Piramide di Heinrich: fantasia o realtà?

Per ogni problema complesso c’è sempre una soluzione semplice. E sbagliata
George Bernard Shaw

Uno tra i paradigmi del moderno approccio alla sicurezza sul lavoro è costituito dalla cosiddetta “Piramide di Heinrich”. In questa rappresentazione grafica, nata nell’ormai lontanissimo 1931, ed inclusa nell’opera “Industrial Accident Prevention”, più volte ripubblicata e rimaneggiata nel corso degli anni (fino alla quinta edizione del 1980), Herbert William Heinrich, passando al setaccio oltre 50.000 accadimenti incidentali presenti all’epoca nel database dell’istituto assicurativo “Traveler Company” per il quale lavorava, individuò una tendenza nel rapporto tra infortuni gravi, infortuni lievi ed incidenti.

Figura 1 – Prima edizione, datata 1931, del testo di Herbert William Heinrich

In particolare, a fronte di un infortunio maggiore, si evidenziavano 29 infortuni minori e ben 300 incidenti senza infortunio.
Ovviamente le aziende coinvolte in questo studio retrospettivo erano quelle tipiche presenti in USA, e cioè prevalentemente manifatturiere operanti nel periodo storico compreso tra il 1920 e la grande depressione del 1929 (è di quell’anno, infatti, il paper scritto da Heinrich nel quale appariva per la prima volta la serie, che diventerà famosa, 300-29-1).
Insomma, non proprio l’altro ieri, per capirci.
Sia quel che sia, l’elaborazione grafica che ne seguì fu la seguente e assunse, nel corso degli anni, soprattutto a partire dal 1966, uno status quasi “religioso” nella sua inscalfibile interpretazione ortodossa.

Figura 2 – Piramide di Heinrich, nella sua forma classica

Molti studi sono seguiti a quello di Heinrich; cito tra gli altri, a solo titolo esemplificativo, quello (relativamente) più recente, di Bird e Germain del 1985, nel quale si costruiva una “piramide” alternativa, con una categoria aggiuntiva e numeri di incidenza differenti.
Essa, elaborata principalmente da Bird, risulta basata sull’analisi di 1.753.498 incidenti registrati a tutto il 1961 dalla Insurance Company of North America (INA).

 

Figura 3 – Piramide di Bird (Fonte: Bird, Germain, 1985)

Perché è importante in ambito prevenzionistico questa forma di rappresentazione?
Perché, in genere, viene assunta una relazione tra gli atti non sicuri, posti alla base della piramide, e gli infortuni, anche più gravi, posti nelle posizioni più apicali.
Ed è corretta questa interpretazione? Probabilmente no, e cercherò di dimostrarlo, se avrete la pazienza di proseguire nella lettura.
Innanzi tutto partiamo da ciò che ci diceva Heinrich. Egli, purtroppo, cambiò posizione più volte nel corso delle varie edizione del suo manuale. Se nella prima edizione del 1931 la relazione di causalità tra le categorie risultava sostanzialmente inequivoca “the total of 330 accidents all have the same cause” (“il totale dei 330 incidenti hanno tutti la stessa causa”) la cosa veniva via via più sfumata nel corso delle edizioni successive della sua opera.
Sparisce l’affermazione sulla “stessa causa” e si introduce una giustificazione più articolata del rapporto 300-29-1: “From data now available concerning the frequency of potential-injury accidents, it is estimated that in a unit group of 330 accidents of the same kind and involving the same person, 300 result in no injuries, 29 in minor injuries and 1 in a major or lost-time injury” (“Dai dati attualmente disponibili riguardanti la frequenza di incidenti con potenzialità di causare infortuni, si stima che in un gruppo unitario di 330 incidenti dello stesso tipo e che coinvolgano la medesima persona, 300 non causano ferimento alcuno, 29 determinano ferite lievi e 1 produce un infortunio maggiore o una perdita di tempo dovuta ad infortunio”).
Quei 330 incidenti vengono quindi posti in capo ad un’unica persona che 10 volte su 11 non si fa nulla, 1 volta su undici si ferisce lievemente e 1 volta su 330 si fa male sul serio.
La conseguenza diretta di simili assunzioni sfocia poi nel presupporre che una lotta finalizzata alla riduzione del lato inferiore della piramide si tradurrà in miglioramenti anche nella parte alta.
Meno incidenti senza conseguenze = Meno incidenti con infortuni gravi.
Da questo all’istituzione di registri di annotazione dei “quasi infortuni” e dei “quasi incidenti” il passo è autenticamente breve. A volte drenando risorse aziendali che potrebbero essere altrimenti utilizzate con maggiore efficienza.

Figura 4 – Riduzione della frequenza degli infortuni gravi a partire dagli incidenti senza conseguenze?

Giunti a questo punto non possiamo più nasconderci dietro ad un dito: esistono almeno due seri problemi metodologici nella costruzione di queste serie di dati nonostante essi appaiano di semplice ed immediata interpretazione.
(Apparentemente) di semplice ed immediata interpretazione.
Sto discutendo in primo luogo dei problemi relativi alla definizione delle categorie e, in secondo luogo, alla relazione causale tra le stesse.
Nella piramide di Heinrich sono presenti eventi “infortunio” ed eventi “incidente”.
Il campo degli infortuni è certamente omogeneo, pur se distinto in eventi “minori” e “maggiori”. Il problema si evidenzia quando includiamo nella rappresentazione dei dati anche gli incidenti. Gli infortuni sono, infatti, “effetto” degli incidenti che, in questa eccezione, sono “cause”.
Peraltro nell’interpretazione data da Bird, si includono pure accadimenti che determinano danneggiamenti (economici) dell’attività. Questo problema, l’inclusione cioè di cause ed effetti nella medesima rappresentazione e comunque di categorie di rischio tra loro non omogenee non sfuggì apparentemente nemmeno ad Heinrich il quale, nel suo primo articolo di due anni antecedente la pubblicazione del suo storico manuale del 1931, dettagliò proprio di cause ed effetti degli incidenti.
Proviamo tuttavia a trascurare questa prima considerazione e spingiamoci oltre venendo alla seconda perplessità in tema di costruzione dei dati.
Chiediamoci: le categorie presenti nella piramide di Heinrich sono tra di loro causalmente correlate?
Detto in altri termini, esiste un filo d’Arianna, una relazione di causalità diretta che collega tra loro i 300 incidenti, i 29 infortuni non gravi e l’unico infortunio grave?
Mi sono persuaso che tale legame non esista, con l’eccezione di un numero selezionato e ristretto di scenari infortunistici.
Posso citare, a supporto della mia “opinione”, casi nei quali il rischio di evento infortunistico è rilevante (caduta d’alto, elettrocuzione, esplosione, accesso a spazi confinati); in queste situazioni NON esiste preavviso, purtroppo.
Alla categoria che NON manifesta un elevato numero di incidenti prima dell’evento infortunistico, appartengono anche buona parte delle aziende di processo nelle quali si confinano grandi energie (acciaierie e stabilimenti chimici su tutti). Se in un processo le energie sfuggono dalle barriere di confinamento ingegneristico (temperatura, pressione, energia cinetica, reazioni fuggitive, ecc) non esiste spesso preavviso.
Purtroppo i recenti casi italiani del Molino Cordero e di Umbria Oli sono lì a testimoniarlo. Come pure la sterminata reportistica nel settore dei grandi rischi (la quale, in Italia, spesso si traduce “solo” in perdite economiche ed impatti ambientali).
Per converso, se valutiamo situazioni manifatturiere nelle quali il rischio infortunistico risulta relativamente basso, perché, per esempio, non c’è necessità di contatto tra operatore e pezzo in lavorazione (es. meccanica di precisione), ci potrà essere una elevata quantità di piccoli infortuni di piccola e media entità che difficilmente sfoceranno nell’evento invalidante o mortale.
Insomma, nella valutazione della potenziale fatalità di un incidente non può essere trascurata la causa che lo ha determinato.
Posso avere una medesima lesione alla mano, una causata da un temperamatite, l’altra generata da una cesoia a ghigliottina. Nel primo caso una riduzione nella frequenza non avrà ripercussioni nell’ambito degli infortuni invalidanti, nel secondo caso probabilmente si.
A supporto del ragionamento che andiamo sviluppando servono però, oltre che l’esperienza personale e il ragionamento analitico/cartesiano, anche delle controprove empiriche che neghino la relazione causale tra le varie categorie presenti nella piramide di Heinrich.
Groeneweg (2006), per esempio, ha analizzato gli indicatori delle performance di sicurezza degli stabilimenti associati all’ “International Oil and Gas Producers Association” nell’intervallo di tempo 1997-2004, contabilizzando un totale di 12,3 miliardi di ore sottoposte a valutazione. Egli ha testato, in particolare, la correlazione tra compagnie per differenti livelli di gravità degli infortuni. Partendo dalle società con le più alte frequenze di incidenti fatali (FAR, Fatal Accident Rate), ha evidenziato quale fosse il tempo complessivamente perso per infortuni, indicizzandolo (LTIF, Lost Time Injury Frequency). Sono state altresì messe a confronto le frequenze di infortunio e i “Near Miss”. Sia nel primo come nel secondo caso non sono state trovate correlazioni statistiche tra i dati.
D’altra parte, l’Institute of Petroleum inglese (2005) ha analizzato le cause di circa 600 incidenti potenziali e 800 incidenti effettivi. L’analisi ha preso in considerazione 31 cause profonde che potrebbero essere alla radice di un incidente. Sorprendentemente si sono palesate sostanziali differenze nelle cause alla base degli incidenti potenziali rispetto a quelli realmente accaduti. Per esempio la classica perdita di tenuta da flangia, tipico scenario preso in causa nella classificazione di zone a rischio di esplosione, rappresenta la seconda più frequente causa di incidente potenziale ma solo la settima causa di incidente reale. In altri termini, una valutazione che si concentrasse sui fattori di rischio prioritari in scenari di incidente “potenziale” rischierebbe di dare valore a variabili che invece sono poco importanti nella genesi di incidenti “reali”.
Questa asimmetria nella valutazione “pre” e “post” incidentale rappresenta, peraltro, uno tra gli elementi più critici nella comunicazione tra gli analisti/valutatori di rischio, che si trovano ad operare PRIMA dell’evento, e gli organi preposti all’accertamento delle responsabilità, che invece arrivano DOPO che l’intera catena incidentale si è sviluppata. Spesse volte l’impressione è che, a valle dell’evento incidentale, la volontà non sia già quella di “scoprirne” la cause, quanto quella di “costruirle” per bene adattarle nel quadro legislativo vigente. Mi fermo qui, ma il discorso potrebbe essere molto lungo.
Un ultimo esempio, per me significativo, dell’assenza di correlazione tra le magnitudo di eventi nella piramide, proviene da fonti assicurative statunitensi le quali indicano, con estrema chiarezza, che gli sforzi volti a ridurre gli infortuni minori non si traducano, se non in minima parte, in riduzione dei grandi eventi infortunistici (Manuele, F. A., 2011). Potrebbe essere questo un ambito di ricerca molto interessante per l’INAIL, peraltro.
Che fare quindi?
Per prima cosa far evolvere, sia a livello formativo sia di competenze gli RSPP e gli specialisti di varia estrazione che operano nella H&S. È necessario, cioè, che lo studio e l’approfondimento delle dinamiche incidentali passi dalla visione semplificata e, forse, a volte ingenua data da Heinrich (=sequenziale lineare) a quella più sofisticata e complessa di tipo sequenziale ramificato, epidemiologico o sistemico.
In altre parole, è necessario comprendere profondamente che il fenomeno infortunistico è SEMPRE complesso e multicausale. Spesso accoppiato a fattori che si manifestano con modalità intermittenti. Piuttosto che covante al di sotto di barriere di sicurezza che, magari, non si ritengono tali ma che invece, nel momento in cui vengono eliminate, determinano la genesi di incidenti impensabili.
Continuiamo a studiare perché gli incidenti ACCADONO. Ma anche perché NON ACCADONO (Hollnagel, 2014).

