Rischio e sua percezione: again

Immaginate per un attimo di vivere in una città di provincia.

Né bella, né brutta.

Con un tasso di disoccupazione e di criminalità medio.

Se aveste necessità di un litro di latte mandereste vostra figlia di sei anni ad acquistarlo nel negozio sotto casa? E se il negozio fosse distante 50 metri da casa? E se la distanza fosse, invece, di 250 metri? E un chilometro? Fareste fare a vostra figlia un chilometro per un litro di latte?

E se invece di un litro di latte, voi foste a letto con una specie di influenza, febbre a 41°C, dolori articolari insopportabili e l’impossibilità di stare lontani dal bagno per non più di cinque minuti, mandereste vostra figlia seienne ad acquistare nella farmacia sotto casa i farmaci che la guardia medica vi ha appena prescritto? E se la farmacia fosse distante da casa 50 metri?… ecc.

Ecco, probabilmente chi legge avrà risposto. E avrà individuato una distanza inversamente proporzionale alla propria percezione di quel rischio specifico (attenzione, discutiamo di percezione del rischio, non di rischio effettivo).

Facendo, nel primo caso come nel secondo, una valutazione dei costi e dei benefici dell’attività.

Qualcuno, in altro ambito, si è spinto a calcolare (con un approccio statistico frequentista), il rischio corso in una giornata tipo da un lavoratore impiegato in un’azienda chimica (Kumamoto, Henley, 1996) e ha derivato lo schema di sintesi seguente.

In realtà il problema è forse più vasto: ad ogni nostra attività quotidiana è connesso un rischio oggettivo ed uno percepito. La percezione personale dei pericoli e delle probabilità ad essi connesse è peraltro variabile da persona a persona, da cultura a cultura, ecc. Purtroppo (e a volte per fortuna) tale valutazione è spesso inconscia. Una valutazione condotta a nostra insaputa (più o meno) dal “Sistema 1″ così come definito da Daniel Kahneman. 

Facciamo un altro esempio? Qualche anno fa a New York (Sunstein, 2004) gli abitanti di alcuni quartieri sostennero una campagna per la rimozione dell’amianto dalle scuole, preoccupati per la salute dei propri figli. Gli esperti, al contrario, concordavano sul fatto che i rischi di cancro derivante dall’esposizione fossero statisticamente limitatissimi (era utilizzato per fini di prevenzione incendi ed era completamente inglobato all’interno delle strutture). Quando si scoprì che la rimozione avrebbe determinato la chiusura delle scuole per diverse settimane e che tale chiusura avrebbe causato inconvenienti ai genitori connessi alla gestione dei propri figli, l’atteggiamento della popolazione cambiò e la rimozione dell’amianto si trasformò in una idea pessima. Quando poi furono resi noti i costi che l’operazione avrebbe comportato, la percezione del rischio dei genitori si allineò a quella degli esperti e non se ne fece più nulla.

Il rischio percepito divenne rischio effettivo.

L’amianto rimase lì dov’era.

I genitori realizzarono una cosa che all’inizio non avevano fatto, una valutazione razionale dei costi e dei benefici.

E, arrivando al terzo esempio, quando un operaio in una piccola azienda lavora su di una pressa con le protezioni disinserite cosa possiamo pensare? Probabilmente, all’opposto del caso precedente, egli percepisce il pericolo derivante dall’operazione molto inferiore rispetto al vantaggio che trae dal velocizzare il lavoro.

Qualche tempo fa, in visita presso una piccola azienda padronale, vidi un lavoratore operare con una calandra (vedi link a pagina 8) intento a profilare delle virole che, collegate tra loro, avrebbero costituito il contenimento di un silos d’acciaio dell’altezza di circa 20 metri.

La mia domanda all’operatore fu: “Ma perché lavora a protezioni sospese?”

La sua risposta: “Perché almeno una volta ogni due-tre ore la virola accidentalmente tocca la fune di emergenza e la macchina si arresta. E sono costretto a lasciare la lavorazione e riarmare il quadro elettrico”.

In questo caso l’operatore fece una sua personale valutazione dei costi e dei benefici. Lavorava a protezioni sospese per evitare di perdere forse cinque minuti ogni due ore.

Non percepiva adeguatamente che poteva, per errore, “calandrarsi” pure le mani e, forse, le braccia.

“Tanto una cosa così non l’ho mai vista succedere” (cit.)

Preciserei: “QUASI mai”.

Il “QUASI”, in questo caso, fa la differenza. Questa persona, tra cinque anni, potrebbe ancora avere le proprie mani integre.

Oppure no.

Insomma il problema, oltre ad essere articolato e complesso tecnicamente, si incrocia con aspetti psicologici (sia personali sia di gruppo). 

Alcune considerazioni a margine:

  • la prima: nessuno consciamente si assume rischi senza avere una controparte in termini di benefici;
  • la seconda: siamo, come esseri umani, incapaci di valutare il parametro “probabilità”, soprattutto quelle di livello minimo. A maggior ragione se la cosa riguarda la nostra sfera personale o di responsabilità/valutazione/azione. Il 2,5% di probabilità di vincita potrebbe essere ritenuto trascurabile se si sta giocando la tombola di Natale. Forse lo sarebbe meno (trascurabile, dico) se si è in attesa della risposta di un esame che indicherà, con la medesima probabilità, la presenza o meno di un linfoma;
  • la terza: in molti ambiti di rischio (impianti a rischio di incidente rilevante, rischio idrogeologico, rischio NaTech, terrorismo, vaccinazioni, ecc.) la valutazione personale non specialistica viene formulata PRIMA a livello emotivo. Solo successivamente la nostra parte razionale entra in gioco ma, spesso, solo per confermare la posizione ormai assunta emotivamente/inconsciamente (l’emotività e l’inconscio sono il “cliente” mentre la razionalità è “l’avvocato”. E l’avvocato è sempre al servizio del proprio cliente, come direbbe Jonathan Haidt). 

Avremo modo di riparlarne.

Alla prossima!

© Marzio Marigo

__________

Corso sulle novità in tema d’ATEX, le iscrizioni sono aperte (come si dice in queste circostanze? Ah, si: i posti si stanno esaurendo)Rischio Atmosfere Esplosive ATEX. Le novità recenti, i metodi e le applicazioni (Bologna, 23/2/2018)

__________

UPDATE DEL 12/11/2017, ore 18:20

A seguito dei quesiti formulati nell’ambito delle piattaforme social sui quali il presente post è stato caricato provvedo ad integrare il testo originale con una sintesi delle risposte da me fornite in tali sedi, ringraziando qui, ancora una volta, gli autori delle domande.

Percezione del rischio e gruppo di lavoro. Certamente l’effetto del gruppo di appartenenza sulla percezione del rischio è straordinariamente importante, come dimostra l’esperimento psicologico di Zimbardo, nel quale si evidenzia la drammatica differenza nelle modalità comportamentali, a fronte di uno specifico rischio, da parte di una persona sola rispetto ad un soggetto incluso in un gruppo (il riferimento è quello di stanza che viene invasa da fumo simulando un incendio). Esiste poi l’Asch Conformity Experiment, nel quale si dimostra la tendenza delle persone ad uniformare le proprie opinioni a quelle del gruppo di riferimento (giuste o sbagliate che siano. Le opinioni, dico). Ed infine l’effetto Bystander sul ruolo giocato dalla passività del gruppo verso una richiesta d’aiuto. Ce ne sarebbe da discutere, magari in altro post.

Percezione del rischio e ruolo della direzione. Appare di fondamentale importanza, in un ambito più strettamente lavorativo, una “condivisione di senso” che parta dall’alta direzione e arrivi fino al reparto. Non credo di rivelare nulla di nuovo se dico che i messaggi chiave dell’alta direzione/datore di lavoro giungono fino al reparto in modo inequivoco quando esiste la volontà di trasmetterli (produzione efficiente, velocità nell’eseguire il proprio compito, qualità finale del prodotto, ecc). Tutti i lavoratori sono chiaramente formati in questo, conoscono il loro ruolo all’interno dell’organizzazione. Altri messaggi invece, che possono comprendere anche gli aspetti relativi alla Safety, in qualche modo si perdono per strada nel passaggio TOP-DOWN. O perché non sono stati mai trasmessi oppure perché a livello informale si comprende che non sono “strategici” per l’impresa.

