Appunti System reliability, dependability and safety - parte 2

Analisi dei rischi

Ciascun guasto comporta dei rischi: l’analisi dei rischi si concentra proprio

sull’individuazione dei potenziali rischi in un sistema e dei loro potenziali e7etti.

Il rischio è la combinazione di due fattori: la probabilità che si verifichi un guasto nel sistema

(occorrenza del guasto) e una misura dell’impatto di tale guasto. Un guasto è una situazione

in cui il sistema non funziona correttamente.

Il rischio considera due termini:

Rischio = Occorrenza × Severità (probabilità × impatto)

La gestione del rischio mira a individuare i rischi potenziali e le loro conseguenze e, se fatta

nelle prime fasi di progettazione, si usa per trovare un modo di trattare ciò che emerge; si può

eseguire anche nelle fasi successive; quindi, l’analisi dei rischi rappresenta sia uno strumento

di prevenzione che di correzione, perché non sempre è possibile avere un’idea sin dall’inizio

di tutto quello che potrebbe andare male. Il beneficio di questo tipo di analisi è ottenere

sistemi sicuri, e questo si fa applicando le tecniche che vedremo nel dettaglio

Benefici dell’analisi del rischio:

- Aiuta a garantire che il sistema sia sicuro

- Permette di introdurre modifiche più facilmente e con minori costi nelle fasi iniziali del

progetto

- Consente di ridurre i tempi di progetto diminuendo il numero di imprevisti

Fasi dell’analisi:

- Identificazione dei rischi

- Determinazione delle cause e degli e7etti dei rischi

- Determinazione della probabilità che un rischio provochi un incidente

- Scelta dei requisiti procedurali e di progetto per eliminare o controllare i rischi

Modello del formaggio Parmigiano

L’analisi dei rischi parte dal concetto base del “parmesan cheese” model (presentato dal

filosofo J. Reason nel 1990). C’è un pericolo, se metto una barriera

solida non c’è più il pericolo. Se ci fosse

ancora pericolo basterebbe mettere altre

barriere. Questo non rappresenta la

situazione reale, perché esistono

molteplici pericoli, e può succedere che

alcuni pericoli non vengano calcolati. Inoltre, queste barriere non sono ideali e possono

presentare uno o più guasti.

Nel mondo reale, infatti, si parla invece di modello del formaggio svizzero (Swiss Cheese

model). La barriera non è solida, ma ha dei buchi

che rappresentano i possibili fallimenti

delle procedure, umani, guasti che non

sono previsti (anche delle parti ridondate)

etc.

Questo modello è molto semplice ma viene usato anche oggi.

Definizioni

Danno (Harm): lesione fisica o danno alla salute delle persone, oppure danno alla proprietà o

all’ambiente.

Pericolo (Hazard): una possibile fonte di danno.

È importante ricordare che pericolo e rischio sono due concetti diversi:

- Pericolo (Hazard): potenziale fonte di danno. Insieme di condizioni (stato del sistema)

che, in determinate circostanze ambientali, possono portare a un incidente.

- Rischio (Risk): combinazione tra la probabilità che si verifichi un danno e la gravità

(severità) di tale danno.

Rischio Curva di rischio.

Non tutto può essere valutato per cui si avrà sempre un rischio non identificato ed uno

identificato: per il primo, nelle valutazioni, si usa di solito il worst case scenario (e spesso

basta).

Un altro parametro di7icile da valutare è la probabilità di accadimento di un certo evento

dannoso: in questo caso si usano le serie storiche e l’esperienza.

L’analisi del rischio può non essere univoca, per cui tipicamente è eseguita in brainstorming e

si cerca di adottare il più possibile standard e convenzioni universalmente riconosciuti per la

sua misurazione, classificazione e rappresentazione. È particolarmente critico valutare

l’accettabilità del rischio perché è molto soggettiva per questo si studia anche la percezione

del rischio.

Nel rappresentare le stime di rischio, convenzionalmente vi sono tre principali metodi di

combinare i parametri di stima:

- Indici di rischio

- Rischio puntuale

- Rischio di7uso.

Indici di rischio

Valori numerici rappresentati in forma tabellare; molto semplici, ma generici e poco

rappresentativi di un sistema complesso e dinamico. Alcuni indici di rischio sono:

- Fatal Accident Rate (FAR) rateo di letalità equivalente, stima degli eventi letali per 10^8

ore di esposizione (10^8 ore lavorate corrispondono alle ore lavorate da 1000 persone

con una vita lavorativa di 50 anni e che lavorano 50 settimane l’anno e 40 ore la

settimana);

- Individual Hazard Index (IHI) indice di pericolosità dell’individuo, è il FAR per un

particolare rischio e le e7ettive ore di esposizione;

- Average Rate of Death (ARD), rateo medio di letalità, numero medio di decessi per

unità di tempo;

- Equivalent Social Cost Index (ESCI) costo collettivo equivalente; come ARD ma tiene

conto della avversione della società agli eventi catastrofici;

- ecc.

