8bc7d2dc-23d3-416f-a668-e2cb6c5496a4_Rapporto

5/13/2018 8bc7d2dc-23d3-416f-a668-e2cb6c5496a4_Rapporto - slidepdf.com

http://slidepdf.com/reader/full/8bc7d2dc-23d3-416f-a668-e2cb6c5496a4rapporto 1/103

Valutazione e gestione del rischio delle

infrastrutture idrauliche: linee guida per

lo sviluppo di una metodologia integrata

Massimo Meghella

Giorgia Faggiani

Giuseppe Brando

Guido Camata Enrico Spacone

Area: Produzione di energia elettrica e protezione

dell’ambientefebbraio 2010



10000297

Rapporto ASV Ambiente e Sviluppo Sostenibile Pag. 1/102

ENEA – Ricerca sul Sistema Elettrico S.p.A.via R. Rubattino, 54 - 20134 Milano - Italia

Tel. +39 023992.1 - Fax +39 023992.5370

Capitale sociale 1.100.000 Euro i.v.

R.I. di Milano, C.F. e P.IVA 05058230961, N. R.E.A. 1793295 ISO 9001 CH-32919

M o d .

R P R D S v .

0 4

Contratto Accordo di programma 2009÷2011 con il Ministero dello Sviluppo Economico per le attività

di ricerca e sviluppo di interesse generale per il sistema elettrico nazionale.Piano Annuale di realizzazione 2009.

Oggetto Valutazione e gestione del rischio delle infrastrutture idrauliche: linee guida per lo sviluppodi una metodologia integrata

Progetto

Linea diRicercaDeliverable

Studi su potenziali sviluppi delle energie rinnovabili

Metodi per la sicurezza dei bacini idroelettrici e l’utilizzo ottimale della risorsa idrica

5Note

La parziale riproduzione di questo documento è permessa solo con l'autorizzazione scritta di ERSE.

N. pagine 102 N. pagine fuori testo [inserire n.pagine fuori testo]

Data 28/02/2010

Elaborato ASV – Massimo Meghella, Giorgia Faggiani

Verificato ASV – Massimo Meghella

Approvato ASV – Antonio Nicola Negri

Elaborato Meghella Massimo (ASV),10000297 436598 AUT

Faggiani Giorgia (ASV)10000297 453900 AUT

Giuseppe Brando,Guido Camata, Enrico Spacone

Verificato Meghella Massimo (ASV)10000297 436598 VER

Approvato Negri Antonio Nicola (ASV)10000297 436621 APP

P U B B L I C A T O

1 0 0 0 0 2 9 7 ( P A D -

8 2 1 1 5 5 )

P U B B L I C A T O

1 0 0 0 0 2 9 7 ( P A D -

8 2 1 1 5 5 )



10000297


© Copyright 2010 by ERSE. All rights reserved - Activity code 1066/10

Indice

SOMMARIO............................................................................................................................................. 4

1 IL RISCHIO PER LE INFRASTRUTTURE IDRAULICHE ..................................................... 6

1.1 Definizione del rischio ............................................................................................................... 6 1.2 Dall’approccio deterministico a quello probabilistico................................................................ 8 1.3 La modellazione dell’incertezza nell’approccio probabilistico................................................ 10 1.4 Il contesto nazionale: problemi culturali e limiti normativi ..................................................... 12

2 PRINCIPI E METODOLOGIE PER L’ANALISI DEL RISCHIO.......................................... 16

2.1 Il processo logico dell’analisi di rischio................................................................................... 16

2.2 Incertezze ed analisi di sensitività ............................................................................................ 18 2.3 Output dell’analisi di rischio .................................................................................................... 19 2.4 Metodologie per l’analisi di rischio.......................................................................................... 20

2.4.1 Analisi basata sull’identificazione dei modi di crisi (FMEA).......................................... 21 2.4.2 Analisi basata su alberi degli eventi (ETA)...................................................................... 23 2.4.3 Analisi basata su alberi di guasto (FTA).......................................................................... 26

3 ANALISI PROBABILISTICA DEI CARICHI E DEGLI EVENTI AVVERSI (HAZARDS)27

3.1 Considerazioni preliminari....................................................................................................... 27 3.2 Eventi naturali (terremoti, piene) ............................................................................................. 28

3.2.1 Terremoti.......................................................................................................................... 29 3.2.2 Piene ................................................................................................................................. 32

3.3 Eventi antropici (sabotaggio, terrorismo, errori umani)........................................................... 35 4 ANALISI DELLA VULNERABILITÀ STRUTTURALE......................................................... 38

4.1 Strumenti per la modellazione del comportamento strutturale delle dighe.............................. 38 4.2 Analisi delle modalità di crisi................................................................................................... 39

4.2.1 Tracimazione della diga (Overtopping)............................................................................ 40 4.2.2 Sifonamento (Piping) ....................................................................................................... 40 4.2.3 Erosione............................................................................................................................ 41 4.2.4 Scivolamento (Sliding)..................................................................................................... 41 4.2.5 Eccessiva deformazione ................................................................................................... 41 4.2.6 Degrado dei materiali ....................................................................................................... 41

4.2.7 Crisi delle opere di scarico e degli sfioratori.................................................................... 42 4.2.8 Modalità di crisi connesse al bacino................................................................................. 42 4.3 Registrazione storiche delle principali modalità di crisi .......................................................... 42 4.4 Stima e calcolo delle probabilità di crisi .................................................................................. 45

5 ANALISI DELLE CONSEGUENZE ........................................................................................... 46

5.1 Tipologia e modellazione delle conseguenze........................................................................... 47 5.1.1 Identificazione delle Conseguenze................................................................................... 48 5.1.2 Modellazione delle operazioni nel bacino........................................................................ 50 5.1.3 Modellazione della breccia (Breach Analysis)................................................................. 50 5.1.4 Caratterizzazione del “Sistema di Interesse”.................................................................... 50

5.2 Analisi delle aree inondate (Dam Break Analysis) .................................................................. 50

5.3 Analisi dell’impatto socio-economico...................................................................................... 52



10000297


© Copyright 2010 by ERSE. All rights reserved - Activity code 1066/10

5.3.1 Conseguenze per la definizione del rischio: trattazione pseudo-deterministica opuramente probabilistica?................................................................................................................. 54

6 METODI DI VALUTAZIONE E GESTIONE INTEGRATA DEL RISCHIO....................... 54

6.1 Il processo decisionale di valutazione e gestione del rischio ................................................... 54 6.1.1 Tipologia del processo decisionale................................................................................... 56 6.1.2 Importanza della comunicazione nel processo decisionale .............................................. 57

6.2 Rilevanza e categorie di rischio................................................................................................ 57 6.2.1 Rischio sociale (perdita di vite umane, ...) ....................................................................... 58 6.2.2 Rischio Economico (perdita di beni e servizi).................................................................. 62 6.2.3 Rischio Ambientale (impatto su ambiente e territorio) .................................................... 62

6.3 Rischio accettabile e rischio tollerabile.................................................................................... 62 6.4 Mitigazione del rischio............................................................................................................. 63

7 CASE HYSTORIES DI ANALISI DI RISCHIO APPLICATA ALLE DIGHE...................... 64

7.1 Il caso della diga di Kyrkösjärvi (da ITCOLD, 2004).............................................................. 65

7.2 Il caso di un portfolio di dighe in Australia (Bowles et al. - ICOLD)...................................... 70 7.3 Il caso di un portfolio di dighe nel bacino dell’Eufrate (Tosun H. et al., 2007)....................... 74

8 LINEE GUIDA ICOLD E ALTRI (USBR, ANCOLD, …) ........................................................ 78

8.1 Linee guida ICOLD-2005 (Bolletino n. 130)........................................................................... 79 8.2 Linee guida ANCOLD (1994, 2003)........................................................................................ 81 8.3 Linee guida USBR (2003)........................................................................................................ 83 8.4 Altri documenti guida............................................................................................................... 85

9 ROADMAP PER LO SVILUPPO E L’INTRODUZIONE DELLA METODOLOGIA INITALIA.................................................................................................................................................... 86

9.1 Modalità di coinvolgimento degli “stakeholders” (gestori, autorità, professionisti, ecc.) ....... 86

9.2 Fasi di sviluppo e piano di lavoro ............................................................................................ 88 10 BIBLIOGRAFIA........................................................................................................................ 89

APPENDICE A: ACCENNI DI TEORIA DELLA PROBABILITÀ................................................ 93

APPENDICE B: GLOSSARIO DI TERMINI..................................................................................... 99



10000297


STORIA DELLE REVISIONI

Numerorevisione

Data Protocollo Lista delle modifiche e/o dei paragrafi modificati

0 28/02/2010 10000297 Prima emissione

SOMMARIO

Il presente rapporto è parte integrante della documentazione delle attività di Ricerca di Sistema previstedal “Piano Annuale di Realizzazione 2009” nell’ambito del progetto “Studi su potenziali sviluppi delleenergie rinnovabili” (Area “Produzione di energia elettrica e protezione dell’ambiente”) e ne costituisceil Deliverable 5.

Gli impianti di generazione idroelettrica rappresentano, nel sistema elettrico nazionale, la più importante

fonte di energia rinnovabile, particolarmente pregiata in quanto rapidamente disponibile per soddisfare ipicchi di domanda di energia elettrica. Al contempo, tali impianti rappresentano un rilevante problemadi sicurezza, in quanto l’eventuale collasso strutturale dell’opera di sbarramento e il conseguente rilasciodell’invaso nelle aree a valle possono produrre consistenti perdite umane ed ingenti danni economici edambientali. È pertanto di fondamentale importanza poter disporre di adeguati strumenti per l’analisi, lavalutazione e la gestione del rischio associato alle infrastrutture idroelettriche, sopratutto nell’attualecontesto di progressivo invecchiamento e degrado strutturale che caratterizza il parco dighe nazionale,che possano favorire l’identificazione degli opportuni interventi di adeguamento di queste opere astandard di sicurezza accettabili.L’attività svolta si propone di contribuire ad una gestione più sicura delle dighe e dei bacini tenendoconto sia dei rischi derivanti da eventi naturali quali, per esempio, piene, terremoti, frane (safety), sia darischi accidentali e/o intenzionali derivanti da azioni antropiche quali azioni di sabotaggio o azioni

terroristiche (security), con l’obiettivo di definire e proporre una metodologia integrata per l’analisi e lavalutazione del rischio associato, che garantisca al contempo un approccio rigoroso, trasparente epossibilmente condiviso da tutti gli operatori del settore nella gestione della sicurezza di questeimportanti infrastrutture.L’analisi e la valutazione del rischio di una infrastruttura idroelettrica nei confronti di eventi naturali e/oantropici è basata sull’equazione che correla il rischio alla probabilità di accadimento dell’eventoavverso, alla vulnerabilità e alle conseguenze [§ 2] e deve includere in modo opportuno e sistematico iseguenti componenti:

una procedura per identificare i possibili eventi pericolosi (piene, frane, terremoti, attacchiterroristici, intrusioni e sabotaggi ai componenti critici d’impianto) [§ 4];

una metodologia di analisi delle modalità di risposta e della vulnerabilità della struttura e dei suoi

componenti nel caso in cui si verifichi l’evento avverso [§ 5]; una procedura per la valutazione delle conseguenze nel caso il verificarsi di un evento avversocomprometta, ad esempio, la capacità di ritenuta della diga o la continuità del servizio della rete ditrasmissione: le conseguenze vanno valutate da un punto di vista ambientale, sociale, economico elegale [§ 6];

una procedura per la valutazione e gestione del rischio, che, una volta definito e quantificato,consenta di stabilire se questo è tollerabile e se le relative misure di controllo e i dispositivi e lemisure di prevenzione siano adeguate, ed eventualmente individuare opportune strategie dimitigazione del rischio stesso [§ 7].

Nell’anno in corso sono state individuate e analizzate criticamente le metodologie di analisi e divalutazione del rischio attualmente disponibili [§ 3], le linee guida [§ 9] e alcune “case histories”

significative internazionali [§ 8]. Ciò ha consentito di individuare le principali caratteristiche chedovranno essere assicurate nel progetto e nello sviluppo della metodologia proposta per la valutazione e



10000297


la gestione di un portfolio dighe (cioè di un gruppo di sbarramenti di cui è responsabile un unicosoggetto). È stata quindi definita una modalità, articolata in fasi successive, per il coinvolgimentoottimale di tutti gli “stakeholders” interessati per valutare, modificare, integrare e promuoverel’adozione della metodologia proposta, che verrà sviluppata e testata nel periodo 2010-2011.

L’attività è stata svolta in collaborazione con il dipartimento PRICOS (Progettazione, Riabilitazione eControllo delle Strutture Convenzionali ed Innovative), dell’Università degli Studi di Chieti – Pescara.

1 INTRODUZIONE

Il processo di analisi e valutazione del rischio associato alla presenza di un’infrastruttura in unparticolare contesto territoriale è molto complesso ed articolato, essendo fortemente caratterizzatodall’incertezza intrinseca nei parametri (dati di progetto, di esercizio, parametri dei materiali, misure dasistemi di monitoraggio, risultati di simulazioni numeriche, di elaborazioni statistiche, ecc.) necessarieper quantificarne gli effetti. Inoltre, il processo richiede un approccio multidisciplinare che, oltreall’incertezza e alla forte disomogeneità dei dati da trattare, deve tenere conto di molteplici fattori dicarattere tecnico, socio-economico ed ambientale, e deve coinvolgere figure e competenze professionali

provenienti da ambiti culturali molto diversi.Al tradizionale approccio deterministico basato sulla verifica del rispetto di margini di sicurezza‘presumibilmente’ conservativi, in tempi più recenti si è diffusamente riconosciuto che per unatrattazione più rigorosa delle incertezze è necessario fare riferimento ad un approccio probabilistico inun contesto ‘standardizzato’ e largamente ‘condiviso’ dai soggetti interessati (popolazioni ed entitàesposte al rischio, gestori degli impianti, autorità di controllo, tecnici e operatori).È però importante sottolineare che l’introduzione di questo nuovo approccio implica un cambiamentosostanziale del paradigma tecnico e culturale alla base del concetto di ‘sicurezza’ sottostante al quadronormativo del nostro paese, storicamente caratterizzato da un’impostazione di natura ‘impositiva’,piuttosto che basata su ‘raccomandazioni’, come al contrario avviene nei paesi anglosassoni, dove, non acaso, queste metodologie sono state sviluppate ed introdotte con successo da molto tempo.È abbastanza evidente la differenza tra le implicazioni che i due paradigmi comportano: nel primo caso

la responsabilità civile e penale del gestore dell’impianto che avesse prodotto perdite di vite umane,danni economici ed ambientali a seguito, ad esempio, di un rilascio incontrollato dell’invaso,risulterebbe notevolmente sollevata o limitata se questi avesse rispettato i limiti e gli adempimentiimposti dalle normative di riferimento vigenti; nel secondo caso la responsabilità ricadrebbe sempre sulgestore, anche se questi avesse messo in atto diligentemente le indicazioni dei relativi regolamentitecnici. In questo caso si induce una maggiore proattività nei gestori, che di conseguenza tenderanno acoinvolgere maggiormente i beneficiari dei loro servizi e gli altri soggetti interessati od esposti alrischio, i quali a loro volta, a fronte dei benefici ottenuti dalla presenza dell’infrastruttura, sarannoquindi maggiormente responsabilizzati e consapevoli dei costi necessari al mantenimento dei livelli disicurezza più adeguati, che in questo caso dovrebbero essere chiaramente definiti e concordati tra tutti iportatori di interesse.

Sebbene i costi di investimento per lo sviluppo, la messa a punto e l’implementazione di questemetodologie siano rilevanti e in molti casi i gestori non dispongano delle risorse necessarie, i costi dimantenimento e di aggiornamento risultano di gran lunga inferiori e, nel medio e lungo termine, oltre aduno strumento efficace per il controllo e la gestione della sicurezza delle loro infrastrutture, i gestoripotranno beneficiare di una serie di vantaggi aggiuntivi, quali, ad esempio:

- La possibilità di classificare, organizzare e gestire in modo sistematico tutti i dati e le procedurerelative alla gestione della sicurezza dell’impianto;

- nel caso di più impianti (portfolio) e in mancanza di risorse sufficienti, la possibilità di gradualizzaree concentrare sulle opere le cui condizioni di sicurezza sono maggiormente critiche, le risorsenecessarie per interventi di ripristino strutturale e per le altre misure di mitigazione del rischio;

- la possibilità di trasferire e condividere facilmente gli elementi di conoscenza per la formazione

permanente degli operatori e dei nuovi tecnici;



10000297


- la possibilità di disporre di strumenti per individuare con trasparenza le responsabilità e facilitare larisoluzione delle controversie legali.

Per quanto detto, il presente studio si propone di favorire l’introduzione delle metodologie di analisi,valutazione e gestione del rischio associato alle infrastrutture idroelettriche nel contesto nazionale,

individuando chiaramente tutte le fasi per il pratico sviluppo ed implementazione di una metodologiacondivisa, fornendone al contempo gli elementi di base teorica e le caratteristiche necessarie pergarantirne la necessaria qualità ed efficacia.

2 IL RISCHIO PER LE INFRASTRUTTURE IDRAULICHE

2.1 Definizione del rischioLa stima del rischio attraverso opportune metodologie di analisi costituisce una fase strategicadell’intero processo di valutazione e gestione della sicurezza delle dighe. Il risultato dell’analisicostituisce la base per le scelte e le decisioni sulle misure per il controllo e l’incremento della sicurezzadei sistemi oggetto di valutazione. L’analisi del rischio si propone di fornire risultati utili al fine di porre

alla attenzione dei gestori le priorità e le alternative possibili di cui tener conto nell’ambitodell’organizzazione e della scelta degli interventi di manutenzione o di aggiornamento del sistema di cuisono responsabili. Sulla base dei risultati dell’analisi, inoltre, i gestori possono proficuamente dialogarecon gli enti preposti alla concessione di finanziamenti, con le compagnie assicurative, con i vari organiregolatori e con l’opinione pubblica.Le metodologie di analisi del rischio possono essere più o meno dettagliate e approfondite: possonoessere basate sull’utilizzo di indicatori standard, possono essere qualitative/o quantitative eimplementate con processi logici sia induttivi, sia deduttivi. Il livello di accuratezza da adottare deveessere scelto di volta in volta in ragione degli scopi e degli usi per i quali si è condotta l’analisi. Ingenerale, non è detto che una metodologia di analisi sia migliore di un’altra [Hartford et. al., 2004],piuttosto potrebbe risultare più o meno adeguata allo specifico problema studiato.L’analisi del rischio di un ‘portfolio’ dighe, viene generalmente condotta suddividendo il sistema incomponenti e sub-componenti (in serie e/o parallelo e raggruppate per livelli) che se raggiungessero undeterminato stato limite (che produca rottura o malfunzionamento) per effetto di un evento indesideratoaccorso, potrebbero comportare la crisi dell’intero sistema. La scomposizione del sistema in componentie sub-sistemi dovrà tenere conto, dove e per quanto possibile, della mutua interazione tra le diversecomponenti.Il processo di scomposizione è solitamente tradotto in un abaco delle componenti (Figura 1) che puòservire da guida durante tutta l’esecuzione dell’analisi e può essere utilizzato per l’individuazione deglielementi chiave, ossia quelle componenti la cui crisi potrebbe dar luogo a conseguenze nonproporzionate alle cause che le hanno prodotte.Uno screening dettagliato di tutte le componenti e sottocomponenti che formano un portfolio dighemette in evidenza che un’analisi di rischio di un tal tipo di sistema deve necessariamente essere

un’attività multidisciplinare che coinvolge competenze provenienti tanto dai vari campi dell’ingegneria,quanto da altre scienze più indirizzate all’analisi delle conseguenze. L’analisi del rischio si basa sullastima della probabilità di accadimento di eventi che possono dar luogo alla crisi del sistema ( Hazard oPericolosità, da qui in avanti indicata con la lettera H ), della probabilità di crisi del sistema o delle suecomponenti (Fragility o Vulnerabilità, da qui in avanti indicata con la lettera V) e delle perdite valutatein termini economici (Consequences o Esposizione, da qui in avanti indicata con la lettera C ). Leprobabilità stimate permettono di fornire “un modello matematico e trasparente delle incertezze nelle

future prestazioni della diga, laddove tali incertezze sono proprio espresse in termini di probabilità” [Cooke, 1991; Morgan e Henrion, 1990]. Vale a dire che il risultato principale dell’analisi di rischiofornisce la caratterizzazione scientifica e quantitativa di ciò che è noto e di ciò che è incerto nelleprestazioni future della diga [ICOLD, 2005].



10000297


/LYHOOR 3257$)2*/,2',',*+(

,16,(0(',*+(),80(Q «««««

/LYHOOR ',*+(68//267(662),80(

%$&,12Q «««««

,16,(0(',*+(),80(Q

,16,(0(',*+(),80(Q

,16,(0(',*+(),80(Q1

%$&,12Q %$&,12Q %$&,12Q.

',*$35,1&,3$/(

',*$6(&21'$5,$

Livello 3- DIGHE SULLOSTESSO BACINO

Livello 4- COMPONENTIPRINCIPALI DELLA

DIGA

23(5($&&(6625,(

67587785$'(//$',*$

,03,$17,

Livello 5-COMPONENTISTRUTTURALI

67587785$,1&$/&(6758==2

)21'$=,21,

,03,$17,','5(1$**,2(60,67$0(172

$&48(

Figura 1 - Diagramma delle componenti di un ‘portfolio’ dighe

Formalmente, definita una vita di riferimento V N dell’opera (per una diga V N =100 anni), rispetto allaquale definire le prestazioni strutturali e la pericolosità, il rischio R può essere ottenuto dalla seguenteformulazione:

{ }¦ ××= eConseguenzP EventoCrisiP EventoP R ()()( (1)

Dove P( Evento), P(Crisi| Evento) e P(Conseguenze) rappresentano rispettivamente la probabilità che siverifichi un evento avverso ( H ), la probabilità di occorrenza di uno stato di crisi della struttura (V )provocato dall’evento stesso e la probabilità che si manifesti un certo livello di conseguenze (C ). Ilrischio R, calcolato con l’equazione (1), rappresenta la probabilità su base annua che si realizzi undeterminato target di conseguenze (in termini di perdita economica o di perdita di vite umane).Più nello specifico, il rischio è dato dal seguente integrale:

{ } { } { }³ ⋅=<⋅==

C

da LP IM a DC P IM aP R ))(( (2)

dove: a è la variabile aleatoria continua che definisce l’intensità della pericolosità C è il dominio nel quale la variabile a può variare. Tale dominio dipende dal periodo di osservazione IM (Intensity Measure) è il valore che può assumere la variabile aleatoria )( a IM P = definisce la Pericolosità, ossia la probabilità che, nel periodo di osservazione, l’evento

iniziatore sia caratterizzato da una intensità a = IM .

PORTFOLIO DIGHE



10000297


{ } IM a DC P =< )( rappresenta la Vulnerabilità, cioè la probabilità che si verifichi una crisi

qualora IM assumesse un determinato valore { } LP ossia la probabilità di avere un determinato livello di Conseguenze economiche, intese sia in

termini di perdita di vite umane sia in maniera più estesa, in termini di perdita di beni e servizi e di

danni ambientali.

2.2 Dall’approccio deterministico a quello probabilisticoÈ ormai diffusamente riconosciuto che l’approccio tradizionale utilizzato negli scorsi decenni daglioperatori dell’ingegneria, al fine di valutare la sicurezza di sistemi più o meno complessi, presenta nonpochi limiti e criticità. La sua natura deterministica, infatti, prevede che le innumerevoli incertezze, cheriguardano la geometria, le caratteristiche meccaniche dei materiali, le azioni e la loro combinazione,etc., possano essere tenute in considerazione soltanto attraverso opportuni coefficienti di sicurezza dautilizzare in determinate fasi del processo di valutazione. Nell’approccio tradizionale tali coefficientidevono tener conto del pericolo relativo alla violazione di un determinato stato funzionale (che puòessere associato tanto all’esercizio del sistema quanto al suo collasso). In sintesi, l’approcciodeterministico consiste nel considerare i diversi ‘scenari di carico’ del sistema, nel raggrupparli in uno‘scenario di inviluppo’ e quindi nella ‘determinazione’ della sicurezza effettuata valutando se e quanto lacapacità offerta C , opportunamente ridotta attraverso l’uso di coefficienti di sicurezza (conservativi), siasuperiore alla domanda S espressa in termini di funzionalità richiesta al sistema. Un siffatto modo diprocedere non permette di tenere nella giusta considerazione, se non implicitamente, e comunque inmaniera non sufficiente, dell’aleatorietà delle grandezze chiamate in gioco nella valutazione dellasicurezza del sistema.Oggigiorno, al contrario, è invece fortemente riconosciuta l’esigenza di comprendere, nelle analisi dellasicurezza dei sistemi, non i valori delle grandezze e dei parametri che giocano un ruolo nel problema daaffrontare, bensì una loro stima che può essere ottenuta a partire da opportune distribuzioni di frequenza.Sono proprio tali distribuzioni che ricoprono un’importanza fondamentale nella valutazione del

comportamento del sistema. Queste permettono una trattazione del problema della sicurezza in terminiprobabilistici, ossia tale che l’output dell’intero processo di valutazione sia la probabilità che la capacitàdel sistema, o in generale un certo stato funzionale limite, possa essere superato in un determinatoperiodo di osservazione. Tale probabilità tiene conto, per quanto possibile, di tutte le incertezze chestanno alla base del problema della sicurezza. Da un certo punto di vista, l’approccio probabilisticoappare in qualche modo più ‘trasparente’ di quello deterministico, rendendo evidente il ruolo e il pesoche hanno le fonti di incertezza che pervadono ogni problema di analisi dei sistemi.Con riferimento alla Figura 2, in cui è rappresentata la distribuzione di probabilità congiunta pS,R(S, C) delle variabili capacità e domanda, il problema della valutazione della sicurezza del sistema consiste,secondo la trattazione moderna, nell’individuare il volume della parte di dominio alla sinistra del pianoS = C. Tale volume rappresenta la probabilità di superamento di uno stato limite (che in figura èindividuato come collasso) del sistema, pari all’integrale espresso nell’equazione (3) [Augusti et al.,

1984].

³³ >=C S

RS fail dSdC C S pP ),(, (3)



10000297


S=C

S>C

pS,C

S<C

S=C

C

R

pC

pS

Figura 2 - Probabilità di collasso di un sistema

In realtà in passato, il problema dell’aleatorietà di alcune grandezze non è stato del tutto trascurato nelcaso dei sistemi più complessi e critici (quali gli impianti nucleari, gli impianti industriali chimici, ledighe, etc.), alla luce delle tragiche conseguenze alle quali il superamento di determinati stati limitepotevano portare. Tuttavia, non avendo a disposizione strumenti analitici adeguati alla modellazione eall’analisi di tutte le incertezze, gli operatori del tempo tendevano da un lato ad assumere coefficienti disicurezza elevati, dall’altro a prescrivere misure di monitoraggio e sorveglianza, al fine di tenere sottocontrollo gli eventuali superamenti di livelli di funzionamento di allerta. Ciò poteva avvenire in misuradiversa anche in base ad una classificazione del rischio potenziale, ovvero delle conseguenze provocatesull’ambiente, sulla popolazione e su tutti quei beni siti in una determinata area posta nelle vicinanzedell’impianto stesso, dal superamento di un determinato stato funzionale [Hartford, 2009].Con riferimento alle dighe, ad esempio, è stata molto utilizzata per anni [FEMA, 2004] la classificazionedelle strutture basata sulla massima perdita probabile (Probabile Maximum Loss, PML), in cui il termineprobabile non è da intendersi in senso quantitativo, bensì qualitativo.L’approccio moderno di tipo probabilistico, invece, non necessita di classificazioni, in quanto laprobabilità di crisi, fornita dall’equazione (3), può essere combinata con la probabilità di accadimento dideterminati scenari e con una stima delle conseguenze, fornita in termini qualitativi, per restituire ilrischio (§ 2.1). Attraverso la stima del rischio è dunque possibile dare una misura della sicurezza edell’affidabilità di un determinato sistema che tenga conto sia delle incertezze insite nel problema, sia

delle conseguenze potenzialmente provocate dalla perdita di determinate funzionalità.Nella Tabella 1 sono riportate sinteticamente le caratteristiche e le differenze principali delle duemetodologie appena descritte con riferimento agli impianti idroelettrici.



10000297


Tabella 1 - Differenze tra analisi deterministica e probabilistica

ANALISI DETERMINISTICA ANALISI PROBABILISTICA

Analisi di singole dighe attraverso standardingegneristici indipendenti sviluppati in areedisciplinari autonome (ingegneria strutturale,geotecnica, idraulica, elettrica, etc.)

Il livello di sicurezza è determinato attraverso il rispettodi prefissati margini di sicurezza ‘presumibilmente’conservativi

L’incertezza non è opportunamente caratterizzata emodellata

Come condizioni iniziali per le analisi sono considerati

‘inviluppi’ di scenario, che considerano le condizionipiù conservative e quindi più penalizzanti (maximumcredible earthquake, probable maximum flood, etc.)

Le analisi necessitano di regole e linee guida bendefinite e scientificamente supportate sia per quantoriguarda la posa in opera, sia i particolari costruttivi, siale misure di manutenzione e sorveglianza

Assemblaggio delle conoscenze di diverse discipline inun unico modello che restituisce un livello diperformance di un sistema di dighe in base a ciò che ènoto e ciò che non lo è

L’utilizzo di un maggiore numero di dati anche se rendeapparentemente più costosa l’analisi fornisce unrisultato che permette un’ottimizzazione della gestionedel rischio

Il livello di incertezza dei dati a disposizione èconsiderato in maniera adeguata

Sono considerate tutte le possibili condizioni inizialiassociate alla probabilità che la diga possa essernesoggetta

L’analisi del rischio non si risolve attraverso unapproccio binario (sicuro/non sicuro), bensì attraversomodalità di stima della sicurezza più trasparenti

La qualità dei risultati ottenuti è commisurata a quelladei dati a disposizione

2.3 La modellazione dell’incertezza nell’approccio probabilisticoCome già accennato in precedenza, il comportamento di sistemi più o meno complessi, sia esistenti chenuovi, risulta caratterizzato da una serie di incertezze che ne rendono difficile l’analisi.I carichi agenti, sia in maniera permanente che variabile, non sono mai noti con certezza: se fosseroregistrati su due sistemi identici, i risultati che si otterrebbero difficilmente coinciderebbero. Lo stessopuò dirsi dei materiali: se venisse condotta una serie di misurazioni su diverse parti di una stessastruttura, i risultati che si otterrebbero, metterebbero alla luce una significativa variabilità dei valoriottenuti. Una fonte di incertezza coinvolge anche la geometria dei sistemi: modalità costruttive più omeno approssimate potrebbero portare a tolleranze di esecuzione diverse e dunque a dimensioni degli

elementi costruiti differenti da quelle previste in fase di progetto.I parametri che determinano il comportamento di un sistema complesso sono dunque delle quantitàaffette da una certa aleatorietà. Essi sono definiti variabili o processi random a seconda che sianocostanti o variabili nel tempo. Una variabile random non può essere definita con certezza, ma deveessere stimata in maniera indiretta attraverso l’uso di distribuzioni di frequenza che permettono distabilire la probabilità con cui un determinato valore può essere associato a essa. Nella fattispecie, siutilizzano le funzioni di densità di probabilità (PDF), ossia quelle funzioni pq(t) che, fissato un tempo t inun processo random, permettono di trovare la probabilità che la variabile (random) assuma un valorecompreso nel range [q(t), q(t)+dq)]. Tale probabilità può essere ottenuta moltiplicando per dq il valore p della PDF in corrispondenza del valore q(t) della variabile random. Ai fini dell’analisi risulta moltocomodo tradurre una determinata PDF attraverso un’espressione analitica che permetta una certa facilitànella sua gestione dal punto di vista matematico. In Figura 3, sono riportate le espressioni di PDF di

comune utilizzo nelle analisi ingegneristiche per l’interpretazione di variabile random [Augusti et al. ,1984]. Le proprietà di tali PDF e i parametri che sono usualmente presi in considerazione per



10000297


rappresentare in maniera sintetica la variabilità di un processo random, sono esposti con maggioredettaglio nell’Appendice A del presente rapporto.

Figura 3 - Esempi di PDF [ Augusti et al., 1984]

L’aleatorietà da cui può essere affetta una variabile random può essere più o meno significativa, e alcontempo può essere in qualche modo ridotta attraverso opportuni accorgimenti. Si pensi a tal propositoalla costruzione di opere sensibili, quali le ferrovie, in cui viene fatto uso di manodopera altamentespecializzata che agisce secondo le prescrizioni di capitolati speciali di appalto ben definiti e per la qualei processi di produzione dei materiali sono di continuo sottoposti a controlli atti a certificarne la qualità.Pertanto la confidenza della variabile random può essere diversa a seconda dei processi che ladeterminano.Nel momento in cui si analizza la risposta di un sistema affetto da incertezze, queste influenzerannoinevitabilmente l’output dell’analisi stesse. In quest’ottica non è da sottovalutare che le modellazionimatematiche e analitiche di uso diffuso e consolidato, contengono anche esse delle fonti di incertezzadovute all’approssimazione con cui tali modellazioni rappresentano ‘il mondo reale’ e allesemplificazioni che si realizzano al fine di ottenere simulazioni compatibili, in termini computazionali,



10000297


con gli strumenti utilizzati. È dunque necessario tenere conto di tali incertezze nell’interpretazione delleanalisi.