Percezione del rischio e formazione. La parte formativa aziendale sul core business viene condotta in modo efficace, nella maggioranza dei casi “on the job”, e senza dilungarsi in corsi di formazione formalizzati. Per veicolare invece i messaggi afferenti alla sicurezza si organizzano corsi di formazione svolti, nella maggioranza dei casi, in aula, da persone esterne all’organizzazione e in assenza dei vertici locali (es. dirigenti, preposti). Che messaggio si invia così procedendo? Non è che si ottiene un effetto acquario che, in sostanza, accontenta la forma ma nel quale la sostanza è assai poca? Ce ne sarebbe da discutere pure su questo. Parecchio.

Share

Uno su mille ce la fa? Oppure uno su un milione?

Nell’ambito della valutazione d’affidabilità dei sistemi tecnologici è consuetudine procedere al calcolo della probabilità di accadimento di un dato evento incidentale.

Tale parametro viene chiamato probabilità del TOP EVENT, dell’evento apicale.

Questo calcolo viene condotto attraverso la costruzioni di connessioni logiche le quali, confluendo via via, portano all’elaborazione di un albero (al contrario), che viene chiamato, appunto, “albero di guasto” (Fault Tree per riprendere la terminologia anglosassone).

La forma è più o meno quella che si vede nella figura seguente (Fault Tree del disastro del 16 marzo 1978 che coinvolse la petroliera Amoco Cadiz. Si noti come, qualitativamente, un’anomalia banale (rottura di tubazione), posta alla base dello schema, ebbe la possibilità di propagarsi progressivamente fino al TOP EVENT a causa dell’esclusiva presenza di porte OR, bypassando tutti i sistemi di sicurezza e rendendo, così, la nave ingovernabile).

Visivamente, lo schema, ricorda le radici più che la chioma di un albero. Sarebbe più corretto, quindi, chiamare la metodologia “Radici dell’albero di guasto”?

Probabilmente NO perché, se è vero che visivamente la costruzione appare come una chioma messa a testa in giù, la sua costruzione parte dall’evento che si vuole studiare (TOP EVENT) e, via via (in modo deduttivo e cartesiano), vengono individuate prima le cause prossimali e successivamente quelle remote, correlandole tra loro da relazioni logiche ereditate dall’algebra booleana. Si costruiscono e disegnano così i rami dell’albero.

Insomma albero e non radici, ok?

Ce ne sarebbe da dire su questa metodica, sia sul COME dovrebbe essere applicata sia specificandone i LIMITI che possiede (parecchi. Per esempio connessi al fatto che non possediamo -spesso- adeguata affidabilità negli input, non è detto che il tasso sia costante, non si tiene conto della dispersione dei dati ma della sola media(na), possono essere presenti fenomeni “emergenti” che si palesano solo ad incidente avviato e che non vengono per questo computati nell’albero. Senza poi contare le cause di guasto comune, la forte variabilità nella costruzione dell’albero da parte di gruppi di lavoro differenti applicati al medesimo problema, il pressoché assente utilizzo dell’INHIBIT GATE… and so on).

Lo scopo di questo post è tuttavia un altro: una volta determinata la probabilità di accadimento, con cosa la confronto? Qual è, cioè, il limite di probabilità che possiamo ritenere sufficientemente remoto?

La risposta è spesso concorde: 10E-6 eventi/anno.

Una probabilità di accadimento non superiore ad un evento su un milione (all’anno).

Quello che abbiamo ora incontrato è uno dei grandi “dogmi” nelle valutazioni d’affidabilità dei sistemi complessi.

Il dieci alla meno sei.

Qualcuno, un po’ di tempo fa, lo definì “mito” e non riuscì a darsi una compiuta giustificazione dell’adozione così estesa di tale parametro numerico.

Moltissimi tuttavia sono i riferimenti in questo campo e sterminata la letteratura scientifica e tecnica che dettaglia i motivi di questa assunzione.

Ma siamo di fronte ad una macchinetta del caffè virtuale e questo non è un articolo per “Nature”. Eviterei quindi le citazioni.

Io, personalmente, riesco a raffigurarmi questa probabilità facendo il seguente ragionamento (non è mio. L’ho rubato ad un convegno dell’Ing. Edoardo Galatola).

Mediamente:

  • in Italia perdono la vita, per accadimenti di origine naturale (terremoti, alluvioni, ecc.), circa 60-65 persone all’anno;
  • vivono nel nostro paese 65 milioni di persone.

Rapportando il numero di decessi annuo al numero totale di abitanti ecco che spunta il 10E-6 che rappresenta, quindi, la misura della probabilità di decesso, per soli eventi naturali, vivendo nel territorio italiano. Un rischio non eliminabile: vivere in un dato luogo (ok, ci sarebbe da discutere della nostra straordinaria vulnerabilità sismica e idrogeologica ma, insomma, ci siamo capiti).

Esiste peraltro, sempre in termini di quantificazione di rischi con probabilità di accadimento trascurabile, il riferimento autorevole dato da Émile Borel, un matematico e statistico francese vissuto a cavallo tra ‘800 e ‘900. Egli asseriva, nel suo testo “Probabilities and Life[1] del 1962 (originalmente pubblicato in francese nel 1943) che:

  • le probabilità trascurabili su scala umana sono inferiori a 10E-6;
  • le probabilità trascurabili su scala terrestre sono inferiori 10E-15;
  • le probabilità trascurabili su scala cosmica sono inferiori a 10E-50.

In altri termini Borel asseriva, nelle prime pagine del suo piccolo manuale, che una probabilità inferiore a 10E-6 eventi/anno dovrebbe essere trascurata poiché risulterebbe talmente improbabile che, nel corso di una intera vita, non dovremmo avere la possibilità statistica di sperimentarla.

Chiuderei qui.

Per il momento.

Alla prossima!

Marzio

© Marzio Marigo

[1] Il testo di Borel venne poi preso quale riferimento per molte delle affermazioni “Creazioniste” volte a contestare le evidenze portate da Darwin sull’origine delle specie. Lascerei perdere… 😐

__________

Corso sulle novità in tema d’ATEX, le iscrizioni sono aperte (e i posti  disponibili stanno diminuendo): Rischio Atmosfere Esplosive ATEX. Le novità recenti, i metodi e le applicazioni (Bologna, 23/2/2018)

__________

 

Share

Delle domande. E delle Sibille.

Questa volta un “pezzo” filosofico, diciamo così…

In un recente corso al quale ho partecipato il relatore insisteva sul concetto di porsi le domande giuste, cosa con la quale certamente concordo.

Se non ci si pone il giusto quesito difficilmente possiamo giungere a cogliere l’essenza del problema impiantistico.

E non è nemmeno vero che la proposizione delle giuste domande arrivi con un atto deliberato: “Ora mi pongo le domande sul processo dell’azienda X”.

In molti ci hanno tentato, e l’HAZOP ne è la dimostrazione.

Ma non possiamo pensare di risolvere tutto con metodiche adatte alla valutazione di rischio in impianti chimici o in centrali nucleari.

E quindi ci si deve ingegnare.

Nella maggior parte dei casi la domanda giusta è conseguente al processo di sopralluogo nel quale è necessario ascoltare la voce di tutti.

Amministratore delegato, processista, manutenzione, lavoratori, RSPP, RLS, parte sindacale. Tutti, a loro modo, possiedono una personale verità e consentono di illuminare con luce differente una lavorazione, un ciclo o un processo di produzione.

A volte non è sempre possibile ottenere il parere di tutti. A volte si comprende che la cosa non è gradita. Ma ci si prova ugualmente. Qualcuno potrebbe dire che si va alla ricerca degli Invisible Assets postulati da Hiroyuki Itami.

Solo qualcuno, però.

