In base a queste distanze e alle modellazioni, sarà possibile capire se un incidente, sia di natura lieve o catastrofica possa evolvere in gradi di escalation.
6.2.3 Procedura caso studio
Innanzitutto si procede all’analisi delle frequenze. Verrà costruita una Rete Bayesiana nella quale sarà presente un nodo per il Top Event, i nodi intermedi per le barriere considerate e il nodo conseguenza. Al Top Event verrà inserita la frequenza di uno dei tank oggetto di studio e ai nodi delle barriere verranno inserite le distribuzioni di guasto poi discretizzate, secondo i criteri già descritti. Il nodo conseguenza sarà di un solo tipo e prevederà il Pool Fire come scenario di escalation; la differenziazione tra escalation mitigata e non mitigata si avrà confrontando le frequenze di escalation ottenute mediante intervento delle barriere rispetto al caso senza barriere.
1. Un grado di escalation: in questo caso si inserirà al nodo Top Event il valore di frequenza di uno dei tanks di interesse, le frequenze degli scenari
99
ottenuti al nodo conseguenza verranno utilizzati per i gradi di escalation successivi.
2. Due gradi di escalation: viene aggiornata la frequenza del Top Event con quelle degli scenari secondari ottenuti per un grado di escalation, dopodiché viene ripetuta la procedura di confronto delle frequenze ottenute mediante l’intervento delle barriere singole.
Si riportano poi in un diagramma cost- effectiveness i valori ottenuti.
Tutti i Tank oggetto di studio contengono benzene liquido, e si trovano in condizioni atmosferiche. La differenza tra di loro si trova nella quantità di sostanza coinvolta dal rilascio (che sarà lieve per il nodo 3 e catastrofica per il nodo 7), inoltre la modellazione sarà ottenuta ipotizzando una condizione di meteo stabile (di tipo D), una velocità del vento di 5 m/s diretto verso Est-Sud est.
6.2.4 Adattamento delle Probabilità
Come per il Caso Studio 1, si aggiorneranno le probabilità di guasto a posteriori delle barriere scelte nelle configurazioni ottimali, assumendo l’evidenza che si siano avute le escalation dell’incidente primario. Tale variazione delle probabilità, determinerà un aumento della frequenze di escalation per quei tank protetti con le barriere in questione. Se l’evidenza si ripete più volte nel tempo, le performance di barriera saranno sempre più basse e permetteranno di rivalutare le aspettative sulla possibilità di mitigazione di tali barriere in caso di incidente.
6.2.5 Emergenza
Lo studio del rischio associato ad un sistema come quello del caso Studio 2, permette di aggiornare le frequenze incidentali di ogni tank o apparecchio che costituisce il sistema. Questa possibilità i rivela di grande importanza, poiché permette di valutare all’interno del sistema, quali sono gli elementi che, sebbene muniti di protezioni, hanno la frequenza di rottura più alta, e quindi sono più vulnerabili all’interno del sistema. Conoscere gli elementi più vulnerabili di un impianto significa avere la possibilità di dirigere l’attenzione in maniera mirata alle zone di impianto più deboli per predisporre una ulteriore misura di protezione, o per predisporre i sistemi di emergenza.
Il problema più grande che si incontra nella gestione di emergenza, soprattutto per organizzare l’intervento di emergenza, infatti, è nel fatto che spesso non è ben chiaro dove andare ad intervenire per mitigare al meglio un incidente. Conoscere
100
le zone più deboli di impianto, invece, permette di capire quali sono i punti su cui concentrarsi in caso di incidente in modo tale da mitigare l’incidente nella maniera più efficace possibile. In tal senso, lo strumento della rete Bayesiana permetterebbe di fornire un valido supporto alle decisioni di emergenza.
Tramite l’adaptation delle probabilità, e quindi l’aggiornamento delle frequenze di guasto, inoltre, sarà possibile rimodulare nel tempo la scala di priorità dei nodi più deboli di impianto, permettendo di riorganizzare la dislocazione delle forze di emergenza secondo i cambiamenti di vulnerabilità dell’impianto.
