Un granello di verità: Alessandria e l’esplosione della cisterna

Quando tengo un corso di formazione sulle problematiche connesse al rischio di esplosione o relative alla manutenzione dei sistemi tecnologici, di solito parto dallo studio di casi significativi che si sono verificati in passato.

La Storia, anche degli incidenti industriali, è maestra e insegna.

Cerco sempre di specificare che, se deve rimanere un granello di verità autentica da conservare, sia questo: non si eseguono lavori a fuoco su recipienti chiusi o tubazioni aperte non bonificati/e. MAI. Nemmeno se si discute di un serbatoio d’acqua. MAI.

Tuttavia, quando ci si accorge che tragedie come questa continuano ad avvenire con triste e deprimente regolarità ci si sente un po’ inutili.

Allegato VI, Art. 8.4, D.Lgs. n. 81/2008

“È vietato effettuare operazioni di saldatura o taglio, al cannello od elettricamente, nelle seguenti condizioni:

a) su recipienti o tubi chiusi;

b) su recipienti o tubi aperti che contengono materie le quali sotto l’azione del calore possono dar luogo a esplosioni o altre reazioni pericolose;

c) su recipienti o tubi anche aperti che abbiano contenuto materie che evaporando o gassificandosi sotto l’azione del calore possono dar luogo a esplosioni o altre reazioni pericolose. (…)”

Share

Della linea Maginot e della sicurezza sul lavoro

All’indomani della Prima Guerra Mondiale la Francia si interrogò su come fosse possibile arginare la Germania nel caso in cui, quest’ultima, avesse deciso di rinnovare i propositi belligeranti non completamente sopiti con la sconfitta.

Studiarono gli armamenti, le tattiche e le strategie che furono poste in essere nel corso dell’intera Grande Guerra e decisero di edificare una gigantesca barriera di protezione in corrispondenza dei confini con la Germania e l’Italia.

La Linea Maginot, così venne chiamata in onore al Ministro della Guerra francese che ne fece approvare gli stanziamenti per la costruzione, era:

“(…) un complesso integrato di fortificazioni, opere militari, ostacoli anticarro, postazioni di mitragliatrici, sistemi di inondazione difensivi, caserme e depositi di munizioni realizzati dal 1928 al 1940 dal Governo francese a protezione dei confini che la Francia aveva in comune con il Belgio, il Lussemburgo, la Germania, la Svizzera e l’Italia (…)” [Fonte: Wikipedia].

In un certo senso Maginot cercò di realizzare quanto pragmaticamente suggerito dal poeta greco Archiloco: “La volpe sa molte cose, ma il riccio ne sa una grande”. Tale massima, pur essendo declinabile in termini di comportamento sociale[1], sta ad indicare che un’unica difesa affidabile, quella del riccio, vince sulle multiple risorse d’astuzia della volpe[2].

La parola chiave è, in questo contesto, affidabilità. Forse André Maginot di questo aspetto non ebbe mai piena contezza.

La Linea Maginot avrebbe, con molta probabilità, cambiato in modo radicale le sorti della Prima Guerra Mondiale. Venne infatti edificata proprio sulla scorta degli insegnamenti acquisti a caro prezzo sui campi di battaglia del conflitto.

Ma quella barriera avrebbe dovuto resistere non già alla terribile Prima bensì alla catastrofe della Seconda (Guerra Mondiale), con una Germania che cambiò radicalmente, in due decenni, tattiche, strategie e armamenti.

Dodici anni richiese la Linea Maginot per essere ideata e costruita. E venne superata, in soli cinque giorni, dalle truppe armate tedesche che passarono attraverso il Belgio.

Una barriera poderosa, mai realmente collaudata, e per questo vulnerabile. Pensata, progettata e costruita sulla base di paradigmi e logiche retroattive che si dimostrarono drammaticamente errate alla prova dei fatti.

L’intera vicenda della linea Maginot è una metafora che bene si aggancia al tema della sicurezza sul lavoro.

Sicurezza sul lavoro che non può mai considerarsi un fatto acquisito in modo permanente, un parametro statico fisso ed immutabile. Essa è “cosa” dinamica e necessita di continue opere di aggiustamento e manutenzione in termini di prevenzione e di protezione.

Il ricorso alle migliori tecnologie disponibili non è, in questo senso, un’opzione tra le tante.

La sordità ai segnali (anche deboli) che provengono dai reparti, l’assenza politiche manutentive consolidate, la tolleranza all’esecuzione di lavorazioni a protezioni disinserite, la sottovalutazione delle ricadute derivanti dall’introduzione di nuovi processi di produzione, l’assenza di gestione delle modifiche (di macchine, impianti, sostanze) predispongono l’organizzazione a subire, prima o poi, incidenti.

E, prima o poi, infortuni.

Anche gravi.

Chi ha il potere di decidere ed orientare le politiche aziendali sul tema specifico non può (davvero) far finta di nulla. Le condizioni al contorno e le modalità interne di produzione, in un’industria moderna, mutano. A volte in tempi brevissimi.

E il management (cieco al cambiamento) non si sorprenda se poi qualcuno, superando l’unica barriera di sicurezza posta in essere, si farà male.

Se può accadere, purtroppo accadrà.

Prima o poi.

[1] Isaiah Berlin, Il riccio e la volpe, Adelphi, 1998

[2] Sull’affidabilità della difesa del riccio non c’è discussione. Il processo darwiniamo di selezione naturale ha reso la barriera di aculei invalicabile. Milioni di anni di errori e tentativi non passano a caso.

Share

Delle domande. E delle Sibille.

Questa volta un “pezzo” filosofico, diciamo così…

In un recente corso al quale ho partecipato il relatore insisteva sul concetto di porsi le domande giuste, cosa con la quale certamente concordo.

Se non ci si pone il giusto quesito difficilmente possiamo giungere a cogliere l’essenza del problema impiantistico.

E non è nemmeno vero che la proposizione delle giuste domande arrivi con un atto deliberato: “Ora mi pongo le domande sul processo dell’azienda X”.

In molti ci hanno tentato, e l’HAZOP ne è la dimostrazione.

Ma non possiamo pensare di risolvere tutto con metodiche adatte alla valutazione di rischio in impianti chimici o in centrali nucleari.

E quindi ci si deve ingegnare.

Nella maggior parte dei casi la domanda giusta è conseguente al processo di sopralluogo nel quale è necessario ascoltare la voce di tutti.

Amministratore delegato, processista, manutenzione, lavoratori, RSPP, RLS, parte sindacale. Tutti, a loro modo, possiedono una personale verità e consentono di illuminare con luce differente una lavorazione, un ciclo o un processo di produzione.

A volte non è sempre possibile ottenere il parere di tutti. A volte si comprende che la cosa non è gradita. Ma ci si prova ugualmente. Qualcuno potrebbe dire che si va alla ricerca degli Invisible Assets postulati da Hiroyuki Itami.

Solo qualcuno, però.

E ci sarà sempre chi cercherà di utilizzare la tua professionalità per farti dire “cose” utili alla sua “parte”. Un parere rimbalzato da fuori è sempre utile alle proprie personali battaglie di posizione.

“Parlare a nuora perché suocera intenda” afferma la solida cultura popolare.

Purtroppo possiedo il vizio di cercare di farmi un’idea autonoma dei problemi e, pur sforzandomi di ascoltare le persone, cerco di crearmi una “narrazione” il più possibile ancorata ai fatti, alle evidenze empiriche, alla letteratura tecnica e alla normativa.

E, per far saltare fuori la domanda giusta, conosco un solo metodo: pensare al problema in ogni momento, in modo “gesuitico” e “ossessivo”. Per un po’. A caldo. Magari nei giorni successivi al sopralluogo. Il silenzio dell’auto nei viaggi di ritorno è straordinariamente utile. E poi lasciare le cose lì a decantare.