E ci sarà sempre chi cercherà di utilizzare la tua professionalità per farti dire “cose” utili alla sua “parte”. Un parere rimbalzato da fuori è sempre utile alle proprie personali battaglie di posizione.

“Parlare a nuora perché suocera intenda” afferma la solida cultura popolare.

Purtroppo possiedo il vizio di cercare di farmi un’idea autonoma dei problemi e, pur sforzandomi di ascoltare le persone, cerco di crearmi una “narrazione” il più possibile ancorata ai fatti, alle evidenze empiriche, alla letteratura tecnica e alla normativa.

E, per far saltare fuori la domanda giusta, conosco un solo metodo: pensare al problema in ogni momento, in modo “gesuitico” e “ossessivo”. Per un po’. A caldo. Magari nei giorni successivi al sopralluogo. Il silenzio dell’auto nei viaggi di ritorno è straordinariamente utile. E poi lasciare le cose lì a decantare.

La soluzione, spesse volte, emerge da sé, magari attraverso il pensiero laterale. E magari (ancora) in modo improvviso e inaspettato.

La risposta veloce, al telefono, va bene per le cose che conosci bene e che hai già visto.

I nuovi problemi necessitano, invece, di sedimentazione.

E, non so se accade anche ad altri, di problemi nuovi ce ne sono tutti i giorni.

Il relatore e la sua ricerca delle domande, dicevo…

Alla, credo, quarta ripetizione del medesimo concetto non ho trattenuto un: “Ok, le domande. Ma pure le risposte sono importanti! Ad un tecnico, ad un ingegnere, si chiede certamente l’inquadramento del problema. Ma pure una sua ragionevole chiusura. Soluzioni! Ci chiamano per fornire soluzioni. Evitando, possibilmente, aggettivi che richiamino, anche solo lontanamente, l’opportuno, l’adeguato o l’idoneo”.

Insomma, la penso così.

Nell’ambito della sicurezza tecnologica e del lavoro è necessario certamente farsi domande “giuste” e darsi “risposte” meditate.

A volte scomode.

Evitando tuttavia di passare per “Sibille Cumane” nella stesura dei propri report.

Siamo sarti che confezionano vestiti su misura.

Non magazzini all’ingrosso che offrono modelli standard.

Alla prossima!

© Marzio Marigo

Share

Cellulari che innescano esplosioni durante il rifornimento: mito o realtà?

Accade spesso di assistere a filmati drammatici (qui e qui per esempio), raccolti dalle telecamere di sorveglianza installate in impianti distributori di carburante, che identificano nel telefono cellulare l’origine dell’innesco di incendi o esplosioni.

Il telefono cellulare è certamente una potenziale sorgente di accensione ma solo in certi ambiti e solo con certe sostanze.

Un documento del PEI (Petroleum Equipment Istitute USA), aggiornato al 22/3/2017, ha approfondito i casi di 176 incidenti avvenuti durante il rifornimento in diverse stazioni di servizio USA e non ha trovato alcuna evidenza del coinvolgimento di telefoni cellulari nell’innesco di incendi. In esso si specifica che: “So far we have been unable to document any incidents that were sparked by a cellular telephone” cioè “Finora non siamo stati in grado di documentare eventuali incidenti innescati da un telefono cellulare”.

Sembra abbastanza esplicita come affermazione, non trovate?

Certo, l’assenza di prove di coinvolgimento non è certamente la prova dell’assenza di coinvolgimento ma, in questo caso, esiste un grande colpevole che spesso si dilegua e la fa franca: l’elettricità statica.

La causa dei flashfire che si vedono nei molti video su youtube è dunque l’innesco elettrostatico dovuto:

  • al contatto tra due conduttori a differente potenziale (mano della persona e pistola di erogazione) in presenza di una nube di vapori di benzina con una concentrazione interna al campo di infiammabilità (LFL-UFL);
  • all’autoinnesco della benzina la quale, caricandosi elettrostaticamente a causa dell’elevata resistività (vedi CLC/TR 60079-32-1 o NFPA 77), in assenza di riempimento a sorgente (es. serbatoio di motociclette), può dar luogo ad innesco della nube ATEX con conseguente esplosione.

Ci siamo quindi?

Una volta usciti dall’automobile stiamo all’aperto fino a che il rifornimento è terminato. Se rientriamo in auto, infatti, lo strofinio tra gli abiti e il tessuto del sedile ci può caricare elettrostaticamente, soprattutto in presenza di giornate con poca umidità atmosferica. Si creerà, quindi, una sorta di condensatore del quale noi diventiamo un’armatura. In conseguenza di questo, una volta riscesi dall’auto se ci avviciniamo troppo ad un altro conduttore con differente potenziale, che potrebbe essere l’erogatore di benzina, si romperà l’isolamento del dielettrico (l’aria), si riequilibreranno le cariche con un sottilissimo filo di plasma elettrico, e la scintilla generata sarà capace di innescare qualsiasi sostanza infiammabile.

Per esempio i vapori di benzina che stanno proprio lì attorno.

Peraltro, in teoria, i rifornimenti self-service non dovrebbero consentire il bloccaggio dell’erogatore in fase di rifornimento proprio per questo problema.

In teoria…

Non siamo ancora del tutto convinti dell’innocenza del cellulare?

Posto allora le prove definitive di quanto affermo… più o meno, diciamo…

La prima: il test condotto dai pazzi di Brainiac. Ne fa le spese una incolpevole roulotte.

La seconda: il test condotto dai due fenomeni di Mythbusters. Anche in questo caso l’evidenza è inequivoca. I cellulari sono innocenti. L’innesco elettrostatico è il vero colpevole.

Alla prossima!

MM

PS – Per tranquillizzarci un po’, per stessa ammissione del PEI, l’adozione di sistemi di recupero dei vapori ha reso trascurabile il fenomeno dell’esplosione durante il rifornimento, prima presente in modo rilevante in USA (in Europa è da molto che il rifornimento con il recupero dei vapori è stato introdotto). Insomma, stiamo tranquilli. Ma non risaliamo in auto durante l’operazione, ok?

Brevi note scientifiche

Sul tema del potenziale di innesco dei telefoni cellulari durante le operazioni di rifornimento l’indagine maggiormente citata è stata effettuata da Glenn Kuriger dell’Università dell’Oklahoma nel 2001. Le evidenze del paper indicano che, nonostante l’energia presente nella batteria di un telefono cellulare possa essere sufficientemente elevata da configurare un rischio di accensione per la benzina, perché l’accadimento abbia luogo sono necessarie condizioni ottimali e anomalie specifiche altamente improbabili da raggiungere. La probabilità di un’esplosione dipende, cioè, da una fonte di ignizione che dovrebbe essere collocata nel posto giusto al momento giusto e capace di fornire la giusta quantità di energia. La loro ricerca indica che tale evento, seppur possibile non appare credibile. Risulta infatti estremamente improbabile e con caratteristiche tali da poter essere trascurato (Kuriger, 2003).

L’EFAA, ad integrazione di quanto detto, nel 1999 conclude che: “(…) the use of a mobile phone at a petrol filling station (…) under normal operating conditions presents a negligible hazard and that the likelihood of such an accident under any conditions is very remote.”

Un altro aspetto particolarmente interessante, approfondito da Burgess nel 2007, è connesso alla “cascata sociale di credenza”, cioè al motivo per il quale, a fronte di una persistente assenza di prova, anche ora si ritenga il telefono cellulare un pericolo reale durante il rifornimento alla stazione di servizio. L’autore identifica almeno due fattori concomitanti e catalizzanti l’un l’altro. Il primo è legato al regime precauzionale con il quale le compagnie petrolifere britanniche hanno imposto la restrizione d’uso dei dispositivi mobili sui piazzali delle stazioni di servizio che ha avuto l’effetto di confermare il pericolo. I segnali di avvertimento nei manuali dei telefoni cellulari hanno poi indotto un effetto simile conducendo ad ulteriori limitazioni alle stazioni di rifornimento.