101
7. Risultati
7.1 Caso studio 1: Validazione del metodo
La valutazione delle frequenze degli scenari incidentali legati al caso studio 1 è stata ottenuta discretizzando le funzioni densità di probabilità rispetto al valore limite inferiore e al valore limite superiore delle distribuzioni. Questo ha permesso di ottenere dei valori minimi e massimi di frequenza di rischio associate allo stesso scenario incidentale.
In ognuno dei casi, a prescindere dalle discretizzazioni, la struttura della Rete Bayesiana da mappatura Top Event è la seguente (Figura 37)
37 Rete chance caso studio 1
Per valutare i diversi scenari sono state inserite le evidenze in ciascun nodo e valutata la probabilità dello scenario finale (indicato dalla voce ‘consequence’). La frequenza associata allo scenario viene ottenuta selezionando su GeNIe la P(e) (ovvero Probabilità dell’evidenza), di cui si riporta un caso in Figura 38:
102
38 Probabilità dell'evidenza legata allo scenario di escalation non mitigata
Nel quadrante superiore della finestra di Figura 38, GeNIe restituisce il valore di frequenza ottenuto settando le diverse evidenze per le safety barriers e per il Top Event, mentre tutti i dettagli sul tipo di scenario ottenuto e le evidenze selezionate sono leggibili nella parte inferiore di figura.
Si vede in particolare come in questo caso (figura 45), avendo selezionato la voce per cui il Top Event (TE) avviene e tutte le barriere di protezione siano nello stato di guasto (fail), si sia ottenuto lo scenario finale di ‘’unmitigated escalation’’. Alcune voci sono contrassegnate con [p], compreso lo scenario finale: questa notazione indica che l’evidenza in quei nodi non è stata inserita manualmente ma che è ottenuta dalla ‘’propagazione’’ delle evidenze degli altri nodi, ovvero le condizioni attorno a quei nodi hanno fatto sì che fosse raggiunta la probabilità del 100% di uno stato dei nodi interessati.
Un esempio è quello legato alla PSV, per cui si vede che la voce ‘’PFD_PSV’’ relativa alla Probability of Failure on Demand del nodo di guasto della PSV si sia
103
automaticamente settato sullo stato di guasto avendo inserito manualmente l’evidenza di guasto sulla PSV.
Allo stesso modo sono state variate le evidenze secondo diverse combinazioni ai nodi relativi alle safety barriers, e si sono registrati i valori finali.
39 ETA caso studio 1. Fonte Landucci et. Al
Tra gli scenari ottenuti dall’Event Tree Analysis di Figura 39, sono stati selezionati i casi di Unmitigated Escalation (FO_TK3_01), un caso di Mitigated escalation (FO TK3 13), che ha la frequenza più alta di accadimento, e No escalation (FO TK316). All’uscita di ognuno dei gates relativi alle barriere di protezione, si avrà il ramo in alto relativo allo stato di guasto (fail) e in basso il ramo relativo allo stato di funzionamento (work). La schematizzazione dei casi presi in esame dall’ETA è di seguito riassunta in Tabella 13:
104
Tabella 13 Configurazioni associate agli scenari scelti per il caso studio 1
Foam sprinkler PSV Emergency Team Frequenza scenario Unmitigated Escalation(FO_TK3_01)
FAIL FAIL FAIL 1,28e-10
Mitigated
Escalation.(FO_TK3_13)
WORK WORK FAIL 2,47e-7
No Escalation (Safe) WORK WORK WORK 2,11e-6
Non è stato inserito nella rete il gate relativo alla fragilità meccanica degli apparecchi; ma si assume che da soli tank non riescano a resistere agli effetti di mitigazione. Tale semplificazione è stata fatta per validare il metodo senza aggiungere l’incognita data dalle distribuzioni di rottura dei tanks, che a loro volta dipenderebbero da tante condizioni di operatività diverse. Questo tema sarà invece trattato meglio nel Caso studio 2, dove si assumono vari gradi di escalation dipendenti anche dalla resistenza dei tank.