La soluzione, spesse volte, emerge da sé, magari attraverso il pensiero laterale. E magari (ancora) in modo improvviso e inaspettato.

La risposta veloce, al telefono, va bene per le cose che conosci bene e che hai già visto.

I nuovi problemi necessitano, invece, di sedimentazione.

E, non so se accade anche ad altri, di problemi nuovi ce ne sono tutti i giorni.

Il relatore e la sua ricerca delle domande, dicevo…

Alla, credo, quarta ripetizione del medesimo concetto non ho trattenuto un: “Ok, le domande. Ma pure le risposte sono importanti! Ad un tecnico, ad un ingegnere, si chiede certamente l’inquadramento del problema. Ma pure una sua ragionevole chiusura. Soluzioni! Ci chiamano per fornire soluzioni. Evitando, possibilmente, aggettivi che richiamino, anche solo lontanamente, l’opportuno, l’adeguato o l’idoneo”.

Insomma, la penso così.

Nell’ambito della sicurezza tecnologica e del lavoro è necessario certamente farsi domande “giuste” e darsi “risposte” meditate.

A volte scomode.

Evitando tuttavia di passare per “Sibille Cumane” nella stesura dei propri report.

Siamo sarti che confezionano vestiti su misura.

Non magazzini all’ingrosso che offrono modelli standard.

Alla prossima!

© Marzio Marigo

Share

La manutenzione preventiva è sempre indispensabile?

Assoggettare un apparecchio ad un piano di manutenzione preventiva, inteso come insieme di operazioni volto a ridurre gli effetti dell’invecchiamento e dell’usura, può avere significativi impatti sulla vita del sistema.

Tuttavia c’è “manutenzione preventiva” e “manutenzione preventiva”.

E c’è “apparecchio” ed “apparecchio”.

Se prendiamo un asset che evidenzia un tasso di guasto “λ” costante e lo sottoponiamo ad una manutenzione AGAN (As Good As New, cioè “Come Nuovo”) con intervalli di periodicità “T”, scopriamo la seguente cosa (indicando con R(t) l’affidabilità al tempo t, minore di T, ed Rm(t) l’affidabilità del sistema manutentato al tempo t compreso, in questo caso, tra nT e (n+1)T):

Cioè:

Rm(t) = R(t)

L’affidabilità non cambia!

In un sistema che manifesta un tasso di guasto costante, quindi, una certa tipologia di manutenzione è sostanzialmente inutile e non contribuisce ad aumentare l’affidabilità dell’apparecchio. 

In ragione di questo l’apparecchio viene definito tecnicamente “memorylessness” cioè privo di memoria.

Che fare quindi?

Lasciare lavorare il “caso” e attendere il guasto?

Disinteressarsi dell’apparecchio?

Non proprio. Il discorso è, purtroppo, un po’ articolato, soprattutto al rientro dalle vacanze di agosto.

Discuteremo di questo in un prossimo “episodio”.

Prometto.

Anticipo però il titolo dell’argomento: “RCM, Reliability Centered Maintenance” ovvero “Manutenzione Orientata all’Affidabilità”.

Alla prossima!

© Marzio Marigo

Share

Un po’ di formazione

Faccio un po’ di autopromozione. Terrò, nelle prossime settimane, i seguenti corsi:

Roma, 11 aprile 2017, presso l’Istituto EPC-Informa in collaborazione con l’Università Rome Tre: “Manutenzione e controllo di macchine ed impianti” (Durata: 8 ore). Programma: affidabilità dei sistemi tecnologici, manutenzione orientata all’affidabilità (RCM), sicurezza sul lavoro durante le attività di manutenzione.

Pordenone, 30 maggio 2017 (pomeriggio) e 31 maggio 2017 (mattino) presso l’Ordine degli Ingegneri della Provincia di Pordenone: “Novità in tema di atmosfere esplosive” (8 ore complessive). Programma: nel pomeriggio del 30 discuteremo delle novità introdotte, in tema di classificazione, dalla nuova CEI EN 60079-10-1:2016. Quali impatti sulla classificazione, con esempi di calcolo. Il mattino del 31, invece, sarà dedicato al nuovo Testo Unico di Prevenzione Incendi relativamente agli aspetti di atmosfere esplosive: cosa c’è da sapere con qualche esempio applicativo di calcolo (TNTeq, TNO multienergy, ecc.).

PS – Appena sarà disponibile il link ad ISI Formazione, aggiornerò la pagina.

Roma, 9 giugno 2017, presso l’Istituto EPC-Informa in collaborazione con l’Università Rome Tre: Secondo modulo del corso “Applicazione delle Direttive ATEX” (Durata: 8 ore). Programma: principi di chimica-fisica dell’esplosione, case history, prevenzione dell’ATEX, prevenzione delle sorgenti di accensione, protezione degli impianti, calcolo degli effetti dell’esplosione.

Alla prossima!

Marzio Marigo

Share

Maslow, motivazione e rischio

Spesse volte accade che nei corsi in tema di sicurezza sul lavoro intervengano psicologi per due motivi principali.

Il primo: lo stress lavoro correlato. Non entro nemmeno nell’argomento. Si è detto, sul tema, tutto e il suo contrario. E non ho nemmeno una posizione chiara in merito.

Il secondo: le motivazioni umane ed organizzative alla sicurezza, spesse volte nell’ambito di corsi inerenti i sistemi di gestione della sicurezza sul lavoro (SGSL). E cosa c’è di immancabile nella cassetta degli attrezzi che ci si porta a casa dopo un corso di questo tipo? Ovviamente la piramide di Maslow con la quale si fornisce la mappa delle motivazioni al comportamento umano, singolo e/o organizzato, in tema di sicurezza.

Abraham Maslow fu uno psicologo umanista statunitense e le sue teorie ebbero grandissimo successo nell’America anni ’60. Spiegavano (spiegano) in modo semplice e comprensibile uno dei problemi da secoli oggetto di dibattito: cosa c’è dietro la motivazione umana? Peraltro è abbastanza recente la pubblicazione in lingua italiana del saggio che compendia complessivamente la sua teoria: Motivazione e personalità.

Maslow, in estrema sintesi, crea una gerarchia piramidale tra i bisogni umani e postula che, per avvertire la necessità del soddisfacimento dei bisogni apicali della piramide, sia prima necessario appagare le esigenze poste alla base della medesima. Detto in termini un po’ prosaici: prima mangio, poi mi copro e solo allora posso pensare di elaborare la parafrasi sensata di una terzina di Dante.

Così dovrebbe avvenire nella vita sociale, così dovrebbe avvenire negli ambiti lavorativi, così (ancora) dovrebbe accadere nell’ambito della sicurezza sul lavoro.

Ovviamente, come è bene comprensibile, la teoria di Maslow, proprio perché riconduce un problema enorme e complesso ad una narrazione semplice ed immediatamente comprensibile, non può essere corretta. Non a caso è stata nel corso degli anni variamente criticata senza mai giungere, tuttavia, ad una sua completa falsificazione. D’altronde si discute di psicologia e non di fisica quantistica.

Quello che personalmente a me (meccanico di provincia) non torna, sono le seguenti cose tre cosine:

  1. Non credo risponda al vero una scala dei bisogni costante per ogni epoca sociale, economica e di vissuto personale. In fase di crisi e/o incertezza si ha minore tendenza all’apertura, alla volontà di autoaffermazione, rispetto a periodi espansivi. Laura Carstensen, una docente di Stanford, a questo proposito, condusse una ricerca ad Hong Kong prima, durante e dopo il passaggio del controllo politico dalla Gran Bretagna alla Cina. I comportamenti sociali tipici della parte alta della piramide di Maslow, presenti durante in controllo inglese, si abbassarono di livello durante le fasi di incertezza, per poi ripristinarsi quando si comprese che, tutto sommato, la Cina decise di lasciare immutate le dinamiche economiche esistenti.
  2. Il comportamento dei ragazzi è molto spostato verso la parte alta della piramide, a dispetto soprattutto dei bisogni di sicurezza e stabilità. La tendenza al rischio volto al raggiungimento di una propria personale affermazione contrasta non poco con i postulati espressi da Maslow. E non discuto solo di sicurezza sul lavoro, ovviamente.
  3. Per converso, i tipici comportamenti dell’età adulta appaiono molto meno espansivi in termini di socialità e apertura alla novità ricercando molto di più sicurezza sia nelle relazioni sociali come nel rapporto e nelle condizioni di lavoro. In questo ambito, probabilmente, la piramide di Maslow fornisce previsioni più credibili.

