13
TEORIA E APPLICAZIONE DELLE TECNICHE PER LA VALUTAZIONE DEL RISCHIO IN
ACCORDO CON LE DIRETTIVE DELLA LEGGE SEVESO
1.0Introduzione
Il primo stadio dell’analisi di rischio consiste nell’individuazione di tutti gli eventi incidentali che possano ritenersi significativi e che possono verificarsi durante l’attività produttiva. Questa operazione viene svolta prendendo in esame tutte le variabili del sistema, in relazione alle varie procedure, alle varie apparecchiature e alle varie condizioni ambientali, tipiche del sistema considerato.
Il secondo stadio consiste nell’individuazione delle cause che possono generare l’evento “incidente”. In questa fase si fa spesso riferimento all’analisi storica degli incidenti avvenuti in passato, che hanno interessato sistemi simili a quello in esame e ne hanno avuto connotazioni simili. L’analisi storica inoltre rappresenta una buona base per stimare le frequenze di accadimento e le possibili conseguenze derivanti dall’evento incidentale considerato.
Una volta individuate queste variabili, si passa alla valutazione del rischio. Il verificarsi di un ipotetico incidente, malgrado tutti i possibili accorgimenti che si possano prendere, non potrà mai essere scongiurato completamente. Lo scopo dell’analisi di rischio è quello di valutare se la probabilità che l’evento incidentale considerato abbia luogo, è abbastanza bassa da permettere che il rischio relativo possa definirsi accettabile.
L’accettabilità del rischio è un parametro basato su criteri legislativi, tecnici, sanitari, ambientali, ma anche economici. Ad esempio, nell’analisi di sicurezza relativa ad un sistema che, in determinate condizioni, può essere interessato da un rilascio di materiale innocuo, ma di grande valore, il rischio accettabile è rappresentato dalla massima perdita, in termini economici, che l’azienda è disposta ad accettare nel caso in cui il rilascio detto avesse luogo. Le tecniche con le quali viene svolta l’analisi di rischio sono molteplici, e tutte prevedono un’ottima conoscenza del processo e di tutte le variabili che lo interessano, a partire da quelle tecniche (e quindi relative all’impianto, alle apparecchiature, alle caratteristiche dei materiali impiegati ecc.), fino a quelle ambientali (posizione geografica del sito e vicinanza a zone più o meno intensamente popolate).
L’analisi di un sistema complesso, quale un intero insediamento industriale, deve necessariamente essere svolta da un team, composto da specialisti dei vari aspetti del problema, ciascuno dei quali deve dare il proprio contributo alla valutazione del rischio, ma
14
soprattutto alla scelta delle azioni correttive da effettuarsi sul processo (e quindi sull’impianto) per rendere, in definitiva, accettabile il rischio stesso.
Le tecniche di analisi del rischio possono essere catalogate in due categorie a seconda degli obiettivi che si pongono:
• tecniche qualitative; • tecniche quantitative
L’obiettivo delle tecniche qualitative è quello di identificare tutti i possibili eventi incidentali significativi che possono interessare l’impianto, le cause che possono averli generati e la portata delle conseguenze che ne derivano. In altre parole la tecnica qualitativa mira all’individuazione di quello che viene definito scenario incidentale.
Una volta generati gli scenari incidentali, l’obiettivo delle tecniche quantitative è quello di stimare la probabilità di accadimento relativa ad ogni scenario e di valutarne, conseguentemente, il rischio. Successivamente, il team di analisi dovrà discutere l’accettabilità del rischio valutato e, qualora il rischio fosse ritenuto troppo elevato, individuare gli eventuali interventi da compiere sul processo (e quindi sull’impianto) per ridurre, rendendolo accettabile, il rischio stesso.
L’analisi di rischio, condotta secondo le direttive della legge Seveso, segue una ben definita procedura e si compone delle seguenti azioni:
• classificazione delle aree di impianto secondo la pericolosità; • individuazione degli eventi;
• individuazione delle relative cause;
• stima delle frequenze di accadimento degli eventi; • stima dei danni provocati dagli eventi;
• valutazione del rischio;
15 1.1 Teoria dell’analisi ad indici
La classificazione delle aree dell’impianto, in relazione alla loro pericolosità viene effettuata per mezzo dell’analisi ad indici. Tale metodo si basa su tre decreti di riferimento, in funzione del tipo di sostanza e di operazione che saranno oggetto dell’analisi:
• DPCM 31/03/1989: “Applicazione dell'art. 12 del decreto del Presidente della Repubblica 17 maggio 1988, n. 175, concernente rischi rilevanti connessi a determinate attività industriali”.
