1

La valutazione di rischio nella 626, i rapporti con la Direttiva Macchine e la protezione nellindustrie di processo: proposta di ricerca in tre parti.

Prima parte: la valutazione e la TDCI

La ricerca prender in considerazione, nella 626, solo ed esclusivamente la parte inerente alla valutazione dei rischi. Prima di entrare nel merito della ricerca riassumeremo le caratteristiche della 626 che hanno un rapporto diretto con la nostra ricerca. La legge, allart.3, (Misure generali di tutela), impone: a) valutazione dei rischi per la salute e la sicurezza, b) lobbligo delleliminazione dei rischi in relazione alla conoscenza acquisite in base al progresso tecnico e, ove ci non fosse possibile, loro riduzione al minimo dei rischi; c) la riduzione dei rischi alla fonte; AllArt.4, (Obblighi del datore di lavoro, del dirigente e del preposto): Il datore di lavoro tenuto allosservanza delle misure generali di tutela previste dallart.3 e, in relazione alla natura dellattivit dellazienda ovvero dellunit produttiva, deve valutare nella scelta delle attrezzature di lavoro e delle sostanze o dei preparati chimici impiegati, nonch nella sistemazione dei luoghi di lavoro, i rischi per la sicurezza e la salute dei lavoratori e la salute dei lavoratori, ivi compresi quelli riguardanti i gruppi di lavoratori esposti a rischi particolari. Allesito della valutazione di cui al comma 1 dellart. 3, il datore di lavoro elabora un documento contenente: una relazione sulla valutazione dei rischi per al sicurezza e la salute durante il lavoro, nella quale sono specificati i criteri adottati per la valutazione stessa; lindividuazione delle misure di prevenzione e di protezione attuate in conseguenza della valutazione di cui alla lettera a), nonch delle attrezzature di protezione utilizzate; il programma di attuazione delle misure di cui alla lettera b) La valutazione di cui al comma 1 ed il documento di cui al comma 2 sono rielaborati in occasione di modifiche del processo produttivo significative ai fini della sicurezza e della salute dei lavoratori. Allart.6, (Obblighi dei progettisti, dei fabbricanti, dei fornitori e degli installatori) la legge recita: I progettisti dei luoghi o posti di lavoro e degli impianti rispettano i principi generali di prevenzione in materia di sicurezza e di salute al momento 1

delle scelte progettuali e tecniche e scelgono macchine nonch dispositivi di protezione rispondenti ai requisiti essenziali di sicurezza previsti dalla legislazione vigente. Orbene, dagli articoli citati, si pu evincere un procedimento metodologico per la valutazione dei rischi di questo genere: a ) individuazione delle fonti probabili di pericolo nelle varie sezioni del processo produttivo, suddividendole in fonti di pericolo da processo regolare (normalmente previsti allinterno della legislazione sulle condizioni di lavoro) o irregolare con assenza o presenza di malfunzionamenti (irregolarit improvvisa od, invece annunciata, con effetti dannosi o meno in tutti due i casi); b) individuazione dei lavoratori esposti; c) valutazione dei rischi propriamente intesa, giudicando ladeguatezza e laffidabilit delle misure di allarme, segnalazione (strumentali o meno) e quelle di annullamento, mitigazione dei rischi e delle conseguenze e tutela collettive ed individuali. d) eliminazione facendo ricorso al progresso tecnico o riduzione dei rischi (privilegiando interventi alla fonte progettuale o dinstallazione o di riparazione o di manutenzione), programmando gli interventi con una gerarchia di priorit: - gravit dei danni (magnitudo); - probabilit daccadimento - numero dei lavoratori esposti; e) controllo dellefficacia degli interventi ed aggiornamento periodico in presenza di modifiche del processo produttivo, anche se, a dire il vero, lart.4, comma 1, sembra porre la valutazione dei rischi come obbligo originario, praticamente permanente. Una prima considerazione pu essere tratta (escludendo il disposto dellart.4, comma 1; per i nostri scopi unesclusione possibile come si vedr pi avanti): la valutazione dei rischi necessaria per i rischi non evitabili, residui, del processo produttivo in fase regolare: rischi non evitabili, ma conoscibili nel loro manifestarsi in fase di processo regolare; quindi fondamentalmente si tratta di rischi derivanti da manomissione o non rispetto (automatiche od umane) di procedure e perci in sostanza da non adeguata organizzazione della manutenzione e della formazione (presupponendo ottimali i dispositivi di protezione individuali). Ma, pi importante sembra essere la valutazione nei casi: a) di malfunzionamenti di processo e leventuale evoluzione in irregolarit di funzionamento (e di produzione), quindi in guasti e di conseguenza in produzione di rischi; b) di modifica del processo produttivo; La ricerca si occuper di questi ultimi. 2

