Introduzione

Esistono delle strutture che irradiano campi eletttromagnetici di alta intensita' allo scopo, per esempio, di sterilizzazione di materiale medico biologico, nella decontaminazione di matrici ambientali e nel campo diagnostico-terapeutico della medicina nucleare. Facendola breve, questo signfica che gli operatori che lavorano attorno a questa struttura possono subire processi di contaminazione e di bruciature che possono arrivare al livello di letalita', sia per cause strettamente tecniche degli apparati, che per errori umani. Inoltre non si considera l'errore umano non dipendente dai guasti degli apparati tecnici, ma addirittura legato ed interdipendente da essi, in base alla loro complessita', ai tempi di reazione al guasto ed all'interazione uomo-macchina. In base ad una delle tecniche claasiche, la CREAM, cercheremo di mettere in mostra un esempio pratico di come si calcola la sicurezza totale di un impianto, quale accennato, tenendo conto dei guasti hardware e di quelli umani, mettendoli in relazione di dipendenza tra di loro.

Ivi, mostreremo l'esempio di calcolo per questo tipo di centrali, ma non ci spingeremo nei particolari dellla computazione, dando solo una traccia utile, che si puo' approfondire nei riferimenti bibliografici, che vanno dal [4] all'[8]. Infine e' da rendere noto che l'articolo in questione e' stato estratto dal riferimento: F. Castiglia, M. Giardina, F.P. Caravello - Dipartimento di Ingegneria Nucleare - Universita' degli Studi di Palermo, Viale delle Scienze - 90128 Palermo , Italia

La Metodologia CREAM

Useremo questa metodologia per rappresentare in sequenza i calcoli che si fanno, per arrivare alla TE (TOP EVENT) probability, ossia quella finale che tiene conto di tutti i guasti tecnici ed umani gerarchicizzati in un albero detto Fault Tree, dove le varie relazioni logiche dei vari guasti, combinate secondo le regole booleane, sono legate ed interconnesse, con schemi che usano gli operatori di AND ed OR, sia tenendo conto della contemporaneita' di accadimento, che della loro sequenzialita'. Alla fine, nella parte piu' alta dell'albero, e' situato il TE, che non e' altro che la totale probabilita' di guasto di tutto il sistema. Ma prima di arrivare a cio' dobbiamo rendere noti i presupposti di questa tecnica CREAM.

Si deve partire indubbiamente dalla fase detta CoCoM (Contestual Control Model), per la quale l'azione umana e' dettata da fattori, come il contesto, l'esperienza sulle azioni da svolgere, l'aspettativa del risultato e la disponibilita' di mezzi e strumenti, e le stime di probabilta' vengono determinate a seconda dello studio del contesto in cui l'operatore effettua il suo compito. Nello SCREAM, vengono considerate le seguenti modalita' di controllo, basate sulla classificazione CoCoM:

• Scrambled, che caratterizza una situazione non prevedibile dove l'operatore non ha potuto fare nulla per pianificare un'azione valida.
• Opportunistic, che definisce azioni limitate, dovute alla scarsa conoscenza e competenza del personale e anche a condizioni ambientali non standard.
• Tactical, che e' caratterizzata da azioni e procedure pianificate dove l'operatore puo' portare a termine il suo compito.
• Strategic, in cui l'operatore ha molto piu' tempo disponibile, per la pianificazione del suo lavoro e potra' considerare i suoi risultati in maniera piu' precisa e considerare razionalmente le relazioni tra le azioni e le conseguenze.

Per questo, esiste una tabella, rappresentata in Fig. 1, dove vengono riportati gli intervalli di probabilita' di errore sulla base dei vari metodi di controllo.