Nella rete Bayesiana, quindi, si procede con l’inserimento delle configurazioni di tabella 13, nei due casi discretizzati. I valori estremi ottenuti sono stati confrontati con i risultati indicati nell’Event Tree Analysis,e schematizzati in Tabella 14:
Tabella 14 confronto frequenze ETA e BN caso studio 1
(BN) Limite inferiore Event Tree Analysis (BN) Limite superiore Unmitigated Escalation
2,27e-13 1,28e-10 3,85e-8
Mitigated Escalation
7,41e-9 2,47e-7 1,60e-7
105
40 Grafico di confronto frequenze BN-ETA
Dalla rappresentazione su grafico degli scenari incidentali (Figura 40), si può vedere come il limite inferiore e superiore delle frequenze ottenute dalla rete Bayesiana contengano all’interno del loro range, i valori costanti ricavati dall’Event Tree Analysis. Questo dimostra che, a meno della scelta dei dati che sono distribuiti per la rete Bayesiana e costanti per l’Event Tree Analysis, il metodo utilizzato per la mappatura sulla rete Bayesiana permetta di ottenere delle valutazioni del rischio credibili e sia quindi un valido strumento di analisi.
7.1.1 Influenza Top Event
Si confrontano ora le frequenze degli scenari nel caso in cui si assume, nella valutazione delle frequenze di guasto di ogni barriera, che il Top Event concorra al guasto delle barriere come causa diretta. Si confrontano quindi le frequenze degli scenari dovuti a cause ordinarie (ottenute dal grafico precedente) con quelli che tengono conto del Top Event come causa diretta del guasto di tutte le barriere; il Top Event in questo caso ha una frequenza di 2,5e-6 Eventi/anno:
1,00E-13 1,00E-12 1,00E-11 1,00E-10 1,00E-09 1,00E-08 1,00E-07 1,00E-06 1,00E-05
Unmitigated escalation Mitigated Escalation No Escalation
Frequenze scenari incidentali Caso Studio 1
106
41 Grafico di confronto scenari con e senza influenza del Top event tra le cause di guasto
L’asse delle ordinate rappresenta le frequenze dai valori alti ai valori bassi; si può immediatamente notare come per le voci relative alle escalation, l’influenza del Top Event porti ad un aumento delle frequenze di guasto, mentre nel caso di mancata escalation, quindi condizione safe, la frequenza di accadimento sia diminuita. Questi dati hanno senso se si pensa che il Top Event costituisce un elemento ulteriore che concorre al guasto; sia che esso concorra in maniera indipendente dalle altre cause o si leghi ad esse, il suo contributo va in ogni caso nella direzione di aumentare le frequenze di guasto.
Dal momento che si considera la possibilità che le barriere possano essere danneggiabili dallo stesso elemento per cui si trovano installate, tale possibilità non può che rendere più vulnerabili le barriere.
7.1.2 Update delle Probabilità di guasto:
Come si vede dalla figura 46 i casi di escalation mitigata possono avvenire per diverse configurazioni di guasto/ funzionamento delle barriere. Per ciascuna configurazione c’è una frequenza diversa; si può notare come, guardando i valori dei Final Outcomes a destra dell’albero, il caso di escalation mitigata con valore più alto sia il FO_TKE_13, che per questo motivo è stato preso in esame come scenario rappresentativo delle escalation mitigate per la validazione del metodo.
