiasi forma di politica della sicurezza si voglia applicare. Con effetti negativi permanenti anche verso iniziative future.

L’introduzione di formule fideistiche (“Gli infortuni sono tutti prevenibili, ricordalo!”[1]) e prive di scale di grigio possono arrivare a conseguenze paradossali. Per esempio:

  1. tutti gli incidenti sono prevenibili;
  2. se ti uniformi a questo non ti accadranno, quindi, infortuni;
  3. se ti fai male sul lavoro la responsabilità è pertanto solo e soltanto TUA. Non hai creduto al verbo;
  4. ed è a causa TUA che il cartellone all’ingresso dell’azienda dovrà essere azzerato (“In questo sito l’ultimo infortunio ha avuto luogo 1 giorno fa”)

Come se ne esce? Anche se le evidenze continue portate alla ribalta dalla stampa nazionale, in settori esterni a quello HSE, potrebbero suggerire il contrario, io continuo a credere che la maggior parte delle persone possieda autonomia di pensiero. Se è vero questo è probabilmente meglio, molto meglio, trasmettere al reparto messaggi realistici e non edulcorati. Obiettivi minori ma raggiungibili piuttosto che banalizzazioni irrealizzabili della realtà. Queste ultime, in ogni settore (voglio sperare), hanno le gambe corte e vengono rapidamente smascherate.

Magari tornerò in futuro sull’argomento.

[1] Tutti gli incidenti sono prevenibili solo in un universo laplaciano o se visti con il senno del poi. Fuori dai laboratori di fisica in cui si eseguono esperimenti in condizioni controllate oppure all’esterno delle aule di tribunale, la realtà è un tunnel nel quale le informazioni sono limitate, le scelte si fanno sotto pressione, con limitata razionalità (il pensiero veloce di Kahneman) e con limiti di tempo e risorse. Nonostante questo nella grande parte dei casi le cose sono gestite bene (o in modi sub-ottimali ma comunque entro margini di sicurezza). I margini di sicurezza e le barriere occulte di un sistema spesso fanno evolvere le situazioni in modo positivo, nonostante gli errori organizzativi e/o operativi. Questo accade spesso. Non sempre, purtroppo. Chiediamoci, dunque: in quali condizioni TUTTI gli incidenti possono essere previsti? Probabilmente in presenza di conoscenze e risorse illimitate, ottimi strumenti previsionali e una buona dose di fortuna. Ma anche in queste situazioni le cose potrebbero deragliare dal percorso originale. Anche in laboratori nei quali lavorano le intelligenze più illuminate del pianeta. Insomma, l’unico modo per azzerare il rischio di cadere dalle scale salendo a casa è… non salire le scale. E l’unico modo per azzerare il rischio di infortunio sul lavoro è… non lavorare. Che, complessivamente, non mi pare una grande soluzione.

Share

Del riccio e della volpe

Disclaimer: a prima vista quanto segue c’entra poco con gli argomenti che normalmente tratto in questo spazio. Ma solo a prima vista.

Un filosofo greco (Archiloco) ci ha trasmesso, migliaia di anni fa, un insegnamento: “La volpe sa molte cose, ma il riccio ne sa una grande”.

Per quanto la volpe si industri nel catturare il riccio, quest’ultimo possiede gli aculei, inattaccabili dalla volpe.

La volpe, con tutta la sua astuzia, viene sconfitta dall’unica difesa che il riccio possiede.

Nel 1948 Berlin pubblicò, a proposito di questo, un saggetto intitolato “Il riccio e la volpe” destinato a discutere di questa “strana” suddivisione.

Successivamente sia Tetlock sia Silver contestualizzarono i ragionamenti di Berlin al nostro, attuale, universo comunicativo e scientifico.

Quello che segue è il sunto di quanto ho compreso, insegnamenti che consentono, a mio parere, di interpretare meglio la strana epoca che stiamo vivendo.

I ricci credono nelle grandi teorie, nei grandi ideali. Ritengono che la fenomenologia nella quale si vive sia riconducibile sempre al fondamento di una grande teoria, di una grande sintesi.

Le volpi invece ritengono che buona parte delle cose che ci circondano si possano interpretare in modi differenti, con euristiche diverse.

Il riccio ha una logica cartesiana top-down, la volpe, al contrario, parte dall’empirismo, dal fatto, e sale, bottom-up.

Le volpi prevedono meglio il futuro, interpretano meglio i fenomeni. I ricci riconducono la propria visione sempre alla grande teoria e, spesso, sbagliano malamente.

I ricci ricercano l’ordine mentre le volpi tollerano la complessità. Tendenzialmente le volpi sono prudenti, si fidano poco delle proprie deduzioni e quando si sbilanciano ci vedono giusto, i ricci, al contrario, pontificano, dichiarano, prevedono. E sbagliano.

Ricci sono la maggior parte dei docenti universitari che ho conosciuto.

Volpi sono i manutentori e i tecnici che fanno funzionare le tecnologie del nostro mondo. In silenzio e discrezione.

Una volpe era il medico curante di un tempo, che aveva affinato la propria capacità di diagnosi su casi veri e con pochi esami strumentali.

Un riccio è l’intellettuale che viene intervistato da tutte le TV. Una volpe difficilmente si mostra e si pavoneggia.

Volpe è Tony Ciccione, grandioso personaggio presente negli scritti di Nassim Nicholas Taleb.

Con l’esperienza la volpe evolve nelle proprie competenze mentre il riccio, selezionando solo ciò che è coerente con la theoria (con l’acca), peggiora la propria capacità di analisi e previsione.

Troppe informazioni distruggono un riccio. Il riccio può essere un ipocondriaco che, con un collegamento ad internet,, seleziona informazioni non controllate, e si autodiagnostica le i peggiori mali dell’universo-mondo.

La grande maggioranza di chi vediamo in TV sono ricci. La maggior parte di chi tira avanti la carretta sono volpi. Penso alla figura del mio primo datore di lavoro e penso ad una discreta maggioranza di imprenditori che ancora non mollano.

Tutte volpi.

Tutte persone che hanno affinato darwinianamente le proprie capacità. Se ancora lottano significa che sanno prevedere e sanno scegliere.

Ho scelto un medico che ritengo volpe, così come il meccanico dell’auto ma, d’altra parte, se dovessi passare una serata in compagnia, preferirei trascorrerla con dei ricci.

Tendenzialmente, purtroppo, sono riccio. Mi piacciono le grandi sintesi di pensiero. Le grandi teorie. Ma lotto per cercare di essere volpe.

È difficile.

A volte impossibile.

La scuola e l’università che ho frequentato non aiutano affatto in questo.

Credo, però, che per essere una buona volpe devi essere stato un riccio.

Una volpe affidabile deve avere consapevolezza del lato oscuro del riccio.

Tuttavia mi accorgo di cadere in contraddizione: una volpe, se conosce il lato oscuro del riccio, è riccio.

Un po’ come chiedersi se si rade da solo il barbiere di Siviglia, che rade tutti gli uomini di Siviglia che non si radono da soli [vedi Nota 1].

Se si, no.

Se no, si.

Insomma, ribadisco. Penso di essere un riccio, mi piace la teoria, l’approfondimento finalizzato al nulla quantico, fare i riassunti dei libri che leggo, sottolinearli e fare le notine a bordo pagina anche se sto leggendoli a letto poco prima di addormentarmi.