Nei documenti della Comunit Europea inerenti alla valutazione dei rischi si danno le seguenti definizioni: Rischio: probabilit che sia raggiunto il limite potenziale di danno nelle condizioni di impiego ed esposizione. Valutazione dei rischi: procedimento di valutazione dellentit del rischio per la salute e la sicurezza dei lavoratori, nellespletamento delle loro mansioni, derivante dal verificarsi di un pericolo sul luogo di lavoro. Pericolo: propriet o qualit intrinseca di una determinata entit avente il potenziale di causare danni. Siamo allinterno di unanalisi di rischio che deve determinare una funzione matematica f del tipo: R = f (M, P), R = magnitudo del rischio; M = magnitudo delle conseguenze P = probabilit intesa come frequenza del verificarsi delle conseguenze. La determinazione della funzione di rischio f presuppone di definire un modello dellesposizione dei lavoratori a quel dato pericolo, che consenta di porre in relazione lentit del danno atteso con la probabilit del suo verificarsi. Ebbene immediato verificare che questa funzione quasi sempre incalcolabile in un modello cosi concepito, giacch se difficile ammettere si conosca con certezza la magnitudo delle conseguenze, ancorpi difficile ammettere che la magnitudo stessa non sia una probabilit influenzata (oltre che dalla conoscenza di unaltra probabilit: quella del verificarsi delle conseguenze), dal non possedere un numero significativo di casi di eventi dannosi, identici, gi avvenuti tali da definire, in contesti differenti, una volta per sempre ununica magnitudo per ogni probabilit di conseguenze. Inoltre pericoli identici in processi produttivi differenti con sistemi organizzativi differenti difficilmente sono valutabili con la stessa probabilit e la stessa magnitudo. Come si vede lutilizzabilit generale di queste definizioni vasta pari quasi alla loro inutilizzabilit in casi specifici. Siamo quindi costretti ad immaginare un diverso approccio, perlomeno in tutte le situazioni in cui non possediamo frequenze significative di eventi dannosi gi avvenuti, che sono sicuramente, fra le altre, quelle che abbiamo definito essere oggetto della nostra ricerca: episodi di malfunzionamenti e modifiche prive di frequenze significative. La nostra ipotesi parte da una serie di assunti tanto originali quanto banali: a) nessun processo produttivo uguale ad un altro; b) processi produttivi del medesimo prodotto non hanno, spesso, stesse organizzazioni del lavoro; c) il grado di pericolosit degli eventi dipende, anche, dal livello di conoscenza che i lavoratori hanno del processo produttivo; 3

