SAFAP 2012, Napoli 14-15 giugno ISBN 978-88-7484-230-8

IMPORTANZA DEI DATI AFFIDABILISTICI PER LE ANALISI DI RISCHIO: PROGETTO “FAIL”

P.A.Bragatto*, C. Delle Site**, A. Faragnoli*** *INAIL, Settore Ricerca Certificazione Verifica DIPIA ex Ispesl Monteporzio (RM)

** INAIL, Settore Ricerca Certificazione Verifica DCC ex Ispesl Roma *** C-Engineering Roma

Sommario Negli stabilimenti a rischio di incidente rilevante i ratei di guasto per le attrezzature in pressione, come per gli altri componenti d’impianto, hanno un ruolo molto importante ai fine della valutazione della probabilità d’accadimento degli eventi incidentali, sulla quale si basano poi le successive decisioni delle autorità competenti in materia di autorizzazioni di nuovi impianti e di compatibilità con l’uso del suolo. I ratei di guasto attualmente in uso si basano su studi sistematici condotti ancora negli anni sessanta e settanta. Per rispondere alla necessità di disporre di ratei di guasto credibili ed aggiornati occorre pensare ad una iniziativa nazionale coordinata (Progetto FAIL) con iniziative analoghe che vengono proposte in altri paesi europei. In questo modo sarà più facile arrivare a decisioni condivise in materia di pianificazione territoriale ed attività industriali a rischio di incidente rilevante. Introduzione

1.1 La prassi dell’analisi del rischio per gli stabilimenti Seveso

L’articolo 8 del D.Lgs. 334/99 per il controllo del pericolo di incidente rilevante richiede ai gestori degli stabilimenti interessati di predisporre ad inizio attività ed ogni cinque anni un rapporto di sicurezza che sarà poi oggetto di valutazione da parte del Comitato Tecnico Regionale (CTR), cui partecipano ARPA, VVF ed INAIL (ex-ISPESL). Dalla valutazione del CTR discenderanno decisioni importanti, fra le quali anche la prescrizione di modifiche impiantistiche. Nucleo del rapporto di sicurezza è l’analisi del rischio. Questa viene svolta dal gestore, o meglio dai consulenti specialistici ai quali quasi tutti i gestori si affidano, secondo una prassi consolidata, condivisa con le autorità competenti ed in particolare con i CTR. Considerata l’importanza delle decisioni che discendono dalla valutazione dell’analisi del rischio è importante capire prima di tutto quale sia la prassi seguita. Nella prassi consolidata degli stabilimenti Seveso l’analisi del rischio si articola principalmente in quattro fasi:

identificazione delle unità d’impianto critiche con il metodo a indici MOND/ISPESL o equivalenti metodi qualitativi, basata comunque su dati oggettivi elementari;

Per ogni unità critica, individuazione dei TOP-EVENT (eventi incidentali con possibili conseguenze rilevanti) con il metodo HAZOP, basato sulla conoscenza dei processi fisici e chimici che avvengono nell’impianto;

Per ogni TOP-EVENT, calcolo della probabilità di rilascio di sostanza pericolosa con l’analisi dell’ albero dei guasti (FTA, Fault Tree Analysis) basata sulla probabilità di non funzionamento dei singoli componenti del sistema (siano essi, meccanici, idraulici, elettrici, elettronici, o umani). In combinazione si usa anche l’albero degli eventi (ETA Event tree analysis) che considera l’affidabilità dei sistemi tecnici ed organizzativi che intervengono dopo il rilascio e possono mitigare le conseguenze.

Per ogni evento credibile (probabilità 10-6) calcolo, in funzione della tipologia specifica di pericolo (incendio, esplosione, tossico) e delle condizioni meteo, delle aree di danno, discriminando le aree di elevata letalità, inizio letalità, danni irreversibili alle persone, danni reversibili alle persone, danni alle cose e possibili

SAFAP 2012, Napoli 14-15 giugno ISBN 978-88-7484-230-8

effetti domino. I calcoli sono basati sulla conoscenza dei meccanismi fisici e chimici dei fenomeni interessati (dispersione, diffusione, innesco, combustione, propagazione, cambio di stato, ecc.)

Si discriminano ulteriormente scenari con conseguenze all’esterno da quelli con conseguenze solo all’interno del recinto di stabilimento. Sulla definizione delle aree di potenziale danno si basano:

l’approvazione di nuovi impianti e le modifiche impiantistiche, la pianificazione delle emergenze, dentro e furori dallo stabilimento (incluse risorse,

formazione ecc.), le decisioni in materia di pianificazione territoriale nelle vicinanze degli insediamenti

produttivi.

