Rischio e sua percezione: again

Immaginate per un attimo di vivere in una città di provincia.

Né bella, né brutta.

Con un tasso di disoccupazione e di criminalità medio.

Se aveste necessità di un litro di latte mandereste vostra figlia di sei anni ad acquistarlo nel negozio sotto casa? E se il negozio fosse distante 50 metri da casa? E se la distanza fosse, invece, di 250 metri? E un chilometro? Fareste fare a vostra figlia un chilometro per un litro di latte?

E se invece di un litro di latte, voi foste a letto con una specie di influenza, febbre a 41°C, dolori articolari insopportabili e l’impossibilità di stare lontani dal bagno per non più di cinque minuti, mandereste vostra figlia seienne ad acquistare nella farmacia sotto casa i farmaci che la guardia medica vi ha appena prescritto? E se la farmacia fosse distante da casa 50 metri?… ecc.

Ecco, probabilmente chi legge avrà risposto. E avrà individuato una distanza inversamente proporzionale alla propria percezione di quel rischio specifico (attenzione, discutiamo di percezione del rischio, non di rischio effettivo).

Facendo, nel primo caso come nel secondo, una valutazione dei costi e dei benefici dell’attività.

Qualcuno, in altro ambito, si è spinto a calcolare (con un approccio statistico frequentista), il rischio corso in una giornata tipo da un lavoratore impiegato in un’azienda chimica (Kumamoto, Henley, 1996) e ha derivato lo schema di sintesi seguente.

In realtà il problema è forse più vasto: ad ogni nostra attività quotidiana è connesso un rischio oggettivo ed uno percepito. La percezione personale dei pericoli e delle probabilità ad essi connesse è peraltro variabile da persona a persona, da cultura a cultura, ecc. Purtroppo (e a volte per fortuna) tale valutazione è spesso inconscia. Una valutazione condotta a nostra insaputa (più o meno) dal “Sistema 1″ così come definito da Daniel Kahneman. 

Facciamo un altro esempio? Qualche anno fa a New York (Sunstein, 2004) gli abitanti di alcuni quartieri sostennero una campagna per la rimozione dell’amianto dalle scuole, preoccupati per la salute dei propri figli. Gli esperti, al contrario, concordavano sul fatto che i rischi di cancro derivante dall’esposizione fossero statisticamente limitatissimi (era utilizzato per fini di prevenzione incendi ed era completamente inglobato all’interno delle strutture). Quando si scoprì che la rimozione avrebbe determinato la chiusura delle scuole per diverse settimane e che tale chiusura avrebbe causato inconvenienti ai genitori connessi alla gestione dei propri figli, l’atteggiamento della popolazione cambiò e la rimozione dell’amianto si trasformò in una idea pessima. Quando poi furono resi noti i costi che l’operazione avrebbe comportato, la percezione del rischio dei genitori si allineò a quella degli esperti e non se ne fece più nulla.

Il rischio percepito divenne rischio effettivo.

L’amianto rimase lì dov’era.

I genitori realizzarono una cosa che all’inizio non avevano fatto, una valutazione razionale dei costi e dei benefici.

E, arrivando al terzo esempio, quando un operaio in una piccola azienda lavora su di una pressa con le protezioni disinserite cosa possiamo pensare? Probabilmente, all’opposto del caso precedente, egli percepisce il pericolo derivante dall’operazione molto inferiore rispetto al vantaggio che trae dal velocizzare il lavoro.

Qualche tempo fa, in visita presso una piccola azienda padronale, vidi un lavoratore operare con una calandra (vedi link a pagina 8) intento a profilare delle virole che, collegate tra loro, avrebbero costituito il contenimento di un silos d’acciaio dell’altezza di circa 20 metri.

La mia domanda all’operatore fu: “Ma perché lavora a protezioni sospese?”

La sua risposta: “Perché almeno una volta ogni due-tre ore la virola accidentalmente tocca la fune di emergenza e la macchina si arresta. E sono costretto a lasciare la lavorazione e riarmare il quadro elettrico”.

In questo caso l’operatore fece una sua personale valutazione dei costi e dei benefici. Lavorava a protezioni sospese per evitare di perdere forse cinque minuti ogni due ore.

Non percepiva adeguatamente che poteva, per errore, “calandrarsi” pure le mani e, forse, le braccia.

“Tanto una cosa così non l’ho mai vista succedere” (cit.)

Preciserei: “QUASI mai”.

Il “QUASI”, in questo caso, fa la differenza. Questa persona, tra cinque anni, potrebbe ancora avere le proprie mani integre.

Oppure no.

Insomma il problema, oltre ad essere articolato e complesso tecnicamente, si incrocia con aspetti psicologici (sia personali sia di gruppo). 

Alcune considerazioni a margine:

  • la prima: nessuno consciamente si assume rischi senza avere una controparte in termini di benefici;
  • la seconda: siamo, come esseri umani, incapaci di valutare il parametro “probabilità”, soprattutto quelle di livello minimo. A maggior ragione se la cosa riguarda la nostra sfera personale o di responsabilità/valutazione/azione. Il 2,5% di probabilità di vincita potrebbe essere ritenuto trascurabile se si sta giocando la tombola di Natale. Forse lo sarebbe meno (trascurabile, dico) se si è in attesa della risposta di un esame che indicherà, con la medesima probabilità, la presenza o meno di un linfoma;
  • la terza: in molti ambiti di rischio (impianti a rischio di incidente rilevante, rischio idrogeologico, rischio NaTech, terrorismo, vaccinazioni, ecc.) la valutazione personale non specialistica viene formulata PRIMA a livello emotivo. Solo successivamente la nostra parte razionale entra in gioco ma, spesso, solo per confermare la posizione ormai assunta emotivamente/inconsciamente (l’emotività e l’inconscio sono il “cliente” mentre la razionalità è “l’avvocato”. E l’avvocato è sempre al servizio del proprio cliente, come direbbe Jonathan Haidt). 

