Appunti System reliability, dependability and safety (parte 3, in italiano)

Metodi di analisi del rischio

Guasto sono ordinati dal numero di priorità del rischio più alto al più basso. Questo grafico a barre è combinato con una funzione di distribuzione cumulativa che mostra il contributo percentuale di tutti i guasti precedenti. Il grafico combinato utilizza la regola 80:20 per indicare dove lo sforzo ingegneristico dovrebbe essere maggiormente concentrato. Il grafico di Pareto non è adatto per alcune applicazioni perché non è sempre verificato che l’80% delle criticità derivi dal 20% delle cause, oppure, in altre parole, che l’80% degli RPN rappresenti il 20% dei modi di guasto.

- Metodo Boxplot: consiste nel graficare i dati rappresentando tutti i valori dell’RPN, divisi in 25esimo percentile, mediana e 75esimo percentile.

Si accettano i valori fino alla mediana, da quella in poi si ha tutto quello che rientra nella zona ALARP, dal 75esimo percentile in poi si hanno valori critici da ridurre. Se un modo di guasto ricade nella zona ALARP, i progettisti devono analizzare le possibili contromisure per ridurre il rischio, tenendo conto dei benefici derivanti dalla sua accettazione e dei costi di un’ulteriore riduzione.

Il metodo Boxplot innanzitutto introduce la regione ALARP, assente in tutti gli altri metodi.

FTA – Fault Tree Analysis

È una tecnica spesso usata in combinazione con la FMECA. Consiste in un’analisi delle avarie e quindi è usata proprio come tecnica di analisi dei rischi. È una tecnica di uso in tutte le tipologie di sistemi.

Una definizione di FTA: metodo di analisi previsionale utilizzato per stimare la probabilità di accadimento di un evento indesiderato (top event) basandosi sull’individuazione delle cause di guasto in un sistema, o sulle cause di non conformità nell’erogazione di un servizio, considerando anche le loro possibili relazioni di legame. Trova anche una dipendenza funzionale dei guasti, è una particolarità di questa tecnica, finora si assumevano sempre i guasti indipendenti tra loro.

Le finalità sono individuare tutti i possibili guasti/avarie (manifestazioni di NC) che generano l’avaria del sistema (mancata erogazione del servizio) ed analizzare la dipendenza funzionale tra guasti (NC) a livello alto (sistema) e guasti a basso livello (componente).

È una tecnica nata negli anni ’60 da Bell Telephone Laboratories ed è stata migliorata e aggiornata varie volte ed è molto utilizzata.

È uno strumento di prevenzione, non di correzione, ed è un’analisi deduttiva: studiato un top event, si scompone nei livelli inferiori: analizzo un effetto e lo suddivido nelle varie cause (approccio opposto alla FMECA).

FTA è una rappresentazione grafica: tramite tecniche di RBD e FMECA si individua il top event che vale la pena scomporre nel dettaglio, successivamente si identificano degli eventi che determinano il top event: eventi primari, eventi intermedi, ecc. costruendo così un albero; questa valutazione diventa semi quantitativa quando per ogni causa trovo una probabilità di accadimento.

Simboli

Descrizione di un evento iniziale o di base (basic event): evento primario che non richiede ulteriori sviluppi ed è statisticamente indipendente da altri eventi.

Descrizione di un evento non sviluppato (undeveloped event): evento non sviluppato per conseguenze non rilevanti o per informazioni insufficienti o non disponibili, ma che comunque dipende statisticamente da altri eventi.

Descrizione di un evento intermedio (intermediate event): evento che si verifica per la concomitanza e la combinazione di una o più cause antecedenti attraverso porte logiche.

La norma che descrive il metodo FTA è la IEC 61025:2006.

Operatori

Come operatori si hanno anche le porte logiche che sono operatori che descrivono la relazione tra il verificarsi delle cause e quello del top event.

Operatore OR: si verifica l’evento uscita (C) indesiderato, se si verifica almeno un evento indesiderato (A, B).

Esempio:

Con l’OR se si verifica anche solo uno dei due eventi intermedi si verificherà l’evento in uscita. La probabilità che si verifichi l’evento in uscita è:

Operatore AND: si verifica l’evento uscita (C), indesiderato, solo se si verificano tutti gli eventi indesiderati in ingresso (A, B).