Figura 5 – Le cose possono andare per il verso giusto. Oppure no (Hollnagel, 2014)

È insomma giunto il momento di lasciarci alle spalle le teorie di Heinrich dell’inizio dello scorso secolo, tra l’altro antecedenti alla seconda rivoluzione industriale (Kalpakjian, Schmid, 2014).
Sia il rapporto 300-29-1 e l’altrettanto “famigerato” 88-10-2 (=Le cause degli incidenti sono attribuite, da Heinrich, ad atti non sicuri di persone, condizioni di non sicurezza meccanica o fisica oppure situazioni inevitabili secondo il rapporto numerico appena indicato).
Le sue teorie fanno ormai parte della nobile storia della sicurezza industriale ma il vederle ancora diffusamente citate nell’ambito di articoli e di corsi di formazione specialistici colpisce.
Parecchio.

Riferimenti

  • Bird, F. E., Germain, G. L. (1985). Practical loss control leadership. Det Norske Veritas (USA)
  • Groeneweg, J. (2006). The future of behaviour management. In: Health and Safety Culture Management for the Oil and Gas Industry, Conference, Amsterdam, The Netherlands
  • Hollnagel, E. (2014). Safety-I and safety–II: the past and future of safety management. Ashgate (UK)
  • Institute of Petroleum (2005). A Framework for the Use of Key Performance Indicators of Major Hazards in Petroleum Refining, Energy Institute, London (UK)
  • Kalpakjian, S., Schmid, S. (2013). Manufacturing, Engineering and Technology (7th Edition). Prentice Hall (USA)
  • Manuele, F. A. (2011). Reviewing Heinrich: Dislodging two myths from the practice of safety. Professional Safety, 56(10), 52
  • Webb, P. (2009). Process safety performance indicators: A contribution to the debate. Safety Science47(4), 502-507

(Post pubblicato originariamente su Postilla.it il 15/2/2016)

© Marzio Marigo

Share

Ma perché devo farlo? Perché proprio io?

Mi rifaccio vivo, dopo qualche tempo di lontananza da postilla.it, proponendo un pezzo leggero.
Un intervento adatto alla fine di agosto, diciamo così.
Posto quindi, un po’ per gioco (e un po’ no), un elenco di affermazioni tipiche, in tema di sicurezza sul lavoro e di sicurezza degli impianti, che probabilmente alcuni tra noi avranno già avuto modo di udire.

Buona lettura.

  • Gli standard industriali del nostro settore non lo richiedono
  • Ma almeno le carte sono in ordine?
  • Il prossimo anno esce la nuova norma: aspettiamo e vediamo cosa dice
  • Operiamo da vent’anni così e non è mai accaduto nulla
  • Perché proprio noi dovremmo essere i leader nell’ambito della sicurezza?
  • Cosa? Lo zucchero esplode?
  • Mi spieghi un po’: a che serve fare manutenzione se gli impianti non si guastano?
  • Si figuri! La formazione la faccio io in un quarto d’ora…
  • I nostri concorrenti non lo fanno
  • Perché l’operatore dovrebbe mai aprire, a macchina in moto, questo carter (non fissato alla macchina)?
  • Lasci perdere i permessi di lavoro. Abbiamo già un POS, non è sufficiente?
  • Il mio lavoro è produrre
  • Noi siamo i leader nel settore nostro settore in tema di sicurezza. Non creda che qui ci siano grandi margini di miglioramento
  • Perché mai dovremmo cambiare il metodo di lavoro senza necessità? In fondo la nuova macchina è uguale all’altra. Solo un po’ più nuova (=25 anni)
  • Se l’esplosimetro indica “zero” il luogo confinato è ovviamente non pericoloso
  • E allora ecco qui le chiavi dell’azienda: faccia un po’ lei
  • Mi spiega a che serve controllare una macchina se è già marcata CE?
  • È talmente evidente: il giudice comprenderà di sicuro
  • La maggior parte degli infortuni si verifica per fatalità
  • Errore associato alla misura? Cioè?
  • Ha un alto punto di infiammabilità: non può certo classificare la zona a rischio di esplosione
  • Si, ok, ha visto le protezioni escluse. Lo facciamo solo per lavorazioni estremamente particolari. Dopo le riattiviamo, non tema
  • Mi dica un po’: quale sarebbe il problema di avere un’istruzione operativa con quindici punti di verifica?
  • Certo che eseguiamo e registriamo gli interventi di manutenzione! Ecco a lei il registro delle verifiche di legge
  • Le reazioni endotermiche, non generando reazioni fuggitive, sono sicure per l’impianto. Lo sanno anche i sassi
  • Ci prende in giro? Un serbatoio d’acqua non può esplodere, che diamine!
  • Per prevenire gli infortuni sul lavoro dobbiamo spendere sempre una marea di quattrini
  • Certo che il coperto è calpestabile. Meglio tuttavia che mi segua, da quella parte flette un po’
  • Non si preoccupi. L’intervento è già in programma. Per il prossimo anno
  • Ma che discorsi… L’efficienza di una valvola di sicurezza è indipendente dalla sua posizione sul reattore!
  • E perché dovrei chiedere le referenze allo specialista? Non è sufficiente il preventivo?
  • Me lo dica ma, per cortesia, non me lo scriva
  • E certo che abbiamo fatto formazione ai dipendenti. Il programma e gli obiettivi, dice? Non saprei, ha deciso tutto la società che ci segue
  • Ritiene siano utili controventi? (di fronte ad un impalcato metallico, sovraccarico di chiller, tubazioni, compressori, ecc. che oscillava, non sollecitato, con pulsazione propria)
  • La dichiarazione di conformità con una data di molto antecedente al progetto al quale fa riferimento? In effetti è un po’ strano…
  • La procedura di lockout e tagout? Guardi, lasci perdere i lucchetti sul quadro, poi perdiamo le chiavi ed è un casino. Un cartello è più che sufficiente
  • Uno scatolato pressopiegato non si può realizzare con le barriere attive
  • Scherza? L’errore dell’operatore è sempre eliminabile con una formazione adeguata
  • Non abbiamo avuto il tempo di discuterne nella scorsa riunione periodica. Lo faremo alla prossima. Il prossimo anno
  • Le chiavi di interblocco delle protezioni inserite sul quadro? Gli operatori sono adeguatamente formati a non utilizzarle

E, ultimo ma non ultimo:

  • a) ciò che conta sono le conclusioni finali della consulenza che le affideremo, non come farà ad ottenerle; b) lei è quindi libero di fare come crede; c) e comunque deve fare così. In altri termini: d) faccia liberamente ciò che le diciamo

Alla prossima!

(Post pubblicato originariamente su Postilla.it il 25/8/2015)

© Marzio Marigo

Share

La spianata nera di Bhopal

Quella che mi accingo a descrivere è una storia che, sia per la gravità delle conseguenze sanitarie che ha determinato, sia per le ricadute sul tessuto economico e sociale subite dal territorio, può essere assimilata ad un (grave) incidente ad un impianto nucleare.
È il drammatico resoconto di quanto accadde a Bhopal, una raffinata e decadente città dell’India centrale, nel 1984, attorno alla mezzanotte di domenica 2 dicembre.
Esattamente trent’anni fa.
Ripercorriamo, preliminarmente, la storia dell’impianto della Union Carbide Corporation (UCC), allora colosso della chimica mondiale che ora non esiste più: la quota principale di quella società, infatti, risulta oggi sotto il controllo di Dow Chemical.
L’autorizzazione alla costruzione dello stabilimento sulla spianata nera di Bhopal data 4 maggio 1969 e fu emessa dal Ministero dell’Agricoltura indiano. Con essa fu concessa all’UCC statunitense la costruzione di un plant per la produzione di Sevin, un carbammato, potente ed innovativo insetticida sostitutivo del DDT.
Venne autorizzata dal Governo indiano la produzione di cinquemila tonnellate all’anno di questo pesticida a fronte di una richiesta di mercato massima, stimata dall’allora Direttore della divisione dei prodotti agricoli di UCC, Eduardo Munoz, di circa duemila tonnellate all’anno. Quest’ultimo, peraltro, voce isolata nel management di UCC.
Vedremo come codesta prima scelta, 5000 t/a in luogo di 2000 t/a, letta con il senno del poi, pose su solide basi il successivo sviluppo della tragedia. La limitata modulabilità della produzione di un impianto di questo tipo determinò, in presenza di ridotte richieste di mercato, fasi di produzione massiva a fasi di sospensione delle attività dello stabilimento. Introdusse un funzionamento a singhiozzo in un impianto pensato per un ciclo continuo e costante nel tempo.
Come già indicato, lo stabilimento chimico venne costruito in un’area di 60 ettari chiamata spianata nera, uno slum urbano privo di corrente elettrica, acqua sanitaria, fognature e di tutto ciò che rende “abitabile” un qualsiasi quartiere cittadino occidentale.
Tale area risultava posta in prossimità della stazione ferroviaria e della città vecchia di Bhopal.