Insomma dietro al problema dell’effetto fantasma del telefono cellulare non ci sono solo ragioni tecniche, ma anche cognitive, di percezione del rischio e sociali.

Bibliografia minima

Burgess, A. (2007). Real and phantom risks at the petrol station: The curious case of mobile phones, fires and body static. Health, risk & society, 9(1), 53-66

EFAA (1999) Mobile Phone Usage at Petrol Stations (Menlo Park, CA: Exponent Failure Analysis Associates)

Kuriger, G. (2003) Potential for a mobile phone battery to act as a source of ignition.  In  Technical  Seminar Proceedings (London: Institute of  Petroleum), pp.  23 – 28

© Marzio Marigo

Share

Maslow, motivazione e rischio

Spesse volte accade che nei corsi in tema di sicurezza sul lavoro intervengano psicologi per due motivi principali.

Il primo: lo stress lavoro correlato. Non entro nemmeno nell’argomento. Si è detto, sul tema, tutto e il suo contrario. E non ho nemmeno una posizione chiara in merito.

Il secondo: le motivazioni umane ed organizzative alla sicurezza, spesse volte nell’ambito di corsi inerenti i sistemi di gestione della sicurezza sul lavoro (SGSL). E cosa c’è di immancabile nella cassetta degli attrezzi che ci si porta a casa dopo un corso di questo tipo? Ovviamente la piramide di Maslow con la quale si fornisce la mappa delle motivazioni al comportamento umano, singolo e/o organizzato, in tema di sicurezza.

Abraham Maslow fu uno psicologo umanista statunitense e le sue teorie ebbero grandissimo successo nell’America anni ’60. Spiegavano (spiegano) in modo semplice e comprensibile uno dei problemi da secoli oggetto di dibattito: cosa c’è dietro la motivazione umana? Peraltro è abbastanza recente la pubblicazione in lingua italiana del saggio che compendia complessivamente la sua teoria: Motivazione e personalità.

Maslow, in estrema sintesi, crea una gerarchia piramidale tra i bisogni umani e postula che, per avvertire la necessità del soddisfacimento dei bisogni apicali della piramide, sia prima necessario appagare le esigenze poste alla base della medesima. Detto in termini un po’ prosaici: prima mangio, poi mi copro e solo allora posso pensare di elaborare la parafrasi sensata di una terzina di Dante.

Così dovrebbe avvenire nella vita sociale, così dovrebbe avvenire negli ambiti lavorativi, così (ancora) dovrebbe accadere nell’ambito della sicurezza sul lavoro.

Ovviamente, come è bene comprensibile, la teoria di Maslow, proprio perché riconduce un problema enorme e complesso ad una narrazione semplice ed immediatamente comprensibile, non può essere corretta. Non a caso è stata nel corso degli anni variamente criticata senza mai giungere, tuttavia, ad una sua completa falsificazione. D’altronde si discute di psicologia e non di fisica quantistica.

Quello che personalmente a me (meccanico di provincia) non torna, sono le seguenti cose tre cosine:

  1. Non credo risponda al vero una scala dei bisogni costante per ogni epoca sociale, economica e di vissuto personale. In fase di crisi e/o incertezza si ha minore tendenza all’apertura, alla volontà di autoaffermazione, rispetto a periodi espansivi. Laura Carstensen, una docente di Stanford, a questo proposito, condusse una ricerca ad Hong Kong prima, durante e dopo il passaggio del controllo politico dalla Gran Bretagna alla Cina. I comportamenti sociali tipici della parte alta della piramide di Maslow, presenti durante in controllo inglese, si abbassarono di livello durante le fasi di incertezza, per poi ripristinarsi quando si comprese che, tutto sommato, la Cina decise di lasciare immutate le dinamiche economiche esistenti.
  2. Il comportamento dei ragazzi è molto spostato verso la parte alta della piramide, a dispetto soprattutto dei bisogni di sicurezza e stabilità. La tendenza al rischio volto al raggiungimento di una propria personale affermazione contrasta non poco con i postulati espressi da Maslow. E non discuto solo di sicurezza sul lavoro, ovviamente.
  3. Per converso, i tipici comportamenti dell’età adulta appaiono molto meno espansivi in termini di socialità e apertura alla novità ricercando molto di più sicurezza sia nelle relazioni sociali come nel rapporto e nelle condizioni di lavoro. In questo ambito, probabilmente, la piramide di Maslow fornisce previsioni più credibili.

Insomma, non diamo per scontato che tutte le “mappe” che ci vengono fornite siano affidabili. Utilizzare le teorie di Maslow per spiegare gli andamenti infortunistici in azienda o per cercare di motivare alla sicurezza il comportamento singolo o dell’intera organizzazione, come ho purtroppo visto fare, potrebbe essere non solo semplicemente inutile.

Ma addirittura controproducente.

PS – No, non nutro particolare acredine verso la specifica forma geometrica.

© Marzio Marigo

Share

L’Elisabetta Montanari, trent’anni fa

Probabilmente l’evento accaduto il 13 marzo 1987 (esattamente trent’anni fa, oggi) all’interno della motonave “Elisabetta Montanari”, in manutenzione presso il bacino di carenaggio della società MECNAVI di Ravenna, costituisce il più doloroso incidente sul lavoro della storia italiana degli ultimi 70 anni.

All’epoca dei fatti ero uno studente di scuola media superiore, lontano ancora anni luce dal mio attuale impegno/lavoro nell’ambito della sicurezza. Molto tempo dopo, approfondendo il caso, scoprii, tra i tredici deceduti nell’inferno di Ravenna, tre miei coetanei:

  • Marco Gaudenzi di 18 anni;
  • Gianni Cortini di 19 anni e al suo primo giorno di lavoro;
  • Alessandro Centioni di 21 anni.

Tale sottile filo mi ha sempre fatto ritenere ancor più catastrofico e psicologicamente traumatico questo enorme accadimento incidentale.

Di seguito riporto il sunto del verbale della Commissione istituita dall’ISPESL su incarico del Ministro della Sanità all’indomani dell’incidente.

“(…) L’infortunio plurimo mortale in cui hanno perso la vita 13 lavoratori si è verificato a bordo della nave «Elisabetta Montanari», ferma nel bacino di carenaggio della società MECNAVI, nel porto di Ravenna, per lavori di manutenzione – regolarmente autorizzati dalla Capitaneria di porto – che si stavano svolgendo e che erano stati dati in appalto dalla società armatrice della nave alla MECNAVI, la quale, a sua volta, li aveva subappaltati ad altre quattro imprese. E i lavoratori impiegati nell’attività dipendevano da tutte le predette imprese. La nave “Elisabetta Montanari”, adibita al trasporto di gas di petrolio liquefatto (GPL), era stata portata presso il cantiere MECNAVI di Ravenna per la periodica revisione così come previsto dal RINA (Registro Italiano Navale). I tecnici del RINA avevano constatato che alcune lamiere del doppiofondo della nave (sia del cielo sia del fondo) presentavano un avanzato stato di corrosione con riduzione dello spessore al di sotto dei valori consentiti. In conseguenza di ciò ne prescrivevano la rimozione e la sostituzione con lamiere nuove. Tali operazioni vengono eseguite mediante taglio ossiacetilenico delle lamiere usurate e successiva sostituzione con le nuove mediante saldatura ad arco con elettrodi rivestiti. Si precisa che il doppiofondo della nave, che presenta una altezza massima di 90 centimetri, è suddiviso da paratie sia in senso longitudinale che trasversale, così che ne risulta una serie di comparti stagni dove vengono alloggiati in successione alternata: il combustibile, necessario alla propulsione della nave, e l’acqua di zavorra. Ne consegue che, prima del taglio delle lamiere usurate e della saldatura delle nuove, i comparti destinati al contenimento della nafta devono essere bonificati al fine di eliminare il materiale infiammabile: nafta liquida residua, residui semisolidi accumulati per sedimentazione sul fondo del serbatoio e infine i vapori di ristagno. Nel cantiere in esame, come peraltro avviene abitualmente, le varie fasi di bonifica dei serbatoi del combustibile del sottofondo possono schematizzarsi come segue:

  • aspirazione mediante pompe della nafta liquida fino al limite del pescaggio che, di norma, arriva a 20 centimetri dal fondo;
  • recupero manuale del liquido residuo mediante secchi che vengono passati a mano lungo tutto il comparto fino al passo d’uomo che mette in comunicazione il doppiofondo con la stiva sovrastante e da qui portato quindi all’esterno della nave;
  • rimozione mediante stracci e raschietti del residuo semisolido aderente al fondo e allontanamento dello stesso secondo le modalità operative già viste;
  • bonifica dei serbatoi mediante ventila-zione al fine di eliminare i vapori residui.