Esempio:

L’operatore AND prevede la moltiplicazione delle probabilità, quindi la probabilità che il top event si moltiplichi è minore rispetto che con l’OR.

In un sistema complesso, l’albero sarà dato da diverse combinazioni di porte logiche, quindi la probabilità sarà fatta da somme e moltiplicazioni.

Nel caso in cui si abbiano eventi inibitori o condizionanti per altri eventi si utilizza questa simbologia. L’ingresso condizionante determina il passaggio dall’evento in ingresso a quello in uscita. Ad esempio, in ingresso ho dei reagenti, per avere una reazione chimica ho bisogno di catalizzatori (ingresso condizionante).

Questi particolari eventi si possono rappresentare direttamente negli operatori logici:

Priority OR: l’evento in uscita si verifica solo se gli eventi si verificano in un determinato ordine, sono eventi dipendenti tra loro e da una certa sequenza.

Priority AND: l’evento in uscita si verifica se accadono entrambi quelli in ingresso, ma secondo un certo ordine.

Tra priority AND e priority OR, quello più diffuso è il priority AND. La norma poi al suo interno riporta tante altre porte, meno utilizzate però. Si suddividono in porte statiche e porte dinamiche (tengono conto della sequenza degli eventi).

Input data

Cinque diversi tipi di eventi sono normalmente utilizzati:

• Unità non riparabile
• Unità riparabile (riparata quando si verifica il guasto)
• Unità testata periodicamente (guasti nascosti)
• Frequenza degli eventi
• Probabilità su richiesta

Probabilità dell’evento base: () = Pr (l’evento base si verifica al tempo).

Unità non riparabile

Si deve conoscere la probabilità di guasto, quindi il suo tasso di guasto (si vede bene la necessità di eseguire buone analisi di affidabilità).

In ingresso avrò il tasso di guasto e la basic event probability sarà data da:

L’approssimazione per cui è circa uguale al tasso di guasto è dimostrata sviluppando con Taylor e trascurando gli ordini superiori.

Unità riparabile

In questo caso la basic event probability è data da:

Si deve dunque avere in input anche l’MTTR (restoration).

Unità testata periodicamente

È il concetto che deriva alla Detection (D). Si assume che dopo il test, il sistema sia “as good as new” ma non è così, ovviamente sarà un po’ usurato.

La basic event probability è data da

Frequenza

È simile alle unità riparabili.

Probabilità On demand

La probabilità di guasto non è più l’inaffidabilità ma si parla di guasto su richiesta (PFD, Probability of Failure on Demand).

La FTA è spesso utilizzata per rappresentare bene l’RBD:

• La porta OR descrive bene la serie: un sistema in serie è guasto quando anche solo uno dei sottosistemi di cui è composto è guasto, come l’OR.
• La porta AND descrive bene il parallelo: per avere il guasto del sistema devono guastarsi tutti i sottosistemi da cui è composto.
• Una combinazione di AND e OR descrive una K-oo-N: i K elementi su N devono funzionare in combinazione quindi si avrà un OR per ogni combinazione uniti tutti in un AND.

Riassunto

Il pregio della FTA è il fatto di essere una tecnica grafica, per questo è molto facile applicare l’FTA in tantissimi casi, e la rende molto semplice da leggere. È diversa dall’ETA perché questa è estremamente più descrittiva. Si ha la probabilità di guasto, se a questa si aggiunge la magnitudo, la FTA si presta anche a fare un’analisi dei rischi e non solo dei guasti (perché il rischio è la probabilità x magnitudo, R=O*S).

Obiettivi FMEA

• Identificare i guasti che possono avere effetti negativi su Sicurezza, Affidabilità e Disponibilità
• Identificare miglioramenti in termini di sicurezza, affidabilità, e manutenzione del sistema
• Migliorare la conoscenza del sistema
• Essere di supporto nella diagnosi dei guasti e nella elaborazione di istruzioni operative o di manutenzione
• Soddisfare requisiti contrattuali.

Dove usare una FMEA?