1.2 Criticità delle frequenze di guasto nei percorsi decisionali

Va notato che in Italia i criteri di compatibilità territoriale si basano principalmente sulla gravità delle possibili “conseguenze”, in base al DM 21 maggio 2001. Infatti, vengono considerate le diverse aree di danno (Elevata letalità/inizio letalità, danni irreversibili/reversibili all’uomo, danni alle cose/effetto Domino) ed il livello di vulnerabilità del territorio che ricade all’interno di tali aree. Sono considerate compatibili aree di danno esterne allo stabilimento solo se le caratteristiche di vulnerabilità sono tali da escludere conseguenze gravi. La probabilità entra indirettamente come filtro per gli scenari. In altri paesi, quali l’Olanda si usa il metodo delle curve FN (curve che mettono in relazione la probabilità con il numero di vittime) che ovviamente tiene in ancora maggior conto i termini probabilistici [1]. Questo metodo è stato applicato occasionalmente anche in Italia per indirizzare la scelta di risanamento di aree a rischio, ma non è utilizzabile per decisioni di compatibilità o pianificazione di emergenza. Il percorso che porta a costruire gli scenari ai punti i, ii e iv è basato su evidenze (valutazioni oggettive), su quantitativi e caratteristiche fisiche e chimiche delle sostanze misurabili e su comportamenti, in caso di rilascio accidentale, riproducibili a scala di laboratorio. Fa eccezione il punto iii, dove tutta la valutazione si basa su modi e frequenze di guasto, desunti dalla letteratura scientifica, da database di pubblico dominio consolidati e da database proprietari gestiti dai grandi gruppi multinazionali. Da un punto di vista scientifico ricorrere a frequenze di guasto condivise è comunque una forzatura. I guasti alle attrezzature dipendono solo in parte dalla tipologia di attrezzatura e dalle caratteristiche intrinseche, infatti, intervengono altri fattori quali le condizioni di esercizio (pressione, temperatura, caratteristiche del fluido di processo, ecc.), la frequenza delle fermate e dei riavvii, le politiche di manutenzione, le condizioni ambientali (inquinamento, clima avverso, circolazione di veicoli all’interno dello stabilimento, ecc.). Per semplicità si preferisce, tuttavia, adottare un rateo convenzionale, che permette una certa standardizzazione degli studi e quindi di una più facile condivisione del risultato. L’approccio adottato nella pratica è un metodo particolarmente semplificato, che permette però un accettabile compromesso tra l’esigenza di rigore è la necessità di evitare soluzioni onerose anche in termini di risorse. Va comunque ricordato che comunque l’uso di ratei di guasto nell’analisi di rischio non ha senso in caso di condizioni inusuali o estreme. Inoltre, è indispensabile assicurarsi dell’autorevolezza della fonte utilizzata, in mancanza della quale tutta la costruzione logica viene a cadere. Lo sviluppo completo degli alberi di guasto è poi considerata un’attività complessa e vi è una generale tendenza alla semplificazione. Sulla base dell’esperienza di valutatori dei rapporti di sicurezza bisogna poi osservare che l’analista di rischio si concentra tipicamente su alcune successione di guasti, privilegiando le combinazioni di

SAFAP 2012, Napoli 14-15 giugno ISBN 978-88-7484-230-8

tipo AND rispetto alle combinazioni di tipo OR, senz’altro più difficili da un punto di vista logico. Come noto la combinazione OR richiede la somma mentre la combinazione AND richiede il prodotto delle frequenze di guasto. Attraverso la moltiplicazione un eventuale errore al ribasso si ripercuote immediatamente sulla frequenza dell’evento. In funzione dunque dei ratei di guasto utilizzati si può avere che la probabilità di certo evento può risultare inferiore al “fatidico” 10-6 con conseguente eliminazione degli scenari in quanto “poco credibili”. La scelta di un solo rateo di guasto può influire in modo significativo sull’inclusione o meno degli scenari più gravi nella lista degli scenari credibili. Includendo o escludendo scenari con aree di impatto più esteso di uno stabilimento si possono quindi indirizzare, in modo diverso, scelte importanti, sia da parte delle autorità competenti per l’applicazione della specifica normativa Seveso (Comitati Tecnici Regionali) che per le autorità locali in carico della pianificazione territoriale che dell’emergenza. Si capisce dunque che la questione è critica per le autorità competenti che hanno poco strumenti per verificare i dati di affidabilità. Fare riferimento a dati particolarmente consolidati può portare ad escludere dal computo i benefici delle innovazioni recenti con conclusioni eccessivamente cautelative, al contrario basandosi su estrapolazioni arbitrarie e dati poco consolidati, si può arrivare ad escludere eventi catastrofici, dando il via a decisioni poco prudenti. La situazione specifica italiana, in particolare, presenta molte aree industriali fortemente congestionate e letteralmente assediate dall’espansione prepotente di aree commerciali e residenziali. Con troppa facilità in passato i comuni hanno permesso costruzioni nell’immediata vicinanza di impianti Seveso, creando problemi di compatibilità. Il citato decreto del 2001 fu emanato proprio per porre fine a questo fenomeno. In questo, il nostro Paese fu all’avanguardia rispetto agli altri paesi europei, stabilendo dei criteri ben chiari. In quell’occasione il legislatore preferì basare tutto su gravità delle conseguenze ed elementi di vulnerabilità del territorio, immaginando che un approccio probabilistico sarebbe stato più difficile da gestire, anche per la mancanza di dati nazionali condivisi. Pur ben basato, l’approccio del Decreto 2001, ha nella mancanza di riferimenti nazionali per i ratei di guasto un vero “tallone di Achille”.

1.3 Frequenza di guasto delle attrezzature in pressione

La problematica dei ratei di guasto è abbastanza vasta perché investe tre tipi di problemi distinti: I guasti alle attrezzature di tipo “meccanico” destinata al contenimento ed alla lavorazione ed al trasferimento dei fluidi; I guasti alla strumentazione di tipo elettronico destinata alla misura e al controllo, gli errori umani. I tre aspetti sono soggetti a dinamiche differenti per cui è bene separare la trattazione. La presente trattazione si riferisce solo ai guasti meccanici, ed in particolare ai guasti sulle attrezzature in pressione, che rivestono particolare criticità negli impianti di processo. Negli anni settanta venne fatto uno sforzo enorme per mettere a disposizione degli ingegneri un insieme veramente credibile di dati di affidabilità degli apparecchi in pressione, connessi alla crescita, allora molto importante, dell’industria nucleare. La base di apparecchi registrati (8 milioni nel 1971 12 milioni nel 1979) ed il lungo periodo di osservazione, circa dieci anni, diedero la possibilità di rendere disponibili dati che costituiscono ancora il maggior riferimento del settore. Analoghe statistiche sistematiche vennero condotto in altri paesi di grande tradizione industriale quali Regno Unito e Germania, più o meno nella stessa epoca [2-3]. Nei decenni successivi non sono mancate indagini in vari Paesi finalizzate di solito a rendere più precisa la valutazione probabilistica del rischio nei tre settori dove questa è più critica, cioè il nucleare, l’offshore ed il chimico. All’inizio degli anni 80 con i due “storici” studi delle aree industriali di Canvey Island (UK) [4] e di Rijmond (NL)[5] i ratei di guasto sono diventati parte integrante dei processi di decisione sull’uso del suolo, essendo possibile collegarli alla probabilità d’impatto sul