0,00E+00 1,00E-07 2,00E-07 3,00E-07 4,00E-07 5,00E-07 6,00E-07 7,00E-07 8,00E-07
CAUSE ORDINARIE TOP EVENT
Influenza Top Event nelle frequenze scenari incidentali
107
La verifica che ora si vuole effettuare è quella relativa al fatto che, tramite la Rete Bayesiana, è possibile riconoscere le configurazioni più probabili di uno stesso scenario ‘‘a posteriori’’, ovvero partendo dall’evidenza di accadimento dello scenario e risalendo alla sua configurazione. Questa possibilità è molto utile se non si ha un Albero degli Eventi di riferimento per il caso di studio ma si applica direttamente il metodo dell’analisi del rischio con la rete Bayesiana, senza avere un’idea estesa e dettagliata delle diverse configurazioni e dei diversi scenari. Si procede quindi con l’algoritmo dell’annealed MAP già presentato precedentemente, e si va alla ricerca della Most Probable Configuration per lo scenario di Escalation Mitigata. In questo caso, la discretizzazione della distribuzione è stata fatta sui valori medi per garantire dei risultati simili a quelli costanti dell’Albero degli Eventi, per permettere un buon confronto.
Dalla figura 49, si vede che, avendo inserito tra i nodi da analizzare tutte le safety barrier presenti nel caso studio, e avendo settato l’evidenza sulla escalation mitigata, si sia ottenuto che la most probable configuration per lo scenario mitigato è quello per cui si ha il fallimento dell’intervento esterno, il funzionamento dello sprinkler a schiuma e il funzionamento della PSV.
Il valore associato della frequenza di accadimento ( Figura 42) è proprio quello relativo al caso del FO_TK3_13.
108
Oltre alla configurazione più probabile, però, siamo anche interessati a valutare qual è la probabilità a posteriori relativa ai guasti delle barriere. Questo perché, dal momento che i valori distribuiti precedentemente sono relativi a contesti di incertezza, tramite le evidenze è possibile riadattare le probabilità a valori più realistici.
Data quindi la configurazione della escalation mitigata, si ricavano le probabilità a posteriori delle barriere tramite la JPD (Joint Probability Distribution). Viene presa in esame la probabilità di guasto dello sprinkler a schiuma.
GeNIe permette di vedere graficamente le probabilità di ciascuno stato collegato alla Barriera (Figura 43); una volta inserita l’evidenza di escalation mitigata, si può risalire alla JPD della barriera scegliendo anche i nodi rispetto ai quali fare tale valutazione a posteriori.
Dalla figura 44 si vede la relazione tra lo sprinkler foam e le altre barriere di protezione. In particolare, si vede dalla colonna ‘’marginals’’ la nuova probabilità a posteriori relativa agli stati dello sprinkler data dall’evidenza dell’escalation mitigata, e nelle colonne intermedie il contributo di ciascuna barriera nell’aggiornamento della probabilità.
109
44 Probabilità condizionate a posteriori Foam Sprinkler
Questo aggiornamento può essere fatto per tutte le barriere. Nel caso studio 1 il risultato di tali valutazioni viene riportato nel grafico di Figura 45:
45 Grafico Update delle probabilità per escalation mitigata 0 0,1 0,2 0,3 0,4 0,5 0,6 0,7 0,8 FOAM PSV EXT
Probability Update data Escalation Mitigata
110
L’escalation, seppur mitigata, è di per sé una condizione inaspettata nel momento in cui si assume che le barriere siano in funzione e siano ad alta efficienza. Per questo motivo, essendo avvenuta l’escalation, le probabilità a posteriori di guasto risultano più alte rispetto ai valori precedentemente inseriti.
Questa condizione può presentarsi sia se la scelta dei valori a priori è poco realistica ma anche se, durante la vita dell’impianto, la barriera è soggetta ad un peggioramento delle proprie performance dovute all’utilizzo o al degradamento di qualche sua componente nel tempo. A tal proposito si riportano i risultati dati dall’adattamento delle probabilità di guasto delle barriere se alcuni scenari si ripetono nel tempo.