Fig.1. I modi di controllo per l'analisi CREAM

Inoltre, e' importantissimo sapere che la tecnica CREAM, valuta la probabilita' di errore umano sulla base della classificazione sopra riportata, ricorrendo ai CPC (Common Performance Conditions), che identificano nove fattori per la identificazione del contesto:

• Adeguata organizzazione, che definisce la qualita' dei ruoli e le responsabilita' dei membri della squadra.
• Condizione di lavoro, che descrive la natura e le condizioni fisiche di lavoro, come luminosita', allarmi e rumori
• Adeguato rapporto macchina e supporto operativo, che definisce il rapporto interfaccia uomo-macchina, includendo le informazioni dei manuali
• Disponibilita' di piani e procedure, che descrive procedure e piani di lavoro, includendo procedure normali e di emergenza.
• Numeri di scopi simultanei, che quantifica il numero che l'operatore deve svolgere
• Tempo disponibile, che e' il tempo a disposizione per compiere un determinato compito.
• Ora del giorno, che denota l'intervallo di tempo diurno o notturno, in cui il compito e' svolto.
• Adeguata formazione ed esperienza, che descrive il livello di preparazione del personale e la sua esperienza, oltre la conoscenza delle nuove tecnologie
• Qualita' del gruppo di lavoro, che dà l'evidenza dell'attitudine del gruppo di lavoro nella collaborazione, includendo anche le componenti di clima sociale e di fiducia, che s'instaurano nell'ambiente di lavoro.

Ogni CPC e' caratterizzato da un certo numero di livelli di controllo ("veramente efficiente", "efficiente","inefficiente", "non significante", ed altri), che definiscono qualitativamente i modi positivo, negativo o nullo gli effetti che il CPC esaminato associa sull'azione svolta. In Figura 2 sono riportati i fattori d'influenza dell'azione di controllo dei vari CPC, sotto forma tabellare.

Fig.2. Rappresentazione dei CPC nel metodo CREAM

La procedura standard e' quella di sommare per i nove CPC i livelli che contribuiscono positivamente e quelli che danno contributo negativo, ottenendo una coppia di valori che s'innesca o si fissa nel diagramma, dove sono individuate le quattro categorie dei livelli di controllo viste nella Fig. 1. Il risultato di questo step e' rappresentato in Fig. 3. Ma delle difficolta' pratiche, nelle analisi di sicurezza di tipo quantitativo, portano gli autori a proporre diversi modelli per il metodo CREAM.

Fig.3. Relazione tra i CPC ed i modi di controllo

Metodologia CREAM sfumata

La procedura consiste nell'associare ai vari livelli di ogni CPC un intervallo "sfumato", definito da funzioni di partenza di tipo triangolare, con valori da 0 a 100, in cui gli estremi inferiore e superiore indicano la peggiore e migliore condizione nello svolgimento di un compito. Soltanto il CPC "time of day" ha un intervallo compreso tra 0 e 24, essendo correlato all'ora del giorno, in cui viene svolta l'operazione. Anche gli intervalli di probabilita' di errore, definiti con i modi di controllo in Fig. 1, vengono rappresentati con funzioni di appartenenza di tipo triangolare, come mostrato nella Fig. 4, con l'ascissa del grafico riportata in scala logaritmica.
I CPC cosi' decomposti verranno rappresentati con regole "sfumate" o "fuzzy" del tipo "if-then-else" sulla base della logica CREAM, per cui ad ogni combimazione dei parametri CPC viene assegnato un output sfumato delle probabilita' di errore umano, sulla base delle modalita' di controllo. Il risultato verra' "defuzzificato" mediante l'uso di un modello, nominato "del centroide".

Fig.4. Output metodo CREAM sfumato

Metodologia CREAM semplificata.

Si estende la metodologia CREAM, introducendo quattro nuove funzioni cognitive (Osservazione, Interpretazione, Pianificazione, Esecuzione), cui corrispondono 13 generici tipi di guasto detti CFP₀ o Cognitive Failure Probability ed il tutto e' rappresentato in Fig. 5.