Insomma, non diamo per scontato che tutte le “mappe” che ci vengono fornite siano affidabili. Utilizzare le teorie di Maslow per spiegare gli andamenti infortunistici in azienda o per cercare di motivare alla sicurezza il comportamento singolo o dell’intera organizzazione, come ho purtroppo visto fare, potrebbe essere non solo semplicemente inutile.

Ma addirittura controproducente.

PS – No, non nutro particolare acredine verso la specifica forma geometrica.

© Marzio Marigo

Share

L’Elisabetta Montanari, trent’anni fa

Probabilmente l’evento accaduto il 13 marzo 1987 (esattamente trent’anni fa, oggi) all’interno della motonave “Elisabetta Montanari”, in manutenzione presso il bacino di carenaggio della società MECNAVI di Ravenna, costituisce il più doloroso incidente sul lavoro della storia italiana degli ultimi 70 anni.

All’epoca dei fatti ero uno studente di scuola media superiore, lontano ancora anni luce dal mio attuale impegno/lavoro nell’ambito della sicurezza. Molto tempo dopo, approfondendo il caso, scoprii, tra i tredici deceduti nell’inferno di Ravenna, tre miei coetanei:

  • Marco Gaudenzi di 18 anni;
  • Gianni Cortini di 19 anni e al suo primo giorno di lavoro;
  • Alessandro Centioni di 21 anni.

Tale sottile filo mi ha sempre fatto ritenere ancor più catastrofico e psicologicamente traumatico questo enorme accadimento incidentale.

Di seguito riporto il sunto del verbale della Commissione istituita dall’ISPESL su incarico del Ministro della Sanità all’indomani dell’incidente.

“(…) L’infortunio plurimo mortale in cui hanno perso la vita 13 lavoratori si è verificato a bordo della nave «Elisabetta Montanari», ferma nel bacino di carenaggio della società MECNAVI, nel porto di Ravenna, per lavori di manutenzione – regolarmente autorizzati dalla Capitaneria di porto – che si stavano svolgendo e che erano stati dati in appalto dalla società armatrice della nave alla MECNAVI, la quale, a sua volta, li aveva subappaltati ad altre quattro imprese. E i lavoratori impiegati nell’attività dipendevano da tutte le predette imprese. La nave “Elisabetta Montanari”, adibita al trasporto di gas di petrolio liquefatto (GPL), era stata portata presso il cantiere MECNAVI di Ravenna per la periodica revisione così come previsto dal RINA (Registro Italiano Navale). I tecnici del RINA avevano constatato che alcune lamiere del doppiofondo della nave (sia del cielo sia del fondo) presentavano un avanzato stato di corrosione con riduzione dello spessore al di sotto dei valori consentiti. In conseguenza di ciò ne prescrivevano la rimozione e la sostituzione con lamiere nuove. Tali operazioni vengono eseguite mediante taglio ossiacetilenico delle lamiere usurate e successiva sostituzione con le nuove mediante saldatura ad arco con elettrodi rivestiti. Si precisa che il doppiofondo della nave, che presenta una altezza massima di 90 centimetri, è suddiviso da paratie sia in senso longitudinale che trasversale, così che ne risulta una serie di comparti stagni dove vengono alloggiati in successione alternata: il combustibile, necessario alla propulsione della nave, e l’acqua di zavorra. Ne consegue che, prima del taglio delle lamiere usurate e della saldatura delle nuove, i comparti destinati al contenimento della nafta devono essere bonificati al fine di eliminare il materiale infiammabile: nafta liquida residua, residui semisolidi accumulati per sedimentazione sul fondo del serbatoio e infine i vapori di ristagno. Nel cantiere in esame, come peraltro avviene abitualmente, le varie fasi di bonifica dei serbatoi del combustibile del sottofondo possono schematizzarsi come segue:

  • aspirazione mediante pompe della nafta liquida fino al limite del pescaggio che, di norma, arriva a 20 centimetri dal fondo;
  • recupero manuale del liquido residuo mediante secchi che vengono passati a mano lungo tutto il comparto fino al passo d’uomo che mette in comunicazione il doppiofondo con la stiva sovrastante e da qui portato quindi all’esterno della nave;
  • rimozione mediante stracci e raschietti del residuo semisolido aderente al fondo e allontanamento dello stesso secondo le modalità operative già viste;
  • bonifica dei serbatoi mediante ventila-zione al fine di eliminare i vapori residui.

Per quanto riguarda la fase di recupero manuale questa viene effettuata da una squadra di operai che si cala all’interno del doppiofondo raggiungendo carponi le varie zone del comparto serbatoio.

Va precisato che i comparti del doppiofondo della nave sono attraversati dalle strutture che costituiscono le costole della nave (“ordinate”) dalle centine e, nel caso specifico, dalle selle dei serbatoi GPL. Tali strutture sono superabili soltanto in alcuni punti attraverso passi d’uomo di dimensioni ridotte (40×50 centimetri), sicché l’ambiente può essere paragonato ad un dedalo di cunicoli schiacciati, distribuiti a nido d’ape, che consentono soltanto movimenti lenti, contratti, con procedura carponi, di estrema difficoltà anche per personale esperto.

Va precisato, altresì, che ogni comparto del doppiofondo della nave è in comunicazione con la sovrastante stiva solo a mezzo di un unico passo d’uomo di 40 centimetri di diametro. Attraverso lo stesso passo d’uomo viene fatto passare, durante le operazioni, il tubo per la ventilazione dell’ambiente con aria fresca.

Nel caso specifico della nave “Elisabetta Montanari”, la stiva è occupata da quattro serbatoi per il trasporto del GPL.

Tali serbatoi risultano rivestiti da uno strato di materiale coibentante costituito da cinque centimetri di schiuma poliuretanica rigida protetta all’esterno da una guaina di tela in tessuto di lana di vetro catramato.

La dislocazione dei serbatoi fa sì che la stiva presenta una serie di ostacoli “costole e selle dei serbatoi”, che rende il movimento all’interno estremamente disagevole, in particolare per quanto si riferisce al percorso che va dall’uscita del passo d’uomo del sottofondo alla scaletta che porta alla passerella della stessa stiva, percorso che dovevano compiere gli operai che entravano e uscivano dal doppiofondo.

La ricostruzione dei fatti connessi con l’incidente, formulata sulla base di quanto dichiarato dai Vigili del fuoco e dai responsabili del Cantiere, nonché di quanto evidenziato all’atto del sopralluogo, fa ritenere la seguente dinamica: all’atto dell’incidente lavoravano nel cantiere circa 40 operai, la maggior parte dei quali facenti parte di quattro ditte appaltatrici. Alcuni operai lavorano all’esterno della nave, altri all’interno, nella stiva e nel doppiofondo. In particolare tra quelli che lavoravano all’interno, alcuni procedevano alla pulizia di un comparto del doppio fondo, altri invece lavoravano nella sovrastante stiva procedendo al taglio delle lamiere del “cielo” del doppiofondo di un comparto. L’uso della fiamma ossiacetilenica per l’effettuazione di tali operazioni era stato autorizzato dalla Capitaneria di Porto, per quanto di competenza, previo controllo mediante esplosimetro di assenza di miscele esplosive e/o infiammabili.