7.1.3 Adaptation delle probabilità
Per la configurazione degli Eventi che si susseguono nell’arco dei quattro anni presi in esame nel caso studio, sono stati registrati i valori delle probabilità di guasto delle barriere riportati in Tabella 15:
Tabella 15 Probabilità adattate da evidenze multiple
% PROBABILITIES FOAM SPRINKLER PSV EMERGENCY TEAM PRIOR FAIL 5 0,1 25 WORK 95 99,9 75 ADAPT YEAR 1 FAIL 43,54 6,3 82,61 WORK 56,46 93,7 17,39 ADAPT YEAR 2 FAIL 46,76 5,36 85,57 WORK 53,24 94,64 14,43 ADAPT YEAR 3 FAIL 48,2 6,12 88,7 WORK 51,8 93,88 11,3 ADAPT YEAR 4 FAIL 47,03 5,8 89,1 WORK 52,97 94,2 10,9
111
46 Adattamento probabilità di guasto barriere
La rappresentazione grafica di Figura 46 fornisce una visione più diretta della misura di ‘peggioramento’ delle performance delle barriere. In questo caso sono rappresentate le probabilità di guasto nel tempo. Dal quarto anno di analisi in poi, è chiaro che le aspettative sulle barriere saranno molto diverse rispetto all’anno di installazione ( di inizio delle analisi di adattamento).
Notare che è stata inserita anche la barriera relativa ad emergenza esterna, in questo caso ha meno senso parlare di danneggiamento della barriera, visto che si tratta di un gruppo di intervento. In questo caso però, la funzione di adattamento delle performance del gruppo di emergenza servono per capire, nella stima degli errori umani, quanto siamo lontani dai casi reali.
0 10 20 30 40 50 60 70 80 90 100
prior year 0 year 1 year 2 year 3 year 4
Probability Adaptation
112
7.2 Caso Studio 2- Analisi Cost Effectiveness
Si riportano ora i risultati relativi alle configurazioni ottimali di barriere nei diversi gradi di escalation, considerando che tali configurazioni prevedono l’utilizzo di una sola barriera tra un tank e l’altro.
7.2.1 Un grado escalation:
47 Rete Chance caso studio 2
La struttura della rete è riportata in Figura 47. Si inserisce al Top Event una frequenza tipica di accadimento di 2,5e-6 Eventi/anno. Viene così ricavato il valore delle frequenze dello scenario secondario analizzando l’intervento di ogni barriera singola (Tabella 16). A questi valori viene associato il costo di configurazione e viene effettuata una rappresentazione sul diagramma cost- effectiveness per ricavare la configurazione migliore (Figura 48).
113
Tabella 16 Frequenze secondario in funzione della configurazione barriere scelta
No barriera (B0) Foam Sprinkler (B1) Water sprinkler (B2) Water Deluge System (B3) Frequenza secondario (Eventi/y)
2,5e-6 1,91e-7 7,39e-8 1,56e-7
Probabilità secondario (%) 100 7,64 2,96 6,24 Costo configurazione (euro) 0 350000 250000 200000
48 Grafico cost-effectiveness per un grado di escalation
La valutazione della distanza di ogni punto dalla condizione di Utopia (all’origine degli assi) dimostra che la configurazione ottimale in termini di costi e di abbassamento della vulnerabilità è data dalla barriera B2.
B1 B2 B3 B0 0 0,5 1 1,5 2 2,5 3 3,5 4 4,5 0,00 5,00 10,00 15,00 20,00 25,00 30,00 COS TO (10^ 6 EURO) PROBABILITA' ESCALATION
114
7.2.2 Due Gradi escalation:
Viene ripetuta la stessa analisi nel caso in cui si abbiano due gradi di escalation, ovvero, il caso in cui l’incidente Primario prevede che ci sia un secondario ed un terziario. I questo caso, verrà inserita all’interno del nodo Top Event la frequenza di ogni scenario secondario ricavato dal caso precedente, per valutare la configurazione di due barriere ottimale.
Vengono riportati i risultati per le coppie di configurazioni in cui al secondario si ha la barriera B2 e la B3, dato che sono risultate le due alternative più competitive (Tabella 17).