d) la valutazione dei rischi non una stima sul passato, una ricerca di qualche frequenza, ma una proiezione sul futuro di dati attuali (i quali difficilmente sono associabili ad esperienze passate, poich le condizioni al contorno, sociali e tecnologiche sono mutate, quasi sempre in maniera sostanziale, annullando linterpretazione ripetibile del fenomeno); Nella tradizione della valutazione dei rischi nascente dalle installazioni industriali di maggiore rischio (nucleare, chimico, ecc.) si proceduto allanalisi delle installazioni, come sistema chiuso, nel quale le condizioni di sicurezza debbono essere garantite al di l del comportamento dei lavoratori; non solo: si considera che la necessit di un intervento umano al manifestarsi di malfunzionamenti, (invece di un automatico intervento meccanico od elettrico o elettronico), sia un sintomo di debolezza dellapparato di sicurezza. Spesso, invece, il seguire fedelmente le prescrizioni dei progettisti ipotizza che non vi siano buchi nella progettazione e nelle procedure dutilizzo del sistema; ma lesperienza ci insegna che il sistema si blocca di fronte ad eventi non integrati nelle previsioni iniziali e che le reazioni di fronte a questi eventi possono essere catastrofiche se non vi stato un primitivo coinvolgimento del gruppo di lavoro. Non solo, lo spossessamento del know- how riparativo e manutentivo (ci troviamo di fronte ad episodi sempre pi frequenti di appalto) priva la progettazione del necessario feed-back operativo, ritardando levoluzione tecnologica e procedurale. Ebbene, noi invece, consideriamo il coinvolgimento dei lavoratori che gli impianti utilizzano, un elemento essenziale nella procedura dimputazione delle probabilit di rischio e di convalida. Solo in questo modo la differenza fra organizzazione formale (quella prescritta) ed informale (quella che si formata nel reale rapporto con lutilizzo degli impianti) pu emergere ed esplicitarsi come conoscenza diffusa, seppur disorganizzata. Applicheremo nella nostra ricerca la Teoria delle Decisioni in Condizioni dIncertezza, giacch una politica per la sicurezza di un impianto una scelta decisionale in condizioni dincertezza. Come noto, la TDCI riconduce ogni problema ad uno schema generale: dato un insieme S di possibili stati del mondo (impianto), visto come ente aleatorio, che denotiamo ancora S, cui assegnata una distribuzione di probabilit P che descrive numericamente i confronti tra opportuni sottoinsiemi di s (malfunzionamenti), dal punto di vista della loro possibile realizzazione. Daltra parte dato anche un insieme A di azioni alternative (misure di sicurezza): le conseguenze della scelta di unazione, diciamo a, variano in generale con lo stato del mondo (impianto) e, per lo stesso stato del mondo, diciamo s, varia con lazione scelta: cio le conseguenze c(s,a) sono in 4

generale diverse da c(s, a). La diversit delle conseguenze implica in generale una preferibilit diversa fra di esse e daltra parte ogni c(s, a) aleatoria perch aleatorio s. Ci conduce a definire una relazione di preferibilit tra gli enti aleatori: C(S, a) a appartenente ad A Vale a dire ad un confronto di preferibilit tra ogni coppia di enti aleatori: c(S, a) ; c(S, a) Evidentemente dalla conclusione di tutti i suddetti confronti segue la scelta dellazione ottima a*, se lente aleatorio preferito allaltro. La TDCI realizza i suddetti confronti imponendo alla operazione di confronto di preferibilit alcuni vincoli, o regole di razionalit, che trasformano ogni ente aleatorio C(S,a) in un numero aleatorio, mediante la costruzione guidata appunto dalle regole di razionalit suddette (ma per il resto libera), di una funzione reale U (reciproca del danno) definita per ogni coppia (s,a). Lazione ottima, allora, sar in conseguenza naturalmente delle suddette regole di razionalit: quella che massimizza il valore medio del numero aleatorio u(s,a). Indicando con M il valore medio: a* ottima perch MU(S,a*)>MU(S,a) per ogni a diverso da a*. Abbiamo richiamato queste ben note nozioni, per puntualizzare due aspetti della TDCI nella sua utilizzazione eventuale nelle procedure di valutazione dei rischi: 1) lazione ottima a* non quella che senzaltro con il senno di poi (quando cio sar noto lo stato del mondo ovvero di guasto impianto) sar di fatto la migliore. Essa soltanto quella che, nello stato di informazione presente, assicura un comportamento coerente, perch le regole di razionalit su cui costruita ne garantiscono la non contraddittoriet; 2)per ottenere a* necessario precisare la distribuzione di probabilit P sullente aleatorio S e la funzione U. Da 1) segue che il sistema di sicurezza di un impianto ottimo, non se ha successo, ma pi responsabilmente se stato proposto ed attuato seguendo il modello di comportamento razionale alla base della TDCI, posto che tale modello sia effettivamente ritenuto razionale da tutti coloro che hanno costruito e sono protetti dal sistema. Da 2) segue che lottimalit del sistema di sicurezza assicurata nella misura in cui la distribuzione di probabilit P e la funzione U sono accettate o meglio percepite come vere da costruttori e protetti. Si sceglieranno diversi reparti in diversi rami della produzione e dei servizi che permettano con riferimento alle Linee guida CEE per effettuare la valutazione dei rischi e specificatamente allallegato 1 che riporta a titolo desempio le situazioni e le attivit lavorative in numero di 11 che richiedono 5