Durante il taglio delle lamiere si è sviluppato l’incendio che ha coinvolto la guaina in tela catramata di protezione, dello strato coibentante, in poliuretano espanso, avvolto intorno ai serbatoi del trasporto di GPL (vuoti durante la manutenzione della nave). È da evidenziare che la parete del serbatoio coibentato dista appena 20 cm. dalla zona dove venivano eseguite le operazioni di taglio.

L’incendio della guaina catramosa ha portato allo sviluppo di prodotti di combustione del catrame (gas e fumi) che hanno invaso l’area della stiva e, contemporaneamente, ha alimentato la lenta combustione della schiuma poliuretanica che, a sua volta, ha portato, per fenomeni di termodegradazione, alla emissione di prodotti venefici quali: ossido di carbonio, isocianati, acido cianidrico, amine alifatiche nonché prodotti volatili di parziale combustione del materiale. L’insieme di tali fenomeni ha reso l’atmosfera irrespirabile e satura di prodotti tossici.

In queste condizioni gli operai che erano nel doppiofondo e nella stiva sono morti per asfissia e/o intossicazione dovute ad inalazioni di prodotti tossici così come rilevato dalla perizia medico-legale mentre gli operai addetti al taglio delle lamiere, ad eccezione di uno, hanno trovato scampo attraverso l’apertura praticata sul fondo della nave per facilitare l’accesso alla zona di lavoro.

Sulla base della dinamica dei fatti appare pertanto evidente una serie di assurde carenze di organizzazione e di misure di sicurezza che trovano riscontro nell’assoluta mancanza di previsione di incidenti in un luogo di lavoro dove invece ne esistevano i presupposti ed esisteva la certezza che, in caso di incidente, le conseguenze sarebbero state letali. Ciò sia in considerazione della struttura dell’ambiente di lavoro sia delle modalità operative seguite.

A tale riguardo si possono trarre una serie di considerazioni. Esistono tecnologie in grado di disincrostare e pulire i luoghi confinati mediante liquidi speciali che permettono di evitare l’opera dell’uomo in luoghi di lavoro non concepiti per attività umana. Nel caso che ciò fosse inapplicabile al caso in esame, sarebbero stati necessari una serie di interventi prevenzionistici atti a garantire la salvaguardia di chi operava all’interno della nave sia nel doppiofondo che nella stiva. Sarebbero stati da prevedere piani di lavoro che evitassero la contemporaneità di operazioni rischiose compromettenti la sicurezza delle varie squadre operanti nei diversi punti, assistenza diretta e continua dall’esterno a chi operava nel doppiofondo, vista la estrema difficoltà di movimento esistente all’interno della nave, disponibilità infine di sistemi antincendi e di mezzi personali di protezione (…)”

Il 13 marzo 1987 ebbe luogo, in Italia, una tragedia sul lavoro che non DEVE ESSERE SCORDATA. Chi dimentica i propri errori e/o non impara da questi è destinato, prima o poi, inevitabilmente a ripeterli.

© Marzio Marigo

Share

Piramide di Heinrich: fantasia o realtà?

Per ogni problema complesso c’è sempre una soluzione semplice. E sbagliata
George Bernard Shaw

Uno tra i paradigmi del moderno approccio alla sicurezza sul lavoro è costituito dalla cosiddetta “Piramide di Heinrich”. In questa rappresentazione grafica, nata nell’ormai lontanissimo 1931, ed inclusa nell’opera “Industrial Accident Prevention”, più volte ripubblicata e rimaneggiata nel corso degli anni (fino alla quinta edizione del 1980), Herbert William Heinrich, passando al setaccio oltre 50.000 accadimenti incidentali presenti all’epoca nel database dell’istituto assicurativo “Traveler Company” per il quale lavorava, individuò una tendenza nel rapporto tra infortuni gravi, infortuni lievi ed incidenti.

Figura 1 – Prima edizione, datata 1931, del testo di Herbert William Heinrich

In particolare, a fronte di un infortunio maggiore, si evidenziavano 29 infortuni minori e ben 300 incidenti senza infortunio.
Ovviamente le aziende coinvolte in questo studio retrospettivo erano quelle tipiche presenti in USA, e cioè prevalentemente manifatturiere operanti nel periodo storico compreso tra il 1920 e la grande depressione del 1929 (è di quell’anno, infatti, il paper scritto da Heinrich nel quale appariva per la prima volta la serie, che diventerà famosa, 300-29-1).
Insomma, non proprio l’altro ieri, per capirci.
Sia quel che sia, l’elaborazione grafica che ne seguì fu la seguente e assunse, nel corso degli anni, soprattutto a partire dal 1966, uno status quasi “religioso” nella sua inscalfibile interpretazione ortodossa.

Figura 2 – Piramide di Heinrich, nella sua forma classica

Molti studi sono seguiti a quello di Heinrich; cito tra gli altri, a solo titolo esemplificativo, quello (relativamente) più recente, di Bird e Germain del 1985, nel quale si costruiva una “piramide” alternativa, con una categoria aggiuntiva e numeri di incidenza differenti.
Essa, elaborata principalmente da Bird, risulta basata sull’analisi di 1.753.498 incidenti registrati a tutto il 1961 dalla Insurance Company of North America (INA).

 

Figura 3 – Piramide di Bird (Fonte: Bird, Germain, 1985)

Perché è importante in ambito prevenzionistico questa forma di rappresentazione?
Perché, in genere, viene assunta una relazione tra gli atti non sicuri, posti alla base della piramide, e gli infortuni, anche più gravi, posti nelle posizioni più apicali.
Ed è corretta questa interpretazione? Probabilmente no, e cercherò di dimostrarlo, se avrete la pazienza di proseguire nella lettura.
Innanzi tutto partiamo da ciò che ci diceva Heinrich. Egli, purtroppo, cambiò posizione più volte nel corso delle varie edizione del suo manuale. Se nella prima edizione del 1931 la relazione di causalità tra le categorie risultava sostanzialmente inequivoca “the total of 330 accidents all have the same cause” (“il totale dei 330 incidenti hanno tutti la stessa causa”) la cosa veniva via via più sfumata nel corso delle edizioni successive della sua opera.
Sparisce l’affermazione sulla “stessa causa” e si introduce una giustificazione più articolata del rapporto 300-29-1: “From data now available concerning the frequency of potential-injury accidents, it is estimated that in a unit group of 330 accidents of the same kind and involving the same person, 300 result in no injuries, 29 in minor injuries and 1 in a major or lost-time injury” (“Dai dati attualmente disponibili riguardanti la frequenza di incidenti con potenzialità di causare infortuni, si stima che in un gruppo unitario di 330 incidenti dello stesso tipo e che coinvolgano la medesima persona, 300 non causano ferimento alcuno, 29 determinano ferite lievi e 1 produce un infortunio maggiore o una perdita di tempo dovuta ad infortunio”).
Quei 330 incidenti vengono quindi posti in capo ad un’unica persona che 10 volte su 11 non si fa nulla, 1 volta su undici si ferisce lievemente e 1 volta su 330 si fa male sul serio.
La conseguenza diretta di simili assunzioni sfocia poi nel presupporre che una lotta finalizzata alla riduzione del lato inferiore della piramide si tradurrà in miglioramenti anche nella parte alta.
Meno incidenti senza conseguenze = Meno incidenti con infortuni gravi.
Da questo all’istituzione di registri di annotazione dei “quasi infortuni” e dei “quasi incidenti” il passo è autenticamente breve. A volte drenando risorse aziendali che potrebbero essere altrimenti utilizzate con maggiore efficienza.

Figura 4 – Riduzione della frequenza degli infortuni gravi a partire dagli incidenti senza conseguenze?