Avremo modo di riparlarne.

Alla prossima!

© Marzio Marigo

__________

Corso sulle novità in tema d’ATEX, le iscrizioni sono aperte (come si dice in queste circostanze? Ah, si: i posti si stanno esaurendo)Rischio Atmosfere Esplosive ATEX. Le novità recenti, i metodi e le applicazioni (Bologna, 23/2/2018)

__________

UPDATE DEL 12/11/2017, ore 18:20

A seguito dei quesiti formulati nell’ambito delle piattaforme social sui quali il presente post è stato caricato provvedo ad integrare il testo originale con una sintesi delle risposte da me fornite in tali sedi, ringraziando qui, ancora una volta, gli autori delle domande.

Percezione del rischio e gruppo di lavoro. Certamente l’effetto del gruppo di appartenenza sulla percezione del rischio è straordinariamente importante, come dimostra l’esperimento psicologico di Zimbardo, nel quale si evidenzia la drammatica differenza nelle modalità comportamentali, a fronte di uno specifico rischio, da parte di una persona sola rispetto ad un soggetto incluso in un gruppo (il riferimento è quello di stanza che viene invasa da fumo simulando un incendio). Esiste poi l’Asch Conformity Experiment, nel quale si dimostra la tendenza delle persone ad uniformare le proprie opinioni a quelle del gruppo di riferimento (giuste o sbagliate che siano. Le opinioni, dico). Ed infine l’effetto Bystander sul ruolo giocato dalla passività del gruppo verso una richiesta d’aiuto. Ce ne sarebbe da discutere, magari in altro post.

Percezione del rischio e ruolo della direzione. Appare di fondamentale importanza, in un ambito più strettamente lavorativo, una “condivisione di senso” che parta dall’alta direzione e arrivi fino al reparto. Non credo di rivelare nulla di nuovo se dico che i messaggi chiave dell’alta direzione/datore di lavoro giungono fino al reparto in modo inequivoco quando esiste la volontà di trasmetterli (produzione efficiente, velocità nell’eseguire il proprio compito, qualità finale del prodotto, ecc). Tutti i lavoratori sono chiaramente formati in questo, conoscono il loro ruolo all’interno dell’organizzazione. Altri messaggi invece, che possono comprendere anche gli aspetti relativi alla Safety, in qualche modo si perdono per strada nel passaggio TOP-DOWN. O perché non sono stati mai trasmessi oppure perché a livello informale si comprende che non sono “strategici” per l’impresa.

Percezione del rischio e formazione. La parte formativa aziendale sul core business viene condotta in modo efficace, nella maggioranza dei casi “on the job”, e senza dilungarsi in corsi di formazione formalizzati. Per veicolare invece i messaggi afferenti alla sicurezza si organizzano corsi di formazione svolti, nella maggioranza dei casi, in aula, da persone esterne all’organizzazione e in assenza dei vertici locali (es. dirigenti, preposti). Che messaggio si invia così procedendo? Non è che si ottiene un effetto acquario che, in sostanza, accontenta la forma ma nel quale la sostanza è assai poca? Ce ne sarebbe da discutere pure su questo. Parecchio.

Share

Delle domande. E delle Sibille.

Questa volta un “pezzo” filosofico, diciamo così…

In un recente corso al quale ho partecipato il relatore insisteva sul concetto di porsi le domande giuste, cosa con la quale certamente concordo.

Se non ci si pone il giusto quesito difficilmente possiamo giungere a cogliere l’essenza del problema impiantistico.

E non è nemmeno vero che la proposizione delle giuste domande arrivi con un atto deliberato: “Ora mi pongo le domande sul processo dell’azienda X”.

In molti ci hanno tentato, e l’HAZOP ne è la dimostrazione.

Ma non possiamo pensare di risolvere tutto con metodiche adatte alla valutazione di rischio in impianti chimici o in centrali nucleari.

E quindi ci si deve ingegnare.

Nella maggior parte dei casi la domanda giusta è conseguente al processo di sopralluogo nel quale è necessario ascoltare la voce di tutti.

Amministratore delegato, processista, manutenzione, lavoratori, RSPP, RLS, parte sindacale. Tutti, a loro modo, possiedono una personale verità e consentono di illuminare con luce differente una lavorazione, un ciclo o un processo di produzione.

A volte non è sempre possibile ottenere il parere di tutti. A volte si comprende che la cosa non è gradita. Ma ci si prova ugualmente. Qualcuno potrebbe dire che si va alla ricerca degli Invisible Assets postulati da Hiroyuki Itami.

Solo qualcuno, però.

E ci sarà sempre chi cercherà di utilizzare la tua professionalità per farti dire “cose” utili alla sua “parte”. Un parere rimbalzato da fuori è sempre utile alle proprie personali battaglie di posizione.

“Parlare a nuora perché suocera intenda” afferma la solida cultura popolare.

Purtroppo possiedo il vizio di cercare di farmi un’idea autonoma dei problemi e, pur sforzandomi di ascoltare le persone, cerco di crearmi una “narrazione” il più possibile ancorata ai fatti, alle evidenze empiriche, alla letteratura tecnica e alla normativa.

E, per far saltare fuori la domanda giusta, conosco un solo metodo: pensare al problema in ogni momento, in modo “gesuitico” e “ossessivo”. Per un po’. A caldo. Magari nei giorni successivi al sopralluogo. Il silenzio dell’auto nei viaggi di ritorno è straordinariamente utile. E poi lasciare le cose lì a decantare.

La soluzione, spesse volte, emerge da sé, magari attraverso il pensiero laterale. E magari (ancora) in modo improvviso e inaspettato.

La risposta veloce, al telefono, va bene per le cose che conosci bene e che hai già visto.

I nuovi problemi necessitano, invece, di sedimentazione.

E, non so se accade anche ad altri, di problemi nuovi ce ne sono tutti i giorni.