Per quanto riguarda la fase di recupero manuale questa viene effettuata da una squadra di operai che si cala all’interno del doppiofondo raggiungendo carponi le varie zone del comparto serbatoio.

Va precisato che i comparti del doppiofondo della nave sono attraversati dalle strutture che costituiscono le costole della nave (“ordinate”) dalle centine e, nel caso specifico, dalle selle dei serbatoi GPL. Tali strutture sono superabili soltanto in alcuni punti attraverso passi d’uomo di dimensioni ridotte (40×50 centimetri), sicché l’ambiente può essere paragonato ad un dedalo di cunicoli schiacciati, distribuiti a nido d’ape, che consentono soltanto movimenti lenti, contratti, con procedura carponi, di estrema difficoltà anche per personale esperto.

Va precisato, altresì, che ogni comparto del doppiofondo della nave è in comunicazione con la sovrastante stiva solo a mezzo di un unico passo d’uomo di 40 centimetri di diametro. Attraverso lo stesso passo d’uomo viene fatto passare, durante le operazioni, il tubo per la ventilazione dell’ambiente con aria fresca.

Nel caso specifico della nave “Elisabetta Montanari”, la stiva è occupata da quattro serbatoi per il trasporto del GPL.

Tali serbatoi risultano rivestiti da uno strato di materiale coibentante costituito da cinque centimetri di schiuma poliuretanica rigida protetta all’esterno da una guaina di tela in tessuto di lana di vetro catramato.

La dislocazione dei serbatoi fa sì che la stiva presenta una serie di ostacoli “costole e selle dei serbatoi”, che rende il movimento all’interno estremamente disagevole, in particolare per quanto si riferisce al percorso che va dall’uscita del passo d’uomo del sottofondo alla scaletta che porta alla passerella della stessa stiva, percorso che dovevano compiere gli operai che entravano e uscivano dal doppiofondo.

La ricostruzione dei fatti connessi con l’incidente, formulata sulla base di quanto dichiarato dai Vigili del fuoco e dai responsabili del Cantiere, nonché di quanto evidenziato all’atto del sopralluogo, fa ritenere la seguente dinamica: all’atto dell’incidente lavoravano nel cantiere circa 40 operai, la maggior parte dei quali facenti parte di quattro ditte appaltatrici. Alcuni operai lavorano all’esterno della nave, altri all’interno, nella stiva e nel doppiofondo. In particolare tra quelli che lavoravano all’interno, alcuni procedevano alla pulizia di un comparto del doppio fondo, altri invece lavoravano nella sovrastante stiva procedendo al taglio delle lamiere del “cielo” del doppiofondo di un comparto. L’uso della fiamma ossiacetilenica per l’effettuazione di tali operazioni era stato autorizzato dalla Capitaneria di Porto, per quanto di competenza, previo controllo mediante esplosimetro di assenza di miscele esplosive e/o infiammabili.

Durante il taglio delle lamiere si è sviluppato l’incendio che ha coinvolto la guaina in tela catramata di protezione, dello strato coibentante, in poliuretano espanso, avvolto intorno ai serbatoi del trasporto di GPL (vuoti durante la manutenzione della nave). È da evidenziare che la parete del serbatoio coibentato dista appena 20 cm. dalla zona dove venivano eseguite le operazioni di taglio.

L’incendio della guaina catramosa ha portato allo sviluppo di prodotti di combustione del catrame (gas e fumi) che hanno invaso l’area della stiva e, contemporaneamente, ha alimentato la lenta combustione della schiuma poliuretanica che, a sua volta, ha portato, per fenomeni di termodegradazione, alla emissione di prodotti venefici quali: ossido di carbonio, isocianati, acido cianidrico, amine alifatiche nonché prodotti volatili di parziale combustione del materiale. L’insieme di tali fenomeni ha reso l’atmosfera irrespirabile e satura di prodotti tossici.

In queste condizioni gli operai che erano nel doppiofondo e nella stiva sono morti per asfissia e/o intossicazione dovute ad inalazioni di prodotti tossici così come rilevato dalla perizia medico-legale mentre gli operai addetti al taglio delle lamiere, ad eccezione di uno, hanno trovato scampo attraverso l’apertura praticata sul fondo della nave per facilitare l’accesso alla zona di lavoro.

Sulla base della dinamica dei fatti appare pertanto evidente una serie di assurde carenze di organizzazione e di misure di sicurezza che trovano riscontro nell’assoluta mancanza di previsione di incidenti in un luogo di lavoro dove invece ne esistevano i presupposti ed esisteva la certezza che, in caso di incidente, le conseguenze sarebbero state letali. Ciò sia in considerazione della struttura dell’ambiente di lavoro sia delle modalità operative seguite.

A tale riguardo si possono trarre una serie di considerazioni. Esistono tecnologie in grado di disincrostare e pulire i luoghi confinati mediante liquidi speciali che permettono di evitare l’opera dell’uomo in luoghi di lavoro non concepiti per attività umana. Nel caso che ciò fosse inapplicabile al caso in esame, sarebbero stati necessari una serie di interventi prevenzionistici atti a garantire la salvaguardia di chi operava all’interno della nave sia nel doppiofondo che nella stiva. Sarebbero stati da prevedere piani di lavoro che evitassero la contemporaneità di operazioni rischiose compromettenti la sicurezza delle varie squadre operanti nei diversi punti, assistenza diretta e continua dall’esterno a chi operava nel doppiofondo, vista la estrema difficoltà di movimento esistente all’interno della nave, disponibilità infine di sistemi antincendi e di mezzi personali di protezione (…)”

Il 13 marzo 1987 ebbe luogo, in Italia, una tragedia sul lavoro che non DEVE ESSERE SCORDATA. Chi dimentica i propri errori e/o non impara da questi è destinato, prima o poi, inevitabilmente a ripeterli.

© Marzio Marigo

Share

Del colloquio di lavoro e di un incidente nucleare

Sei rimasto a casa dal lavoro perché devi sostenere, questa mattina, un importante colloquio presso una grande società di ingegneria che ha gli uffici posti in prossimità del centro della città. Tua moglie è già uscita di casa ma ti ha lasciato la caffettiera sul fornello per velocizzare il tuo, sempre problematico, risveglio. L’ha già riempita di caffè ben tostato ma si è, purtroppo, dimenticata dell’acqua. Accendi il gas e, dopo un po’, avverti un odore di gomma bruciata. La guarnizione è danneggiata e la valvola di sicurezza della parte inferiore della caffettiera irrimediabilmente rotta. Dato che non è proprio pensabile che tu possa sostenere un colloquio di lavoro senza la tua dose di caffeina quotidiana, rovisti nell’armadio della cucina fino a quando ritrovi una vecchia moka.

La tua salvezza.

La riempi d’acqua, premi per bene il caffè sopra, e aspetti il gorgoglio familiare, guardando con una certa apprensione l’orologio posto sul tavolo.

Bevi il caffè in velocità.

Ora sei pronto per l’importante impegno che ti attende.

Ti precipiti fuori dalla porta ma, quando arrivi all’auto, ti accorgi di aver lasciato sia le chiavi dell’automobile, sia quelle di casa… dentro casa.

Maledizione.