Giunti a questo punto non possiamo più nasconderci dietro ad un dito: esistono almeno due seri problemi metodologici nella costruzione di queste serie di dati nonostante essi appaiano di semplice ed immediata interpretazione.
(Apparentemente) di semplice ed immediata interpretazione.
Sto discutendo in primo luogo dei problemi relativi alla definizione delle categorie e, in secondo luogo, alla relazione causale tra le stesse.
Nella piramide di Heinrich sono presenti eventi “infortunio” ed eventi “incidente”.
Il campo degli infortuni è certamente omogeneo, pur se distinto in eventi “minori” e “maggiori”. Il problema si evidenzia quando includiamo nella rappresentazione dei dati anche gli incidenti. Gli infortuni sono, infatti, “effetto” degli incidenti che, in questa eccezione, sono “cause”.
Peraltro nell’interpretazione data da Bird, si includono pure accadimenti che determinano danneggiamenti (economici) dell’attività. Questo problema, l’inclusione cioè di cause ed effetti nella medesima rappresentazione e comunque di categorie di rischio tra loro non omogenee non sfuggì apparentemente nemmeno ad Heinrich il quale, nel suo primo articolo di due anni antecedente la pubblicazione del suo storico manuale del 1931, dettagliò proprio di cause ed effetti degli incidenti.
Proviamo tuttavia a trascurare questa prima considerazione e spingiamoci oltre venendo alla seconda perplessità in tema di costruzione dei dati.
Chiediamoci: le categorie presenti nella piramide di Heinrich sono tra di loro causalmente correlate?
Detto in altri termini, esiste un filo d’Arianna, una relazione di causalità diretta che collega tra loro i 300 incidenti, i 29 infortuni non gravi e l’unico infortunio grave?
Mi sono persuaso che tale legame non esista, con l’eccezione di un numero selezionato e ristretto di scenari infortunistici.
Posso citare, a supporto della mia “opinione”, casi nei quali il rischio di evento infortunistico è rilevante (caduta d’alto, elettrocuzione, esplosione, accesso a spazi confinati); in queste situazioni NON esiste preavviso, purtroppo.
Alla categoria che NON manifesta un elevato numero di incidenti prima dell’evento infortunistico, appartengono anche buona parte delle aziende di processo nelle quali si confinano grandi energie (acciaierie e stabilimenti chimici su tutti). Se in un processo le energie sfuggono dalle barriere di confinamento ingegneristico (temperatura, pressione, energia cinetica, reazioni fuggitive, ecc) non esiste spesso preavviso.
Purtroppo i recenti casi italiani del Molino Cordero e di Umbria Oli sono lì a testimoniarlo. Come pure la sterminata reportistica nel settore dei grandi rischi (la quale, in Italia, spesso si traduce “solo” in perdite economiche ed impatti ambientali).
Per converso, se valutiamo situazioni manifatturiere nelle quali il rischio infortunistico risulta relativamente basso, perché, per esempio, non c’è necessità di contatto tra operatore e pezzo in lavorazione (es. meccanica di precisione), ci potrà essere una elevata quantità di piccoli infortuni di piccola e media entità che difficilmente sfoceranno nell’evento invalidante o mortale.
Insomma, nella valutazione della potenziale fatalità di un incidente non può essere trascurata la causa che lo ha determinato.
Posso avere una medesima lesione alla mano, una causata da un temperamatite, l’altra generata da una cesoia a ghigliottina. Nel primo caso una riduzione nella frequenza non avrà ripercussioni nell’ambito degli infortuni invalidanti, nel secondo caso probabilmente si.
A supporto del ragionamento che andiamo sviluppando servono però, oltre che l’esperienza personale e il ragionamento analitico/cartesiano, anche delle controprove empiriche che neghino la relazione causale tra le varie categorie presenti nella piramide di Heinrich.
Groeneweg (2006), per esempio, ha analizzato gli indicatori delle performance di sicurezza degli stabilimenti associati all’ “International Oil and Gas Producers Association” nell’intervallo di tempo 1997-2004, contabilizzando un totale di 12,3 miliardi di ore sottoposte a valutazione. Egli ha testato, in particolare, la correlazione tra compagnie per differenti livelli di gravità degli infortuni. Partendo dalle società con le più alte frequenze di incidenti fatali (FAR, Fatal Accident Rate), ha evidenziato quale fosse il tempo complessivamente perso per infortuni, indicizzandolo (LTIF, Lost Time Injury Frequency). Sono state altresì messe a confronto le frequenze di infortunio e i “Near Miss”. Sia nel primo come nel secondo caso non sono state trovate correlazioni statistiche tra i dati.
D’altra parte, l’Institute of Petroleum inglese (2005) ha analizzato le cause di circa 600 incidenti potenziali e 800 incidenti effettivi. L’analisi ha preso in considerazione 31 cause profonde che potrebbero essere alla radice di un incidente. Sorprendentemente si sono palesate sostanziali differenze nelle cause alla base degli incidenti potenziali rispetto a quelli realmente accaduti. Per esempio la classica perdita di tenuta da flangia, tipico scenario preso in causa nella classificazione di zone a rischio di esplosione, rappresenta la seconda più frequente causa di incidente potenziale ma solo la settima causa di incidente reale. In altri termini, una valutazione che si concentrasse sui fattori di rischio prioritari in scenari di incidente “potenziale” rischierebbe di dare valore a variabili che invece sono poco importanti nella genesi di incidenti “reali”.
Questa asimmetria nella valutazione “pre” e “post” incidentale rappresenta, peraltro, uno tra gli elementi più critici nella comunicazione tra gli analisti/valutatori di rischio, che si trovano ad operare PRIMA dell’evento, e gli organi preposti all’accertamento delle responsabilità, che invece arrivano DOPO che l’intera catena incidentale si è sviluppata. Spesse volte l’impressione è che, a valle dell’evento incidentale, la volontà non sia già quella di “scoprirne” la cause, quanto quella di “costruirle” per bene adattarle nel quadro legislativo vigente. Mi fermo qui, ma il discorso potrebbe essere molto lungo.
Un ultimo esempio, per me significativo, dell’assenza di correlazione tra le magnitudo di eventi nella piramide, proviene da fonti assicurative statunitensi le quali indicano, con estrema chiarezza, che gli sforzi volti a ridurre gli infortuni minori non si traducano, se non in minima parte, in riduzione dei grandi eventi infortunistici (Manuele, F. A., 2011). Potrebbe essere questo un ambito di ricerca molto interessante per l’INAIL, peraltro.
Che fare quindi?
Per prima cosa far evolvere, sia a livello formativo sia di competenze gli RSPP e gli specialisti di varia estrazione che operano nella H&S. È necessario, cioè, che lo studio e l’approfondimento delle dinamiche incidentali passi dalla visione semplificata e, forse, a volte ingenua data da Heinrich (=sequenziale lineare) a quella più sofisticata e complessa di tipo sequenziale ramificato, epidemiologico o sistemico.
In altre parole, è necessario comprendere profondamente che il fenomeno infortunistico è SEMPRE complesso e multicausale. Spesso accoppiato a fattori che si manifestano con modalità intermittenti. Piuttosto che covante al di sotto di barriere di sicurezza che, magari, non si ritengono tali ma che invece, nel momento in cui vengono eliminate, determinano la genesi di incidenti impensabili.
Continuiamo a studiare perché gli incidenti ACCADONO. Ma anche perché NON ACCADONO (Hollnagel, 2014).

Figura 5 – Le cose possono andare per il verso giusto. Oppure no (Hollnagel, 2014)

È insomma giunto il momento di lasciarci alle spalle le teorie di Heinrich dell’inizio dello scorso secolo, tra l’altro antecedenti alla seconda rivoluzione industriale (Kalpakjian, Schmid, 2014).
Sia il rapporto 300-29-1 e l’altrettanto “famigerato” 88-10-2 (=Le cause degli incidenti sono attribuite, da Heinrich, ad atti non sicuri di persone, condizioni di non sicurezza meccanica o fisica oppure situazioni inevitabili secondo il rapporto numerico appena indicato).
Le sue teorie fanno ormai parte della nobile storia della sicurezza industriale ma il vederle ancora diffusamente citate nell’ambito di articoli e di corsi di formazione specialistici colpisce.
Parecchio.