Il relatore e la sua ricerca delle domande, dicevo…

Alla, credo, quarta ripetizione del medesimo concetto non ho trattenuto un: “Ok, le domande. Ma pure le risposte sono importanti! Ad un tecnico, ad un ingegnere, si chiede certamente l’inquadramento del problema. Ma pure una sua ragionevole chiusura. Soluzioni! Ci chiamano per fornire soluzioni. Evitando, possibilmente, aggettivi che richiamino, anche solo lontanamente, l’opportuno, l’adeguato o l’idoneo”.

Insomma, la penso così.

Nell’ambito della sicurezza tecnologica e del lavoro è necessario certamente farsi domande “giuste” e darsi “risposte” meditate.

A volte scomode.

Evitando tuttavia di passare per “Sibille Cumane” nella stesura dei propri report.

Siamo sarti che confezionano vestiti su misura.

Non magazzini all’ingrosso che offrono modelli standard.

Alla prossima!

© Marzio Marigo

Share

Cellulari che innescano esplosioni durante il rifornimento: mito o realtà?

Accade spesso di assistere a filmati drammatici (qui e qui per esempio), raccolti dalle telecamere di sorveglianza installate in impianti distributori di carburante, che identificano nel telefono cellulare l’origine dell’innesco di incendi o esplosioni.

Il telefono cellulare è certamente una potenziale sorgente di accensione ma solo in certi ambiti e solo con certe sostanze.

Un documento del PEI (Petroleum Equipment Istitute USA), aggiornato al 22/3/2017, ha approfondito i casi di 176 incidenti avvenuti durante il rifornimento in diverse stazioni di servizio USA e non ha trovato alcuna evidenza del coinvolgimento di telefoni cellulari nell’innesco di incendi. In esso si specifica che: “So far we have been unable to document any incidents that were sparked by a cellular telephone” cioè “Finora non siamo stati in grado di documentare eventuali incidenti innescati da un telefono cellulare”.

Sembra abbastanza esplicita come affermazione, non trovate?

Certo, l’assenza di prove di coinvolgimento non è certamente la prova dell’assenza di coinvolgimento ma, in questo caso, esiste un grande colpevole che spesso si dilegua e la fa franca: l’elettricità statica.

La causa dei flashfire che si vedono nei molti video su youtube è dunque l’innesco elettrostatico dovuto:

  • al contatto tra due conduttori a differente potenziale (mano della persona e pistola di erogazione) in presenza di una nube di vapori di benzina con una concentrazione interna al campo di infiammabilità (LFL-UFL);
  • all’autoinnesco della benzina la quale, caricandosi elettrostaticamente a causa dell’elevata resistività (vedi CLC/TR 60079-32-1 o NFPA 77), in assenza di riempimento a sorgente (es. serbatoio di motociclette), può dar luogo ad innesco della nube ATEX con conseguente esplosione.

Ci siamo quindi?

Una volta usciti dall’automobile stiamo all’aperto fino a che il rifornimento è terminato. Se rientriamo in auto, infatti, lo strofinio tra gli abiti e il tessuto del sedile ci può caricare elettrostaticamente, soprattutto in presenza di giornate con poca umidità atmosferica. Si creerà, quindi, una sorta di condensatore del quale noi diventiamo un’armatura. In conseguenza di questo, una volta riscesi dall’auto se ci avviciniamo troppo ad un altro conduttore con differente potenziale, che potrebbe essere l’erogatore di benzina, si romperà l’isolamento del dielettrico (l’aria), si riequilibreranno le cariche con un sottilissimo filo di plasma elettrico, e la scintilla generata sarà capace di innescare qualsiasi sostanza infiammabile.

Per esempio i vapori di benzina che stanno proprio lì attorno.

Peraltro, in teoria, i rifornimenti self-service non dovrebbero consentire il bloccaggio dell’erogatore in fase di rifornimento proprio per questo problema.

In teoria…

Non siamo ancora del tutto convinti dell’innocenza del cellulare?

Posto allora le prove definitive di quanto affermo… più o meno, diciamo…

La prima: il test condotto dai pazzi di Brainiac. Ne fa le spese una incolpevole roulotte.

La seconda: il test condotto dai due fenomeni di Mythbusters. Anche in questo caso l’evidenza è inequivoca. I cellulari sono innocenti. L’innesco elettrostatico è il vero colpevole.

Alla prossima!

MM

PS – Per tranquillizzarci un po’, per stessa ammissione del PEI, l’adozione di sistemi di recupero dei vapori ha reso trascurabile il fenomeno dell’esplosione durante il rifornimento, prima presente in modo rilevante in USA (in Europa è da molto che il rifornimento con il recupero dei vapori è stato introdotto). Insomma, stiamo tranquilli. Ma non risaliamo in auto durante l’operazione, ok?

Brevi note scientifiche

Sul tema del potenziale di innesco dei telefoni cellulari durante le operazioni di rifornimento l’indagine maggiormente citata è stata effettuata da Glenn Kuriger dell’Università dell’Oklahoma nel 2001. Le evidenze del paper indicano che, nonostante l’energia presente nella batteria di un telefono cellulare possa essere sufficientemente elevata da configurare un rischio di accensione per la benzina, perché l’accadimento abbia luogo sono necessarie condizioni ottimali e anomalie specifiche altamente improbabili da raggiungere. La probabilità di un’esplosione dipende, cioè, da una fonte di ignizione che dovrebbe essere collocata nel posto giusto al momento giusto e capace di fornire la giusta quantità di energia. La loro ricerca indica che tale evento, seppur possibile non appare credibile. Risulta infatti estremamente improbabile e con caratteristiche tali da poter essere trascurato (Kuriger, 2003).

L’EFAA, ad integrazione di quanto detto, nel 1999 conclude che: “(…) the use of a mobile phone at a petrol filling station (…) under normal operating conditions presents a negligible hazard and that the likelihood of such an accident under any conditions is very remote.”