una valutazione di rischio, lapplicazione della TDCI negli ambiti definiti dal suddetto allegato come: II) Metodi di lavoro e disposizione degli impianti; specificatamente il punto 2.8. tecniche e metodi di lavoro. VIII) Interazione del posto di lavoro e dei fattori umani; specificatamente: 8.1 dipendenza dei sistemi di sicurezza dalla necessit di ricevere e di elaborare con cura le informazioni; 8.2 dipendenza dalle conoscenze e dalle capacit del personale; 8.4 dipendenza da una soddisfacente comunicazione e da istruzioni corrette per far fronte a condizioni mutevoli; 8.5 conseguenze di deviazioni ragionevolmente prevedibili dalle procedure di lavoro in condizioni di sicurezza. IX) Fattori psicologici; e specificatamente: 9.4 contributo al processo decisionale con conseguenze sul lavoro e sulle mansioni. X) Organizzazione del lavoro, e specificatamente: 10.2 sistemi efficaci di gestione e accordi per lorganizzazione, la pianificazione, il monitoraggio e il controllo degli aspetti attinenti alla sicurezza e alla sanit; 10.3 manutenzione degli impianti, comprese le attrezzature di sicurezza; 10.4 accordi adeguati per far fronte agli incidenti e a situazione demergenza. Stabilito preliminariamente a quali condizioni l'impianto provoca malfunzionamenti o si rilevano malfunzionamenti nell'area di lavoro, giudicheremo il malfunzionamento come "segnale" e poi ci proporremo di valutare la probabilit dell'evoluzione del malfunzionamento a guasto producente danno. L'essenziale sar giungere ad una valutazione unanimemente condivisa, in assenza della quale inefficace qualunque ulteriore applicazione della logica TDCI. Per raggiungere tale consenso occorrer utilizzare tutte le fonti di informazione disponibili: 1) i dati di letteratura sulla tecnologia dell'impianto; 2) valutazioni di probabilit personali dei tecnici addetti all'impianto, relative all'avverarsi dell'evento catastrofico in presenza di malfunzionamenti; 3) valutazioni di probabilit sui malfunzionamenti e la loro evoluzione in guasti. Perci riassumendo: lo scopo della ricerca la verifica di un modello probabilistico d'analisi di malfunzionamenti di un impianto o di un'area di lavoro. Il modello progressivo: un modello bayesiano che si autocorregge in proporzione al livello delle informazioni disponibili. L'informazione disponibile di due tipi: a) generale: collegata essenzialmente alle probabilit di guasto assegnate dai costruttori e dalle banche dati e/o di rispetto delle disposizioni di legge. 6

B) specifica: quella risultante dalla comparazione dei dati dell'informazione generale con la specificit e la composizione dei flussi produttivi, del tipo di organizzazione del lavoro, della struttura della manutenzione e la conoscenza dei lavoratori sullimpianto e della presenza di processi formativi permanenti. La comparazione per essere effettuata abbisogna di un sistema di assegnazioni probabilistiche, che essendo formulate per la gran parte (quelle inerenti alla specificit del processo produttivo), in un dominio originale (quella particolare fabbrica, con quella particolare organizzazione del lavoro) risulteranno essere una misura delle opinioni di chi le probabilit assegna: tecnici, lavoratori e responsabili della produzione e della sicurezza e progettisti; ovvero un'assegnazione delle probabilit di malfunzionamento (il processo che pu portare al guasto) e di guasto condizionate dall'esperienza.