Ok, niente panico, sei previdente, in fondo conservi sempre una seconda chiave di casa in un luogo segreto che conosci solo tu (questa, di fatto, rappresenta una misura di sicurezza ridondante, spieghi sempre nei tuoi corsi). Fai mente locale, ti appresti a risalire le scale ma un pensiero sconfortante ti assale. Hai prestato la “chiave di emergenza” ad un tuo amico che avrebbe dovuto restituirti dei libri ma non sapeva quando sarebbe passato di là (ha cambiato di recente città, infatti).

Tu e tua moglie non siete quasi mai in casa (troppo lavoro, troppi impegni, troppi casini) e il tuo amico avrebbe potuto restituire il prezioso ed introvabile manuale di sicurezza industriale solo in questo modo.

Insomma, gli eventi che non ti consentono di utilizzare né la chiave normale né quella di emergenza sono stati generati da una unica causa comune: te stesso. Tecnicamente sei una “Common Cause Failure”, CCF, diresti proprio tu nei tuoi corsi.

Si sta facendo tardi, ma c’è sempre l’auto del tuo vicino. Un signore in pensione che usa la macchina una volta al mese e la mantiene in buona efficienza.

Bussi alla sua porta.

Ti apre e ti guarda come se fosse sveglio da ore, ormai.

Racconti brevemente quanto ti è accaduto.

Lui gentilmente ti risponde che si, presterebbe la propria auto ad un “giovanotto” come te, ma la sua gloriosa FIAT ha l’alternatore guasto, l’elettrauto se l’è portato via la scorsa settimana e, proprio oggi pomeriggio, viene a rimontarlo.

“Cavolo”, pensi, “un altro sistema di backup non ha funzionato”. Peraltro questo, a differenza dell’altro, senza alcuna causa comune alla radice. Tu e l’alternatore dell’auto del tuo vicino di casa non siete in relazione né diretta, né indiretta.

Sconsolato, ormai, ti rassegni a prendere l’autobus ma… c’è un “ma” anche questa volta. Il tuo vicino (diavolo di un vicino!) ti informa che c’è uno sciopero generale dei bus proprio oggi. In effetti, facendo mente locale, ricordi di aver sentito alla radio che c’era un’agitazione in atto da tempo. Gli autisti si rifiutano di guidare dei mezzi che sono, a loro dire, non sicuri. Questa protesta, inoltre, porta con sé anche una rivendicazione salariale.

Avverti un sottile fremito alla bocca dello stomaco e telefonando alla stazione dei taxi, ti rendi conto che non ce n’è nessuno disponibile. Lo sciopero dei bus ha generato la penuria di taxi. Comprendi immediatamente che questi eventi sono, tra loro, strettamente connessi. Fortemente accoppiati, direbbe il professor Charles Perrow, lo scienziato sociale che postulò, negli anni ’80, la “normalità” nell’accadimento degli incidenti industriali (Normal Accident Theory, NAT).

Non ti resta altro da fare che chiamare mestamente la segretaria della società di ingegneria che ti aveva contattato la scorsa settimana e, sconsolato, cerchi di spiegare cosa ti è capitato. La signora Blücher, Frau Blücher (si, come quella dei cavalli di “Frankenstein Junior”. In fondo la società che ti ha chiamato è tedesca) ti ascolta in silenzio e risponde che “si, è un po’ strano. Ne prenderò nota e trasmetterò l’informazione. La contatteremo di nuovo noi, non si preoccupi”.

Nel file del tuo profilo, tra le annotazioni, scriverà: “Persona inaffidabile”.

Chiediamoci ora: Qual è stata la causa principale di questo “incidente”? Perché, cioè, hai perso l’opportunità di un nuovo lavoro?

1) Errore umano (es. dimenticarsi l’acqua del caffè, dare le chiavi di emergenza al proprio amico)?

2) Guasto meccanico (es. alternatore dell’auto)?

3) Ambiente (es. sciopero dei bus e taxi introvabili)?

4) Errore di progettazione del sistema (es. possibilità di rimanere chiusi fuori casa, impossibilità di sopperire allo sciopero dei taxi)?

5) Procedure utilizzate (es. lasciare il caffè sul fornello, ecc.)?

Hai risposto?

Rivelo ora un segreto: questo racconto è, in metafora, quanto realmente accaduto, nel 1979, nel corso del disastro nucleare di Three Mile Island, il primo grande incidente con fusione del nocciolo della storia della generazione elettronucleare moderna.

Dunque, se hai risposto “SI” alla prima domanda ti sei orientato come i periti della Commissione Presidenziale incaricata di accertare le responsabilità.

Se invece hai risposto “SI” alla seconda domanda hai giudicato le responsabilità come i gestori dell’impianto nucleare, la Metropolitan Edison.

Se, infine, hai detto “SI” alla quarta domanda, hai avuto la medesima idea dei tecnici dell’Essex Corporation incaricata dall’NRC (Nuclear Regulatory Commission) di far luce sull’incidente.

Secondo Charles Perrow, invece, la migliore risposta da dare è “Nessuna delle precedenti”.

La causa dell’incidente è semplicemente data dalla complessità del sistema che possiede forte interattività e accoppiamento tra le variabili in gioco. In queste situazioni un incidente è “normale”.

Tornerò in futuro su questa interessante teoria.

Liberamente tradotto ed adattato da: Perrow C., Normal Accidents: Living with High-Risk Technologies, Princeton University Press (USA), 1999

© Marzio Marigo

Share

Piramide di Heinrich: fantasia o realtà?

Per ogni problema complesso c’è sempre una soluzione semplice. E sbagliata
George Bernard Shaw

Uno tra i paradigmi del moderno approccio alla sicurezza sul lavoro è costituito dalla cosiddetta “Piramide di Heinrich”. In questa rappresentazione grafica, nata nell’ormai lontanissimo 1931, ed inclusa nell’opera “Industrial Accident Prevention”, più volte ripubblicata e rimaneggiata nel corso degli anni (fino alla quinta edizione del 1980), Herbert William Heinrich, passando al setaccio oltre 50.000 accadimenti incidentali presenti all’epoca nel database dell’istituto assicurativo “Traveler Company” per il quale lavorava, individuò una tendenza nel rapporto tra infortuni gravi, infortuni lievi ed incidenti.

Figura 1 – Prima edizione, datata 1931, del testo di Herbert William Heinrich

In particolare, a fronte di un infortunio maggiore, si evidenziavano 29 infortuni minori e ben 300 incidenti senza infortunio.
Ovviamente le aziende coinvolte in questo studio retrospettivo erano quelle tipiche presenti in USA, e cioè prevalentemente manifatturiere operanti nel periodo storico compreso tra il 1920 e la grande depressione del 1929 (è di quell’anno, infatti, il paper scritto da Heinrich nel quale appariva per la prima volta la serie, che diventerà famosa, 300-29-1).
Insomma, non proprio l’altro ieri, per capirci.
Sia quel che sia, l’elaborazione grafica che ne seguì fu la seguente e assunse, nel corso degli anni, soprattutto a partire dal 1966, uno status quasi “religioso” nella sua inscalfibile interpretazione ortodossa.

Figura 2 – Piramide di Heinrich, nella sua forma classica

Molti studi sono seguiti a quello di Heinrich; cito tra gli altri, a solo titolo esemplificativo, quello (relativamente) più recente, di Bird e Germain del 1985, nel quale si costruiva una “piramide” alternativa, con una categoria aggiuntiva e numeri di incidenza differenti.
Essa, elaborata principalmente da Bird, risulta basata sull’analisi di 1.753.498 incidenti registrati a tutto il 1961 dalla Insurance Company of North America (INA).