2.4 Il contesto nazionale: problemi culturali e limiti normativi

L’Italia è un paese che per la natura del suo territorio presenta diverse fonti di rischio Basti pensare a talproposito al rischio sismico di estese zone distribuite lungo la dorsale Appenninica (Figura 4) o alrischio idrogeologico presente in determinate regioni (Figura 5), dove peraltro l’insediamento selvaggio,sconsiderato e abusivo di manufatti edilizi nel territorio ha portato a un aumento consistente dello stessoa causa del maggior numero di persone e di insediamenti potenzialmente esposti e per le alterazioniintrodotte nell’assetto territoriale. Non sono poi da dimenticare i rischi connessi alla presenza di vulcani,di frane o di altri fenomeni naturali.

a) b)

Figura 4 - Mappa del rischio sismico in Italia Figura 5 - Mappa del rischio idrogelogico in Italia[www.minambiente.it]

I recenti e tragici eventi dell’Aquila (terremoto del 6-04-09) e di Messina (alluvione dell’1-10-09) hannomesso in luce inoltre alcune carenze nel prevenire e nel gestire i fenomeni di emergenza provocati da tali

eventi. In questo contesto, il quadro delle normative tecniche risulta per molti versi obsoleto ecaratterizzato da lacune nell’affrontare problemi connessi al rischio secondo metodologie moderne. Ciòè ancora più preoccupante se si pensa a infrastrutture critiche il cui collasso o la cui perdita difunzionalità potrebbe portare a conseguenze estremamente gravose. Tra queste opere devono esseresicuramente comprese le dighe. Il caso nazionale più emblematico di incidente con conseguenzecatastrofiche è rappresentato dalla diga del Vajont, il cui invaso determinò, la sera del 9 ottobre 1963, lafrana del monte Toc nell’annesso lago artificiale. A seguito della frana si elevò un’immane ondata cheoltrepassò la diga seminando a valle morte e desolazione. In quella occasione furono commessi trefondamentali errori, ognuno riconducibile alle tre componenti essenziali dell’equazione di rischio, cheattraverso un’adeguata analisi e strategia di gestione del rischio potevano essere scongiurati: ( i) l’avercostruito la diga in una valle non idonea sotto il profilo geologico (hazard o pericolosità); (ii) l’averinnalzato la quota del lago artificiale oltre i margini di sicurezza (vulnerabilità); (iii) il non aver datol’allarme la sera del 9 ottobre per attivare l’evacuazione in massa delle popolazioni residenti nelle zone arischio di inondazione (conseguenze).



10000297


L’attuale quadro di riferimento normativo relativo alla sicurezza delle dighe è costituito dalle seguentinorme: D.P.R. 1-11-1959 n. 1363: “Progettazione, costruzione ed esercizio degli sbarramenti di ritenuta

(dighe e traverse)”; D. Min. LL.PP. 24 marzo 1982: “Norme tecniche per la progettazione e la costruzione delle dighe di

sbarramento”. Circ. LL.PP. 4 dicembre 1987, n. 352: “Prescrizioni inerenti l’applicazione del regolamento sulle

dighe di ritenuta approvato con decreto del Presidente della Repubblica 1° novembre 1959, n.1363”.

D.L. 29 marzo 2004 n. 79 “Disposizioni urgenti in materia di sicurezza di grandi dighe” (convertitoin Legge con modifiche 28 maggio 2004 n. 139)

C.S. LL.PP. 16 novembre 2007 “Linee Guida per la valutazione della sicurezza sismica delle dighein esercizio (in applicazione dell’art. 4, comma 2 Legge 29 marzo 2004 n°79)”

Da tali documenti si evince che le dighe sono considerate opere “non convenzionali”. Infatti, il loroesercizio deve essere sempre accompagnato da opportuni fogli di condizione ,“…..all’osservanza dei

quali è vincolata l’esecuzione dell’opera, e che devono essere predisposti con riferimento al progetto

esecutivo e contiene le norme:

a) per l’esecuzione e la manutenzione degli accessi allo sbarramento durante la costruzione e il

successivo esercizio;

b) per la deviazione provvisoria del corso d’acqua durante i lavori di costruzione;

c) per l’esecuzione dell’opera, specificando le modalità di costruzione, i lavori da eseguire per

l’impermeabilizzazione e l’eventuale consolidamento della fondazione, le caratteristiche e le

provenienze dei materiali da adoperare e le prove di controllo alle quali questi dovranno essere

sottoposti durante i lavori, sia nell’eventuale laboratorio di cantiere, sia presso laboratori

specializzati, con indicazione del numero e della frequenza dei saggi da prelevare sotto il controllo

dell’Amministrazione;

d) per le osservazioni e misure da compiere per il controllo del comportamento dello sbarramento,con

indicazione degli apparecchi dei vari tipi da disporre nella struttura e fuori di essa;

e) per la vigilanza dell’opera da parte del richiedente la concessione o concessionario, e il controllodell’Amministrazione durante la costruzione e l’esercizio;

f) per le prestazioni relative al collaudo;

g) per il collegamento della casa dei guardiani con i centri abitati a valle e con la più prossima sede

del richiedente la concessione o concessionario, e per le segnalazioni da fare in caso di temuto

pericolo e di ordine di immediato svaso del serbatoio;

h) per gli altri provvedimenti che fossero eventualmente ritenuti necessari per la buona riuscita e la

sicurezza dell’opera.

I limiti di tali normative sono soprattutto da ricondurre all’approccio deterministico su cui basanol’analisi del problema strutturale. A dimostrazione di ciò, si riporta di seguito un estratto delD. Min. LL.PP. 24 marzo 1982 dal quale si evince la modalità di calcolo dell’azione sismica (Figura 6).Come si può osservare, le incertezze ad essa connessa vengono prese in considerazione in modo molto

sommario attraverso l’uso di ‘coefficienti di intensità sismica’.Il concetto di rischio è in qualche modo considerato nella Circ. LL.PP. 4 dicembre 1987, n. 352 (di cui siriporta un estratto in Figura 7) che definisce i livelli funzionali che la diga non deve violare durante ilsuo esercizio, tuttavia è necessaria una revisione profonda del quadro normativo e le proposte almomento sul tavolo si basano su un approccio ibrido o semi-probabilistico. Perciò, appare quanto mainecessario uno stimolo da parte degli enti di ricerca che si occupano dell’analisi e valutazione delrischio, della sua gestione e della sua mitigazione, affinché questi nuovi approcci vengano in qualchemodo riconosciuti e condivisi da tutti i portatori di interesse, in particolare dai proprietari e gestori chepotrebbero beneficiare, oltre ad uno strumento efficace per il controllo e la gestione della sicurezza delleloro infrastrutture di una serie di vantaggi aggiuntivi, quali, ad esempio:

- La possibilità di classificare, organizzare e gestire in modo sistematico tutti i dati e le procedure

relative alla gestione della sicurezza dell’impianto;



10000297


- nel caso di più impianti (portfolio) e in mancanza di risorse sufficienti, la possibilità di gradualizzaree concentrare sulle opere le cui condizioni di sicurezza sono maggiormente critiche, le risorsenecessarie per interventi di ripristino strutturale e per le altre misure di mitigazione del rischio;

- la possibilità di trasferire e condividere facilmente gli elementi di conoscenza per la formazione

permanente degli operatori e dei nuovi tecnici;- la possibilità di disporre di strumenti per individuare con trasparenza le responsabilità e facilitare la

risoluzione delle controversie legali.

.

Figura 6 - Estratto del D. Min. LL.PP. 24 marzo 1982 per il calcolo dell’azione sismica



10000297


Figura 7 - Livelli di allerta stabiliti per le dighe dalla Circ. LL.PP. 4 dicembre 1987, n. 352.

Si deve inoltre sottolineare l’importanza che la ‘percezione del rischio’ da parte dell’opinione pubblica edella società più in generale, riveste nel processo di condivisione dello stesso e nell’assegnazione dellerelative responsabilità. Tale percezione varia da paese a paese e dipende da fattori storici e culturali ed èevidente che l’educazione e la formazione giocano un ruolo fondamentale innanzitutto per ribadire ilconcetto che il rischio ‘zero’ non esiste in natura e che una società moderna deve saper bilanciareopportunamente i rischi con i vantaggi che da essi ne derivano, mettendo chiaramente in evidenza tuttigli elementi necessari per la loro determinazione.Il termine rischio generalmente provoca reazioni emotive di timore e diffidenza in particolare quando il

rischio è legato non alle catastrofi naturali quanto ai disastri per cause antropiche quali quelli industriali,spesso percepiti come eventi colposi attribuibili a negligenza, errore tecnico o spregio delle regole. Sonostati compiuti studi sui rischi socialmente accettabili (Socially Acceptable Risks, SAR) tendenti amettere in relazione le probabilità accettabili di accadimento di un evento dannoso con l’entità deldanno provocato dall’evento. Evidentemente la probabilità socialmente accettabile non solo decresce alcrescere del costo dell’evento, ma anche dipende dalla qualità di esso: così per gli incidenti agli impiantinucleari si esige che la probabilità di incidente sia estremamente bassa. Inoltre i rischi che vengonopercepiti come incorsi volontariamente (ad es. l’uso dell’automobile privata) vengono considerati, aparità di conseguenze per l’individuo coinvolto, molto più accettabili di quelli percepiti come imposti daterzi, anche se questi ultimi sono connessi a servizi di pubblica utilità cui nessuno vorrebbe rinunciare(come nel caso delle dighe la fornitura garantita di acqua potabile o di energia elettrica nel momentostesso della richiesta) [ITCOLD, 2004].È quindi importante sottolineare che l’introduzione di questo nuovo approccio implica un cambiamentosostanziale del paradigma tecnico e culturale alla base del concetto di ‘sicurezza’ sottostante al quadronormativo del nostro paese, storicamente caratterizzato da un’impostazione di natura ‘impositiva’,piuttosto che basata su ‘raccomandazioni’, come al contrario avviene nei paesi anglosassoni, dove, non acaso, queste metodologie sono state sviluppate ed introdotte con successo da molto tempo.È abbastanza evidente la differenza tra le implicazioni che i due paradigmi comportano: nel primo casola responsabilità civile e penale del gestore dell’impianto che avesse prodotto perdite di vite umane,danni economici ed ambientali a seguito, ad esempio, di un rilascio incontrollato dell’invaso,risulterebbe notevolmente sollevata o limitata se questi avesse rispettato i limiti e gli adempimentiimposti dalle normative di riferimento vigenti; nel secondo caso la responsabilità ricadrebbe sempre sulgestore, anche se questi avesse messo in atto diligentemente le indicazioni dei relativi regolamenti

tecnici. In questo caso si induce una maggiore proattività nei gestori, che di conseguenza tenderanno acoinvolgere maggiormente i beneficiari dei loro servizi e gli altri soggetti interessati od esposti alrischio, i quali a loro volta, a fronte dei benefici ottenuti dalla presenza dell’infrastruttura, saranno



10000297


quindi maggiormente responsabilizzati e consapevoli dei costi necessari al mantenimento dei livelli disicurezza più adeguati, che in questo caso dovrebbero essere chiaramente definiti e concordati tra tutti iportatori di interesse.

3 PRINCIPI E METODOLOGIE PER L’ANALISI DEL RISCHIO

3.1 Il processo logico dell’analisi di rischioL’analisi del rischio viene generalmente condotta attraverso il processo logico definito nella flow chartrappresentata in Figura 8.

$1$/,6,'(/5,6&+,2

STIMA DEL RISCHIO

352'8=,21(',81$'2&80(17$=,21(&+($77(67,,/5,6&+,267,0$72

'(),1,=,21(),1$/,7¬$1$/,6,

OK

'(),1,=,21(3(5,&2/26,7¬ (

&$5,&+,$'(66$$662&,$7,

$1$/,6,352%$%,/,67,&$

'(//¶+$=$5'

$1$/,6,'(//$5,63267$(67,0$352%$%,/,67,&$'(//$

98/1(5$%,/,7¬

,'(17,),&$=,21('(,3266,%,/,02',',527785$',81$23,Ô

&20321(17,67,0$'(//(

&216(*8(1=(5(/$7,9($

&,$6&81(9(172',527785$

5(9,6,21(9(5,),&$'(/352&(662'$3$57(',(63(57,&21752/352&(66

$1$/6,'(//(,1&(57(==(

VALUTAZIONEDEL RISCHIO

NO

Figura 8 - Processo logico dell’analisi del rischio

La definizione delle finalità rappresenta una fase di fondamentale importanza in quanto fornisceinformazioni sulle potenzialità dell’analisi che si implementerà, consente di inquadrare la specificaanalisi nel framework più ampio della gestione del rischio, e permette di definire il grado di accuratezzae dettaglio dell’analisi. Già in tale fase è possibile procedere alla scelta delle metodologie di analisi daadottare, in base agli obiettivi dello studio, al livello di rischio atteso, alla disponibilità di personaleesperto in grado di utilizzare determinati strumenti di analisi, alla versatilità delle metodologie proposte,

al ruolo e al peso che i risultati delle analisi stesse assumeranno successivamente nel processodecisionale.



10000297


È necessario, in una prima fase dell’analisi, procedere alla descrizione generale della pericolosità,dell’ambiente in cui è inserito il portfolio dighe analizzato, dei vincoli fisici e funzionali delle suecomponenti e sub-componenti, delle circostanze generali in cui l’analisi di rischio è implementata(livelli di sorveglianza superati, necessità di manutenzione straordinaria, aggiornamento degli impianti,etc.). In questa fase si procede anche alla raccolta e alla definizione dei dati da poter utilizzare nel

seguito dell’analisi.La definizione della pericolosità avviene in termini probabilistici attraverso la stima della probabilità disuperamento di un determinato valore dell’intensità che un evento può assumere in un periodo diriferimento. In generale, i carichi che comportano rischio su un complesso diga - bacino possono averediversa natura; le analisi possono essere classificate in base alla possibilità che essi portino al collasso oal danneggiamento delle opere di sbarramento vere e proprie, del sistema terreno-struttura e/o delleopere accessorie. Una fondamentale distinzione riguarda il tipo di pericolosità rispetto alla qualel’analisi può essere condotta. Si distinguono le azioni dovute a eventi naturali (terremoti, piene, etc.)dalle azioni dovute a eventi antropici (sabotaggi, errate manovre o, in generale, errori umani, attiterroristici, etc.). Esistono inoltre azioni dovute a processi interni legati all’invecchiamento e al degradodei materiali con cui è costruita la diga. Alcune delle pericolosità sopra elencate possono essere

identificate e stimate secondo metodi e modalità di rappresentazione ormai codificati e riconosciuti alivello internazionale: per esempio esistono curve e mappe di pericolosità per i terremoti (Figura 9).Altre, invece, risultano di identificazione più incerta perché basate su informazioni non sempreaccessibili (si pensi ad esempio al caso della pericolosità associata a eventi terroristici). Per esse sononecessarie il più delle volte delle considerazioni qualitative e formali che permettano di prevedere stimeaccettabili di pericolosità. Sulla stima e l’identificazione della pericolosità si ritornerà in maniera piùspecifica e dettagliata nel Capitolo 4 del presente rapporto.Una volta individuata la pericolosità dal punto di vista probabilistico, si procede con l’analisi dellavulnerabilità analizzando le singole componenti del sistema diga. Il primo e fondamentale step consistenell’individuazione dei modi di crisi. La quantità e la qualità (cioè l’estensione) dei modi di crisi daintrodurre nell’analisi dipende dalle finalità che si vogliono perseguire, sia in termini di accuratezza deirisultati che in termini di importanza che la fase di valutazione del rischio ha per l’intero processo di

gestione. I modi di crisi possono esser individuati sulla base di osservazioni su dighe che hannopresentato nel passato problematiche inerenti al superamento di determinati stati limite, da case hystory,oppure sulla base di una dettagliata revisione di tutte le forme di input che possono in qualche modocompromettere la sicurezza delle dighe stesse, delle loro fondazioni e/o delle loro opere accessorie indeterminati contesti ambientali. È quanto mai necessario che tale step di analisi venga compiuto sotto laguida di personale esperto in grado di garantire un livello di conoscenza elevato del sistema analizzato.

a) b)

Figura 9 - Tipiche curve (a) e Mappe(b) di pericolosità associate all’evento sismico.



10000297


L’individuazione delle modalità di crisi permette di dare inizio alla fase di analisi della risposta e allaconseguente stima della vulnerabilità. Lo spettro delle possibilità di azione è molto ampio e vario edipende dal peso che i risultati del processo di analisi hanno sull’intero processo di gestione. La fase dicontrollo della risposta strutturale consiste essenzialmente nel rappresentare il portfolio dighe attraversoopportuni modelli (costruiti sulla base dei dati raccolti scomponendoli in componenti in base delle

modalità di crisi viste in precedenza) e nell’analisi della risposta di tali modelli per tutti i possibili valoriche le condizioni di carico possono assumere. Come già accennato in precedenza, l’analisi può esserecondotta con metodologie basate su standard prefissati, con metodologie di tipo qualitativo o conapprocci maggiormente complessi basati sullo sviluppo di alberi di eventi o alberi di guasto. Talimetodologie saranno presentate con maggior dettaglio nel § 3.4.L’analisi di rischio si conclude con la stima delle conseguenze indotte dalla vulnerabilità delle struttureche può essere realizzata in termini monetari o in termini di perdite di vite umane. Tale fase èparticolarmente delicata e dipende da diversi fattori di tipo socio-economico i quali, il più delle volte,sono legati al tipo di pianificazione di cui nel passato è stato oggetto il territorio che comprende i baciniinteressati dal portfolio dighe analizzato.Nella valutazione delle conseguenze è importante distinguere se si tratta di conseguenze individuali,

rivolte al pubblico (inteso come società), occupazionali (ad esempio quando la rottura di un sistema didighe porta danni a insediamenti produttivi e quindi alla cassa integrazione per diversi lavoratori),commerciali, sociali, etc. Tali conseguenze devono essere soppesate, con particolare giudizio,nell’analisi del rischio, ciò al fine di non incorrere in errore nell’indirizzare interi processi decisionaliverso obiettivi che non sono prioritari.

3.2 Incertezze ed analisi di sensitivitàL’analisi di rischio deve tenere conto delle incertezze che la caratterizzano. A tal fine, è possibile agiresecondo due modalità: i) Analisi di sensitività e ii) Analisi delle incertezze.L’analisi di sensitività consiste nella valutazione dei risultati della modellazione (variabili di output) infunzione della variazione di parametri iniziali (variabili di input esogene). Le variabili di inputdipendono da eventi il cui andamento è descrivibile secondo leggi probabilistiche. L’analisi di sensitività

permette di stabilire un range di risultati più o meno probabili i cui parametri di distribuzione devonoessere tenuti in giusto conto e soppesati, nello stabilire le priorità di gestione del rischio. Un’analisisiffatta permette da un lato di ottenere una stima dell’output di un determinato modello, tanto più realequanto più saranno le ripetizioni analitiche implementate cambiando le variabili di input, dall’altro dicapire come tale output sia dipendente dalla variazione delle variabili stesse.Se le equazioni e le leggi analitiche che descrivono il modello non rappresentano anche esse dellevariabili, allora lo studio di sensitività sopra descritto coincide con l’analisi Montecarlo, la cuiimplementazione consiste essenzialmente nella esecuzione di analisi deterministiche per un numero diripetizioni così grande che i risultati ottenuti con maggiore frequenza possono essere considerati con unacerta attendibilità come valori di output probabili (Figura 10). La descrizione delle basi teoriche di talemetodologia di analisi è fornita in Appendice A del presente rapporto.



10000297


Figura 10 - Schematizzazione dell’Analisi Montecarlo

L’analisi delle incertezze rappresenta un’estensione dell’analisi di sensitività. Essa viene condottaattraverso le stesse modalità, ma sin dall’inizio della sua implementazione, gli ‘oggetti’ che vengono‘manipolati’ non sono i valori di parametri che possono anche essere ottenuti da distribuzioni prefissate,bensì sono le distribuzioni stesse. Il risultato finale dell’analisi sarà anche esso una distribuzione chemetterà in luce la probabilità di ogni possibile risultato.

3.3 Output dell’analisi di rischioIl prodotto finale dell’analisi di rischio è un rapporto che possa essere utilizzato in fase di gestione econvenientemente rivisto da personale esperto che certificherà la bontà dei risultati ottenuti. Se l’esito diquesto ‘check’ è positivo, allora sarà possibile passare alla fase di valutazione del rischio, in cuiverranno individuati i criteri informatori dell’intero processo decisionale e di gestione (Figura 11). Incaso contrario, l’analisi del rischio andrà implementata nuovamente tenendo conto di tutte leosservazioni fatte in fase di revisione.In conclusione al presente paragrafo, si vuole porre in evidenza che l’analisi del rischio può e deveessere implementata secondo procedure iterative che partono da modelli e tecniche di analisisemplificate che nelle successive iterazioni vedono uno sforzo sempre maggiore nell’approfondimentodelle metodologie e degli strumenti di analisi applicati. Un procedimento di questo tipo consentiràall’inizio di riconoscere cosa è più o meno importante ai fini dell’analisi, così da facilitare e semplificarele operazioni successive che, altrimenti, sarebbero caratterizzate da un numero molto elevato di dati damanipolare, complicando l’individuazione dei fattori che concorrono in maniera significativa al rischiodel portfolio dighe analizzato.



10000297


Figura 11 - Rappresentazione del processo di valutazione del rischio [ICOLD, 2005].

3.4 Metodologie per l’analisi di rischioAd oggi, le metodologie di analisi del rischio maggiormente utilizzate mirano soprattutto a dare degli

indici capaci di ‘misurare’ il rischio che possono essere utilizzati in maniera sintetica per creare dellepriorità tra i diversi interventi possibili richiesti al fine di accrescere il livello di sicurezza. Ladefinizione degli indici di sicurezza può essere effettuata basandosi sia su valutazioni di tipo matematicoe scientifico, sia su giudizi di natura soggettiva, fondati principalmente sulle esperienze del passato. Sidistinguono, stabilendo un ordine crescente di complessità di applicazione, le seguenti tre categorie[ICOLD, 2005]:a) metodologie di tipo standard-based ;b) metodologie di tipo qualitativo;c) metodologie di tipo quantitativo.Dei tre, l’approccio di tipo standard-based rappresenta il metodo più semplice, ma anche quello piùapprossimativo: per questo motivo non è sempre accettato, se non come primo step del processoiterativo che caratterizza l’analisi. Tale metodo è basato sull’osservazione delle caratteristiche

costruttive dell’opera e sulla loro rispondenza a standard prefissati. In questa tipologia di analisi èsempre richiesto il giudizio di figure esperte che hanno un livello di conoscenza appropriato delle regoledi buona pratica costruttiva, delle prescrizioni normative e del comportamento passato di altri sistemi didighe. Sebbene il metodo standard-based non sia affatto sufficiente per un’analisi sistematica di rischioesso può comunque essere utile come presupposto alle successive fasi di analisi consentendo unapreliminare identificazione delle modalità di crisi della struttura; peraltro rilevare le lacune nel portfoliodighe analizzato può essere considerato come una soglia minima di sicurezza al di sotto della quale ènecessario intervenire perché il rischio connesso non risulta più tollerabile (si è al di sotto del cosiddettolivello di rischio ALARP, “as low as reasonable possibile”, cfr. § 7.3).I metodi qualitativi sono per lo più di tipo induttivo. Essi tengono conto dei difetti rilevati nell’analisibasata esclusivamente alla rispondenza a determinati standard, ma al contempo sono strutturati perrispondere a domande quali “Cosa succede se una delle componenti collassa?”, valutando in manierapiù o meno diretta a seconda del livello di approfondimento desiderato, quali sono gli effetti di prefissatimodi di crisi.



10000297


I metodi quantitativi, al contrario, sono completamente basati su un approccio analitico che puòriguardare tutti gli aspetti dell’analisi di rischio: l’identificazione numerica completa della pericolosità; l’identificazione delle proprietà fisiche del sistema; l’identificazione numerica di tutti i meccanismi di crisi; la dettagliata descrizione delle relazioni fisiche ed ingegneristiche alla base dei meccanismi di crisi

che possono riguardare la diga, le fondazioni e/o le opere accessorie; la completa determinazione di tutta la trattazione matematica delle incertezze; l’analisi delle conseguenze.Tra i metodi qualitativi, il più diffuso è quello dell’analisi basata sull’identificazione dei modi di crisi(FMEA). Tra i metodi che possono essere sia quantitativi che qualitativi, invece, si segnalano quellodell’analisi basata su alberi degli eventi (ETA) e quello dell’analisi basata su alberi di guasto (FTA).Tali metodi sono descritti nel seguito.

3.4.1 Analisi basata sull’identificazione dei modi di crisi (FMEA)

La FMEA (acronimo inglese di Failure Modes Effect Analysis) è una metodologia di analisi di tipo

induttivo basata sull’identificazione sistematica di particolari modalità di crisi (condizioni iniziatrici) edegli eventi che gerarchicamente questi producono. Tale analisi consente di creare una selezionespeditiva delle possibili conseguenze rispetto alle quali indirizzare l’intero processo decisionale.L’analisi è solitamente di tipo qualitativo e descrittivo ed i suoi risultati sono presentati e ordinati, nelrispetto della gerarchia degli effetti che coinvolgono le diverse componenti del sistema a diversi livelli,in forma tabellare.Data la sua semplicità, la FMEA rappresenta la tecnica di analisi maggiormente diffusa a tal punto daessere codificata da diversi organi regolatori internazionali quali la British Standard Institution (1991), laCanadian Standard Association (1993), l’International Electrotechnical Commission (1985), l’USDepartment of Defense (1980).Un’evoluzione della FMEA è la cosiddetta FMECA (Failure Modes Effect and Criticality Analysis) cheestende la precedente assegnando a ciascuna modalità di crisi un determinato peso attraverso dei

‘punteggi’ commisurati alla loro frequenza di occorrenza. In questo modo è possibile stabilire unaclassificazione di tutte le potenziali modalità di crisi, combinando la severità del guasto alla probabilitàdi accadimento e alla sua frequenza, in modo da poter individuare con facilità le priorità di intervento aifini della riduzione del rischio.I passi in cui l’analisi viene articolata sono i seguenti:a) Definizione del sistema, della sua storia, dei criteri utilizzati durante la sua costruzioneb) Suddivisione del sistema in sottocomponenti funzionalic) Scomposizione delle sottocomponenti in elementi chiave e funzioni elementarid) Analisi delle modalità di crisie) Valutazione degli effetti diretti dei modi di crisi e delle conseguenze in termini di operativitàf) Analisi dei risultatiTali passi possono essere condotti con maggiore o minore livello di accuratezza e approfondimento a

seconda del tipo di importanza che l’analisi ha nell’ambito dell’intero processo decisionale. Non è datrascurare che uno dei maggiori svantaggi della FMEA è che essa diventa di difficile interpretazione seapplicata a sistemi ridondanti perché il raggiungimento della crisi di uno dei componenti del sistemapotrebbe essere compensata dalla presenza di altre componenti suppletive. La FMEA risulta di difficilel’applicazione anche in quei casi in cui una o più componenti possono esibire diverse modalità dicollasso.Sulle difficoltà applicative o sull’attendibilità dei risultati che la FMEA può presentare, giova ricordarequanto riportato dalle British Standard 5761 [1991] circa la preferenza di adottare piuttosto che laFMEA, altre tecniche che possono essere ritenute in qualche modo ad essa complementari. Ad esempiovengono fornite le condizioni in cui, piuttosto che una FMEA, è più proficuo utilizzare un’analisi basatasugli alberi di guasto (FTA, cfr. § 3.4.3).

Come accennato in precedenza, una delle principali caratteristiche della FMEA è rappresentata dalla suanatura gerarchica che, in una flow chart in cui vengono descritte le diverse modalità di collasso,permette di poter individuare gli effetti da poter ricondurre a queste con una certa trasparenza. Si faccia



10000297


ad esempio riferimento alla Figura 12 [Hartford et al., 2004], in cui vengono descritti gli effetti innestatida modalità di collasso riguardanti il sistema di pompaggio delle acque.

Figura 12 - Natura gerarchica della FMEA [Hartford et al., 2004]

Tali modalità di collasso riguardano le componenti del sistema appartenenti ad un determinato livellogerarchico. Utilizzando un diagramma delle componenti, quale quello rappresentato in Figura 8, èpossibile ‘attraversare’ i livelli del sistema partendo da quello considerato per l’identificazione dellemodalità di collasso. In questo modo sarà possibile arrivare al collasso del sistema stesso e, in ultimaanalisi, all’individuazione delle conseguenze che ciò provoca.Un tipico esempio di output di un’analisi FMEA è rappresentato in Figura 13, dove viene riportata unatipica tabella di lavoro attraverso la quale esprimere i risultati dell’analisi [CSA, 1993].Dall’analisi di tale tabella emerge il carattere descrittivo della metodologia analizzata con riferimento aimodi di crisi, alle cause e agli effetti che si possono verificare per i diversi livelli gerarchici in cui sonoorganizzate le diverse componenti.La FMEA può essere estesa alla FMECA considerando la severità dei modi di collasso. Le severitàpossono essere assegnate in modo qualitativo o quantitativo e sono espresse in classi. Nel primo caso sidispone di un range che varia da ‘catastrofico’ a ‘senza conseguenze’. Nel secondo, è previstal’assegnazione di indici di criticità, sulla base dei quali è possibile classificare in maniera più dettagliatale modalità di collasso, da ottenere secondo criteri di tipo probabilistico basati su determinate frequenzedi occorrenza dei modi di collasso esaminati. In alcuni casi, tali frequenze possono essere ottenute apartire dal giudizio di esperti e dai risultati di database esistenti che andranno modificati, attraversoopportuni coefficienti correttivi, in ragione delle differenze tra i casi esaminati e quelli proposti daldatabase stesso.In ogni caso, sia che si faccia riferimento ad un’analisi di tipo FMEA che ad un’analisi di tipo FMCEA,il risultato finale consentirà una chiara comprensione degli effetti provocati dalle diverse modalità dicrisi, da individuare in corrispondenza di predeterminati livelli del sistema analizzato. Tuttavia, le

metodologie di analisi descritte mettono chiaramente in evidenza che la maggior parte dei risultati che sipossono ottenere è influenzata da una certa soggettività che si palesa in maniera significativa nel nonpoter soppesare in maniera scientifica, se non tramite indici sintetici e solo in conclusione all’analisi, le



10000297


probabilità di occorrenza dei singoli eventi. Per tale ragioni, molte volte risulta più giustificato adottaremetodologie di tipo quantitativo, nonostante queste siano più complesse nella loro applicazione e basatesu una conoscenza del sistema più approfondita.

Figura 13 - Esempio di foglio di lavoro di un’analisi FMEA [CSA, 1993]

3.4.2 Analisi basata su alberi degli eventi (ETA)

L’ ETA (acronimo inglese di Event Tree Analysis) è un’analisi di tipo induttivo che ha caratteristiche ditipo sia qualitativo, sia quantitativo. Tale analisi non risulta fondata su basi squisitamente analitiche eteoriche. Tuttavia, date le difficoltà a tradurre in maniera precisa dal punto di vista teorico tutte lefenomenologie che caratterizzano un processo di rischio, essa si presenta come un buon compromessotra le esigenze di avere, da una parte, risultati affidabili e, dall’altra, risultati che tengano conto dellanatura aleatoria di determinati eventi, sia attraverso metodologie strutturate e precise, sia attraversomodalità convenzionali.Dal punto di vista quantitativo, l’ETA si propone di fornire la probabilità di occorrenza dell’eventoiniziatore rappresentato dalle azioni che possono innescare la crisi. A partire dall’individuazione delleazioni e dalla stima della loro intensità, si analizzano tutti i possibili scenari di eventi che si possonoverificare. Tali scenari vengono organizzati in una serie di eventi susseguenti che possono esserecaratterizzati da probabilità di occorrenza realmente stimate attraverso un’analisi di affidabilità (qualora

possibile), oppure da probabilità di occorrenza di tipo convenzionale fornite sulla base di considerazionidi tipo qualitativo.L’analisi ETA prevede solitamente una cosiddetta fase ‘pre-incidente’ che ha il compito di definire tuttii sistemi finalizzati alla mitigazione del rischio per cercare di inibire a monte le cause che potrebberoprovocare la crisi (ad esempio generatori autonomi di elettricità che entrano in funzione in caso dimancanza di elettricità). L’analisi di tale fase riveste notevole importanza, perché la presenza dei sistemidi mitigazione del rischio potrebbe determinare lo sviluppo di talune sequenze di eventi piuttosto chealtre.Una volta analizzata la fase ‘pre-incidente’, si procede con quella ‘post-incidente’ individuando inmaniera qualitativa gli eventi conseguenti.I vantaggi principali nell’utilizzo dell’ETA nell’ambito dell’intero processo di gestione del rischio sonosintetizzati nel seguito:

1) È un metodo grafico



10000297


L’albero di eventi è un modo grafico per descrivere una sequenza di eventi e di stati che il sistema può

assumere a seguito di una causa iniziatrice.

2) Fornisce un’immagine qualitativa del sistema L’albero di eventi fornisce una modalità logica per descrivere le performance qualitative del sistema.

3) Può essere usata per valutare quantitativamente l’affidabilità del sistema In realtà ciò è vero quando sono disponibili tutte le probabilità di occorrenza degli eventi che portano,

attraverso il processo logico delineato dagli alberi di eventi, alla crisi del sistema.

Ogni ramo conclusivo dell’intero albero di eventi (detto terminal point o leave) rappresenta l’unico statofinale prodotto dai ‘rami’ precedenti. Tale stato finale rappresenta l’interfaccia tra la fase di analisi dellavulnerabilità e l’analisi delle conseguenze.In Figura 14 viene fornita una tipica rappresentazione dello sviluppo logico e pratico dell’ETA.Una volta che l’evento iniziatore e la sua probabilità di occorrenza sono stati definiti attraversoun’opportuna analisi della pericolosità (in Figura 14 uno degli eventi avversi iniziatori può essere adesempio una piena che porta ad un afflusso d’acqua superiore alla capacità della turbina della diga), siprocede a definire i diversi effetti che possono verificarsi sul sistema attraverso un’analisi dettagliata

delle sue componenti e sub-componenti. Si procede, per livelli successivi tra loro correlati, in cui imalfunzionamenti di determinate componenti del sistema possono progressivamente coinvolgerecomponenti più grandi. Ogni ramo dell’albero di eventi rappresenta un unico effetto, in termini di crisi edi probabilità di occorrenza, che dipende fortemente dagli stati del sistema che si susseguono nel ramo,anche essi caratterizzati da determinate probabilità di occorrenza. La probabilità di occorrenzadell’effetto finale risulterà pari al prodotto delle probabilità di occorrenza degli stati funzionaliprecedenti. In corrispondenza di ogni livello dell’albero, le alternative possibili risultano essere eventimutuamente esclusivi ed esaustivi, caratterizzati da probabilità la cui somma è pari a 1.La probabilità di crisi associata a ciascun ramo dell’albero sarà infine rapportata ai risultati dell’analisidelle conseguenze al fine di poter individuare un indice di rischio. Tale valutazione sarà effettuata perogni ramo, pertanto alla fine del processo sarà possibile sapere quali esiti potrebbero risultare più omeno gravosi di altri.