Un altro aspetto particolarmente interessante, approfondito da Burgess nel 2007, è connesso alla “cascata sociale di credenza”, cioè al motivo per il quale, a fronte di una persistente assenza di prova, anche ora si ritenga il telefono cellulare un pericolo reale durante il rifornimento alla stazione di servizio. L’autore identifica almeno due fattori concomitanti e catalizzanti l’un l’altro. Il primo è legato al regime precauzionale con il quale le compagnie petrolifere britanniche hanno imposto la restrizione d’uso dei dispositivi mobili sui piazzali delle stazioni di servizio che ha avuto l’effetto di confermare il pericolo. I segnali di avvertimento nei manuali dei telefoni cellulari hanno poi indotto un effetto simile conducendo ad ulteriori limitazioni alle stazioni di rifornimento.

Insomma dietro al problema dell’effetto fantasma del telefono cellulare non ci sono solo ragioni tecniche, ma anche cognitive, di percezione del rischio e sociali.

Bibliografia minima

Burgess, A. (2007). Real and phantom risks at the petrol station: The curious case of mobile phones, fires and body static. Health, risk & society, 9(1), 53-66

EFAA (1999) Mobile Phone Usage at Petrol Stations (Menlo Park, CA: Exponent Failure Analysis Associates)

Kuriger, G. (2003) Potential for a mobile phone battery to act as a source of ignition.  In  Technical  Seminar Proceedings (London: Institute of  Petroleum), pp.  23 – 28

© Marzio Marigo

Share

Maslow, motivazione e rischio

Spesse volte accade che nei corsi in tema di sicurezza sul lavoro intervengano psicologi per due motivi principali.

Il primo: lo stress lavoro correlato. Non entro nemmeno nell’argomento. Si è detto, sul tema, tutto e il suo contrario. E non ho nemmeno una posizione chiara in merito.

Il secondo: le motivazioni umane ed organizzative alla sicurezza, spesse volte nell’ambito di corsi inerenti i sistemi di gestione della sicurezza sul lavoro (SGSL). E cosa c’è di immancabile nella cassetta degli attrezzi che ci si porta a casa dopo un corso di questo tipo? Ovviamente la piramide di Maslow con la quale si fornisce la mappa delle motivazioni al comportamento umano, singolo e/o organizzato, in tema di sicurezza.

Abraham Maslow fu uno psicologo umanista statunitense e le sue teorie ebbero grandissimo successo nell’America anni ’60. Spiegavano (spiegano) in modo semplice e comprensibile uno dei problemi da secoli oggetto di dibattito: cosa c’è dietro la motivazione umana? Peraltro è abbastanza recente la pubblicazione in lingua italiana del saggio che compendia complessivamente la sua teoria: Motivazione e personalità.

Maslow, in estrema sintesi, crea una gerarchia piramidale tra i bisogni umani e postula che, per avvertire la necessità del soddisfacimento dei bisogni apicali della piramide, sia prima necessario appagare le esigenze poste alla base della medesima. Detto in termini un po’ prosaici: prima mangio, poi mi copro e solo allora posso pensare di elaborare la parafrasi sensata di una terzina di Dante.

Così dovrebbe avvenire nella vita sociale, così dovrebbe avvenire negli ambiti lavorativi, così (ancora) dovrebbe accadere nell’ambito della sicurezza sul lavoro.

Ovviamente, come è bene comprensibile, la teoria di Maslow, proprio perché riconduce un problema enorme e complesso ad una narrazione semplice ed immediatamente comprensibile, non può essere corretta. Non a caso è stata nel corso degli anni variamente criticata senza mai giungere, tuttavia, ad una sua completa falsificazione. D’altronde si discute di psicologia e non di fisica quantistica.

Quello che personalmente a me (meccanico di provincia) non torna, sono le seguenti cose tre cosine:

  1. Non credo risponda al vero una scala dei bisogni costante per ogni epoca sociale, economica e di vissuto personale. In fase di crisi e/o incertezza si ha minore tendenza all’apertura, alla volontà di autoaffermazione, rispetto a periodi espansivi. Laura Carstensen, una docente di Stanford, a questo proposito, condusse una ricerca ad Hong Kong prima, durante e dopo il passaggio del controllo politico dalla Gran Bretagna alla Cina. I comportamenti sociali tipici della parte alta della piramide di Maslow, presenti durante in controllo inglese, si abbassarono di livello durante le fasi di incertezza, per poi ripristinarsi quando si comprese che, tutto sommato, la Cina decise di lasciare immutate le dinamiche economiche esistenti.
  2. Il comportamento dei ragazzi è molto spostato verso la parte alta della piramide, a dispetto soprattutto dei bisogni di sicurezza e stabilità. La tendenza al rischio volto al raggiungimento di una propria personale affermazione contrasta non poco con i postulati espressi da Maslow. E non discuto solo di sicurezza sul lavoro, ovviamente.
  3. Per converso, i tipici comportamenti dell’età adulta appaiono molto meno espansivi in termini di socialità e apertura alla novità ricercando molto di più sicurezza sia nelle relazioni sociali come nel rapporto e nelle condizioni di lavoro. In questo ambito, probabilmente, la piramide di Maslow fornisce previsioni più credibili.

Insomma, non diamo per scontato che tutte le “mappe” che ci vengono fornite siano affidabili. Utilizzare le teorie di Maslow per spiegare gli andamenti infortunistici in azienda o per cercare di motivare alla sicurezza il comportamento singolo o dell’intera organizzazione, come ho purtroppo visto fare, potrebbe essere non solo semplicemente inutile.

Ma addirittura controproducente.

PS – No, non nutro particolare acredine verso la specifica forma geometrica.