Fig. 5. Rette d'influenza del contesto che definiscono le modalita' di controllo.

La prima parte della procedura consiste nel valutare il parametro β, detto "indice di infuenza del contesto", come differenza della somma dei livelli CPC, che comportano effetti peggiorativi dell'azione e la somma di quelli che danno effetti migliorativi. Ossia β = X - Y =Σ_reduced − Σ_improved
L'insieme delle rette Y=X-β, individuano le modalita' di controllo che l'operatore possiede sull'azione che deve svolgere (vedi Fig. 6). Se β = 0, significa che i livelli peggiorativi in numero sono pari a quelli migliorativi oppure sono tutti insignificanti.

Fig. 6. Tipi di funzioni cognitive e valori base della probabilita' di errore CFPo.

Il parametro β e' correlato con i vari CFP, con la seguente relazione di tipo logaritmico

Poiche' nella tecnica CREAM il massimo dei CPC peggiorativi e' β_max = 9, mentre il minimo dei CPC migliorativi e' β_max = − 7 ed inoltre ritenendo ragionevole assumere CFP_max = 1.0 e CFP_max = 0.0001, si ricava che

E cosi' si puo' trovare la probabilita' dell'errore, che vale

La procedura prevede una seconda oparte dove si provvede a sostituire il paramentro β, per attribuire valori diversificati all'influenza dei singoli livelli peggiorativi o migliorativi dei parametri CPC. Il nuovo parametro e' definito come

Σ_iρ_i dove i singoli ρ_i (Performance Influence Index),rappresentati in Fig. 7 sono stati valutati con studi e giudizi di personale esperto. Percio' l'equazione viene modificata come:

Fig. 6. Valori degli indici d'influenza.

Esposizione potenziale in un moderno impianto di irraggiamento.

La Fig. 8 mostra lo schema di un moderno impianto d'irraggiamento, impiegato per impartire dosi uniformi a vivande come frutta, vegetali e carni o sterilizzare oggetti di uso medico, quali siringhe, garze. I prodotti sono chiusi in pacchi di opportune dimensioni spaziali, che passano intorno uno o piu' volte ad una sorgente di calore. In base alla velocita' ed al numero dei passaggi dei pacchi si garantisce la riuscita dell'operazione. La sorgente usata e' Cobalto 60 (Co 60), situata su una rastrelliera metallica, di attivita' pari a circa 40 PBq. Quando l'impianto non e' in funzione la sorgente viene immessa all'interno di una piscina piena di acqua, che si trova entro la stanza di radiazione (Radiation Romm o RR). Un battente d'acqua funge anche da schermo contro le radiazioni. Un misuratore di livello assicura che esso si mantiene entro un certo range d'intensita' radiativa, mentre un rilevatore di radiazioni, montato in fondo alla piscina, controlla l'esatta posizione della(e) sorgente(i).

Fig. 8. Impianto d'irraggiamento.