Figura 1 – Lo stabilimento della Union Carbide Corporation a Bhopal

Inizialmente la costruzione dell’impianto chimico fu percepita, sia dalla politica (nazionale e locale) che dalla popolazione, come una rilevante possibilità di sviluppo del tessuto sociale ed economico della città. Significava, infatti, un impiego sicuro per migliaia di persone in un territorio che possedeva certamente un glorioso passato alle spalle ma che aveva di fronte a sé un futuro incerto e cupo. Una scelta peraltro percepita priva di particolari rischi, stante la dichiarazione del responsabile del progetto di UCC: “uno stabilimento innocuo come una fabbrica di cioccolata”.
In realtà, pur essendo il Sevin granulato, prodotto nello stabilimento di Bhopal, una sostanza fondamentalmente sicura, anche e soprattutto se confrontata con il DDT utilizzato in precedenza come agente pesticida, così non era il processo chimico che portava alla sua sintesi.
La produzione attivata presso il sito di Bhopal era articolata e comprendeva sia la ricezione di intermedi chimici prodotti in altri stabilimenti del gruppo, quali il monossido di carbonio (CO) e la Monometilammina (MMA), sia la sintesi finale “in situ” del Sevin, con produzione degli intermedi necessari (Fosgene, Isocianato di Metile (MIC), MCC e alfa-Naftolo).
Il cuore della chimica del processo di produzione dell’Isocianato di Metile era il seguente (cfr. Figura 2):

Figura 2 – Chimica per l’ottenimento del MIC

La reazione finale tra MIC e alfa-Naftolo sintetizzava, quindi, il Sevin granulare, un prodotto che avrebbe dovuto contribuire alla crescita dell’industria agricola indiana (la cosiddetta “rivoluzione verde”).
Lo stabilimento produceva dunque un tipo di “cioccolata” particolare, soprattutto in relazione alla straordinaria pericolosità dei componenti con i quali si perveniva al prodotto finale:

Tutti potenzialmente letali, sia secondo la classificazione a diamante presente in NFPA 704 (USA) sia rispetto alla nostra normativa UE.
Concentriamoci ora, per un momento, sulle caratteristiche chimico/fisico/biologiche dell’Isocianato di Metile, il MIC, la sostanza cioè che diede origine al disastro.
Il MIC è un liquido trasparente con un punto di ebollizione di 39°C. Possiede una bassa solubilità in acqua ed è relativamente stabile allo stato anidro. È altamente reattivo e, in particolare, può reagire violentemente con l’acqua. La reazione può essere tuttavia inibita dal fosgene. L’esotermia, sempre presente con acqua, si attenua in presenza di temperature di stoccaggio inferiori ai 20°C. Questa diviene tuttavia incontrollabile (runway reaction) se ha luogo a temperature elevate o in miscela con acidi e basi (comprese le ammine). Il MIC può altresì polimerizzare a contatto con il ferro, stagno e rame.
L’Isocianato di Metile è infiammabile possedendo un Flash Point (FP) pari a -18 °C ed un limite inferiore di esplosione (LEL) uguale a circa il 6% in aria.
Risulta biologicamente attivo e altamente tossico; questo fatto è reso evidente dal bassissimo valore del TLV-TWA (=0,02 ppm), molto inferiore a quello della maggior parte delle sostanze utilizzate nella chimica industriale. Pur possedendo una soglia olfattiva molto bassa (odora di cavolo bollito), il TLV-TWA risulta inferiore a tale livello di concentrazione. Essendo la sostanza un potente irritante esso causa lesioni alla pelle, danni irreversibili agli occhi ed edema polmonare se inspirato. Il MIC viene altresì metabolizzato dall’organismo come cianuro. Quest’ultimo, sopprimendo la citocromo ossidasi necessaria per l’ossigenazione delle cellule, induce una letale asfissia cellulare.
Il sistema di stoccaggio del MIC presente nel sito dell’Union Carbide di Bhopal consisteva in tre serbatoi, realizzati in acciaio INOX AISI 304, ciascuno della capacità di circa 57 mc. Due di essi erano destinati al normale ciclo di produzione (cod. nn. 610 e 611) mentre il terzo (cod. n. 619) venne destinato all’emergenza.
Tutti i serbatoi erano dotati di un sistema di refrigerazione termostatato a temperature inferiori a 5°C e ciascun contenimento risultava permanentemente flussato ad azoto. In particolare il gas inerte veniva richiamato in ciascun serbatoio ogni qualvolta si creava la depressione di progetto all’interno di esso. Ogni serbatoio, dotato di pressostato, era altresì protetto da una valvola di sicurezza posta a valle di un disco di rottura; tale sistema garantiva il mantenimento dell’efficienza della valvola di sicurezza dato che quest’ultima non risultava mai a contatto con il prodotto chimico. Tutti i collettori di sfiato erano convogliati in uno scrubber a soda caustica e, successivamente, in una torcia finale per l’abbattimento degli effluenti gassosi residui.

Figura 3 – P&ID del serbatoio n. 610 destinato a contenere il MIC

Pur essendo presenti le indicate misure di protezione poste a presidio dei serbatoi di MIC, esisteva un importante gap tecnologico e di sicurezza tra il sito UCC costruito a Bhopal e l’impianto “gemello” installato ad Institute nel West Virginia (USA).

Tabella 1 – Differenze nell’ingegneria tra gli impianti “gemelli” della Union Carbide in USA e India

Dal confronto emergono differenze sostanziali nell’ingegneria. Particolare attenzione meritano, tra le altre:

  • l’assenza di un controllo di processo computerizzato;
  • la costruzione delle tubazioni di processo in semplice acciaio al carbonio in luogo di acciaio AISI 304;
  • l’assenza di ridondanza nelle torce di stabilimento;
  • lo svolgimento delle operazioni di aggiunta di alfa-Naftolo manuale invece che attraverso tubazioni di processo dedicate;
  • assenza di un piano di emergenza rivolto alla popolazione esterna.

Lo stabilimento entrò in piena produttività il 4 maggio 1980, ad undici anni esatti dalla prima autorizzazione governativa.
Purtroppo la sua produzione non raggiungerà mai i livelli previsti in fase di progetto (=5250 t/a). Il picco massimo venne ottenuto nel 1981, con una produzione di Sevin pari a 2700 t. Nel 1983, a causa di pessime condizioni meteorologiche, che limitarono i raccolti, la quantità sintetizzata scese a 1660 t, troppo poco per mantenere in pieno esercizio uno stabilimento come questo.
Nel 1984, infine, dagli impianti usciranno solo 2000 tonnellate di Sevin che rappresentava, comunque, la maggior parte della produzione di pesticidi a base MIC della Union Carbide Corporation.

Tabella 2 – Produzione annua UCC di pesticidi (1984)

All’inizio dell’avventura UCC a Bhopal il personale risultava adeguatamente formato anche attraverso lunghe trasferte di training presso lo stabilimento di Institute, in USA. Purtroppo tale livello di competenza diminuì in breve tempo a seguito dei tagli conseguenti alla limitata redditività della produzione.
Ci fu una drastica riduzione dei titoli di studio in ingresso nonché della durata del training dei dipendenti (da 18 mesi nel 1975 ad un mese nel 1984). Peraltro nel 1984 il personale dello stabilimento, già ampiamente ridotto in termini numerici, risultava, per la maggior parte, trasferito da altri siti della Union Carbide (cfr. Figura 4).

Figura 4 – Evoluzione delle condizioni organizzative e di istruzione del personale Union Carbide di Bhopal

Questo è quindi il quadro di insieme dell’azienda prima del catastrofico evento del dicembre 1984: un impianto ad elevatissimo rischio nel quale la multinazionale non solo non investiva più in termini di risorse tecniche e di ingegneria, ma che subisce un evidente decurtamento del capitale umano destinato alla gestione.
Meno persone, meno motivate e meno competenti.
Questo, tuttavia, non è di per sé sufficiente a dar conto dell’immane tragedia cui abbiamo assistito. Furono una serie di successive decisioni del management locale che posero le basi dell’incidente che poi si sviluppò.

La prima: presso lo stabilimento di Bhopal erano stoccate 63 tonnellate di isocianato di metile, una sostanza, come abbiamo visto, estremamente reattiva rispetto a comuni liquidi (acqua) e solidi (ferro, stagno, rame). I chimici europei, anche all’epoca dei fatti, furono chiari e netti rispetto alla scelta statunitense di stoccare queste enormi quantità: il MIC, se fosse stato necessario per una sintesi, si sarebbe dovuto produrre nel momento in cui serviva. Lo si realizzava nella minima quantità necessaria e si sarebbe dovuto consumare immediatamente dopo; così operando si sarebbe reso intrinsecamente sicuro il processo.

La seconda: a dicembre del 1983, per motivi manutentivi, vennero permanentemente collegate la linea di sfiato (RVVH) con la linea di processo (PVH) attraverso una “jumper line” (cfr. Figura 3). Tale scelta, non prevista nel progetto originale elaborato dagli ingegneri statunitensi della Union Carbide, introdusse nell’impianto un cortocircuito impiantistico determinante per lo sviluppo dello scenario incidentale.

La terza: nel giugno del 1984, per (irragionevoli) motivi di risparmio energetico (non più di 20 USD al giorno), il sistema di raffreddamento dei serbatoi del MIC venne disattivato e le 30 t di fluido refrigerante interamente drenate. L’isocianato di metile, a temperature inferiori ai 5°C, evidenzia una limitata reattività, se confrontata con quella presente a temperature superiori. L’errore tecnico fu quello di assimilare il MIC, molto reattivo ed in grado di interagire con banali impurità metalliche presenti nel serbatoio, ad una sostanza chimicamente stabile ed inerte (“Ficcati nella zucca una volta per tutte che non ci possono essere fughe in una fabbrica che ha interrotto la produzione. È la prima cosa che bisogna sapere in questo mestiere”. cfr. Lapierre D. Moro J. (2012), p. 268).

La quarta: ad ottobre lo scrubber di abbattimento a soda caustica venne disattivato, sempre in base all’assunzione che non fosse necessario, vista l’inattività dell’impianto.

La quinta: sempre ad ottobre la torcia di protezione venne posta fuori servizio a causa della presenta di tubazioni corrose. Queste vennero rimosse per poi essere successivamente sostituite. Tale operazione non venne mai eseguita.

La sesta: parte della strumentazione posta a presidio dei serbatoi era fuori uso. Non era possibile, quindi, il monitoraggio delle condizioni di stoccaggio dell’Isocianato di Metile: mancano letture affidabili di temperatura, pressione e livello, in particolare nel serbatoio n. 610. Quest’ultimo, ricordiamo, conteneva 42 delle 63 tonnellate complessivamente stoccate nel sito produttivo.