SAFAP 2012, Napoli 14-15 giugno ISBN 978-88-7484-230-8

territorio dei possibili eventi incidentali. I ratei utilizzati sono stati i primi riferimenti utilizzati a lungo per le politiche di compatibilità delle attività industriali a rischio di incidente rilevante. La necessità di adeguare i parametri affidabilistici tenendo conto di tutti i fattori che hanno contribuito dai lontani anni a cambiare completamente i termini del problema (nuovi materiali, nuovi processi, nuovi prodotti, sistemi di qualità ecc.) è ormai riconosciuta. A fine degli anni 90 sono intervenuti due aspetti che cambiano completamente il settore: la gestione della qualità, che è stata completamente rivoluzionata dall’approccio ISO 9000, e la gestione della certificazione che è stata completamente rivoluzionata dalla PED. Inoltre a partire proprio dagli anni settanta sono stati introdotti nuovi materiali, le cui caratteristiche di invecchiamento sono note solo in base a scarsi studi di laboratorio, senza che vi sia stata un’indagine adeguata nella reale esperienza di esercizio. In pratica si riconosce la necessità di avere dei riferimenti certi per le frequenze di guasto, condivisi da aziende e da autorità competenti. Solo in questo modo si potranno avere decisioni equanimi in merito all’approvazione di impianti di processo, alla prescrizione sistemi di protezione, alla pianificazione del territorio ed alla gestione delle emergenze.

2.Obbiettivi Il presente lavoro si pone tre obbiettivi:

1. definire una fonte condivisa, autorevole ed aggiornata per i ratei di guasto delle attrezzature in pressione, alla quale possano fare affidamento fin da subito imprese, consulenti, utilizzatori, autorità ed enti di controllo;

2. indicare le modalità di utilizzo dei dati di guasto nella stesura dei rapporti di sicurezza;

3. definire un percorso per organizzare una raccolta sistematica dei dati sui guasti delle attrezzature, in modo da disporre in futuro di un riferimento nazionale, basato sui dati reali raccolti dalle attrezzature in esercizio.

L’attenzione della presente ricerca è sulle attrezzature ed, in particolare, sulle attrezzature in pressione, poiché è più facile ottenere i dati, essendo tutto il loro ciclo di vita seguito da attività di certificazione, manutenzione, ispezione e verifica.

3. Metodi Per giungere agli obiettivi indicati si è svolta una dettagliata rassegna delle fonti di dati disponibili, dai dati storici a quelli ufficiali, ponendo a confronto i valori ed individuandone i limiti. Sulla base del confronto si è poi proceduto ad esaminare le possibili modalità di raccolta delle informazioni, considerando i vincoli contingenti imposti dalla realtà nazionale.

3.1 Come si ricavano i ratei di guasto

Idealmente la stima della probabilità di guasto dovrebbe partire da un’attenta e sistematica analisi dei fattori che potrebbero causare un guasto in quelle particolar circostanze. Ad esempio se si considerasse un’attrezzatura in pressione per determinare la probabilità di un suo guasto si dovrebbero considerare condizioni di esercizio (pressione, temperatura, numero di fermate), le caratteristiche del fluido (corrosivo, penetrante), le condizioni ambientali esterne (inquinamento, meteorologia) nonché caratteristiche costruttive (materiali, controlli qualità) ed interventi manutentivi che potrebbero essere ulteriori cause di guasto. In linea di principio andrebbe considerato separatamente ogni possibile meccanismo di danneggiamento dell’attrezzatura, valutando la probabilità che esso porti ad un guasto in un certo intervallo di tempo. Le probabilità combinate darebbero la probabilità di guasto dell’apparecchio. Raccogliere i dati adeguati ad uno studio del genere richiederebbe uno sforzo eccessivo rispetto allo scopo. In mancanza di dati adeguati tutte le valutazioni di probabilità diventerebbero aleatorie. Ai fini decisionali piuttosto che

SAFAP 2012, Napoli 14-15 giugno ISBN 978-88-7484-230-8

calcolare la probabilità di guasto relativamente al contesto specifico si preferisce fare riferimento a dati globali, riferiti ad una popolazione sufficientemente vasta di attrezzature osservata per un periodo di tempo adeguato. La definizione operativa di rateo di guasto “FR” (Failure Rate) è la seguente:

Dove Nf(t) = numero di guasti per unità di tempo Ne(t) = numero di attrezzature osservata per unità di tempo (ore). L’osservazione viene condotta lungo un arco di tempo “t0-t1“ su una popolazione di attrezzature nota. La combinazione della durata del periodo di osservazione e del numero di attrezzature considerate dovrà essere assicurare una significatività adeguata al risultato. Ovviamente con una popolazione meno numerosa l’osservazione dovrà prolungarsi nel tempo e sarà più difficile che il numero di apparecchi si mantenga costante. In termini più pratici l’equazione (1) può essere semplificata nel modo seguente:

Dove,

Nf - = numero totale di guasti rilevati nel periodo di osservazione (to-t1),

Ne - = numero medio della popolazione di attrezzature di riferimento nel medesimo periodo. Il problema di ottenere ratei di guasto si scompone così in due problemi: disporre di una popolazione di attrezzature ben definita e disporre del numero di guasti relativi a tale popolazione. Ovviamente il metodo più lineare è quello di individuare una popolazione campione significativa ed osservarla per un periodo di tempo sufficientemente lungo. Sull’incertezza del “rateo di guasto” influisce sia l’incertezza con cui sono registrati guasti, quella con cui è nota la consistenza numerica della popolazione nel tempo di osservazione. I guasti vengono registrati quando producono conseguenze delle quali comunque si deve mantenere traccia come infortuni, danni alle cose, riparazioni o demolizioni. Ovviamente è possibile che una parte dei guasti minori, non avendo conseguenze, sfuggano alla registrazione. I controlli periodici obbligatori possono delle ottime occasioni per rilevare le anomalie e di “intercettare” i problemi/difetti prima che il guasto si manifesti con conseguenze più gravi. Altrettanto difficile è controllare con esattezza le variazioni numeriche della popolazione di apparecchi, in quanto in molti casi la messa fuori esercizio temporanea o definitiva di un’attrezzatura non viene riportata ufficialmente ed è quindi difficile tenerne conto. Aumentando quindi il periodo di osservazione si aumenta la significatività del dato, ma diventa critico il controllo sul variare nel tempo dell’effettiva popolazione osservata.

3.2 Dati storici disponibili in letteratura

Come già detto nell’introduzione per i ratei di guasto si fa sempre riferimento ad alcuni studi condotti fra gli anni sessanta e settanta. In un articolo di Bush del 1988 [6], gli studi storici condotti negli anni 60-70 nei tre principali paesi industriali (Stati Uniti, Regno Unito e

SAFAP 2012, Napoli 14-15 giugno ISBN 978-88-7484-230-8

Germania) vengono passati in rassegna e confrontati in modo critico. Nella rassegna si riportano nel dettaglio otto studi nazionali sui recipienti in pressione. Si tratta di studi con decine o centinaia di migliaia apparecchi osservati anche per dieci anni con una copertura complessiva di oltre 3 milioni di anni-apparecchio per i soli recipienti in pressione (inclusi quelli sottoposti a fiamma) e quasi un migliaio di guasti considerati. L’estrema sintesi della Tabella 1 successiva può dare un’idea complessiva degli studi sopra citati. Da notare che sulla frequenza dei guasti “minori” c’è un livello di variabilità minore. Infatti, per i guasti minori si ha una “popolazione” molto più numerosa e quindi dal punto di vista statistico un campione più significativo rispetto ai guasti catastrofici.

media pesata frequenze guasti minori

3,89E-04 media pesata frequenze guasti catastrofici

2,61E-05

scarto quadratico medio relativo

18,44% scarto quadratico medio relativo

88,72%

numero di eventi minori

8.611 numero eventi catastrofici

155

Numero anni-apparecchio

3.119.000 numero di apparecchi

1.586.000

Tabella 1 – Media pesata frequenze guasti minori e catastrofici

3.3 Altre possibili fonti di dati

Le dimensioni delle ricerche svolte in passato spaventano non poco. L’idea di compiere da capo lo sforzo compiuto dalla generazione precedente non pare una soluzione praticabile in tempi stretti e per giunta in un solo paese, così come non sembra possibile restare fermi a quarant’anni fa. È quindi interessante capire e studiare quanta informazione si possa trarre dai dati già disponibili. Si riportano di seguito alcune fonti di dati potenzialmente interessanti a tali fini, distinguendo le fonti di dati pubbliche, che sono in forma grezza e non facilmente lavorabili, dalle fonti internazionali, disponibili in forma adeguata all’uso ma piuttosto lontane dalla realtà.

3.3.1 Stabilimenti Seveso – Banca Dati MARS Ai sensi della Direttiva Seveso è obbligatorio fornire i dati degli incidenti rilevanti che avvengo negli stabilimenti soggetti. Le condizioni di “rilevanza” sono definite all’allegato VI della direttiva stessa (per conseguenze interne: 1 morto o 6 feriti o danni superiori a 2 milioni €; per conseguenze esterne: 1 ferito o danni alle abitazioni o interruzione servizi o evacuazione popolazione o danni ambientali o effetti transfrontalieri). I dati sono raccolti dalla comunità europea nella banca dati MARS, di libero accesso. La banca dati contiene oltre 700 incidenti riportati dall’entrata in vigore della prima direttiva Seveso (1982). Solo una piccola percentuale di questi incidenti sono dovuti a guasti su attrezzature in pressione e di questi la maggior parte sono connessi a guasti di tubature piuttosto che a guasti di recipienti. L’osservazione va ristretta agli incidenti avvenuti in Italia per avere le informazioni sulla popolazione di riferimento. Conoscere il numero medio di recipienti in pressione presenti negli stabilimenti Seveso nel corso degli anni passati è in linea di massima possibile anche se non semplicissimo. Combinando dati dei rapporti di sicurezza ei dati storici in possesso dell’ISPESL si può arrivare a stimare il numero di recipienti in pressione presenti con un margine di errore abbastanza basso. Più difficile, invece, è la

SAFAP 2012, Napoli 14-15 giugno ISBN 978-88-7484-230-8

stima delle tubature in pressione, soggette a controlli solo da tempi molto recenti. Gli incidenti negli stabilimenti Seveso italiani nel database MARS sono già poche decine e di questi un numero ancora più ridotto (poche unità) vede il coinvolgimento delle attrezzature in pressione. Di questi ultimi, nella maggior parte dei casi, si tratta di danneggiamenti subiti dalle attrezzature a seguito di inaspettati fenomeni chimici o fisici (e.g. reazioni fuggitive, esplosioni), quindi non rilevanti ai fini di definire il rateo di guasto. Al contrario, la maggior parte dei guasti risulterebbe ignorata, non avendo prodotto conseguenze così gravi da rientrare nei parametri MARS.