Riferimenti

  • Bird, F. E., Germain, G. L. (1985). Practical loss control leadership. Det Norske Veritas (USA)
  • Groeneweg, J. (2006). The future of behaviour management. In: Health and Safety Culture Management for the Oil and Gas Industry, Conference, Amsterdam, The Netherlands
  • Hollnagel, E. (2014). Safety-I and safety–II: the past and future of safety management. Ashgate (UK)
  • Institute of Petroleum (2005). A Framework for the Use of Key Performance Indicators of Major Hazards in Petroleum Refining, Energy Institute, London (UK)
  • Kalpakjian, S., Schmid, S. (2013). Manufacturing, Engineering and Technology (7th Edition). Prentice Hall (USA)
  • Manuele, F. A. (2011). Reviewing Heinrich: Dislodging two myths from the practice of safety. Professional Safety, 56(10), 52
  • Webb, P. (2009). Process safety performance indicators: A contribution to the debate. Safety Science47(4), 502-507

(Post pubblicato originariamente su Postilla.it il 15/2/2016)

© Marzio Marigo

Share

La spianata nera di Bhopal

Quella che mi accingo a descrivere è una storia che, sia per la gravità delle conseguenze sanitarie che ha determinato, sia per le ricadute sul tessuto economico e sociale subite dal territorio, può essere assimilata ad un (grave) incidente ad un impianto nucleare.
È il drammatico resoconto di quanto accadde a Bhopal, una raffinata e decadente città dell’India centrale, nel 1984, attorno alla mezzanotte di domenica 2 dicembre.
Esattamente trent’anni fa.
Ripercorriamo, preliminarmente, la storia dell’impianto della Union Carbide Corporation (UCC), allora colosso della chimica mondiale che ora non esiste più: la quota principale di quella società, infatti, risulta oggi sotto il controllo di Dow Chemical.
L’autorizzazione alla costruzione dello stabilimento sulla spianata nera di Bhopal data 4 maggio 1969 e fu emessa dal Ministero dell’Agricoltura indiano. Con essa fu concessa all’UCC statunitense la costruzione di un plant per la produzione di Sevin, un carbammato, potente ed innovativo insetticida sostitutivo del DDT.
Venne autorizzata dal Governo indiano la produzione di cinquemila tonnellate all’anno di questo pesticida a fronte di una richiesta di mercato massima, stimata dall’allora Direttore della divisione dei prodotti agricoli di UCC, Eduardo Munoz, di circa duemila tonnellate all’anno. Quest’ultimo, peraltro, voce isolata nel management di UCC.
Vedremo come codesta prima scelta, 5000 t/a in luogo di 2000 t/a, letta con il senno del poi, pose su solide basi il successivo sviluppo della tragedia. La limitata modulabilità della produzione di un impianto di questo tipo determinò, in presenza di ridotte richieste di mercato, fasi di produzione massiva a fasi di sospensione delle attività dello stabilimento. Introdusse un funzionamento a singhiozzo in un impianto pensato per un ciclo continuo e costante nel tempo.
Come già indicato, lo stabilimento chimico venne costruito in un’area di 60 ettari chiamata spianata nera, uno slum urbano privo di corrente elettrica, acqua sanitaria, fognature e di tutto ciò che rende “abitabile” un qualsiasi quartiere cittadino occidentale.
Tale area risultava posta in prossimità della stazione ferroviaria e della città vecchia di Bhopal.

Figura 1 – Lo stabilimento della Union Carbide Corporation a Bhopal

Inizialmente la costruzione dell’impianto chimico fu percepita, sia dalla politica (nazionale e locale) che dalla popolazione, come una rilevante possibilità di sviluppo del tessuto sociale ed economico della città. Significava, infatti, un impiego sicuro per migliaia di persone in un territorio che possedeva certamente un glorioso passato alle spalle ma che aveva di fronte a sé un futuro incerto e cupo. Una scelta peraltro percepita priva di particolari rischi, stante la dichiarazione del responsabile del progetto di UCC: “uno stabilimento innocuo come una fabbrica di cioccolata”.
In realtà, pur essendo il Sevin granulato, prodotto nello stabilimento di Bhopal, una sostanza fondamentalmente sicura, anche e soprattutto se confrontata con il DDT utilizzato in precedenza come agente pesticida, così non era il processo chimico che portava alla sua sintesi.
La produzione attivata presso il sito di Bhopal era articolata e comprendeva sia la ricezione di intermedi chimici prodotti in altri stabilimenti del gruppo, quali il monossido di carbonio (CO) e la Monometilammina (MMA), sia la sintesi finale “in situ” del Sevin, con produzione degli intermedi necessari (Fosgene, Isocianato di Metile (MIC), MCC e alfa-Naftolo).
Il cuore della chimica del processo di produzione dell’Isocianato di Metile era il seguente (cfr. Figura 2):

Figura 2 – Chimica per l’ottenimento del MIC

La reazione finale tra MIC e alfa-Naftolo sintetizzava, quindi, il Sevin granulare, un prodotto che avrebbe dovuto contribuire alla crescita dell’industria agricola indiana (la cosiddetta “rivoluzione verde”).
Lo stabilimento produceva dunque un tipo di “cioccolata” particolare, soprattutto in relazione alla straordinaria pericolosità dei componenti con i quali si perveniva al prodotto finale:

Tutti potenzialmente letali, sia secondo la classificazione a diamante presente in NFPA 704 (USA) sia rispetto alla nostra normativa UE.
Concentriamoci ora, per un momento, sulle caratteristiche chimico/fisico/biologiche dell’Isocianato di Metile, il MIC, la sostanza cioè che diede origine al disastro.
Il MIC è un liquido trasparente con un punto di ebollizione di 39°C. Possiede una bassa solubilità in acqua ed è relativamente stabile allo stato anidro. È altamente reattivo e, in particolare, può reagire violentemente con l’acqua. La reazione può essere tuttavia inibita dal fosgene. L’esotermia, sempre presente con acqua, si attenua in presenza di temperature di stoccaggio inferiori ai 20°C. Questa diviene tuttavia incontrollabile (runway reaction) se ha luogo a temperature elevate o in miscela con acidi e basi (comprese le ammine). Il MIC può altresì polimerizzare a contatto con il ferro, stagno e rame.
L’Isocianato di Metile è infiammabile possedendo un Flash Point (FP) pari a -18 °C ed un limite inferiore di esplosione (LEL) uguale a circa il 6% in aria.
Risulta biologicamente attivo e altamente tossico; questo fatto è reso evidente dal bassissimo valore del TLV-TWA (=0,02 ppm), molto inferiore a quello della maggior parte delle sostanze utilizzate nella chimica industriale. Pur possedendo una soglia olfattiva molto bassa (odora di cavolo bollito), il TLV-TWA risulta inferiore a tale livello di concentrazione. Essendo la sostanza un potente irritante esso causa lesioni alla pelle, danni irreversibili agli occhi ed edema polmonare se inspirato. Il MIC viene altresì metabolizzato dall’organismo come cianuro. Quest’ultimo, sopprimendo la citocromo ossidasi necessaria per l’ossigenazione delle cellule, induce una letale asfissia cellulare.
Il sistema di stoccaggio del MIC presente nel sito dell’Union Carbide di Bhopal consisteva in tre serbatoi, realizzati in acciaio INOX AISI 304, ciascuno della capacità di circa 57 mc. Due di essi erano destinati al normale ciclo di produzione (cod. nn. 610 e 611) mentre il terzo (cod. n. 619) venne destinato all’emergenza.
Tutti i serbatoi erano dotati di un sistema di refrigerazione termostatato a temperature inferiori a 5°C e ciascun contenimento risultava permanentemente flussato ad azoto. In particolare il gas inerte veniva richiamato in ciascun serbatoio ogni qualvolta si creava la depressione di progetto all’interno di esso. Ogni serbatoio, dotato di pressostato, era altresì protetto da una valvola di sicurezza posta a valle di un disco di rottura; tale sistema garantiva il mantenimento dell’efficienza della valvola di sicurezza dato che quest’ultima non risultava mai a contatto con il prodotto chimico. Tutti i collettori di sfiato erano convogliati in uno scrubber a soda caustica e, successivamente, in una torcia finale per l’abbattimento degli effluenti gassosi residui.