• DM 15/05/1996: “Criteri di analisi e valutazione dei rapporti di sicurezza relativi ai depositi di gas e petrolio liquefatto”.
• DM 20/10/1998: “Criteri di analisi e valutazione dei rapporti di sicurezza relativi ai depositi liquidi facilmente infiammabili e/o tossici”.
A prescindere dal decreto di riferimento, l’analisi ad indici si compone di tre fasi: • suddivisione dell’impianto in unità;
• valutazione dei parametri intrinseci; • valutazione dei parametri compensati.
Con riferimento al DPCM 31/03/1989, per unità si intende: “una parte di impianto che può essere logicamente caratterizzata come entità fisica separata. Indipendentemente dall’essere separata dalle unità adiacenti, una unità si distingue per la natura del processo condotto, per le sostanze contenute in essa o per le sue condizioni operative”.
Una volta suddiviso l’impianto in unità, si procede con l’analisi di ognuna di esse.
Innanzitutto viene individuata la sostanza chiave e valutato il fattore di sostanza B. La sostanza predominante o chiave è quel composto o miscela di composti presente nell’unità che, per le sue proprietà intrinseche e per le quantità presenti, fornisce il potenziale maggiore nel caso di rilascio di energia a seguito di combustione, esplosione o reazione esotermica.
Il fattore di sostanza è la misura del contenuto di energia per unità di peso della sostanza presente e costituisce il punto di partenza per il calcolo degli indici.
Durante la valutazione dei parametri intrinseci, al fattore di sostanza vengono aggiunti altri fattori di personalizzazione che dipendono dai seguenti parametri:
16
• qualsiasi particolare proprietà della sostanza che possa accrescere il rischio potenziale M;
• effetti derivanti dal tipo di processo P;
• effetti derivanti dalle condizioni particolari di S; • quantità coinvolte Q;
• particolarità derivanti dalla sistemazione in pianta (“layout”) dell’impianto L; • tossicità T della sostanza ai fini dell’intervento dell’operatore.
La combinazione di tutti questi fattori, secondo le formule riportate nei tre decreti di riferimento, permette la definizione dell’indice globale di rischio G.
Nella seconda fase, riguardante la compensazione, si prendono in considerazione i sistemi di sicurezza e di organizzazione, che contribuiscono a ridurre sia il numero di incidenti che l’entità potenziale degli stessi. Durante questa fase, a seconda dell’azione mitigativa che svolgono sul processo, vengono calcolati i seguenti fattori di compensazione:
• contenimento K1;
• controllo del processo K2;
• atteggiamento nei riguardi della sicurezza K3; • protezioni antincendio K4;
• isolamento ed eliminazione delle sostanze K5; • operazioni antincendio K6;
La combinazione di questi fattori con gli indici intrinseci, secondo le formule riportate nei tre decreti di riferimento, permette la definizione dell’indice globale di rischio compensato G’.
Per categorizzare le varie aree dell’impianto, si devono confrontare gli indici calcolati con i parametri di riferimento contenuti nelle tabelle riportate in seguito.
Per quanto riguarda lo stoccaggio di sostanze pericolose (DM 15/05/96 e DM 20/10/98) vengono utilizzati l’indice di rischio globale G e dell’indice di tossicità T. Come si nota la scala va dall’area meno pericolosa (A) a quella più pericolosa (D).
17 G T A 0 - 100 0 - 25 B 101 - 1100 26 - 50 C 1101 - 12500 51 - 100 D > 12500 > 100
Tabella 1.1: Categorie di riferimento per lo stoccaggio di sostanze pericolose
Per quanto riguarda i processi più complessi (DPCM 31/03/89) la categorizzazione utilizza un numero di parametri maggiore: oltre a G e T si tiene conto anche degli indici di incendio (F), esplosione in aria (A), esplosione confinata (C).