L’albero di eventi permette di definire in maniera logica, se non altro attraverso considerazioni di tipoqualitativo, gli stati funzionali che il portfolio dighe non deve subire e, in caso contrario, permette didefinire le misure di ‘adeguamento’ o di aggiornamento del sistema da adottare proprio al fine discongiurare i suddetti stati funzionali stessi.



10000297


3.4.3 Analisi basata su alberi di guasto (FTA)

La FTA (acronimo inglese di Fault Tree Analysis) è un’analisi la cui componente essenziale è il guasto(Fault ).L’albero dei guasti non rappresenta di per sé un modello quantitativo, ma uno schema qualitativo chepuò essere valutato in maniera quantitativa. Tale schema logico prevede un modo di pensare deduttivocioè dal generale allo specifico. In una metodologia di analisi deduttiva si suppone che il sistema abbiaceduto in un determinato modo e si cercano di individuare i modi del sistema e/o i comportamenti dellesottostrutture che possono aver contribuito al verificarsi del guasto, partendo proprio dall’eventoindesiderato iniziale (detto top event ).Come per le due metodologie descritte nei paragrafi precedenti, uno dei principali vantaggi della FTA èla forma grafica in cui viene presentata l’analisi, che risulta perciò di rapida e immediata comprensione.Implementando una procedura di tipo top-down, partendo dal top event si rappresentano i guastiidentificati procedendo step-by-step per componenti o sottocomponenti di livello progressivamenteinferiore, fino ad arrivare ad un elemento chiave, che rappresenta la componente critica, la cui crisirappresenta l’innesco che da vita all’evento indesiderato stesso. Crisi delle componenti e sub-

componenti del sistema possono verificarsi individualmente o in combinazione e sono rappresentatilungo gli alberi secondo logic gates And/Or . Costruendo i diversi rami dell’albero, è possibile risalire daun unico evento indesiderato a diverse componenti chiave, ognuna delle quali risulta caratterizzata dauna certa probabilità di occorrenza. A differenza di quanto visto con l’ETA, tutte le perdite difunzionalità del sistema che fanno parte dell’albero di guasto devono essere ben identificate in termini diprobabilità di occorrenza, e ciò comporta diverse difficoltà applicative che, tuttavia, sono superabiliattraverso l’uso di sofisticate tecniche numeriche che possono essere utilizzate oggi grazie all’avvento dicomputer di elevate prestazioni.La FTA risulta una delle tecniche più potenti per stimare l’affidabilità di un sistema. Basti pensare a talproposito, che il suo utilizzo è ampiamente diffuso nell’ambito di quel campo dell’ingegneriaaerospaziale che si occupa di sistemi di lancio di missili.In Figura 15, è rappresentato un tipico albero di guasto in cui il top event è rappresentato dal guasto di

una componente (lo sfioratore della diga). Come si può osservare, partendo da tale evento si risale allediverse cause e sottocause che hanno portato ad esso in alternativa o in combinazione. Un albero diguasto così strutturato può essere collegato ad altri alberi di guasti o altri alberi di eventi. Ad esempio, sipuò facilmente osservare che l’analisi di affidabilità condotta attraverso l’albero di guasti di Figura 15,permette di esprimere la probabilità di occorrenza di uno degli eventi compresi nell’albero di eventirappresentato in Figura 14.



10000297


Figura 15 – Esempio di analisi FTA basata su alberi di guasto [ICOLD, 2005]

4 ANALISI PROBABILISTICA DEI CARICHI E DEGLI EVENTI AVVERSI(HAZARDS)

4.1 Considerazioni preliminariCome anticipato nel § 3, l’analisi della pericolosità, ossia l’individuazione dei carichi e degli eventiavversi che agiscono su una o più strutture, rappresenta il primo, fondamentale passaggio perl’implementazione dell’intero processo di valutazione e gestione del rischio. In tale fase di analisidevono essere tenute in conto le incertezze che possono caratterizzare le azioni considerate, che devonoessere valutate e combinate al fine di produrre una descrizione esplicita di tali azioni in termini diprobabilità di eccedenza, in funzione dell’intensità dell’azione considerata. I risultati finali di taleprocesso, una volta stabilito un determinato periodo di osservazione (ad esempio un anno) possonoessere sinteticamente rappresentati in un grafico quale quello di Figura 16, che riporta la probabilitàannua di eccedenza per un certo range di intensità dell’evento avverso.Tale grafico, noto sotto il nome di curva di pericolosità, mostra che gli eventi con intensità minore sonoquelli caratterizzati da una probabilità annua di eccedenza superiore, mentre gli eventi più significativi

sono anche i più rari. Questa può essere considerata una regola piuttosto generale, indipendentementedal tipo di azione analizzato.La curva di pericolosità è uno strumento molto potente, sebbene molto semplice nella suainterpretazione, per la predizione di eventi avversi futuri. Se fosse possibile condurre osservazioni perperiodi di tempo significativi, si potrebbe dedurre sperimentalmente la probabilità di accadimentodell’evento avverso soltanto basandosi su tale curva. Tuttavia, se i dati a disposizione sono relativi aperiodi di osservazione limitati, è necessario estrapolare le probabilità di occorrenza di interesseattraverso un approccio matematico che tenga anche conto delle incertezze di cui già detto in precedenza(§ 3.2).



10000297


0

0.1

0.2

0.3

0.4

0.5

0.6

0.7

0.8

0.9

1

0 2 4 6 8 10 12 14 16 18

Intensità dell'evento avverso

P r o b a b i l i t à a n n u a d i e c c e d e n z a

Figura 16 - Probabilità di eccedenza di un evento avverso in un anno

La tipologia dell’evento avverso influenza in maniera decisiva la costruzione delle curve di pericolositàin quanto le incertezze di cui tener conto nell’analisi probabilistica dipendono fortemente dal tipo dievento considerato. A tal proposito si pensi alle differenze tra un evento avverso quale il terremoto (che,come verrà detto in seguito, è influenzato da fattori come l’area interessata dalla sorgente, la distanzadella sorgente dal sito di interesse, l’intensità risultante in corrispondenza del sito a seconda del tipo diterreno, etc.) e una piena (la cui intensità dipende dalla frequenza annua delle precipitazioni, dallecaratteristiche del bacino di drenaggio, etc.). Ancora più importante risulta la differenza tra azioninaturali (terremoto, piena, ghiaccio, etc.) e azioni antropiche (manovre errate, attacchi terroristici, etc.).Per le prime sono solitamente disponibili dati statistici in quantità rilevante, mentre le secondedipendono solitamente da fattori di natura economica e sociale. Inoltre le azioni devono esseredifferenziate in base alle modalità di crisi che esse provocano (di tipo idrologiche, geologiche,

strutturali, agli impianti, etc. - cfr. §5.).Nel presente capitolo viene fornita una panoramica sulle diverse azioni che possono rappresentare fontedi rischio per un portfolio dighe. Saranno approfonditamente descritte le fonti di incertezza e, dovepossibile, saranno fornite delle leggi analitiche che si sono dimostrate affidabili nel poter essere usate aifini di una descrizione delle frequenze con cui determinati parametri di intensità dell’evento avversoassociato possono essere superati.

4.2 Eventi naturali (terremoti, piene)Gli eventi naturali che possono portare alla crisi di una diga hanno diversa origine e devono essereclassificati in base agli effetti che possono produrre in maniera tale da essere collocati in manieracorretta in testa ai diversi alberi di eventi che da essi possono scaturire.I possibili eventi avversi naturali che possono compromettere la sicurezza delle dighe sono: Azione dovute a carichi di esercizio (statici) Azioni sismiche Piene Azioni termiche (gelo, escursioni termiche giornaliere e stagionali) Instabilità dei versanti del bacino e delle rocce di fondazione Azioni chimiche (fenomeni espansivi irreversibili dovute alla composizione del calcestruzzo) Difetti costruttivi e malfunzionamenti.Come già accennato in precedenza, tali eventi sono trattati come fenomeni affetti da variabilità; imargini di sicurezza, di conseguenza, sono espressi da valori limite che possono essere superati con unacerta probabilità in un determinato periodo di riferimento.

Nell’ambito delle analisi di rischio descritte nel presente e nei successivi capitoli, gli eventi e leconseguenze ad essi associate sono considerati indipendenti l’uno dall’altro. In altre parole, laprobabilità congiunta (cfr. Appendice A) che essi si verifichino contemporaneamente è considerata



10000297


trascurabile. Tale impostazione non è propriamente corretta, ma si può considerare soddisfacentequalora vengano condotte analisi di primo livello e si possa presumere che la probabilità congiunta siaeffettivamente bassa.Tuttavia in generale alcuni eventi avversi possono essere considerati come effetti di altri (ad esempio, lapiena può essere provocata da un’eccessiva precipitazione).

Nel presente paragrafo sono state analizzate in dettaglio due delle sopraelencate azioni, per le quali sonodisponibili modelli analitici predittivi di una certa affidabilità, al fine di porre in evidenza come questedebbano essere trattate in forma probabilistica e tramite l’ausilio di modelli in grado di predire i valoridelle loro intensità anche per periodi di tempo superiori a quelli di osservazione.

4.2.1 Terremoti

A differenza del passato, è ormai consolidata nella comunità scientifica la convinzione che le azioniprodotte dal terremoto debbano essere trattate in maniera probabilistica, al fine di poter governare inmaniera non elusiva tutte le fonti di incertezza che influenzano i parametri in base ai quali possonoessere prodotte accelerazioni di diversa intensità su una struttura che si trova in un determinato sito. Ciòrappresenta un notevole passo in avanti rispetto all’approccio tradizionale, basato esclusivamentesull’individuazione dello scenario più gravoso in relazione al quale veniva valutata la risposta delle

strutture, peraltro in forma deterministica.Tale evoluzione ha avuto inizio nel momento in cui è stato possibile disporre di calcolatori più potenti,in grado di elaborare complesse procedure di calcolo che potessero tener conto di tutti i possibili eventisismici, nonché delle accelerazioni al suolo associate in un determinato sito, con una assegnataprobabilità di occorrenza.Le suddette procedure possono essere sintetizzate nei seguenti quattro punti [Baker, 2008]:

a) Identificazione delle le sorgenti sismiche

La complessità di tale operazione dipende dalla presenza di faglie nella zona di interesse. Per i siti in cuisono presenti evidenze di tipo geologico, cioè in zone caratterizzate da una significativa attività sismicapregressa, ogni sorgente può essere associata al piano di una faglia. Laddove, invece, non si hanno datiin grado di evidenziare in maniera precisa la presenza di faglie, si schematizza la sorgente attraverso una

regione all’interno della quale possono verificarsi eventi sismici.

b) Caratterizzazione della probabilità di occorrenza e delle intensità dei terremoti di cui al punto a)

Diversi studi condotti nel passato e basati su osservazioni di terremoti di diversa entità hanno permessodi ottenere delle leggi di distribuzione che restituiscono in forma analitica il numero delle occorrenze diterremoti di determinate magnitudo sismiche. La più nota tra tutte è quella introdotta da Guttemberg eRichter nel 1944, riportata di seguito:

mbam ⋅−=λ log (3)

dove λ m è il numero di eventi di magnitudo m o superiore, per una data regione e per un fissatointervallo di tempo. La Figura 17 rappresenta la correlazione fra logλ m e m, espressa dall’equazione

(3). Il valore a indica il tasso della sismicità totale della regione considerata, mentre b è la pendenzadella retta. Il valore di b differisce a seconda del tipo di terremoto: valori di b fra 0.6 e 1.2 si osservanocomunemente per i terremoti tettonici, mentre valori maggiori di 1.5 sono associati a terremoti di tipovulcanico. Per gli eventi sismici italiani b è assunto tipicamente pari a 1.0.In generale, la funzione (3) deve essere opportunamente troncata in modo tale da non consideraremagnitudo estremamente elevate e non realistiche. Queste ultime sono comunque caratterizzate da unnumero di occorrenze talmente basso da essere considerate in ogni caso tollerabili.Oltre al modello di Guttemberg e Richter, esistono diverse relazioni alternative di altrettanta comprovataaffidabilità che possono essere usate al fine di descrivere adeguatamente gli eventi sismici dal punto divista quantitativo. Tra queste si ricordano le espressioni fornite da Lomitz-Adler (1979), Swartz eCoppersmith (1984), Young e Coppersmith (1985).



10000297


0.0000

0.0001

0.0010

0.0100

0.1000

1.0000

10.0000

3 4 5 6 7 8m

λ m ,

Figura 17- Legge di ricorrenza di Guttemberg Richter per coefficienti

c) Predizione dell’intensità sismica al variare della distanza del sito dalle sorgenti di cui al punto a)

Tale operazione consiste nello sviluppare modelli predittivi (leggi di attenuazione) su base statisticaattraverso una regressione dei dati storici disponibili da osservazioni su terremoti del passato. I suddettimodelli sono costruiti in maniera tale da restituire il valore di un parametro di intensità sismica(accelerazione di picco al suolo, accelerazione spettrale corrispondente a un determinato periodo, etc.)che può caratterizzare un sito a una determinata distanza dalla sorgente, tenendo opportunamente contodelle incertezze connesse alla magnitudo del terremoto, a eventuali effetti di direttività, alla presenza difaglie superficiali, etc.Ad esempio, in Figura 18 sono riportate le curve di attenuazione dei valori osservati durante il terremotodi Chi-Chi, Taiwan (1999) che rappresentano le medie del logaritmo naturale dell’accelerazionespettrale (lnSa) corrispondenti a un periodo di 1 secondo, al variare della distanza dalla sorgente[Campbell e Bozorgnia, 2008]. Sono inoltre riportate le stesse curve con la deviazione standard, ottenuteconsiderando che a ogni distanza i valori registrati sono di solito caratterizzati da una legge didistribuzione normale. Tale informazione sarà richiamata esplicitamente al punto d).

Figura 18 - Legge di attenuazione dell’accelerazione spettrale relativa a un periodo di 1 secondo (terremoto di

Chi-Chi, Taiwan (1999)



10000297


Un altro esempio di modello predittivo in grado di fornire valori di un parametro di intensità sismica èquello fornito da Cornell et al. (1979), i quali proposero la seguente legge per la media dei logaritminaturali delle accelerazioni di picco al suolo:

)25(803.1859.0152.0log +−+−= R LnmPGA (4)

dove m è la magnitudo del terremoto e R la distanza del sito dalla sorgente.Per quanto riguarda i modelli che ben si adeguano ai terremoti registrati su suolo italiano, vale la penaricordare la legge di Sabetta – Pugliese (1987), molto utilizzata per descrivere le variazioni dei valorimedi dell’accelerazione e della velocità di picco al suolo.

d) Combinazione di tutti i dati di cui ai punti precedenti e delle incertezze di cui questi sono affetti alfine di produrre curve di pericolosità sismica

Al fine di costruire le curve di pericolosità sismica tenendo in giusto conto le incertezze che stanno allabase del problema è opportuno prima di tutto fare alcune considerazioni preliminari:

i) l’equazione (3) può essere convenientemente usata per ottenere la funzione FM(m) di distribuzione

cumulata (CDF) per le magnitudo più alte di un certo valore minimo mmin :)(

min

minmin

min101)()( mmbm M m M m M PmF

−−

−=−

=>≤=λ

λ λ (5)

A partire da tale equazione, attraverso una semplice derivazione rispetto alla variabile aleatoria m è possibile ottenere la funzione f M (m) di densità di probabilità (PDF) della variabile stessa.

ii) Le distanze r delle possibili sorgenti dal sito di interesse possono essere descritte da una funzionedi probabilità FR(r) che può essere ottenuta attraverso costruzioni geometriche note le posizionidelle sorgenti nel sito di interesse.

iii) Come già osservato al punto c), fissata una certa distanza da una determinata sorgente e una certa

magnitudo del sisma, la distribuzione dei parametri di intensità (di qui in avanti I.M.) ècaratterizzata da una legge lognormale attraverso la quale è possibile individuare la probabilitàP(I.M.>x|m,r) che il parametro di intensità preso in considerazione sia superiore a un dato valore x

La combinazione delle informazioni sopra elencate e il teorema della probabilità totale permettono diindividuare la probabilità che la I.M. associata a tutte le magnitudo comprese tra mmax e mmin e a tutte ledistanze possibili delle sorgenti, sia superiore a una determinata soglia x:

[ ]³ ³ ⋅⋅>=>

max

min

max

0

)()(),..()..(m

m

r

R M drdmr f m f r m x M I P x M I P (6)

La funzione (6) permette la costruzione di una curva di pericolosità al variare dell’intensità limite

dell’evento avverso x (Figura 19).



10000297


Figura 19- Un esempio di curva di pericolosità sismica

4.2.2 Piene

Un aspetto che deve essere preso in considerazione per la stima della sicurezza globale di una diga èquello ricollegato al probabile comportamento che questa può esibire sotto l’azione di ipotetiche piene incondizioni estreme. Anche per questo tipo di azione, dato che le effettive intensità delle piene non sonoprevedibili in forma rigorosa, l’approccio da seguire è di tipo probabilistico e basato sulle osservazionicondotte in passato. Questo è il motivo principale per cui non esistono codici normativi in grado direstituire in maniera deterministica la piena di progetto da assumere nell’analisi di una diga. Tuttavia, inmolte nazioni esistono delle linee guida che forniscono criteri e procedure per valutare su basesperimentale la massima piena probabile da utilizzare come piena di progetto per la valutazione dellacapacità di smaltimento del complesso invaso - organi di scarico: in molti casi tuttavia non sono

specificate le basi scientifiche su cui tali linee guida sono fondate, e i criteri e le procedure cheforniscono, non sempre sono coerenti tra loro e universalmente accettati. Tali criteri si basanoprincipalmente su dati di tipo regionale e risentono peraltro di alcune limitazioni quali quelle di esseresito-specifici (dipendono dall’area del bacino imbrifero) e di richiedere una mole rilevante di adeguateinformazioni sperimentali da inserire nei modelli che, sulla base della conoscenza delle dinamicheidrologiche prodotta dalla ricerca, determinano stime delle portate di piena di assegnata probabilità.I modelli maggiormente diffusi sono quelli basati sulla definizione di un coefficiente di deflusso, cioèdel rapporto tra il deflusso attraverso la sezione di chiusura di un bacino e l’afflusso meteorico allostesso bacino in un dato intervallo di tempo. Il coefficiente di deflusso tiene conto globalmente di tutti ifenomeni responsabili della perdita di volumi d’acqua ai fini della formazione del deflusso, e risulta unaquantità sostanzialmente stabile, per un assegnato bacino idrografico, se riferito a intervalli di tempomultipli dell’anno idrologico.

Un modello di piena concettuale molto semplice e molto utilizzato, soprattutto in Italia, è il modellocinematico o metodo della corrivazione. Esso suddivide il bacino come un insieme di sottobacinicaratterizzati da tempi di percorrenza invarianti. La portata finale è data dalla somma delle portateelementari dei sottobacini che possono essere calcolate mediante metodi indiretti di tipo semplificato eforniscono i valori della portata di piena in funzione del periodo di ritorno T delle precipitazioni a essaassociate. Un esempio è costituito dalla formula di Turazza:

c

cT

t

AT t hC Q

⋅⋅=

),( (7)

Dove C è il coefficiente di deflusso, A è l’area della superficie scolante, t c è il tempo di corrivazione,definito come il tempo che intercorre fra la caduta della precipitazione su di un bacino a monte e il

passaggio di questa dalla sezione di uscita del bacino a valle e fornito (in maniera affidabile per bacini diarea superiore a 50 km2) dalla formula di Giandotti:



10000297


H

LSt c

⋅

⋅+⋅=

8.0

5.14 (8)

dove S è la superficie del bacino sotteso, L la cosiddetta lunghezza dell’asta fluviale, vale a dire la

lunghezza del canale di raccolta dalla portata maggiore, e H l’altezza media del bacino sotteso.I metodi semplificati appena descritti, seppur basati sulla manipolazione di un significativo numero didati sperimentali, non tengono conto in alcun modo della distribuzione stocastica di questi ultimi epresentano non poche difficoltà a essere utilizzati per la predizione degli eventi futuri.In tempi recenti stanno avendo una sempre maggiore diffusione metodi più evoluti, basati sudistribuzioni probabilistiche in grado di riprodurre al meglio le evidenze sperimentali e di predire valoriattendibili delle portate di piena anche ben oltre il periodo di osservazione dei dati sperimentali. Latecnica delle analisi di frequenza delle piene consiste nell’utilizzare i dati di picco osservatiannualmente, al fine di calcolare dati statistici come valori medi, deviazioni standard, asimmetria, eintervalli di ricorrenza. Questi dati statistici sono poi utilizzati per costruire distribuzioni di frequenzaper le quali le forme analitiche più riconosciute sono:

Distribuzione normale

Distribuzione Lognormale Distribuzione di Gumbel

Distribuzione LogPearson III

L’adozione di ognuna delle sopraelencate distribuzioni presenta vantaggi e svantaggi. Tuttavia, diversibollettini, tra i quali il n. 17 dell’U.S. Water Advisory Committee on Water Data (1982), individuanonella LogPearson III la distribuzione più adeguata per un’analisi della frequenza delle piene, rivelandosiparticolarmente affidabile anche per eventi con periodi di ritorno che vanno ben oltre gli eventi presicome base statistica per la costruzione della distribuzione stessa. Le tecniche di analisi basatesull’utilizzo di tale distribuzione sono tra quelle più utilizzate dalle agenzie federali degli Stati Uniti.L’equazione generale che descrive la distribuzione LogPearson III è:

xK x x log

______

loglog σ += (9)

Essendo x la portata della piena,______

log x la media dei valori delle piene registrate, K è un fattore di

frequenza e σ la deviazione standard dei valori log x.La media e lo scarto quadratico medio possono essere calcolati secondo le equazioni:

n

x x

i¦=

)(loglog______

(10)

1

)log(log_____

2

log−

−

=

¦n

x x xσ (11)

Il fattore di frequenza K dipende dal coefficiente di asimmetria C s della distribuzione e dal periodo diritorno. Esso assume i valori riportati in Tabella 2 dove il coefficiente di asimmetria C s è datodall’equazione:

3log

_____3

)()2()1(

)log(log

x

snn

x xnC

σ ⋅−⋅−

−=

¦(12)

Il valore della portata di piena può essere trovato per diversi periodi di ritorno e, quindi, per diverseprobabilità di occorrenza, risolvendo l’equazione (9).

Il principale problema dell’approccio probabilistico analizzato sopra è da ricondurre al fatto che i datinecessari per la sua applicazione sono rappresentati direttamente dai valori delle piene (i quali tengono



10000297


direttamente conto delle caratteristiche del bacino). Per tale motivo, la sua applicabilità è da ricollegaredirettamente alla disponibilità di tali dati e al fatto che le caratteristiche del bacino siano determinate informa deterministica.

Tabella 2 - Fattori di frequenza K per distribuzioni di tipo Log-Pearson Type III Distributions [Haan, 1977]

Periodo di ritorno (anni)1.01 2 5 10 25 50 100 200

COEFFICIENTEDI ASIMMETRIA

Probabilità di occorrenza

Cs 99 50 20 10 4 2 1 0.52.6 -0.769 -0.368 0.499 1.238 2.267 3.071 3.889 4.718

2.5 -0.799 -0.36 0.518 1.25 2.262 3.048 3.845 4.652

2.4 -0.832 -0.351 0.537 1.262 2.256 3.023 3.8 4.584

2.3 -0.867 -0.341 0.555 1.274 2.248 2.997 3.753 4.515

2.2 -0.905 -0.33 0.574 1.284 2.24 2.97 3.705 4.444

2.1 -0.946 -0.319 0.592 1.294 2.23 2.942 3.656 4.372

2 -0.99 -0.307 0.609 1.302 2.219 2.912 3.605 4.298

1.9 -1.037 -0.294 0.627 1.31 2.207 2.881 3.553 4.223

1.8 -1.087 -0.282 0.643 1.318 2.193 2.848 3.499 4.1471.7 -1.14 -0.268 0.66 1.324 2.179 2.815 3.444 4.069

1.6 -1.197 -0.254 0.675 1.329 2.163 2.78 3.388 3.99

1.5 -1.256 -0.24 0.69 1.333 2.146 2.743 3.33 3.91

1.4 -1.318 -0.225 0.705 1.337 2.128 2.706 3.271 3.828

1.3 -1.383 -0.21 0.719 1.339 2.108 2.666 3.211 3.745

1.2 -1.449 -0.195 0.732 1.34 2.087 2.626 3.149 3.661

1.1 -1.518 -0.18 0.745 1.341 2.066 2.585 3.087 3.575

1 -1.588 -0.164 0.758 1.34 2.043 2.542 3.022 3.489

0.9 -1.66 -0.148 0.769 1.339 2.018 2.498 2.957 3.401

0.8 -1.733 -0.132 0.78 1.336 1.993 2.453 2.891 3.312

0.7 -1.806 -0.116 0.79 1.333 1.967 2.407 2.824 3.223

0.6 -1.88 -0.099 0.8 1.328 1.939 2.359 2.755 3.132

0.5 -1.955 -0.083 0.808 1.323 1.91 2.311 2.686 3.041

0.4 -2.029 -0.066 0.816 1.317 1.88 2.261 2.615 2.949

0.3 -2.104 -0.05 0.824 1.309 1.849 2.211 2.544 2.8560.2 -2.178 -0.033 0.83 1.301 1.818 2.159 2.472 2.763

0.1 -2.252 -0.017 0.836 1.292 1.785 2.107 2.4 2.67

0 -2.326 0 0.842 1.282 1.751 2.054 2.326 2.576

-0.1 -2.4 0.017 0.846 1.27 1.716 2 2.252 2.482

-0.2 -2.472 0.033 0.85 1.258 1.68 1.945 2.178 2.388

-0.3 -2.544 0.05 0.853 1.245 1.643 1.89 2.104 2.294

-0.4 -2.615 0.066 0.855 1.231 1.606 1.834 2.029 2.201

-0.5 -2.686 0.083 0.856 1.216 1.567 1.777 1.955 2.108

-0.6 -2.755 0.099 0.857 1.2 1.528 1.72 1.88 2.016

-0.7 -2.824 0.116 0.857 1.183 1.488 1.663 1.806 1.926

-0.8 -2.891 0.132 0.856 1.166 1.448 1.606 1.733 1.837

-0.9 -2.957 0.148 0.854 1.147 1.407 1.549 1.66 1.749

-1 -3.022 0.164 0.852 1.128 1.366 1.492 1.588 1.664

-1.1 -3.087 0.18 0.848 1.107 1.324 1.435 1.518 1.581

-1.2 -3.149 0.195 0.844 1.086 1.282 1.379 1.449 1.501-1.3 -3.211 0.21 0.838 1.064 1.24 1.324 1.383 1.424

-1.4 -3.271 0.225 0.832 1.041 1.198 1.27 1.318 1.351

-1.5 -3.33 0.24 0.825 1.018 1.157 1.217 1.256 1.282

-1.6 -3.88 0.254 0.817 0.994 1.116 1.166 1.197 1.216

-1.7 -3.444 0.268 0.808 0.97 1.075 1.116 1.14 1.155

-1.8 -3.499 0.282 0.799 0.945 1.035 1.069 1.087 1.097

-1.9 -3.553 0.294 0.788 0.92 0.996 1.023 1.037 1.044

-2 -3.605 0.307 0.777 0.895 0.959 0.98 0.99 0.995

-2.1 -3.656 0.319 0.765 0.869 0.923 0.939 0.946 0.949

-2.2 -3.705 0.33 0.752 0.844 0.888 0.9 0.905 0.907

-2.3 -3.753 0.341 0.739 0.819 0.855 0.864 0.867 0.869

-2.4 -3.8 0.351 0.725 0.795 0.823 0.83 0.832 0.833

-2.5 -3.845 0.36 0.711 0.711 0.793 0.798 0.799 0.8

-2.6 -3.899 0.368 0.696 0.747 0.764 0.768 0.769 0.769



10000297


4.3 Eventi antropici (sabotaggio, terrorismo, errori umani)In tempi recenti, gli attentati dell’11 settembre negli Stati Uniti (2001) e di quelli europei di Madrid(2004) e Londra (2005) hanno evidenziato la vulnerabilità di tutte le nazioni nei confronti degli attacchiterroristici portando all’adozione di nuove politiche sulla sicurezza; in questo contesto si è incrementata

l’attenzione anche nei confronti delle tematiche di sicurezza delle dighe e delle altre infrastrutturecritiche nei confronti di rischi antropici quali azioni terroristiche, sabotaggi e attacchi ostili in generale[Enders et al, 2005]. Antefatti storici suggeriscono che le dighe possono costituire un obiettivo diinteresse per terroristi ed estremisti. In occasione di alcuni conflitti bellici infatti l’esplosione delle digheè stata utilizzata come strategia di guerra [Bjørgo, 2003]. Durante la guerra fra Cina e Giappone del1937-45, l’esercito cinese fece esplodere un grosso sbarramento nel fiume Giallo per osteggiarel’avanzata dell’esercito nemico: migliaia di soldati giapponesi morirono insieme a centinaia di migliaiadi civili cinesi, e milioni di persone persero la casa. Durante la seconda guerra mondiale le forze alleatebombardarono le dighe del bacino della Ruhr per distruggere l’industria bellica tedesca. Migliaia dipersone persero la vita e più di centomila le loro case. Infine durante la guerra civile in Croazia del1993, l’esercito serbo provò a fare esplodere una grossa diga usando 20-30 tonnellate di tritolo.Fortunatamente l’esplosione non causò il collasso totale della diga che avrebbe minacciato le circa

20.000 persone che vivevano a valle.La valutazione del rischio antropico è alquanto complessa per la difficoltà di poter prevedere edeterminare su base statistica i comportamenti dell’uomo. Per questo motivo nel caso dell’analisi delrischio antropico si preferisce adottare una metodologia di analisi deduttiva che si propone dicomprendere, identificare e stimare quantitativamente il rischio associato a una gamma di scenari diattacco. Per questo motivo nel presente paragrafo non ci si limita alla trattazione della minaccia in sé,ma si riportano i principali passi della metodologia deduttiva. Questo tipo di analisi prevedel’individuazione degli eventi indesiderati e delle conseguenze che ne derivano; quindi si realizzaun’analisi di vulnerabilità per definire il livello di protezione offerto dal sistema, e si procede alla stimadel rischio. In ultimo si valuterà se il rischio possa o meno essere considerato tollerabile edeventualmente si definiranno le strategie per la sua riduzione attraverso il miglioramento dei sistemi disicurezza o la mitigazione delle conseguenze (Figura 20).

Figura 20 – Schema del processo di gestione del rischio antropico [Biringer e al, 2007]

Il processo di gestione del rischio nel caso di eventi antropici comincia con una fase (opzionale) discreening preliminare che consiste:

nella raccolta delle informazioni disponibili sulla diga, derivanti da documentazione esistente qualeprogetti, ispezioni, rilievi sull’esercizio, misure in campo, studi sulla struttura e sulle aree interessateda eventuali eventi di piena;

Cosa è importante?

Eventi indesideratiConseguenze Criminali Estremisti

Terroristi

Contro cosaproteggere?

Decisioni

Quanto bene

siamo protetti?

Il rischio è tollerabile?Ridurre le conseguenze

Migliorare la protezione Opzioni di costo

Responsabilità Obiettivi Insider



10000297


nell’identificazione delle funzioni assolte dalla struttura (protezione dalle inondazioni, capacità diritenzione, generazione idroelettrica, fornitura d’acqua e irrigazione, turismo e attività ricreative,navigazione commerciale) e degli eventi avversi che possono portare alla perdita di una o più di talifunzioni;

nell’analisi delle conseguenze in termini di sicurezza e salute pubblica, di impatto economico,

ambientale, psicologico e politico.Un esempio di screening preliminare è riportato in Figura 21: le conseguenze vengono valutatequalitativamente utilizzando le classificazioni di Tabella 3 e di Tabella 4. Il risultato dello screeningpreliminare fornisce importanti indicazioni su quali sono le strutture su cui è necessario effettuarel’analisi con maggiore grado di approfondimento.

Figura 21 – Esempio di procedura preliminare di screening

Tabella 3 - Tabella di valutazione qualitativa delle conseguenze

Tabella 4 - Tabella di classificazione delle conseguenze

Nel prosieguo dell’analisi si ripercorrono con maggior grado di approfondimento le tappe delloscreening preliminare. Inizialmente si provvede alla raccolta di tutte le informazioni che consentano ladescrizione della diga e del bacino, l’identificazione di tutti i potenziali eventi avversi, l’individuazione



10000297


dei componenti più vulnerabili del sistema diga e di quelli che necessitano di maggiore protezionesecondo lo schema di Figura 22.

Figura 22 – Schema riassuntivo della fase di raccolta dei dati [DAMSE]

In un complesso diga, che è costituito da molte differenti componenti e sottocomponenti la cui perdita difunzione potrebbe portare a conseguenze catastrofiche per l’intera struttura, l’identificazione delle partipiù vulnerabili o che necessitano di maggiore protezione (componenti critici) non può essere fattasemplicemente con un’ispezione o con un’osservazione, ma è necessario sviluppare dei diagrammi

logici che consentano di identificare in maniera immediata tutti i modi in cui si possono verificare glieventi e i componenti che necessitano di protezione per impedire o limitare i danneggiamenti.Nell’ambito della security delle dighe l’albero dei guasti, FTA (§ 3.4.3), rappresenta lo schema logicoche meglio individua l’interazione fra i componenti del sistema il cui mancato funzionamento puòcontribuire a produrre l’evento iniziale (top event ).Un altro passo importante dell’analisi del rischio consiste nell’identificazione delle minacce e nella lorosistematizzazione in uno schema che possa essere utilizzato come supporto alla fase di gestione. Taleprocesso di identificazione può essere realizzato con un’analisi di vulnerabilità i cui principali passisono:1. Raccogliere tutte le informazioni disponibili sulle eventuali minacce;2. Definire una gamma di potenziali minacce: tali minacce possono provenire da persone esterne

(terroristi, criminali, estremisti, vandali, provocatori, teppisti, militanti nel controspionaggio,

psicopatici) o da persone interne.3. Definire il potenziale degli avversari e la risonanza che un eventuale attacco potrebbe avere

sull’opinione pubblica in relazione al valore simbolico o strategico dell’opera o dell’entità del dannoprodotto.

