4. Metodi probabilistici per l’analisi del rischio
5.16 Analisi Cost-effectiveness
Lo studio del rischio in termini di analisi delle conseguenze degli incidenti si è finora concentrato implicitamente nella fase compresa tra l’accadimento di un singolo incidente ed i suoi eventuali scenari secondari, senza considerare se questo incidente sia parte di un contesto a cascata e in quale dei vari gradi di escalation si collochi. Questo perché, in linea generale, siamo interessati a capire quali dinamiche possano minimizzare l’accadimento di un incidente dato un altro, a prescindere che si tratti della propagazione di un primario rispetto ad un secondario, o un secondario rispetto ai successivi.
Le barriere di emergenza sono gli strumenti con i quali possiamo esercitare questa azione di intervento, e quindi l’idea di fondo è quella di capire se ed in che modo una barriera di protezione può prevenire davvero l’accadimento di un incidente secondario. Come indicato nelle direttive SevesoII ( (Seveso)), si è visto come l’aspetto dell’Inherently Safer Design sia uno dei passi più importanti per garantire la protezione di un sistema.
Nel momento in cui un impianto deve essere predisposto, infatti, va tenuto conto che per evitare che gli effetti di radiazione e sovrappressione legati all’Eventuale incidente in un apparecchio vadano a propagarsi, le distanze tra un apparecchio e l’altro devono essere tali da sottoporre gli apparecchi vicini a gradi più bassi possibili di effetto. Le barriere di protezione, assicureranno che anche gli eventuali effetti saranno minimamente percepiti (dettagli nella sezione apposita, par. 3.1)
In contesti in cui il design è relativamente ‘sicuro’, è già molto meno probabile il rischio di propagazione degli incidenti, quindi le Eventuali escalation considerabili possono fermarsi già al primo grado di propagazione.
Il problema si pone per quei contesti industriali già esistenti ed operativi per cui è molto difficile intervenire a livello di disposizione di impianto. Sono casi in cui l’elevata densità delle apparecchiature o di serbatoi di stoccaggio all’interno di un piccolo spazio, faccia sì che in caso di incidente le unità molto vicine tra di loro risentano dei più alti effetti di radiazione e sovrappressione anche per incidenti di lievi entità e bassi quantitativi di sostanza coinvolta, determinando frequenti escalation.
In questi casi è chiaro che il ruolo delle barriere di protezione diventa più importante, ma allo stesso tempo l’efficacia della barriera potrebbe essere bassa,
69
anche a causa dell’attacco diretto da parte del Top Event che può danneggiare la barriera stessa o dei lunghi tempi di intervento richiesti dalla barriera per far sì che non si abbiano effetti di escalation.
Talvolta va quindi considerato che potrebbe non essere possibile prevenire un incidente già dalla prima escalation poiché si avrebbe bisogno di barriere con alti gradi di efficienza in grado di aumentare di molto il tempo di fallimento delle apparecchiature vicine all’incidente primario. Ci sono infatti dei casi per i quali è quasi impossibile arrestare l’escalation, almeno al primo grado di propagazione, e questo succede quando l’effetto di radiazione e/o sovrappressione associato ad un incidente è al di sopra dei limiti di resistenza degli apparecchi e delle Eventuali barriere. (Janssens & Al, 2015))
Per capire se un impianto può essere soggetto ad incidenti che, anche a causa della disposizione d’impianto possono propagarsi con altissima probabilità, è necessario effettuare una modellazione dei potenziali scenari per capirne gli effetti e contestualizzarli nell’impianto di interesse. La definizione di soglie legate ad effetti fisici di radiazione e sovrappressione determineranno il limite entro il quale si ritiene che non si abbia la rottura fisica dell’apparecchio target e quindi il limite entro il quale l’introduzione di una barriera può efficacemente aumentare tempi di rottura.
A questo punto, posto che quindi può essere miope predisporre un sistema di emergenza sulla base del tentativo di bloccare una escalation già al primo stadio, può essere interessante capire in che modo l’introduzione o l’integrazione di protezioni all’interno dell’impianto possa esercitare un ruolo preventivo e mitigante nella maniera più ottimale.
Questo ruolo mitigante, può non essere necessariamente ottimale solo sulla base del rischio ma anche nell’impiego di risorse, anche economiche. Può essere infatti di grande importanza capire qual è la via migliore di investire un certo budget destinato all’introduzione di barriere di protezione, per abbassare il più possibile la vulnerabilità di impianto. Si vedrà come, configurazioni che prevedano l’uso delle barriere ‘migliori’ in termini di abbassamento del rischio e di costo, se applicate a casi in cui l’escalation è multipla si possono rivelare non solo le meno economiche, ma anche le meno utili ai fini dell’abbassamento del rischio.
