90
In Figura 38 è rappresentata la finestra di impostazione dell’algoritmo MAP. Nella parte in alto a sinistra della finestra sono contenuti i nodi disponibili, ovvero i nodi che fanno parte della rete Bayesiana di studio ma che non hanno evidenze inserite. In alto a destra, invece, ci sono i nodi evidenza, ovvero i nodi della rete che hanno uno stato legato ad un’esperienza, che può essere stata inserita dall’utilizzatore, ma anche ricavata tramite una delle evidenze inserite (ad esempio, se si mette come evidenza che c’è stato uno scenario in uscita relativo ad escalation mitigata, questo implica necessariamente che il Top Event è avvenuto; avendo perciò settato l’evidenza al nodo conseguenza comparirà in alto a destra anche l’evidenza del Top Event)
Nella parte in basso a destra vengono inseriti quei nodi di cui si vuole capire il comportamento a posteriori; in questa parte verranno inseriti i nodi tra quelli presenti tra i disponibili.
A questo punto, una volta dato l’update, figureranno gli stati associati a ciascun nodo inserito nel quadrante dell’annealed MAP. Il sistema, inoltre, saprà restituire in uscita tre probabilità:
P(MAP|E): la probabilità Maximum available a Posteriori, condizionata in base al set di evidenze.
P(E):la probabilità relative all’evidenza
P(MAP,E): la joint Probability della MAP e l’evidenza. I risultati sono riportati nel capitolo 7.
6.1.3 Joint probability distributions
In una rete o un grafo, si può dire che una cricca (clique) sia un insieme di vertici che compongono la rete; tali vertici sono collegati da archi in modo da garantire quindi che la loro definizione sia ‘completa’.
Una funzione di GeNIe, ‘preserve clique Potentials’, permette di vedere le joint Probability distributions per le variabili che fanno parte della stessa cricca. La Joint Probability Distribution è una probabilità condizionata a posteriori, utile per l’aggiornamento delle performance della barriera. E’ possibile vedere la JPD di un singolo elemento alla volta.
L’utilità di questa funzione è che permette di avere un’idea dell’intensità con la quale degli Eventi interni ad una rete si influenzino tra di loro; ovvero, a prescindere dall’accadimento di uno scenario finale, è possibile fare una diagnosi del comportamento di particolari barriere, date le varie evidenze possibili sulle
91
altre barriere. Se tramite l’Annealed Map abbiamo un’idea della configurazione più probabile che ha portato ad uno scenario specifico, in questo caso, qualsiasi sia la dinamica, è possibile vedere come si riaggiornano le frequenze di ogni barriera al variare delle evidenze sulle altre.
Relativamente al caso studio, è stato possibile fare un’analisi settando delle evidenze su una delle barriere e valutando le probabilità a posteriori delle barriere restanti, sulla base di quest’ultima. In particolare; considerando che lo sprinkler a schiuma non funziona (e quindi settando l’evidenza di fallimento della barriera), sono state rivalutate le JPD delle altre barriere.
6.1.4 Adaptation delle probabilità
Come detto precedentemente, l’adattamento degli elementi costituenti una rete Bayesiana è il processo di raffinamento delle probabilità (condizionate) che si ottiene tenendo conto dell’avvenimento reale (o sperimentale) di specifici scenari finali. La differenza principale dell’adattamento rispetto all’updating delle probabilità, sta nel fatto che tramite l’adattamento è possibile aggiornare le probabilità cumulativamente rispetto alla ripetizione degli Eventi nel tempo. L’algoritmo di adattamento lavora a partire da una probabilità. Se si assume che la probabilità di guasto di una barriera sia del 50% e sia fatta sulla base di dieci esperienze, tale dato sarà ottenuto dal fatto che nelle dieci esperienze, cinque sono state positive (barriera funzionante) e cinque negative. La Probabilità di guasto sarà quindi data dal rapporto dei casi di guasto su quelli totali.
Se si ha una serie di nuove osservazioni di guasto (poniamo cinque esperienze consecutive di guasto), si avrà che l’aggiornamento della probabilità vale:
P(Barriera=fail) = N("fail")/(N("fail")+N("work"))= 10/15= 0.667,
Quindi la probabilità condizionata finale sarà molto più alta. Questo ci permette in ottica di controllo del rischio, di modificare le aspettative sul potere mitigante della barriera e permette, laddove necessario, di aggiornare le priorità di emergenza.
Per capire come si aggiornano le performance di barriera, sono state fatte delle ipotesi di guasto in un arco di tempo di quattro anni, e schematizzate in Tabella
92
9. Gli scenari considerati sono quelli generici di escalation mitigata, non mitigata e no escalation); la ripetizione di tali scenari è stata fatta in modo random, perché lo scopo è quello di verificare il comportamento delle barriere.