© Marzio Marigo

Share

Del colloquio di lavoro e di un incidente nucleare

Sei rimasto a casa dal lavoro perché devi sostenere, questa mattina, un importante colloquio presso una grande società di ingegneria che ha gli uffici posti in prossimità del centro della città. Tua moglie è già uscita di casa ma ti ha lasciato la caffettiera sul fornello per velocizzare il tuo, sempre problematico, risveglio. L’ha già riempita di caffè ben tostato ma si è, purtroppo, dimenticata dell’acqua. Accendi il gas e, dopo un po’, avverti un odore di gomma bruciata. La guarnizione è danneggiata e la valvola di sicurezza della parte inferiore della caffettiera irrimediabilmente rotta. Dato che non è proprio pensabile che tu possa sostenere un colloquio di lavoro senza la tua dose di caffeina quotidiana, rovisti nell’armadio della cucina fino a quando ritrovi una vecchia moka.

La tua salvezza.

La riempi d’acqua, premi per bene il caffè sopra, e aspetti il gorgoglio familiare, guardando con una certa apprensione l’orologio posto sul tavolo.

Bevi il caffè in velocità.

Ora sei pronto per l’importante impegno che ti attende.

Ti precipiti fuori dalla porta ma, quando arrivi all’auto, ti accorgi di aver lasciato sia le chiavi dell’automobile, sia quelle di casa… dentro casa.

Maledizione.

Ok, niente panico, sei previdente, in fondo conservi sempre una seconda chiave di casa in un luogo segreto che conosci solo tu (questa, di fatto, rappresenta una misura di sicurezza ridondante, spieghi sempre nei tuoi corsi). Fai mente locale, ti appresti a risalire le scale ma un pensiero sconfortante ti assale. Hai prestato la “chiave di emergenza” ad un tuo amico che avrebbe dovuto restituirti dei libri ma non sapeva quando sarebbe passato di là (ha cambiato di recente città, infatti).

Tu e tua moglie non siete quasi mai in casa (troppo lavoro, troppi impegni, troppi casini) e il tuo amico avrebbe potuto restituire il prezioso ed introvabile manuale di sicurezza industriale solo in questo modo.

Insomma, gli eventi che non ti consentono di utilizzare né la chiave normale né quella di emergenza sono stati generati da una unica causa comune: te stesso. Tecnicamente sei una “Common Cause Failure”, CCF, diresti proprio tu nei tuoi corsi.

Si sta facendo tardi, ma c’è sempre l’auto del tuo vicino. Un signore in pensione che usa la macchina una volta al mese e la mantiene in buona efficienza.

Bussi alla sua porta.

Ti apre e ti guarda come se fosse sveglio da ore, ormai.

Racconti brevemente quanto ti è accaduto.

Lui gentilmente ti risponde che si, presterebbe la propria auto ad un “giovanotto” come te, ma la sua gloriosa FIAT ha l’alternatore guasto, l’elettrauto se l’è portato via la scorsa settimana e, proprio oggi pomeriggio, viene a rimontarlo.

“Cavolo”, pensi, “un altro sistema di backup non ha funzionato”. Peraltro questo, a differenza dell’altro, senza alcuna causa comune alla radice. Tu e l’alternatore dell’auto del tuo vicino di casa non siete in relazione né diretta, né indiretta.

Sconsolato, ormai, ti rassegni a prendere l’autobus ma… c’è un “ma” anche questa volta. Il tuo vicino (diavolo di un vicino!) ti informa che c’è uno sciopero generale dei bus proprio oggi. In effetti, facendo mente locale, ricordi di aver sentito alla radio che c’era un’agitazione in atto da tempo. Gli autisti si rifiutano di guidare dei mezzi che sono, a loro dire, non sicuri. Questa protesta, inoltre, porta con sé anche una rivendicazione salariale.

Avverti un sottile fremito alla bocca dello stomaco e telefonando alla stazione dei taxi, ti rendi conto che non ce n’è nessuno disponibile. Lo sciopero dei bus ha generato la penuria di taxi. Comprendi immediatamente che questi eventi sono, tra loro, strettamente connessi. Fortemente accoppiati, direbbe il professor Charles Perrow, lo scienziato sociale che postulò, negli anni ’80, la “normalità” nell’accadimento degli incidenti industriali (Normal Accident Theory, NAT).

Non ti resta altro da fare che chiamare mestamente la segretaria della società di ingegneria che ti aveva contattato la scorsa settimana e, sconsolato, cerchi di spiegare cosa ti è capitato. La signora Blücher, Frau Blücher (si, come quella dei cavalli di “Frankenstein Junior”. In fondo la società che ti ha chiamato è tedesca) ti ascolta in silenzio e risponde che “si, è un po’ strano. Ne prenderò nota e trasmetterò l’informazione. La contatteremo di nuovo noi, non si preoccupi”.

Nel file del tuo profilo, tra le annotazioni, scriverà: “Persona inaffidabile”.

Chiediamoci ora: Qual è stata la causa principale di questo “incidente”? Perché, cioè, hai perso l’opportunità di un nuovo lavoro?

1) Errore umano (es. dimenticarsi l’acqua del caffè, dare le chiavi di emergenza al proprio amico)?

2) Guasto meccanico (es. alternatore dell’auto)?

3) Ambiente (es. sciopero dei bus e taxi introvabili)?

4) Errore di progettazione del sistema (es. possibilità di rimanere chiusi fuori casa, impossibilità di sopperire allo sciopero dei taxi)?

5) Procedure utilizzate (es. lasciare il caffè sul fornello, ecc.)?

Hai risposto?

Rivelo ora un segreto: questo racconto è, in metafora, quanto realmente accaduto, nel 1979, nel corso del disastro nucleare di Three Mile Island, il primo grande incidente con fusione del nocciolo della storia della generazione elettronucleare moderna.

Dunque, se hai risposto “SI” alla prima domanda ti sei orientato come i periti della Commissione Presidenziale incaricata di accertare le responsabilità.