Tabella 17 Frequenze secondario in funzione della configurazione barriere scelta
(B2+B0) (B2+B1) (B2+B2) (B2+B3)
Frequenza terziario (Eventi/y)
1,55E-7 1,13E-8 9,86E-9 4,69E-9
Probabilità terziario (%) 100 0,3944 0,1876 0,1976 Costo configurazione (euro) 250000 600000 500000 450000 (B3+B0) (B3+B1) (B3+B2) (B3+B3) Frequenza terziario (Eventi/y)
7,47E-8 6,11E-9 4,64E-9 2,25E-9
Probabilità terziario (%) 100 0,244 0,1856 0,09 Costo configurazione (euro) 200000 550000 450000 400000
115
49 Grafico cost-effectiveness per due gradi di escalation
Nel grafico Cost-effectiveness di figura 49, si vede in modo più immediato che la configurazione migliore delle barriere è la B3+B3, ovvero quella che prevede una protezione B3 a proteggere il secondario e una B3 al terziario. Questa configurazione non è quella che ci si sarebbe aspettati all’inizio, poiché essendo la B2 la configurazione ottimale con un grado di escalation, ci si aspettava comunque una configurazione B2 al secondario. In questo caso il peso del cambio di configurazione è dato dal costo. Una configurazione B2+B2, per esempio, costa molto di più; inoltre, nel caso di due gradi di escalation, un investimento di costo più alto al secondario è poco utile, perché in questo caso la barriera al secondario non può effettuare una funzione protettiva dato che ci sarebbe i cedimento diretto del tank.
100 200 300 400 500 600 700 0,00 0,10 0,20 0,30 0,40 0,50 0,60 0,70 0,80 0,90 1,00 COS TO (10^ 6 EURO) PROBABILITA' ESCALATION
116
7.3.3 Applicazione configurazioni al caso studio:
Si procede alla modellazione dello scenario Pool Fire in caso di rottura lieve e catastrofica ai nodi 3 e 7 (Figura 50).
50 Configurazione Caso studio 2
Viene utilizzato il software ALOHA per la modellazione di tali scenari facendo una serie di considerazioni:
1. Il nodo 3 e 7 contengono benzene 2. Condizioni tank atmosferiche 3. Vento in direzione ESE
4. Condizioni meteo stabili (5D)
5. Tank cilindrici del diametro di 15m e altezza 8m
Le distanze tra i nodi sono necessarie per capire il grado di coinvolgimento di ciascun nodo in un incidente primario (Figura 51):
117
Rottura lieve
Si assume per questo caso un foro di 2,5’’ a 20 cm dal suolo, il livello del benzene è al 60% dell’altezza del tank. Per la modellazione sono state prese come riferimento le linee guida del Purple Book (Uijt de Haag P.A.M., (1999)). Di seguito la mappatura delle varie soglie di radiazione (Figura 52).
52 Mappatura Pool Fire relativo a rottura lieve (ALOHA)
Dalla mappatura si vede che gli effetti di radiazione di soglia per l’escalation, sia se consideriamo che il primario interessi il nodo 3 o il nodo 7, non vanno a colpire direttamente i nodi nelle vicinanze. Ciò significa che non si ha la rottura diretta per cedimento dei tank ma è possibile che ci sia una propagazione degli effetti se l’incendio si alimenta per molto tempo e se la radiazione incidente sui tank non viene mitigata. Per questo motivo in questo caso si può assumere che nel caso peggiore si può avere al massimo un grado di escalation e quindi si potranno predisporre le barriere più adeguate nei nodi nei dintorni dei tank interessati.
118
Rottura catastrofica
Si procede alla modellazione con le stesse condizioni operative e meteo del caso precedente, ma in questo caso si assume che ci sia una rottura catastrofica del tank (Figura 53).
53 Mappatura Pool Fire Rottura Catastrofica (ALOHA)
Il raggio relativo alla soglia di escalation risulta essere ora molto più ampio del caso precedente, tanto da interessare sicuramente i nodi nelle vicinanze sia del tank 3 che del tank 7. Essendo quindi molto probabile che in questo caso ci sia il