4. Stimare la possibilità di attacco per ogni situazione e per ciascuno specifico gruppo avversario.La possibilità che si verifichi un attacco dovrebbe essere stimata tenendo conto di tutti i singolipotenziali eventi indesiderati e di tutti i potenziali avversari, basandosi sulle statistiche degli eventipassati e della vulnerabilità del sito dove si colloca la struttura in esame. Le agenzie di intelligencepossono fornire utili informazioni sulle diverse potenziali minacce in relazione alla risonanza che uneventuale danno può esercitare, in termini di entità delle conseguenze, di impatto e visibilità, e disignificatività in relazione all’economia e alla sicurezza nazionale.In generale i principali tipi di rischi antropici su una diga sono di natura chimico/biologica, informatica efisica. L’attacco chimico/biologico può essere realizzato utilizzando la rete delle acque per diffondereagenti dannosi attraverso la popolazione. Gli attacchi informatici invece sono a carico dei sistemi

Caratterizzazione

della diga

Eventoindesiderato

Descrizionedella diga

Componenticritici

Obiettivi diprotezione

Interruzione delfunzionamento

Furti Reati contro le

persone Distruzione Compromissione

delle informazioni Perdita della

fiducia

Dettagli fisici Regole di

funzionamento Sistemi di

protezione da

eventi naturali eantropici

Forza lavoro Restrizioni,

requisiti, limiti

Identificatiattraverso l’albero

di guasto

Si previene: l’interruzione del

funzionamento la minaccia all’inte-

grità strutturale, allasalute e alla sicu-rezza

la minaccia a dis-mettere i servizi e isistemi di emergenza



10000297


informativi e di gestione delle infrastrutture e hanno l’obiettivo di contaminare e danneggiare i computerdi controllo. Gli attacchi fisici usano generalmente materiale esplosivo per danneggiare le condotte, lestazioni di pompaggio, le cisterne d’acqua e altre opere accessorie. L’attacco fisico si può considerarecome il più probabile perché i materiali sono velocemente reperibili e richiedono bassi livelli dicompetenza rispetto agli atri tipi di aggressione [Burns et al., 2002]. Il principale trend del terrorismo

internazionale dell’ultima decade è stato quello di diminuire il numero totale di attacchi perincrementare quello degli attacchi a maggiore connotazione di violenza, a carattere altamentedimostrativo e con elevato numero di vittime.La Figura 23 mostra un esempio di una analisi delle minacce: tale analisi può essere affrontata basandosisulle informazioni effettivamente disponibili, oppure creando degli scenari “what if ” valutando cosa

accade se si verifica un determinato potenziale attacco.

Figura 23 – Esempio di analisi delle minacce [Matalucci, 2002]

Poiché le problematiche connesse alle minacce antropiche sono mutevoli con il tempo è importante chela valutazione sia periodicamente aggiornata qualora divengano disponibili nuove informazioni sulle

potenziali minacce.Le fasi successive di analisi consistono nella valutazione delle conseguenze e nella stima del rischio, fasiqueste, comuni anche alle procedure di analisi adottate per la safety. Per questo motivo se ne rimanda latrattazione ai successivi capitoli.

5 ANALISI DELLA VULNERABILITÀ STRUTTURALE

5.1 Strumenti per la modellazione del comportamento strutturale delle digheL’analisi della vulnerabilità strutturale di una diga riveste notevole importanza nel processo divalutazione ponendosi a valle della fase di stima della pericolosità e fornendo, per le diverse modalità dicrisi, le probabilità con cui queste possono occorrere.

Le modalità di crisi dovranno essere classificate in base alla tipologia dell’evento avverso che le provocae trattate in maniera probabilistica al fine di stimare, con riferimento a un determinato periodo di

MINACCIA

MOLTO

ALTA (VH)

MINACCIA

ALTA

(H)

MINACCIA

LIMITATA

(L)

NESSUNA

MINACCIA (VL)

MINACCIA

CRESCENTE (M)

L’obiettivo è

di interesse?

Quali sono

gli obiettivi

di interesse

del gruppo?

Gli avversari

hanno le

risorse per

mettere in

atto l’evento

indesiderato?

Gli avversari

hanno un

interesse?

Qual è la

loro storia?

YES YES YES YES

NO NO NO NO

EVENTO

INDESIDERATO

Breccia o danno a

una paratia

AVVERSARIO

Gruppo

terroristico

internazionale

Gli organi di

sorveglianza

possono

identificare

qualche

forma di

minaccia?



10000297


osservazione, l’occorrenza di situazioni in cui i parametri che definiscono la domanda (EDP- Engineering Demand Parameters), superano la capacità del sistema. Tale capacità è definita attraversol’introduzione di stati limite, che possono essere riferiti all’operatività dell’impianto, al suo servizio, allacrisi di una o più componenti, al collasso del sistema, a seconda del periodo di ritorno dell’eventoavverso che si sta considerando.

Tali stati limite sono da ricollegare a modalità di crisi e, soprattutto, a conseguenze progressivamentepiù gravose provocate dai diversi eventi avversi. A ciascuno stato limite dovrà essere associata unaprobabilità di occorrenza limite, che può essere ottenuta secondo procedure di analisi complesse, qualorala specificità della modalità di crisi lo richieda, oppure attraverso indici basati sul giudizio di esperti o sudati storici.Le probabilità di superamento dei suddetti stati limite dovranno essere ottenute attraverso una serie dianalisi che consentano di individuare la risposta per ognuna delle diverse componenti in cui può esserescomposto il sistema diga. Tali probabilità andranno a loro volta moltiplicate tra loro, in virtù delteorema della probabilità totale, tenendo conto della forma gerarchica solitamente utilizzata negli alberidegli eventi (probabilità combinate), così da ottenere la probabilità di crisi dell’intero processo divulnerabilità.

I valori di occorrenza dei fenomeni di crisi così ottenuti possono essere messi in relazione ai relativiparametri di domanda, al fine di ottenere uno strumento di immediata applicazione, nell’ambitodell’analisi di rischio, detto ‘curva di fragilità’ (Figura 24). Le curve di fragilità per ciascuno stato limitee per definiti periodi di ritorno, forniranno la probabilità di occorrenze delle diverse vulnerabilità per lecomponenti e/o per l’intero sistema.La probabilità totale corrispondente a tale vulnerabilità, in base alla tipologia di stato limite considerato,potrà assumere un valore tollerabile o accettabile (da decidere sulla base di considerazioni che verrannoesposte al § 7), a seconda che il rischio che ne deriva sia tale da poter permettere o meno una convivenzacon esso da parte della società.Il livello di rischio tollerato viene solitamente indicato come ALARP a condizione che esso abbiadeterminate caratteristiche e che ci sia la disponibilità da parte della società a sostenere i costi a essoconnesso.

P r o b a b i l i t à d i e c c e d e n z a d i

u n o s t a t o l i m i t e

Figura 24 - Tipica curva di fragilità

È importante sottolineare che sia i parametri di domanda che quelli connessi alla capacità, risultanoessere affetti da incertezze che dovranno essere comprese nei modelli proposti e propagate attraversotutta l’analisi di rischio attraverso le tecniche già descritte nel § 3.2 (Montecarlo, FOSM, IpercuboLatino, Tornado, etc.).

5.2 Analisi delle modalità di crisiUna volta che un sistema di dighe è costituito, questo altererà gioco forza il regime idrologico a valle edi conseguenza lo stato dell’ambiente circostante: eventuali eventi dannosi (per es. una piena) ,chedovessero provocare il superamento di determinati stati limite per una o più componenti, potrebbero



10000297


comportare ulteriori alterazioni, soprattutto qualora si verificasse il collasso delle componenti o delsistema stesso. La valutazione delle possibili modalità di crisi che possono derivare da un eventoavverso è significativamente importante in quanto le possibili conseguenze sulla base delle quali saràvalutato il rischio possono essere sensibilmente condizionate dalla modalità di crisi stessa. Di seguitosarà fornita una sintetica panoramica delle possibili modalità di crisi di un sistema formato da una o più

dighe. Saranno descritti gli stati limite corrispondenti, nonché i parametri di domanda e capacità dautilizzare.

5.2.1 Tracimazione della diga (Overtopping)

La tracimazione della diga avviene quando il livello dell’acqua contenuta nel bacino eccede l’altezzadella diga defluendo oltre la cresta. Tale modalità di crisi, almeno per le dighe in calcestruzzo, non avrànecessariamente come risultato la rottura del sistema, che dipende dal tipo e dalle condizioni della diga,nonché dalla durata e dall’entità del flusso d’acqua oltre lo sbarramento. Peraltro in alcuni casi latracimazione è prevista in fase progetto, a patto che una prefissata portata limite non venga superata.Ovviamente, a seconda del livello raggiunto dall’acqua rispetto all’altezza della diga, possono essereattivati diversi stati limite, con diversi livelli di conseguenze.Bisogna considerare che quando una diga è soggetta alla tracimazione le condizioni di carico su di essa

possono essere significativamente più alte di quelle per le quali la diga stessa è stata progettata. Se taleincremento dei carichi risultasse eccessivo, potrebbero attivarsi ulteriori modalità di crisi della diga qualiil suo ribaltamento o il suo scivolamento (§ 5.2.4).La causa più comune della tracimazione è la piena, anche se non sono da escludersi fenomeni cheriguardano direttamente il bacino quali ad esempio lo smottamento nello stesso di parti di terreno dellamontagna che lo circonda (esempio del Vajont), oppure una sedimentazione eccessiva che porta adavere un innalzamento del livello dell’acqua superiore a quello previsto in progetto.A titolo di esempio, in Figura 25 è rappresentata la tracimazione della diga di Ridracoli, nel Comune diBagno di Romagna causata da un’abbondante piena, dovuta alle copiose precipitazioni avvenute nellagiornata del 10 Gennaio 2010, che ha portato a un volume di invaso superiore alla capacità del sistema(33.06 milioni di metri cubi).

Figura 25 - La tracimazione della diga di Ritracoli avvenuta in data 10-01-2010

5.2.2 Sifonamento (Piping)

La rottura per sifonamento è dovuta a un processo di erosione interna che si innesca sulla superficie eprocede nella massa della struttura formando cavità tubolari (pipes). Tale processo si verifica in generale



10000297


all’interfaccia fra la roccia e la struttura (in corrispondenza delle spalle e della fondazione). Alcuneregistrazioni storiche riconducono l’origine dell’erosione ad una cattiva cementazione della diga allaroccia con conseguente formazione di corsi d’acqua. In alcuni casi, tale modalità di crisi è stataricondotta alla pressione artesiana della falda del terreno piuttosto che alla pressione dell’acqua delbacino. La crisi per sifonamento potrebbe avere carattere di irreversibilità e, dunque, deve essere

ricondotta a uno stato limite ultimo della diga. 5.2.3 Erosione

L’erosione può riguardare il corpo diga, in particolare in prossimità delle fondazioni, o le opere discarico che per effetto dell’azione dell’acqua possono essere anche del tutto rimosse. L’azione dierosione potrebbe portare peraltro a un’eccessiva sedimentazione del fondo, che a sua volta potrebbeprovocare la tracimazione della diga (§ 5.2.1). Il fenomeno dell’erosione può essere associato a diversistati limite a seconda dell’entità che lo caratterizza.

5.2.4 Scivolamento (Sliding)

Lo scivolamento è un’instabilità che può verificarsi sia a livello della fondazione, sia in corrispondenzadelle spalle. Nella maggior parte degli incidenti registrati nel passato, la crisi per scivolamento si èpalesata durante il primo riempimento della diga. Tuttavia, potrebbe verificarsi anche a causa di altre

azioni. Un esempio è fornito in Figura 26 che mostra una diga in calcestruzzo con contrafforti collassataa seguito di un terremoto per scivolamento della fondazione associato ad altre tipologie di rottura (ChiChi, Taiwan, 1999). Una siffatta modalità di crisi deve essere trattata come uno stato limite ultimo.

Figura 26 - Scivolamento di una diga durante il terremoto ChiChi-Taiwan (1999)

5.2.5 Eccessiva deformazione

L’eccessiva deformazione, associabile a diversi stati limite in ragione della loro entità, associare puòessere determinata da tutte le forme di instabilità diverse dallo scivolamento e può interessare sia la diga,sia le opere accessorie. Le cause che possono portare ad avere tali forme di instabilità sono molteplici esono potenzialmente ricollegabili a tutti i possibili eventi avversi.

5.2.6 Degrado dei materiali

Un’altra modalità di crisi può essere associata al degrado dei materiali con cui sono costruite la diga e leopere accessorie, provocato dall’invecchiamento dei materiali stessi e dall’interazione con l’ambiente incui è inserita la struttura. Per le dighe in calcestruzzo e in muratura di pietrame e malta i fenomeni di

deterioramento più frequenti possono essere provocati da cicli di gelo e disgelo, dall’attacco solfatico,dal dilavamento della pasta cementizia ad opera delle acque di invaso, dalla corrosione dell’acciaio delle



10000297


opere accessorie, ma soprattutto dai fenomeni espansivi legati allo sviluppo della reazione alcali –aggregato. Spesso il degrado dei materiali può portare a vere e proprie patologie con possibile’superamento di stati limite di servizio.

5.2.7 Crisi delle opere di scarico e degli sfioratori

Nelle registrazioni delle modalità di crisi del passato, si è visto che diversi casi sono da ricondurre aldanneggiamento delle opere di scarico o di opere simili quali valvole, tubazioni, etc.

5.2.8 Modalità di crisi connesse al bacino

La necessità di includere tra le modalità di crisi anche quelle strettamente connesse al bacino nascesoprattutto da quanto drammaticamente imparato dalla crisi della diga del Vajont.Tra tali modalità di crisi, quelle più diffuse sono: Instabilità dei pendii: movimento di grosse masse di rocce o terreno all’interno del bacino. Questi

movimenti possono essere causati da cambiamenti di condizioni piezometriche all’interno dellemasse sotto l’azione dell’acqua. Tali variazioni possono portare alla saturazione dei terreni,all’abbassamento della resistenza d’attrito e conseguentemente a fenomeni di scorrimento e/odistacchi di massa.

Sedimentazione: l’acqua potrebbe causare fenomeni di erosione delle sponde del bacino con

conseguenti smottamenti. Se la riduzione della capacità di invaso dovuta allo smottamento non èstata considerata in progetto, si potrebbe verificare la tracimazione della diga. Terremoti indotti: vi è un’ampia discussione sulla possibilità che un terremoto possa o meno essere

indotto dal bacino. Al momento non ci sono registrazioni storiche che facciano pensare che ciò siapossibile, ma è un’evenienza che dovrebbe comunque essere presa in considerazione perchè il pesodel bacino, accrescendo le pressioni in corrispondenza della distanza epicentrale, potrebbe produrredelle micro faglie. Allo stesso modo è da considerare che il movimento prodotto sull’acquacontenuta nel bacino potrebbe comportare un significativo accrescimento delle pressioniidrostatiche. Uno studio condotto da Maede [1982] dimostra che la possibilità di avere terremotiindotti dal bacino è molto ridotta, a tal punto da non dover essere considerata, in tutti i casi eccettoquelli in cui si ha un bacino estremamente largo e una significativa profondità.

Ghiaccio: la formazione di ghiaccio potrebbe provocare danni strutturali alla diga e/o alle opere

accessorie, e produrre difficoltà nella manutenzione. La possibilità che si possano verificare danni èmaggiore qualora la formazione di ghiaccio interessi parti strutturali sottili (per esempio ilparapetto).

5.3 Registrazione storiche delle principali modalità di crisiÈ stato compiuto un significativo numero di studi al fine catalogare i maggiori incidenti accorsistoricamente alle dighe in modo da poter classificare le principali modalità di crisi e per determinare leloro frequenze. Il documento “Lesson from Dam Incidents” [ICOLD, 1979] riporta tutte le cause degliincidenti associati a un rilascio di acqua a valle verificatisi tra il 1900 e il 1975 su dighe situate negliStati Uniti e nell’Europa occidentale e di altezza superiore a 15 m; sono stati trascurati tutti gli incidentiavvenuti durante le fasi di costruzione e quelli provocati da bombardamenti durante il periodo delleguerre.In Figura 27 sono riportate le incidenze delle tre principali modalità di crisi (tracimazione, crisi delsistema di fondazione e, per le dighe in terra, infiltrazione) registrate sulle dighe in calcestruzzo, sulledighe in terra, e sulla globalità della popolazione di dighe prese a campione. Per le dighe in calcestruzzo,la crisi del sistema di fondazione rappresenta la causa principale di crisi. Tale tipologia di crisi èestremamente gravosa in quanto si presenta, nella totalità dei casi, quando le dighe da essa coinvoltahanno ancora età inferiore ai 10 anni (Figura 28).In Figura 29 sono riportate le dighe soggette a crisi, distinte in base alla loro tipologia: la percentuale diincidente maggiore si osserva per le dighe a contrafforti (2.6%), la minore per le dighe a gravità (0.3%).In Figura 30 si osserva invece che il 50% delle dighe affette da crisi ha altezza variabile tra i 15 e i 20metri.



10000297


Figura 27 - Incidenza delle principali modalità di crisi registrate su dighe in calcestruzzo e in terra (ICOLD 1979)

Lo studio condotto da Schnitter fu integrato successivamente dall’USCOLD in un lavoro pubblicatodall’ ASCE ( American Society of Civil Engineers) nel 1975. Successivamente, tale studio fuulteriormente aggiornato al fine di comprendere anche gli eventi avvenuti tra il 1975 e il 1979. In questostudio sono distinti gli eventi che hanno portati al collasso (distinti dalla lettera F , iniziale di Failure) equelli in cui la crisi è stata scongiurata a seguito del rapido svuotamento del bacino ( distinti dalla lettera

A, iniziale di Accident ). In Tabella 5 sono sintetizzati i risultati ottenuti per le dighe osservatedall’USCOLD con altezza superiore ai 15 m.



10000297


Figura 28 - Incidenza delle modalità di crisi in funzione dell’età delle dighe in calcestruzzo da esse affette

[ICOLD, 1979]

Figura 29- Percentuale delle dighe in calcestruzzo affette da modalità di crisi in funzione della loro tipologia

[ICOLD, 1979]

Figura 30 - Incidenza delle modalità di crisi in funzione dell’altezze delle dighe in calcestruzzo da esse affette

[ICOLD 1973]



10000297


Tabella 5 – Modalità di crisi per gli incidenti delle dighe in calcestruzzo classificati da USCOLD/ASCE [1979]

5.4 Stima e calcolo delle probabilità di crisiLa stima delle probabilità da assegnare in un’analisi di rischio di un portfolio dighe può riguardare sia lavariabilità intrinseca delle sottocomponenti del portfolio analizzato, sia variabili associate, da un latoalle incertezze introdotte dalle leggi utilizzate in fase di modellazione, dall’altro alle incertezze sullaconoscenza e consistenza delle sottocomponenti stesse. Tra le citate cause di incertezza la prima puòessere indicata aleatoria e dunque misurabile mediante gli strumenti della statistica. Le altre due sonoincertezze epistemiche: queste possono essere mitigate aumentando il livello di conoscenza dei sistemicon indagini e prove sperimentali.Le incertezze epistemiche, così come quelle aleatorie, non possono essere eliminate e vanno tenute inconto nell’analisi. L’assegnazione delle probabilità è intrinsecamente collegata ai modelli utilizzati percaratterizzare il comportamento di una diga, come già osservato per la valutazione della pericolosità (cfr.§ 4) e di come sarà fatto per la stima delle conseguenze (§ 6).Le variabili associate alla capacità del sistema, cioè quelle che determineranno le probabilità con cui glistati limite associati alle modalità di crisi verranno superati, saranno caratterizzate da distribuzioniprobabilistiche in grado di descrivere le frequenze di occorrenza dei valori che tali variabili possonoassumere.In linea teorica, è necessario considerare le distribuzioni di probabilità congiunta di tutti gli input dianalisi, così da determinare le corrispondenti risposte (anche esse caratterizzate da distribuzioniprobabilistiche) che il sistema è in grado di offrire. Nella pratica, lo stato attuale delle conoscenzepermette di chiamare in gioco solo selezionate e importanti correlazioni tra i fattori di diverso tipo e tra idiversi livelli di input dello stesso tipo nell’ambito dell’analisi [Chauchan et Bowles, 2003].

Le distribuzioni di incertezza possono essere specificate secondo uno dei due seguenti livelli didettaglio, da adottare a seconda del grado di approfondimento dello studio:

i) un primo livello di dettaglio, di tipo semplificato, utilizza distribuzioni di probabilità caratterizzateda forme di una certa banalità (costanti, triangolari, etc.), ottenute tramite procedure di largadiffusione nella letteratura scientifica;

ii) un secondo livello, più dettagliato, in cui la modellazione delle incertezze sui dati di input vienederivata utilizzando processi stocastici, ad esempio attraverso un’analisi Montecarlo (§ 3.2).

Nel seguito sono descritti alcuni metodi per la valutazione delle probabilità di eccedenza di stati di crisidi dighe in calcestruzzo. Si farà riferimento a quanto riportato in Fell et al. [2000]. Note le probabilità dieccedenza dei valori di intensità dell’evento avverso che provoca la crisi, sarà possibile costruire, infunzione delle caratteristiche delle componenti del sistema analizzato, le curve di fragilità o di

vulnerabilità(cfr. § 3.1).



10000297


Metodi basati sulle performances storiche delle dighe

La valutazione si realizza sulla base delle performance registrate nel passato: a partire da taliregistrazioni si costruiscono delle distribuzioni di frequenza relative alle diverse modalità di crisi. Ledistribuzioni dovranno tener conto della geometria delle dighe osservate, delle caratteristiche del bacino

e dei fattori che possono influire sul comportamento delle singole componenti una volta che un eventoavverso di una certa intensità si è palesato. È importante che tale valutazione venga realizzata conl’ausilio di figure esperte. Tale tipologia di analisi può essere utilizzata in termini preliminari al finedella valutazione del rischio.

Metodi finalizzati alla valutazione delle probabilità di crisi dovute ai carichi statici

Le probabilità di crisi di una diga sotto l’effetto di carichi statici possono essere analizzate utilizzandoun approccio probabilistico, in cui si considera l’incertezza dei parametri di input (geometria, bacino,peso, sovrappressioni, prestazioni meccaniche dei materiali, etc.).Devono essere effettuare analisi di scorrimento e ribaltamento per la diga e per la fondazione. Tra imetodi di analisi più utilizzati, quello migliore è basato sulle simulazioni Montecarlo. La procedura èrelativamente semplice, ma ci sono i seguenti problemi intrinseci, che prescindono dal fatto che l’analisi

sia probabilistica o deterministica:- La distribuzione della resistenza a trazione del calcestruzzo è difficilmente determinabile;- Le incertezze relative alla resistenza a taglio della roccia in fondazione non sono sempre

rappresentabili con modelli stocastici predefiniti. Per avere un giudizio il meno possibile affettoda errori, l’analisi può essere implementata con l’ausilio di esperti nel campo della geologia;

- Le forze di filtrazione provenienti dal terreno di fondazione e agenti in direzione opposta aquelle di massa sono solitamente incerte;

- Gli effetti tridimensionali vengono solitamente ignorati.

Metodi finalizzati alla valutazione delle probabilità di crisi dovute ai carichi sismici

Le analisi dinamiche possono essere estremamente complicate, in quanto dovrebbero essere trattate

tenendo conto della tridimensionalità del problema, di fattori quali l’interazione diga - bacino,l’interazione struttura - roccia di fondazione e di fenomeni quali l’apertura delle fessure e dei giunti: ènecessaria perciò un’analisi che tenga conto di tutte le non linearità che possono incidere sulcomportamento strutturale della diga [Chopra et Nuss, 2009].

6 ANALISI DELLE CONSEGUENZE

Analogamente a quanto detto per l’analisi della pericolosità e della vulnerabilità, anche l’analisi delleconseguenze deve essere condotta basandosi su modelli probabilistici in grado di predire le perditeconseguenti a un incidente.Dei tre termini che contribuiscono alla definizione del rischio, pericolosità, vulnerabilità e conseguenze,l’ultimo è quello su cui si sono concentrati gli sforzi minori da parte degli operatori, quanto meno per

ciò che riguarda la ricerca di modelli predittivi probabilistici. Ciò è dovuto alla complessità dellavalutazione delle conseguenze che si fonda sull’analisi di problematiche che devono essere trattate conun approccio necessariamente multidisciplinare, esteso a figure tecniche e professionali di estrazionemolto diversa (quali ingegneri, economisti, psicologi, etc.). Ciascuna di queste figure, ognuna secondo ilproprio campo di competenza deve valutare: le possibili minacce per la pubblica sicurezza (perdita di vite umane, infortuni, traumi emotivi); il degrado ambientale; il danno sulle infrastrutture e sulle costruzioni a valle; l’impatto socio-economico; la reputazione e l’integrità (finanziaria) dei proprietari e dei gestori.Nell’ambito della valutazione delle conseguenze bisogna ricordare che una diga è da sempre consideratacome una delle infrastrutture maggiormente sensibili a quelle situazioni comunemente definite come“Low Probability/High Loss”, in cui l’entità del rischio dipende prevalentemente dalle conseguenze chesi manifestano. Per tale motivo, un’analisi del rischio carente nella trattazione delle possibili perdite



10000297


causate da eventi avversi, potrebbe addirittura rivelarsi controproducente in fase di gestione, potendoerroneamente indirizzare verso misure di mitigazione non prioritarie.Tradizionalmente, lo scopo principale delle analisi delle conseguenze di sistemi di dighe è stato quello diidentificare, spesso in maniera deterministica e approssimativa, gli effetti provocati da un collassostrutturale (dam break analysis), ovvero da una inadempienza del sistema che può provocare un rilascio

d’acqua a valle. In molti paesi, sono state fornite linee guida che definiscono la classificazione delleconseguenza da tener presente per l’organizzazione delle misure per la gestione dell’emergenza. Fratutte (cfr. § 9) si ricordano quelle della Federal Emergency Management Agency [FEMA 333 , 2004]chefornisce un sistema di classificazione delle conseguenze chiaro e diretto, basandosi su modelli predittiviche forniscono la probabilità di superamento di determinati livelli di perdita. Le linee guida della FEMAperaltro, introducono in maniera diretta la necessità di considerare tra le possibili conseguenze anche leperdite economiche dovute al solo malfunzionamento della diga, anche qualora questo non coincida conun rilascio a valle di acqua. Quest’ultimo concetto, da sempre fondamentale nella gestione del rischioconnesso ad altre tipologie di infrastrutture complesse, quali quelle utilizzate dalle compagnietelefoniche o dalle centrali nucleari, risulta quanto mai interessante, soprattutto se si pensa al ruolo chenel breve periodo determinati sistemi di dighe hanno nella produzione di energia elettrica o d’acqua.

In ragione di quanto detto sopra, il presente Capitolo fornisce un’ampia panoramica sulle principalimetodologie alle quali è necessario far riferimento per una corretta analisi delle aree inondate e per laquantificazione probabilistica delle perdite conseguenti alla crisi di un sistema formato da una o piùdighe.

6.1 Tipologia e modellazione delle conseguenzeLe conseguenze che possono discendere da una crisi del sistema diga possono in prima istanza esseredistinte in due categorie:

a. Conseguenze dirette, direttamente attribuibili all’entrata in contatto del sistema a valle conl’acqua rilasciata;

b. Conseguenze indirette, che discendono dalle conseguenze dirette.

Le conseguenze dirette vengono solitamente suddivise ulteriormente in tre categorie (Figura 31):a.1 Conseguenze riguardanti la salvaguardia della vita o comunque le conseguenze che possono

derivare da infortuni, traumi, etc. su persone entrate in contatto con l’acqua rilasciata avalle;

a.2 Conseguenze di tipo economico, riguardanti tutte le parti terze che subiscono un dannoeconomico, e finanziario, riguardanti i proprietari del sistema di dighe;

a.3 Impatto sull’ambiente e sui territori interessati, intendendo con ciò sia le perdite chedipendono direttamente dal contatto con l’acqua (perdita di bestiame, di coltivazioni, etc.),sia conseguenze collaterali che solitamente rientrano tra quelle che sono state definite comeconseguenze indirette e che incidono, ad esempio, sull’ecosistema pregresso alla crisi delladiga (migrazioni di animali, variazioni di habitat, etc.).

Totalitàdelle

conseguenze

Conseguenzesulla pubblica

sicurezza

Conseguenzeeconomiche e

finanziarie

Conseguenzeambientali

Perdite di viteumane

Infortunifisici

Conseguenzepsicologiche

Diga eaccessori

Danni eperdite diproprietà

Danni sulleinfrastrutture

Perdite dispecie

Perdite dihabitat

Conseguenzesulla natura

Figura 31 – Gamma delle conseguenze derivanti da una rottura della diga [Hartford et al. 2004].



10000297


L’area a valle della diga, interessata dalle suddette conseguenze, può essere considerata in fase di analisicome un insieme di ‘oggetti’ individuali, oppure come un insieme di ‘gruppi di oggetti’. Tra i primivengono solitamente considerate le persone, gli edifici, le strutture e le infrastrutture, gli animali e ingenerale gli oggetti che caratterizzano una certa parte di habitat come ad esempio gli alberi. Tra i

secondi possono essere comprese le famiglie, i raggruppamenti di persone (scuole, ospedali, uffici, etc.),le reti di infrastrutture (sistemi di strade o metropolitane), interi habitat o addirittura ecosistemi.Le conseguenze possono essere trattate in maniera più o meno approfondita, a seconda della raffinatezzadei modelli che si utilizzano, in relazione agli obiettivi che si vogliono perseguire. Nello specifico, ilgrado di approfondimento dell’analisi delle conseguenze dipenderà dal livello di expertise di coloroimpegnati nell’implementazione dell’analisi, dall’approfondimento delle altre fasi dell’analisi di rischio(stima della pericolosità e della vulnerabilità), dalla qualità e dalla quantità delle incertezze connesse aidati di input, e dalla conoscenza dell’estensione del “Sistema di Interesse” (S.I.) relativo a una possibilecrisi di una diga. Questo risulta essere formato dall’area comprendente il bacino, il territorio a valle delladiga con tutte le infrastrutture e gli impianti di pertinenza (Figura 32); nel S.I. possono essere presentipiù dighe poste in serie e/o in parallelo.

La valutazione delle conseguenze può essere realizzata seguendo una procedura di analisi iterativa,partendo da modelli basati su schematizzazioni approssimate che consentano di definire i confini del S.I.e affinando progressivamente il livello di dettaglio sia degli oggetti da modellare, sia delle tecniche dimodellazione.L’approccio di modellazione, a prescindere dal suo livello di accuratezza, può essere suddiviso nelle fasidescritte nel seguito.

Figura 32 - Esempio di un “Sistema di Interesse” dal funzionamento di una diga [ICOLD, 2005]

6.1.1 Identificazione delle Conseguenze

Il primo passo dell’analisi consiste nel valutare la gerarchia delle conseguenze che possono verificarsi.Esistono diverse tecniche per l’identificazione: quelle di più comune utilizzo sono basate sulla



10000297


compilazione di una checklist, di una ‘matrice degli impatti’ e di alberi delle conseguenze [Hartford etal., 2004].La fase di identificazione consiste in indagini ed osservazioni che consentono di raccogliere tutti i datisull’area definita S.I.. Mentre le procedure con cui svolgere le indagini sono note, non lo sono altrettantoquelle per definire cosa deve essere incluso nelle osservazioni: pertanto in tale fase è importante il grado

di esperienza di chi esegue l’indagine.Non esistono regole standardizzate per creare una gerarchia delle conseguenze: un approccio può essereper esempio quello di distinguere le conseguenze in base ai settori di incidenza.Anche se le tecniche di identificazione possono essere diverse, è importante che esse siano calibrate sullivello di accuratezza dell’analisi implementata.In Figura 33 è descritta schematicamente un’analisi di rischio in cui la fase di identificazione delleconseguenze viene implementata attraverso un albero delle conseguenze. Come si può osservare talefase precede la Dam Break Analysis (§ 6.2) per la modellazione delle perdite, e si pone subito a valledell’albero degli eventi che definisce la vulnerabilità della diga (§ 5). In Figura 33 sono ancherappresentate le fasi propedeutiche o complementari all’analisi delle conseguenze (trattate nel dettaglionei paragrafi successivi). L’albero delle conseguenze si presta molto bene a descriverne la natura

gerarchica, ma la mancanza di regole chiare, che permettano di stabilire in maniera codificata come leconseguenze stesse possano sistematicamente susseguirsi, rende la sua compilazione estremamentedifficile; pertanto nei casi più complessi si è soliti identificare le conseguenze mediante procedure piùsemplici, quali per esempio quelle basate sulla compilazione di checklist.