3.3.2 Stabilimenti Seveso – Visite Ispettive Informazioni aggiuntive e importanti, oltre alla banca dati MARS, si potrebbero ottenere dai “quasi incidenti” registrati durante le ispezione periodiche previste dalla stessa direttiva Seveso. Trattandosi di dichiarazioni volontarie anche qui è difficile che i dati siano complete. La raccolta dei quasi incidenti, riportati in fase di ispezione, appare comunque non facile, considerata che, a parte alcune “lodevoli” iniziative locali, manca un archivio nazionale gestito dei quasi incidenti. Anche immaginando di avere i dati dei quasi incidenti per un buon numero di stabilimenti, il numero di guasti rischierebbe di essere comunque sottostimato rispetto alla realtà per la mancanza di criteri nel riportare i “quasi incidenti”.

3.3.3 Infortuni Altre fonti potenziali di informazioni sono i rapporti per gli infortuni mortali che vengono sistematicamente archiviati con un certo grado di dettagli, prima da ISPESL ed ora da INAIL. I dati sono archiviati per settore produttivo o area geografica, appare però molto difficile acquisire le informazioni sull’intera popolazione di apparecchi sia per la base geografica che per quella settoriale. Anche in questo caso si ha una forte sottostima dei guasti, dal momento che, fortunatamente, solo una piccola parte di questi produce infortuni gravi o decessi.

3.3.4 Enti di controllo (ISPESL e ASL) Le fonti potenzialmente più “ricche” di dati sono quelle degli Enti di controllo. Infatti, dai dati sulle verifiche di primo impianto (o prima verifica), sulle verifiche periodiche, sulle riqualificazioni dopo riparazioni e modifiche, nonché le comunicazioni su demolizioni o declassamento si potrebbero ricavare informazioni utili. Le informazioni potrebbero essere adeguatamente valorizzare se si evitasse la dispersione fra le molte sedi degli Enti con adeguati supporti informatici. Un’esperienza importante da menzionare è quella delle ASL dell’Emilia Romagna, dove sono state registrate le anomalie registrate in relazione all’attività di controllo svolto dall’ente per un periodo di cinque anni[7]. Trattandosi di circa 46000 apparecchi, la raccolta si può considerare significativa, se non proprio per ricavare dei ratei di guasto almeno per verificare la rispondenza di dati più consolidati.

3.4 Esperienze di altri paesi

Anche altri Paesi si sono posti il problema dei ratei di guasto studiando la fattibilità di definire dei ratei condivisi utilizzando dati già disponibili. In particolare, in uno studio molto recente sono state considerate le varie possibili fonti d’informazione da cui estrarre dati interessanti [8]. Sia le banche dati nazionali che la banca dati MARS sono state prese in considerazione. I problemi incontrati sono però analoghi a quelli sopra riportati, cioè difficoltà a reperire i dati sui guasti senza conseguenze e difficoltà a definire la popolazione di apparecchi da prendere a confronto. Nel medesimo rapporto si prendono anche in considerazione gli incidenti che coinvolgono le tubazioni, prospettando la possibilità di sfruttare le potenzialità di Google Earth per una stima dello sviluppo complessivo delle tubature, ma la soluzione appare francamente un po’ troppo fantasiosa.

SAFAP 2012, Napoli 14-15 giugno ISBN 978-88-7484-230-8

In definitiva appare un compito arduo ricavare dei valori di failure rate rielaborando i dati disponibili a vario titolo presso Enti pubblici, nazionali ed internazionali. Per il momento la soluzione più pratica è quella di valutare quanto già fatto dai paesi europei in particolare dai paesi come Gran Bretagna e Paesi Bassi, che comunque prediligono l’approccio probabilistico e per cui, ovviamente, la questione dei ratei generali di guasto è critica. Anche qui, tuttavia, la strada non è del tutto liscia. Le principali fonti sono le seguenti:

a) il “PURPLE BOOK” olandese

Si tratta di uno studio commissionato dal governo olandese al TNO negli anni 90 [9-10]. I valori dei ratei riportati sono il risultato di discussioni tra rappresentanti dell'industria, le autorità competenti e il governo. Le frequenze si basano spesso sui vecchi dati disponibili in quel momento, e questo in combinazione con i giudizi degli esperti.

b) FRED HSE

Il metodo è simile a quello del purple book, cioè elaborazione di dati consolidati e giudizio degli esperti [11-12]. Lo studio è però più recente e l’approccio è nettamente più conservativo, tanto che le frequenze di guasto risultano sistematicamente più alte rispetto a quelle olandesi.

c) AMINAL

Lo studio AMINAL dal Belgio è il più recente, essendo stato rilasciato nel 2009 [13]. Si basa principalmente sui dati di frequenza di guasto del Purple Book olandese, seppure presentati in formato diverso.

d) American Petroleum Institute (API)

Pur trattandosi di un soggetto privato, l’API ha una forte influenza su tutto il settore “Oil & Gas”. Nel documento RP 581 vengono fornite i ratei di guasto di riferimento per molte attrezzature, nell’ambito delle risorse cui attingere per sviluppare un programma Risk Based Inspection (RBI) [14].