 

Figura 3 – Piramide di Bird (Fonte: Bird, Germain, 1985)

Perché è importante in ambito prevenzionistico questa forma di rappresentazione?
Perché, in genere, viene assunta una relazione tra gli atti non sicuri, posti alla base della piramide, e gli infortuni, anche più gravi, posti nelle posizioni più apicali.
Ed è corretta questa interpretazione? Probabilmente no, e cercherò di dimostrarlo, se avrete la pazienza di proseguire nella lettura.
Innanzi tutto partiamo da ciò che ci diceva Heinrich. Egli, purtroppo, cambiò posizione più volte nel corso delle varie edizione del suo manuale. Se nella prima edizione del 1931 la relazione di causalità tra le categorie risultava sostanzialmente inequivoca “the total of 330 accidents all have the same cause” (“il totale dei 330 incidenti hanno tutti la stessa causa”) la cosa veniva via via più sfumata nel corso delle edizioni successive della sua opera.
Sparisce l’affermazione sulla “stessa causa” e si introduce una giustificazione più articolata del rapporto 300-29-1: “From data now available concerning the frequency of potential-injury accidents, it is estimated that in a unit group of 330 accidents of the same kind and involving the same person, 300 result in no injuries, 29 in minor injuries and 1 in a major or lost-time injury” (“Dai dati attualmente disponibili riguardanti la frequenza di incidenti con potenzialità di causare infortuni, si stima che in un gruppo unitario di 330 incidenti dello stesso tipo e che coinvolgano la medesima persona, 300 non causano ferimento alcuno, 29 determinano ferite lievi e 1 produce un infortunio maggiore o una perdita di tempo dovuta ad infortunio”).
Quei 330 incidenti vengono quindi posti in capo ad un’unica persona che 10 volte su 11 non si fa nulla, 1 volta su undici si ferisce lievemente e 1 volta su 330 si fa male sul serio.
La conseguenza diretta di simili assunzioni sfocia poi nel presupporre che una lotta finalizzata alla riduzione del lato inferiore della piramide si tradurrà in miglioramenti anche nella parte alta.
Meno incidenti senza conseguenze = Meno incidenti con infortuni gravi.
Da questo all’istituzione di registri di annotazione dei “quasi infortuni” e dei “quasi incidenti” il passo è autenticamente breve. A volte drenando risorse aziendali che potrebbero essere altrimenti utilizzate con maggiore efficienza.

Figura 4 – Riduzione della frequenza degli infortuni gravi a partire dagli incidenti senza conseguenze?

Giunti a questo punto non possiamo più nasconderci dietro ad un dito: esistono almeno due seri problemi metodologici nella costruzione di queste serie di dati nonostante essi appaiano di semplice ed immediata interpretazione.
(Apparentemente) di semplice ed immediata interpretazione.
Sto discutendo in primo luogo dei problemi relativi alla definizione delle categorie e, in secondo luogo, alla relazione causale tra le stesse.
Nella piramide di Heinrich sono presenti eventi “infortunio” ed eventi “incidente”.
Il campo degli infortuni è certamente omogeneo, pur se distinto in eventi “minori” e “maggiori”. Il problema si evidenzia quando includiamo nella rappresentazione dei dati anche gli incidenti. Gli infortuni sono, infatti, “effetto” degli incidenti che, in questa eccezione, sono “cause”.
Peraltro nell’interpretazione data da Bird, si includono pure accadimenti che determinano danneggiamenti (economici) dell’attività. Questo problema, l’inclusione cioè di cause ed effetti nella medesima rappresentazione e comunque di categorie di rischio tra loro non omogenee non sfuggì apparentemente nemmeno ad Heinrich il quale, nel suo primo articolo di due anni antecedente la pubblicazione del suo storico manuale del 1931, dettagliò proprio di cause ed effetti degli incidenti.
Proviamo tuttavia a trascurare questa prima considerazione e spingiamoci oltre venendo alla seconda perplessità in tema di costruzione dei dati.
Chiediamoci: le categorie presenti nella piramide di Heinrich sono tra di loro causalmente correlate?
Detto in altri termini, esiste un filo d’Arianna, una relazione di causalità diretta che collega tra loro i 300 incidenti, i 29 infortuni non gravi e l’unico infortunio grave?
Mi sono persuaso che tale legame non esista, con l’eccezione di un numero selezionato e ristretto di scenari infortunistici.
Posso citare, a supporto della mia “opinione”, casi nei quali il rischio di evento infortunistico è rilevante (caduta d’alto, elettrocuzione, esplosione, accesso a spazi confinati); in queste situazioni NON esiste preavviso, purtroppo.
Alla categoria che NON manifesta un elevato numero di incidenti prima dell’evento infortunistico, appartengono anche buona parte delle aziende di processo nelle quali si confinano grandi energie (acciaierie e stabilimenti chimici su tutti). Se in un processo le energie sfuggono dalle barriere di confinamento ingegneristico (temperatura, pressione, energia cinetica, reazioni fuggitive, ecc) non esiste spesso preavviso.
Purtroppo i recenti casi italiani del Molino Cordero e di Umbria Oli sono lì a testimoniarlo. Come pure la sterminata reportistica nel settore dei grandi rischi (la quale, in Italia, spesso si traduce “solo” in perdite economiche ed impatti ambientali).
Per converso, se valutiamo situazioni manifatturiere nelle quali il rischio infortunistico risulta relativamente basso, perché, per esempio, non c’è necessità di contatto tra operatore e pezzo in lavorazione (es. meccanica di precisione), ci potrà essere una elevata quantità di piccoli infortuni di piccola e media entità che difficilmente sfoceranno nell’evento invalidante o mortale.
Insomma, nella valutazione della potenziale fatalità di un incidente non può essere trascurata la causa che lo ha determinato.
Posso avere una medesima lesione alla mano, una causata da un temperamatite, l’altra generata da una cesoia a ghigliottina. Nel primo caso una riduzione nella frequenza non avrà ripercussioni nell’ambito degli infortuni invalidanti, nel secondo caso probabilmente si.
A supporto del ragionamento che andiamo sviluppando servono però, oltre che l’esperienza personale e il ragionamento analitico/cartesiano, anche delle controprove empiriche che neghino la relazione causale tra le varie categorie presenti nella piramide di Heinrich.
Groeneweg (2006), per esempio, ha analizzato gli indicatori delle performance di sicurezza degli stabilimenti associati all’ “International Oil and Gas Producers Association” nell’intervallo di tempo 1997-2004, contabilizzando un totale di 12,3 miliardi di ore sottoposte a valutazione. Egli ha testato, in particolare, la correlazione tra compagnie per differenti livelli di gravità degli infortuni. Partendo dalle società con le più alte frequenze di incidenti fatali (FAR, Fatal Accident Rate), ha evidenziato quale fosse il tempo complessivamente perso per infortuni, indicizzandolo (LTIF, Lost Time Injury Frequency). Sono state altresì messe a confronto le frequenze di infortunio e i “Near Miss”. Sia nel primo come nel secondo caso non sono state trovate correlazioni statistiche tra i dati.
D’altra parte, l’Institute of Petroleum inglese (2005) ha analizzato le cause di circa 600 incidenti potenziali e 800 incidenti effettivi. L’analisi ha preso in considerazione 31 cause profonde che potrebbero essere alla radice di un incidente. Sorprendentemente si sono palesate sostanziali differenze nelle cause alla base degli incidenti potenziali rispetto a quelli realmente accaduti. Per esempio la classica perdita di tenuta da flangia, tipico scenario preso in causa nella classificazione di zone a rischio di esplosione, rappresenta la seconda più frequente causa di incidente potenziale ma solo la settima causa di incidente reale. In altri termini, una valutazione che si concentrasse sui fattori di rischio prioritari in scenari di incidente “potenziale” rischierebbe di dare valore a variabili che invece sono poco importanti nella genesi di incidenti “reali”.
Questa asimmetria nella valutazione “pre” e “post” incidentale rappresenta, peraltro, uno tra gli elementi più critici nella comunicazione tra gli analisti/valutatori di rischio, che si trovano ad operare PRIMA dell’evento, e gli organi preposti all’accertamento delle responsabilità, che invece arrivano DOPO che l’intera catena incidentale si è sviluppata. Spesse volte l’impressione è che, a valle dell’evento incidentale, la volontà non sia già quella di “scoprirne” la cause, quanto quella di “costruirle” per bene adattarle nel quadro legislativo vigente. Mi fermo qui, ma il discorso potrebbe essere molto lungo.
Un ultimo esempio, per me significativo, dell’assenza di correlazione tra le magnitudo di eventi nella piramide, proviene da fonti assicurative statunitensi le quali indicano, con estrema chiarezza, che gli sforzi volti a ridurre gli infortuni minori non si traducano, se non in minima parte, in riduzione dei grandi eventi infortunistici (Manuele, F. A., 2011). Potrebbe essere questo un ambito di ricerca molto interessante per l’INAIL, peraltro.
Che fare quindi?
Per prima cosa far evolvere, sia a livello formativo sia di competenze gli RSPP e gli specialisti di varia estrazione che operano nella H&S. È necessario, cioè, che lo studio e l’approfondimento delle dinamiche incidentali passi dalla visione semplificata e, forse, a volte ingenua data da Heinrich (=sequenziale lineare) a quella più sofisticata e complessa di tipo sequenziale ramificato, epidemiologico o sistemico.
In altre parole, è necessario comprendere profondamente che il fenomeno infortunistico è SEMPRE complesso e multicausale. Spesso accoppiato a fattori che si manifestano con modalità intermittenti. Piuttosto che covante al di sotto di barriere di sicurezza che, magari, non si ritengono tali ma che invece, nel momento in cui vengono eliminate, determinano la genesi di incidenti impensabili.
Continuiamo a studiare perché gli incidenti ACCADONO. Ma anche perché NON ACCADONO (Hollnagel, 2014).