Non è un caso che il rapporto di audit interno, datato 11 settembre 1984, e redatto da ingegneri UCC statunitensi, riportasse chiaramente che: “The potential hazard leads the team to conclude that a real potential for serious incident exists” (=I rischi potenziali ci portano a concludere che esiste la reale possibilità di un serio incidente).
Giunti a questo punto l’impianto divenne tecnicamente fragile. Un qualsiasi errore operativo poteva pregiudicare la sicurezza del sito, tali e tanti erano ormai i guasti tecnici e procedurali potenziali e covanti.
L’incidente, utilizzando la terminologia di Perrow, divenne “normale” in un impianto così gestito. I presupposti c’erano tutti:

  • Complessità interattiva
  • Forte accoppiamento tra le variabili in gioco

L’innesco non tardò ad arrivare e l’attivazione dell’evento incidentale ebbe luogo alle 21.15 del 2 dicembre 1984 (cfr. Tabella 3). Dato che filtri connessi alla linea RVVH (cfr. Figura 2) risultavano intasati, presumibilmente a causa di depositi di fosgene, si decise di dar luogo ad un lavaggio con acqua. Si chiuse la valvola n. 16, si aprirono le valvole nn. 18-21 e le nn. 22-25 e venne collegata una manichetta con acqua in pressione nella tubazione relativa alla valvola n. 17.

Tabella 3 – Cronologia dell’incidente

L’ostruzione era rilevante e per liberare l’impianto si aumentò la pressione dell’acqua di lavaggio. Tale incremento probabilmente forzò l’apertura della valvola n. 16. In quest’ultima linea non era stata, peraltro, inserita alcuna flangia cieca di isolamento. Gli operatori, nelle prime fasi dell’incidente, non si accorsero di nulla. L’acqua continuò a fluire all’interno del serbatoio n. 610 (non refrigerato) per almeno due ore e tre quarti.
A quel punto, verso mezzanotte, l’energia accumulata divenne incontenibile. La reazione esotermica tra Isocianato di Metile ed acqua causò un potente surriscaldamento del fluido fino a portarlo ad una temperatura di 250°C e ad una sovrappressione di 14 bar (il serbatoio era dimensionato per resistere a pressioni di progetto inferiori a 4 bar).
Il MIC prima fuoriesce dall’impianto percorrendo in senso inverso il percorso compiuto dall’acqua poi, quando la pressione diviene superiore a quella di rottura dei sistemi di protezione, fluirà principalmente attraverso il disco di rottura e la relativa valvola di sicurezza.

Per completezza di informazione, va detto che alcuni report tecnici, realizzati da esperti di chiara fama (per es. Trevor Kletz), confutano la teoria dell’incidente sin qui descritta ritenendola troppo semplicistica. Essi considerano, infatti, che la lunghezza della linea RVVH e l’altezza differenziale tra la zona sottoposta a pulizia ed il serbatoio n. 610 non potessero consentire un massivo afflusso d’acqua al serbatoio di MIC. Secondo tali specialisti, inoltre, la spiegazione precedentemente descritta presupporrebbe che tutta una serie di valvole normalmente chiuse fossero state difettose, con perdite significative di tenuta, o, addirittura, risultassero tutte mantenute aperte. Peraltro, alcune di queste, testate nel corso dell’anno successivo all’incidente, evidenziarono tenute tecnicamente più che adeguate.
Alla luce di queste considerazioni, è quindi possibile che lo scenario considerato (a maggioranza) credibile, non spieghi tuttavia con completezza la grande quantità di acqua in pressione in ingresso nel serbatoio n. 610.
La Union Carbide Corporation, in questo senso, ritenne possibile una seconda ipotesi: quella del sabotaggio e/o altro errore tecnico. In altri termini, l’acqua potrebbe essere stata introdotta nel n. 610 direttamente al livello del manometro collocato a monte del disco di rottura posto a protezione del serbatoio. Potrebbe, per esempio, essere stata collegata una presa d’acqua nella connessione per l’alimentazione d’azoto (volontariamente oppure per un errore tecnico).
In ogni caso, indipendentemente dall’errore conseguente all’introduzione d’acqua, tutti i rapporti tecnici concordano nel sottolineare la diffusa negligenza organizzativa connessa alle condizioni operative altamente degradate all’interno dello stabilimento (tubazioni difettose o bypassate, criticità tecniche nell’ingegneria della costruzione impiantistica, mancanza di personale, formazione insufficiente, ecc.) nonché una grave impreparazione nell’affrontare l’incidente che ha poi avuto luogo.

Riprendiamo ora la descrizione dell’evento: giunti a questo punto dell’incidente, non esiste alcun ostacolo all’emissione delle 42 tonnellate di vapore denso di MIC: lo scrubber di abbattimento è disattivato e manca la tubazione di collegamento alla torcia di stabilimento (peraltro spenta).
La spianata nera, la città vecchia e la stazione ferroviaria vengono invase da una nube velenosa e silenziosa, con odori e densità differenti (cfr. Figura 5):

  • l’isocianato di metile che puzza di cavolo bollito;
  • la monometilammina che pare ammoniaca;
  • il fosgene che odora di paglia umida.

Ognuno di questi vapori possiede densità e, quindi, mobilità passiva differente sul terreno e ciascuna area di Bhopal è invasa, dall’uno o dall’altro vapore letale, in funzione dell’intensità e della direzione locale del vento (cfr. Figura 5).

Figura 5 – Zone contaminate di Bhopal

Si compie la strage.
Nell’immediatezza dell’incidente, le statistiche ufficiali indicarono 2.000 morti accertatiAmnesty International denunciò, invece, che nei primi tre giorni, a Bhopal, persero la vita almeno 7.000 persone a cui devono essere aggiunte altre 15.000 vittime registrate tra il 1985 e il 2003, anno nel quale il Governo indiano ammise ufficialmente che il bilancio della tragedia aveva superato i 20.000 decessi.
Altresì, si stimano in 120.000 le persone che, esposte ai vapori nella sera tra il 2 e 3 dicembre 1984, subiscono tuttora le conseguenze di malattie croniche invalidanti e medicalmente non trattabili.
Ventimila morti e centoventimila malati cronici: questo è l’enorme costo sociale dell’avventura del Sevin in India.
Numeri che non necessitano di alcun ulteriore commento.

Figura 6 – Particolare di un pannello di comando in sala di controllo: “Safety is everybody’s business” (“La sicurezza è affare di tutti”)

“(…) I vapori che raggiungono i quartieri vicini alla fabbrica avvelenano solo chi ne resta contaminato, ma l’odore di cavolo lesso, di erba appena tagliata e di ammoniaca si spande in tutta la zona in pochi secondi. Mukkadam ha appena il tempo di vedere quella nebbia leggera, che già ne sente gli effetti. Capisce che la morte sta per piombare su di loro. Urla: “Bachao! Bachao! Scappate!”. Colti dal panico, gli invitati alle nozze fuggono, correndo in ogni direzione.
Per Bablubai è già troppo tardi. Il lattaio dell’Orya basti non regalerà più latte ai bambini rachitici. Subito dopo la morte del toro Nandi e delle vacche, ha lasciato la festa e si è precipitato nella stalla, richiamato dai muggiti delle bufale. Sdraiate come al solito a ruminare, le diciassette bestie sono state investite in pieno da una piccola folata di vapore strisciante. Molte sono già morte. Bablubai corre fino alla capanna per salvare il figlio neonato e la moglie Boda.
“La lampada a olio si è spenta” mormora la giovane donna in lacrime.
Bablubai tenta di chinarsi a prendere il bambino, ma uno sbuffo di vapori arrivato proprio in quel punto gli paralizza all’istante la respirazione. Il lattaio, fulminato da una sincope, si accascia senza vita sul corpo del suo bambino (…)”

(tratto da: Lapierre D. Moro J. (2012), Mezzanotte e cinque a Bhopal, Mondadori, Milano, pp.281-282)

Bibliografia

  • ARIA Report n. 722, Release of toxic gases in a pesticide plant, French Ministry for Sustainable Development – DGPR/SRT/BARPI
  • Bowonder B., An analysis of the Bhopal accident, in: “Project Appraisal”, Vol. 2, n. 3/1987, pp. 157-168
  • Chouhan T.R., The unfolding of Bhopal disaster, in: “Journal of Loss Prevention in the Process Industries”, n. 18/2005, pp. 205-208
  • Dash M.C. Dash S.P. (2009), Fundamentals of Ecology (Third Edition), McGraw-Hill, New York, USA (Chapter 8.12)
  • Kletz T. (2001), Learning from Accidents, Butterworth-Heinemann, UK (Chapter 10)
  • Lapierre D. Moro J. (2012), Mezzanotte e cinque a Bhopal, Mondadori, Milano
  • Mannan S. (2012), Lees’ Loss Prevention in the Process Industries: Hazard Identification, Assessment and Control (4th Edition), Butterworth-Heinemann, UK (Appendix 5)
  • Perrow C. (1999), Normal Accidents, Princeton University Press, USA
  • Sturloni G. (2006), Le mele di Chernobil sono buone, Sironi, Milano (Capitolo 6)

(Post pubblicato originariamente su Postilla.it il 24/11/2014)

© Marzio Marigo

Share

A 40 anni dal più grande disastro industriale di sempre: Flixborough (UK), 01/06/1974

What we learn from history is that people don’t learn from history
George Bernard Shaw

Tra poche settimane ricorrerà il quarantesimo anniversario di uno tra i più grandi incidenti industriali avvenuti in Europa nel dopoguerra. Il primo giugno del 1974 è, infatti, una data densa di significati e rappresenta, peraltro tristemente, l’inizio del cammino europeo verso l’industria di processo sicura. Gli accadimenti che ebbero luogo in quel giorno, sommati a quanto avvenne due anni dopo in Italia, presso gli stabilimenti dell’ICMESA di Seveso (MI), posero infatti le basi per l’emanazione della prima direttiva comunitaria indicante l’obbligatorietà di costruire ed esercire IN SICUREZZA gli stabilimenti i cui rischi, per la sicurezza delle persone e la salubrità dell’ambiente, si potessero estendere anche all’esterno del sito produttivo.
Come già accennato, alle 16:53 del primo giugno 1974 ebbe luogo a Flixborough, nel Nord Lincolnshire (UK), forse il più impressionante incidente della storia dell’industria convenzionale moderna (Video BBC). Un rilascio accidentale di cicloesano ad alta pressione e temperatura, che si originò dagli impianti della Nypro Ldt. (produttrice di Nylon 6), causò una catastrofica esplosione ed un conseguente incendio che provocò il decesso di 28 persone ed il ferimento di altre 104. Il sito industriale, esteso su circa 100.000 mq, venne interamente distrutto e circa 1800 case e 170 tra attività commerciali e fabbriche prossimali furono danneggiate. Il totale dei danni venne quantificato in circa 750 milioni di dollari, rivalutati all’anno 2000 (Kletz, 2001).
L’enorme esplosione venne udita fino ad Anlaby, nella contea di Hull, distante 32 km da Flixborough.