Modelli “Pre-rilascio”

Sistema diinteresse

Operazionidi bacino

Modello dirisposta del

sistema

Modello della

pericolosità

Modello dirisposta

della diga

Modellodell’inondazione

D.B.A.model

Modellidelle perdite

Stato delladiga a seguito

della crisi

Albero logico

Albero degli eventi Albero delle conseguenze

Figura 33 - Modellazione di un’analisi delle conseguenze tramite alberi [Hartford et al., 2004]



10000297


6.1.2 Modellazione delle operazioni nel bacino

In Figura 33 è riportata la fase di modellazione delle operazioni di bacino, codificata attraverso alberilogici coerenti con le prescrizioni necessarie affinché la diga espleti le sue funzioni (riguardanti adesempio le manovre da eseguire per controllare l’altezza del bacino, controllando i flussi d’acqua avalle). Tali alberi logici andranno considerati a monte dell’analisi della vulnerabilità (ETA), in quanto lemodalità di crisi che possono essere attivate, potrebbero esserne influenzate. Le operazioni di bacino,modificando la risposta della diga a eventuali eventi avversi, possono influenzare il modellodell’inondazione (Figura 33). Peraltro, il contenimento dell’acqua nel bacino può alterarne latemperatura, la composizione chimica, il trasporto di materiale che può sedimentare nel fondo, etc. Lemodalità operative con cui il flusso d’acqua viene gestito possono dunque alterare anche la tipologiadelle conseguenze che può provocare un suo riversamento a valle.6.1.3 Modellazione della breccia (Breach Analysis)

La modellazione della breccia che può provocare il rilascio di acqua a valle può essere realizzata sia conmodelli semi-empirici, costruiti sulla base di osservazioni sperimentali in campo su dighe-campione, siacon modelli ingegneristici basati sulla conoscenza della fisica del problema. I primi permettono diindividuare i parametri chiave da inserire in un’equazione predittiva dell’evoluzione della breccia. I

secondi utilizzano le equazioni che descrivono la meccanica del suolo, la sedimentazione e i fenomeniidraulici per sviluppare modelli complessi dell’evoluzione della breccia e dei fenomeni conseguenti.6.1.4 Caratterizzazione del “Sistema di Interesse”

L’area che compone il S.I. definito in § 6.1 deve essere analizzata attraverso un’analisi geografica esocio-economica.L’analisi geografica, che può essere condotta avvalendosi di Sistemi Informativi Territoriali (GIS), deveriportare tutte le informazioni riguardanti il territorio, raccolte durante la fase di identificazione delleconseguenze. Tali informazioni possono essere organizzate in layers da ‘attivare’ e ‘disattivare’ aseconda che le informazioni in essi contenute siano o meno rilevanti ai fini dell’analisi del rischio. Peresempio, se un’eventuale crisi della diga non portasse conseguenze per le persone, allora il layer contenente le informazioni sulla popolazione andrebbe disattivato.Nella definizione del S.I. devono essere comprese informazioni sull’infrastruttura (da dati topografici e

da modelli ambientali), sull’utilizzo del territorio e sullo sviluppo industriale, agricolo e demografico (dasondaggi), sulla collocazione di famiglie e gruppi sociali (da censimenti e sondaggi).Sia per quanto riguarda l’analisi geografica dei territori, sia quella socio-economica esistono inletteratura diversi modelli di comprovata affidabilità. Pur non entrando nel dettaglio di questi, è benesottolineare che tali modelli devono tenere in giusta considerazione la specificità dei problemi edistinguere i fattori di tipo statico o dinamico, essendo tale caratteristica fondamentale per l’affidabilitàdella capacità predittiva dei modelli proposti.

6.2 Analisi delle aree inondate (Dam Break Analysis)La conoscenza della natura e dell’estensione degli effetti che potrebbero essere provocati da pienecatastrofiche, in termini di rilascio d’acqua a valle causato dalla crisi di una diga, rappresenta uno deinodi cruciali per la valutazione della sicurezza delle dighe e per l’eventuale miglioramento del sistema.A tal fine è necessario utilizzare un approccio analitico, noto nella letteratura internazionale come Dam

Break Analysis ( DBA); tale approccio si prefigge due obiettivi:

1) Classificare la diga in base ai valori raccomandati di piene;

2) Prevedere l’estensione e il tempo di arrivo di un’onda di piena per poterne prevedere gli effetti avalle.

In particolare, il raggiungimento del secondo obiettivo permetterà di sviluppare in maniera razionalel’implementazione di una pianificazione per l’emergenza e l’evacuazione. Tale pianificazione, corredatada un’azione continua di monitoraggio della diga e delle sue componenti rappresenta la base per ridurreal minimo le perdite di vite umane causate dalla crisi della diga stessa.Le conseguenze che possono derivare da una inondazione risultano essere molto variabili in funzione

della scelta dei parametri che descrivono il fenomeno della crisi e che devono essere considerati nellaDBA [Chauhan et al., 2004]. L’entità della crisi e il tempo in cui vi è riversamento di acqua a valle



10000297


dipendono dal tipo di diga, dalla sua geometria, da fattori topografici del complesso di fondazione edell’area che la circonda, dall’altezza dell’acqua contenuta nel bacino e dal volume immagazzinato, etc.Una definizione corretta di tali parametri richiede dunque una combinazione fruttuosa di relazioniempiriche, dati storici e giudizi di esperti che possa portare a una scelta efficace dei parametri cheveramente incidono sul fenomeno.

I parametri più importanti, da considerare nell’ambito di una DBA possono essere divisi in tre classi: Parametri prescritti da linee guida, forniti in termini di ranges (FERC 1987) o come limiti

conservativi (USBR, 1988). L’uso di tali parametri risulta estremamente conservativo e nonappropriato per analisi di rischio dettagliate. Tuttavia, quando si vogliono implementare piani diemergenza basati su analisi approssimate, essi possono ritenersi utili.

Parametri basati su una regressione di dati ottenuti da crisi reali verificatesi in passato. Sebbenel’uso di tali parametri sia estremamente diffuso, deve essere messo in evidenza che le relativeregressioni sono basate su un numero non elevatissimo di dati che ne diminuisconol’affidabilità. Anche quando sono disponibili, i dati storici sono scarsamente documentati e nonriportano informazioni fondamentali quali, ad esempio, la quantità d’acqua immagazzinata nelbacino al momento della crisi. Peraltro, i dati storici disponibili sono relativi al momento di

massimo rilascio d’acqua, momento in cui, solitamente, i parametri connessi alla crisi (altezzadell’acqua che tracima, aperture sul corpo della diga, infiltrazioni etc.) non assumono valoremassimo.

Parametri ottenuti da modelli fisici di simulazione: esistono diversi modelli, alcuni dei qualiriportati nel seguito del presente paragrafo. Tuttavia i parametri dedotti dai modelli non hannosempre trovato conferma nelle esperienze di laboratorio. Attualmente, vi è comunque uno sforzosempre maggiore in ambito di ricerca al fine di ottenere modelli più sofisticati, più dettagliati epiù affidabili.

Alcuni dei modelli per la DBA disponibili in letteratura sono talmente semplificati da poter essereimplementati attraverso calcoli a mano, essendo basati su fenomenologie semplici quali, ad esempio,una propagazione monodimensionale della piena. Altri invece, essendo tesi alla modellazione di fattori

complessi, devono essere implementati mediante l’ausilio di sofisticati software con calcolatori potenti.In generale, i metodi semplificati trovano utilizzo solo per piccole dighe e quando non ci sono altredighe coinvolte dalla piena. Nel caso di grandi dighe sembrano essere più appropriati i metodi piùavanzati.Tra i metodi reperibili in letteratura e più utilizzati nel passato, si riportano i seguenti:

Soil Conservation Service – Simplified Dam Breach Model (1979)

È un metodo semplificato utilizzato per stimare il massimo rilascio che potrebbe derivare da una brecciaall’interno della diga a partire da curve empiriche o da equazioni basate su osservazioni del passato chehanno messo in relazione l’altezza della diga con i massimi rilasci. Tale metodo permette inoltre distimare lo stato della piena attraverso un modello di deflusso di tipo cinematico in determinati puntidell’area a valle della diga.

Hagen (1982)- Uniform Procedure for Dam Failure Hydrographs

Si tratta di una procedura semplice che usa una curva di inviluppo di dati registrati nel passato e chemette in relazione un ‘fattore diga’ (inteso come prodotto dell’altezza della diga e della capacità delbacino) e il rilascio di picco per una modalità di crisi prefissata. Tale procedura non fornisce alcun tipodi informazione circa il deflusso della piena a valle, per la cui valutazione l’operatore può farriferimento ai diversi modelli presenti in letteratura.

Fread (1984, 1988, 1993)- (News) Dam Break Flood Forecasting Model

Tale procedura è la base di un software che simula il riversamento istantaneo a valle di acqua dovutoall’apertura di una breccia e fornisce il tipo di deflusso attraverso un metodo idraulico dinamico che nepermette la caratterizzazione in qualunque punto dell’area interessata a valle della diga.



10000297


U.S Army Corps of Engineers HEC-1 (Flood Hydrograph Computer Package)

Si tratta di un software che permette di modellare la formazione di una breccia e la tracimazione diacqua che ne consegue a partire dai dati di afflusso nel bacino e che stima le conseguenze idrologiche avalle in termini di deflusso.

TAMS (1974) – “Dam Collapse Wave in a River”

Sviluppato da Balloffet nel 1974, è un modello usato per descrivere la propagazione di un’onda di pienaconseguente una crisi in un canale artificiale.Altri metodi, e le loro descrizioni, sono forniti in ICOLD [1998].

6.3 Analisi dell’impatto socio-economicoAnalizzare l’impatto socio economico che può avere un’inondazione provocata dal collasso di una digao una carenza di servizi derivante da un suo malfunzionamento, risulta estremamente complesso. Sia trale conseguenze dirette che tra quelle indirette, infatti, sono quasi sempre compresi ‘oggetti’ il cuicomportamento risulta estremamente dinamico, variabile e incerto in ragione di fattori che non sonosempre modellabili in maniera predittiva. Tali ‘oggetti’, in particolare le variabili connesse ai loro

comportamenti, devono essere modellati attraverso opportune distribuzioni di tipo probabilistico. Questotipo di approccio deve comunque valere anche per le variabili statiche, in quanto anche esse sono affette,seppur a un livello minore, da un certo grado di incertezza.In generale, è necessario considerare tutti quegli ‘oggetti’ (o ‘gruppi di oggetti’) che potrebbero essereinteressati dall’onda di piena in qualsiasi momento del tempo di riferimento dell’analisi. A tal fine, si èsoliti far riferimento a diversi scenari da prefigurare mediante diverse DBA (§ 6.2). Questi devonoessere in numero tale da rappresentare a pieno la variabilità tanto delle condizioni a monte, considerandoad esempio diverse altezze di acqua nel bacino prima, durante e dopo il rilascio, quanto di quelle a valle.Per ognuno di questi scenari, le variabili dinamiche (trattate come statiche) e i parametri incerti(considerati in maniera deterministica) costituiranno l’input di un’analisi Montecarlo (§ 3.2) sviluppataper stimare le conseguenze.Si prenda a titolo di esempio la popolazione a rischio a valle della diga (PAR) e si consideri un tempo di

analisi pari ad un anno (Figura 34). Essa avrà nell’arco dell’anno una variabilità ciclica che può essereconsiderata il risultato di variabilità avvenute in cicli di durate temporali più brevi (settimane, giorni,ore). Ciò significa che la popolazione a rischio deve essere in genere rappresentata attraverso unprocesso stocastico non stazionario, caratterizzato da una struttura ciclica altamente complessa. Taleprocesso non è descrivibile in maniera banale attraverso una modellazione matematica ma sarànecessario considerare scenari diversi per diversi istanti di tempo per i quali la popolazione a rischioassume una distribuzione nota o modellata attraverso leggi note (Figura 35). Tale asserzione assume unvalore ancora più significativo se si pensa che molti dei diversi ‘oggetti’ sono in grado di svilupparediversi comportamenti in relazione alle condizioni in cui si trovano, alla presenza o meno di piani diemergenza e a proprie dinamiche comportamentali (ad esempio ‘oggetti’ che, in maniera diversa, siraggruppano e che assumono comportamenti simili) che devono necessariamente essere tenute in giustoconto al fine di avere una corretta modellazione di scenario. L’impatto socio-ambientale, approfondito in§ 7.2 deve essere necessariamente valutato con l’ausilio di figure esperte (psicologi, esperti dicomportamenti animali, etc.) in grado di tracciare modelli in grado di restituire le variabili principaliconnesse alle dinamiche comportamentali, cosicché anche esse possano essere comprese nei diversiscenari con un loro valore ottenibile a partire da ipotizzabili distribuzioni di probabilità.Allo stesso modo di quanto fatto con l’’oggetto’ ‘persone a rischio’, la modellazione delle altre categoriedi ‘oggetti’ o ‘gruppi di oggetti’, siano essi di natura economica, ambientale, finanziaria, etc., deveessere implementata secondo le stesse modalità e gli stessi criteri descritti sopra. Le conseguenze a esseconnesse andranno dunque omogeneizzate (C.O., conseguenze adimensionalizzate) ad una metricacomune (ad esempio andranno tradotte in termini monetari) e sommate, una volta attualizzate al periododi riferimento dell’analisi tenuto anche conto di parametri quale l’inflazione, l’ammortamento, etc., perottenere la Loss Function:

¦¦=

categorie

OC LF .. (13)



10000297


Note le distribuzioni delle conseguenze relative ai diversi ‘oggetti’, è possibile stabilire la probabilità dioccorrenza di un valore di quegli ‘oggetti’ che hanno subito perdite causate dall’onda di piena modellatatramite la DBA corrispondente allo scenario proposto.

Periodo dell’anno Livello del bacino[m]

Periodo del Sottociclo

Settimanale Giornaliero

Persone a Rischio

Giorni della settimana

Giorni di fine settimana

8am-5pm

5pm-10pm

10pm-8am

10am-8pm

8pm-10am

2

2

21

6

6

1 Gennaio-31 Marzo 40



8am-5pm

5pm-10pm

10pm-8am

10am-8pm

8pm-10am

19

29

35

25

35

1 Aprile-30 Giugno 60



8am-5pm

5pm-10pm

10pm-8am

10am-8pm

8pm-10am

4556

4675

4209

3925

3876

1 Luglio-30 Settembre 80



8am-5pm

5pm-10pm

10pm-8am

10am-8pm

8pm-10am

2564

2997

2848

2672

2789

1 Ottobre-31 Dicembre 75

Figura 34 - Esempio di variazione temporale di una popolazione a rischio a valle di una diga [Assaf et al.,1997]



10000297


P o p o l a z i o n e a R i s c h i o

Periodo della giornata

Distribuzione probabilistica

nella giornata

Figura 35 - Incertezza nella popolazione a rischio a valle di una diga [Hartford et al., 2004]

6.3.1 Conseguenze per la definizione del rischio: trattazione pseudo-deterministica o

puramente probabilistica?

L’output finale dell’analisi descritta è una distribuzione della probabilità di occorrenza delleconseguenze per ciascuno scenario.Coerentemente con la definizione del rischio fornita dall’equazione (1-2) nel capitolo 2, le probabilitàche derivano dalla valutazione delle conseguenze devono essere moltiplicate con quelle relative allapericolosità e alla vulnerabilità. Il risultato è un ulteriore probabilità relativa alla contemporaneaoccorrenza di una certa intensità di uno o più eventi avversi, della attivazione di certe modalità di crisi e

di un certo livello di perdite. Il rischio in questo modo viene fornito come una grandezza nella qualesono insite tutte le incertezze e che tiene conto della dinamicità delle variabili e dei parametri chedeterminano il problema.Tuttavia, non è infrequente considerare il valore assunto dalla LF a valle di ognuno degli scenariproposti e moltiplicare questo direttamente per le probabilità di occorrenza dell’evento avverso e difenomeni di crisi strutturale. In questo modo, le conseguenze saranno trattate a un livellopseudo-deterministico in cui le variabili sono considerate statiche. L’output finale del processo di analisisarà composto, per ognuno dei rami degli alberi di eventi corrispondenti alle diverse pericolosità, datante definizioni di rischio quanti sono gli scenari proposti nella DBA (un esempio di questa tipologia diapproccio è fornito da Figura 14 del § 3.4.2). Tale approccio può essere seguito per un’analisi di tiposemplificato o di primo livello, nonostante sia concettualmente errata, non esplicitando la probabilitàcon cui determinati rischi possono occorrere e lasciando agli operatori una certa soggettività nella

definizione del rischio tollerabile (§ 7.3), dato di base per la stesura di piani di emergenza o per la messain campo di misure di mitigazione.

7 METODI DI VALUTAZIONE E GESTIONE INTEGRATA DEL RISCHIO

7.1 Il processo decisionale di valutazione e gestione del rischioLe catastrofi del Gleno, di Malpasset, del Vajont, della diga di Tous, del Teton e numerose altre minorihanno caratterizzato la storia dello sviluppo delle gestioni delle acque nel territorio italiano ed hannocondotto alla nascita di movimenti di vivace opposizione contro la costruzione di nuovi sbarramenti.D’altra parte, appare evidente che, in una società caratterizzata da bisogni sempre più crescenti,l’utilizzo di grandi opere quali le dighe, che possono essere caratterizzate da quelle situazioni note come

“Bassa Vulnerabilità-Grandi Conseguenze” (“ Low Probability of failure -High Loss”), risulti quanto



10000297


mai necessario, sebbene il rischio a esse connesso sia significativamente alto, soprattutto quando sitrovano nelle vicinanze di opere e insediamenti urbani.Stabilito il concetto che il ‘rischio nullo’ non esiste per nessuna tipologia di infrastruttura, se non altroper le alte incertezze connesse ai modelli utilizzati in fase di calcolo, la strategia per mitigare i timoridell’opinione pubblica nei confronti delle infrastrutture comunemente avvertite come fonte di rischio, è

quella di poter disporre di adeguati strumenti per l’analisi, la valutazione e la gestione del rischiopotenziale delle infrastrutture idroelettriche, di cui potersi avvalere per approfondire la conoscenza delgrado di sicurezza del parco dighe nazionale e per progettare eventuali interventi per adeguare lastruttura a standard di sicurezza accettabili. La modalità con cui la fase di gestione viene operativamenteattuata rappresenta uno dei temi cruciali attorno al quale ruota il rapporto tra il gestore e le compagnieassicurative.Prima di entrare in dettagli tecnici è opportuno svolgere alcune considerazioni di ordine generale cheaiutino a inquadrare correttamente i termini del problema. L’analisi di rischio, le cui fasi operativeprincipali di valutazione della pericolosità, della vulnerabilità e delle conseguenze, sono state descrittenei capitoli precedenti, è uno strumento tecnico, tra i tanti al servizio delle strategie decisionali per lagestione ottimale dei rischi e delle risorse, legato all’interazione tra la dimensione umana e quella

naturale di un determinato territorio. Concretamente, tale analisi deve essere di supporto alla decisionedi come utilizzare le risorse (umane, finanziarie, organizzative, tecniche) disponibili alla mitigazione deirischi in esame [ITCOLD , 2004].L’approfondimento e le modalità di analisi da implementare non possono prescindere dalla tipologia digestione alla quale l’analisi stessa è destinata. In particolare, la tipologia di gestione influisce in manieradecisiva sul corretto uso degli strumenti analitici a priori proponibili, sul ruolo che devono assumere ivari soggetti coinvolti a diverso titolo nel processo decisionale e, infine, sulle ricadute delle scelteoperative. Con riferimento a quest’ultimo punto, ad esempio, l’analisi del rischio di strutture esistentideve servire a stabilire una graduatoria di priorità negli interventi di mitigazione del rischio e quindinell’allocazione delle limitate risorse finanziarie disponibili, a rivelare situazioni da correggere e deverappresentare la base per la pianificazione della gestione delle emergenze.A seconda delle finalità perseguite, lo strumento tecnico utilizzato per l’analisi del rischio assumerà

diversi connotazioni, potendo esso essere proposto come un mezzo che dia una valutazione ‘relativa’ asituazioni differenti per le quali le risorse debbano essere ripartite, o una valutazione ‘oggettiva’, quantopiù possibile rigorosa e ‘assoluta’, di come il rischio possa essere associato a ogni situazione fonte dipotenziale danno.In definitiva, il processo di gestione del rischio deve essere basato su cinque passaggi di base:

1. La generazione e l’analisi delle informazioni concernenti le singole opere di sbarramento;

2. La scelta dei criteri con cui l’individuazione delle suddette informazioni devono essere soppesate;

3. La determinazione di processi decisionali in grado di condurre alle più appropriate azioni e scelte diintervento;

4. La determinazione di un processo di controllo del rischio;

5.

La generazione di una strategia di monitoraggio continuo, basata sull’osservazione di determinatiparametri di performance, che permetta di aggiornare durante la vita del portfolio dighe le azioni dicontrollo del rischio (sorveglianza);

I primi due passaggi devono essere affrontati durante la fase di ‘valutazione del rischio’ ( Risk

evaluation) che si pone a cavallo tra la fase di analisi e quella di gestione vera e propria, assumendocome scopo principale la generazione delle direttive e dei criteri in base ai quali filtrare le informazioniottenute dalla fase di analisi coerentemente agli obiettivi stesura previsti dai piani di gestione. Tali criteridovranno tener conto, nei confini individuati dalle normative vigenti o in generale dai codici che hannovalore legale, dei principi attraverso i quali sia i gestori che la pubblica opinione giudicano epercepiscono le diverse cause di rischio. Inoltre dovranno sempre essere fondati su ragioni di naturaeconomica sulla base delle quali determinate fonti di rischio possano o meno essere giudicate sostenibilia seconda dei costi che comporterebbe una loro mitigazione. A tal fine potrebbe rivelarsi molto utile unadescrizione più chiara della natura del rischio attraverso parametri e indici in grado di descrivere inmaniera sintetica tali fonti.



10000297


Inoltre, già durante la fase di valutazione del rischio dovrebbero essere delineate le modalità dicomunicazione tra gestori, progettisti degli interventi di mitigazione, sorveglianti, etc., che influenzanoin maniera significativa l’attuazione e l’efficacia dei piani di gestione del rischio e dunque delledecisioni da intraprendere ai fini della mitigazione.7.1.1 Tipologia del processo decisionale

Il processo decisionale riguardante la sicurezza di un portfolio dighe può essere in generale classificato,in maniera sempre più sofisticata e oggettiva in base all’ordine proposto, secondo una o più delleseguenti categorie:

a. Processi decisionali basati su Standard

Si tratta del processo decisionale più semplice e, per questo, più applicato. È basato su modalitàdecisionali comunemente accettate, basate sulla rispondenza a regole di buona esecuzione e regoled’arte. Se tali regole non vengono rispettate, allora l’output del processo decisionale consisterà nellamessa in atto di tutte le misure per il rispetto dei suddetti standard. Ad esempio, uno di questi standardpuò riguardare la capacità della diga e delle sue opere accessorie a far defluire un valore standard dellapiena di progetto. Anche se tale tipo di processo è attuato il più delle volte solo in maniera qualitativa,

esso è molto utilizzato in quanto l’output che da esso discende rappresenta la messa in atto di misureminime a garantire una compatibilità con dei criteri minimi di sicurezza che il sistema diga deverispettare. In generale, questo tipo di processo decisionale è ritenuto sufficiente dalla gran parte degliordini deputati a valutare l’adeguatezza del sistema, se le conseguenze connesse al rischio non risultanoeccessive (zone disabitate o mancanza di attività produttive a valle). Tuttavia, il processo decisionaleattuato tramite standard potrebbe presentare non poche complicazioni nel momento in cui parametrirelativi a diversi standard interagiscono tra loro. Inoltre, esso risulta estremamente complicato da attuarein mancanza di informazioni adeguate riguardanti la diga (livello di conoscenza basso), soprattutto afronte del fatto che esso è comunque basato sul giudizio di figure tecniche (per quanto esperte), cherisulta sempre soggettivo. Infine, i processi decisionali basati su standard si presentano limitati in quantoin grado di fornire informazioni sufficienti per creare delle priorità di intervento.

b. Processi decisionali supportati da un’analisi di rischio

In assenza di una fase di valutazione del rischio, un gestore di un portfolio dighe potrebbe direttamenteriferirsi ai risultati dell’analisi di rischio e decidere autonomamente quali sono le misure di mitigazioneda attuare senza muoversi necessariamente nell’ambito delle regole e dei criteri che definiscono il livellodi tollerabilità del rischio e che solitamente rappresentano l’output del processo di valutazione (Figura11). Questo tipo di processo decisionale potrebbe essere applicato in una delle seguenti circostanze:

esistono casi di violazione della sicurezza per i quali non sono definibili regole e standard dibuona esecuzione e/o applicazione;

anche se presenti, gli standard di cui al punto (a), non sono al passo con l’avanzamentotecnologico subito negli ultimi anni dalla diga;

i suddetti standard riguardano solo parti del sistema dighe e non il sistema stesso nel suo

complesso; gli standard esistono ma vi è un’aspettativa di sicurezza da parte della società che richiede

l’applicazione di metodologie di analisi più complesse sulle quali basare il rischio;

gli standard non sono in grado di dare conto della natura gerarchica che caratterizza unasequenza di crisi

L’analisi del rischio sulla quale fondare il processo decisionale può essere qualitativa, semi-quantitativao quantitativa. Il grado di affidabilità dell’analisi, che dipende dal grado di approfondimento delleprocedure implementate e dal livello di expertise, influenzerà la tipologia finale del processodecisionale. In ogni caso, esso sarà usato per pianificare le operazioni di sorveglianza e manutenzioneattraverso le quali sarà possibile garantire determinati livelli di sicurezza. Tali operazioni sarannofinalizzate al controllo delle modalità di crisi individuate nell’albero degli eventi e quindiall’applicazione di tutte quelle misure tese alla riduzione delle loro probabilità di superamento.



10000297


c. Processi decisionali basati sulla valutazione del rischio

Il processo decisionale verrà supportato da criteri e linee guida che filtrano le informazioni ottenute dalprocesso di analisi, tenendo conto del quadro normativo esistente e forniscono le modalità di azione chebisognerà valutare per garantire appropriati livelli di sicurezza.

Un processo decisionale a tale livello richiede un significativo utilizzo di risorse, sia per la creazionedell’output dell’analisi di rischio che per lo sviluppo delle direttive e dei criteri per la sua valutazione egestione. A fronte di ciò, i maggiori benefici discendono dal fatto che attraverso i criteri di cui detto inprecedenza, il gestore di un portfolio dighe è in grado di avere un quadro completo e oggettivo sullepriorità di intervento al fine di garantire livelli di sicurezza appropriati.Un processo decisionale che si basa sulla valutazione del rischio potrebbe essere ulteriormente arricchitoqualora esso comprenda esplicitamente delle direttive e dei criteri in grado di tradurre delle strategie diazione che sono il frutto di valori e requisiti che sono propri dei gestori ed in generale delle compagnieproprietarie del portfolio dighe.7.1.2 Importanza della comunicazione nel processo decisionale

Durante la fase di valutazione del rischio e del conseguente processo decisionale, è auspicabile uncoinvolgimento di tutte le parti interessate (gestori, pubblica opinione, istituzioni, etc.).

Tale coinvolgimento potrebbe concretizzarsi in manifestazioni pubbliche, azioni educative, riunioni coni rappresentanti delle istituzioni o anche con la pubblica opinione. Tali azioni dovrebbero essereintraprese al fine di attuare un’opera di sensibilizzazione dei soggetti verso quelle problematiche che ilprocesso decisionale vuole affrontare e risolvere, anche proponendo diverse e alternative modalità digestione, nonché per avere una percezione reale dell’impatto che determinate decisioni potrebbero avere.Una volta che tale fase di comunicazione e confronto è terminata sarà necessario redigere un documentonon tecnico che dia ragguagli a tal proposito e che dovrà essere sempre tenuto in conto anche nelmomento in cui si vogliano attuare dei cambiamenti del tipo di gestione del rischio. Tale documentodovrà certificare che, oltre a seguire regole di gestione coerenti con la buona pratica, le stime del rischiosiano al di sotto di obiettivi di sicurezza coerenti con certi livelli di accettabilità. Inoltre esso può essereutilizzato in maniera fruttuosa al fine di supportare richieste di finanziamenti o per accreditare inmaniera ancora più significativa un certo sistema di dighe presso le compagnie assicurative.

7.2 Rilevanza e categorie di rischioCome visto nel Capitolo 6, lo spettro delle possibili conseguenze che possono scaturire da un’analisi dirischio può essere molto ampio. Da un lato, esso potrebbe riguardare le perdite connesse allasalvaguardia della vita umana, comprendendo in queste tanto le persone che potenzialmente potrebberomorire, quanto quelle che potrebbero subire ferite o traumi o potrebbero ammalarsi a seguito delsuperamento del livello di rischio tollerabile (in generale, come visto nel capitolo precedente si parla dipersone a rischio- PAR). Dall’altro, le perdite economiche (perdite connesse al danneggiamento/collassodella diga stessa e alle attività produttive -impianti industriali, terre coltivate, infrastrutture, etc. chesubiscono una qualche forma di danno), e quelle connesse a un eventuale degrado ambientale (perdite odanneggiamenti di habitat o di ecosistemi).

Si hanno dunque diverse categorie e sottocategorie di conseguenze le cui probabilità di occorrenzaandrebbero stimate sulla logica di un apposito albero delle conseguenze da porre a valle all’albero dieventi. Ciascuna categoria deve essere identificata in un processo di esplorazione basato sull’uso ditecniche consolidate che partono dall’identificazione dei settori a rischio di impatto (cioè suddividono leconseguenze in base ai gestori o al potenziale impatto economico che potrebbero comportare). Inoltre,tali categorie devono essere strutturate secondo la natura gerarchica con cui possono presentarsi, che puòessere più o meno articolata a seconda del livello di approfondimento dell’analisi. Tuttavia la scelta diun numero non molto ampio, ma consapevole, di sottocategorie di conseguenze potrebbe portarecomunque a una stima affidabile del rischio. In Figura 50 viene fornito un tipico esempio di albero delleconseguenze in cui le diverse categorie e sottocategorie vengono riportate nel rispetto della gerarchia dicui sopra. Esso potrebbe essere ancora più dettagliato, con ulteriori sottocategorie, oppure assumere unaforma più semplificata a seconda del contesto in cui la diga va a innestarsi. Ad esempio, se la diga che si

sta analizzando si trova in una zona nelle cui vicinanze non ci sono centri abitati e/o impianti industriali,allora le sottocategorie di rischio connesse a queste ultime potranno essere non considerate.



10000297


Nel prosieguo della presente capitolo verrà fornita una descrizione delle più importanti categorie dirischio e delle modalità con cui queste devono essere identificate e considerate.Verrà inoltre fornita, ove possibile, una panoramica sui principali fattori che incidono sulle categoriestesse, nonché una dettagliata analisi dei possibili costi che in termini monetari possono essere assegnatia determinati tipologie di perdite.7.2.1 Rischio sociale (perdita di vite umane, ...)

Il rischio sociale, connesso all’effetto che la crisi della struttura può avere con le popolazioni che vivonoa valle, è oggettivamente la categoria di maggior impatto, sia per l’importanza delle perdite a essaricollegabili (in particolare la perdita della vita), sia per come essa incide nel rapporto fra il gestore di unportfolio dighe e l’opinione pubblica, gli organi di controllo, le compagnie assicurative.

Conseguenze globalidovute alla crisi della

diga

Morti

costo connessoalla struttura

costo connessoalla produzione

Conseguenzeconnesse alla

pubblica sicurezza(rischio sociale)

Conseguenzeambientali

Feriti Malati

n.ro morti n.ro ricoverati Giorni lavorativipersi

Perdite speciali Habitat Costi diricostruzione

Specie animaliuccise

Terrecompromesse

Valoremonetario

Conseguenzeeconomiche

Perdita della

diga

Danno alle

infrastrutture

Perditàdiproprietà

costo connessoalla produzione

edifici costi connessialla erogazione

d’acqua

trasporti

Figura 36 - Categorie e sottocategorie delle conseguenze

Alla stima del rischio sociale, concorrono diversi fattori che influenzano in maniera decisiva le perdite[Graham, 1999]:

a. Modalità di crisi della diga;b. Numero di persone esposte al rischio;

c. Tempismo nell’avvertire la popolazione dell’avvenuta crisi della diga;d. Profondità e velocità della piena a valle prima della crisi;e. Profondità e velocità della piena a valle risultante dalla crisi;f. Disponibilità di mezzi sensibili attraverso i quali la popolazione possa percepire la crisi della diga;g. Periodo del giorno e/o della settimana e/o dell’anno in cui avviene la crisi;h. Condizioni climatiche (considerando anche la temperatura dell’aria e dell’acqua);i. Attività in cui le persone sono coinvolte al momento dell’avvenuta crisi della diga; j. Condizioni psico-fisiche delle persone minacciate dalla piena;k. Tipologia delle strutture occupate dalle persone al momento della crisi della diga;l. Esistenza di piani di emergenza;m. Facilità di evacuazione.

Alcuni dei suddetti fattori sono tra loro collegabili e possono essere accorpati: ad esempio la facilità dievacuazione dipende fortemente dalla esistenza di piani di emergenza. Inoltre essi sono affetti da un



10000297


significativo livello di incertezza che deve essere tenuto in giusta considerazione, tanto più che alcuni diessi risultano essere estremamente dinamici, dipendendo da ‘oggetti’ o ‘gruppi di oggetti’ (§ 6) cheregolano i propri comportamenti in base alle contingenze e alla loro percezione del rischio.Negli ultimi anni, sono stati impiegati ingenti sforzi al fine di mettere al punto tecniche in grado di poterdare una stima attendibile del rischio sociale. La maggior parte di queste può essere inclusa in una delle

due seguenti categorie:

(i) Tecniche di tipo statistico basate sulle fatalità osservate durante degli eventi storici che nel

passato hanno provocato una delle possibili modalità di crisi della diga

Usano i dati raccolti nel passato per predire le fatalità e le altre conseguenze che potrebbero verificarsi infuturo. Tali tecniche, beneficiando della gran mole di dati presenti in letteratura, sono quelle al momentopiù accreditate e maggiormente accettate presso gli organi di controllo e le compagnie assicurative.In Tabella 6 [Brown and Graham, 1988] sono mostrati i dati statistici relativi a crisi di dighe avvenute intempi relativamente recenti negli Stati Uniti. In particolare, vengono riportate le perdite in termini di vitaumana in funzione del numero di persone esposte al rischio e del tempo (in ore) in cui queste sono stateavvertite.