Insomma, non riesco a leggere un libro.

Lo studio.

E questo lo fa il riccio.

Ma comprendo l’importanza fondamentale dei fatti, di quanto accade e di quanto è accaduto.

Mi annoio ad ascoltare i consulenti che pontificano e ascoltano sé stessi, soprattutto se infarciscono l’interloquire con termini quali opportuno, adeguato, idoneo. Ma adoro vedere un artigiano all’opera.

Durante i miei sopralluoghi cerco di parlare con chi fa manutenzione piuttosto che con il direttore di stabilimento.

Insomma, credo di essere un riccio che vorrebbe trasformarsi in volpe.

…il cielo volpesco sopra di me, la legge ricciesca dentro di me…

[Nota 1] Il paradosso del barbiere di Siviglia venne formulato da Bertand Russell per confutare, agli inizi del ‘900, l’opera di fondazione della matematica a partire dalla logica portata avanti da Frege. Tutto nacque dall’impossibilità di dimostrare se l’insieme degli insiemi che non appartengono a sé stessi si appartenesse o meno. C’entra, in questo, il teorema di incompletezza di Kurt Gödel (ed altro). Magari ne riparleremo.

Share

Della linea Maginot e della sicurezza sul lavoro

All’indomani della Prima Guerra Mondiale la Francia si interrogò su come fosse possibile arginare la Germania nel caso in cui, quest’ultima, avesse deciso di rinnovare i propositi belligeranti non completamente sopiti con la sconfitta.

Studiarono gli armamenti, le tattiche e le strategie che furono poste in essere nel corso dell’intera Grande Guerra e decisero di edificare una gigantesca barriera di protezione in corrispondenza dei confini con la Germania e l’Italia.

La Linea Maginot, così venne chiamata in onore al Ministro della Guerra francese che ne fece approvare gli stanziamenti per la costruzione, era:

“(…) un complesso integrato di fortificazioni, opere militari, ostacoli anticarro, postazioni di mitragliatrici, sistemi di inondazione difensivi, caserme e depositi di munizioni realizzati dal 1928 al 1940 dal Governo francese a protezione dei confini che la Francia aveva in comune con il Belgio, il Lussemburgo, la Germania, la Svizzera e l’Italia (…)” [Fonte: Wikipedia].

In un certo senso Maginot cercò di realizzare quanto pragmaticamente suggerito dal poeta greco Archiloco: “La volpe sa molte cose, ma il riccio ne sa una grande”. Tale massima, pur essendo declinabile in termini di comportamento sociale[1], sta ad indicare che un’unica difesa affidabile, quella del riccio, vince sulle multiple risorse d’astuzia della volpe[2].

La parola chiave è, in questo contesto, affidabilità. Forse André Maginot di questo aspetto non ebbe mai piena contezza.

La Linea Maginot avrebbe, con molta probabilità, cambiato in modo radicale le sorti della Prima Guerra Mondiale. Venne infatti edificata proprio sulla scorta degli insegnamenti acquisti a caro prezzo sui campi di battaglia del conflitto.

Ma quella barriera avrebbe dovuto resistere non già alla terribile Prima bensì alla catastrofe della Seconda (Guerra Mondiale), con una Germania che cambiò radicalmente, in due decenni, tattiche, strategie e armamenti.

Dodici anni richiese la Linea Maginot per essere ideata e costruita. E venne superata, in soli cinque giorni, dalle truppe armate tedesche che passarono attraverso il Belgio.

Una barriera poderosa, mai realmente collaudata, e per questo vulnerabile. Pensata, progettata e costruita sulla base di paradigmi e logiche retroattive che si dimostrarono drammaticamente errate alla prova dei fatti.

L’intera vicenda della linea Maginot è una metafora che bene si aggancia al tema della sicurezza sul lavoro.

Sicurezza sul lavoro che non può mai considerarsi un fatto acquisito in modo permanente, un parametro statico fisso ed immutabile. Essa è “cosa” dinamica e necessita di continue opere di aggiustamento e manutenzione in termini di prevenzione e di protezione.

Il ricorso alle migliori tecnologie disponibili non è, in questo senso, un’opzione tra le tante.

La sordità ai segnali (anche deboli) che provengono dai reparti, l’assenza politiche manutentive consolidate, la tolleranza all’esecuzione di lavorazioni a protezioni disinserite, la sottovalutazione delle ricadute derivanti dall’introduzione di nuovi processi di produzione, l’assenza di gestione delle modifiche (di macchine, impianti, sostanze) predispongono l’organizzazione a subire, prima o poi, incidenti.

E, prima o poi, infortuni.

Anche gravi.

Chi ha il potere di decidere ed orientare le politiche aziendali sul tema specifico non può (davvero) far finta di nulla. Le condizioni al contorno e le modalità interne di produzione, in un’industria moderna, mutano. A volte in tempi brevissimi.

E il management (cieco al cambiamento) non si sorprenda se poi qualcuno, superando l’unica barriera di sicurezza posta in essere, si farà male.

Se può accadere, purtroppo accadrà.

Prima o poi.

[1] Isaiah Berlin, Il riccio e la volpe, Adelphi, 1998

[2] Sull’affidabilità della difesa del riccio non c’è discussione. Il processo darwiniamo di selezione naturale ha reso la barriera di aculei invalicabile. Milioni di anni di errori e tentativi non passano a caso.

Share

Rischio e sua percezione: again

Immaginate per un attimo di vivere in una città di provincia.

Né bella, né brutta.

Con un tasso di disoccupazione e di criminalità medio.

Se aveste necessità di un litro di latte mandereste vostra figlia di sei anni ad acquistarlo nel negozio sotto casa? E se il negozio fosse distante 50 metri da casa? E se la distanza fosse, invece, di 250 metri? E un chilometro? Fareste fare a vostra figlia un chilometro per un litro di latte?

E se invece di un litro di latte, voi foste a letto con una specie di influenza, febbre a 41°C, dolori articolari insopportabili e l’impossibilità di stare lontani dal bagno per non più di cinque minuti, mandereste vostra figlia seienne ad acquistare nella farmacia sotto casa i farmaci che la guardia medica vi ha appena prescritto? E se la farmacia fosse distante da casa 50 metri?… ecc.

Ecco, probabilmente chi legge avrà risposto. E avrà individuato una distanza inversamente proporzionale alla propria percezione di quel rischio specifico (attenzione, discutiamo di percezione del rischio, non di rischio effettivo).

Facendo, nel primo caso come nel secondo, una valutazione dei costi e dei benefici dell’attività.

Qualcuno, in altro ambito, si è spinto a calcolare (con un approccio statistico frequentista), il rischio corso in una giornata tipo da un lavoratore impiegato in un’azienda chimica (Kumamoto, Henley, 1996) e ha derivato lo schema di sintesi seguente.

In realtà il problema è forse più vasto: ad ogni nostra attività quotidiana è connesso un rischio oggettivo ed uno percepito. La percezione personale dei pericoli e delle probabilità ad essi connesse è peraltro variabile da persona a persona, da cultura a cultura, ecc. Purtroppo (e a volte per fortuna) tale valutazione è spesso inconscia. Una valutazione condotta a nostra insaputa (più o meno) dal “Sistema 1″ così come definito da Daniel Kahneman. 