Se invece hai risposto “SI” alla seconda domanda hai giudicato le responsabilità come i gestori dell’impianto nucleare, la Metropolitan Edison.

Se, infine, hai detto “SI” alla quarta domanda, hai avuto la medesima idea dei tecnici dell’Essex Corporation incaricata dall’NRC (Nuclear Regulatory Commission) di far luce sull’incidente.

Secondo Charles Perrow, invece, la migliore risposta da dare è “Nessuna delle precedenti”.

La causa dell’incidente è semplicemente data dalla complessità del sistema che possiede forte interattività e accoppiamento tra le variabili in gioco. In queste situazioni un incidente è “normale”.

Tornerò in futuro su questa interessante teoria.

Liberamente tradotto ed adattato da: Perrow C., Normal Accidents: Living with High-Risk Technologies, Princeton University Press (USA), 1999

© Marzio Marigo

Share

Errore umano e sicurezza tecnologica

Quanto e come sbaglia una persona? E’ possibile determinare, in modo sufficientemente preciso, un parametro che specifichi l’affidabilità umana nell’esecuzione di un dato compito? Tali tipologie di domande si sono poste in settori nei quali era necessario determinare in modo oggettivo l’affidabilità di processi particolarmente pericolosi e a rischio (es. settore aeronautico, nucleare, chimico, ecc.). Sono tuttavia presenti limitazioni e difficoltà, nelle risposte, che includono almeno i seguenti aspetti:

  • il comportamento umano è complesso e non si presta a essere descritto come un semplice componente di un sistema elettromeccanico. La prestazione umana, a fronte di una sollecitazione esterna, può essere influenzata da fattori sociali, ambientali, psicologici, organizzativi e fisici difficilmente classificabili;
  • l’azione umana non si può considerare esclusivamente in modo binario (successo o guasto), come in un sistema hardware;
  • i maggiori problemi che si incontrano nella valutazione dell’affidabilità umana sono relativi ai dati comportamentali in situazioni estreme e/o di emergenza.

Tuttavia, pur tenendo in considerazione i limiti dell’analisi, osserviamo innanzi tutto che è necessaria una sicura distinzione tra i possibili errori che possono essere commessi da un essere umano. Essi si suddividono in quattro tipologie differenti:

  • gli slips;
  • i lapses;
  • i mistakes;
  • le violazioni volontarie.

Qui ci occuperemo delle prime tre tipologie di errore, richiedendo la quarta opzione un approfondimento specifico e dedicato. Alla prima categoria, gli slips, appartengono le piccole azioni, frequentemente svolte, che sono eseguite in modo differente da quanto voluto. Alcuni esempi:

  • durante la movimentazione con un carroponte di una massa dal peso rilevante, si preme sulla tastiera di comando il tasto “discesa” al posto di quello “salita”;
  • si legge, in un pannello di controllo, uno strumento (es. voltmetro) scambiandolo per un altro (es. amperometro);
  • agendo su una saracinesca di intercettazione, si aumenta il flusso di liquido all’interno della tubazione invece di intercettarlo.

Tali errori risultano tanto più frequenti quanto meno ergonomicamente sono progettati i posti di lavoro. Misure indispensabili finalizzate ad una loro diminuzione consistono nella chiara ed univoca identificazione di strumenti, apparecchiature e sistemi di comando controllo nonché nell’adozione delle misure tecniche necessarie per rendere difficoltoso l’azionamento accidentale dei comandi stessi.

La seconda categoria, i lapses, sono degli errori di memoria, particolarmente presenti durante fasi di lavoro proceduralizzate . E’ infatti sempre possibile scordarsi alcuni passaggi fondamentali, in un lavoro che richiede più fasi articolate di intervento. Soprattutto se quest’ultimo deve essere realizzato velocemente e senza supervisione. Alcune misure importanti per ridurre l’accadimento di tali errori consiste nell’adozione di checklist operative spuntabili, che permettono di tenere sotto controllo l’avanzamento del processo. A questo proposito esistono almeno due tipologie di checklist operative:

  • esecuzione e conferma;
  • lettura ed esecuzione.

In entrambi i casi deve essere prevista la casella di spunta, per dare evidenza dell’operazione effettuata. Le checklist non possono essere vaghe o imprecise. I termini opportuno, adeguato, idoneo devono essere banditi da una checklist realmente operativa. La descrizione delle voci non deve essere lunga e non deve proporsi lo scopo di descrivere ogni particolare dell’aspetto trattato. L’utenza alla quale si rivolge è professionale e dovrebbe avere bene presente ciò che si appresta a fare. Devono andare direttamente al punto di verifica ed essere fruibili anche i circostanze di forte stress emotivo. Devono limitarsi a ricordare le azioni più importanti da attuare e il corretto ordine necessario all’esecuzione. Nelle checklist troppo lunghe alcuni passaggi tendono a essere saltati. E’ per questo che, in Boeing, la regola di massima è di realizzare liste di controllo con un numero massimo di voci compreso tra cinque e nove.

L’ultimo tipo di errore, i mistakes, sono essenzialmente scorrette operazioni di diagnosi o di pianificazione. Si conosce l’obiettivo che si vuole raggiungere ma, sbagliando la diagnosi iniziale del problema, si propongono soluzioni errate che non ne permettono la soluzione. Questo è un tipico errore dovuto a carenze di expertise professionale. E’ per questo che la soluzione non può che passare attraverso una maggior qualifica degli operatori (=maggiore informazione, addestramento e formazione) oppure, in alcuni casi complessi, attraverso la discussione delle problematiche in riunioni tecniche specificamente dedicate.