Figura 1.
 Il sito prima del disastro

Figura 2. Il sito dopo il disastro

L’impianto di cicloesano, collocato nella zona definita 25 A (cfr. Figura 1), risultava adiacente alla sala controllo, al blocco principale degli uffici, ai laboratori, all’impianto di generazione dell’idrogeno, alla sezione 7 (impianti di caprolattame) e alla sezione 27.
Esso consisteva in 6 reattori collegati tra loro, con tubazioni da 28 pollici (=71 cm), posti in serie a livelli differenti di altezza (codici Nypro nn. 2521 – 2526). All’interno di tale processo il cicloesano (sostanza con caratteristiche di infiammabilità simili alla benzina), inertizzato con azoto in pressione, veniva ossidato (@ 9,6 bar e 155°C) in cicloesanone e cicloesanolo grazie all’iniezione d’aria in presenza di un catalizzatore.
Una configurazione impiantistica di questo tipo fu dettata dalla particolare lentezza della reazione di ossidazione. Fu pertanto prolungato il tempo di permanenza del fluido all’interno dell’impianto, con l’adozione di più reattori in serie, e venne migliorata la cinetica del processo, rispetto agli impianti già esistenti all’epoca, portando la temperatura del ciclo a 155°C, molto al di sopra al punto di ebollizione del liquido a pressione ambiente (=81°C). La scelta obbligata conseguente fu quindi quella di pressurizzare la miscela in reazione fino a 9,6 bar al fine di mantenere il cicloesano in forma liquida. L’impianto, con i parametri di progetto indicati, consentiva di produrre, a regime, 70.000 tonnellate all’anno di caprolattame.
Ogni reattore, realizzato in acciaio AISI 316L, era dotato di un dispositivo di troppo pieno a stramazzo che consentiva di mantenere costante il livello di liquido. In tutti i contenimenti, ad eccezione del n. 4, erano inoltre installati degli agitatori interni.

Figura 3. I sei reattori della sezione 25A

L’alimentazione dell’impianto consisteva in una miscela di cicloesano fresco miscelato ad altro proveniente dagli impianti di recupero del prodotto in uscita. Il prodotto intermedio in uscita dai sei reattori conteneva, infatti, oltre al cicloesanone e cicloesanolo, un tenore del 94% di cicloesano il quale, non avendo partecipato alla reazione, veniva distillato per essere riutilizzato con la miscela fresca in entrata.
Dalla distillazione si separava cicloesanone e cicloesanolo che venivano convertiti, in altra parte dell’impianto, in caprolattame, il monomero base necessario alla produzione del polimero Nylon 6.
Il 27 marzo, circa due mesi prima dell’evento, venne evidenziata sul reattore n. 5 (codice interno n. 2525) una perdita continua di cicloesano. Fu decisa la fermata dell’impianto per procedere ad una ispezione approfondita del contenimento che rivelò la presenza di una fessurazione verticale molto ampia (circa 180 cm) causata, come dimostrò l’inchiesta successiva all’incidente, da tensocorrosione. Venne quindi presa la decisione di rimuovere il reattore n. 5, per studiarlo approfonditamente, e di riconnettere, nel frattempo, i reattori 4 e 6 attraverso un collegamento in acciaio AISI 304L del diametro di 20 pollici (=51 cm). Tale dimensione risultava molto inferiore rispetto a quella prevista in origine dal costruttore (cfr. Figura 4).
Una simile riduzione di diametro non fu dettata da considerazioni ingegneristiche e/o strutturali bensì, più semplicemente, dalla disponibilità immediata di questa dimensione di tubo presso i magazzini dello stabilimento. Peraltro la struttura del raccordo non risultava assiale rispetto alle flange da collegare, collocate su due livelli differenti, bensì composta da tre tronconi cilindrici saldati tra loro. Tale raccordo risultava inoltre connesso ai vessel nn. 4 e 6 attraverso soffietti metallici antivibranti. L’intero bypass risultava supportato da una struttura provvisoria in tubi innocenti (cfr. Figura 5).
Tutta la struttura di collegamento tra i reattori risultò, inoltre, concepita in difformità alla regola dell’arte allora vigente e relativa ai recipienti in pressione di quella tipologia (BS 3351:1971). Non fu preventivamente studiata e calcolata, non venne nemmeno semplicemente disegnata (se si eccettua lo schema, realizzato con gesso, rinvenuto sul pavimento della carpenteria di produzione!). Peraltro non furono presentati, nel corso del successivo processo, nemmeno i verbali di collaudo del collegamento realizzato.

Figura 4. Schema dell’impianto dopo l’eliminazione del reattore n. 5

Figura 5. Schema della tubazione di bypass

Un’analisi svolta agli elementi finiti evidenziò più frequenze naturali di vibrazione del bypass. Riportiamo, a titolo esemplificativo, le prime due:

  • Assiale: f1 = 3,98 Hz
  • Traversale: f2 = 12,35 Hz

Queste frequenze vennero ad essere eccitate in risonanza dal flusso liquido interno di cicloesano. Infatti, la sezione, ridotta da 28 a 20 pollici, determinò una notevole accelerazione della velocità del liquido, con un conseguente incremento della depressione e della turbolenza del flusso. Tali modifiche fluidodinamiche sovrasollecitarono sia staticamente sia dinamicamente il giunto provvisorio nella sua intera lunghezza, inducendo forzanti armoniche che si manifestarono con momenti flettenti pulsanti (cfr. Figura 6).

Figura 6. Schema di sollecitazione statica del bypass

Per molte settimane dalla sua prima installazione, quindi, il giunto si trovò ad essere sollecitato a fatica e vincolato a vibrare in modo anomalo, anche a causa della struttura in tubi innocenti di vincolo.
La situazione rimase stazionaria fino al primo di giugno quando, in occasione di un riavvio dell’impianto successivo ad una fermata per manutenzione correttiva (che non riguardò il collegamento provvisorio), il bypass cedette di schianto, provocando un rilascio (stimato) di circa 100 tonnellate di cicloesano liquido a 9,6 bar e 155°C (molto al di sopra, cioè, del punto di ebollizione del liquido a pressione atmosferica, come già detto).
Tale perdita massiva ed incontrollata generò un fenomeno noto con il nome di “flashing”. Esso si manifestò con la pressoché istantanea nebulizzazione di una frazione rilevante del cicloesano espulso. A seconda delle simulazioni effettuate, da vari autori e dalla commissione governativa d’inchiesta, la quantità di cicloesano liquido, trasformatasi in vapore e nebbia, si colloca nell’intervallo 15-45 tonnellate di infiammabile mentre l’altezza rispetto al suolo, raggiunta da tale nube prima dell’innesco, si stima invece pari a circa 45 metri. Infine, il diametro del rilascio (prima dell’innesco), è stato approssimativamente quantificato in 200 metri (Sadee et al., 1975).
Una di queste stime è semplicemente realizzabile adottando il criterio del TNT equivalente proposto dall’HSE britannico; si ottiene, a fronte di un rilascio di liquido pari a 100 tonnellate, una nube di vapori e nebbie infiammabili di circa 34 tonnellate (cfr. Figura 7). Tale quantità risulta ragionevolmente aderente con quanto stimato dalla commissione d’inchiesta.

Figura 7. Stima del rilascio di vapori e nebbie infiammabili nell’incidente di Flixborough (CCPS, 1994)

Questa enorme nube di vapore e nebbia infiammabile esplose con una potenza distruttiva equivalente a circa 10,2 tonnellate di TNT (VCE), anche se alcuni studi arrivano a quantificare tale quantità in circa 16 tonnellate (Sadee et al., 1975). Essa venne probabilmente innescata, dopo un periodo da 30 a 90 secondi dal rilascio, dai bruciatori presenti nell’impianto di generazione di idrogeno, collocato nelle adiacenze della sezione 25.
L’espansione della nube emisferica accesa, pari a circa 8 volte il suo volume iniziale (=raddoppio del diametro), fece si che il fronte di fiamma raggiungesse zone nelle quali non era inizialmente presente la miscela infiammabile, incendiando, così, buona parte dello sito dello stabilimento.
La sala di controllo venne completamente distrutta così come venne demolito il blocco principale degli uffici, realizzato in mattoni e posto a 25 metri dal rilascio. Fortunatamente negli uffici, solitamente occupati da circa 200 persone, non c’erano dipendenti (era sabato). Peraltro, nessuno degli edifici civili presenti nel complesso della Nypro era stato progettato e realizzato per proteggere gli occupanti da eventuali esplosioni esterne.
Le simulazioni degli effetti dovuti a sovrappressione, realizzate con il metodo del TNT equivalente e con il TNO Multienergy, restituiscono valori di sovrappressione significativi fino ad oltre i tre chilometri dall’epicentro dell’incidente. A questi devono aggiungersi i danni connessi all’esposizione a fiamme e radiazione termica. Tali manifestazioni evidenziano letalità ben oltre il limite di infiammabilità della nube generata, fino a concentrazioni di infiammabile minori del LEL/2 (cfr. Tabella 2, DM 09/05/2001). È facilmente ipotizzabile che tali conseguenze abbiano superato, in magnitudo, quelle connesse alla sovrappressione, soprattutto nel campo vicino, in prossimità dell’epicentro dell’esplosione.

Figura 8. Simulazione CFD del rilascio di cicloesano dai reattori nn. 4 e 6 (Fingas, 2002)

Presso lo stabilimento risultavano stoccate, alla data dell’incidente, le seguenti quantità di sostanze infiammabili:

  • Cicloesano = 1156 tonnellate
  • Nafta = 230 tonnellate
  • Toluene = 44 tonnellate
  • Benzene = 105 tonnellate
  • Benzina = 1515 tonnellate

L’incendio conseguente, alimentato da queste rilevantissime quantità di infiammabili, fu anch’esso di proporzioni catastrofiche.
Ventotto furono i decessi causati dall’esplosione, 18 dei quali erano presenti in sala controllo. Nel laboratorio, collocato a meno di 12 metri dalla sala di controllo, ci furono sorprendentemente 8 superstiti i quali, avendo assistito direttamente agli eventi immediatamente precedenti l’esplosione, furono in grado di portarsi in un luogo sicuro rispetto agli effetti letali dell’esplosione. Essi, altresì, furono testimoni decisivi per la comprensione delle dinamiche incidentali.
Le cause ultime del disastro sono state molte ed interconnesse tra loro. In un incidente di questo tipo, infatti, l’evento catastrofico non è che la manifestazione di molte anomalie già esistenti e dormienti all’interno del sistema organizzato che trovano un innesco in un fatto specifico (…la goccia, il vaso, ecc.).
In molti incidenti industriali, piccoli, medi e grandi, accade spesso così, quindi. Un evento “trigger” innesca i fattori di rischio annidati nel sistema e covanti da tempo.
Fatta questa premessa, elenco le tre cause ultime, immediatamente individuali, che hanno innescato il disastro:

  • la connessione di bypass venne installata senza alcuna valutazione di sicurezza, dimensionamento meccanico e supervisione da parte di ingegneri chimici esperti. Come già detto, addirittura, lo schema in base al quale venne realizzato il collegamento fu disegnato, con un gesso, nel pavimento del reparto della carpenteria di lavorazione;
  • il sito conteneva quantità rilevantissime di liquidi infiammabili stoccati che, successivamente all’esplosione, alimentarono l’incendio di proporzioni gigantesche;
  • il bypass non fu realizzato in conformità alla regola dell’arte allora vigente. Ogni modifica, come regola generale, deve essere sempre realizzata con il medesimo livello qualitativo dell’impianto nel quale si andrà ad installare.