• Sistemi meccanici, elettrici ed elettronici
• Processi produttivi
• Studio e sviluppo di Procedure operative

Quando eseguire una FMEA

• All’inizio della progettazione di un nuovo sistema
• Nel caso di un aggiornamento/modifica del sistema
• Se il budget è limitato e si concentra su parti del sistema nuove o critiche
• In combinazione con altre tecniche di analisi come ad esempio FTA

Punti di forza della metodologia FMEA

• Buon metodo da sviluppare attraverso la comprensione del sistema
• Permette uno studio dettagliato di unità complesse
• Non necessita di conoscere a priori il “top event”, ma permette di identificare pericoli non conosciuti
• Buon metodo per identificare i rischi derivanti da guasti di singoli componenti
• Metodologia “facile”

Punti di debolezza della metodologia FMEA

• Non adatto per l’analisi di sistemi ridondanti
• La FMEA considera un solo guasto alla volta (non adatto per eventi “multipli”)

Perché usare una FTA?

• Determinare le combinazioni cause/effetti in sistemi complessi
• Identificare le possibili cause iniziali
• Prevedere la disponibilità ovvero l’affidabilità di un sistema
• Prevedere la frequenza di accadimento di un guasto ovvero di un incidente
• Identificare efficacia di interventi migliorativi
• Predire gli effetti di cambiamenti
• Capire a fondo la logica di (mal)funzionamento di un sistema complesso

Dove usare una FTA?

• In combinazione (a valle) di altre metodologie di analisi dei rischi
• Se risultano conseguenze di particolare criticità/gravità
• Se si evidenzia un evento avverso ricorrente
• Se le altre metodologie risultano inadeguate (a.e., quantificazione)
• In ambiti estremamente vari (Processi chimici, Sistemi di sicurezza, Trasporti)
• Altro (Produzione, Sistemi gestionali, Procedure, ecc.)

Quando usare una FTA?

• In fase di progetto
• In fase piuttosto avanzata
• Necessaria conoscenza/definizione di elementi di dettaglio
• Su sistemi/impianti esistenti
• Si verifica un guasto/incidente (evento avverso)
• Necessità di valutare (quantificare) l’impatto di eventuali modifiche, oppure di confrontare soluzioni alternative

L’FTA viene usata anche in combinazione con l’Event Tree che è un’analisi fatta per individuare la bontà delle barriere di protezione, che quindi ha in ingresso l’inaffidabilità, che, guarda caso, è proprio l’output della FT: il top event della FTA si può usare per dare la probabilità di insuccesso/successo degli eventi della ETA. Gli eventi dell’ETA devono essere quindi scomposti con la FTA; richiede del tempo e quindi dei costi, si fa solo quando necessario.

Vantaggi FTA

• Output grafici migliori
• Più rapida valutazione dei cambiamenti
• Minori restrizioni sulla struttura ad albero
• Algoritmi più sofisticati

Svantaggi

• Meno comprensibile dall’analista
• Non sa trattare soddisfacentemente eventi statisticamente dipendenti
• Tentazione di diventare troppo complesso quindi più costoso

L’FMECA è una tecnica molto più adatta all’analisi dei rischi, se si vuole un probability assessment è molto meglio usare una FTA, che è molto più quantitativa. In generale, i risultati migliori si ottengono usando le due tecniche in combinazione.

Attualmente si sta lavorando ad una nuova “tecnica”, chiamata DMO Methodology, che punta a mettere insieme FTA, RBD, curva vasca da bagno ecc. per ottenere un’analisi più precisa.

Human reliability analysis - HRA

Tutto il sistema ha un’interfaccia con l’essere umano (Human Machine Interface), cioè dove si ha un operatore; quindi, si ha anche la possibilità di errore umano.

La definizione standard di affidabilità umana è la probabilità che una persona svolga un compito in conformità ai requisiti per un determinato periodo di tempo, senza eseguire attività estranee che possano compromettere il sistema.

L’obiettivo dello studio della Human Reliability Analysis è quello di incrementare le performance umane e diminuire la probabilità di errore umano.

Limitazioni umane

• Limitazione fisica (vincoli biomeccanici)
• Limitazione cognitiva (tempo di risposta, limiti della memoria, assenza di multitasking)
• Limitazioni psicologiche (dipendenza dalla fatica, decisioni basate sulle emozioni).