G F A C T Lieve 0 - 20 0 - 2 0 - 10 0 - 1.5 0 - 5 Basso 20 - 200 2 - 5 10 - 30 1.5 - 2.5 5 - 10 Moderato 200 - 500 5 - 10 30 - 100 2.5 - 4 10 - 15 Alto I 500 - 1100 10 - 20 100 - 400 4 - 6 15 - 20 Alto II 1100 - 2500 20 - 50 - - - Molto alto 2500 - 12500 50 - 100 400 - 1700 > 6 > 20 Grave 12500 - 65000 100 - 250 > 1700 - - Gravissimo > 65000 > 250 - - -
18 1.2 Teoria dell’analisi di operabilità (HazOp) [1]
La fase successiva dell’analisi di rischio, consiste nella determinazione degli eventi incidentali che possono interessare l’impianto e delle cause che possono scatenarli. Per svolgere questa operazione si ricorre ad una tecnica qualitativa che prende il nome di analisi di operabilità (HazOp).
Attraverso questo tipo di analisi è possibile prevedere le deviazioni a carico di una funzione, svolta da un insieme di elementi costituenti l’impianto, e suddividere le cause e le conseguenze della deviazione stessa. In questo modo si crea un collegamento logico deviazione-causa-conseguenza utile per la costruzione di sequenze incidentali che, partendo da guasti di elementi semplici, possono provocare il malfunzionamento di sistemi complessi e quindi l’incidente, definito come Top Event.
Seguendo le linee guida sviluppate presso l’Imperial Chemical Industry (I.C.I.) nel 1974 e successivamente perfezionate, si sottopone l’impianto esistenze o il progetto ad un’analisi quanto più sistematica possibile con due obiettivi principali:
• definire complessivamente le modalità di realizzazione dell’impianto;
• identificare le zone che richiedono uno studio più approfondito a causa della loro complessità.
L’analisi deve essere condotta attivamente, in maniera rigorosa e con un certo grado di formalizzazione da tutti coloro che operano nella realizzazione del progetto, cercando di includere ogni elemento. Perciò è indispensabile suddividere l’impianto in un certo numero di sistemi, definiti nodi, a ciascuno dei quali viene applicata l’analisi; per un impianto complesso si può procedere con la scomposizione in diverse sezioni più grandi (nodi di frontiera) che vengono poi a loro volta suddivise in sottosistemi (nodi interni). Il grado di dettaglio con il quale si suddivide l’impianto dipende dalla complessità e pericolosità dello stesso, nonché dall’esperienza acquisita per casi analoghi.
Una volta fatta la suddivisione dell’impianto, vengono definite le variabili fisiche di interesse relative ad ogni nodo. Per ogni variabile si deve valutare ogni possibile deviazione, causa e conseguenza cui essa può dar luogo, rispetto ad altre deviazioni sia all’interno del nodo che in altri nodi del sistema in esame o contigui.
L’analisi viene effettuata compilando tabelle che riportano per ogni nodo considerato le deviazioni della grandezza in esame, le cause di tali deviazioni, le conseguenze che le deviazioni
19
hanno sul funzionamento del sistema in esame, i sistemi per il rilievo delle deviazioni, le protezioni previste nell’impianto, le azioni correttive che possono essere attuate sull’impianto e le note degli analisti.
Per identificare le possibili deviazioni vengono utilizzate delle “parole guida” (quantitative e qualitative) che vengono applicate ai parametri di processo. Nella seguente tabella vengono riportate tali parole guida e le deviazioni da esse generate.
PAROLE GUIDA DEVIAZIONE GENERATA
Nessuno − Nessuna portata
− Flusso invertito
Più di − Maggiore portata, temperatura, pressione, viscosità, etc… rispetto alla norma
Meno di − Difetto di portata, temperatura, pressione, viscosità,etc… rispetto alla norma
Parte di − Cambiamenti di composizione del flusso rispetto alle condizioni normali
Più che − Presenza di impurezze o di fasi indesiderate
Altro − Diverse altre operazioni che possono avvenire oltre a quelle normali come la messa in marcia, la fermata, la manutenzione, il cambio dei catalizzatori, la mancanza di fluidi di servizio, etc…
Tabella 1.3: Analisi di operabilità, parole guida e deviazioni generate
Terminata la fase di compilazione delle tabelle formali, relative a tutti i sottosistemi in cui si è suddiviso l’impianto, si deve verificare la correttezza di tali tabelle. Si opera controllando che tutte le variabili di processo siano state prese in considerazione, con le relative deviazioni. Si procede, così, al controllo incrociato delle colonne causa/deviazione/conseguenza, ossia ogni conseguenza di una data deviazione (che non rappresenti un Top Event) deve potersi ritrovare a sua volta sviluppata come deviazione, avente come causa la deviazione in esame. Allo stesso modo ogni causa di data deviazione, che non sia un evento primario, deve potersi trovare sviluppata come la deviazione la cui conseguenza è la causa in esame.