Seconda parte: macchine

Questa parte della ricerca lanalisi di una macchina o una serie di macchine di produzione, contemplandone i processi di progettazione, costruzione ed eventuali modificazioni rese necessarie dal mercato o dagli utenti. Si cercher di collocare questanalisi nello sfondo di un mercato caratterizzato da un alto ritmo d innovazione. Formuleremo lipotesi che il costruttore, in senso lato comprendendo quindi lintera organizzazione che va dalla progettazione alla sua realizzazione, abbia unimmagine di cosa desidera lutilizzatore sia sotto il profilo della prestazione che, sotto quello delleconomicit. Il processo sottoposto a molti vincoli, tra i quali spiccano lorganizzazione del lavoro del costruttore e dellutilizzatore. Luna strettamente intrecciata con laltra. Linnovazione stimolata e paradossalmente frenata dalla rigidit dellorganizzazione del lavoro, rigidit collegata alla rigidit del prodotto, tanto pi il mercato dei produttori di beni intermedi e di consumo finale rende necessario linserimento di macchine pi flessibili, capaci dadattarsi meglio alle richieste di personalizzazione o di breve commessa, tanto pi lorganizzazione della produzione dovrebbe adattarsi allaccettazione veloce di un macchinario pi flessibile. Ma, ladattamento sempre unesperienza traumatica, anche per le organizzazioni aduse al mutamento; quando linnovazione nei processi di produzione delle macchine solo su alcuni parti del macchinario si cerca di renderla possibile con il lavoro flessibile. Se, invece, linnovazione sostanziale, prima o dopo bisogner intervenire sulla flessibilit delle macchine di produzione di macchine; ed allora ad una profonda innovazione della macchina da produrre seguir, pi o meno concomitantemente, anche linnovazione delle macchine che tale nuova macchina devono produrre. Insomma lorganizzazione del lavoro del costruttore immagina quella dellutilizzatore, rispetto a tale immagine sinnova, istituisce nuovi rapporti con lutilizzatore, i quali sollecitano un cambiamento del tipo di mercato dove costruttore ed utilizzatore interagiscono. Si ha cos una relazione dialettica e resistente, ma efficace, tra il vincolo dovuto alla organizzazione del lavoro dellutilizzatore produttore di beni di consumo e la spinta allinnovazione tecnologica del produttore di macchine. E sul breve periodo, si alimenta una modifica organizzativa e sul lungo, una generale modifica dei processi di produzione.

Ebbene esiste una dialettica simile nei rapporti fra dispositivi di sicurezza del macchinario e concreto utilizzo nei processi di produzione dellutilizzatore. e, non dovremmo troppo stupircene, se ammettiamo che la ricerca dellaumento di sicurezza sul lavoro interviene allinterno del processo di sviluppo tecnologico come puro tentativo di sottrarre i processi di produzione alla presenza umana. Nella prima parte del progetto di ricerca abbiamo affermato che ogni valutazione di rischio valutazione di probabilit di eventi dannosi, ed in carenza di un numero significativo di guasti delle macchine dannosi (se li avessimo, ripetiamo, sarebbero superflue le valutazioni di rischio, perch si potrebbe associare a tali frequenze, numero di guasti nellunit di tempo, una qualche legge di produzione dei guasti), ogni valutazione di probabilit unassegnazione soggettiva di probabilit. A prima vista sembrerebbe improbo valutare un processo di produzione come anche processo di produzione di eventi dannosi. Una possibile via di uscita sembrerebbe essere quello di simulare in ambiente protetto il funzionamento di una macchina. Ma sappiamo bene che ogni simulazione figlia di una teoria che cerca alcuni fenomeni e nesclude altri, riconosciuti come poco probabili o se probabili non portatori di conseguenze sul piano fisico o produttivo. Linsufficienza dei processi di simulazione deriva principalmente dalla difficolt di valutare lorganizzazione del lavoro dellutilizzatore che notoriamente modella le prestazioni di sicurezza di una macchina (al di l della sua sicurezza intrinseca legata ai dispositivi di comando, controllo e produzione), in funzione dello specifico processo produttivo, della specifica organizzazione industriale e delle specifiche modalit di interfacciamento macchina/macchina e macchina/uomo/macchina. Perci una valutazione di rischio di una macchina non pu non tenere conto dello specifico utilizzo dentro un processo dattraversamento del materiale da lavorare e del rapporto con i sistemi di comando e di controllo azionati dalloperatore. Le correzioni di funzionamento o di modifica di una macchina sono il risultato di due processi. Il primo, interno al processo di produzione della macchina: lutilizzo del pensiero analogico od indiretto, in altre parole lanalisi delle somiglianze nelladattamento della nuova macchina fondata sulle conoscenze non routinarie dellinsieme dei lavoratori. E come se linsieme dellazienda costruttrice immaginasse lutilizzo della propria macchina nel maggior numero di condizioni, anticipa per cos dire lutilizzo mediante unimmaginazione fondata sullesperienza precedente. Il secondo esterno al processo di produzione: ladattamento che la nuova macchina subisce nellinserimento nel flusso dattraversamento 9