Tabella 6 - Conseguenze in termini di vita umana a seguito di crisi di dighe avvenute tra il 1959 ed il 1984

SITO ANNO POPOLAZIONE A

RISCHIO

PERDITA DI

VITE UMANE

TEMPO DI

AVVERTIMENTO

(ORE)

Baldwin Hills, CA 1963 16,500 5 1.5

Bearwallow, NC 1976 4 4 0

Big Thompson, CO 1976 2,500 139 <1.0

Black Hills, SD 1972 17,000 245 <1.0

Buffalo Creek, WV 1972 4,000 125 <1.0

Bushy Hill Pond, CT 1982 400 0 2.3

Denver, CO 1965 3,000 1 3DMAD, UT 1983 500 1 1.12

Kansas City, KS 1977 1,000 25 <1.0

Kansas River, KS 1951 58,000 11 > 1.5

Kelly Barnes, GA 1977 250 39 <0.5

Laurel Run, PA 1977 150 40 0

Lawn Lake, CO 1982 5,000 3 <1.5

Lee Lake, MA 1968 80 2 <1.0

Little Deer Creek, UT 1963 50 1 <1.0

Malpasset, France 1959 6,000 421 0

Mohegan Park, CT 1963 500 6 0

Swift and Two Medicine Dams, MT 1964 250 27 <1.5

Northern NJ 1984 25,000 2 >2

Prospect Dam, CO 1980 100 0 >5

Teton, ID (dam through Wilford) 1976 2,000 7 <1.5

Teton, ID (Rexburg to American Fans) 1976 23,000 4 > 1.5

Texas Hill Country 1978 1500 25 <1.5

Vega DeTera, Spain 1959 500 150 0

L’utilizzo dei dati storici, tuttavia, necessita di una preventiva analisi critica dei dati a disposizione,affinché possano essere correttamente adattati alla diga o al sistema di dighe di cui si sta valutando ilrischio. In altre parole, si dovrebbero prendere in considerazione solo quelle crisi avvenute in condizionisimili a quelle che potrebbero verificarsi nel caso in studio. In più si dovrebbero tenere in giustaconsiderazione le differenze, in termini tecnologici, tra le dighe del passato e le dighe costruite di

recente, essendo queste ultime, anche sulla base delle lezioni discendenti dalle modalità di crisiregistrate su altre dighe, più moderne e affidabili. Inoltre i dati statistici che verranno utilizzati nondovranno comunque essere affetti da una varianza troppo elevata.



10000297


Solo nel caso in cui le condizioni di cui sopra siano verificate, le correlazioni utilizzate nell’approcciostatistico possono essere ritenute affidabili.

(ii) Tecniche basate su modelli fisici

Con queste tecniche, le perdite di vite umane sono modellate analiticamente avvalendosi di modellifisici basati su due tipi di fenomenologie: l’incremento demografico e utilizzo dell’area inondata; le

caratteristiche idrologiche dell’evento connesso alla piena.La prima influenza il numero di persone potenzialmente a rischio, mentre la seconda influenza il numerodi fatalità che potrebbero aversi a partire dal numero di persone a rischio.I modelli che possono essere utilizzati possono essere più o meno sofisticati in ragione della quantità edella qualità di fattori in essi inclusi. Essi comunque sono realmente affidabili se (e solo se) sono ingrado di recepire una gran mole di informazioni riguardanti i comportamenti degli ‘oggetti’ interessatidal’eventuale rilascio d’acqua a valle e l’uso che tali ‘oggetti’ fanno del territorio. I modelli devonoessere in grado di prevedere i comportamenti degli ‘oggetti’, operazione complicata dal fatto che questidipendono anche dalla percezione del rischio da parte delle persone. Di tale percezione si parlerà seguitonel successivo § 7.2.1.1.La difficoltà insita nei modelli fisici ha comportato che negli ultimi anni una piccola mole di ricerca èstata indirizzata verso questi. Inoltre, la loro applicazione si è avuta solo come complemento ai risultatiottenuti a valle della applicazione delle tecniche di tipo statistico.

7.2.1.1 Difficoltà nella gestione del rischio sociale: diverse percezioni del rischioDa quanto detto sopra e nei capitoli precedenti, appare evidente che la gestione del rischio sociale, intesacome output del processo decisionale, deve essere relazionata da una parte con le aspettative (di naturaemotivo/psicologica) della collettività, dall’altra con una razionale programmazione e attuazione di unagestione integrata delle risorse e dei vincoli territoriali, mirata a uno sviluppo sostenibile.Per quanto concerne il primo tipo d’interazione, è facile constatare che esistono, o possono sorgere,palesi fraintendimenti, che non di rado si trasformano in conflitti, tra la percezione e la valutazione chedel concetto di rischio ha l’opinione pubblica e il punto di vista del tecnico specialista. Un terzo punto di

vista, in genere diverso sia dal primo sia dal secondo, è poi quello degli organi amministrativi e dicontrollo; un quarto, ed ulteriormente distinto, punto di vista potrebbe essere quello degli eventualiassicuratori del danno. Infine non è da trascurare il punto di vista dei gestori. La comunicazionedialettica tra tutti questi punti di vista è in effetti difficile, e molte volte ambigua, dal diverso contenutosemantico che le parti in gioco attribuiscono agli stessi termini linguistici usati. Basti pensare, a talproposito, al significato del termine ‘rischio’ e all’impatto che esso ha sull’opinione pubblica. Essoevoca, infatti, non una valutazione razionale, ma piuttosto reazioni emotive di timore e diffidenza, tantoche sinora si è sempre preferito parlare, anziché di gestione del rischio, di garanzia della sicurezza,intesa erroneamente dai più come un mezzo per evitare ogni pericolo e quindi per avere un rischio nullo,cosa che, come più volte affermato nel corso della presente trattazione, è impossibile [ITCOLD, 2004].A tali difficoltà contribuisce pure la diversità di atteggiamento dell’opinione pubblica e della gran parte

dei media nei riguardi delle catastrofi naturali (terremoti, inondazioni…) da un lato, e di altre tipologiedi disastri da ricondurre principalmente all’azione dell’uomo, quelli industriali ad esempio, dall’altro. Lecatastrofi naturali sono considerate con una certa rassegnazione come eventi inevitabili (acts of God ), edalle Autorità pubbliche ci si attende, in relazione ad esse, non molto di più che una pronta ed efficaceazione di mitigazione delle loro conseguenze. Al contrario, i disastri industriali (man-made) vengonopercepiti molto spesso come eventi colposi attribuibili a negligenza, errore tecnico o violazione delleregole da parte di colpevoli di cui immediatamente si inizia la ricerca [Tierney et al ., 2002]. In questocaso, diversamente dal caso precedente, dalle Autorità di controllo e tutela ci si attende sia una loroefficace prevenzione, sia l’individuazione e la punizione dei responsabili una volta avvenuto l’evento.Se il rischio di cui sopra è strettamente connesso alla sicurezza e alla salvaguardia della vita umana,allora l’importanza dei concetti visti in precedenza assume un valore ancora maggiore, soprattutto se sipensa alla riluttanza con cui l’opinione pubblica tende ad attribuire un valore monetario alla vita umana.

Questo è un punto cruciale, in quanto parlare di valore della vita umana, sebbene possa sembrare cinico,permette realmente di finalizzare in maniera virtuosa l’analisi di rischio.



10000297


C’è da dire a tal proposito, che, storicamente nelle prime analisi condotte ai fini della valutazioni dirischio, quello della mortalità era l’unico fattore rispetto al quale fornirne una stima. Ciò fu subitooggetto di disputa tra chi effettivamente ‘dichiarava’ che poteva esistere una certa probabilità, da tenerepiù bassa possibile, di perdere delle vite umane e chi ‘nascondeva’ questo dato. Tuttavia, sopratutto neipaesi di cultura anglosassone, ci si rese conto che il costo da attribuire alla mortalità costituisce

l’indicatore più rappresentativo rispetto al quale condurre l’analisi di rischio, in quanto fornisceprobabilmente la misura più concreta della reale ‘volontà di pagare’ da parte della società a fronte di uncerto rischio. In altre parole ci si rese conto che paradossalmente, il non assegnare un valore ad una vitaumana era come assegnare ad essa un valore nullo [Corotis et Hammel , 2007].Esistono compagnie assicurative (ad esempio la MetLife- www.MetLife.com) che quantificano il valoredella vita in base all’attività lavorativa delle persone che l’hanno persa. La vita di un giovane ingegnereneolaureato, dunque, varrà approssimativamente 420000 dollari, mentre quella di un ingegnere senior(con minore aspettative) varrà 380000 dollari. In generale, senza estremizzare troppo il concetto, ilvalore della vita deve essere visto come il costo che la società è disposta a spendere per salvarla. Suquesto tema alcuni ricercatori, hanno sviluppato teorie basate su diversi modelli. Tra questi si segnalaquello messo a punto da Haimes [1998], riportato in Tabella 7, in cui viene fornito il costo di una vita

salvata in relazione a diverse fonti di rischio (costi da rendere attuali al proprio anno di riferimento).Tabella 7 - Costo di una vita [Haimes, 1998]

Un discorso meno complesso appare quello connesso agli infortuni, in quanto in questo caso, la perditanon coinvolge direttamente la vita umana, ma corrisponde a un danno (ad esempio lesioni, ferite otraumi emotivi) comunque risanabile. In questo caso, la discussione sulla quantificazione delle

conseguenze risulta meno traumatica di quanto possa accadere nel caso di morte. Tuttavia esistono dei



10000297


casi, ad esempio quelli in cui vengono provocati dei coma irreversibili, che sono controversi tantoquanto il caso di persone morte.Le tematiche sopra esposte dimostrano che c’è un netto distacco tra il rischio reale (stimabile attraversomodelli matematici in grado di restituire una misura attendibile del livello di sicurezza connesso alsuperamento di stati limite di un sistema soggetto a un evento avverso), e il rischio percepito dalle

persone. Tale distinzione risulta fondamentale perché un’azione di gestione basata sul rischio calcolatosolo ed esclusivamente secondo le modalità esposte nei capitoli precedenti, potrebbe non esserecompresa dalla popolazione che dunque potrebbe sentirsi non sicura e dare luogo a delle dinamichecomportamentali che potrebbero portare ad avere delle perdite. Tali dinamiche potrebbero riguardare siai comportamenti che le persone potrebbero assumere a fronte di un eventuale pericolo, spinti dasentimenti di paura e di terrore, sia, più a lungo termine, fenomeni di migrazione di quelle persone versoaltri luoghi dove si sentono più al sicuro. In quest’ultimo caso, il territorio nel quale la fase di gestione sista attuando, potrebbe risentire di perdite connesse, ad esempio, a fenomeni di depressione economica.Ci si rende conto, quindi, del fatto che una trattazione moderna del rischio non può prescindere dallaconsiderazione della percezione che di questo possono avere le persone direttamente coinvolte daeventuali conseguenze. Diversi studiosi stanno affrontando in maniera approfondita il problema

conducendo ricerche su campioni di persone al fine di studiarne le reazioni a fronte di determinate fontidi rischio. Tali ricerche stanno man mano confluendo verso nuovi strumenti normativi e linee guida chenel immediato futuro potranno rappresentare un supporto più completo e strutturato per la conduzionedella fase di gestione (ad esempio la NRC, 1996).7.2.2 Rischio Economico (perdita di beni e servizi)

La stima del rischio economico, connesso alla perdita di beni e servizi, risulta solo apparentemente piùsemplice di quella relativa al rischio sociale. In questo caso, gli ‘oggetti’ potenzialmente interessati dallesuddette conseguenze sono in gran parte statici (edifici, ponti e altre infrastrutture poste a valle delladiga) e solitamente si ha a disposizione una quantità significativa di dati riguardanti gli stessi. Attraversotali dati è possibile creare dei modelli predittivi sui i potenziali danni all’ambiente costruito (costidiretti). Tali modelli, talvolta, possono anche prendere in considerazione perdite non facilmentestimabili a causa della loro dipendenza da fattori di tipo dinamico e che riguardano l’andamento micro e

macro economico (costi indiretti) dell’area interessata dal sistema studiato (sia esso una diga o meno). Atal proposito sarà necessario tener conto anche di eventuali perdite di investimenti, di un abbassamentodell’offerta dei prodotti locali, del susseguente cambiamento (adeguamento) della domanda, etc. Lavalutazione del rischio economico deve avvalersi dei giudizi di figure tecniche esperte in grado ditracciare delle analisi costi benefici sui quali basare anche le strategie di gestione e i processi decisionali.Data la sua natura, il rischio connesso alle conseguenze indirette è talvolta più importante di quellorelativo alle conseguenze dirette, in quanto esso può essere più strettamente collegato a una mutazionedefinitiva e permanente del territorio.7.2.3 Rischio Ambientale (impatto su ambiente e territorio)

Negli ultimi anni la tematica del rischio ambientale è diventata di sempre maggiore attualità presso tuttigli attori che partecipano al processo di gestione del rischio. Sono stati sviluppati modelliprogressivamente più complessi in grado di tenere conto di aspetti di non semplice identificazione equantificazione, quali quelli connessi alla presenza di ecosistemi nascenti o in via di sviluppo.Ovviamente, al fine di stimare in maniera corretta il rischio ambientale, vi è la necessità di coinvolgerenel processo di gestione figure esperte nel campo della biologia, della zoologia, della pianificazioneterritoriale, etc.

7.3 Rischio accettabile e rischio tollerabileNegli ultimi anni è stata ben evidenziata la differenza tra rischio accettabile e rischio tollerabile [HSE,2001]. Il primo è stato definito come quel rischio che chiunque lo subisca è preparato ad accettare senzarichiedere cambiamenti nei meccanismi di gestione e controllo dello stesso [HSE, 1995]. Il secondo,invece, è quel rischio con il quale la società è disposta a convivere a patto di avere determinati benefici,e a patto che questo sia in qualche modo tenuto sotto controllo e ridotto per quanto possibile.

Di recente sono stati compiuti studi molto interessanti sui rischi socialmente accettabili (SociallyAcceptable Risks, SAR). Tali studi mettono in relazione le probabilità accettabili di accadimento di unevento con l’entità del danno da esso provocato, espresso quantitativamente in termini di vittime umane



10000297


(in assenza di criteri accettati di monetizzazione il costo dell’evento resta espresso dal numero dellevittime). La probabilità socialmente accettabile decresce al crescere del costo dell’evento, per cui per gliincidenti a infrastrutture che come le dighe possono provocare conseguenze significative, si esige che laprobabilità di incidente sia estremamente bassa.L’accettabilità del rischio dipende anche dalla percezione che se ne ha. Ad esempio, i rischi percepiti

come incorsi volontariamente vengono considerati, a parità di conseguenze per l’individuo coinvolto,molto più accettabili di quelli percepiti come imposti da terzi, anche se questi ultimi sono connessi aservizi di pubblica utilità cui nessuno vorrebbe rinunciare (come nel caso delle dighe la fornituragarantita di acqua potabile o di energia elettrica nel momento stesso della richiesta).Diverse linee guida quantificano il rischio sociale accettabile. Ad esempio, le linee guida ANCOLD,1994 per la valutazione del rischio sociale accettabile per le dighe esistenti, prescrive che la probabilitàdi collasso associata ad uno ‘specifico evento’ non dovrebbe superare 10-6…10-5, a seconda del numerodi perdite previste.Con riferimento al rischio tollerabile, è importante ricordare il principio dell’ ALARP (Acronimo inglesedella dicitura “Tanto basso quanto ragionevolmente praticabile” - As Low as Reasonably Practicable).Attraverso la sua applicazione, in fase di gestione è in generale possibile abbassare il livello di rischio il

più possibile affinché esso possa essere considerato tollerabile. Un’analisi condotta in quest’ottica deveessere sempre supportato da un’analisi costi-benefici e dall’analisi di ciò che la società è disposta a‘pagare’ al fine di avere un accrescimento del proprio livello di sicurezza.

7.4 Mitigazione del rischioLa riduzione del rischio viene perseguita mediante interventi e misure di prevenzione e mitigazione. Lagestione del rischio residuo, compatibilmente al principio dell’ ALARP, può essere effettuata con lapredisposizione e l’adozione di piani d’emergenza.Il concetto di piano di emergenza ha subito negli ultimi anni una sostanziale evoluzione. I piani che finoa qualche anno fa erano finalizzati a organizzare uomini, mezzi e procedure per fronteggiare possibiliincidenti oggi sono orientati verso un nuovo approccio filosofico che ha modificato il concettotipicamente interventistico del soccorso attribuendo alle diverse Autorità pubbliche e ai soggetti a vario

titolo coinvolti, un ruolo più attivo in merito alla previsione e prevenzione del rischio, nonchéall’attuazione delle misure necessarie per mitigarne le conseguenze.Sin dai primi anni 90, anche sotto la spinta propulsiva della Comunità Europea, sono stati approvatiimportanti provvedimenti legislativi in materia di sicurezza, non solo nello specifico ambito degliinterventi di protezione civile, ma anche in altri contesti di previdenza sociale.Fondamentale in proposito è stato il contributo della Legge 24 febbraio 1992 n. 225, che ha istituito ilServizio Nazionale di Protezione Civile; tale provvedimento era già stato anticipato nelle sue lineeispiratrici dal D.P.R. 175/88 (decreto Seveso 1), attuazione della direttiva CEE 82/501 (rischi diincidenti rilevanti connessi a determinate attività industriali), che ha rappresentato un primo passo, inambito industriale, della nuova politica di programmazione e pianificazione dell’emergenza,successivamente fatta propria dalla L. 225/92.Con particolare riferimento alla stesura di piani di emergenza, tale funzione nel sistema normativo

italiano è demandata a vari livelli centrali e decentrati dell’Amministrazione Statale (Prefetture, Regioni,Province, Comuni). La distribuzione dei compiti e delle responsabilità sono state sancite dalla L. 225/92e riviste nel D.Leg. 112/98, avente come oggetto il trasferimento di funzioni e compiti dallo Statocentrale alle Regioni ed agli Enti locali (in attuazione della Legge Bassanini 59/97).La predisposizione di piani di emergenza a livello comunale spetta ai Sindaci, quali Autorità diProtezione Civile territoriale; a essi spetta anche la gestione operativa dell’emergenza che vienecoordinata dal Prefetto (Commissario di governo) qualora l’evento non sia fronteggiabile con i mezzi ele risorse localmente disponibili. Il Prefetto è anche chiamato insieme alla Provincia a predisporre ilpiano di emergenza per eventi su scala provinciale e a curarne l’attuazione sulla base degli scenari dirischio valutati. Per gli eventi che, per loro natura o estensione, richiedono l’intervento degli Organicentrali dello Stato, si provvede con piani di emergenza nazionali definiti dal Dipartimento dellaProtezione Civile che, all’occorrenza, ne cura l’attuazione sulla base degli scenari di rischio individuatiin sede di programmazione nazionale.



10000297


I piani di emergenza delle diverse Autorità competenti ai vari livelli sono elaborati secondo linee guidacomuni che fanno riferimento al Metodo Augustus sviluppato dal Dipartimento della Protezione Civile.Tale metodo propone una precisa struttura nell’organizzazione dei piani:

una parte descrittiva generale che illustra i dati di base del territorio, lo scenario degli eventi

attesi, gli indicatori e le corrispondenti risposte del sistema di protezione civile; i principi della pianificazione ossia gli obiettivi che bisogna conseguire nell’ambito della

direzione unitaria dei servizi di emergenza;

il modello di intervento in cui si assegnano le responsabilità nei vari livelli di comando econtrollo.

Si fissano cioè competenze, responsabilità e obiettivi da perseguire attraverso una partecipazioneallargata a tutti i soggetti del sistema di protezione civile, non ultima la popolazione che deve essereinformata sui rischi del territorio in cui vive e in merito al comportamento da assumere prima, durante edopo l’evento calamitoso.Il nuovo assetto della struttura di protezione civile si articola nei COM (Centri Operativi Misti) e nelCCS (Centro Coordinamento Soccorsi) che prevede una Sala Operativa suddivisa per funzioni di

supporto. Ciò consente una rapida risposta per qualsiasi tipo di emergenza e assegna ogni singolacompetenza a un responsabile già individuato in sede di pianificazione.Il piano di emergenza deve attuarsi contestualmente all’arrivo della comunicazione di allarme (o dipreallarme) su indicazione degli operatori di guardia nelle sale operative: le squadre d’interventopartono per contrastare lo scenario ipoteticamente più gravoso, ma anche per monitorare l’incidente everificare cosa sia successo in realtà. Il piano di emergenza deve essere sufficientemente flessibile, cioèdeve consentire di adeguare gli interventi alla situazione reale che può presentare conseguenze diverseda quelle prospettate in sede di previsione.L’area d’impatto è differenziata in tre zone distinte a seconda della gravità dell’impatto stesso:Prima zona – Zona di sicuro impattoE’ limitata alle immediate adiacenze dell’impianto e caratterizzata dalla maggiore gravità dell’impatto(anche mortalità). Tale zona dovrebbe essere interdetta a qualsiasi tipo di insediamento.

Seconda zona – Zona di dannoSono possibili danni, per persone che non intraprendano le corrette misure di auto protezione e possibilidanni per persone maggiormente vulnerabili. L’intervento di protezione principale dovrebbe consisterenella rapida evacuazione.Terza zona – Zona di attenzioneSono possibili danni, generalmente meno gravi, su soggetti particolarmente vulnerabili o comunquereazioni fisiologiche che possono determinare situazioni di turbamento tali da richiedere provvedimentidi ordine pubblico; le autorità locali dovranno prevedere interventi mirati nei punti di aggregazione econcentrazione della popolazione (scuole, ospedali, ecc.) e azioni di controllo del traffico.La rapidità con cui spesso evolvono gli incidenti rendono essenziali misure di auto protezionetempestive; a tale proposito occorre definire una campagna di informazione sui rischi presenti nell’area e

stabilire le modalità di allarme e i comportamenti da tenere in caso di emergenza. Quando le attività diprotezione civile vengono identificate con il semplice soccorso, prestato alle popolazioni sinistrate persuperare la prima fase di emergenza, la comunità colpita rappresenta uno strumento passivo nelle manidei soccorritori; in realtà molti disastri devono essere affrontati in un tempo drammaticamente limitato.E’ dunque indispensabile prevedere l’impegno in prima istanza della stessa comunità colpita. Ledirettive comunitarie in merito ai provvedimenti di auto protezione raccomandano una strategia diinformazione basata su due livelli: un primo di tipo generale riferito alle problematiche normalmenteattese a seguito di un incidente rilevante (technical information), un secondo più puntuale, indirizzato alsito specifico e alle popolazioni locali (pragmatic information).

8 CASE HYSTORIES DI ANALISI DI RISCHIO APPLICATA ALLE DIGHE

Le procedure e le tecniche descritte nei primi sei Capitoli del presente rapporto per implementareun’analisi di rischio su un portfolio dighe, risultano quanto di più avanzato e moderno la comunità



10000297


scientifica è al momento in grado di offrire. In un prossimo futuro è auspicabile che tali metodologieprenderanno il sopravvento sulle tecniche tradizionali di analisi utilizzate sino ad ora, sopratutto sequeste sono deterministiche.Sebbene in Italia non vi siano esempi concreti di dighe sulle quali siano state applicate le suddettemetodologie di analisi (lo scopo della presente attività di ricerca è proprio quello di sensibilizzare gli

operatori nazionali sulla necessità di adottarle) esistono in letteratura diverse applicazioni (Case Histories) riportate di seguito, che possono essere prese come riferimento per applicazioni future. Esseriguardano sia dighe in calcestruzzo, su cui ci si è maggiormente concentrati nel presente rapporto, siadighe in terra, sulle quali però esiste una maggior letteratura.

8.1 Il caso della diga di Kyrkösjärvi (da ITCOLD, 2004)Nell’ambito del progetto europeo RESCDAM, conclusosi nel 2001, finalizzato allo sviluppo di piani diemergenza e soccorso basati su studi di inondazione a seguito di crollo delle dighe, è stata eseguital’analisi di rischio della diga di Kyrkösjärvi (Slunga, 2001). Il progetto, coordinato dall’IstitutoAmbientale Finlandese, ha visto la partecipazione, oltre che del centro ricerca italiano CESI, di quellofrancese EDF e di altre istituzioni ambientali finlandesi.

Descrizione della diga

La diga in terra del bacino di Kyrkösjärvi (Figura 37(a)), situata nei pressi della città di Seinäjoki, nellaparte occidentale della Finlandia, è stata progettata nel 1977 ed è entrata in servizio nel 1981. Leprincipali caratteristiche della diga e del serbatoio sono le seguenti:

Lunghezza diga: 12.5 KmAltezza massima diga: 7 m Uso: laminazione delle piene del fiume Seinäjoki; produzione

idroelettrica nella centrale di Kyrkösjärvi; ricreazioneVolume del serbatoio: 10.8 x 106m3 al livello di ritenuta normale (77.5 m s.l.m.);

15.8 x 106m3

al livello di max invaso (81.25 m s.l.m.);

22.3 x 106m3 al livello d’invaso di emergenza (82.25 m s.l.m.) Massimo afflusso nel serbatoio: 48 m3 /s (45 m3 /s dal fiume Seinäjoki attraverso il canale di

adduzione, 3 m3 /s dal bacino idrografico) Massimo deflusso dal serbatoio: 26 m3 /s (21 m3 /s nella centrale idroelettrica, 5 m3 /s nel fiume Seinäjoki



10000297


(a)

(b)

Figura 37 - (a) Mappa del bacino di Kyrkösjärvi; (b) Sezione di massima altezza della diga in terra

Si tratta di una diga in terra omogenea con nucleo impermeabile costituito da argille glaciali. Il nucleo ècollegato al substrato roccioso, la cui superficie è stata consolidata mediante iniezioni cementizie,attraverso strati di terreno naturale a bassa permeabilità. La quota originaria del coronamento della digaè di 82.95 m s.l.m., con un franco di 1.70 m rispetto al massimo livello d’invaso (81.25 m s.l.m.). Nel1985, al fine di migliorare la sicurezza nel confronti dell’azione del ghiaccio, il coronamento fu elevatotra 0.4 e 0.5 m, consentendo così di ottenere un franco di 1.2 m rispetto al livello di emergenza(82.25 m s.l.m.) in corrispondenza della sezione principale della diga (Figura 37 (b)). Nelle parti piùbasse il franco risulta minore (0.25÷0.50 m), e in loro corrispondenza è stata opportunamente aumentata



10000297


la larghezza del coronamento. La pendenza dei paramenti varia tra 1:2 nella parti inferiori a 1:2.5 nelleparti superiori. Il paramento di monte è protetto da un filtro in pietrame naturale di spessore pari a 0.5 me da una scogliera di pietra di spessore pari a 0.7 m. Il paramento di valle è coperto da uno strato di torbadi spessore variabile tra 0.2 a 0.3 m.L’analisi di stabilità è stata eseguita con il metodo Bishop semplificato e ha fornito, con l’altezza

originaria, un fattore di sicurezza pari a 1.9, sia in presenza di moti di filtrazione che in caso di rapidosvaso. L’innalzamento del franco ha comportato la diminuzione del fattore di sicurezza, che risultacomunque sempre superiore a 1.5, che rappresenta il limite minimo consentito dal regolamentofinlandese, il quale è stato preso a riferimento per la valutazione della sicurezza. L’assestamento delladiga, limitato a pochi centimetri, è stato considerato accuratamente nella determinazione del franco.Il sistema di drenaggio è stato migliorato aggiungendo allo strato drenante orizzontale, costituito dapietrame naturale, una trincea verticale estesa fino allo strato roccioso, riempita con lo stesso materiale,al fine di ‘tagliare’ gli eventuali moti di filtrazione. La filtrazione massima risulta così contenuta a0.72 cm3 /s per ogni metro di diga.Tutti i materiali previsti per la costruzione della diga soddisfano i requisiti generali richiesti per questatipologia strutturale (le parti ausiliarie in calcestruzzo sono state costruite direttamente sulla roccia di

fondazione, non hanno subito spostamenti e non sono stati osservati danni o perdite in corrispondenzadel contatto con la diga stessa).

Descrizione della diga

La portate massime del fiume Seinäjoki in corrispondenza del canale di adduzione al serbatoio risultanorispettivamente pari a Q100 = 170 m3 /s e Q1000 = 260 m3 /s e la portata di scarico del bacino risultaconseguentemente pari a 1.9 e 2.8 m3 /s.Come già descritto, la massima portata del canale di adduzione è pari a 45 m3 /s, che aggiunti ai 3 m3 /sdel bacino idrografico, forniscono la massima portata di piena teorica, pari quindi a 48 m3 /s. La massimaportata di scarico è pari a 25÷33 m3 /s e pertanto la sicurezza della diga non risulterebbe compromessaqualora il canale di adduzione fosse parzialmente o totalmente chiuso.

Dati costruttiviI dati raccolti a seguito di indagini hanno confermato che la gran parte del materiale impiegato rientranei requisiti del fuso granulometrico di progetto. Lo stesso risulta dai dati relativi alla compattazionedegli strati, che rispondono ai requisiti (90% Proctor modificato), sebbene siano presenti alcunesignificative deviazioni per alcuni strati inferiori, che hanno registrato un contenuto d’acqua superiore aquello ottimale variabile tra il 4 e il 10%. Tuttavia non si è ritenuto che quest’ultima circostanza abbiapotuto compromettere direttamente la stabilità della diga.La diga è stata costruita a strati successivi aventi spessore variabile tra 0.6 a 1.3 m e si è riconosciuto chequesto fatto, comportando una maggiore disomogeneità del nucleo, ha reso a sua volta maggiormentedispersi i valori di permeabilità del nucleo stesso.Non essendo poi stato possibile reperire il pietrame alluvionale naturale per la costruzione del filtri di

drenaggio, si è dovuto impiegare del materiale roccioso frantumato che rispettava tutti i requisitirichiesti. I test di permeabilità hanno evidenziato che nella zona del nucleo i valori sono al disotto delvalore di progetto, k = 10-6.5 m/s, con piccole deviazioni in corrispondenza del paramento di valle.

Criticità individuate

a) La superficie della roccia di fondazione è risultata fessurata e ricoperta da sottili strati di terrenodisomogeneo: per questa ragione la filtrazione sotto la diga risulta superiore a quella prevista.Nonostante la presenza del filtro nella trincea verticale e le iniezioni di consolidamento, che hannoridotto ma non eliminato completamente le perdite, si è manifestato un significativo fenomeno dierosione sul fondo di un canale di drenaggio. Sono state intraprese misure preventive per contrastareil fenomeno e l’evoluzione dello stesso è sotto costante osservazione.

b) Come detto in precedenza i differenti valori di densità nei diversi strati hanno prodotto corrispondentidifferenze nei valori di permeabilità. In particolare la permeabilità orizzontale della diga èaumentata, favorendo, soprattutto in primavera in concomitanza con lo scioglimento del ghiaccio, la



10000297


comparsa di zone bagnate sul paramento di valle che si estendono dal piede della diga fino ad 1 m dialtezza, per buona parte del suo sviluppo longitudinale. In alcune di queste zone si sono osservatepiccole fratture superficiali, anche se non si sono osservati significativi movimenti del pendio. Sonostate quindi intraprese misure preventive contro l’erosione potenziale che hanno prodotto lascomparsa delle zone bagnate in alcune parti delle zone interessate. Anche in questo caso,

l’evoluzione del fenomeno è sotto costante osservazione.c) Lo spessore della scogliera di pietrame a protezione del paramento di monte si è rivelato

insufficiente, in quanto la scogliera è stata danneggiata in molte zone e ha richiesto consistenti lavoridi ripristino per quelle maggiormente danneggiate.

d) Nel caso in cui si verificassero i più gravosi eventi di piena (Q100, Q1000) e di conseguenza il livellodell’acqua in corrispondenza dell’ingresso del canale di adduzione risultasse così elevato daimpedirne la chiusura, il serbatoio si riempirebbe molto rapidamente e l’acqua potrebbe tracimaredalla diga. Il livello idrico del serbatoio in caso di piena non è controllato adeguatamente.

e) In diversi pozzi piezometrici situati immediatamente a valle della diga sono stati misurati anomalivalori del livello dell’acqua (fino a 0.5 m sopra il livello del terreno) e sono state osservate piccolesorgenti. Anche in questo caso sono state intraprese misure preventive contro l’erosione e i punti più

critici sono stati opportunamente monitorati.f) Durante gli inverni più freddi sono comparse alcune fratture longitudinali sul coronamento e ilfronte del ghiaccio è penetrato fin a 0.4 m al disotto del massimo livello d’invaso. Sono state quindimesse in atto le opportune misure preventive.

g) La funzionalità del filtro drenante di valle potrebbe essere compromessa da sedimenti rugginosiprodotti dall’alto contenuto di ferro nell’acqua del serbatoio.

h) In alcune occasioni la funzionalità delle paratoie e degli sfioratori è stata impedita a causa dellapresenza di detriti (ghiaccio o torba).

i) Durante i massimi eventi di piena è possibile che i sistemi elettrici non funzionino e che la centraleidroelettrica debba essere chiusa. In questo caso non è possibile far fluire l’acqua attraverso leturbine.

Identificazione dei possibili modi di crisiSulla base degli elementi critici indicati in precedenza esistono probabilità che la diga possa andare incrisi a seguito dei seguenti eventi:

piene che possono comportare la tracimazione e l’erosione esterna; erosione interna causata dal moto di filtrazione attraverso e al disotto del nucleo della diga; riduzione della stabilità della diga a causa della disomogeneità del nucleo e del mal funzionamento

dei filtri drenanti; eventi sismici; atti di sabotaggio e atti vandalici

La penetrazione del gelo dal coronamento è stata ridotta considerevolmente innalzando il livello delcoronamento stesso e mediante interventi di isolamento termico. Per questo motivo non ci si attendonoin futuro problemi dovuti al gelo. Anche la probabilità di erosione esterna dovuta all’insufficientespessore della scogliera è considerata trascurabile in ragione delle periodiche ispezioni e dei lavori diripristino eseguiti. Delle parti in calcestruzzo si è detto, mentre il rischio di tracimazione dovuto alblocco delle paratoie o degli sfioratori è considerevolmente ridotto dalla presenza di due soglie naturaliche possono evacuare una portata superiore a quella di deflusso del serbatoio. Le ispezioni regolari edannuali diminuiscono le probabilità di crisi strutturale, in particolare di quello dovuto ai fenomeni dierosione.