Un evento con una simile dimensione, oltre al carico di distruzione e sofferenza, porta con sé SEMPRE importanti e preziosi insegnamenti per il futuro. Di seguito riporto un elenco di questi, estratto dalla relazione della commissione d’inchiesta pubblica ed integrato da Lees:

  • necessità di controllo pubblico sugli impianti a rischio di incidente rilevante;
  • localizzazione e distanziamento degli impianti a rischio di incidente rilevante dai centri abitati;
  • autorizzazione per lo stoccaggio di materiali pericolosi;
  • elaborazione di regole tecniche per sistemi ed attrezzature a pressione;
  • adozione di sistemi di gestione negli impianti a rischio di incidente rilevante;
  • priorità della sicurezza sulle necessità di produzione;
  • utilizzo, in ogni fase del processo, di norme tecniche e codici di buona pratica;
  • riduzione degli stoccaggi di prodotti pericolosi;
  • riduzione della taglia degli impianti (es. diametro tubazioni, volume dei contenimenti) agendo sull’efficienza del processo;
  • adozione di alta affidabilità nell’ingegneria dell’impianto (es. integrità meccanica);
  • implementazione di alte affidabilità per i servizi di processo (es. fornitura idrogeno, azoto, ecc);
  • limitazione dell’esposizione del personale;
  • progettazione e collocazione sicura delle sale controllo e degli altri fabbricati del plant;
  • ergonomia nella scelta della strumentazione di controllo dell’impianto (non specifico di Flixborough);
  • addestramento del personale ad operare in condizioni ad alto stress;
  • riavvio dell’impianto solo dopo avere trovato la soluzione/spiegazione dell’anomalia;
  • procedure di gestione del cambiamento/modifiche;
  • sicurezza nel controllo degli accessi all’impianto;
  • pianificazione delle emergenze;
  • studio ed approfondimento dei fenomeni metallurgici di interazione con le sostanze di processo;
  • elaborazione di simulazioni di incidente rilevante;
  • investigazione sulle cause di disastro e feedback delle informazioni acquisite.

Anche se molta strada deve ancora essere percorsa (es. adozione dei criteri di sicurezza intrinseca di Kletz, manutenzione orientata all’affidabilità, procedure di gestione del cambiamento efficienti, ecc.), a quarant’anni di distanza di questa enorme catastrofe possiamo constatare che le condizioni di sicurezza degli impianti di processo sono certamente migliorate. Non pochi dei punti elencati in precedenza dalla commissione di inchiesta sono stati, infatti, presi in considerazione dal legislatore europeo.
L’augurio per tutti noi è che, comunque, sia per gli incidenti che accadono nell’industria convenzionale come per quelli che avvengono in quella a rischio di incidente rilevante, non valga MAI la massima di George Bernard Shaw citata all’inizio di questo intervento.

La storia insegna.

Sempre.

GLOSSARIO

BIBLIOGRAFIA MINIMA

  • CCPS (1994), Guidelines for Evaluating the Characteristics of Vapor Cloud Esplosions, Flash Fires and BLEVEs, Wiley, New Jersey (USA)
  • Department of Employment (1975), The Flixborough disaster, Report of the Court of Inquiry, Crown, UK
  • Fingas M. (2002), The Handbook of Hazardous Materials Spills Technology (Chapter 42), McGraw-Hill, New York (USA)
  • Kletz T. (2001), Learning from Accidents, III Ed. (Chapter 8), Buttherworth-Heinemann, Oxford (UK)
  • Mannan S. (2005), Less’ Loss Prevention in the Process Industries (Chapter 17, Appendix 2), Buttherworth-Heinemann, Oxford (UK)
  • Pekalski et al. (2005), A Review of Explosion Prevention and Protection Systems Suitable as Ultimate Layer of Protection in Chemical Process Installations, Trans IChemE, Part B, Process Safety and Environmental Protection, 2005, 83(B1): 1–17
  • Sadee et al. (1975), Estimation of the TNT Equivalent of the Amount of Reacted Cyclohexane, and of the Dimensions and Shape of the Cloud in Relation to the Explosion which Occurred on the Flixborough Site of Nypro (UK) Ltd on 1st June 1974. Rep. to Flixborough Court of Inquiry (Dutch State Mines)

APPENDICE STATISTICA

Si riportano di seguito, pur in modo incompleto e non completamente aggiornato (ci fermiamo, infatti, al 2000), alcuni dati significativi relativi ai grandi incidenti industriali avvenuti nel recente passato (Pekalski et al., 2005).

(Post pubblicato originariamente su Postilla.it il 27/4/2014)

© Marzio Marigo

Share

Il Molino Cordero di Fossano

Sei anni fa, presso il Molino Cordero di Fossano (CN) si verificarono una serie di esplosioni che causarono il tragico decesso di cinque persone (Valerio Anchino, Marino Barale, Antonio Cavicchioli, Massimiliano Manuello e Mario Ricca) e la totale distruzione dell’impianto di produzione. Di seguito si vuole riportare il riepilogo degli eventi che portarono a questo tragico evento, così come indicato dai periti tecnici che seguirono il processo (Marmo et al., 2010).

La storia e gli accadimenti del passato sono, in questo senso, ottimi maestri che possono consentire, se letti con la giusta ottica, di evitare di commettere i medesimi errori.

L’esplosione ebbe luogo a seguito della necessità di scaricare una piccola quantità di prodotto precedentemente caricata in eccesso in un’autocisterna. A questo fine venne collegato lo scarico della cisterna ad un condotto metallico di ripompaggio pneumatico per mezzo di una manichetta flessibile, della lunghezza pari a 6 m, in dotazione al mezzo. La tubazione di trasporto pneumatico avrebbe dovuto convogliare il prodotto in fariniera. Tale operazione, visto il limitato quantitativo di prodotto in gioco, venne condotta con alta diluizione della farina in aria.

L’attivazione della sequenza incidentale è dunque da ricercarsi nei seguenti due fattori concomitanti:

  • diluizione della polvere in ingresso che crea un’ATEX all’interno della tubazione;
  • collegamento non equipotenzializzato con la manichetta isolante.

Tali fattori determinano il primo innesco elettrostatico dell’ATEX all’interno della tubazione. L’esplosione si generò rapidamente e raggiunse la fariniera, trasformando la deflagrazione interna al trasporto pneumatico in un innesco ad alta energia per il contenimento della farina. Ebbe luogo, a questo punto, la prima vera esplosione primaria in capo alla fariniera. Esplosione che rilasciò energie molto elevate, anche a causa dell’innesco ad alta energia e dell’assenza di misure adeguate di protezione contro l’esplosione del contenimento.

Come conseguenza dell’esplosione primaria, si verificano tutta una serie di esplosioni secondarie che si propagano sia lungo il vano montacarichi il quale, attraversando tutti i piani del molino, trasferì le esplosioni a tutti i piani del molino, sia verso l’alto provocando la distruzione del tetto e di parte delle strutture murarie con particolare riferimento alla parte superiore dell’edificio.

Le esplosioni propagatesi nel vano montacarichi determinano anche il cedimento delle cerniere delle strutture di sostegno dei plansichter che precipitano al suolo provocando il crollo totale dei macchinari presenti nella zona dell’azienda definita “B”.

Le esplosioni secondarie si propagano, inoltre ai locali magazzino sacchi. A questi scenari di incidente si aggiunga che il rilievo dei periti evidenziò la presenza, sulla tubazione di carico, di flange deformate che certamente contribuirono anch’esse a propagare l’esplosione originata nel tubo di carico.

A seguito delle esplosioni primaria e secondarie si sviluppò un incendio generalizzato che proseguì per alcuni giorni.

Nel marzo del 2010 il Tribunale di Cuneo condannò, in primo grado, l’amministratore delegato a otto anni di reclusione per omicidio colposo plurimo, crollo colposo e omissione dolosa di cautele antinfortunistiche mentre il presidente, nonché fondatore dello stabilimento, venne condannato a 4 anni di reclusione per omicidio colposo.

(Post pubblicato originariamente su Postilla.it il 16/7/2013)

© Marzio Marigo

Share

Errore umano e sicurezza tecnologica

Quanto e come sbaglia una persona? E’ possibile determinare, in modo sufficientemente preciso, un parametro che specifichi l’affidabilità umana nell’esecuzione di un dato compito? Tali tipologie di domande si sono poste in settori nei quali era necessario determinare in modo oggettivo l’affidabilità di processi particolarmente pericolosi e a rischio (es. settore aeronautico, nucleare, chimico, ecc.). Sono tuttavia presenti limitazioni e difficoltà, nelle risposte, che includono almeno i seguenti aspetti:

  • il comportamento umano è complesso e non si presta a essere descritto come un semplice componente di un sistema elettromeccanico. La prestazione umana, a fronte di una sollecitazione esterna, può essere influenzata da fattori sociali, ambientali, psicologici, organizzativi e fisici difficilmente classificabili;
  • l’azione umana non si può considerare esclusivamente in modo binario (successo o guasto), come in un sistema hardware;
  • i maggiori problemi che si incontrano nella valutazione dell’affidabilità umana sono relativi ai dati comportamentali in situazioni estreme e/o di emergenza.

Tuttavia, pur tenendo in considerazione i limiti dell’analisi, osserviamo innanzi tutto che è necessaria una sicura distinzione tra i possibili errori che possono essere commessi da un essere umano. Essi si suddividono in quattro tipologie differenti:

  • gli slips;
  • i lapses;
  • i mistakes;
  • le violazioni volontarie.