Facciamo un altro esempio? Qualche anno fa a New York (Sunstein, 2004) gli abitanti di alcuni quartieri sostennero una campagna per la rimozione dell’amianto dalle scuole, preoccupati per la salute dei propri figli. Gli esperti, al contrario, concordavano sul fatto che i rischi di cancro derivante dall’esposizione fossero statisticamente limitatissimi (era utilizzato per fini di prevenzione incendi ed era completamente inglobato all’interno delle strutture). Quando si scoprì che la rimozione avrebbe determinato la chiusura delle scuole per diverse settimane e che tale chiusura avrebbe causato inconvenienti ai genitori connessi alla gestione dei propri figli, l’atteggiamento della popolazione cambiò e la rimozione dell’amianto si trasformò in una idea pessima. Quando poi furono resi noti i costi che l’operazione avrebbe comportato, la percezione del rischio dei genitori si allineò a quella degli esperti e non se ne fece più nulla.

Il rischio percepito divenne rischio effettivo.

L’amianto rimase lì dov’era.

I genitori realizzarono una cosa che all’inizio non avevano fatto, una valutazione razionale dei costi e dei benefici.

E, arrivando al terzo esempio, quando un operaio in una piccola azienda lavora su di una pressa con le protezioni disinserite cosa possiamo pensare? Probabilmente, all’opposto del caso precedente, egli percepisce il pericolo derivante dall’operazione molto inferiore rispetto al vantaggio che trae dal velocizzare il lavoro.

Qualche tempo fa, in visita presso una piccola azienda padronale, vidi un lavoratore operare con una calandra (vedi link a pagina 8) intento a profilare delle virole che, collegate tra loro, avrebbero costituito il contenimento di un silos d’acciaio dell’altezza di circa 20 metri.

La mia domanda all’operatore fu: “Ma perché lavora a protezioni sospese?”

La sua risposta: “Perché almeno una volta ogni due-tre ore la virola accidentalmente tocca la fune di emergenza e la macchina si arresta. E sono costretto a lasciare la lavorazione e riarmare il quadro elettrico”.

In questo caso l’operatore fece una sua personale valutazione dei costi e dei benefici. Lavorava a protezioni sospese per evitare di perdere forse cinque minuti ogni due ore.

Non percepiva adeguatamente che poteva, per errore, “calandrarsi” pure le mani e, forse, le braccia.

“Tanto una cosa così non l’ho mai vista succedere” (cit.)

Preciserei: “QUASI mai”.

Il “QUASI”, in questo caso, fa la differenza. Questa persona, tra cinque anni, potrebbe ancora avere le proprie mani integre.

Oppure no.

Insomma il problema, oltre ad essere articolato e complesso tecnicamente, si incrocia con aspetti psicologici (sia personali sia di gruppo). 

Alcune considerazioni a margine:

  • la prima: nessuno consciamente si assume rischi senza avere una controparte in termini di benefici;
  • la seconda: siamo, come esseri umani, incapaci di valutare il parametro “probabilità”, soprattutto quelle di livello minimo. A maggior ragione se la cosa riguarda la nostra sfera personale o di responsabilità/valutazione/azione. Il 2,5% di probabilità di vincita potrebbe essere ritenuto trascurabile se si sta giocando la tombola di Natale. Forse lo sarebbe meno (trascurabile, dico) se si è in attesa della risposta di un esame che indicherà, con la medesima probabilità, la presenza o meno di un linfoma;
  • la terza: in molti ambiti di rischio (impianti a rischio di incidente rilevante, rischio idrogeologico, rischio NaTech, terrorismo, vaccinazioni, ecc.) la valutazione personale non specialistica viene formulata PRIMA a livello emotivo. Solo successivamente la nostra parte razionale entra in gioco ma, spesso, solo per confermare la posizione ormai assunta emotivamente/inconsciamente (l’emotività e l’inconscio sono il “cliente” mentre la razionalità è “l’avvocato”. E l’avvocato è sempre al servizio del proprio cliente, come direbbe Jonathan Haidt). 

Avremo modo di riparlarne.

Alla prossima!

© Marzio Marigo

__________

Corso sulle novità in tema d’ATEX, le iscrizioni sono aperte (come si dice in queste circostanze? Ah, si: i posti si stanno esaurendo)Rischio Atmosfere Esplosive ATEX. Le novità recenti, i metodi e le applicazioni (Bologna, 23/2/2018)

__________

UPDATE DEL 12/11/2017, ore 18:20

A seguito dei quesiti formulati nell’ambito delle piattaforme social sui quali il presente post è stato caricato provvedo ad integrare il testo originale con una sintesi delle risposte da me fornite in tali sedi, ringraziando qui, ancora una volta, gli autori delle domande.

Percezione del rischio e gruppo di lavoro. Certamente l’effetto del gruppo di appartenenza sulla percezione del rischio è straordinariamente importante, come dimostra l’esperimento psicologico di Zimbardo, nel quale si evidenzia la drammatica differenza nelle modalità comportamentali, a fronte di uno specifico rischio, da parte di una persona sola rispetto ad un soggetto incluso in un gruppo (il riferimento è quello di stanza che viene invasa da fumo simulando un incendio). Esiste poi l’Asch Conformity Experiment, nel quale si dimostra la tendenza delle persone ad uniformare le proprie opinioni a quelle del gruppo di riferimento (giuste o sbagliate che siano. Le opinioni, dico). Ed infine l’effetto Bystander sul ruolo giocato dalla passività del gruppo verso una richiesta d’aiuto. Ce ne sarebbe da discutere, magari in altro post.

Percezione del rischio e ruolo della direzione. Appare di fondamentale importanza, in un ambito più strettamente lavorativo, una “condivisione di senso” che parta dall’alta direzione e arrivi fino al reparto. Non credo di rivelare nulla di nuovo se dico che i messaggi chiave dell’alta direzione/datore di lavoro giungono fino al reparto in modo inequivoco quando esiste la volontà di trasmetterli (produzione efficiente, velocità nell’eseguire il proprio compito, qualità finale del prodotto, ecc). Tutti i lavoratori sono chiaramente formati in questo, conoscono il loro ruolo all’interno dell’organizzazione. Altri messaggi invece, che possono comprendere anche gli aspetti relativi alla Safety, in qualche modo si perdono per strada nel passaggio TOP-DOWN. O perché non sono stati mai trasmessi oppure perché a livello informale si comprende che non sono “strategici” per l’impresa.

Percezione del rischio e formazione. La parte formativa aziendale sul core business viene condotta in modo efficace, nella maggioranza dei casi “on the job”, e senza dilungarsi in corsi di formazione formalizzati. Per veicolare invece i messaggi afferenti alla sicurezza si organizzano corsi di formazione svolti, nella maggioranza dei casi, in aula, da persone esterne all’organizzazione e in assenza dei vertici locali (es. dirigenti, preposti). Che messaggio si invia così procedendo? Non è che si ottiene un effetto acquario che, in sostanza, accontenta la forma ma nel quale la sostanza è assai poca? Ce ne sarebbe da discutere pure su questo. Parecchio.

Share

Uno su mille ce la fa? Oppure uno su un milione?