Rischio puntuale

Sono parametri riferiti ad un preciso punto geografico, per cui l’indice di rischio tiene conto

anche della natura del danno subito, della probabilità e del periodo di tempo in cui il danno

può realizzarsi. Il rischio puntuale può essere stimato in diversi modi, quelli più comuni sono:

- Rischio Locale (target sempre presente senza possibilità di fuga o protezione)

- Rischio Individuale (target presente in modo discontinuo e capace di muoversi o

mettere in atto misure di protezione).

Il rischio puntuale si rappresenta con due metodi di rappresentazione:

- Curve isorischio: sono curve che uniscono

punti geografici con uguale valore di rischio

- Profili di rischio: sono una semplificazione

delle precedenti; considerano la sorgente

puntiforme e il rischio in funzione della

distanza dalla fonte (e non dalla direzione).

Rischio diIuso

Si basa sulle stesse informazioni necessarie al rischio “puntuale” ma richiede inoltre precisi

dati demografici dell’area. Quindi in particolare tiene conto:

- della tipologia di popolazione,

- della presenza di bersagli particolarmente vulnerabili,

- elementi mitigatori,

- della fluttuazione di presenza giornaliera, settimanale etc.

Due principali metodi di stima:

- Curve F-N, registrano la frequenza d’incidenti che possono determinare un danno di

entità uguale o superiore ad un certo valore N

- Istogrammi I-N, (complementari alle curve F-N) rappresentano il numero N di persone

soggette ad un certo livello di rischio individuale I.

Tre metodi di rappresentazione:

- Diagrammi F-N, diagrammi in scala logaritmica delle frequenze cumulate F (y) e il

numero di vittime N (x).

- Diagrammi (istogrammi) I-N, diagrammi della popolazione suddivisa in classi

caratterizzate da un diverso intervallo di valori di rischio.

- Tabelle, rappresentazione tabellare dei valori di rischio di7uso (generalmente F-N).

Valutazione qualitativa dell’eIetto dei guasti

I malfunzionamenti che alterano il comportamento di un sistema sono raggruppati in classi di

criticità, in funzione degli e7etti che possono causare a:

- il sistema stesso

- operatore / utilizzatore

- ambiente

Da queste considerazioni si creano si creano delle tabelle che le riassumono

qualitativamente, la tabella cambia da applicazione ad applicazione.

Classe di sicurezza

Mettendo insieme e7etti e probabilità di accadimento si creano le cosiddette Classi di

sicurezza: ad ogni classe di criticità viene associato un tasso di rischio accettabile che viene

imposto nelle specifiche di sicurezza nei progetti industriali. Queste classi di rischio vengono

poi anche riportate nella curva del rischio.

Tipicamente le curve di rischio hanno tutte questa forma, altrimenti i rischi gravi potrebbero

essere troppi.

A seconda della curva di rischio, si possono classificare le varie applicazioni in Alto rischio,

Medio rischio, Basso rischio.

La curva di rischio è la rappresentazione ideale di ogni sistema in termini di criticità e

probabilità di accadimento, questa rappresentazione però ha un limite: tutto ciò che è

accettabile sta sotto la curva, sopra è inaccettabile. Non c’è però una zona di tolleranza, i

punti sulla curva non è chiaro se siano accettabili o meno. Per questo si usa principalmente la

matrice dei rischi.

Matrice dei rischi

Tutto ciò che stava sotto la curva è identificato con il verde, mentre quello che non è

accettabile, dato dalla combinazione di un rischio grave e molto probabile, con il rosso. In più

si ha la zona gialla che è quella in cui ricadono i punti appartenenti alla curva stessa, sui quali

bisogna fare considerazioni più ponderate, perché sono borderline.

Valutando più attentamente si deciderà se farli diventare verdi o rossi, anche in base ad

un’analisi costi-benefici.

L’obiettivo finale è avere tutti i rischi che alla fine si possano classificare come verdi, cioè che

siano tutti accettabili.

Risk management

Abbiamo visto cosa è il rischio e come si rappresenta, ma è limitante parlare solo di analisi

del rischio il concetto è molto più ampio e rientra nella gestione del rischio.

à

Gestione del rischio: Applicazione sistematica di politiche, procedure e pratiche di gestione

delle operazioni di ANALISI, VALUTAZIONE e CONTROLLO dei rischi.

La gestione del rischio è un processo ciclico, che ha fine con la dismissione del prodotto,

servizio, sistema; è un processo in 6 fasi, in cui l’analisi del rischio è solo la prima fase.