Tabella 9 Configurazione eventi per adattamento probabilità
Scenario Anno 1 Anno 2 Anno 3 Anno 4
Unmitigated escalation 3 1 0 1 Mitigated escalation 0 0 1 0
Non è stato considerato lo scenario ‘safe’. Va considerato infatti, che nella rete Bayesiana, esso rappresenta due condizioni diverse: una indicante che l’Evento primario non è avvenuto e l’altra che indica la mitigazione senza escalation di un incidente primario. In questo caso, quindi, è necessario scorporare le diverse possibilità e dato che per l’adaptation siamo interessati soltanto al caso di mitigazione successiva all’avvenimento del primario, tale possibilità si vedrà nella diminuzione di Eventi di escalation non mitigati o mitigati.
93
6.2 Caso studio 2: Applicazione in Large Scale
Una volta validato il metodo di analisi del rischio tramite Rete Bayesiana, si applica tale metodo ad contesto in Large Scale, considerando un caso studio industriale per valutare le potenzialità del metodo in termini di valutazione del rischio ma anche di gestione dell’emergenza e di configurazioni di barriera basate sulla Cost Efficienza Analysis.
Se nel Caso Studio 1 poteva risultare abbastanza superfluo soffermarsi sulle configurazioni più ottimali dei sistemi di protezione, essendo pochi gli apparecchi oggetto di studio, in questo caso si tenta di entrare più nelle problematiche reali di impianto, legate al fatto che spesso risulta difficile capire, una volta effettuata la valutazione di una frequenza di guasto, quali barriere e in quali configurazioni possano garantire una diminuzione della vulnerabilità generale del sistema.
Lo scopo di questa applicazione è quindi quella di utilizzare la Rete Bayesiana, per effettuare un’analisi Cost efficienza delle barriere e per valutare in che misura la valutazione del rischio con la BN possa fornire un supporto alle decisioni di Emergenza, sulla base del metodo già precedentemente validato.
33 Configurazione parco di stoccaggio per il caso studio 2 (Fonte: Janssens et. Al)
Si prende in esame un parco di stoccaggio industriale, composto da undici tanks di diverse dimensioni (Figura 39). E’ stata scelta questa configurazione perché il numero di apparecchi interessati è abbastanza alto da permettere di considerare diversi gradi di escalation; inoltre le diverse distanze e diverse dimensioni dei tanks permettono di avere una varietà di casi su cui testare il metodo e l’analisi di vulnerabilità, per verificare la fattibilità nell’utilizzo di questo metodo su casi industriali reali.
94
Anche in questo caso si considerano come conseguenze gli scenari di Pool Fire, dato che per il contesto relativo agli stoccaggi di sostanze infiammabili risulta essere uno degli scenari più credibili e visto che per gli incendi è possibile fare una valutazione più approfondita sulle performance delle barriere di protezione, dato che per gli effetti di sovrappressione (come negli incidenti che coinvolgono le esplosioni) risulta più efficace lavorare su altri tipi di protezioni, di tipo meccanico (rinforzi, spessori..).
Per facilitare lo studio di questo sistema, ad ogni tank viene associato un nodo numerato di riconoscimento e vengono indicati gli archi di connessione di ogni tank con quelli circostanti, effettuando una mappatura della configurazione in un grafo (Figura 40). Questo punto di partenza è stato affrontato da (Janssens & Al, 2015) che ha effettuato uno studio del rischio di questo sistema tramite l’utilizzo di algoritmi meta-euristici e basandosi sui tempi di rottura dei tanks; in questo caso, però, visto che siamo interessati all’applicazione con la rete Bayesiana, l’approccio sarà diverso, e si utilizzerà tale configurazione per la contestualizzazione del sistema.
34 nodi di riferimento per il parco di stoccaggio caso studio 2 (Fonte: Jahnssens et. Al)
Il contesto di studio è soggetto a normativa Seveso II (soglia superiore) per il quantitativo di sostanza pericolosa stoccata. La valutazione delle frequenze di rottura si assume data ed ottenuta da studi per la valutazione del rischio precedenti.
Di seguito una stima delle frequenze di rottura, in Eventi/anno, relativa a ciascun Tank e la stima delle distanze tra i Tank che servirà per la modellazione degli
95
scenari (Tabella 10). Queste frequenze non sono effettivamente quelle del caso reale, ma hanno lo scopo di rendere realistico lo studio, per capire in che misura le barriere vanno a diminuire la frequenza di rottura dei sistemi. Sono dati credibili per questo tipo di contesto ma non sono ottenuti da analisi QRA reali. Il punto di forza della rete Bayesiana, comunque, è che in condizioni di incertezza e mancanza di dati, come in questo caso, è possibile comunque aggiornare le variabili di interesse, rendendole più credibili e vicine al caso reale, in base ad evidenze reali.