Figura 3 – P&ID del serbatoio n. 610 destinato a contenere il MIC

Pur essendo presenti le indicate misure di protezione poste a presidio dei serbatoi di MIC, esisteva un importante gap tecnologico e di sicurezza tra il sito UCC costruito a Bhopal e l’impianto “gemello” installato ad Institute nel West Virginia (USA).

Tabella 1 – Differenze nell’ingegneria tra gli impianti “gemelli” della Union Carbide in USA e India

Dal confronto emergono differenze sostanziali nell’ingegneria. Particolare attenzione meritano, tra le altre:

  • l’assenza di un controllo di processo computerizzato;
  • la costruzione delle tubazioni di processo in semplice acciaio al carbonio in luogo di acciaio AISI 304;
  • l’assenza di ridondanza nelle torce di stabilimento;
  • lo svolgimento delle operazioni di aggiunta di alfa-Naftolo manuale invece che attraverso tubazioni di processo dedicate;
  • assenza di un piano di emergenza rivolto alla popolazione esterna.

Lo stabilimento entrò in piena produttività il 4 maggio 1980, ad undici anni esatti dalla prima autorizzazione governativa.
Purtroppo la sua produzione non raggiungerà mai i livelli previsti in fase di progetto (=5250 t/a). Il picco massimo venne ottenuto nel 1981, con una produzione di Sevin pari a 2700 t. Nel 1983, a causa di pessime condizioni meteorologiche, che limitarono i raccolti, la quantità sintetizzata scese a 1660 t, troppo poco per mantenere in pieno esercizio uno stabilimento come questo.
Nel 1984, infine, dagli impianti usciranno solo 2000 tonnellate di Sevin che rappresentava, comunque, la maggior parte della produzione di pesticidi a base MIC della Union Carbide Corporation.

Tabella 2 – Produzione annua UCC di pesticidi (1984)

All’inizio dell’avventura UCC a Bhopal il personale risultava adeguatamente formato anche attraverso lunghe trasferte di training presso lo stabilimento di Institute, in USA. Purtroppo tale livello di competenza diminuì in breve tempo a seguito dei tagli conseguenti alla limitata redditività della produzione.
Ci fu una drastica riduzione dei titoli di studio in ingresso nonché della durata del training dei dipendenti (da 18 mesi nel 1975 ad un mese nel 1984). Peraltro nel 1984 il personale dello stabilimento, già ampiamente ridotto in termini numerici, risultava, per la maggior parte, trasferito da altri siti della Union Carbide (cfr. Figura 4).

Figura 4 – Evoluzione delle condizioni organizzative e di istruzione del personale Union Carbide di Bhopal

Questo è quindi il quadro di insieme dell’azienda prima del catastrofico evento del dicembre 1984: un impianto ad elevatissimo rischio nel quale la multinazionale non solo non investiva più in termini di risorse tecniche e di ingegneria, ma che subisce un evidente decurtamento del capitale umano destinato alla gestione.
Meno persone, meno motivate e meno competenti.
Questo, tuttavia, non è di per sé sufficiente a dar conto dell’immane tragedia cui abbiamo assistito. Furono una serie di successive decisioni del management locale che posero le basi dell’incidente che poi si sviluppò.

La prima: presso lo stabilimento di Bhopal erano stoccate 63 tonnellate di isocianato di metile, una sostanza, come abbiamo visto, estremamente reattiva rispetto a comuni liquidi (acqua) e solidi (ferro, stagno, rame). I chimici europei, anche all’epoca dei fatti, furono chiari e netti rispetto alla scelta statunitense di stoccare queste enormi quantità: il MIC, se fosse stato necessario per una sintesi, si sarebbe dovuto produrre nel momento in cui serviva. Lo si realizzava nella minima quantità necessaria e si sarebbe dovuto consumare immediatamente dopo; così operando si sarebbe reso intrinsecamente sicuro il processo.

La seconda: a dicembre del 1983, per motivi manutentivi, vennero permanentemente collegate la linea di sfiato (RVVH) con la linea di processo (PVH) attraverso una “jumper line” (cfr. Figura 3). Tale scelta, non prevista nel progetto originale elaborato dagli ingegneri statunitensi della Union Carbide, introdusse nell’impianto un cortocircuito impiantistico determinante per lo sviluppo dello scenario incidentale.

La terza: nel giugno del 1984, per (irragionevoli) motivi di risparmio energetico (non più di 20 USD al giorno), il sistema di raffreddamento dei serbatoi del MIC venne disattivato e le 30 t di fluido refrigerante interamente drenate. L’isocianato di metile, a temperature inferiori ai 5°C, evidenzia una limitata reattività, se confrontata con quella presente a temperature superiori. L’errore tecnico fu quello di assimilare il MIC, molto reattivo ed in grado di interagire con banali impurità metalliche presenti nel serbatoio, ad una sostanza chimicamente stabile ed inerte (“Ficcati nella zucca una volta per tutte che non ci possono essere fughe in una fabbrica che ha interrotto la produzione. È la prima cosa che bisogna sapere in questo mestiere”. cfr. Lapierre D. Moro J. (2012), p. 268).

La quarta: ad ottobre lo scrubber di abbattimento a soda caustica venne disattivato, sempre in base all’assunzione che non fosse necessario, vista l’inattività dell’impianto.

La quinta: sempre ad ottobre la torcia di protezione venne posta fuori servizio a causa della presenta di tubazioni corrose. Queste vennero rimosse per poi essere successivamente sostituite. Tale operazione non venne mai eseguita.

La sesta: parte della strumentazione posta a presidio dei serbatoi era fuori uso. Non era possibile, quindi, il monitoraggio delle condizioni di stoccaggio dell’Isocianato di Metile: mancano letture affidabili di temperatura, pressione e livello, in particolare nel serbatoio n. 610. Quest’ultimo, ricordiamo, conteneva 42 delle 63 tonnellate complessivamente stoccate nel sito produttivo.

Non è un caso che il rapporto di audit interno, datato 11 settembre 1984, e redatto da ingegneri UCC statunitensi, riportasse chiaramente che: “The potential hazard leads the team to conclude that a real potential for serious incident exists” (=I rischi potenziali ci portano a concludere che esiste la reale possibilità di un serio incidente).
Giunti a questo punto l’impianto divenne tecnicamente fragile. Un qualsiasi errore operativo poteva pregiudicare la sicurezza del sito, tali e tanti erano ormai i guasti tecnici e procedurali potenziali e covanti.
L’incidente, utilizzando la terminologia di Perrow, divenne “normale” in un impianto così gestito. I presupposti c’erano tutti:

  • Complessità interattiva
  • Forte accoppiamento tra le variabili in gioco

L’innesco non tardò ad arrivare e l’attivazione dell’evento incidentale ebbe luogo alle 21.15 del 2 dicembre 1984 (cfr. Tabella 3). Dato che filtri connessi alla linea RVVH (cfr. Figura 2) risultavano intasati, presumibilmente a causa di depositi di fosgene, si decise di dar luogo ad un lavaggio con acqua. Si chiuse la valvola n. 16, si aprirono le valvole nn. 18-21 e le nn. 22-25 e venne collegata una manichetta con acqua in pressione nella tubazione relativa alla valvola n. 17.