Determinazione quantitativa del rischio

La probabilità degli eventi, risultante dagli alberi di evento di Figura 38 e Figura 39, sono state stimatecon il concorso di tutti i tecnici locali sulla base di criteri di confidenza soggettiva che associano

descrizioni verbali dell’incertezza a valori di probabilità secondo quanto indicato da Hoeg [1996] esull’ampia statistica disponibile sul comportamento delle dighe.



10000297


La probabilità complessiva di collasso è stata stimata sulla base dei risultati forniti dall’applicazionesistematica del metodo Bishop semplificato. La pressione interna nel nucleo è stata stimata basandosisulle misure dei piezometri collocati al suo interno. Il rapporto tra la permeabilità orizzontale e quellaverticale è stato considerato pari a 25. Si sono inoltre considerate le due possibilità che il filtro di basesia ‘funzionante’ o ‘non funzionante’. Si è assunto inoltre che, sulla base delle più recenti stime, il

livello del serbatoio non possa superare il livello di 81.75 m s.l.m.Il minore fattore di sicurezza ottenuto nel caso di filtro ‘funzionante’ è risultato F = 2.33, mentre nelcaso di filtro ‘non funzionante’ è risultato F = 1.86.La stima della probabilità di collasso è stata ottenuta analizzando la dispersione dei valori del fattore disicurezza ottenuti con diverse combinazioni di valori di coesione e di angolo di attrito.

Figura 38 - Albero degli eventi relativo all’erosione interna e per i difetti strutturali



10000297


Figura 39 - Albero degli eventi relativo al sisma, ai fenomeni di sabotaggio e ad atti vandalici

Sono state fatte diverse ipotesi circa il tipo di distribuzione di probabilità da utilizzare, optando infineper la distribuzione T, che nel caso di filtro ‘funzionante’ ha fornito un valore di probabilità pari a 5×10-

4, mentre nel caso di filtro ‘non funzionante’ ha fornito un valore pari a circa 10-5.

Valutazione del rischio

Considerando ad esempio i criteri forniti dalle linee guida ANCOLD 1994 per la valutazione del rischiosociale accettabile per le dighe esistenti, nel caso in esame la probabilità di collasso associata ad uno‘specifico evento’ non è stata stimata essere superare 10-6÷10-5, a seconda del numero di fatalità previste.Come si può dedurre dagli alberi di eventi la diga in esame soddisfa questo requisito quando il canaled’adduzione è chiuso o gli scarichi della diga sono aperti e il sistema drenante funziona correttamente.Per quanto riguarda l’erosione interna il requisito è soddisfatto solo se si eseguono attente e frequentiispezioni, mentre la probabilità di crisi dovuta ad eventi sismici, sabotaggio e atti vandalici rientra nellivello accettabile.

Nel caso si consideri il criterio di rischio ‘totale’ atteso su base annuale di perdite umane, come definitoda ANCOLD la diga di rientra nei limiti di accettabilità.Il criterio per determinare la probabilità di collasso accettabile per i rischi economici dipendenaturalmente dalle attività presenti nell’area interessata, ma, essendo ovviamente il limite accettabile piùelevato (uno o due ordini di grandezza se non vengono prodotti danni irreparabili all’ambiente) di quellaprevista nel caso di perdita di vite umane, può considerarsi soddisfatto.

8.2 Il caso di un portfolio di dighe in Australia (Bowles et al. - ICOLD)

Descrizione della Case History

Viene analizzato un portfolio dighe della compagnia “South Australian Water”. L’analisi è stata

condotta prendendo in considerazione un portfolio di 17 dighe. Come eventi avversi sono staticonsiderati la piena, il sisma e i carichi statici. Sulla base delle analisi sviluppate sono stati valutati



10000297


diversi interventi (strutturali e non) per la riduzione del rischio ed è stato implementato un piano diemergenza.

Descrizione del Portfolio dighe

Il portfolio dighe in oggetto, che assolve alla duplice funzione di garantire la regimentazione delle pienee l’approvvigionamento d’acqua, è situato nella zona di Adelaide, una zona metropolitana così popolatache un’eventuale crisi del sistema potrebbe portare a conseguenze catastrofiche.Esso è formato sia da dighe in terra che in calcestruzzo, ad arco o a gravità (Tabella 8). Tali dighecaratterizzate da diverse altezze e capacità del bacino, sono state costruite in un arco di tempo che va dal1872 al 1979.

Tabella 8 - Il sistema di dighe in Australia oggetto dell’analisi

L’analisi è stata condotta al fine di fornire una base su cui valutare il rischio connesso alla crisi di una opiù dighe del portfolio e per creare delle priorità tra gli interventi da mettere in campo. Essa è statabasata su un livello di conoscenza elevato, ottenuto a partire dalle informazioni messe a disposizionedalla “South Australian Water”.

Applicazione di criteri ingegneristici basati su standards

È stata condotta un’analisi preliminare del portfolio utilizzando un approccio basato sulla verifica distandard ingegneristici, al fine di individuare velocemente eventuali criticità del sistema. Tale fase èstata implementata sulla base di un significativo database, di visite condotte in-situ, del giudizio difigure tecniche esperte e in ragione delle considerazioni tratte sull’argomento dallo stato dell’artecorrente.



10000297


La valutazione è stata realizzata utilizzando il sistema di classificazione messo a disposizione dalloSMEC/RAC [1995] , basato su considerazioni conservative: la classificazione preliminare potrebberoessere perciò utilizzata per definire un minimo livello di rischio tollerato ( ALARP).In sostanza, le dighe del portfolio sono state classificate in base al fatto che esse rispondessero o meno acerti requisiti (approccio Pass/ no Pass) tenendo talvolta anche in conto le eventuali incertezze

(approccio Apparent Pass/Apparent no Pass).In Figura 40 sono riportate le percentuali delle dighe appartenente al portfolio oggetto di attenzione cherispondono o meno ai requisiti ingegneristici di cui sopra.

Figura 40 - Classificazione delle dighe del portfolio Australiano oggetto di studio in base alla loro rispondenza a

standard ingegneristici

Valutazione del rischio per le dighe in oggetto

Nel seguito sono sintetizzati, per ogni tipologia di evento avverso, i risultati ottenuti dalla fase di analisidel rischio, condotta secondo le metodologie descritte nei paragrafi precedenti (Figura 41):

Rischio connesso alle piene: la crisi associate a un evento di piena ha una probabilità di accadimentodel 90 % (Figura 41-a). Tale modalità di crisi è associata al 30% delle possibili perdite attese di vite

umane (Figura 41-b)



10000297


Rischio connesso al terremoto: la crisi causata da un possibile terremoto è caratterizzata da unaprobabilità di accadimento del 1%. La stessa percentuale è da considerare per l’incremento diperdite in termini di vita umana.

Rischio connesso ai carichi statici: la crisi connessa ai carichi statici ha probabilità di accadimentodel 10%. Ma ad essa è anche associata a quasi il 70% delle possibili perdite attese di vite umane

(Figura 41-b), perché in questo caso non sono previsti piani di emergenza e misure di avvertimentodella popolazione.

In Figura 41 sono indicati i costi connessi al rischio dovuto a ciascun evento avverso per quanto riguardasia il gestore, sia tutti gli attori che in qualche modo sono coinvolti da eventuali perdite dovute allaviolazione di determinati stati limite di una o più dighe del portfolio.

Figura 41 - I risultati dell’analisi del rischio de un portfolio di dighe Australiano oggetto di studio

A seguito dell’analisi descritta sopra, sono state messe in campo diverse misure di riduzione del rischioportando ad un abbassamento delle probabilità di crisi rispetto a quanto precedentemente stimato (Figura42)



10000297


Figura 42 - Riduzione delle Probabilità di crisi a seguito dell’applicazione delle misure di mitigazione

implementate

8.3 Il caso di un portfolio di dighe nel bacino dell’Eufrate (Tosun H. et al., 2007)

Descrizione della Case Hystory

Si tratta di uno studio condotto al fine di valutare, sebbene in forma semplificata e attraverso l’uso diindici di rischio, la sicurezza di un portfolio di dighe situato nel bacino dell’Eufrate tra la Turchia eL’Iraq.

Descrizione del portfolio di dighe

Il bacino dell’Eufrate, il più ampio tra i 26 bacini presenti in Turchia, è in grado annualmente diregimentare acque per circa 31.6 km3. Il fiume Eufrate, che ha come affluenti i fiumi Karasu e Murat, èil più grande fiume del bacino; con una lunghezza di 2800 km attraversa l’Iraq per poi sfociare nel golfo

Persico. La sue portate massime, a monte ed in corrispondenza con i confini della Siria, sonorispettivamente di 650 m3 /s e 950 m3 /s.Lungo lo sviluppo del fiume, sono state progettate 32 dighe (Figura 43). Di queste, al momento dellostudio, 25 erano complete e funzionanti, le restanti in costruzione.Le caratteristiche di tali dighe sono riportate in Tabella 9. Come si può osservare, la maggior parte diesse è in terra, mentre le restanti sono in calcestruzzo ad arco o a gravità. Nella stessa Tabella 9, sonoindicate le finalità per cui le dighe sono state progettate: alcune sono finalizzate alla produzione dienergia elettrica, altre all’approvvigionano acqua, altre forniscono un sistema di irrigazione, altre ancoraattuano il controllo delle piene.



10000297


Figura 43 - Le dighe appartenenti al bacino dell’Eufrate

Tabella 9 - Caratteristiche delle dighe oggetto di studio



10000297


Criticità riscontrate

Tra le dighe in terra, le più vecchie, che sono situate nella parte centrale del bacino, sono composte dascisti metamorfici e, in generale, non hanno mai dato segni di criticità in termini di infiltrazione e

stabilità del sistema di fondazione, se non per alcuni smottamenti registrati in corrispondenza diterrapieni posti lungo le coste dei fiumi.Le dighe in terra di età più recente, sono per la maggior parte formate da rocce sedimentarie, marne,argille e limi. In particolare, la presenza di questi ultimi ha dato luogo a significative perdite d’acqua peralcune strutture. Anche la presenza di rocce sedimentarie di dimensioni grossolane grosse ha dato luogoa perdite nel corpo diga a causa delle cavità tra esse comprese.

Identificazione della pericolosità

È stata condotta un’analisi di pericolosità sismica con riferimento alle aree del bacino. Tale studio èpartito con l’identificazione delle possibili sorgenti sismiche che potevano interessare ciascuna diga(Figura 44, con riferimento alle zone di pertinenza di una delle dighe studiate). Il risultato di tale studio èdato dalla suddivisione dell’intera area del bacino in 11 zone sismiche classificate in base allamagnitudo sismica misurata negli ultimi 100 anni.Per ognuna delle dighe studiate, è stata dunque riconosciuta l’appartenenza ad una delle zone sismichedi (Tabella 10). Come si può osservare, per il periodo di riferimento di 100 anni e per una dataprobabilità di accadimento dell’evento sismico, il valore stimato della PGA (accelerazione di gravità dipicco) risulta molto variabile (0.01g-0.564g): si è tenuto conto di tale variabilità nell’ambito dell’analisidi rischio.

Figura 44 - Output dell’analisi di pericolosità sismica per la diga Kigi



10000297


Tabella 10 - Classi di pericolosità per le dighe del portfolio

A valle di tale studio, l’autore non fornisce direttamente un valore stimato di rischio ma valuta un fattoreTRF (Total Risk Factor ) in base al quale classificare il portfolio dighe in analisi. Tale fattore è ottenutosecondo le definizioni fornite in Bureau [2003]: il TRF (7-1) è calcolato considerando in maniera pesatagli indici assegnati in relazione al tipo di diga, all’età, alle possibili conseguenze e alla vulnerabilità(stimata in funzione della pericolosità di cui già detto in precedenza).

TRF = CRF + HRF + ARF + DHF + PDF (7-1)

dove CRF è un indice ricollegabile alla capacità della diga, HRF alla sua altezza, ARF all’età, DHF allepossibili conseguenze a valle e PDF è un fattore che tiene conto della vulnerabilità proposto come indicedi danno predittivo.Nella Tabella 11, vengono forniti i valori dell’indice TFR per le diverse dighe oggetto di studio. Talivalori hanno permesso di creare delle priorità di intervento tra le diverse dighe del portfolio in oggetto.



10000297


Tabella 11 - Valori del Total Risk Factor per le dighe del portfolio analizzato

9 LINEE GUIDA ICOLD E ALTRI (USBR, ANCOLD, …)

L’esigenza crescente di regolamentare attraverso criteri e prescrizioni il processo di valutazione egestione della sicurezza delle dighe, ha portato negli ultimi anni a una copiosa produzione didocumentazioni e linee guida, nell’ambito sia dell’ICOLD ( International Commission of Large Dams),più in particolare nel CODS ( International Commitee on Dam Safety), sia delle commissioni nazionali

che hanno operato in tal senso sotto l’egida di questa ultima o di altri organismi.L’obiettivo delle linee guida è quello di fornire agli operatori, ai gestori e a tutti coloro che possonoessere interessati all’argomento, un approccio integrato e sistematico rispetto al tema della sicurezza.Sulla base di questo presupposto sono state sviluppate prescrizioni in grado di guidare tanto il tecniconell’implementazione di un’analisi di rischio, quanto l’ente proprietario del sistema di dighe nellagestione e nella messa in atto di misure per la mitigazione. L’utilizzo di uno strumento regolatore solidoe trasparente peraltro può contribuire ad aumentare la fiducia della comunità nella sicurezza dellastruttura e dell’ambiente in cui è insediata.Le linee guida riprendono i concetti esposti nei precedenti capitoli del presente rapporto, in termini dimetodologie e approcci. Tuttavia, i concetti chiave alla base delle linee guida sono [Bowles et al., 2009]:

la gestione della sicurezza delle dighe deve essere considerata dell’intero processo gestionale da

parte dei proprietari;



10000297


l’applicazione del concetto di sicurezza deve essere basato sui principi chiave della “Prevenzione-Controllo-Mitigazione”;

l’applicazione del concetto di sicurezza deve avere come obiettivo finale un risultato che sia il giustocompromesso (Figura 45) tra equità sociale (intesa come diritto degli individui e della società interaad essere protetti) ed efficienza economica (in termini di massimizzazione dei benefici ed

ottimizzazione dei processi e delle azioni che possono portare a questi); devono essere definite regole precise sia per gli enti e le persone responsabili (proprietari e/o

operatori), che per gli organi regolatori; devono essere stabiliti dei rapporti tra aspetti tecnici e gestionali; la sicurezza di un sistema di dighe dipende tanto da fattori prettamente ingegneristici quanto da tutti

quei fattori esterni connessi all’errore umano, sia in fase di progettazione e costruzione sia in fase dimanutenzione e sorveglianza.

Figura 45 - Definizione concettuale del livello di sicurezza [Bowles et al., 2007]

Nel seguito vengono sintetizzati brevemente i contenuti principali delle più importanti e attuali lineeguida attualmente proposte a livello internazionale. Essi possono rappresentare la base per la messa apunto di strumenti per la valutazione e la gestione del rischio delle dighe anche per quei paesi che, comel’Italia, attualmente ne sono sprovvisti.

9.1 Linee guida ICOLD-2005 (Bolletino n. 130)Il bollettino n. 130 si propone di introdurre concetti e metodi per la valutazione del rischio ponendosicome un iniziale strumento con l’obiettivo di promuovere successivi sviluppi e discussioni in vistadell’elaborazione di una metodologia di analisi. Per questo motivo non costituisce una codifica o unmanuale di ‘best practice’, ma uno strumento per sensibilizzare gli interessati a contestualizzare iconcetti di base nel proprio contesto socio-economico e culturale. Attualmente tuttavia è in corso lapreparazione di un nuovo bollettino che, partendo dal 130 e dal precedente 59 (Dam Safety, 1987),possa fornire agli operatori le indicazioni per sviluppare, rivedere e migliorare i sistemi di gestione delrischio. Lo scopo è quello di fornire degli obiettivi di base per gli stati membri dell’ICOLD il cuiconseguimento dovrebbe corrispondere al raggiungimento di un livello di sicurezza accettabile per ledighe.Il principale obiettivo di sicurezza è di fornire un soddisfacente livello di protezione alle persone, ai beni

e all’ambiente dagli effetti nocivi dovuti al cattivo funzionamento o alla crisi di una diga. Tale obiettivopuò essere raggiunto attraverso il controllo dei flussi e delle piene che possono interessare la diga e le



10000297


regioni a valle. Affinché queste operazioni di controllo non interferiscano con la normale funzionalitàdella diga, garantendo comunque il raggiungimento di un buon livello di protezione, dovranno essereadottate delle misure per perseguire i tre obiettivi fondamentali elencati di seguito:

Il controllo del rilascio a valle;

La diminuzione della probabilità di avere eventi in grado di portare ad una perdita di controllo unavolta che la capacità del bacino e delle opere di scarico viene superata; Attuare piani di emergenza e gestione degli incidenti al fine di mitigare il rischio attraverso una

diminuzione delle conseguenze.

Riguardo il livello di sicurezza minimo da offrire, si specifica in maniera molto chiara il concetto diALARP, distinguendo in maniera esplicita la differenza tra rischio tollerabile e accettabile secondoquanto già esposto nel § 7 . La tollerabilità del rischio connessa alla sicurezza e al benessere socialedovrebbe essere definita da processi politici in base al contesto sociale; qualora questo compito non siaassolto dai legislatori, esso viene demandato agli ordini professionali, agli enti regolatori e ai proprietaridelle infrastrutture.

Figura 46 - Livelli di rischio [Bowles et al., 2007]

Oltre le modalità operative attraverso le quali è possibile condurre l’analisi di rischio (alberi di eventi edi guasto, FMEA, etc) e le modalità attraverso per implementare la fase di valutazione del rischio (conistruzioni sulle modalità di presentazione dei risultati) le linee guida ICOLD si propongono di indicare le

azioni da mettere in campo per conseguire la riduzione del rischio. Tale azioni possono esseresintetizzate, in ordine di importanza, nei seguenti punti:

indirizzo di misure di mitigazione, sia a lungo che a breve periodo, al fine di riportare verso unlivello tollerabile o accettabile i fattori di rischio caratterizzati da alta probabilità. Ciò può esserefatto a partire da quelle situazioni in cui determinati Standard non vengano rispettati e/o per quellesituazioni in cui viene minacciata la salvaguardia della vita umana;

raggruppamento delle modalità di azione in fasi e gerarchizzazione tra queste delle misurecaratterizzate da un più alto livello di giustificazione;

organizzazione delle diverse misure per dighe individuali in progetti di adeguamento separabili; validazione delle misure da mettere in campo anche attraverso un confronto con analoghe misure di

mitigazione già messe in campo da altri proprietari di dighe.

Inoltre, vengono descritte le modalità con cui determinati rischi tollerabili possono essere mantenuti taliattraverso misure di sorveglianza e manutenzione da implementare anche attraverso l’uso di tecnologieavanzate.



10000297


9.2 Linee guida ANCOLD (1994, 2003)Nel 1994 l’ANCOLD ( Australian National Comimitee on Large Dams) ha pubblicato le linee guidasulla valutazione del rischio connesso alle dighe. In quel documento l’ANCOLD affrontò laproblematica di stabilire dei criteri quantitativi per la valutazione del rischio accettabile, partendo da

criteri già esistenti e accettati per la gestione del territorio e delle industrie chimiche e nucleari, partendodal presupposto che fosse meglio fornire dei criteri quantitativi codificati piuttosto che fornire vagheistruzioni sul perseguimento di un rischio accettabile.Le linee guida ANCOLD distinguono il rischio individuale e il rischio sociale.Il primo è definito come l’incremento di rischio apportato sulle singole persone dall’esistenza di unadiga, da intendersi come media tra i rischi connessi a tutte le persone esposte oppure come il rischio perla persona meno in sicurezza; tale incremento è ottenuto combinando il rischio derivante da tutti gliscenari e le modalità di crisi possibili. Il rischio individuale può essere valutato, conformemente aiprincipi dell’ALARP, considerando come estremi il limite massimo tollerabile (un rischio maggiore nonpuò essere accettato in nessuna circostanza) e l’obiettivo minimo che dovrebbe essere perseguito daiproprietari (rischi minori sono trascurabili e accettabili).Le linee guida ANCOLD del 1994 fissarono dei valori per i limiti massimi tollerabili e gli obiettivi

minimi da perseguire: Valore limite di rischio individuale medio: 1E-05 per anno Valore limite di rischio della persona più esposta: 1E-04 per anno Valore obiettivo di rischio individuale medio: 1E-06 per anno Valore obiettivo della persona più a rischio: 1E-05 per anno

Il rischio sociale tiene invece conto dell’avversione della società rispetto ai disastri che possono portaread un numero significativo di fatalità. Il principio generale di base è quello che più grande è l’aspettativadi perdite di vita in un evento di crisi della diga, più basso è il livello di accettabilità da assegnare a quelevento.Il rischio sociale si valuta sulla base del numero di vite perse e non del numero di persone coinvoltenell’evento. Inoltre dipende dall’evento che si sta analizzando e quindi deve essere valutato per ciascuno

scenario di crisi.Nelle linee guida del 1994 il rischio sociale fu espresso in termini di curve F/N dove N è il numero divite perse, e F è la probabilità di occorrenza del fenomeno di crisi. Anche in questo caso valgono iconcetti di limite tollerabile e obiettivo accettabile, rappresentati in termini di valori probabilistici nelgrafico di Figura 47.Le linee guida ANCOLD del 1994 vennero successivamente riviste al fine affinare, ammodernare eintegrare con le proposte di altri gruppi di lavoro (HSE, USBR, etc.) alcune metodologie di analisi ealcuni concetti. Per esempio si abbandonano i concetti di rischio individuale calcolato come media delrischio per tutte le persone esposte e di obiettivo sostituito da quello di limite di accettabilità. Riguardoal rischio sociale e all’applicazione del principio dell’ALARP le linee guida del 2003 ampliarono lospettro delle possibili modalità di crisi facendo anche riferimento, oltre alle già trattate crisi connesse ai

terremoti e alle piene, anche ai casi di crisi delle opere accessorie. I nuovi limiti di accettabilità per ilrischio sociale sono valutabili con la curva f/N di Figura 48, ottenuta da quella delle precedenti lineeguida (Figura 47), linearizzando la curva limite fra il rischio tollerabile e inaccettabile con una retta dipendenza -1 (sul piano logf/logN) e troncandola orizzontalmente qualora la probabilità di crisi è ugualea 1E-5/anno.



10000297


Figura 47 - Livelli di rischio sociale [ANCOLD, 1994]

Figura 48 - Nuovi livelli di rischio sociale [ANCOLD, 2003]



10000297


9.3 Linee guida USBR (2003)L’USBR (U.S. Bureau of Reclamation) è responsabile di circa 370 dighe, che costituiscono una partesignificativa delle infrastrutture per le risorse idriche della parte occidentale degli Stati Uniti. Assieme aiproprietari degli impianti, l’USBR è impegnato a fornire, con particolare attenzione all’opinione

pubblica, una protezione adeguata contro i rischi derivanti dalla raccolta e dallo stoccaggio di grandivolumi di acqua per la successiva distribuzione e/o rilascio.Le linee guida USBR del 2003 contengono:

la base e la guida di un approccio al processo decisionale basato sul rischio; le linee guida per la valutazione dei rischi associati alle dighe; le linee guida per lo sviluppo e la presentazione delle stime di rischio; le linee guida per l’interpretazione / valutazione dei risultati dei rischi; le indicazioni sulle azioni da intraprendere per affrontare il rischio di dighe.

Anche in questo caso l’obiettivo fondamentale delle linee guida consiste nel garantire, attraversol’implementazione di adeguati metodi di analisi, un livello adeguato e coerente di protezione delpubblico sia nel valutare e adeguare le dighe e le strutture esistenti, sia nella progettazione di nuovi

impianti.Le linee guida USBR propongono procedure di analisi basate sulla valutazione probabilistica della stimadella vulnerabilità della struttura e delle conseguenze, valutate in termini di perdite di vite umane. Sullabase dei risultati delle analisi di vulnerabilità, che permettono di individuare la probabilità annua dioccorrenza di determinate modalità di crisi, si valuta, attraverso la Tabella 12 la necessità diimplementare azioni per la riduzione del rischio. La Tabella 13 mostra i limiti di applicabilità dellemisure di mitigazione da adottare in funzione della valutazione delle potenziali perdite annue. Anche inquesto caso la valutazione può essere fatta attraverso delle curve f/N che permettono una semplicevalutazione dell’accettabilità del rischio (Figura 49).Viene inoltre fornito un elenco di tutte le possibili azioni di mitigazioni che possono essere messe incampo per la riduzione del rischio.

Tabella 12 – Misure di mitigazione del rischio da implementare sulla base della probabilità annua di crisi [USBR,2003]



10000297


Tabella 13 - Misure di mitigazione da implementare sulla base della stima del rischio [USBR, 2003]



10000297


Figura 49 – Caratterizzazione del rischio [USBR, 2003]

9.4 Altri documenti guidaOltre alle linee guida sintetizzate nei paragrafi precedenti esistono altri documenti che trattano il temadel rischio di un sistema di dighe sia dal punto di vista dell’analisi che della gestione. Tra tutti sisegnalano i rapporti redatti nell’ambito degli organi preposti nei vari stati americani (California Divisionof Safety of Dams, The Illinois Department of Natural Resources, Connecticut Department of Environmental Protection, etc), nell’ambito di compagnie per la distribuzione dell’elettricità (BC Hydro,etc) e nell’abito di agenzie per la protezione civile (FEMA).



10000297


10 ROADMAP PER LO SVILUPPO E L’INTRODUZIONE DELLAMETODOLOGIA IN ITALIA

10.1 Modalità di coinvolgimento degli “stakeholders” (gestori, autorità, professionisti,ecc.)

Come detto in precedenza, l’introduzione di una metodologia integrata e rigorosa per l’analisi, lavalutazione e la gestione del rischio implica un cambiamento sostanziale del paradigma tecnico eculturale alla base del concetto di ‘sicurezza’ sottostante al quadro normativo del nostro paese,storicamente caratterizzato da un’impostazione di natura ‘impositiva’, piuttosto che basata su‘raccomandazioni’, come al contrario avviene nei paesi anglosassoni, dove, non a caso, questemetodologie sono state sviluppate ed introdotte con successo da molto tempo.Ciò implica l’individuazione di un percorso il più possibile condiviso da tutti i portatori di interesse perfacilitarne lo sviluppo, la verifica e l’implementazione pratica, con l’individuazione di tutte le figureprofessionali coinvolte e delle relative responsabilità.A titolo di esempio, con riferimento agli gli eventi di natura antropica, si può osservare dalla relativa

equazione del rischio come entrano in gioco le diverse figure professionali (Figura 50). In questo caso,con riferimento al primo termine dell’equazione (PA - Hazard )gli attori principali sono le forze dipolizia, i servizi di intelligence, gli esperti di ‘security’che possono raccogliere e verificare leinformazioni sulle potenziali minacce di questa natura che possono colpire una determinatainfrastruttura. Dal secondo termine dell’equazione (PE – Vulnerabilità) sono gli ingegneri strutturisti, igeologi, gli esperti di sistemi di sorveglianza e sistemi antintrusione a giocare i ruoli principali, mentreper quanto riguarda l’ultimo termine (C – Conseguenze) sono invece gli ingegneri idraulici, i sociologi,gli economisti e gli esperti di gestione delle emergenze a giocare i ruoli principali.È quindi importante coinvolgere le relative associazioni professionali, le università e soprattutto leassociazioni di settore come ITCOLD (Comitato Nazionale Italiano per le Grandi Dighe)

Figura 50 – Equazione del rischio con indicazione degli attori coinvolti nel processo di gestione e delle loro

interrelazioni [DAMSE, 2008].

Nel seguito sono definiti i punti per un piano di sviluppo (roadmap) di una metodologia per lavalutazione del rischio, per la sua condivisione con tutti gli attori coinvolti nel processo di gestione e perla sua accettazione da parte di gestori autorità esperti:

1) Sviluppo della specifica per intraprendere l’implementazione di una metodologia di Risk Assessment



10000297


Libro bianco/Proposta Definizione dello scopo del lavoro Ricerca delle sovvenzioni e definizione dei programmi Individuazione dei partecipanti (settore pubblico e privato) Individuazione del comitato direttivo e degli esperti

2) Selezione dei programmi di sviluppo, verifica e validazione Equazione del rischio

i) Minacceii) Vulnerabilitàiii) Conseguenze

Fogli dati/Checklist/Fogli di lavoro Procedure da implementare Programmi per ciascun passo Documentazione richiesta da proprietari/gestori (stakeholder)

i) Manuale di campoii) Guida praticaiii)

Eserciziiv) Quaderno dei moduli3) Metodologia di prova in diga/siti prototipo di trasmissione (pilota)

Piani e strategia Processo di selezione Partecipanti e persone coinvolte (buy-in) Sviluppo dei protocolli di prova Piani esecutivi Pubblicazione dei risultati Protezione di dati e risultati

4) Valutazioni in campo con team di R&D e con utilizzatori/proprietari/gestori Obiettivi e risultati desiderati Ruoli e responsabilità Programmi Raccolta dati e analisi Risultati documentati Raccomandazioni per revisioni Approvazioni

5) Valutazione congiunta degli sviluppi analitici e dei dati di validazione raccolti in campo Definizione di procedure e protocolli Selezione degli analisti e revisione con gruppi di esperti Valutazione della metodologia in funzione delle necessità Definizione del processo in base ai commenti emersi in fase di revisione e alle necessità Approvazione dei gestori

6) Documentazione della procedura di analisi in manuali sito-specifici Pubblicazione i documenti richiesti (manuali, guide, istruzioni, consulenze) Autorizzazioni nazionali Concessione di informazioni e autorizzazioni

7) Sviluppo della guida pratica e organizzazione dei corsi di formazione Strategie di istruzione/formazione (università, società di professionisti, industria, governo,

consulenti Definizione della frequenza dei corsi di formazione

8) Implementazione su scala nazionale di manuali, piani, guide, linee guida, istruzioni Feedback e revisioni Frequenza di applicazione Valutazioni periodiche in sito Applicazione a tutte le pericolosità

9) Richiesta di valutazione a governi e enti privati



10000297


Principi regolatori Volontariato Data base nazionale Protezione dell’informazione

10) Organizzazione dei metodi di feedback e revisione Revisione presso organismi responsabili Approvazione del comitato direttivo

11) Valutazione delle questioni proprietarie e di controllo delle licenze Questioni di responsabilità Certificazioni Prospettiva nazionale

12) Revisioni e aggiornamenti richiesti dalle autorità italiane Raccolta di dati sul rischio

10.2 Fasi di sviluppo e piano di lavoroIl lavoro documentato nel presente rapporto costituisce la fase iniziale di un’attività volta alladefinizione di una metodologia integrata di Risk analysis applicabile alle dighe italiane che possa esserecondivisa da tutte le persone operanti nel settore e coinvolte nel processo di gestione della sicurezzadelle infrastrutture idrauliche.L’attività svolta è consistita nell’individuazione e nell’analisi critica delle metodologie di analisi e divalutazione del rischio attualmente disponibili, delle linee guida e di alcune histories significativeinternazionali.Questa fase preliminare di studio ha consentito di individuare le principali caratteristiche che dovrannoessere assicurate nel progetto e nello sviluppo della metodologia proposta:

essere matematicamente rigorosa e sistematica. Eventuali procedure semplificate, ad es. basate suindici di rischio, devono essere ampiamente giustificate e documentate;

fornire una base comune e consistente per il trattamento di dati disomogenei provenienti da fonti

diverse; garantire la ripetibilità dei risultati e la tracciabilità dei dati e delle informazioni;

essere standardizzata e basata su una terminologia di rischio condivisa da tutti i attori interessati(stakeholders);

consentire una appropriata gradualizzazione di applicazione (screening preliminari e analisiapprofondite);

tutte le assunzioni, le decisioni, i livelli di rischio accettabili e le misure di mitigazione individuatedevono essere quantificabili in termini economici;

essere ampiamente documentate e garantire la riservatezza dei dati e delle informazioni;

i risultati devono essere difendibili in caso di controversie legali; essere verificata e validata internamente ed esternamente su casi campione rappresentativi;

garantire la sua corretta applicazione con opportune procedure di controllo qualità;

essere concepite per facilitarne l’automazione;

essere concepite per facilitare aggiornamenti successivi delle valutazioni di rischio;

essere concepite per facilitare il confronto e l’eventuale integrazione con altri tipi di analisi di rischio.

Sulla base di questi fondamentali requisiti individuati, nelle future fasi di ricerca si procederà allosviluppo di una metodologia per l’esecuzione dell’analisi del rischio, che, proprio in virtù di talirequisiti, possa risultare condivisibile e immediatamente fruibile da tutti gli ingegneri e i tecnici che sioccuperanno della sicurezza delle dighe, permetta di individuare facilmente le responsabilità e di



10000297


condividere lo stato di sicurezza della struttura con tutte le persone coinvolte, compresa la popolazione avalle. Una metodologia così strutturata, affiancata ad una legislazione che possa essere in grado diintegrare gli standard di progetto, i requisiti di sicurezza, la gestione del rischio e di individuare conchiarezza le responsabilità legali costituisce la base di una procedura moderna, trasparente efficiente esocialmente accettata per i processi decisionali che concernano la sicurezza delle infrastrutture. Affinché

i requisiti richiesti possano essere attesi è necessario il coinvolgimento ottimale di tutti gli ‘stakeholders’(attraverso la procedura definita in § 10.1).

11 BIBLIOGRAFIA

Aboleata, M.; Bowles; D.S.; McClelland; D.M. (20099 “A model for estimating dam failure life loss”.In Proceedings of the Australian Committee on Large Dams Risk Workshop, Launceston, Tasmania,Australia, 2003.

Asce/Uscold (1975). “Lesson from Dam Incident”, USA, American Society of Civil Engineers, NewYork.

Augusti, G., Baratta, A., Casciati F.. (1984).“Probabilistic Methods in Structural Engineering”,

Chapman and Hall, ISBN 0412222302.