Nell’ambito della valutazione d’affidabilità dei sistemi tecnologici è consuetudine procedere al calcolo della probabilità di accadimento di un dato evento incidentale.

Tale parametro viene chiamato probabilità del TOP EVENT, dell’evento apicale.

Questo calcolo viene condotto attraverso la costruzioni di connessioni logiche le quali, confluendo via via, portano all’elaborazione di un albero (al contrario), che viene chiamato, appunto, “albero di guasto” (Fault Tree per riprendere la terminologia anglosassone).

La forma è più o meno quella che si vede nella figura seguente (Fault Tree del disastro del 16 marzo 1978 che coinvolse la petroliera Amoco Cadiz. Si noti come, qualitativamente, un’anomalia banale (rottura di tubazione), posta alla base dello schema, ebbe la possibilità di propagarsi progressivamente fino al TOP EVENT a causa dell’esclusiva presenza di porte OR, bypassando tutti i sistemi di sicurezza e rendendo, così, la nave ingovernabile).

Visivamente, lo schema, ricorda le radici più che la chioma di un albero. Sarebbe più corretto, quindi, chiamare la metodologia “Radici dell’albero di guasto”?

Probabilmente NO perché, se è vero che visivamente la costruzione appare come una chioma messa a testa in giù, la sua costruzione parte dall’evento che si vuole studiare (TOP EVENT) e, via via (in modo deduttivo e cartesiano), vengono individuate prima le cause prossimali e successivamente quelle remote, correlandole tra loro da relazioni logiche ereditate dall’algebra booleana. Si costruiscono e disegnano così i rami dell’albero.

Insomma albero e non radici, ok?

Ce ne sarebbe da dire su questa metodica, sia sul COME dovrebbe essere applicata sia specificandone i LIMITI che possiede (parecchi. Per esempio connessi al fatto che non possediamo -spesso- adeguata affidabilità negli input, non è detto che il tasso sia costante, non si tiene conto della dispersione dei dati ma della sola media(na), possono essere presenti fenomeni “emergenti” che si palesano solo ad incidente avviato e che non vengono per questo computati nell’albero. Senza poi contare le cause di guasto comune, la forte variabilità nella costruzione dell’albero da parte di gruppi di lavoro differenti applicati al medesimo problema, il pressoché assente utilizzo dell’INHIBIT GATE… and so on).

Lo scopo di questo post è tuttavia un altro: una volta determinata la probabilità di accadimento, con cosa la confronto? Qual è, cioè, il limite di probabilità che possiamo ritenere sufficientemente remoto?

La risposta è spesso concorde: 10E-6 eventi/anno.

Una probabilità di accadimento non superiore ad un evento su un milione (all’anno).

Quello che abbiamo ora incontrato è uno dei grandi “dogmi” nelle valutazioni d’affidabilità dei sistemi complessi.

Il dieci alla meno sei.

Qualcuno, un po’ di tempo fa, lo definì “mito” e non riuscì a darsi una compiuta giustificazione dell’adozione così estesa di tale parametro numerico.

Moltissimi tuttavia sono i riferimenti in questo campo e sterminata la letteratura scientifica e tecnica che dettaglia i motivi di questa assunzione.

Ma siamo di fronte ad una macchinetta del caffè virtuale e questo non è un articolo per “Nature”. Eviterei quindi le citazioni.

Io, personalmente, riesco a raffigurarmi questa probabilità facendo il seguente ragionamento (non è mio. L’ho rubato ad un convegno dell’Ing. Edoardo Galatola).

Mediamente:

  • in Italia perdono la vita, per accadimenti di origine naturale (terremoti, alluvioni, ecc.), circa 60-65 persone all’anno;
  • vivono nel nostro paese 65 milioni di persone.

Rapportando il numero di decessi annuo al numero totale di abitanti ecco che spunta il 10E-6 che rappresenta, quindi, la misura della probabilità di decesso, per soli eventi naturali, vivendo nel territorio italiano. Un rischio non eliminabile: vivere in un dato luogo (ok, ci sarebbe da discutere della nostra straordinaria vulnerabilità sismica e idrogeologica ma, insomma, ci siamo capiti).

Esiste peraltro, sempre in termini di quantificazione di rischi con probabilità di accadimento trascurabile, il riferimento autorevole dato da Émile Borel, un matematico e statistico francese vissuto a cavallo tra ‘800 e ‘900. Egli asseriva, nel suo testo “Probabilities and Life[1] del 1962 (originalmente pubblicato in francese nel 1943) che:

  • le probabilità trascurabili su scala umana sono inferiori a 10E-6;
  • le probabilità trascurabili su scala terrestre sono inferiori 10E-15;
  • le probabilità trascurabili su scala cosmica sono inferiori a 10E-50.

In altri termini Borel asseriva, nelle prime pagine del suo piccolo manuale, che una probabilità inferiore a 10E-6 eventi/anno dovrebbe essere trascurata poiché risulterebbe talmente improbabile che, nel corso di una intera vita, non dovremmo avere la possibilità statistica di sperimentarla.

Chiuderei qui.

Per il momento.

Alla prossima!

Marzio

© Marzio Marigo

[1] Il testo di Borel venne poi preso quale riferimento per molte delle affermazioni “Creazioniste” volte a contestare le evidenze portate da Darwin sull’origine delle specie. Lascerei perdere… 😐

__________

Corso sulle novità in tema d’ATEX, le iscrizioni sono aperte (e i posti  disponibili stanno diminuendo): Rischio Atmosfere Esplosive ATEX. Le novità recenti, i metodi e le applicazioni (Bologna, 23/2/2018)

__________

 

Share

Delle domande. E delle Sibille.

Questa volta un “pezzo” filosofico, diciamo così…

In un recente corso al quale ho partecipato il relatore insisteva sul concetto di porsi le domande giuste, cosa con la quale certamente concordo.

Se non ci si pone il giusto quesito difficilmente possiamo giungere a cogliere l’essenza del problema impiantistico.

E non è nemmeno vero che la proposizione delle giuste domande arrivi con un atto deliberato: “Ora mi pongo le domande sul processo dell’azienda X”.

In molti ci hanno tentato, e l’HAZOP ne è la dimostrazione.

Ma non possiamo pensare di risolvere tutto con metodiche adatte alla valutazione di rischio in impianti chimici o in centrali nucleari.

E quindi ci si deve ingegnare.

Nella maggior parte dei casi la domanda giusta è conseguente al processo di sopralluogo nel quale è necessario ascoltare la voce di tutti.

Amministratore delegato, processista, manutenzione, lavoratori, RSPP, RLS, parte sindacale. Tutti, a loro modo, possiedono una personale verità e consentono di illuminare con luce differente una lavorazione, un ciclo o un processo di produzione.

A volte non è sempre possibile ottenere il parere di tutti. A volte si comprende che la cosa non è gradita. Ma ci si prova ugualmente. Qualcuno potrebbe dire che si va alla ricerca degli Invisible Assets postulati da Hiroyuki Itami.

Solo qualcuno, però.

E ci sarà sempre chi cercherà di utilizzare la tua professionalità per farti dire “cose” utili alla sua “parte”. Un parere rimbalzato da fuori è sempre utile alle proprie personali battaglie di posizione.

“Parlare a nuora perché suocera intenda” afferma la solida cultura popolare.