Tabella 3 – Cronologia dell’incidente

L’ostruzione era rilevante e per liberare l’impianto si aumentò la pressione dell’acqua di lavaggio. Tale incremento probabilmente forzò l’apertura della valvola n. 16. In quest’ultima linea non era stata, peraltro, inserita alcuna flangia cieca di isolamento. Gli operatori, nelle prime fasi dell’incidente, non si accorsero di nulla. L’acqua continuò a fluire all’interno del serbatoio n. 610 (non refrigerato) per almeno due ore e tre quarti.
A quel punto, verso mezzanotte, l’energia accumulata divenne incontenibile. La reazione esotermica tra Isocianato di Metile ed acqua causò un potente surriscaldamento del fluido fino a portarlo ad una temperatura di 250°C e ad una sovrappressione di 14 bar (il serbatoio era dimensionato per resistere a pressioni di progetto inferiori a 4 bar).
Il MIC prima fuoriesce dall’impianto percorrendo in senso inverso il percorso compiuto dall’acqua poi, quando la pressione diviene superiore a quella di rottura dei sistemi di protezione, fluirà principalmente attraverso il disco di rottura e la relativa valvola di sicurezza.

Per completezza di informazione, va detto che alcuni report tecnici, realizzati da esperti di chiara fama (per es. Trevor Kletz), confutano la teoria dell’incidente sin qui descritta ritenendola troppo semplicistica. Essi considerano, infatti, che la lunghezza della linea RVVH e l’altezza differenziale tra la zona sottoposta a pulizia ed il serbatoio n. 610 non potessero consentire un massivo afflusso d’acqua al serbatoio di MIC. Secondo tali specialisti, inoltre, la spiegazione precedentemente descritta presupporrebbe che tutta una serie di valvole normalmente chiuse fossero state difettose, con perdite significative di tenuta, o, addirittura, risultassero tutte mantenute aperte. Peraltro, alcune di queste, testate nel corso dell’anno successivo all’incidente, evidenziarono tenute tecnicamente più che adeguate.
Alla luce di queste considerazioni, è quindi possibile che lo scenario considerato (a maggioranza) credibile, non spieghi tuttavia con completezza la grande quantità di acqua in pressione in ingresso nel serbatoio n. 610.
La Union Carbide Corporation, in questo senso, ritenne possibile una seconda ipotesi: quella del sabotaggio e/o altro errore tecnico. In altri termini, l’acqua potrebbe essere stata introdotta nel n. 610 direttamente al livello del manometro collocato a monte del disco di rottura posto a protezione del serbatoio. Potrebbe, per esempio, essere stata collegata una presa d’acqua nella connessione per l’alimentazione d’azoto (volontariamente oppure per un errore tecnico).
In ogni caso, indipendentemente dall’errore conseguente all’introduzione d’acqua, tutti i rapporti tecnici concordano nel sottolineare la diffusa negligenza organizzativa connessa alle condizioni operative altamente degradate all’interno dello stabilimento (tubazioni difettose o bypassate, criticità tecniche nell’ingegneria della costruzione impiantistica, mancanza di personale, formazione insufficiente, ecc.) nonché una grave impreparazione nell’affrontare l’incidente che ha poi avuto luogo.

Riprendiamo ora la descrizione dell’evento: giunti a questo punto dell’incidente, non esiste alcun ostacolo all’emissione delle 42 tonnellate di vapore denso di MIC: lo scrubber di abbattimento è disattivato e manca la tubazione di collegamento alla torcia di stabilimento (peraltro spenta).
La spianata nera, la città vecchia e la stazione ferroviaria vengono invase da una nube velenosa e silenziosa, con odori e densità differenti (cfr. Figura 5):

  • l’isocianato di metile che puzza di cavolo bollito;
  • la monometilammina che pare ammoniaca;
  • il fosgene che odora di paglia umida.

Ognuno di questi vapori possiede densità e, quindi, mobilità passiva differente sul terreno e ciascuna area di Bhopal è invasa, dall’uno o dall’altro vapore letale, in funzione dell’intensità e della direzione locale del vento (cfr. Figura 5).

Figura 5 – Zone contaminate di Bhopal

Si compie la strage.
Nell’immediatezza dell’incidente, le statistiche ufficiali indicarono 2.000 morti accertatiAmnesty International denunciò, invece, che nei primi tre giorni, a Bhopal, persero la vita almeno 7.000 persone a cui devono essere aggiunte altre 15.000 vittime registrate tra il 1985 e il 2003, anno nel quale il Governo indiano ammise ufficialmente che il bilancio della tragedia aveva superato i 20.000 decessi.
Altresì, si stimano in 120.000 le persone che, esposte ai vapori nella sera tra il 2 e 3 dicembre 1984, subiscono tuttora le conseguenze di malattie croniche invalidanti e medicalmente non trattabili.
Ventimila morti e centoventimila malati cronici: questo è l’enorme costo sociale dell’avventura del Sevin in India.
Numeri che non necessitano di alcun ulteriore commento.

Figura 6 – Particolare di un pannello di comando in sala di controllo: “Safety is everybody’s business” (“La sicurezza è affare di tutti”)

“(…) I vapori che raggiungono i quartieri vicini alla fabbrica avvelenano solo chi ne resta contaminato, ma l’odore di cavolo lesso, di erba appena tagliata e di ammoniaca si spande in tutta la zona in pochi secondi. Mukkadam ha appena il tempo di vedere quella nebbia leggera, che già ne sente gli effetti. Capisce che la morte sta per piombare su di loro. Urla: “Bachao! Bachao! Scappate!”. Colti dal panico, gli invitati alle nozze fuggono, correndo in ogni direzione.
Per Bablubai è già troppo tardi. Il lattaio dell’Orya basti non regalerà più latte ai bambini rachitici. Subito dopo la morte del toro Nandi e delle vacche, ha lasciato la festa e si è precipitato nella stalla, richiamato dai muggiti delle bufale. Sdraiate come al solito a ruminare, le diciassette bestie sono state investite in pieno da una piccola folata di vapore strisciante. Molte sono già morte. Bablubai corre fino alla capanna per salvare il figlio neonato e la moglie Boda.
“La lampada a olio si è spenta” mormora la giovane donna in lacrime.
Bablubai tenta di chinarsi a prendere il bambino, ma uno sbuffo di vapori arrivato proprio in quel punto gli paralizza all’istante la respirazione. Il lattaio, fulminato da una sincope, si accascia senza vita sul corpo del suo bambino (…)”

(tratto da: Lapierre D. Moro J. (2012), Mezzanotte e cinque a Bhopal, Mondadori, Milano, pp.281-282)

Bibliografia

  • ARIA Report n. 722, Release of toxic gases in a pesticide plant, French Ministry for Sustainable Development – DGPR/SRT/BARPI
  • Bowonder B., An analysis of the Bhopal accident, in: “Project Appraisal”, Vol. 2, n. 3/1987, pp. 157-168
  • Chouhan T.R., The unfolding of Bhopal disaster, in: “Journal of Loss Prevention in the Process Industries”, n. 18/2005, pp. 205-208
  • Dash M.C. Dash S.P. (2009), Fundamentals of Ecology (Third Edition), McGraw-Hill, New York, USA (Chapter 8.12)
  • Kletz T. (2001), Learning from Accidents, Butterworth-Heinemann, UK (Chapter 10)
  • Lapierre D. Moro J. (2012), Mezzanotte e cinque a Bhopal, Mondadori, Milano
  • Mannan S. (2012), Lees’ Loss Prevention in the Process Industries: Hazard Identification, Assessment and Control (4th Edition), Butterworth-Heinemann, UK (Appendix 5)
  • Perrow C. (1999), Normal Accidents, Princeton University Press, USA
  • Sturloni G. (2006), Le mele di Chernobil sono buone, Sironi, Milano (Capitolo 6)

(Post pubblicato originariamente su Postilla.it il 24/11/2014)

© Marzio Marigo

Share