3.5 Esperienze “Oil & Gas”

Nel settore “Oil & Gas”, i dati relativi ai tassi di guasto vengono generalmente utilizzati oltre ai fini dell’applicazione della SEVESO anche per studi che hanno come obiettivo lo studio dell’impianto in termini di affidabilità, disponibilità e di esercizio in sicurezza dell’impianto. Quindi, al fine di ottenere un corretto e sicuro esercizio dell’impianto correlato ad una buona conservazione e monitoraggio delle attrezzature incluse nel processo, viene richiesta l’applicazione di alcune metodologie che possono essere di supporto agli obiettivi prima citati. A titolo puramente esemplificativo, è possibile menzionare le più importanti tra queste metodologie, come: Reliability Centred Maintenance (RCM) Risk Based Inspection (RBI)

Queste metodologie vengono applicate al fine di elaborare dei piani specifici di manutenzione, controlli ed ispezioni quindi “ad hoc” per l’impianto oggetto di studio. L’ipotesi di partenza, in comune per le differenti metodologie applicate, è il rispetto del livello di rischio imposto dalle leggi vigenti (come SEVESO) e/o dalla definizione del livello di rischio accettato dall’Utilizzatore. In particolare, la prima metodologia (RCM) è di supporto alla stesura di un piano di manutenzione che tenga conto: delle frequenze degli interventi manutentivi; della tipologia di intervento manutentivo.

Maggiore sarà l’accuratezza dello studio maggiore sarà la quantità e la qualità dei dati disponibili e quindi più precisamente dei “tassi di guasto” che è possibile reperire attraverso:

SAFAP 2012, Napoli 14-15 giugno ISBN 978-88-7484-230-8

la richiesta diretta al costruttore dell’attrezzatura; l’estrapolazione dai database proprietari dell’Utilizzatore (Compagni Oil & Gas); lo studio della storia di esercizio delle stesse apparecchiature (qualora non si stia

considerando un impianto nuovo); l’esperienza dei team coinvolti nelle fasi manutenzione, controlli e/o ispezioni.

Nel caso di “Oil & Gas”, è possibile affermare che l’elenco appena riportato può essere considerato come una serie di fasi distribuite nel tempo. Quindi, la prassi è quella di iniziare con il reperire i dati dai fornitori delle attrezzature e qualora si fallisse in questi termini si passa a considerare i dati a disposizione della Compagnia fino ad arrivare a considerare ratei di guasto derivanti dalla’esercizio e/o dalla’esperienza del team di manutenzione. La metodologia RBI, invece, è di supporto all’elaborazione di un piano ispettivo specifico. Il dato significativo che si prende questa volta in considerazione non è il tasso di guasto bensì i “meccanismi di degrado”. Quindi il piano terrà conto: delle frequenze dei controlli; delle frequenze delle ispezioni (previste dal D.M. 329/04); dal tipo di controllo non distruttivo (nello studio viene anche considerata l’efficacia

del controllo non distruttivo utilizzato in relazione al meccanismo di danno che ci si aspetta);

4. RISULTATI

4.1 Sinossi dati “ufficiali”

La sinossi fra i dati riportati nelle fonti sopra dettagliate ha una certa difficoltà, dovute al formato disomogeneo dei dati. Mentre per gli eventi catastrofici vi è una certa uniformità di dati per gli eventi minori vi è una maggiore variabilità. In alcuni casi vengono anche assimilati ai guasti i difetti gravi rilevati in fase di verifica. In altri casi si distinguono vari tipi di eventi, graduandone la gravità. Il confronto diretto è quindi un’evidente forzatura, sicuramente criticabile da un punto di vista scientifico, ma senz’altro utile per la comprensione. Nella figura 1 si riporta in forma grafica un confronto dei ratei di guasto per le attrezzature in pressione riportati dalle quattro fonti citate al §3.4 (Aminal, Fred, TNO e API), dei valori derivati dallo studio ASL Emilia Romagna (vedi §3.3.4), dei valori utilizzati nei due studi di uso del suolo di Rijmond e Canvey Island, (vedi §1.3) dei valori derivati dagli studi storici, di cui alla rassegna di Bush citata al §1.3.

Figura 1 - Comparazione dei ratei di guasto secondo le varie fonti considerate.

SAFAP 2012, Napoli 14-15 giugno ISBN 978-88-7484-230-8

Da questo confronto si possono ricavare alcune osservazioni: le frequenze di guasto attualmente in uso risultano tutte molto inferiori a quelle

riportate nei lavori “storici” degli anni ’70; la scuola anglosassone è molto più conservativa di quella olandese; i ratei derivati dall’indagine ASL, seppure sovrastimati, sembrano consistenti con

l’approccio anglosassone; le frequenze API, fra quelle ufficialmente in uso appaiono piuttosto elevate. Va

notato che tali frequenze sono finalizzate alla pratica RBI, e quindi intervengono molti fattori correttivi che ne riducono la criticità.