Purtroppo possiedo il vizio di cercare di farmi un’idea autonoma dei problemi e, pur sforzandomi di ascoltare le persone, cerco di crearmi una “narrazione” il più possibile ancorata ai fatti, alle evidenze empiriche, alla letteratura tecnica e alla normativa.

E, per far saltare fuori la domanda giusta, conosco un solo metodo: pensare al problema in ogni momento, in modo “gesuitico” e “ossessivo”. Per un po’. A caldo. Magari nei giorni successivi al sopralluogo. Il silenzio dell’auto nei viaggi di ritorno è straordinariamente utile. E poi lasciare le cose lì a decantare.

La soluzione, spesse volte, emerge da sé, magari attraverso il pensiero laterale. E magari (ancora) in modo improvviso e inaspettato.

La risposta veloce, al telefono, va bene per le cose che conosci bene e che hai già visto.

I nuovi problemi necessitano, invece, di sedimentazione.

E, non so se accade anche ad altri, di problemi nuovi ce ne sono tutti i giorni.

Il relatore e la sua ricerca delle domande, dicevo…

Alla, credo, quarta ripetizione del medesimo concetto non ho trattenuto un: “Ok, le domande. Ma pure le risposte sono importanti! Ad un tecnico, ad un ingegnere, si chiede certamente l’inquadramento del problema. Ma pure una sua ragionevole chiusura. Soluzioni! Ci chiamano per fornire soluzioni. Evitando, possibilmente, aggettivi che richiamino, anche solo lontanamente, l’opportuno, l’adeguato o l’idoneo”.

Insomma, la penso così.

Nell’ambito della sicurezza tecnologica e del lavoro è necessario certamente farsi domande “giuste” e darsi “risposte” meditate.

A volte scomode.

Evitando tuttavia di passare per “Sibille Cumane” nella stesura dei propri report.

Siamo sarti che confezionano vestiti su misura.

Non magazzini all’ingrosso che offrono modelli standard.

Alla prossima!

© Marzio Marigo

Share

Cellulari che innescano esplosioni durante il rifornimento: mito o realtà?

Accade spesso di assistere a filmati drammatici (qui e qui per esempio), raccolti dalle telecamere di sorveglianza installate in impianti distributori di carburante, che identificano nel telefono cellulare l’origine dell’innesco di incendi o esplosioni.

Il telefono cellulare è certamente una potenziale sorgente di accensione ma solo in certi ambiti e solo con certe sostanze.

Un documento del PEI (Petroleum Equipment Istitute USA), aggiornato al 22/3/2017, ha approfondito i casi di 176 incidenti avvenuti durante il rifornimento in diverse stazioni di servizio USA e non ha trovato alcuna evidenza del coinvolgimento di telefoni cellulari nell’innesco di incendi. In esso si specifica che: “So far we have been unable to document any incidents that were sparked by a cellular telephone” cioè “Finora non siamo stati in grado di documentare eventuali incidenti innescati da un telefono cellulare”.

Sembra abbastanza esplicita come affermazione, non trovate?

Certo, l’assenza di prove di coinvolgimento non è certamente la prova dell’assenza di coinvolgimento ma, in questo caso, esiste un grande colpevole che spesso si dilegua e la fa franca: l’elettricità statica.

La causa dei flashfire che si vedono nei molti video su youtube è dunque l’innesco elettrostatico dovuto:

  • al contatto tra due conduttori a differente potenziale (mano della persona e pistola di erogazione) in presenza di una nube di vapori di benzina con una concentrazione interna al campo di infiammabilità (LFL-UFL);
  • all’autoinnesco della benzina la quale, caricandosi elettrostaticamente a causa dell’elevata resistività (vedi CLC/TR 60079-32-1 o NFPA 77), in assenza di riempimento a sorgente (es. serbatoio di motociclette), può dar luogo ad innesco della nube ATEX con conseguente esplosione.

Ci siamo quindi?

Una volta usciti dall’automobile stiamo all’aperto fino a che il rifornimento è terminato. Se rientriamo in auto, infatti, lo strofinio tra gli abiti e il tessuto del sedile ci può caricare elettrostaticamente, soprattutto in presenza di giornate con poca umidità atmosferica. Si creerà, quindi, una sorta di condensatore del quale noi diventiamo un’armatura. In conseguenza di questo, una volta riscesi dall’auto se ci avviciniamo troppo ad un altro conduttore con differente potenziale, che potrebbe essere l’erogatore di benzina, si romperà l’isolamento del dielettrico (l’aria), si riequilibreranno le cariche con un sottilissimo filo di plasma elettrico, e la scintilla generata sarà capace di innescare qualsiasi sostanza infiammabile.

Per esempio i vapori di benzina che stanno proprio lì attorno.

Peraltro, in teoria, i rifornimenti self-service non dovrebbero consentire il bloccaggio dell’erogatore in fase di rifornimento proprio per questo problema.

In teoria…

Non siamo ancora del tutto convinti dell’innocenza del cellulare?

Posto allora le prove definitive di quanto affermo… più o meno, diciamo…

La prima: il test condotto dai pazzi di Brainiac. Ne fa le spese una incolpevole roulotte.

La seconda: il test condotto dai due fenomeni di Mythbusters. Anche in questo caso l’evidenza è inequivoca. I cellulari sono innocenti. L’innesco elettrostatico è il vero colpevole.

Alla prossima!

MM

PS – Per tranquillizzarci un po’, per stessa ammissione del PEI, l’adozione di sistemi di recupero dei vapori ha reso trascurabile il fenomeno dell’esplosione durante il rifornimento, prima presente in modo rilevante in USA (in Europa è da molto che il rifornimento con il recupero dei vapori è stato introdotto). Insomma, stiamo tranquilli. Ma non risaliamo in auto durante l’operazione, ok?

Brevi note scientifiche

Sul tema del potenziale di innesco dei telefoni cellulari durante le operazioni di rifornimento l’indagine maggiormente citata è stata effettuata da Glenn Kuriger dell’Università dell’Oklahoma nel 2001. Le evidenze del paper indicano che, nonostante l’energia presente nella batteria di un telefono cellulare possa essere sufficientemente elevata da configurare un rischio di accensione per la benzina, perché l’accadimento abbia luogo sono necessarie condizioni ottimali e anomalie specifiche altamente improbabili da raggiungere. La probabilità di un’esplosione dipende, cioè, da una fonte di ignizione che dovrebbe essere collocata nel posto giusto al momento giusto e capace di fornire la giusta quantità di energia. La loro ricerca indica che tale evento, seppur possibile non appare credibile. Risulta infatti estremamente improbabile e con caratteristiche tali da poter essere trascurato (Kuriger, 2003).

L’EFAA, ad integrazione di quanto detto, nel 1999 conclude che: “(…) the use of a mobile phone at a petrol filling station (…) under normal operating conditions presents a negligible hazard and that the likelihood of such an accident under any conditions is very remote.”