Nell’ambito della valutazione dell’affidabilità umana sono state elaborate, a partire dagli anni ’70, molte metodologie di analisi. Alcune particolarmente complesse e indirizzate al solo ambito nucleare, altre più flessibili e con un campo applicativo più vasto. Si citano, a titolo riepilogativo, le seguenti:

  • Ambito nucleare: WASH 1400, THERP, ASEP, SPAR-H, ATHEANA, CREAM, SLIM-MAUD, HRMS, JHEDI, INTENT, CESA, CODA, MERMOS, NARA
  • Ambito generico: HEART, APJ, PC, CAHR,

Un’analisi di questi studi porta a concludere che una persona può manifestare differenti “fallibilità” in relazione alla specificità del compito che sta svolgendo. In particolare i tassi di errore umano che quantifica lo storico Rapporto Rasmussen del 1975 denominato WASH 1400 (cfr. nota 1) sono i seguenti:

  • eseguire banali calcoli aritmetici porta con sé una fallibilità del 3%;
  • la supervisione fatta sull’operatore di altri lavoratori è fallibile nel 10% dei casi, soprattutto all’inizio della verifica;
  • l’esame ordinario a vista condotto in assenza di liste di controllo porta con sé un 50% di guasti non rilevati.

Altresì interessanti risultano gli errori che si commettono in condizioni di stress elevato come, per esempio, durante la gestione di un’emergenza in atto. In tali circostanze si evidenziano tassi di errore che, nelle fasi primarie di emergenza, risultano pressoché totali (100%). All’aumentare dell’intervallo dall’inizio dell’emergenza tale indice gradualmente si riduce fino ad arrivare all’1% a diverse ore dall’inizio dell’evento emergenziale.

E’ consuetudine, tra chi si occupa di affidabilità umana, quantificare un tasso di errore per attività generiche pari al 3%. In generale, quindi, risulta confermata la “regola aurea” la quale valuta che ciascuno di noi, mediamente, compia almeno sei errori significativi alla settimana. Errori che, in presenza delle opportune condizioni al contorno, si possono trasformare in incidenti.

Ora che conosciamo le varie tipologie di errore umano passiamo agli esercizi…

Proviamo a:

  1. elencare almeno due esempi di slips, due lapses e due mistakes;
  2. servendosi dei dati e dei tassi di errore precedentemente indicati, quantifichiamo il numero di sopralluoghi necessario alla valutazione dei rischi presenti in un reparto di una media attività industriale.
  3. postare i risultati dei punti a) e b).

ANNOTAZIONI

Nota 1: Il rapporto WASH 1400, pur essendo ora considerato obsoleto, ha costituito per diverso tempo, nonostante le critiche, lo stato dell’arte sulla quantificazione dell’affidabilità dei sistemi di sicurezza implementati nella tecnologia nucleare.

PER APPROFONDIMENTI

Catino M., Da Chernobyl a Linate. Incidenti tecnologici o errori organizzativi?, Bruno Mondadori, 2006

Marigo M., La manutenzione di macchine ed impianti. Sicurezza ed affidabilità., EPC, 2012

Smith D. J., Reliability, Maintainability and Risk (VIII Ed.), Butterworth-Heinemann, 2011

NUREG-75/014 (WASH-1400)

(Post pubblicato originariamente su Postilla.it il 8/4/2013)

© Marzio Marigo

Share

Incidenti sul lavoro o cigni neri?

Nassim Nicholas Taleb, nel suo  libro, pubblicato in prima edizione nel 2007, postula che il nostro vivere quotidiano sia potenzialmente costellato da accadimenti imprevisti, imprevedibili e dotati di danno inaudito. Egli li chiama Cigni Neri.
I Cigni Neri sono dunque eventi in grado di modificare irreversibilmente la vita delle persone e risultano, a parere di Taleb, difficili da prevedere. Le cause degli stessi sono individuabili solo con il “senno di poi”, ponendoci all’esterno dell’evento stesso e contemplandone i prodromi solo alla luce delle conseguenze che essi hanno manifestato.
Possiamo includere tutti gli infortuni sul lavoro nella categoria dei Cigni Neri? Probabilmente no, nella maggior parte dei casi. Pur non essendo escludibile a priori che un incidente determini un infortunio al suo primo manifestarsi, risulta tuttavia poco probabile, per le ragioni che vedremo. In generale, infatti, l’infortunio si può manifestare in seguito a ripetute azioni inidonee e/o imprudenti in date condizioni di rischio. Inviare sms in auto mentre si guida probabilmente non genererà un incidente stradale al primo “invio”.  Ma tale comportamento, se protratto nel tempo determinerà, prima o poi, un esito catastrofico.
Nell’ambito della sicurezza dei luoghi di lavoro, si può essere quindi parzialmente d’accordo con l’economista americano di origine libanese. Una buona maggioranza di infortuni sul lavoro risultano infatti anticipati da incidenti che nella maggior parte dei casi non causano infortuni a persone o danni a cose.
A questo aggiungiamo che non sempre tutto ciò che può accadere risulta prevedibile a priori. Infatti, non tutti gli scenari incidentali possibili risultano anche credibili e non sempre l’analista e/o il datore di lavoro, impegnati nelle valutazioni del rischio preventive, riescono ad analizzare tutte le articolazioni possibili di tale scenario. Le risorse per l’analisi sono finite mentre gli scenari incidentali possibili risultano tecnicamente illimitati. Dow Chemical Company, a questo proposito, fornisce i seguenti criteri per “scremare” gli scenari di rischio credibile (e quindi meritevoli di approfondimento di valutazione) dall’insieme degli scenari di incidente possibile:
1) Ogni singolo evento che possa ragionevolmente accadere è uno scenario credibile;
2) Scenari che necessitino, per manifestarsi, l’accadimento di due o più eventi totalmente indipendenti tra loro non sono credibili;
3) Scenari che necessitino, per manifestarsi, l’accadimento di più di due eventi in sequenza non sono scenari credibili;
4) Un guasto che si verifica mentre un dispositivo a funzionamento indipendente è in attesa di riparazione si può inquadrare come un guasto che accade durante il periodo dell’apertura dell’emergenza ed è quindi credibile. La mancanza di disponibilità del dispositivo non riparato è una condizione preesistente.
Il Cigno Nero può quindi apparire per un difetto di previsione connaturato alla natura stessa della metodologia di valutazione del rischio. Al di là del settore dei grandi rischi industriali, anche tutte le analisi e valutazioni del rischio condotte in applicazione del D.Lgs. n. 81/08 possiedono un certo grado di affidabilità, che non sarà tuttavia mai assoluta.
Sia l’analista sia il datore di lavoro (e le molte altre figure che partecipano al processo di analisi e valutazione dei rischi) fondano le loro valutazioni su previsioni simulazioni e non su divinazioni, come purtroppo alcune sentenze della magistratura, elaborate sulla scorta del “senno di poi”,  lascerebbero intendere. Non tutto è prevedibile e non tutto è prevenibile a priori.
L’adozione del “senno di poi” nelle indagini successive all’infortunio illumina invece l’evento incidentale da una prospettiva radicalmente differente rispetto a quella presente prima dell’evento stesso. Il “senno di poi” rende a posteriori credibili anche scenari di rischio che erano semplicemente possibili in fase di analisi preventiva.
La perturbazione introdotta dal “senno di poi” è rilevantissima dato che:
1)“il senno di poi” permette di guardare indietro, dall’esterno, la sequenza di eventi che hanno portato all’evento che già si conosce (perchè si è manifestato);
2)“il senno di poi” fornisce un accesso quasi illimitato alla vera natura della situazione che circonda le persone al momento dell’evento;
3)“il senno di poi” permette di individuare ciò che le persone non hanno fatto ma avrebbero potuto/dovuto fare.
Tale approccio induce una pericolosa equivalenza tra le cause e le relative conseguenze che, in molti casi, prima dell’evento incidentale risultano inconoscibili a chi le vive direttamente.