Qui ci occuperemo delle prime tre tipologie di errore, richiedendo la quarta opzione un approfondimento specifico e dedicato. Alla prima categoria, gli slips, appartengono le piccole azioni, frequentemente svolte, che sono eseguite in modo differente da quanto voluto. Alcuni esempi:

  • durante la movimentazione con un carroponte di una massa dal peso rilevante, si preme sulla tastiera di comando il tasto “discesa” al posto di quello “salita”;
  • si legge, in un pannello di controllo, uno strumento (es. voltmetro) scambiandolo per un altro (es. amperometro);
  • agendo su una saracinesca di intercettazione, si aumenta il flusso di liquido all’interno della tubazione invece di intercettarlo.

Tali errori risultano tanto più frequenti quanto meno ergonomicamente sono progettati i posti di lavoro. Misure indispensabili finalizzate ad una loro diminuzione consistono nella chiara ed univoca identificazione di strumenti, apparecchiature e sistemi di comando controllo nonché nell’adozione delle misure tecniche necessarie per rendere difficoltoso l’azionamento accidentale dei comandi stessi.

La seconda categoria, i lapses, sono degli errori di memoria, particolarmente presenti durante fasi di lavoro proceduralizzate . E’ infatti sempre possibile scordarsi alcuni passaggi fondamentali, in un lavoro che richiede più fasi articolate di intervento. Soprattutto se quest’ultimo deve essere realizzato velocemente e senza supervisione. Alcune misure importanti per ridurre l’accadimento di tali errori consiste nell’adozione di checklist operative spuntabili, che permettono di tenere sotto controllo l’avanzamento del processo. A questo proposito esistono almeno due tipologie di checklist operative:

  • esecuzione e conferma;
  • lettura ed esecuzione.

In entrambi i casi deve essere prevista la casella di spunta, per dare evidenza dell’operazione effettuata. Le checklist non possono essere vaghe o imprecise. I termini opportuno, adeguato, idoneo devono essere banditi da una checklist realmente operativa. La descrizione delle voci non deve essere lunga e non deve proporsi lo scopo di descrivere ogni particolare dell’aspetto trattato. L’utenza alla quale si rivolge è professionale e dovrebbe avere bene presente ciò che si appresta a fare. Devono andare direttamente al punto di verifica ed essere fruibili anche i circostanze di forte stress emotivo. Devono limitarsi a ricordare le azioni più importanti da attuare e il corretto ordine necessario all’esecuzione. Nelle checklist troppo lunghe alcuni passaggi tendono a essere saltati. E’ per questo che, in Boeing, la regola di massima è di realizzare liste di controllo con un numero massimo di voci compreso tra cinque e nove.

L’ultimo tipo di errore, i mistakes, sono essenzialmente scorrette operazioni di diagnosi o di pianificazione. Si conosce l’obiettivo che si vuole raggiungere ma, sbagliando la diagnosi iniziale del problema, si propongono soluzioni errate che non ne permettono la soluzione. Questo è un tipico errore dovuto a carenze di expertise professionale. E’ per questo che la soluzione non può che passare attraverso una maggior qualifica degli operatori (=maggiore informazione, addestramento e formazione) oppure, in alcuni casi complessi, attraverso la discussione delle problematiche in riunioni tecniche specificamente dedicate.

Nell’ambito della valutazione dell’affidabilità umana sono state elaborate, a partire dagli anni ’70, molte metodologie di analisi. Alcune particolarmente complesse e indirizzate al solo ambito nucleare, altre più flessibili e con un campo applicativo più vasto. Si citano, a titolo riepilogativo, le seguenti:

  • Ambito nucleare: WASH 1400, THERP, ASEP, SPAR-H, ATHEANA, CREAM, SLIM-MAUD, HRMS, JHEDI, INTENT, CESA, CODA, MERMOS, NARA
  • Ambito generico: HEART, APJ, PC, CAHR,

Un’analisi di questi studi porta a concludere che una persona può manifestare differenti “fallibilità” in relazione alla specificità del compito che sta svolgendo. In particolare i tassi di errore umano che quantifica lo storico Rapporto Rasmussen del 1975 denominato WASH 1400 (cfr. nota 1) sono i seguenti:

  • eseguire banali calcoli aritmetici porta con sé una fallibilità del 3%;
  • la supervisione fatta sull’operatore di altri lavoratori è fallibile nel 10% dei casi, soprattutto all’inizio della verifica;
  • l’esame ordinario a vista condotto in assenza di liste di controllo porta con sé un 50% di guasti non rilevati.

Altresì interessanti risultano gli errori che si commettono in condizioni di stress elevato come, per esempio, durante la gestione di un’emergenza in atto. In tali circostanze si evidenziano tassi di errore che, nelle fasi primarie di emergenza, risultano pressoché totali (100%). All’aumentare dell’intervallo dall’inizio dell’emergenza tale indice gradualmente si riduce fino ad arrivare all’1% a diverse ore dall’inizio dell’evento emergenziale.

E’ consuetudine, tra chi si occupa di affidabilità umana, quantificare un tasso di errore per attività generiche pari al 3%. In generale, quindi, risulta confermata la “regola aurea” la quale valuta che ciascuno di noi, mediamente, compia almeno sei errori significativi alla settimana. Errori che, in presenza delle opportune condizioni al contorno, si possono trasformare in incidenti.

Ora che conosciamo le varie tipologie di errore umano passiamo agli esercizi…

Proviamo a:

  1. elencare almeno due esempi di slips, due lapses e due mistakes;
  2. servendosi dei dati e dei tassi di errore precedentemente indicati, quantifichiamo il numero di sopralluoghi necessario alla valutazione dei rischi presenti in un reparto di una media attività industriale.
  3. postare i risultati dei punti a) e b).

ANNOTAZIONI

Nota 1: Il rapporto WASH 1400, pur essendo ora considerato obsoleto, ha costituito per diverso tempo, nonostante le critiche, lo stato dell’arte sulla quantificazione dell’affidabilità dei sistemi di sicurezza implementati nella tecnologia nucleare.

PER APPROFONDIMENTI

Catino M., Da Chernobyl a Linate. Incidenti tecnologici o errori organizzativi?, Bruno Mondadori, 2006

Marigo M., La manutenzione di macchine ed impianti. Sicurezza ed affidabilità., EPC, 2012

Smith D. J., Reliability, Maintainability and Risk (VIII Ed.), Butterworth-Heinemann, 2011

NUREG-75/014 (WASH-1400)

(Post pubblicato originariamente su Postilla.it il 8/4/2013)

© Marzio Marigo

Share

Un nuovo killer chimico

Nel nostro Paese se ne discute ancora poco. Altri sono i rischi che vengono considerati prioritari sia dalle associazioni ambientaliste sia dagli esperti. Tuttavia all’estero sta crescendo la consapevolezza della pericolosità della sostanza che andremo a descrivere, definita “The new chemical killer” dalla comunità scientifica internazionale, così come bene illustra Dario Bressanini nel suo saggio del 2010.

Stiamo discutendo del Monossido di Diidrogeno.

Questa sostanza, al pari di altre magari ugualmente temibili ma bene conosciute, è incolore, inodore ed insapore e può provocare decessi a causa di eccessiva inalazione. Purtroppo gli organi di stampa, sia generalisti sia di settore, hanno dedicato ben poca attenzione a questa sostanza; ritengo pertanto doveroso dare una adeguata informazione, per quanto possibile, in questa sede.

Il Lee’s Loss Prevention in the Process Industries del 2006, uno tra i più autorevoli manuali in tema di sicurezza industriale, riassume bene il problema. Il Monossido di Diidrogeno (o DHMO) è diffusamente utilizzato in centrali elettronucleari ed in molti processi chimici pericolosi. Esso è impiegato pure come solvente industriale ed è, da un punto di vista ambientale, uno dei principali responsabili della formazione delle piogge acide e dell’effetto serra.

Una parte del nostro prezioso patrimonio artistico subisce un costante degrado indotto dal contatto con il DHMO. Purtroppo il Monossido di Diidrogeno percola all’interno delle falde e arriva, da queste, direttamente all’interno delle nostre case attraverso l’acqua della rete idrica comunale, finendo direttamente nel cibo da noi consumato ogni giorno. È impossibile evitare la contaminazione perché, a differenza di altre molecole che possono essere filtrate, il DHMO si miscela intimamente con l’acqua. Esso può causare ustioni anche gravi e se ne trova sempre traccia all’interno di moltissime tipologie di carcinomi solidi e tumori del sangue.

Ecco le informazioni che si rinvengono, sul DHMO, nel più importante manuale che tratta della reattività chimica di sostanze e miscele (Urben P. G., Pitt M.J. (2007), Bretherick’s Handbook of Reactive Chemical Hazards, 7th Edition, Elsevier, p. 1691):

Riepilogando quanto indicato nel Bretherick:

  • Il DHMO reagisce violentemente con alcuni metalli, come il sodio e il potassio, con il fluoro e con alcuni agenti disidratanti come l’acido solforico
  • Forma un gas esplosivo con il carburo di calcio.
  • Si raccomanda di evitare il contatto con materiali di cui non si sia prima verificata la compatibilità.
  • A contatto con il sodio, il DHMO sviluppa gas idrogeno, elemento di cui è ricco, con il forte rischio di esplosioni.

Il DHMO diviene estremamente pericoloso se posto a contatto con l’olio bollente. In queste condizioni può provocare ustioni estremamente gravi alle persone esposte.

Esiste una fortissima resistenza al bando del Monossido di Diidrogeno. Per esempio, in ambiti economici internazionali (Organizzazione Mondiale del Commercio, Fondo Monetario Internazionale), si ritiene che l’eliminazione del DHMO potrebbe causare gravissime implicazioni di difficile gestione e soluzione.

L’opposizione all’eliminazione del DHMO è dovuta anche alle posizioni assunte dalle multinazionali alimentari (produzione di bevande zuccherate, ristorazione fast food). Il DHMO è infatti una componente essenziale nella fabbricazione delle bibite gassate a tutti note ed è un componente presente nella carne utilizzata nei fast food.

Il DHMO è inoltre presente in un’ampia categoria di farmaci; anche in questo caso le aziende farmaceutiche non vogliono consentire il bando di una simile sostanza dai loro prodotti.

Per fortuna, alcune lungimiranti aziende dell’alimentazione possiedono protocolli di fabbricazione che consentono la distribuzione di latte per neonati completamente privi di Monossido di Diidrogeno.

APPROFONDIMENTO

Il Monossido di Diidrogeno è una molecola composta da un atomo di ossigeno e due atomi di idrogeno.

In altre parole, H2O.