Un altro aspetto particolarmente interessante, approfondito da Burgess nel 2007, è connesso alla “cascata sociale di credenza”, cioè al motivo per il quale, a fronte di una persistente assenza di prova, anche ora si ritenga il telefono cellulare un pericolo reale durante il rifornimento alla stazione di servizio. L’autore identifica almeno due fattori concomitanti e catalizzanti l’un l’altro. Il primo è legato al regime precauzionale con il quale le compagnie petrolifere britanniche hanno imposto la restrizione d’uso dei dispositivi mobili sui piazzali delle stazioni di servizio che ha avuto l’effetto di confermare il pericolo. I segnali di avvertimento nei manuali dei telefoni cellulari hanno poi indotto un effetto simile conducendo ad ulteriori limitazioni alle stazioni di rifornimento.

Insomma dietro al problema dell’effetto fantasma del telefono cellulare non ci sono solo ragioni tecniche, ma anche cognitive, di percezione del rischio e sociali.

Bibliografia minima

Burgess, A. (2007). Real and phantom risks at the petrol station: The curious case of mobile phones, fires and body static. Health, risk & society, 9(1), 53-66

EFAA (1999) Mobile Phone Usage at Petrol Stations (Menlo Park, CA: Exponent Failure Analysis Associates)

Kuriger, G. (2003) Potential for a mobile phone battery to act as a source of ignition.  In  Technical  Seminar Proceedings (London: Institute of  Petroleum), pp.  23 – 28

© Marzio Marigo

Share

Maslow, motivazione e rischio

Spesse volte accade che nei corsi in tema di sicurezza sul lavoro intervengano psicologi per due motivi principali.

Il primo: lo stress lavoro correlato. Non entro nemmeno nell’argomento. Si è detto, sul tema, tutto e il suo contrario. E non ho nemmeno una posizione chiara in merito.

Il secondo: le motivazioni umane ed organizzative alla sicurezza, spesse volte nell’ambito di corsi inerenti i sistemi di gestione della sicurezza sul lavoro (SGSL). E cosa c’è di immancabile nella cassetta degli attrezzi che ci si porta a casa dopo un corso di questo tipo? Ovviamente la piramide di Maslow con la quale si fornisce la mappa delle motivazioni al comportamento umano, singolo e/o organizzato, in tema di sicurezza.

Abraham Maslow fu uno psicologo umanista statunitense e le sue teorie ebbero grandissimo successo nell’America anni ’60. Spiegavano (spiegano) in modo semplice e comprensibile uno dei problemi da secoli oggetto di dibattito: cosa c’è dietro la motivazione umana? Peraltro è abbastanza recente la pubblicazione in lingua italiana del saggio che compendia complessivamente la sua teoria: Motivazione e personalità.

Maslow, in estrema sintesi, crea una gerarchia piramidale tra i bisogni umani e postula che, per avvertire la necessità del soddisfacimento dei bisogni apicali della piramide, sia prima necessario appagare le esigenze poste alla base della medesima. Detto in termini un po’ prosaici: prima mangio, poi mi copro e solo allora posso pensare di elaborare la parafrasi sensata di una terzina di Dante.

Così dovrebbe avvenire nella vita sociale, così dovrebbe avvenire negli ambiti lavorativi, così (ancora) dovrebbe accadere nell’ambito della sicurezza sul lavoro.

Ovviamente, come è bene comprensibile, la teoria di Maslow, proprio perché riconduce un problema enorme e complesso ad una narrazione semplice ed immediatamente comprensibile, non può essere corretta. Non a caso è stata nel corso degli anni variamente criticata senza mai giungere, tuttavia, ad una sua completa falsificazione. D’altronde si discute di psicologia e non di fisica quantistica.

Quello che personalmente a me (meccanico di provincia) non torna, sono le seguenti cose tre cosine:

  1. Non credo risponda al vero una scala dei bisogni costante per ogni epoca sociale, economica e di vissuto personale. In fase di crisi e/o incertezza si ha minore tendenza all’apertura, alla volontà di autoaffermazione, rispetto a periodi espansivi. Laura Carstensen, una docente di Stanford, a questo proposito, condusse una ricerca ad Hong Kong prima, durante e dopo il passaggio del controllo politico dalla Gran Bretagna alla Cina. I comportamenti sociali tipici della parte alta della piramide di Maslow, presenti durante in controllo inglese, si abbassarono di livello durante le fasi di incertezza, per poi ripristinarsi quando si comprese che, tutto sommato, la Cina decise di lasciare immutate le dinamiche economiche esistenti.
  2. Il comportamento dei ragazzi è molto spostato verso la parte alta della piramide, a dispetto soprattutto dei bisogni di sicurezza e stabilità. La tendenza al rischio volto al raggiungimento di una propria personale affermazione contrasta non poco con i postulati espressi da Maslow. E non discuto solo di sicurezza sul lavoro, ovviamente.
  3. Per converso, i tipici comportamenti dell’età adulta appaiono molto meno espansivi in termini di socialità e apertura alla novità ricercando molto di più sicurezza sia nelle relazioni sociali come nel rapporto e nelle condizioni di lavoro. In questo ambito, probabilmente, la piramide di Maslow fornisce previsioni più credibili.

Insomma, non diamo per scontato che tutte le “mappe” che ci vengono fornite siano affidabili. Utilizzare le teorie di Maslow per spiegare gli andamenti infortunistici in azienda o per cercare di motivare alla sicurezza il comportamento singolo o dell’intera organizzazione, come ho purtroppo visto fare, potrebbe essere non solo semplicemente inutile.

Ma addirittura controproducente.

PS – No, non nutro particolare acredine verso la specifica forma geometrica.

© Marzio Marigo

Share

L’Elisabetta Montanari, trent’anni fa

Probabilmente l’evento accaduto il 13 marzo 1987 (esattamente trent’anni fa, oggi) all’interno della motonave “Elisabetta Montanari”, in manutenzione presso il bacino di carenaggio della società MECNAVI di Ravenna, costituisce il più doloroso incidente sul lavoro della storia italiana degli ultimi 70 anni.

All’epoca dei fatti ero uno studente di scuola media superiore, lontano ancora anni luce dal mio attuale impegno/lavoro nell’ambito della sicurezza. Molto tempo dopo, approfondendo il caso, scoprii, tra i tredici deceduti nell’inferno di Ravenna, tre miei coetanei:

  • Marco Gaudenzi di 18 anni;
  • Gianni Cortini di 19 anni e al suo primo giorno di lavoro;
  • Alessandro Centioni di 21 anni.

Tale sottile filo mi ha sempre fatto ritenere ancor più catastrofico e psicologicamente traumatico questo enorme accadimento incidentale.

Di seguito riporto il sunto del verbale della Commissione istituita dall’ISPESL su incarico del Ministro della Sanità all’indomani dell’incidente.