Janssens (Janssens & Al, 2015)), ha modellato un metodo per l’analisi del cost- effectiveness associato alle barriere di protezione basato su criteri metaeuristici. In particolare, nel contesto di un parco di stoccaggio di sostanze infiammabili, ha
70
effettuato uno studio dei tempi di ottura di ognuno dei tanks esposti a incendio. Un algoritmo ha poi modellato le diverse combinazioni di barriere che amplificassero al massimo i tempi di rottura delle barriere con i minimi costi. Questo richiede una ricerca iterativa effettuata sulla base della cardinalità e di ogni nodo considerabile come sorgente della catena di incidenti.
L’uso delle reti Bayesiane può fornire delle specifiche di supporto alle decisioni, nel momento in cui in un contesto industriale si vuole capire quale sia la via migliore per la predisposizione degli interventi di emergenza, in termini di ubicazione degli ingressi per l’intervento e di allocazione degli strumenti di supporto all’emergenza, oltre al fatto che può dare un’idea quantitativa della credibilità degli scenari.
La valutazione delle performance delle barriere in termini di prevenzione e mitigazione degli scenari, unita al costo delle barriere stesse, permette quindi di effettuare uno studio di ottimizzazione, tramite diagramma cost-effectiveness. In ascissa verrà riportata la probabilità di escalation ottenuta ai nodi conseguenze, e in ordinata vengono riportati i costi delle configurazioni di barriera corrispondenti. Nel caso di un solo grado di escalation i costi coincidono con quelli della barriera singola, mentre nei casi di due e tre gradi di escalation, saranno dati dalla somma dei costi delle barriere utilizzate in ciascun passaggio. Notare che si assume sempre che tra un Evento incidentale e l’altro viene usata una sola barriera, per metterci nel caso peggiore possibile e trovare la via di protezione ottimale.
Sono riconoscibili all’interno del diagramma due punti estremi (Figura 24): 1. Utopia: il punto di massimo ottenibile, in cui le configurazioni di barriera
hanno costo nullo e garantiscono una probabilità di escalation nulla 2. Nadir: il caso peggiore, quello per il quale il costo della barriera è il più
alto e la frequenza di escalation associata è quasi del 100%
Scopo dell’ottimizzazione sarà quello di avvicinarsi il più possibile al caso utopico.
71
18 Grafico di ottimizzazione usato per analisi cost-effectiveness
Il caso migliore sarà visibile graficamente e confermato dalla valutazione della distanza del punti rappresentati dal punto di Utopia, secondo la semplice relazione:
𝑑𝑖𝑠𝑡𝑎𝑛𝑧𝑎 (𝑖, 𝑢𝑡𝑜𝑝𝑖𝑎) = √(𝑥𝑖 − 𝑥𝑢𝑡𝑜𝑝𝑖𝑎)2+ (𝑦𝑖 − 𝑦𝑢𝑡𝑜𝑝𝑖𝑎)2
In questo modo si otterranno le configurazioni di barriere ottimali per ogni grado di escalation.
Si utilizza il software ALOHA per valutare la magnitudo delle conseguenze incidentali date da
Rottura lieve dei Tank Rottura catastrofica dei Tank
Per la modellazione verranno definite tre soglie di radiazione, oltre le quali ci si aspetterà un certo scenario:
1. Soglia alta: 12,5 KW/m2 , la soglia di radiazione oltre la quale si ha
escalation per cedimento meccanico dei tank 2. Soglia intermedia: 7 KW/m2
3. Soglia bassa: 5 KW/m2
In questo lavoro la soglia di escalation è fissata a 12,5 KW/m2 , come da Normativa
(DM151, 2001).
Dalla modellazione verranno ricavate le distanze dal punto di rilascio alle quali si potrà avvertire ognuna delle soglie prese in esame. Se rispetto ai tank soggetti ad incidente primario la soglia di escalation si trova a distanze coincidenti o
72
superiori a quelle dei tank circostanti il primario, si assumerà almeno un grado di escalation.
A seconda della configurazione che si ottiene, quindi, sarà possibile decidere quale configurazione è meglio adottare e quali saranno le frequenze aggiornate di guasto.
73