20 1.3 Teoria della tecnica dell’albero dei guasti [1]
Terminato il controllo per ogni variabile di processo, i risultati dell’analisi di operabilità vengono presentati e letti attraverso la costruzione dell’albero dei guasti, che rappresenta un’analisi del rischio di tipo quantitativo.
La sua costruzione prevede un procedimento a ritroso, che parte dal Top Event, e procede analizzando la causa dell’ultima deviazione che determina il Top stesso. Tale causa, a sua volta, viene trattata come deviazione per risalire a tutte le cause che ad essa possono concorrere, ogni volta che si verifica un guasto delle protezioni (automatiche o manuali), previste nel progetto.
L’albero dei guasti, quindi, è l’espansione di ogni causa fino alla determinazione degli “eventi primari”, i quali non sono più sviluppabili, e consiste nella rappresentazione grafica delle relazioni logiche tra eventi che, verificandosi, comportano l’accadimento dell’evento indesiderato (Top Event).
Il Top Event rappresenta l’evento indesiderato di cui si vogliono determinare le cause e quantificare le probabilità di accadimento (ad esempio rilascio di sostanza, esplosione di un serbatoio, impossibilità di funzionamento del sistema).
L’albero dei guasti, pertanto, fornisce una descrizione dei possibili malfunzionamenti, in grado di far verificare direttamente o indirettamente l’evento indesiderato.
La sua costruzione inizia con la definizione del Top Event e della sua relazione con gli eventi che portano al suo verificarsi; per ognuno di questi eventi viene applicato lo stesso procedimento di ricerca delle relative cause, e così via fino all’identificazione degli eventi primari. Gli eventi primari rappresentano il limite di sviluppo dell’albero dei guasti e, solitamente, sono associati al guasto di componenti o sottosistemi che non si ritiene utile decomporre ulteriormente e per i quali sia noto il comportamento affidabilistico. Una volta determinate le cause primarie si procede con l’assegnazione delle probabilità di fallimento delle singole componenti. Per arrivare a stabilire la probabilità di accadimento del Top Event si procede moltiplicando le probabilità degli eventi che devono verificarsi contemporaneamente (secondo la porta logica “and”) e sommando le probabilità degli eventi che possono verificarsi alternativamente (secondo la porta logica “or”).
L’albero dei guasti rappresenta una tecnica consolidata e molto affidabile, ma risulta molto complicata sia dal punto di vista della costruzione che della comprensione.
21
Durante lo svolgimento del lavoro che è oggetto di questo testo, tale tecnica non è stata utilizzata, ma è stata sostituita con la metodologia LOPA che, come sarà spiegato dettagliatamente in seguito, rappresenta una tecnica quantitativa di facile utilizzo.
1.4 Teoria dell’analisi delle conseguenze [1]
Una volta calcolato il termine probabilistico del rischio, si procede con la determinazione della magnitudo delle possibili conseguenze, derivanti dal verificarsi dei singoli Top Event. In questo modo sarà possibile determinare il rischio associato ad ogni possibile incidente.
I fattori che influenzano il tipo delle conseguenze sono principalmente: • portata e quantità del rilascio;
• possibilità e velocità di innesco; • condizioni meteorologiche; • layout dell’area circostante. 1.4.1 Dispersione
La dispersione dipende dalla velocità iniziale e dalla densità del vapore o del gas rilasciato: • rilascio con grande energia cinetica: getti (velocità superiore a 20 m/s);
• rilascio con energia cinetica trascurabile:
• gas o vapore con densità simile a quella dell'aria; • gas o vapore con densità superiore a quella dell'aria.
Il fenomeno della dispersione è fortemente influenzato sia dalle condizioni meteorologiche che da quelle topografiche (layout dell’area circostante). La principale causa della dispersione è il vento, caratterizzato dalle seguenti variabili:
a) la direzione dalla quale proviene;
b) la velocità, o più precisamente il profilo verticale di velocità; c) la persistenza e la regolarità del regime anemologico; d) la turbolenza.
Altre variabili che condizionano la dispersione sono l’irraggiamento solare e il gradiente verticale di temperatura. Lo studio di tutti questi fenomeni ha permesso di rappresentare le
22
condizioni meteorologiche suddividendole secondo il modello delle classi di stabilità, proposto da Sutton e Pasquill-Gifford. Le classi di stabilità sono riportate nella seguente tabella.