Tabella 10. Frequenze di rottura tank a priori
Nodo 0 Nodo 1 Nodo 2 Nodo 3 Nodo 4 Nodo 5
8e-7 2,5e-6 2,2e-6 2,5e-6 1,10e-6 8e-6
Nodo 6 Nodo 7 Nodo 8 Nodo 9 Nodo 10
2,34e-5 6e-5 3,4e-5 1,5e-5 3,2e-5
Per effettuare un abbattimento della vulnerabilità del sistema, quindi, occorre predisporre un sistema di barriere di protezione in modo tale da diminuire il più possibile le frequenze di rottura dei tanks. Tale abbassamento, come indicato anche sulla Normativa, è tanto maggiore quanto maggiori sono le misure protettive prese, ma in questo caso, sebbene per garantire la sicurezza di un sistema si debbano impiegare tutte le risorse possibili, l’idea è di capire in che modo ottenere il migliore risultato con una base di budget; per ottimizzare tali configurazioni con il minimo costo.
A tal proposito, sapendo che gli scenari possibili nel sistema sono legati ad incendio, verranno prese in considerazione diverse barriere di protezione, e ad ognuna di esse sarà associato un costo. Oltre a questo si valuteranno diversi scenari possibili, e si ricaveranno delle configurazioni di protezione cercando di adottare l’impiego minimo di protezione.
Si assumerà infatti che per la protezione di ogni Tank sarà possibile una sola protezione; questo per valutare effettivamente qual è il contributo dato da ogni singola barriera per la protezione del sistema.
96
6.2.1 Barriere di protezione
:Dallo studio del rischio legato alle barriere di protezione, si sono estrapolate alcune tipologie di barriera tra le più comuni nei contesti di incendio e ad esse sono stati associati dei costi (Tabella 11). Si assume che tali costi comprendano l’acquisto e l’installazione per facilità. I costi sono stati ricavati dallo studio di Janssenss et al. (Janssens & Al, 2015)
Tabella 11 costi associati alle safety barriers del caso studio2 . (Fonte Jahssens et Al)
ID BARRIERA TIPO COSTO (EURO)
B0 No Barriera 0 B1 Sprinkler a schiuma automatico 350000 B2 Sprinkler ad acqua automatico 250000
B3 Water Deluge System 200000
È stata considerata anche l’opzione senza alcuna barriera, per effettuare un confronto e stimare quantitativamente la misura della mitigazione e dell’abbassamento della vulnerabilità.
In questo caso, invece, la barriera di protezione procedurale, relativa all’intervento di emergenza non viene confrontata con i costi delle altre barriere, perché verrà utilizzata ed integrata soltanto laddove emergerà un grado di vulnerabilità superiore all’interno dell’impianto. Si assume, infatti, che in un caso reale, l’intenzione sia quella di predisporre le configurazioni in campo che permettano la mitigazione più alta possibile, e rendere quindi l’intervento di emergenza una protezione di cautela finale, non paragonabile a quelle in campo per i tempi necessari ad intervenire, che saranno necessariamente più elevati di quelli in campo.
6.2.2 Scenari Incidentali:
Ciascun Sistema o contesto industriale ha la propria configurazione; vien da sé che anche la vulnerabilità del sistema non può che variare caso per caso. A tal proposito, è chiaro che una valutazione del rischio a priori è necessaria per effettuare con criterio un’analisi delle conseguenze, questo perché la soluzione
97
che si rivela migliore per un sistema potrebbe non essere altrettanto buona per un altro contesto. Nonostante questo, però, è possibile generalizzare assumendo per un generico incidente primario, in questo caso di incendio, dei possibili gradi di escalation, che possono mettere in comune tutti i contesti, in particolare, si studieranno i seguenti scenari:
1. Un grado di escalation: una volta avvenuto l’incidente primario, si ha un incidente secondario a causa degli effetti di radiazione;
2. Due gradi di escalation, per cui si assume che il caso precedente porti ad un’ulteriore propagazione in incidente terziario.
35 Gradi di escalation: Un grado (a sinistra), due gradi di escalation (a destra)
La possibilità che un Evento possa evolvere in un grado o più gradi di escalation è data dalla modellazione delle conseguenze incidentali; per tali modellazioni sarà necessario conoscere non solo la frequenza dell’incidente, ma anche la modalità di rottura, ricordando che gli effetti possono essere diversi a seconda che si abbia a che fare con un Near-miss, una rottura lieve o una rottura catastrofica.
In questo caso studio verrà considerata l’Eventualità che un tank sia soggetto a rottura lieve e un altro tank soggetto a rottura catastrofica, per confronto. La modellazione delle conseguenze viene effettuata tramite il software ALOHA, che permette di contestualizzare tali scenari incidentali assumendo delle condizioni meteo, le quantità e il tipo di sostanza coinvolta.
Oltre alla definizione delle frequenze di guasto, si hanno a disposizione le distanze tra i Tanks (Tabella 12 e Figura 36):
98
Tabella 12 Distanze principali tra i tank del caso studio 2
ID 0-1 1-3 3-4 3-6 3-2 6-7 7-10 7-8 8-9 9-10 Dist
(m)
60 45 15 30 30 25 25 25 25 25