In altre parole, ACQUA.

Probabilmente alcuni tra noi non sono caduti nel tranello, avendo un po’ di conoscenze della chimica insegnata nelle scuole superiori.

Altri, invece, hanno ritenuto di aver scoperto una nuova minaccia per la propria e la altrui salute.

Purtroppo nella comunicazione del rischio si incorre, alcune volte, in queste forme sleali di trasmissione delle informazioni.

E’ stato sufficiente creare le opportune condizioni al contorno (citazione di rischi non bene noti, presenza di interessi di multinazionali, fondo monetario internazionale, citazione di tumori, reattori nucleari, processi industriali) per creare un effetto perverso che ha portato alcuni di noi a credere che l’acqua fosse portatrice di chissà quale forma di rischio occulto.

ATTENZIONE: nessun dato presente nella descrizione è falso. Sono tutti tratti realmente dalla letteratura citata. E’ stata modificata solo la veicolazione del messaggio (viene solo citata falsamente la “comunità scientifica internazionale”).

Ecco dunque come si costruisce ad arte una cascata sociale di credenza. Si unisce la tossicologia intuitiva all’euristica della disponibilità, di cui discuterò in un altro post, ed ecco fatto.

Abbiamo creato un nuovo mostro dal quale difendersi: l’acqua.

Mi chiedo (e vi chiedo), quanti altri mostri sono stati creati ad arte nel mondo tecnologico che ci circonda?

BIBLIOGRAFIA E SITOGRAFIA

Cass Sunstein, Risk and Reason: Safety, Law, and the Environment, Cambridge University Press, 2010

Dario Bressanini, Pane e Bugie, Chiarelettere, 2010

Mannan S., Lee’s loss prevention in the process industries (3th Ed.), Butterworth Heinemann, 2005

Urben P. G., Pitt M.J., Bretherick’s Handbook of Reactive Chemical Hazards (7th Ed.), Elsevier, 2007

La beffa del Monossido di Diidrogeno, da Wikipedia

(Post pubblicato originariamente su Postilla.it il 23/2/2013)

© Marzio Marigo

Share

Incidenti sul lavoro o cigni neri?

Nassim Nicholas Taleb, nel suo  libro, pubblicato in prima edizione nel 2007, postula che il nostro vivere quotidiano sia potenzialmente costellato da accadimenti imprevisti, imprevedibili e dotati di danno inaudito. Egli li chiama Cigni Neri.
I Cigni Neri sono dunque eventi in grado di modificare irreversibilmente la vita delle persone e risultano, a parere di Taleb, difficili da prevedere. Le cause degli stessi sono individuabili solo con il “senno di poi”, ponendoci all’esterno dell’evento stesso e contemplandone i prodromi solo alla luce delle conseguenze che essi hanno manifestato.
Possiamo includere tutti gli infortuni sul lavoro nella categoria dei Cigni Neri? Probabilmente no, nella maggior parte dei casi. Pur non essendo escludibile a priori che un incidente determini un infortunio al suo primo manifestarsi, risulta tuttavia poco probabile, per le ragioni che vedremo. In generale, infatti, l’infortunio si può manifestare in seguito a ripetute azioni inidonee e/o imprudenti in date condizioni di rischio. Inviare sms in auto mentre si guida probabilmente non genererà un incidente stradale al primo “invio”.  Ma tale comportamento, se protratto nel tempo determinerà, prima o poi, un esito catastrofico.
Nell’ambito della sicurezza dei luoghi di lavoro, si può essere quindi parzialmente d’accordo con l’economista americano di origine libanese. Una buona maggioranza di infortuni sul lavoro risultano infatti anticipati da incidenti che nella maggior parte dei casi non causano infortuni a persone o danni a cose.
A questo aggiungiamo che non sempre tutto ciò che può accadere risulta prevedibile a priori. Infatti, non tutti gli scenari incidentali possibili risultano anche credibili e non sempre l’analista e/o il datore di lavoro, impegnati nelle valutazioni del rischio preventive, riescono ad analizzare tutte le articolazioni possibili di tale scenario. Le risorse per l’analisi sono finite mentre gli scenari incidentali possibili risultano tecnicamente illimitati. Dow Chemical Company, a questo proposito, fornisce i seguenti criteri per “scremare” gli scenari di rischio credibile (e quindi meritevoli di approfondimento di valutazione) dall’insieme degli scenari di incidente possibile:
1) Ogni singolo evento che possa ragionevolmente accadere è uno scenario credibile;
2) Scenari che necessitino, per manifestarsi, l’accadimento di due o più eventi totalmente indipendenti tra loro non sono credibili;
3) Scenari che necessitino, per manifestarsi, l’accadimento di più di due eventi in sequenza non sono scenari credibili;
4) Un guasto che si verifica mentre un dispositivo a funzionamento indipendente è in attesa di riparazione si può inquadrare come un guasto che accade durante il periodo dell’apertura dell’emergenza ed è quindi credibile. La mancanza di disponibilità del dispositivo non riparato è una condizione preesistente.
Il Cigno Nero può quindi apparire per un difetto di previsione connaturato alla natura stessa della metodologia di valutazione del rischio. Al di là del settore dei grandi rischi industriali, anche tutte le analisi e valutazioni del rischio condotte in applicazione del D.Lgs. n. 81/08 possiedono un certo grado di affidabilità, che non sarà tuttavia mai assoluta.
Sia l’analista sia il datore di lavoro (e le molte altre figure che partecipano al processo di analisi e valutazione dei rischi) fondano le loro valutazioni su previsioni simulazioni e non su divinazioni, come purtroppo alcune sentenze della magistratura, elaborate sulla scorta del “senno di poi”,  lascerebbero intendere. Non tutto è prevedibile e non tutto è prevenibile a priori.
L’adozione del “senno di poi” nelle indagini successive all’infortunio illumina invece l’evento incidentale da una prospettiva radicalmente differente rispetto a quella presente prima dell’evento stesso. Il “senno di poi” rende a posteriori credibili anche scenari di rischio che erano semplicemente possibili in fase di analisi preventiva.
La perturbazione introdotta dal “senno di poi” è rilevantissima dato che:
1)“il senno di poi” permette di guardare indietro, dall’esterno, la sequenza di eventi che hanno portato all’evento che già si conosce (perchè si è manifestato);
2)“il senno di poi” fornisce un accesso quasi illimitato alla vera natura della situazione che circonda le persone al momento dell’evento;
3)“il senno di poi” permette di individuare ciò che le persone non hanno fatto ma avrebbero potuto/dovuto fare.
Tale approccio induce una pericolosa equivalenza tra le cause e le relative conseguenze che, in molti casi, prima dell’evento incidentale risultano inconoscibili a chi le vive direttamente.

Un miglioramento dell’affidabilità delle metodologie di valutazione del rischio è permesso dall’analisi degli incidenti accaduti nel passato, siano essi stati causa o meno di infortunio o di danni materiali.
Osserviamo infatti che gli infortuni sul lavoro e la loro gravità risultano, in genere, correlati all’insieme degli incidenti che avvengono durante i normali cicli di produzione aziendale. Alcuni studi evidenziano e dimostrano questa nostra considerazione preliminare.
Il primo, e più citato, è stato pubblicato nel 1959 da William Heinrich; in esso si conclude che il rapporto tra gli incidenti che causano infortuni gravi/infortuni non gravi/nessuna lesione risulta pari a 1/29/300.
Più recentemente (1985) Bird, studiando 1,75 milioni di incidenti sul lavoro accaduti in Germania deduce che il rapporto tra incidenti che causano infortuni gravi/infortuni non gravi/danneggiamenti alla proprietà/nessuna conseguenza sono in relazione tra loro secondo il seguente rapporto: 1/10/30/600.
Pure l’HSE Britannico si è cimentato nella verifica delle conseguenze degli incidenti sul lavoro e queste sono le loro conclusioni: il rapporto tra infortuni invalidanti/infortuni minori/infortuni da primo soccorso/danni alla proprietà/nessuna conseguenza è pari a 1/3/50/80/400. A questo proposito l’HSE propone una sezione tematica molto interessante relativa al calcolo dei costi dovuti ad incidenti sul lavoro.
Le precedenti considerazioni ci spingono quindi a considerare sia l’incidente, sia l’infortunio grave, sia l’infortunio non grave, come eventi collegati tra loro. In particolare, al di là delle differenze numeriche presenti nei vari studi, possiamo assumere che nell’insieme complessivo degli incidenti che accadono sul luogo di lavoro, una grande parte non causerà danni significativi, una parte minore (1-10%) causerà infortuni reversibili ed una frazione molto limitata, inferiore all’1% può causare infortuni dalle conseguenze permanenti. Una possibile rappresentazione grafica di quanto detto è la seguente (cd. piramide di Heinrich), dove N1, N2 ed N3 rappresentano rispettivamente le percentuali relative agli infortuni invalidanti, infortuni temporanei ed incidenti privi di conseguenze.

Questa modalità di collegare tra loro gli eventi consente di concludere che solo una riduzione complessiva del numero degli incidenti permette una reale limitazione del tasso infortunistico aziendale. A questo fine si rende pertanto indispensabile un’analisi post incidentale non limitata ai soli eventi apicali (infortunio invalidante e temporaneo). Solo una riduzione del numero complessivo degli incidenti (attraverso misure di prevenzione e protezione) consente una complessiva riduzione degli eventi con coinvolgimento dei lavoratori. A questo proposito, l’art. 4.5.3 della norma gestionale OHSAS 18001 prevede che l’organizzazione stabilisca, attui e mantenga attiva una procedura per registare, investigare ed analizzare gli incidenti accaduti nel luogo di lavoro. Le azioni correttive conseguenti contribuiranno a limitare gli eventi posti alla base degli infortuni sul lavoro.
Le modalità di indagine dovranno tuttavia essere il più possibile svincolate dall’approccio perturbante del “senno di poi”.
Concludendo, la risposta alla domanda: “l’infortunio sul lavoro è sempre un Cigno Nero?” è no, nella maggior parte dei casi. Le cause che portano all’infortunio sono infatti prevenibili attraverso una metodologia di valutazione affidabile ed, in ogni caso, risultano già scritte all’interno degli incidenti che non hanno generato lesioni ai lavoratori. Un’accurata indagine su tutti gli incidenti può consentire una reale e stabile riduzione del tasso infortunistico aziendale.
Tuttavia il Cigno Nero può purtroppo manifestarsi insinuandosi negli scenari di rischio possibili ma non credibili oppure generando l’infortunio al primo atto imprudente compiuto dal lavoratore.

(Post pubblicato originariamente su Postilla.it il 27/9/2010)

© Marzio Marigo

Share