Classe Descrizione Gradiente °C/100m
A molto instabile dT dz <<<< −−−−1 9. B instabile −−−−1 9. <<<<dT<<<< −−−−1 7. dz C debolmente instabile −−−−1 7. <<<<dT<<<< −−−−1 5. dz D neutra −−−−1 5. <<<<dT <<<< −−−−0 5. dz E debolmente stabile −−−−0 5. <<<<dT<<<< ++++1 5. dz F stabile dT dz >>>> ++++1 5.
Tabella 1.4: Classi di stabilità
Oltre all’aspetto meteorologico la dispersione è fortemente influenzata dall’orografia e dalla presenza di ostacoli al suolo.
1.4.2 Incendi Jet fire
Il rilascio di una sostanza infiammabile, direttamente in atmosfera, che trova un innesco immediato dà origine ad un jet fire. La probabilità di innesco è legata alla portata portata del rilascio e al grado di vaporizzazione della sostanza che viene in contatto con l’ambiente esterno.
Pool fire
Il rilascio sul suolo di una sostanza infiammabile che tende a rimanere liquida dà origine ad una pozza evaporante. Se si verifica l’innesco, l’evento che ne scaturisce prende il nome di pool fire.
23 Flash fire ed esplosione
Se l’innesco non è immediato la sostanza, sia che si disperda direttamente in atmosfera, sia che provenga dall’evaporazione di una pozza di liquido, genera una nube soggetta a dispersione. La pericolosità della nube è legata alla concentrazione della sostanza infiammabile e quindi ai limiti di infiammabilità (LFL ed HFL). Di conseguenza la nube non sarà infiammabile vicino al punto di rilascio e ad una distanza alla quale sarà sufficientemente dispersa nell’atmosfera. Le caratteristiche della nube che si forma dipendono dalla modalità e dal tempo in cui avviene il rilascio, che può essere:
• finito, proprio di un fenomeno transitorio, (istantaneo o temporaneo); • infinito, proprio di un fenomeno stazionario (prolungato o continuo).
Se l’innesco è ritardato la nube può dar luogo ad un flash fire o ad un’esplosione non confinata. Il flash fire è un incendio istantaneo dei vapori infiammabili, non genera onde di pressione e si verifica se la nube è libera di espandersi.
Se invece la nube subisce un qualche confinamento, dovuto al congestionamento dell’area in cui si verifica il rilascio o al fatto che la nube stessa si propaga all’interno di un locale chiuso, l’innesco dà origine ad un’esplosione con la generazione di un’onda di pressione.
BLEVE e Fireball
Se un’apparecchiatura è soggetta all’irraggiamento, provocato da un incendio che si verifica nelle sue vicinanze, il rischio è quello che si verifichi il rammollimento del materiale che compone il fasciame, con il conseguente cedimento catastrofico della struttura.
Prendendo come esempio un serbatoio di propano stoccato come gas liquefatto in pressione, esposto ad una fiamma esterna, in ordine cronologico avvengono:
• riscaldamento della massa e aumento della pressione interna; • apertura della valvola di sicurezza con rilascio di parte del materiale;
• abbassamento del livello di liquido all’interno del serbatoio per aperture successive della PSV;
• rammollimento dell’acciaio, componente il mantello, esposto alle fiamme e non più raffreddato dal liquido;
24
A questo punto la totalità del materiale ancora contenuto nel serbatoio si ritrova istantaneamente alla pressione ambiente. La conseguenza è un’espansione immediata e molto violenta che genera un’onda di pressione e che prende il nome di BLEVE (Boiling Liquid Expanding Vapour Explosion).
Se contemporaneamente si verifica anche l’innesco, praticamente certo per questo tipo di scenari, l’evento che ne scaturisce prende il nome di fireball.
I due eventi descritti rappresentano gli incidenti peggiori dal punto di vista della magnitudo delle conseguenze.
1.4.3 Aree di danno
La gravità delle conseguenze di uno scenario dipende principalmente da due fattori: • l’ampiezza dell’area che viene interessata;
• le conseguenze fisiche sulle persone e sulle cose.
A seconda dell’evento che si sta analizzando vengono definite le cosiddette aree di danno, cioè le distanze dalla sorgente dello scenario, alle quali si verificano dei particolari danni alle cose e lesioni alle persone.
Per la determinazione delle aree di danno si utilizza il modello a soglie, descritto nel DM 09/05/2001 e riportato nella seguente tabella.