Un miglioramento dell’affidabilità delle metodologie di valutazione del rischio è permesso dall’analisi degli incidenti accaduti nel passato, siano essi stati causa o meno di infortunio o di danni materiali.
Osserviamo infatti che gli infortuni sul lavoro e la loro gravità risultano, in genere, correlati all’insieme degli incidenti che avvengono durante i normali cicli di produzione aziendale. Alcuni studi evidenziano e dimostrano questa nostra considerazione preliminare.
Il primo, e più citato, è stato pubblicato nel 1959 da William Heinrich; in esso si conclude che il rapporto tra gli incidenti che causano infortuni gravi/infortuni non gravi/nessuna lesione risulta pari a 1/29/300.
Più recentemente (1985) Bird, studiando 1,75 milioni di incidenti sul lavoro accaduti in Germania deduce che il rapporto tra incidenti che causano infortuni gravi/infortuni non gravi/danneggiamenti alla proprietà/nessuna conseguenza sono in relazione tra loro secondo il seguente rapporto: 1/10/30/600.
Pure l’HSE Britannico si è cimentato nella verifica delle conseguenze degli incidenti sul lavoro e queste sono le loro conclusioni: il rapporto tra infortuni invalidanti/infortuni minori/infortuni da primo soccorso/danni alla proprietà/nessuna conseguenza è pari a 1/3/50/80/400. A questo proposito l’HSE propone una sezione tematica molto interessante relativa al calcolo dei costi dovuti ad incidenti sul lavoro.
Le precedenti considerazioni ci spingono quindi a considerare sia l’incidente, sia l’infortunio grave, sia l’infortunio non grave, come eventi collegati tra loro. In particolare, al di là delle differenze numeriche presenti nei vari studi, possiamo assumere che nell’insieme complessivo degli incidenti che accadono sul luogo di lavoro, una grande parte non causerà danni significativi, una parte minore (1-10%) causerà infortuni reversibili ed una frazione molto limitata, inferiore all’1% può causare infortuni dalle conseguenze permanenti. Una possibile rappresentazione grafica di quanto detto è la seguente (cd. piramide di Heinrich), dove N1, N2 ed N3 rappresentano rispettivamente le percentuali relative agli infortuni invalidanti, infortuni temporanei ed incidenti privi di conseguenze.

Questa modalità di collegare tra loro gli eventi consente di concludere che solo una riduzione complessiva del numero degli incidenti permette una reale limitazione del tasso infortunistico aziendale. A questo fine si rende pertanto indispensabile un’analisi post incidentale non limitata ai soli eventi apicali (infortunio invalidante e temporaneo). Solo una riduzione del numero complessivo degli incidenti (attraverso misure di prevenzione e protezione) consente una complessiva riduzione degli eventi con coinvolgimento dei lavoratori. A questo proposito, l’art. 4.5.3 della norma gestionale OHSAS 18001 prevede che l’organizzazione stabilisca, attui e mantenga attiva una procedura per registare, investigare ed analizzare gli incidenti accaduti nel luogo di lavoro. Le azioni correttive conseguenti contribuiranno a limitare gli eventi posti alla base degli infortuni sul lavoro.
Le modalità di indagine dovranno tuttavia essere il più possibile svincolate dall’approccio perturbante del “senno di poi”.
Concludendo, la risposta alla domanda: “l’infortunio sul lavoro è sempre un Cigno Nero?” è no, nella maggior parte dei casi. Le cause che portano all’infortunio sono infatti prevenibili attraverso una metodologia di valutazione affidabile ed, in ogni caso, risultano già scritte all’interno degli incidenti che non hanno generato lesioni ai lavoratori. Un’accurata indagine su tutti gli incidenti può consentire una reale e stabile riduzione del tasso infortunistico aziendale.
Tuttavia il Cigno Nero può purtroppo manifestarsi insinuandosi negli scenari di rischio possibili ma non credibili oppure generando l’infortunio al primo atto imprudente compiuto dal lavoratore.

(Post pubblicato originariamente su Postilla.it il 27/9/2010)

© Marzio Marigo

Share