Balloffer, A., et al (1974). “ Dam Collapse Wave in a River ”, Hydraulics Journal, ASCE, Vol. 100, NoHY5 (May), Proceeding Paper 10523, pp 645-665.

Bedford, T.; Cooke, C. (2004)“Probabilistic Risk Analysis: Foundations and Methods” – 3rd edition;Cambridge University Press, 2004.

Biringer, B.E.; Matalucci (2007), R.V.; O’Connor, S.L. “Security Risk Assessment and Management:

A Professional Practice Guide for Protecting Buildings and Infrastructures”; Wiley, March 2007

Burns, N. B.; Cooper, C. A.; Dobbins, D. A.; Edwards, J. C.; Lampe, L. K. (2002) “ Security

analysis and response for water utilities”, In L. Mays (editor), Urban Water Supply Handbook (Chapter20), McGraw-Hill, New York, 2002.

Baker J.W. (2008). “An Introduction to Probabilistic Seismic Hazard Analysis (PSHA)”, White Paper,

Version 1.3, 72 pp.

Bjørgo, T. (2003) “Terrorism and sabotage against hydro-electric dams and power transmission: The

Case of Norway”, In NATO Conference on Challenges from Vulnerabilities of Modern supply, SocialSocieties – Energy Security and Fighting Corruption, Vilnius-Lithuania, 2003.

Bowles, D. S., Giuliani, F. L. , Hartford, D.N.D., Janssen, J.P.F.M., McGrath, S., Poupart, M.,Stewart, D., Zielinski, P.A., (2007) ICOLD Bulletin on Dam Safety Management . Keynote paper inProceedings of the NZSOLD/ANCOLD Workshop on “Promoting and Ensuring the Culture of DamSafety”, Queenstown, New Zealand. November.

British Standard Institution (BSI). (1991). BS5760, Part 5: 1991 “ Reliability of system equipment and

component – Guide to Failure Modes Effect and Criticaliry Analysis (FMEA and FMECA)”

Brown, C. A. and Graham, W. J. (1988) “ Assessing the threat to life from dam failure”, WaterResources Bulletin, 2(4), 6.

Bureau, G.J.,(2003). “Dams and Appurtenant Facilities in Earthquake Engineering Handbook ” In:Chenh, W.F., Scawthorn, C. (Eds.),. CRS press, Bora Raton, pp. 26.1–26.47.



10000297


Chauchan S.S., Bowles D.S. (2003). "Dam Safety Risk Assesement with Uncertainty Analysis", inProceedings of the Australian Committee on Large Dams Risk Workshop, Launceston, Tasmania,Australia. October 2003.

Chauhan, S.S., Bowles, D.S. and Anderson L.R. (2004). “ Do Current Breach Parameter Estimation

Techniques Provide Reasonable Estimates for Use in Breach Modeling?” Proceedings of Dam Safety2004, ASDSO 2004 Annual Conference, Phoenix, AZ. September 2004..

Chopra A.K., Nuss L.K., (2009). “Seismic Safety Evaluation and Upgrading of Arch Dams”, inCommision Internationale Des Grands BArrage, 2009.

Cornell, C. A., Banon, H., and Shakal, A. F. (1979). "Seismic motion and response prediction

alternatives." Earthquake Engineering & Structural Dynamics, 7(4), 295-315.

Campbell, K. W., and Bozorgnia, Y. (2008). " NGA Ground Motion Model for the Geometric Mean

Horizontal Component of PGA, PGV, PGD and 5% Damped Linear Elastic Response Spectra for

Periods Ranging from 0.01 to 10 s." Earthquake Spectra, 24(1), 139-171.

Canadian Standard Association (CSA). (1991). “ Risk Analysis Requirements and Guidelines”. Q636-91

Cooke, R.M., (1991). “Expert in Unertainty”. Oxford University Press.

Corotis, R.B., Hammel, E.M, (2007). “Multi-Attribute Aspects for Risk Assessment of Natural

Hazards”. International Forum on Engineering Decision Making. Third IFED Forum, Shoal Bay,Australia, 12-15 December 2007.

DAMSE (2008) – A European Methodology for the Security Assessment of Dams – Deliverable 3, 2008

D.M. 14-01-2008 (2008). “Norme tecniche per le costruzioni”. G.U. n.47 del 26.02.2009.

De Rham, A.F., Salmon, G.M. (1997). " Probability of Failure of a Concrete Dam under Earthquake

Loading"

Enders, W.; Sandler, T. (2005) “Distribution of Transnational Terrorism among Countries by Income

Classes and Geography after 9/11”; University of Southern California for the United States Departmentof Homeland Security (CREATE), under FEMA Grant EMW-2004-GR-0112, 2005.

Federal Energy Regulatory Commission. (1987). “ Engineering guidelines for the evaluation of

hydropower projects”, FERC 0119-1, Office of Hydropower Licensing, Washington, D.C. July. 9 p.

Fell R., Bowles D.S., Anderson L.R. (2000). "The Status of Methods for Estimation of the Probability

of failure of Dams for Use in Quantitative Risk Assessment ", International Commission On Large Dams20th Congress Beijing, China.

FEMA (Federal Emergency Management Agency) (2004). “Federal Guidelines For Dam Safety:

Hazard Potential Classification for Dams”, FEMA 333.

Fread D. L. (1984). “DAMBRK: The NWS Dam-Break Flood Forecasting Model”, HydrologicResearch Laboratory, Office of Hydrology, National Water Service, NOAA, Silver Spring, Md.

Fread, D.L. (1984). “ DAMBRK: The NWS Dam-Break Flood Forecasting Model”, National Weather

Service, National Oceanic and Atmospheric Administration, Silver Springs,Maryland.



10000297


Fread, D.L. (1993). “ NWS FLDWAV Model: The Replacement of DAMBRK for Dam-Break Flood

Prediction”, Dam Safety ’93, Proceedings of the 10th Annual

Guttemberg, B. and Richter, C.F. (1944). “Frequency of Earthquake in California”, Bulletin of theSeismological Society of America, 34(4), 185-188

Hagen V. K. (1982). “Re-evaluation of Design Flood and Dam Safety”, Paper presented at 14th. ICOLDCongress, Rio de Jainero.

Hartford Desmond N. D. (2009). “Relationship between Deterministic Safety Assesment and

Probabilistic Risk Assessments in Dam Safety Management ”, Commission Internationale Des GrandsBarrages, Vingt Troisieme Congres Des Grands Barrages. Brasilia, Mai 2009.

Hartford Desmond N. D., Baecher Gregory B. (2004). “Risk and uncertainty in dam safety”, ISBN:9780727732705. thomas telford ltd

Haimes, Yacov (1998). “ Risk Modeling Assessment, and Management”. NY: John Wiley & Sons Inc.

HSE (Health and Safety Executive). (1995). “Generic Terms and Concepts in the Assessment and

Regulation of Industrial Risks. Health and Safety Executive”, Her Majesty’s Stationery Office, London,UK.

HSE (Health and Safety Executive). (2001). “Reducing risks, protecting people: HSE’s decision

making process. Risk Assessment Policy Unit”. HSE Books, Her Majesty’s Stationery Office, London,England.

Hoeg, K,. (1996). “Performance evaluation, Safety Assessment and Risk Analysis for Dams”.International Journal of Hydropower and Dams, Issue 6.

ICOLD (International Commission on Large Dams) (1973). “Lesson from Dam Incident”. AlbridgeEdition, Boston, Massachusset.

ICOLD (International Commission on Large Dams) (1979). “Transaction of new Delhi Congress”

ICOLD (International Commission on Large Dams) (2005). “Risk Assessment in Dam Safety

Management, A Reconnaissance of Benefits, Methods and Current Application” .ICOLD-BULLETIN130.

ITCOLD (2004) - Comitato Nazionale Italiano delle Grandi Dighe “ANALISI DI RISCHIO - Ricercheapplicate in corso e possibili applicazioni delle metodologie dell’analisi di rischio alla realtà italiana (dalpunto di vista tecnico, socio-economico,...). Obiettivi perseguibili a breve, medio e lungo termine”, 2004

Jonkman, S.N.; Lentz, A. (2005) “Propositions for loss of life modelling in risk assessment (draft)”–Delft University of Technology, Holland; Technical University of Munich, Germany, 2005.

Lomnitz-Adler, J., and Lomnitz, C. (1979). "A modified form of the Gutenberg-Richter

magnitudefrequency relation." Bulletin of the Seismological Society of America, 69(4), 1209-1214.

Matalucci, R.V. “Risk Assessment Methodology for Dams”, In Proceedings of the 6 th International

Conference on Probabilistic Safety Assessment and Management (PSAM6), Vol. I, pp.169-176; USA2002.

Morgan, M. Granger and Henrion M. (1990). “Uncertainty: A guide to Dealing with Risk and Uncertainty in Quantitative Risk and Policy Analysis”. Cambridge University Press



10000297


National Research Council (1996). “Understanding Risk: Informing Decisions in a Democratic

Society”. Washington, D.C.: National Academy Pres

Sabetta, F. and Pugliese, A., (1987). “ Attenuation of peak horizontal acceleration and velocity from

Italian strong-motion records”, Bulletin of the Seismological Society of America

Schwartz, D. P., and Coppersmith, K. J. (1984). "Fault behavior and characteristic earthquakes:

Examples from the Wasatch and San Andreas fault zones." Journal of geophysical research, 89(B7),5681-5698.

Slunga E., (2001) “Concept and Bases of Risk Analysis for Dams with an example application on

Kyrkösjärvi dam”, RESCDAM, Jan. 2001

SMEC/RAC. (1995). “ Review of Headworks. Final Report, Volume 1 - Main Report. Technical

consulting report ” prepared for the Office of Water Reform, Department of Conservation and NaturalResources, Water Victoria, Victoria, Australia.

Soil Conservation Service (1979). "Simplified Dam-Breach Routine Procedure" Technical Release No.66, March.

Tierney, Kathleen, Michael Lindell and Ronald Perry (2001). “Facing the Unexpected: Disaster

Preparedness and Response in the United States”. Washington, DC: Joseph Henry Press.

Tosun, H., Zorluer, I., Orhan, A., Seyrek, E., (2007). “Seismic hazard and total risk analyses for

large dams in Euphrates basin, Turkey”. Engineering Geology 89 155–170.

Triana, E. (2007) “Contribución a la estimación de consecuencias de fallo y rotura de presas en el

contexto del análisis de riesgos”, PhD dissertation, Universidad Politécnica de Valencia, España, 2007.

U.S. Department of Interior (1982). “Guidelines for Determining Flood Flow Frequencies”, Bulletinn.17, Hydrology subcommittee, Interagency Advisory Committee on Water Data.

U.S. Army Corps of Engineers (1982). “Hydrologic Analysis of Ungaged Watershed Using HEC-1”,Training Document No 15. The Hydrologig Engineering Center, Davis, California.

U.S. Bureau of Reclamation. (1988). “Downstream Hazard Classification Guidelines”, ACER.Technical Memorandum No. 11, Assistant Commissioner – Engineering and Research, Denver,Colorado. December. 57 p

Youngs, R. R., and Coppersmith, K. J. (1985). " Implications of fault slip rates and earthquake

recurrence models to probabilistic seismic hazard analysis." Bulletin of the Seismological Society of America, 75(4), 939-964.



10000297


APPENDICE A: ACCENNI DI TEORIA DELLA PROBABILITÀ

Il presente rapporto ha messo più volte in evidenza la necessità di adottare un approccio probabilisticoper l’analisi del rischio per gli studi sulla sicurezza delle dighe. Un tale tipo di approccio infatti consentedi tenere in giusta considerazione l’importanza delle incertezze connesse ai carichi, alla risposta dellestrutture e alle conseguenze.La presente fornisce una breve panoramica dei concetti base della teoria delle probabilità.

A1. Eventi Random e probabilità

La locuzione “evento random”, dove per evento si intende l’occorrenza di uno o più valori (numerici onon) che una variabile può assumere a seguito di un input, indica in generale un evento che può esserecaratterizzato da più di un risultato.L’insieme dei possibili risultati dell’evento random è il “sample space” (denotato solitamente tramite ilsimbolo S). Ogni sottoinsieme di S, solitamente denotato attraverso la lettera E , come rappresental’evento. Sia l’insieme S che i suoi sottoinsiemi E possono essere fruttuosamente descritti attraversol’uso grafico dei diagrammi di Venn che permettono una rapida comprensione delle possibili operazioniche possono essere implementate per capire qual è la probabilità di accadimento di uno o più eventi(Figura A 1).

Figura A 1 - Diagrammi di Venn che rappresentano un “sample space” S e degli eventi Ei a questo appartenenti

L’ esempio più classico per descrivere eventi random è rappresentato dal lancio di un dado. Il sample

space è in questo caso S={1,2,3,4,5,6}. L’evento che, per esempio, il dal risultato del lancio sia unnumero dispari è il sottoinsieme E 1 = {1,3,5}. Allo stesso modo, l’evento che il numero risultante dallancio sia superiore a tre è il sottoinsieme E2 = {4,5,6}.

A.1.1 Operazioni fondamentali tra eventi

Poiché gli eventi sono descritti da insiemi le operazioni che possono essere condotte tra gli eventi sonoquelle dell’algebra degli insiemi.Le sue principali operazioni insiemistiche sono: l’unione denotata dal simbolo “∪ ”. Dati gli eventi E 1 e E 2, E 1∪ E 2 è l’evento che contiene tutti i

risultati che formano l’evento E1 o quello E2. l’intersezione tra indicata attraverso il simbolo ∩. Dati gli eventi E 1 e E 2, E 1∩ E 2 è l’evento che

contiene tutti i risultati che formano sia l’evento E 1 che E 2.Con riferimento all’esempio del lancio del dado visto in A1, si può facilmente riconoscere che:

E 1∪ E 2 = {1,3,4,5,6}

E 1∩ E 2 = {5}



10000297


A.1.2 Eventi Speciali e loro definizione

Tra gli eventi possibili ve ne sono alcuni che possono essere definiti speciali e che sono spesso usati nelcalcolo delle probabilità:

L’evento certo è un evento che contiene tutti i possibili risultati dell’insieme S. L’insieme S

stesso è un evento certo; L’evento nullo è un evento che non contiene risultati. L’evento nullo è solitamente denotato dal

simbolo Ø;

Gli eventi E 1 e E 2 vengono detti mutuamente esclusivi quando la loro intersezione è l’evento nullo. Sedue eventi sono mutuamente esclusivi, allora E 1∩ E 2 = ØGli eventi E 1 e E 2 vengono detti esaustivi quando la loro unione contiene ogni possibile risultato chel’evento random può assumere. Se n eventi sono esaustivi, allora E 1∪ E 2∪… E n = S Si definisce evento complementare di un evento E 1, denotato col simbolo

___

1 E , l’evento che contiene tutti

i possibili risultati contenuti in S che non appartengono ad E 1. E 1 ed___

1 E sono eventi mutuamenteesclusivi e al contempo esaustivi.

A.1.3 Assiomi di probabilità

Ad un evento E dello spazio campione S può essere associata la probabilità P che tale evento si verifichi.Tale probabilità è espressa da un numero reale e deve soddisfare i seguenti tre assiomi:

10 ≤≤ E P

1)( =SP

)()()( 2121 E P E P E E P +=∪ per eventi E 1 ed E 2 mutuamente esclusivi

Tali assiomi permettono di ottenerne facilmente altri derivanti dai primi:

)(1)(___

E P E P −=

0)Ø( =P

)()()()( 212121 E E P E P E P E E P ∩−+=∪

A2. Probabilità condizionate

La probabilità di un evento E 1 potrebbe dipendere dall’occorrenza di un altro evento E 2. La probabilità

condizionata P(E 1|E 2) è definita come la probabilità dell’evento E 1 posto che si sia verificato l’evento E 2. Nello specifico, calcolare la probabilità P(E 1|E 2) significa calcolare la probabilità di E 1 una voltaristretto l’insieme S a soli quei risultati che formano l’evento E 2

Dalla Figura A 2 è possibile avere un’idea del concetto sopra espresso e ricavare la seguente relazione

)(

)()|(

2

2121

E P

E E P E E P

∩= se P(E 2)>0

0)|( 21 = E E P se P(E 2)=0

Da tale equazione può così ottenersi che:

)()|()( 22121 E P E E P E E P =∩



10000297


Qualora la probabilità dell’evento E 1 risultasse indipendente da quella dell’evento E 2, allora risulterebbeche

)()|( 121 E P E E P =

I due eventi in questo caso saranno definiti come indipendenti. In questo caso:)()()( 2121 E P E P E E P =∩

Figura A 2 - Illustrazione schematica degli eventi E1 ed E2: l’area tratteggiata rappresenta l’intersezione tra i due

eventi

A3. Il teorema della probabilità totale

Si consideri un evento A e un insieme di eventi E 1, E 2, E 3,…. E n mutuamente esclusivi ed esaustivi. Peril teorema della probabilità totale:

P(A)=Σ P(A|E i)P(E i)

cioè possiamo conoscere la probabilità totale dell’evento A se conosciamo quella degli eventi E i e laprobabilità condizionata di A per ognuno di questi eventi.

A4. Il teorema di Bayes

Si consideri un evento A e un insieme di eventi E 1, E 2, E 3,…. E n mutuamente esclusivi ed esaustivi. Peril teorema di Bayes:

)()()|()|(

AP

E P E AP A EjP

j j=

L’equazione riportata sopra può essere ottenuta considerando che per quanto già visto soprasull’equazione che definisce la probabilità condizionata:

)()|()( 222 E P E AP E AP =∩

Il teorema di Bayes può assumere essere scritto in forma alternativa sulla base del teorema dellaprobabilità totale:

)()|(

)()|(

)(

)()|()|(

ii

j j j j

E P E AP

E P E AP

AP

E P E AP A EjP

¦==



10000297


L’utilità di questa equazione sta nel fatto che essa permette di calcolare la probabilità condizionata di unevento, note le probabilità condizionate nell’ordine inverso a quello che si vuole conoscere.

A5. Variabile random

Una variabile random (o aleatoria) è una variabile numerica il cui valore non può essere predetto concertezza prima dell’occorrenza dell’evento. Esempi di variabili random sono: il tempo che intercorre tradue terremoti di uguale intensità in una regione, la magnitudo di un terremoto futuro, la distanza di unterremoto futuro dal sito di interesse, l’entità di una piena che si verificherà entro un determinato tempo,etc.Si è soliti indicare una variabile random con una lettera maiuscola (ad esempio X ) ed i possibili valoriche essa può assumere attraverso lettere minuscole accompagnate da pedici ( x1, x2, x3,…. xn).La variabile aleatoria può essere sia discreta, se il numero di valori che essa può assumere è numerabile,che continua, nel caso contrario.Nel caso di variabile discreta, le probabilità con cui i diversi valori della variabile random si possono

verificare sono descritte dalla funzione di massa di probabilità (PMF ) definita come p(x)=P(X=x)

da funzione cui si può ottenere la funzione di distribuzione cumulata (CDF) che rappresenta leprobabilità che la variabile random assuma valori inferiori ad un dato valore:

F X (x)=P(X<x)

La relazione che intercorre tra la PMF e la CDF è:

F X (a)=P(X<a)= )(¦<a x

i X

i

x p

In Figura A 3 sono riportati esempi di distribuzioni sia PMF che CDF per una variabile random.Nota la probabilità che la variabile F X (a) possa assumere valori inferiori di un certo limite a, saràpossibile trovare qual è la probabilità che quella variabile assuma valori superiori a quello stesso limite

P(X>a)=1− P(X>a)

Figura A 3 - Esempi di PMF (a sinistra) e CDF (a destra) [Baker, 2008]

Nel caso di variabile continua, la variabile aleatoria può assumere un qualunque valore appartenenteall’insieme dei numeri reali. Dato che i numeri di tale insieme sono infiniti, la possibilità che una data

variabile random assuma un determinato valore è nulla. Per stabilire la probabilità che la variabile



10000297


assuma valori in un determinato intorno può essere introdotta la funzione di densità di probabilità(PDF ):

f(x)dx=P(x<X<x+dx)

Un’illustrazione di una tipica PDF è fornita in Figura A 4

Figura A 4 - Esempio di PDF [Baker, 2008]

In questo caso, la CDF assume forma integrale:

F X (a)=P(X<a)= ³ ∞−

a

X duu f )(

Esistono diverse leggi di PDF (quindi CDF ) che descrivono fenomeni fisici di tipo aleatorio. Tra questesi segnala la distribuzione normale (detta anche Gaussiana) molto utilizzata nel campo dell’ingegneria.

A6. Momenti

Nonostante una variabile random sia completamente definita dalle PMF o PDF , a seconda che essa siadiscreta o continua, talvolta può essere conveniente dare una sua descrizione attraverso delle misure,dette momenti, che descrivano le proprietà generali della distribuzione stessa. Queste vengono elencatedi seguito:

Media:

¦= )( i X i X x p x µ per variabili discrete

³ = dx x xf X X )( µ per variabili continue

Varianza:

¦ −= )()( 22i X X i x p x µ σ per variabili discrete

³ −= dx x f x X X )()( 22

µ σ per variabili continue

Deviazione standard:



10000297


¦ −= )()( 2i X X i x p x µ σ per variabili discrete

³ −= dx x f x X X )()( 2 µ σ per variabili continue



10000297


APPENDICE B: GLOSSARIO

• Accettazione del Rischio: Decisione, fondata sull’informazione, di accettare un rischio.

• Affidabilità: Probabilità che un dato componente abbia una “performance” positiva. Può esseremisurata su base annuale o su specifici periodi temporali o, per esempio nel caso degli organi di scaricodi una diga, su una specifica base temporale richiesta. Dal punto di vista matematico, Affidabilità = (1 –Probabilità di collasso).

• ALARP (As Low As Reasonably Practicable): Principio secondo il quale rischi, inferiori al limite ditollerabilità, sono tollerabili solo se la riduzione del rischio non è in concreto fattibile o se i suoi costisono sproporzionati rispetto ai miglioramenti conseguibili.

• Analisi ad Albero degli Eventi: Processo di analisi induttiva basato su un grafico ad albero cheillustra la sequenza logica di accadimento di eventi che conseguono ad un evento iniziatore.

• Analisi ad Albero dei Guasti: Metodo ingegneristico per rappresentare la combinazione logica di varistati del sistema e delle possibili cause che possono contribuire ad uno specifico evento.

• Analisi di Rischio: Essa si articola generalmente nelle seguenti fasi: definizione dello scopo,identificazione dei pericoli, stima del rischio. Essa comprende la disaggregazione o scomposizione delsistema “diga” e delle sorgenti di pericolo nei loro componenti fondamentali

• Analisi di rottura delle dighe: Analisi che fornisce una stima degli effetti derivanti dal collasso di unadiga. L’analisi include valutazioni sui meccanismi di rottura, sulla propagazione dell’idrogramma dipiena a valle della diga, sulle aree potenzialmente inondabili.

• Analisi di sensitività: Analisi per determinare l’influenza della variazione di un parametro di output,in funzione della variazione unitaria di uno o più parametri di input. La sensitività può esserevisualizzata come la pendenza della curva che rappresenta il parametro di output.

• Approccio Tradizionale: Approccio tradizionale nell’ingegneria delle dighe, nel quale il rischio ètenuto sotto adeguato controllo seguendo regole stabilite, per quanto riguarda i carichi e gli eventi diprogetto, la resistenza, i coefficienti di sicurezza, i provvedimenti e gli accorgimenti di progetto.

• Area interessate dal collasso diga: Area nella quale le variazioni di profondità o velocità dell’acquadovute al collasso diga sono tali da rendere possibili perdite di vite o danni alle cose e all’ambiente.

• Conseguenze: Il risultato del realizzarsi di un rischio. Effetti sulle aree (a valle, ma non solo),

conseguenti al collasso della diga o di sue opere accessorie.• Conseguenze Incrementali: Perdite o danni conseguenti al collasso diga, aggiuntive a quelle che sisarebbero comunque potute avere per lo stesso evento naturale in assenza del collasso diga.

• Controllo del Rischio: Attuazione delle azioni per tenere il rischio sotto controllo e periodica verificadell’efficacia di tali azioni

• Curve di “fragility”: Una funzione che definisce la probabilità di collasso in funzione di undeterminato livello di carico applicato.

• Decisore: Persona o unità organizzativa responsabile della decisione in merito allo sviluppo di azioni

in relazione alla sicurezza di una diga, sulla base di un insieme di considerazioni che possonocomprendere una valutazione di rischio .



10000297


• Effetti: Nel contesto della “Failure Modes Analysis”, identifica le conseguenze sul funzionamento diun sistema del guasto di un qualche elemento all’interno del sistema stesso.

• Fattore Umano: Fattori ambientali, organizzativi e di lavoro, nonché caratteristiche personaliindividuali, che possono determinare comportamenti in grado di influire sulla sicurezza

• Frequenza: Una misura della probabilità espressa come numero di volte in cui un evento si verifica inun dato intervallo di tempo o in un dato numero di prove.

• Funzione di densità di probabilità: Una funzione che descrive la probabilità relativa che unavariabile aleatoria possa assumere un valore particolare piuttosto che altri valori.

• Gestione del Rischio: La sistematica applicazione delle politiche, procedure e pratiche al fine diidentificare, valutare mitigare e controllare il rischio.

• Incertezza: Termine adottato per descrivere situazioni senza certezze, descritte o meno dadistribuzioni di probabilità. Nel contesto sicurezza dighe, il termine incertezza può essere attribuito a (i)variabilità intrinseca nelle proprietà naturali e negli eventi, (ii) conoscenza incompleta dei parametri edelle relazioni tra valori di input e output.

• Limite: In associazione a livelli rischio, il livello di rischio che se superato diventa inaccettabile e nonpuò essere giustificato (salvo che in circostanze straordinarie, tipicamente individuate come talidall’autorità nell’interesse più ampio della società).

• Meccanismo di rottura: Meccanismo descritto da stati e processi fisici che devono verificarsi inaccordo con leggi naturali per descrivere la progressione della rottura dal suo innesco (causa) fino al suoesito ultimo.

• Mitigazione del Rischio: Selettiva applicazione di appropriate tecniche e princìpi di gestione perridurre la probabilità di occorrenza e/o le sue conseguenze.

• Modo di rottura: Modalità in cui può manifestarsi la rottura, inteso come individuazione della rotturadi quell’elemento o componente che determina la perdita parziale o totale di funzionalità del sistema.

• Modo di rottura e analisi delle conseguenze (FMEA) : Un metodo di analisi induttiva in cui siindividuano particolari eventi avversi (o condizioni scatenanti) e si analizzano le relative ripercussionisull’intero sistema. In una FMEA, ciascun modo di rottura identificato è classificato secondo lacombinazione della sua probabilità di accadimento e della severità delle conseguenze.

• Perdita: Qualunque conseguenza negativa, economica o di altro tipo.

• Pericolo: Condizione, che può derivare da un evento esterno (sisma, piena) o da una vulnerabilitàinterna, potenzialmente in grado di avviare un processo di collasso. Fonte di potenziale danno osituazione da cui può derivare danno

• Piano di Emergenza: Documento che contiene le procedure per la gestione di varie emergenze, e checomprende le rubriche delle persone/enti cui inviare le comunicazioni e le mappe delle aree a rischio diinondazione a seguito di collasso della diga o delle opere accessorie.

• Popolazione da evacuare: Persone che se non evacuate sarebbero esposte all’onda di pienaconseguente al collasso diga.

• “Portfolio” di valutazione del rischio: Una forma particolare di valutazione o analisi del rischio il cuiscopo è quello di operare una stima di tipo comparativo dei rischi per tutte (o molte) le dighe di unsingolo proprietario, o di una specifica organizzazione di controllo o giurisdizionale (regioni?). Un



10000297


simile approccio può essere applicato per confrontare i rischi associati a vari elementi e modi di rotturadi una specifica diga. Gli studi possono essere limitati alla fase di analisi del rischio (stima del rischio)ma solitamente implicano almeno una valutazione preliminare del rischio tollerabile e unaidentificazione preliminare delle misure da adottare per la riduzione del rischio stesso, in termini didefinizione di una base iniziale per pianificare studi di maggiore dettaglio.

• Probabilità: Misura quantitativa, di valore compreso tra zero (impossibilità) ed uno (certezza), delgrado di confidenza di una previsione, della possibilità di accadimento di un evento futuro incerto.

• Probabilità condizionata: La probabilità di accadimento di una conseguenza, dato il verificarsi di unevento. Per esempio, assunto che una piena abbia raggiunto il coronamento di una diga di materialisciolti, la probabilità di collasso della diga costituisce una probabilità condizionata.

• Probabilità congiunta: La probabilità che due o più variabili assumano determinati valorisimultaneamente o in particolari intervalli temporali.

• Problema di zero-infinito: Problema dell’analisi di rischio in cui il Valore Atteso risulta inadatto amisurare la contrarietà sociale verso eventi caratterizzati da bassa probabilità-forti conseguenze.

• Processo decisionale: Processo, strutturato o meno, associato al raggiungimento di una decisione.Esso può comprendere interazioni tra il decisore e i responsabili della valutazione di rischio, in modo daconseguire reciproca chiarezza sul contesto della decisione e per armonizzare le esigenze e preferenzedel decisore nella presentazione dei risultati della valutazione di rischio.

• Raccomandazioni per la decisione: Indicazioni sulle azioni suggerite, date al decisore dairesponsabili della valutazione di rischio, basate sui fattori che ricadono all’interno dell’area dicompetenza e responsabilità del gruppo incaricato della valutazione.

• Rischio: Misura della probabilità e severità di un evento pericoloso per le vite, la salute, le proprietà,l’ambiente. Esso è valutato come prodotto della probabilità di accadimento e delle associateconseguenze, tenendo conto di tutti gli scenari possibili.

• Rischio Accettabile: Rischio che, per esigenze di vita o di lavoro, tutti quelli coinvolti sono disponibiliad accettare, senza richiesta di modifica dei meccanismi di controllo del rischio stesso. Rischio cheviene percepito come insignificante e adeguatamente sotto controllo (nota : si pensi ad esempio alrischio dei viaggi in auto che causano 8000 morti all’anno in Italia; la gente comune non percepisce finoin fondo il livello di rischio cui è esposta e va a prendere le sigarette in auto) . Azioni per un’ulterioreriduzione di questo rischio non sono solitamente richieste, a meno che siano individuabili misureragionevolmente attuabili a basso costo (in termini economici, di tempo, di sforzi/impegno).

• Rischio individuale: Il rischio aggiuntivo imposto ad un particolare individuo dall’esistenza di una“facility“ (elemento/componente/struttura) che comporta rischio. Questo incremento di rischio èaggiuntivo al rischio di base che una persona affronterebbe se la “facility” non esistesse o, nel caso delledighe, se la diga non collassasse.

• Rischio involontario: Un rischio imposto alla popolazione da un organismo di controllo e non assuntoin base ad una libera scelta dalle persone a rischio.

• Rischio Misurabile: Nell’analisi di rischio indica normalmente le conseguenze che sono misurabili intermini economici.

• Rischio Tangibile: Rischio che, se realizzato, produce conseguenze visibili e in qualche modo

quantificabili. La distruzione di abitazioni è un rischio tangibile, il dolore e i traumi non sono rischitangibili.



10000297


• Rischio Tollerabile: Un rischio che la società può accettare per assicurarsi certi benefici. Non èconsiderato trascurabile o qualcosa che si può ignorare, bensì qualcosa da tenere sotto esame e, se equando possibile, da ridurre ulteriormente.

• Rischio volontario: Un rischio che una persona affronta volontariamente per ottenere dei benefici.

• Rottura di una diga: In generale, l’incapacità di una diga, o parte di essa, di funzionare come atteso.Ovvero, in termini di prestazioni per soddisfare le funzioni richieste, l’incapacità della diga di soddisfarefunzioni come approvvigionamento idrico, ecc. Nel contesto della sicurezza delle dighe, il terminerottura è generalmente limitato agli aspetti dell’integrità strutturale e, in taluni contesti, al rilascioincontrollato del contenuto del serbatoio per collasso della diga o di parte di essa.

• Scenario: Una specifica combinazione delle circostanze di interesse in una valutazione di rischio. Cipossono pertanto essere Scenari di carico, Scenari di rottura, Scenari per le situazioni a valle diga.

• Simulazione Monte Carlo: Una procedura che cerca di simulare processi stocastici attraverso unaselezione aleatoria di valori proporzionali alla funzione di densità di probabilità congiunta.

• Sistema di Allerta Piena: Sistema che definisce il livello di piena al quale è associata unasegnalazione di allerta, i mezzi fisici con cui l’allerta viene diramato, le persone alle quali vienetrasmesso ed include tutti gli apparati necessari per rilevare le condizioni di piena (es rilievo del livellod’acqua).

• Tempo di Allerta: tempo intercorrente tra la segnalazione dell’allerta alla popolazione da evacuare e ilmomento di arrivo dell’onda di piena

• Valore atteso: La media o la tendenza centrale di una variabile aleatoria. Con riferimento all’analisi dirischio, il prodotto della probabilità di un evento e delle sue conseguenze, aggregate per tutti i possibilivalori che la variabile stessa può assumere.

• Valutazione di Rischio: Processo che porta alle Raccomandazioni per la Decisione, che indicano se ilrischio è tollerabile e se le misure di controllo del rischio sono adeguate o, in caso contrario, quali azioniper la riduzione del rischio sono giustificate

• Valutazione di rischio quantitativa: Valutazione di rischio basata su quantificazioni numeriche dellepotenziali conseguenze e della probabilità che queste possano accadere.

• Valutazione di rischio qualitativa: Valutazione di rischio derivata da un’analisi qualitativa (analisiche utilizza forme descrittive, o scale numeriche di gradazione, per definire l’entità delle potenzialiconseguenze e la probabilità che queste possano accadere).

• Variabile aleatoria: Una quantità, il cui valore assoluto non è esattamente determinato, ma che puòassumere qualunque valore descritto dalla sua distribuzione di probabilità.

8bc7d2dc-23d3-416f-a668-e2cb6c5496a4_Rapporto

Documents

Transcript of 8bc7d2dc-23d3-416f-a668-e2cb6c5496a4_Rapporto