“(…) L’infortunio plurimo mortale in cui hanno perso la vita 13 lavoratori si è verificato a bordo della nave «Elisabetta Montanari», ferma nel bacino di carenaggio della società MECNAVI, nel porto di Ravenna, per lavori di manutenzione – regolarmente autorizzati dalla Capitaneria di porto – che si stavano svolgendo e che erano stati dati in appalto dalla società armatrice della nave alla MECNAVI, la quale, a sua volta, li aveva subappaltati ad altre quattro imprese. E i lavoratori impiegati nell’attività dipendevano da tutte le predette imprese. La nave “Elisabetta Montanari”, adibita al trasporto di gas di petrolio liquefatto (GPL), era stata portata presso il cantiere MECNAVI di Ravenna per la periodica revisione così come previsto dal RINA (Registro Italiano Navale). I tecnici del RINA avevano constatato che alcune lamiere del doppiofondo della nave (sia del cielo sia del fondo) presentavano un avanzato stato di corrosione con riduzione dello spessore al di sotto dei valori consentiti. In conseguenza di ciò ne prescrivevano la rimozione e la sostituzione con lamiere nuove. Tali operazioni vengono eseguite mediante taglio ossiacetilenico delle lamiere usurate e successiva sostituzione con le nuove mediante saldatura ad arco con elettrodi rivestiti. Si precisa che il doppiofondo della nave, che presenta una altezza massima di 90 centimetri, è suddiviso da paratie sia in senso longitudinale che trasversale, così che ne risulta una serie di comparti stagni dove vengono alloggiati in successione alternata: il combustibile, necessario alla propulsione della nave, e l’acqua di zavorra. Ne consegue che, prima del taglio delle lamiere usurate e della saldatura delle nuove, i comparti destinati al contenimento della nafta devono essere bonificati al fine di eliminare il materiale infiammabile: nafta liquida residua, residui semisolidi accumulati per sedimentazione sul fondo del serbatoio e infine i vapori di ristagno. Nel cantiere in esame, come peraltro avviene abitualmente, le varie fasi di bonifica dei serbatoi del combustibile del sottofondo possono schematizzarsi come segue:

  • aspirazione mediante pompe della nafta liquida fino al limite del pescaggio che, di norma, arriva a 20 centimetri dal fondo;
  • recupero manuale del liquido residuo mediante secchi che vengono passati a mano lungo tutto il comparto fino al passo d’uomo che mette in comunicazione il doppiofondo con la stiva sovrastante e da qui portato quindi all’esterno della nave;
  • rimozione mediante stracci e raschietti del residuo semisolido aderente al fondo e allontanamento dello stesso secondo le modalità operative già viste;
  • bonifica dei serbatoi mediante ventila-zione al fine di eliminare i vapori residui.

Per quanto riguarda la fase di recupero manuale questa viene effettuata da una squadra di operai che si cala all’interno del doppiofondo raggiungendo carponi le varie zone del comparto serbatoio.

Va precisato che i comparti del doppiofondo della nave sono attraversati dalle strutture che costituiscono le costole della nave (“ordinate”) dalle centine e, nel caso specifico, dalle selle dei serbatoi GPL. Tali strutture sono superabili soltanto in alcuni punti attraverso passi d’uomo di dimensioni ridotte (40×50 centimetri), sicché l’ambiente può essere paragonato ad un dedalo di cunicoli schiacciati, distribuiti a nido d’ape, che consentono soltanto movimenti lenti, contratti, con procedura carponi, di estrema difficoltà anche per personale esperto.

Va precisato, altresì, che ogni comparto del doppiofondo della nave è in comunicazione con la sovrastante stiva solo a mezzo di un unico passo d’uomo di 40 centimetri di diametro. Attraverso lo stesso passo d’uomo viene fatto passare, durante le operazioni, il tubo per la ventilazione dell’ambiente con aria fresca.

Nel caso specifico della nave “Elisabetta Montanari”, la stiva è occupata da quattro serbatoi per il trasporto del GPL.

Tali serbatoi risultano rivestiti da uno strato di materiale coibentante costituito da cinque centimetri di schiuma poliuretanica rigida protetta all’esterno da una guaina di tela in tessuto di lana di vetro catramato.

La dislocazione dei serbatoi fa sì che la stiva presenta una serie di ostacoli “costole e selle dei serbatoi”, che rende il movimento all’interno estremamente disagevole, in particolare per quanto si riferisce al percorso che va dall’uscita del passo d’uomo del sottofondo alla scaletta che porta alla passerella della stessa stiva, percorso che dovevano compiere gli operai che entravano e uscivano dal doppiofondo.

La ricostruzione dei fatti connessi con l’incidente, formulata sulla base di quanto dichiarato dai Vigili del fuoco e dai responsabili del Cantiere, nonché di quanto evidenziato all’atto del sopralluogo, fa ritenere la seguente dinamica: all’atto dell’incidente lavoravano nel cantiere circa 40 operai, la maggior parte dei quali facenti parte di quattro ditte appaltatrici. Alcuni operai lavorano all’esterno della nave, altri all’interno, nella stiva e nel doppiofondo. In particolare tra quelli che lavoravano all’interno, alcuni procedevano alla pulizia di un comparto del doppio fondo, altri invece lavoravano nella sovrastante stiva procedendo al taglio delle lamiere del “cielo” del doppiofondo di un comparto. L’uso della fiamma ossiacetilenica per l’effettuazione di tali operazioni era stato autorizzato dalla Capitaneria di Porto, per quanto di competenza, previo controllo mediante esplosimetro di assenza di miscele esplosive e/o infiammabili.

Durante il taglio delle lamiere si è sviluppato l’incendio che ha coinvolto la guaina in tela catramata di protezione, dello strato coibentante, in poliuretano espanso, avvolto intorno ai serbatoi del trasporto di GPL (vuoti durante la manutenzione della nave). È da evidenziare che la parete del serbatoio coibentato dista appena 20 cm. dalla zona dove venivano eseguite le operazioni di taglio.

L’incendio della guaina catramosa ha portato allo sviluppo di prodotti di combustione del catrame (gas e fumi) che hanno invaso l’area della stiva e, contemporaneamente, ha alimentato la lenta combustione della schiuma poliuretanica che, a sua volta, ha portato, per fenomeni di termodegradazione, alla emissione di prodotti venefici quali: ossido di carbonio, isocianati, acido cianidrico, amine alifatiche nonché prodotti volatili di parziale combustione del materiale. L’insieme di tali fenomeni ha reso l’atmosfera irrespirabile e satura di prodotti tossici.

In queste condizioni gli operai che erano nel doppiofondo e nella stiva sono morti per asfissia e/o intossicazione dovute ad inalazioni di prodotti tossici così come rilevato dalla perizia medico-legale mentre gli operai addetti al taglio delle lamiere, ad eccezione di uno, hanno trovato scampo attraverso l’apertura praticata sul fondo della nave per facilitare l’accesso alla zona di lavoro.

Sulla base della dinamica dei fatti appare pertanto evidente una serie di assurde carenze di organizzazione e di misure di sicurezza che trovano riscontro nell’assoluta mancanza di previsione di incidenti in un luogo di lavoro dove invece ne esistevano i presupposti ed esisteva la certezza che, in caso di incidente, le conseguenze sarebbero state letali. Ciò sia in considerazione della struttura dell’ambiente di lavoro sia delle modalità operative seguite.

A tale riguardo si possono trarre una serie di considerazioni. Esistono tecnologie in grado di disincrostare e pulire i luoghi confinati mediante liquidi speciali che permettono di evitare l’opera dell’uomo in luoghi di lavoro non concepiti per attività umana. Nel caso che ciò fosse inapplicabile al caso in esame, sarebbero stati necessari una serie di interventi prevenzionistici atti a garantire la salvaguardia di chi operava all’interno della nave sia nel doppiofondo che nella stiva. Sarebbero stati da prevedere piani di lavoro che evitassero la contemporaneità di operazioni rischiose compromettenti la sicurezza delle varie squadre operanti nei diversi punti, assistenza diretta e continua dall’esterno a chi operava nel doppiofondo, vista la estrema difficoltà di movimento esistente all’interno della nave, disponibilità infine di sistemi antincendi e di mezzi personali di protezione (…)”

Il 13 marzo 1987 ebbe luogo, in Italia, una tragedia sul lavoro che non DEVE ESSERE SCORDATA. Chi dimentica i propri errori e/o non impara da questi è destinato, prima o poi, inevitabilmente a ripeterli.