La movimentazione di pacchi e' affidata a nastri trasportatori e prima di arrivare alla stanza d'irradiazione, i pacchi seguono un percorso labirintico per consentire l'attenuazione della radiazione diffusa nella zona d'ingresso dei pacchi. All'ingresso del labirinto vengono inserite delle catene con interlock, che ostruiscono il passaggio: se staccate il sistema di sollevamento della rastrelliera viene isolato elettricamente, causando il ricovero di emergenza delle sorgenti. L'ingresso della RR del materiale da irradiare e' diverso dall'uscita del materiale irradiato, lontana appositamente dall'ingresso, onde non creare situazioni disturbate. Ogni ingresso ed uscita sono dotati di porte con interlock e di rivelatori di radiazione, per evitare al personale l'ingresso nel locale d'irraggamento in condizioni di non sicurezza. Le procedure d'avviamento prevedono che che l'operatore entri nel locale d'irraggiamento per sopralluoghi che consentono di accertarsi assenza di ulteriore personale all'interno della RR ed in piu' l'avvio del sistema di sicurezza. Una luce lampeggiante ed un segnale sonoro all'ingresso, segnalano l'inizio delle operazioni di esposizioni alla sorgente. Tutte le chiavi, che consentono l'avvio delle procedure di esposizione delle sorgenti, sono controllate in modo che l'operatore abbia solamente una chiave, che viene usata per l'accesso al locale ed all'abilitazione di un timer, che determina il tempo massimo necessario per uscire dalla camera ed avviare le operazione dalla sala di controllo, pena l'interruzione delle procedure ed il riavviamento delle operazioni. Alla chiave e' collegato, tramite catena un rivelatore radiazioni portatile per assicurare il monitoraggio dell'operatore ad ogni ingresso della RR. Pulsanti di emergenza posti dentro la RR interrompono la proceura d'avviamento in qualunque momento. Una serie di fotosensori sulla porta producono un segnale sonoro e luminoso e causano il ricovero delle sorgenti dentro la piscina in caso d'ingresso non sicuro del personale. Infine, tutta l'area della RR viene monitorata tramite telecamera posta vicino alla porta d'ingresso.

Descrizione degli scenari incidentali esaminati e risultati ottenuti.

Le principali cause di errore e di conseguente esposizione del personale possono essere viste nei seguenti scenari:

A. La sorgente e' esposta e l'operatore entra nel locale d'irraggiamento attraverso l'ingresso del personale Tale ipotesi si verifica se l'accesso nella RR e' possibile nonostante l'esposizione delle sorgenti, insieme al guasto del rivelatore di radiazione posto nella RR e del rivelatore portatile, o quest'ultimo viene ignorato. B. La sorgente e' esposta e l'operatore entra nel locale attraverso l'ingresso dei prodotti da irradiare. L'evento comporta il guasto dei sensori fotoelettrici e del sistema di chiusura della porta di ingresso dei pacchi. C. Un frammento di sorgente e' trasportato all'esterno del locale d'irradiazione e l'operatore si trova nei pressi del nastro trasportatore. Questo scenario si verifica se ha la rottura della sorgente ed il guasto del rivelatore di radiazioni posto all'uscita dei prodotti irradiati. D. La sorgente viene esposta dall'operatore che si trova nella sala di controllo mentre del personale e' presente all'interno del locale RR, oppure, per il verificarsi del guasto di sistemi di controllo di sollevamento della rastrelliera mentre l'operatore e' nella RR. Lo sviluppo dell'albero di guasto e' riportato nelle Figg. 9-13. I dati delle probabilita' di guasto dei componenti e sistemi di sicurezza dell'impianto (Figura 14) sono espressi in frazioni di tempo per domanda (fot/pd) ed evento per anno (y ^{− 1}). In Fig. 15 sono mostrate le probabilita' degli errori umani valutate con le metologie CREAM, descritte in precedenza. E' stato ipotizzato che l'operatore entra dentro la RR, attraverso la porta principale, 1700 volte l'anno.

Nelle analisi effettuate utilizzando la metodologia CREAM sfumata , il personale e' stato considerato altamente qualificato e con un ottimo livello di addestramento, per cui i CPC, presi in considerazione con effetto peggiorativo sull'azione da svolgere sono quelli relativi al "Tempo disponibile", essendo ridotti i tempi per invertire e modificare le operazioni e l'"ora del giorno", in quanto si e' voluta considerare la condizione peggiore, in cui si trova ad operare il personale con un processo a ciclo continuo. Per quanto riguarda i CPC "Numero di scopi simultanei" le "Disponibilita' di piani e procedure" sono stati trattati "efficienti" ed "accettabili", per cui il loro contributo non e' significativo. Ovviamente, per le analisi effettuate con la tecnica CREAM semplificata sono stati utilizzati gli indici di influenza corrispondenti ai livelli CPC della tecnica CREAM sfumata, mentre per i valori base di CFP₀ sono state utilizzate le funzioni cognitive relative alla "Osservazione" ed alla "Esecuzione". Questo perche' gli errori presi in considerazione sono da correlare ad osservazioni erronee o non eseguite, oppure, ad azioni omesse o sbagliate,o, ancora, ad operazioni intese a bypassare le procedure. Le analisi dell'albero di guasto del TE, in termini di frequenza/anno danno:

Le due tecniche differiscono tra loro di circa una decade. Questo, perche' le probabilita' ottenute con la CREAM semplificata sono piu' alte rispetto a quella sfumata (vedi Fig. 15). Si tenga presente che in un rapporto emesso dall'ICRP, dove la procedura di calcolo non viene dichiarata, si riporta una probabilita' del TE pari a

Fig. 9. Livello 0 dell'albero di guasto.

Fig. 10. Sviluppo del sottoalbero dello scenario A.

Fig. 11. Sviluppo del sottoalbero dello scenario B.

Fig. 12. Sviluppo del sottoalbero dello scenario C.

Fig. 13. Sviluppo del sottoalbero dello scenario D.

Fig. 14. Dati di probabilita' dei componenti e sistemi di sicurezza dell'impianto.

Fig. 15. Probabilita' errori umani valutati con tecnica CREAM sfumata e semplificata

Fig. 16. MCS valutati dall'analisi FT in cui e' stat usata la tecnica CREAM sfumata

Fig. 17. MCS valutati dall'analisi FT in cui e' stat usata la tecnica CREAM sfumata e semplificata.

Nella CREAM sfumata con i Minimal Cut Set identificati con i numeri 5 e 4, che risultano avere maggior peso nel verificarsi della probabilita' TE, riguardano i seguenti scenari:

• esposizione dell'operatore presente nella RR, causato dal guasto del sistema di controllo di sollevamento delle sorgenti e dell'"interlock" della catena e dal non azionamento del pulsante di emergenza che interrompe le operazioni di avvio;
• rottura della sorgente con frammentazione e trasporto al di fuori della camera RR mentre un operatore si trova nei pressi del nastro trasportatore.

Nella CREAM semplificata si ritrovano gli MCS 5 ed 8. Quest'ultimo e' legato alla distrazione dell'operatore, il quale avvia le procedure di esposizione delle sorgenti non avendo notato la presenza del personale dentro la RR, mentre l'operatore dentro la RR non nota la segnalazione luminosa e sonora dei sistemi di allarme e pertanto non aziona i dispositivi di sicurezza e di emergenza all'interno della sala (pulsante di emergenza e l'intelock della catena del labirinto). Comunque l'uso delle due tecniche denotano una certa coerenza nei risultati: la tecnica CREAM semplificata calcola comunque una probabilita' del TE piu' elevata, mentre alcuni eventi critici legati all'errore umano sono risultati diversi da quelli calcolati con la CREAM sfumata.

Conclusioni.

Usando la metodologia FTA degli alberi di guasto, e' stata fatta un'analisi di sicurezza su uno scenario incidentale, identificantesi con l'esposizioni di operatori all'interno di un moderno impianto di irraggiamento. Poiche' le modalita' di esposizione sono condizionate la molteplici fattori, oggettivi, quali l'organizzazione del posto di lavoro, soggettivi, come l'addestramento e il livello di distrazione, per esempio, si sono usate due distinte formulazioni della metodologia CREAM. Le analisi sono state ottenute con l'uso del codice TREEZZY. Si puo' infine notare che nella tecnica CREAM sfumata hanno maggior peso errori dell'operatore dovuti all'omissione, mentre per quella semplificata sono determinanti gli errori di omissione, accompagnati a quelli di esecuzione e distrazione. Per questo la seconda risulta piu' cautelativa, perche' analizza uno spettro piu' ampio nelle tipologie di errore umano.

Bibliografia.