4.2 Indicazioni per l’utilizzo appropriato dei ratei di guasto nella stesura dei rapporti di

sicurezza

C’è sempre un’enorme differenza fra scenario improbabile (probabilità stimata molto bassa) e scenario impossibile (intrinsecamente sicuro). Solo nel secondo caso si abbassa del tutto la guardia. Nel primo caso, almeno ai fini di preparazione all’emergenza, bisogna mantenere il livello seppure minimo di attenzione, non richiesto per gli scenari impossibili. È noto che nella storia relativamente breve della Seveso, gli incidenti realmente avvenuti, in alcuni casi non corrispondevano a quelli individuati dall’analisi del rischio. Nella valutazione dei rapporti di sicurezza si dovrà valutare l’attendibilità della fonte considerata per i ratei di guasto. In mancanza di fonti specializzate e verificabili, dovranno essere usati i valori generici britannici (FRED –HSE) oppure quelli dell’ API RP 581. Non è accettabile usare nel rapporto di sicurezza fattori di correzione più o meno fantasiosi, finalizzati a ridurre la probabilità degli incidenti. Nell’attività ispettiva, si deve tenere, in particolare, conto ch le frequenze di guasto sono tali solo se si applicano le istruzioni del costruttore e le buone prassi, incluso le manutenzioni programmate, controlli, ispezioni, ecc. Quindi sarà cura dell’auditor assicurarsi che queste prassi vengano adottate realmente, altrimenti la probabilità dei “top event” potrebbe risultare ben più alta di quelle riportate nel rapporto di sicurezza. Eventi scartati come altamente improbabili potrebbero risultare credibili, cioè con probabilità di accadimento superiori alla soglia dei 10-6, con ripercussioni importanti su tutta la gestione del rischio.

4.3 Aggiornamento dei dati su base nazionale

4.3.1 Iniziative recenti L’incidente di Buncefield ha dimostrato l’importanza di una valutazione accurata del rischio di coinvolgimento del territorio in incidenti industriali e della criticità, a tal fine, delle frequenze generali di guasto, per le quali si lamenta nel rapporto conclusivo sulle “lezioni apprese” un livello di attendibilità troppo basso. Questa segnalazione ha messo in moto la HSE che ha promosso subito un primo studio di fattibilità sull’aggiornamento dei ratei di guasto in funzione dei processi decisionali. Lo studio, sviluppato congiuntamente da Istituti inglese ed olandesi è stato pubblicato ad inizio 2012. A questo primo studio ha fatto seguito nel marzo 2012 il lancio di un progetto operativo al quale partecipano le autorità di controllo dei Paesi Bassi e del Regno Unito.

4.3.2 Che fare in Italia In pratica anche i dati “ufficiali” si basano sugi studi storici, più o meno rielaborati con il giudizio di panel di esperti e di rappresentanti dei diversi stakeholders. Il solo vantaggio sta nella “ufficialità”. La base scientifica iniziale si è molto indebolita nel tempo, tuttavia per

SAFAP 2012, Napoli 14-15 giugno ISBN 978-88-7484-230-8

il fatto di essere condivisi da tutti gli stakeholders, i ratei ufficiali hanno almeno un valore convenzionale, che assicura un trattamento uniforme ed equo nei processi decisionali. Al momento attuale è quindi auspicabile che enti di controllo e gestori facciano sempre riferimento ai dati condivisi, preferibilmente a quelli della HSE, che appaiono i più cautelativi. Nel frattempo è indispensabile che gli enti titolari dei controlli sulle attrezzature in pressione (INAIL e ASL) facciano uno sforzo per avviare una raccolta sistematica dei dati ed allinearsi con gli sforzi europei in questo settore. In particolare l’applicazione dei decreti attuativi previsti dall’art 71 del D.Lgs 81/08 sono un’ottima occasione per avviare questo progetto anche in Italia, che andrebbe, ovviamente, a contribuire agli sforzi europei in questo senso.

5. Conclusioni

5.1 Progetto FAIL

Risulta evidente, come illustrato in precedenza, come sia importante avere a disposizione una banca dati con dei tassi di guasto che possano essere presi come riferimento. Una Banca Dati “trasversale” sarà di sicuro supporto e di aiuto tanto alle autorità competenti quanto agli stessi gestori degli impianti e datori di lavoro al fine di giungere a scelte condivise sulla sicurezza degli impianti. La costruzione di questa banca dati dovrà avvenire intervenendo sui diversi aspetti descritti in precedenza e per comodità di seguito sintetizzati, come: raccolta e raggruppamento di una popolazione di attrezzature ben definita; raccolta ed analisi dei tassi di guasto derivanti dalla popolazione prima definita; ottimizzazione e standardizzazione dei dati raccolti sul campo (dati derivanti da

manutenzioni, controlli, ispezioni, infortuni, incidenti, quasi incidenti, ecc); raccolta dei dati da fabbricanti di attrezzature magari favorendo una registrazione

delle loro attrezzature con relativi ratei di guasto; raccolta dei dati dagli Enti di Controllo (dati relativi a verifiche di funzionamento, di

integrità, riqualificazioni, riparazioni, modifiche, ecc..) raccolta di informazioni derivanti dalla’esperienza nel campo della manutenzione,

dei controlli e delle ispezioni, aggiornamento degli attuali dati oggi disponibili in letteratura, centralizzazione della raccolta in modo da creare un riferimento univoco e

condiviso. A tal proposito l’idea è quella di dare vita ad un progetto di ricerca “FAIL” che abbia come obiettivo proprio il popolamento e lo sviluppo di una banca data che rappresenti un riferimento e che sia caratterizzata da quanto sopra descritto. Di seguito il logo del progetto (figura 2):

Figura 2 – Logo FAIL

La partecipazione, il coinvolgimento ed il contributo di tutte le parti in causa (Costruttori, Utilizzatori, Enti preposti, Organismi Competenti, ecc..) rappresentano una “conditio sine

SAFAP 2012, Napoli 14-15 giugno ISBN 978-88-7484-230-8

qua non” per il raggiungimento dello scopo. Mancando, infatti, queste premesse, il risultato non potrebbe che essere molto approssimativo e quindi conseguentemente non soddisfacente. Per questo motivo nel corso del Convegno SAFAP 2012 gli autori hanno deciso di raccogliere i pareri dei partecipanti in modo da avere raccogliere preziose informazioni legate alla comprensione della qualità del progetto, al raccoglimento di suggerimenti, commenti, proposte ed alla fattibilità del progetto stesso.