Umano

• Capacità di improvvisare e usare procedure flessibili
• Capacità di memorizzare grandi quantità di informazioni per lunghi periodi e richiamare fatti rilevanti
• Capacità di ragionare induttivamente
• Capacità di esercitare giudizio

Macchina

• Rispondere rapidamente ai segnali
• Eseguire compiti ripetitivi con precisione
• Memorizzare informazioni temporaneamente ed eliminarle completamente
• Ragionare deduttivamente, inclusa la capacità computazionale
• Multitasking

Errore umano

L’errore umano può essere di vari tipi:

• Non intenzionale: azioni non eseguite come pianificato
• Intenzionale: azioni eseguite come pianificato ma secondo un piano inadeguato per raggiungere il risultato desiderato
• Latente: dovuto a un progetto sbagliato, alla scarsa qualità del prodotto, ad un’errata manutenzione. Suddivisione degli errori umani secondo J. Reason
• Slip e lapse sono errori non intenzionali, sono il risultato della cattiva esecuzione. Derivano da azioni automatiche e inconsce (per queste, infatti, si preferiscono le macchine) e generalmente sono rilevabili e correggibili efficacemente, anche dall’esecutore stesso.

Per esempio, eseguire un’azione abituale nel contesto sbagliato, oppure, un’azione corretta sull’oggetto sbagliato.

• Mistake, sono errori intenzionali dovuti a un piano di azione errato (errori di giudizio, criteri di scelta sbagliati, ecc…). Sono più difficili da prevedere ed evitare e spesso occorre una correzione dall’esterno.

Si dividono ulteriormente in:

Rule based mistake, dovuti ad una cattiva applicazione di una buona regola oppure all’applicazione di una regola sbagliata.

Knowledge based mistake, quando la conoscenza nella risoluzione di nuovi problemi è scarsa o inesistente.

Near miss: si definisce near miss o quasi infortunio qualsiasi evento, correlato al lavoro, che avrebbe potuto causare un infortunio o danno alla salute (malattia) o morte ma, solo per puro caso, non lo ha prodotto: un evento quindi che ha in sé la potenzialità di produrre un infortunio. È un quasi incidente quando il lavoratore è costretto a reagire rapidamente per prevenire lesioni o danni, oppure è successo qualcosa in quel momento che ha quasi causato un incidente.

I quasi incidenti vengono trattati proprio come rischi, perché sono indicatori di possibili rischi, da tenere sotto controllo per adottare misure finalizzate a prevenire eventi simili.

Gli errori umani dipendono da una serie di fattori, che influenzano le azioni dell’operatore:

• Fattori esterni: ambiente e microclima, ergonomia degli spazi, attrezzature e DPI, organizzazione e procedure, orario e carico di lavoro.
• Fattori interni: fattori sociali, condizioni psico-fisiche, esperienza nel settore, formazione e addestramento specifico.

Alcuni dei fattori più importanti che vengono presi in considerazione nei sistemi complessi per la valutazione e la quantificazione dello human factor sono i seguenti:

• La tipologia dell'attività: routine, abitudinale ma che richiede ragionamento, imprevista che richiede determinate conoscenze, etc.;
• Il tempo richiesto per svolgere le attività;
• La quantità di azioni che un operatore deve svolgere contemporaneamente per completare l'attività;
• L'esperienza dell'operatore;
• La formazione dell'operatore: il livello di informazione e formazione dell'operatore influisce molto sulla sua affidabilità nello svolgere le proprie mansioni;
• Le condizioni operative: le condizioni ambientali (microclima, luminosità, ergonomia degli spazi e delle attrezzature utilizzate, etc..), condizioni sociali (lavoro individuale o lavoro in team), etc.;
• I fattori di stress: per questioni di tempo e/o responsabilità, per carichi di lavoro non adeguati, orario di lavoro (turni notturni, nei giorni festivi, …), etc.;
• La capacità di percezione del pericolo: fattore molto soggettivo e difficile da valutare poiché dipende dalla sensibilità di ogni operatore;

IEC 62508

La norma di riferimento per l’affidabilità degli aspetti umani è la IEC 62508:2012.

La prima immagine descrive la human-machine interface: la macchina dà i feedback e l’uomo li raccoglie per implementare il ciclo successivo. La seconda immagine, invece, descrive il modello di human information processing: dato un input, le parti sensoriale, cognitiva e fisica lo elaborano durante l’esecuzione del task e producono un’azione del task e producono un’azione (risposta); in modo automatico, a differenza delle macchine, si generano dei feedback che ve