Figura 5 – Le cose possono andare per il verso giusto. Oppure no (Hollnagel, 2014)

È insomma giunto il momento di lasciarci alle spalle le teorie di Heinrich dell’inizio dello scorso secolo, tra l’altro antecedenti alla seconda rivoluzione industriale (Kalpakjian, Schmid, 2014).
Sia il rapporto 300-29-1 e l’altrettanto “famigerato” 88-10-2 (=Le cause degli incidenti sono attribuite, da Heinrich, ad atti non sicuri di persone, condizioni di non sicurezza meccanica o fisica oppure situazioni inevitabili secondo il rapporto numerico appena indicato).
Le sue teorie fanno ormai parte della nobile storia della sicurezza industriale ma il vederle ancora diffusamente citate nell’ambito di articoli e di corsi di formazione specialistici colpisce.
Parecchio.

Riferimenti

  • Bird, F. E., Germain, G. L. (1985). Practical loss control leadership. Det Norske Veritas (USA)
  • Groeneweg, J. (2006). The future of behaviour management. In: Health and Safety Culture Management for the Oil and Gas Industry, Conference, Amsterdam, The Netherlands
  • Hollnagel, E. (2014). Safety-I and safety–II: the past and future of safety management. Ashgate (UK)
  • Institute of Petroleum (2005). A Framework for the Use of Key Performance Indicators of Major Hazards in Petroleum Refining, Energy Institute, London (UK)
  • Kalpakjian, S., Schmid, S. (2013). Manufacturing, Engineering and Technology (7th Edition). Prentice Hall (USA)
  • Manuele, F. A. (2011). Reviewing Heinrich: Dislodging two myths from the practice of safety. Professional Safety, 56(10), 52
  • Webb, P. (2009). Process safety performance indicators: A contribution to the debate. Safety Science47(4), 502-507

(Post pubblicato originariamente su Postilla.it il 15/2/2016)

© Marzio Marigo

Share

Ma perché devo farlo? Perché proprio io?

Mi rifaccio vivo, dopo qualche tempo di lontananza da postilla.it, proponendo un pezzo leggero.
Un intervento adatto alla fine di agosto, diciamo così.
Posto quindi, un po’ per gioco (e un po’ no), un elenco di affermazioni tipiche, in tema di sicurezza sul lavoro e di sicurezza degli impianti, che probabilmente alcuni tra noi avranno già avuto modo di udire.

Buona lettura.

  • Gli standard industriali del nostro settore non lo richiedono
  • Ma almeno le carte sono in ordine?
  • Il prossimo anno esce la nuova norma: aspettiamo e vediamo cosa dice
  • Operiamo da vent’anni così e non è mai accaduto nulla
  • Perché proprio noi dovremmo essere i leader nell’ambito della sicurezza?
  • Cosa? Lo zucchero esplode?
  • Mi spieghi un po’: a che serve fare manutenzione se gli impianti non si guastano?
  • Si figuri! La formazione la faccio io in un quarto d’ora…
  • I nostri concorrenti non lo fanno
  • Perché l’operatore dovrebbe mai aprire, a macchina in moto, questo carter (non fissato alla macchina)?
  • Lasci perdere i permessi di lavoro. Abbiamo già un POS, non è sufficiente?
  • Il mio lavoro è produrre
  • Noi siamo i leader nel settore nostro settore in tema di sicurezza. Non creda che qui ci siano grandi margini di miglioramento
  • Perché mai dovremmo cambiare il metodo di lavoro senza necessità? In fondo la nuova macchina è uguale all’altra. Solo un po’ più nuova (=25 anni)
  • Se l’esplosimetro indica “zero” il luogo confinato è ovviamente non pericoloso
  • E allora ecco qui le chiavi dell’azienda: faccia un po’ lei
  • Mi spiega a che serve controllare una macchina se è già marcata CE?
  • È talmente evidente: il giudice comprenderà di sicuro
  • La maggior parte degli infortuni si verifica per fatalità
  • Errore associato alla misura? Cioè?
  • Ha un alto punto di infiammabilità: non può certo classificare la zona a rischio di esplosione
  • Si, ok, ha visto le protezioni escluse. Lo facciamo solo per lavorazioni estremamente particolari. Dopo le riattiviamo, non tema
  • Mi dica un po’: quale sarebbe il problema di avere un’istruzione operativa con quindici punti di verifica?
  • Certo che eseguiamo e registriamo gli interventi di manutenzione! Ecco a lei il registro delle verifiche di legge
  • Le reazioni endotermiche, non generando reazioni fuggitive, sono sicure per l’impianto. Lo sanno anche i sassi
  • Ci prende in giro? Un serbatoio d’acqua non può esplodere, che diamine!
  • Per prevenire gli infortuni sul lavoro dobbiamo spendere sempre una marea di quattrini
  • Certo che il coperto è calpestabile. Meglio tuttavia che mi segua, da quella parte flette un po’
  • Non si preoccupi. L’intervento è già in programma. Per il prossimo anno
  • Ma che discorsi… L’efficienza di una valvola di sicurezza è indipendente dalla sua posizione sul reattore!
  • E perché dovrei chiedere le referenze allo specialista? Non è sufficiente il preventivo?
  • Me lo dica ma, per cortesia, non me lo scriva
  • E certo che abbiamo fatto formazione ai dipendenti. Il programma e gli obiettivi, dice? Non saprei, ha deciso tutto la società che ci segue
  • Ritiene siano utili controventi? (di fronte ad un impalcato metallico, sovraccarico di chiller, tubazioni, compressori, ecc. che oscillava, non sollecitato, con pulsazione propria)
  • La dichiarazione di conformità con una data di molto antecedente al progetto al quale fa riferimento? In effetti è un po’ strano…
  • La procedura di lockout e tagout? Guardi, lasci perdere i lucchetti sul quadro, poi perdiamo le chiavi ed è un casino. Un cartello è più che sufficiente
  • Uno scatolato pressopiegato non si può realizzare con le barriere attive
  • Scherza? L’errore dell’operatore è sempre eliminabile con una formazione adeguata
  • Non abbiamo avuto il tempo di discuterne nella scorsa riunione periodica. Lo faremo alla prossima. Il prossimo anno
  • Le chiavi di interblocco delle protezioni inserite sul quadro? Gli operatori sono adeguatamente formati a non utilizzarle

E, ultimo ma non ultimo:

  • a) ciò che conta sono le conclusioni finali della consulenza che le affideremo, non come farà ad ottenerle; b) lei è quindi libero di fare come crede; c) e comunque deve fare così. In altri termini: d) faccia liberamente ciò che le diciamo

Alla prossima!

(Post pubblicato originariamente su Postilla.it il 25/8/2015)

© Marzio Marigo

Share