5.2 Ricadute

In particolare i dati condivisi saranno utilizzati dalle autorità competenti per la direttiva SEVESO per la prevenzione degli incidenti rilevanti che a volte si trovano di fronte ad analisi del rischio basate su dati affidabilistici desunti da studi molto approfonditi ormai completamente superati oppure da stime ed estrapolazioni non adeguatamente ed autorevolmente supportate. Va notato che solo una parte delle apparecchiature che vengono analizzate nella Seveso rientrano nelle attrezzature del data base, ma sono quelle dove è più forte la perdita di credibilità dei dati affidabilistici “storici”. I dati sono utili alle autorità in particolare per una valutazione critica dei rapporti di Sicurezza ex art. 8 D.Lgs 334. Dati affidabilistici condivisi sono utili anche per la conduzione delle Ispezioni ex art. 25. L’ispettore dovrà, infatti, accertarsi che i controlli e la manutenzione sulle attrezzature siano adeguate a mantenere i livelli di affidabilità dichiarati. Come detto in precedenza i ratei di guasto finiscono con guidare anche le decisioni sulla compatibilità territoriale e l’uso del suolo. In questo modo non interessano solo le autorità competenti per la Seveso, ma coinvolgono anche le autorità locali e, in buona sostanza, tutti i cittadini che vivono nei pressi degli stabilimenti. A legislazione italiana è sempre stata molto refrattaria rispetto all’approccio probabilistico. Alcune autorità locali hanno compiuto degli studi d’area basati sull’approccio probabilistico, a partire dagli ormai storici studi delle aree di Ravenna e Livorno. Studi probabilistici sono stati fatti più recentemente a Marghera e Priolo. Immaginando che in un futuro prossimo questi studi escano dalla fase sperimentale, si può prevedere un incremento della richiesta per buoni dati affidabilistici sui quali fare affidamento. I dati saranno di interesse anche per molte attività industriali non Seveso, dove comunque l’affidabilità delle attrezzature di lavoro è un elemento essenziale per il documento di valutazione dei rischi DVR di cui al D.Lgs. 81/08. Un ulteriore campo di applicazione è quella la metodologia Risk Based Inspection. È dimostrato che, grazie ad un approccio RBI, è possibile massimizzare sicurezza e disponibilità degli impianti. Secondo le migliori pratiche in materia RBI, l’intervallo fra le ispezioni viene calcolato in base a vari fattori fra i quali i risultati dei precedenti controlli, le probabilità di guasto (guasto inteso in termini di meccanismo di degrado) e la severità delle conseguenze. I meccanismi di degrado rientrano nel calcolo delle probabilità combinati con molti altri fattori che tengono conto delle condizioni di esercizio, delle caratteristiche del fluido contenuto, dei materiali utilizzati per la costruzione, delle caratteristiche delle condizioni ambientali, delle condizioni dell’impianto, dell’efficacia delle verifiche ispettive fino alle prestazioni del sistema di gestione. In definitiva per la RBI i ratei generici di guasto appaiono meno critici che per i processi decisionali, intervenendo molti altri fattori specifici che possono essere conosciuti con un livello di incertezza molto più basso. Al più può essere interessante fare riferimento a dati condivisi per un’esigenza di trasparenza di fronte agli Enti di controllo.

SAFAP 2012, Napoli 14-15 giugno ISBN 978-88-7484-230-8

Bibliografia [1] M.D. Christou, M.Struckl & M. Biermann, T. 2006 Land use planning guidelines

EC/JRC/IPSC/MAHB www.jrc.it [2] S.H. Bush, Pressure Vessel Reliability, Journal of Pressure Vessel Technology (1975)

97, 54-69 [3] J.R. Fragola, Reliability and risk Analysis data base development: an historical

perspective Reliability Engineering & System Safety (1996) 51 125-136 [4] Canvey, An investigation of potential hazards form operations in the Canvey

Island/Thurrock area, Health and Safety Executive, London, 1978, Her Majesty’s Stationary Office ISBN 011883200X.

[5] COVO Commission (1981). Risk analysis of six potentially hazardous object in the Rijnmond area, a pilot study. Report to the Rijnmond Public Authority, Central Environmental Control Agency, Schiedam, the Netherlands

[6] S.H. Bush Statistic of Pressure Vessel and Piping Failures Journal of Pressure Vessel Technology (1988) 110 225-233

[7] L. Frabetti,M. Bondi M., Pallavicini, L. , Dellantonio E., Notari V., Bazzocchi G., Grassano G., Giuliani M., Zanotti M., Montemaggi 2002 Anomalie degli apparecchi a pressione Regione Emilia Romagna Bologna IT

[8] L.Bellamy, D.Lisbona, M, Johnson Kooi M , H.J. Manuel The major accident failure rates project HSE/RR915 2012 www.hse.gov.uk

[9] P.A.M. Uijt de Haag B.J.M. Ale Guideline for quantitative risk assessment Purple book CPR 18E The Director-General for Social Affairs and Employment 1997 The Hague, NL

[10] H.J. Pasman, History of Dutch process equipment failure frequencies and the Purple Book Journal of Loss Prevention in the Process Industries (2011) 24 208-213

[11] Failure Rate and Event Data for use within Land Use Planning Risk Assessments www.hse.gov.uk

[12] C. Nussey 2006 Failure frequencies for major failures of high pressure storage vessels at COMAH sites: www.hse.gov.uk

[13] Aminal (2009) Handbook failure frequencies for drawing up a safety report Flemish Governement LNE Department BE

[14] API Risk-Based Inspection Document RP580, American Petroleum Institute, Washington USA

[15] API Risk-Based Inspection Base Resource Document RP581, 2008 American Petroleum Institute, Washington USA