© Marzio Marigo

Share

Del colloquio di lavoro e di un incidente nucleare

Sei rimasto a casa dal lavoro perché devi sostenere, questa mattina, un importante colloquio presso una grande società di ingegneria che ha gli uffici posti in prossimità del centro della città. Tua moglie è già uscita di casa ma ti ha lasciato la caffettiera sul fornello per velocizzare il tuo, sempre problematico, risveglio. L’ha già riempita di caffè ben tostato ma si è, purtroppo, dimenticata dell’acqua. Accendi il gas e, dopo un po’, avverti un odore di gomma bruciata. La guarnizione è danneggiata e la valvola di sicurezza della parte inferiore della caffettiera irrimediabilmente rotta. Dato che non è proprio pensabile che tu possa sostenere un colloquio di lavoro senza la tua dose di caffeina quotidiana, rovisti nell’armadio della cucina fino a quando ritrovi una vecchia moka.

La tua salvezza.

La riempi d’acqua, premi per bene il caffè sopra, e aspetti il gorgoglio familiare, guardando con una certa apprensione l’orologio posto sul tavolo.

Bevi il caffè in velocità.

Ora sei pronto per l’importante impegno che ti attende.

Ti precipiti fuori dalla porta ma, quando arrivi all’auto, ti accorgi di aver lasciato sia le chiavi dell’automobile, sia quelle di casa… dentro casa.

Maledizione.

Ok, niente panico, sei previdente, in fondo conservi sempre una seconda chiave di casa in un luogo segreto che conosci solo tu (questa, di fatto, rappresenta una misura di sicurezza ridondante, spieghi sempre nei tuoi corsi). Fai mente locale, ti appresti a risalire le scale ma un pensiero sconfortante ti assale. Hai prestato la “chiave di emergenza” ad un tuo amico che avrebbe dovuto restituirti dei libri ma non sapeva quando sarebbe passato di là (ha cambiato di recente città, infatti).

Tu e tua moglie non siete quasi mai in casa (troppo lavoro, troppi impegni, troppi casini) e il tuo amico avrebbe potuto restituire il prezioso ed introvabile manuale di sicurezza industriale solo in questo modo.

Insomma, gli eventi che non ti consentono di utilizzare né la chiave normale né quella di emergenza sono stati generati da una unica causa comune: te stesso. Tecnicamente sei una “Common Cause Failure”, CCF, diresti proprio tu nei tuoi corsi.

Si sta facendo tardi, ma c’è sempre l’auto del tuo vicino. Un signore in pensione che usa la macchina una volta al mese e la mantiene in buona efficienza.

Bussi alla sua porta.

Ti apre e ti guarda come se fosse sveglio da ore, ormai.

Racconti brevemente quanto ti è accaduto.

Lui gentilmente ti risponde che si, presterebbe la propria auto ad un “giovanotto” come te, ma la sua gloriosa FIAT ha l’alternatore guasto, l’elettrauto se l’è portato via la scorsa settimana e, proprio oggi pomeriggio, viene a rimontarlo.

“Cavolo”, pensi, “un altro sistema di backup non ha funzionato”. Peraltro questo, a differenza dell’altro, senza alcuna causa comune alla radice. Tu e l’alternatore dell’auto del tuo vicino di casa non siete in relazione né diretta, né indiretta.

Sconsolato, ormai, ti rassegni a prendere l’autobus ma… c’è un “ma” anche questa volta. Il tuo vicino (diavolo di un vicino!) ti informa che c’è uno sciopero generale dei bus proprio oggi. In effetti, facendo mente locale, ricordi di aver sentito alla radio che c’era un’agitazione in atto da tempo. Gli autisti si rifiutano di guidare dei mezzi che sono, a loro dire, non sicuri. Questa protesta, inoltre, porta con sé anche una rivendicazione salariale.

Avverti un sottile fremito alla bocca dello stomaco e telefonando alla stazione dei taxi, ti rendi conto che non ce n’è nessuno disponibile. Lo sciopero dei bus ha generato la penuria di taxi. Comprendi immediatamente che questi eventi sono, tra loro, strettamente connessi. Fortemente accoppiati, direbbe il professor Charles Perrow, lo scienziato sociale che postulò, negli anni ’80, la “normalità” nell’accadimento degli incidenti industriali (Normal Accident Theory, NAT).

Non ti resta altro da fare che chiamare mestamente la segretaria della società di ingegneria che ti aveva contattato la scorsa settimana e, sconsolato, cerchi di spiegare cosa ti è capitato. La signora Blücher, Frau Blücher (si, come quella dei cavalli di “Frankenstein Junior”. In fondo la società che ti ha chiamato è tedesca) ti ascolta in silenzio e risponde che “si, è un po’ strano. Ne prenderò nota e trasmetterò l’informazione. La contatteremo di nuovo noi, non si preoccupi”.

Nel file del tuo profilo, tra le annotazioni, scriverà: “Persona inaffidabile”.

Chiediamoci ora: Qual è stata la causa principale di questo “incidente”? Perché, cioè, hai perso l’opportunità di un nuovo lavoro?

1) Errore umano (es. dimenticarsi l’acqua del caffè, dare le chiavi di emergenza al proprio amico)?

2) Guasto meccanico (es. alternatore dell’auto)?

3) Ambiente (es. sciopero dei bus e taxi introvabili)?

4) Errore di progettazione del sistema (es. possibilità di rimanere chiusi fuori casa, impossibilità di sopperire allo sciopero dei taxi)?

5) Procedure utilizzate (es. lasciare il caffè sul fornello, ecc.)?

Hai risposto?

Rivelo ora un segreto: questo racconto è, in metafora, quanto realmente accaduto, nel 1979, nel corso del disastro nucleare di Three Mile Island, il primo grande incidente con fusione del nocciolo della storia della generazione elettronucleare moderna.

Dunque, se hai risposto “SI” alla prima domanda ti sei orientato come i periti della Commissione Presidenziale incaricata di accertare le responsabilità.

Se invece hai risposto “SI” alla seconda domanda hai giudicato le responsabilità come i gestori dell’impianto nucleare, la Metropolitan Edison.

Se, infine, hai detto “SI” alla quarta domanda, hai avuto la medesima idea dei tecnici dell’Essex Corporation incaricata dall’NRC (Nuclear Regulatory Commission) di far luce sull’incidente.

Secondo Charles Perrow, invece, la migliore risposta da dare è “Nessuna delle precedenti”.

La causa dell’incidente è semplicemente data dalla complessità del sistema che possiede forte interattività e accoppiamento tra le variabili in gioco. In queste situazioni un incidente è “normale”.

Tornerò in futuro su questa interessante teoria.

Liberamente tradotto ed adattato da: Perrow C., Normal Accidents: Living with High-Risk Technologies, Princeton University Press (USA), 1999

© Marzio Marigo

Share