🛡️ Safety: le cause del disastro di Sayano-Šušenskaja secondo la sicurezza di processo

L’applicazione del Process Safety Management (PSM) è una parte essenziale della sicurezza industriale negli impianti produttivi pericolosi, in primo luogo quelli delle classi di pericolo I e II.

I principi di base del PSM sono universali. Possono essere applicati con successo non solo nell’industria chimica, per la quale sono stati creati, ma anche in qualsiasi altro settore.

Il PSM è un sistema organizzativo che comprende strumenti di gestione e controllo: standard, procedure, programmi, ispezioni, prove, valutazioni e audit.

Concettualmente il PSM è composto da 14 elementi interconnessi (OSHA 29 CFR 1910.119), che possono essere raggruppati in tre blocchi:

1. Persone: coinvolgimento dei lavoratori; formazione del personale; gestione degli appaltatori; permessi per i lavori a caldo; indagine su incidenti e infortuni; preparazione alle emergenze; audit e ispezioni; tutela dei segreti commerciali.
2. Tecnologia: informazioni sulla sicurezza dei processi; analisi dei pericoli di processo; standard e procedure operative; gestione delle modifiche.
3. Impianti: verifiche di sicurezza prima dell’avviamento; integrità meccanica delle apparecchiature.

Come strumento analitico, il PSM consente di individuare molto più delle evidenti violazioni dei requisiti vigenti di sicurezza industriale.

Il pregio principale del PSM è che permette di individuare ed eliminare per tempo le carenze sistemiche che creano i presupposti di incidenti gravi e catastrofici.

A questo proposito vale la pena ricordare il più grave incidente della storia dell’idroelettrico russo, avvenuto il 17 agosto 2009 nella centrale di Sayano-Šušenskaja.

L’incidente è costato la vita a 75 persone. Altri 13 lavoratori sono rimasti feriti. Il danno economico ha superato i 7 miliardi di rubli. I successivi costi di ricostruzione della centrale hanno superato i 40 miliardi di rubli.

Che cosa è successo

1. Durante l’ennesima riduzione controllata della potenza, il gruppo idroelettrico n. 2 (GI-2) è uscito dal normale regime di funzionamento entrando in una zona di vibrazioni elevate.
2. Sotto la pressione dell’acqua in ingresso, il rotore del GI-2 ha iniziato a spostarsi verso l’alto, provocando la rottura dei prigionieri di fissaggio del coperchio della turbina e la perdita di tenuta del gruppo.
3. L’acqua che entrava sotto pressione ha causato il rapido allagamento e la distruzione della sala macchine, oltre che di altri edifici e strutture della centrale.

L’indagine ha stabilito che la causa immediata dell’incidente è stata la rottura dei prigionieri di fissaggio del coperchio della turbina del GI-2, mentre il gruppo veniva nuovamente portato in un regime di funzionamento sconsigliato a causa delle vibrazioni elevate.

Analizzando le circostanze e le cause dell’incidente dal punto di vista del PSM, troveremo un intero insieme di carenze sistemiche nella gestione della sicurezza di processo. Per brevità ne citerò qui solo alcune, tra le più importanti, seguendo i classici elementi del PSM.

Elemento «Informazioni sulla sicurezza dei processi»

Tali informazioni erano presenti in centrale, ma erano chiaramente incomplete e non rispecchiavano la situazione reale, formatasi molto prima dell’incidente.

• Non erano stati definiti limiti operativi sicuri per la turbina del GI-2 tali da escludere pulsazioni di pressione e vibrazioni elevate del gruppo dovute a processi idrodinamici.
• Il sistema di monitoraggio continuo delle vibrazioni (apparecchiatura critica per la sicurezza) non era stato messo in servizio sul GI-2 e non veniva considerato nelle decisioni sulla regolazione della potenza del gruppo.
• Non erano stati stabiliti requisiti per il controllo della tenuta della turbina idraulica e degli assiemi di fissaggio.
• Non era previsto nemmeno un controllo non distruttivo periodico dei prigionieri e degli altri elementi di fissaggio.

Elemento «Analisi dei pericoli di processo»

Da quanto sopra risulta che tale analisi non copriva adeguatamente le apparecchiature critiche per la sicurezza né i mezzi di comando e controllo. Di conseguenza, l’insieme delle misure di protezione adottate ha smesso di corrispondere alla situazione reale della centrale e ai rischi emergenti.

Elemento «Preparazione alle emergenze»

• Il piano di prevenzione e gestione delle emergenze non prevedeva lo scenario di allagamento degli edifici della centrale.
• Di conseguenza non venivano svolte le relative esercitazioni e non era prevista l’evacuazione degli appaltatori, compresi quelli ai piani situati sotto la quota del livello dell’acqua.
• I mezzi di comunicazione operativa e di allarme di emergenza sono stati messi fuori uso già nei primi istanti dell’incidente.

Elemento «Standard e procedure operative»

• La documentazione di esercizio non stabiliva requisiti per il controllo dello stato e della vita utile degli assiemi di fissaggio che garantivano la tenuta del GI-2.
• Tale controllo veniva eseguito solo visivamente durante i lavori programmati, senza applicare metodi di rilevamento non distruttivo dei difetti.
• È significativo che il bloccaggio obbligatorio dei dadi sui prigionieri non fosse previsto dalla documentazione di lavoro del gruppo.

Elementi «Gestione degli appaltatori» e «Gestione delle modifiche»

• Le unità di manutenzione che esistevano in precedenza nella centrale sono state sciolte e il loro personale trasferito a società controllate (outsourcing).
• È rimasta irrisolta la questione dell’organizzazione di un controllo periodico obbligatorio dello stato tecnico delle apparecchiature della centrale.

Elemento «Integrità meccanica delle apparecchiature»

• I presupposti per l’improvvisa perdita di tenuta del gruppo idroelettrico n. 2 esistevano da lungo tempo. Lo dimostrano i danni da fatica negli assiemi di fissaggio del coperchio della turbina, causati dalle vibrazioni e dai carichi elevati sul gruppo durante i ripetuti passaggi attraverso una zona della caratteristica di esercizio sconsigliata per il funzionamento.
• Esaminando questi assiemi di fissaggio dopo l’incidente, su alcuni prigionieri non sono state trovate tracce di dadi strappati. Ciò indica che i dadi non erano presenti al momento della perdita di tenuta del GI-2.

📌 Conclusione

1. Come spesso accade, i presupposti della catastrofe si sono formati gradualmente e molto prima del suo inizio. Uno dopo l’altro sono comparsi sotto gli occhi dei responsabili tecnici e del personale, ma non è stata data loro importanza. A un certo punto l’incidente è diventato inevitabile e non faceva che «attendere» la sua ora.
2. Tutte le carenze elencate sopra possono essere annoverate tra le cause sistemiche dell’incidente di Sayano-Šušenskaja.
3. La sua causa profonda è l’assenza di un approccio ponderato e sistemico nella gestione della sicurezza di processo.
4. Un’applicazione tempestiva e competente dei principi del PSM avrebbe potuto evitare questa catastrofe.
5. Una delle lezioni più importanti: in impianti come questo e in altre produzioni pericolose l’approccio PSM non può essere ignorato. Può e deve entrare nella pratica quotidiana della gestione.

💬 Colleghi, non esitate a condividere i vostri pensieri nei commenti! 👇