FASE 1 – risk analysis: è quella che abbiamo visto finora, cioè l’analisi dei rischi (risk

analysis). In questa fase si studia bene l’oggetto dell’analisi, il suo impiego, le performance

attese etc., per ognuna di queste cose poi si deve andare ad individuare i potenziali rischi

(pericoli + situazione pericolosa che portano ad un danno).

FASE 2 – risk evaluation: stimati i rischi per ogni potenziale situazione pericolosa, si va a fare

la valutazione dei rischi realizzando la matrice dei rischi. La fase 1 e la fase 2 compongono

l’accertamento del rischio (risk assessment). Alla fine del secondo step ho identificato tutti i

rischi e ho deciso per ognuno se è accettabile o meno.

FASE 3 – risk control: controllo del rischio. Comprende tutte le possibili azioni da

intraprendere per mitigare i rischi non accettabili. Valuto quindi tutte le opzioni possibili, per

ridurre il rischio, e poi valuto anche il rischio residuo; quindi, vedo se le misure che ho

adottato si sono rivelate su7icienti. Faccio delle valutazioni rischi-benefici, soprattutto per

quelle voci che rientrano nella zona gialla della matrice.

Nota bene: tutte le misure che sto adottando possono a loro volta introdurre dei rischi, che

quindi devono essere evidenziati e valutati a loro volta. FASE 4 – valutazione

dell’accettabilità complessiva del

rischio residuo: valutazione

dell’accettabilità complessiva del

rischio residuo. A questo punto, tutti

i miei rischi devono essere in zona

verde; se così non fosse devo

ripetere le fasi precedenti.

FASE 5 – risk management report:

in questa fase si compila il rapporto

di gestione del rischio, un

documento che riporta tutte le

attività svolte finora. È importante

che contenga tutte le legende che

spiegano come sono stati valutati i

parametri da cui è composto il

rischio, gravità e probabilità.

FASE 6 – informazioni di

produzione e di post-produzione:

Sono i cosiddetti ritorni da campo, ovvero tutte le info che derivano dalla linea di produzione

(controlli qualità) oppure dall’utilizzo. Tutti i feedback che ottengo in questa fase si vede dal

grafico che rientrano nel loop così da tenere conto al ciclo successivo, per creare un prodotto

con meno difetti.

Risk control

Una volta individuate le zone di rischio inaccettabili, devono essere fatte delle scelte per

ridurre tali rischi. Le tecniche di riduzione dei rischi sono raggruppate in 4 macrocategorie,

che sono (in ordine di e7icacia):

- Cambiamenti nel progetto, DPI: è quella più e7icace ed è l’unico modo per ridurre la

criticità, cioè la magnitudo delle conseguenze. Dato che si deve cambiare il progetto è

bene farla nelle prime fasi.

- Dispositivi di sicurezza attivi e passivi: attivi, ad esempio functional safety che

interagiscano direttamente con il sistema, e passivi ad esempio transenne, che

limitano solo il perimetro pericoloso.

- Dispositivi di indicazione di pericolo: etichette, lampeggianti, etc. è una tecnica

meno e7icace delle altre perché va ad impattare solo sulla probabilità di accadimento

ed in più dipende dalle persone che lo leggono (se lo leggono).

- Formazione e procedure: è ancor meno e7icace perché è una tecnica fortemente

dipendente dall’attenzione dell’essere umano, include formazione del personale ed i

manuali d’uso che sono veri e propri strumenti di mitigazione del rischio (soprattutto

per il produttore).

Per ridurre il rischio, in base all’approccio o alla fase in cui lo faccio posso parlare di:

- Prevenzione: è l’insieme delle misure di sicurezza finalizzate a impedire il prodursi di

eventi dannosi. La prevenzione è un’azione che consente di ridurre la probabilità di

accadimento di un evento, a parità di grado di severità (magnitudo).

- Protezione: è l’insieme delle misure di sicurezza finalizzate a minimizzare il danno in

occasione del prodursi degli eventi dannosi. In altri termini la protezione è un’azione

che consente di ridurre il grado di severità di un evento (magnitudo), a parità di

probabilità di accadimento.

Percezione del rischio: Gli esseri umani hanno una tendenza sistematica a sovrastimare

eventi che hanno probabilità molto piccole e contemporaneamente quella a sottostimare

eventi che hanno probabilità molto alte. In caso di evento avverso non ci considera il

denominatore e inoltre non viene tenuto in conto il controfattuale. È, quindi, estremamente

soggettiva.

Accettabilità del rischio

La valutazione dell’accettabilità si fa attraverso quattro metodi:

1. L’analisi “rischi-costi-benefici”: se il costo eccede il miglioramento non accetto di

sostenerlo.

2. Le preferenze rilevate: si esegue un’indagine di opinione sui principali attributi, positivi

o negativi dell’oggetto da valutare. Le preferenze (dette “preferenze rilevate”),