10

dellutilizzatore, che, in ogni modo adatta la macchina alle sue esigenze produttive. A tuttoggi le aziende di produzione del macchinario raccolgono informazioni prevalentemente attraverso larea del marketing ed i cosiddetti montatori esterni sottovalutando il potenziale informativo che potrebbe derivare dallintreccio dinamico fra la conoscenza diffusa dei lavoratori costruttori ed utilizzatori. La valutazione di rischio interna che non consideri la cultura degli utilizzatori si trasforma nel migliore dei casi in diagnosi precoce e sviluppo dei dispositivi di protezione e controllo sottovalutando la necessit di verificarne la funzionalit nel processo dutilizzo. La cultura dimmaginazione espressa nel processo di produzione deve collegarsi alla correzione dei dispositivi e del processo di funzionamento espresso dagli utilizzatori che propongono modificazioni progettuali della macchina e del macchinario (la macchina nel concreto processo dutilizzo) coniugando cos cognizione da esperienza diffusa con la simulazione. A questo punto saremo a met strada, perch poi dovremmo fare assegnare ai produttori ed agli utilizzatori delle probabilit di malfunzionamento (dei dispositivi di comando, controllo e protezione della macchina e del macchinario) che possono provocare eventi dannosi o distruttivi. I due settori (produttori ed utilizzatori) assegnano probabilit di malfunzionamento e di guasto modellizzando un percorso di convergenza che sar anche il nostro percorso di verifica attraverso un monitoraggio di un prototipo inserito nella produzione dellutilizzatore.

10

11

Terza parte: processi

Nellindustria di processo il controllo, la protezione del processo e la messa in funzione dei dispositivi di sicurezza in caso dincontrollabilit del processo sono indiretti. Ci sono dispositivi che esprimono quantit di un parametro (pressione, temperatura ecc) e il superamento di una quantit prefissata di uno o pi parametri pone il sistema sotto il controllo di dispositivi di protezione o di sicurezza dalle possibile conseguenze derivanti dalla permanenza di malfunzionamenti che evolvono in guasti. Quindi vi sono dispositivi di controllo che possono o non, interagire manualmente o automaticamente, con i dispositivi di protezione e sicurezza. Perci i dispositivi di controllo sono indiretti, ma lintervento sui dispositivi di protezione pu essere direttamente automatico o direttamente manuale. Se ipotizziamo una probabilit di funzionamento dei dispositivi di controllo pari ad 1, ovvero siamo convinti che essi funzionino sempre (ipotizziamo anche la ridondanza di ogni singolo strumento di controllo in esame) laspetto fondamentale della nostra ricerca risultano essere i malfunzionamenti di comunicazione fra i dispositivi di controllo e i dispositivi di protezione e sicurezza. Questi malfunzionamenti sono di due tipi: errori umani o guasti. Lerrore umano lo potremmo riclassificare in due modi: 1) errore percettivo: anchesso riclassificabile in a) accumulo percettivo con intervento errato o senza intervento b) non percezione 2) assenza dal luogo di controllo. Mentre per quanto riguarda i dispositivi automatici di comunicazione si tratta di guasto. Si potrebbe con qualche ragione affermare che nel caso di errore umano da accumulo percettivo lerrore non sia umano ma derivante da un errore della progettazione del banchi di controllo dove uniperinformazione sui parametri di evoluzione di un processo potrebbe determinare un ritardo nella percezione dei parametri fuori controllo, anche se fossero veicolati da sistemi acustici oltre che visivi, se essi si presentassero in numero superiore ad uno; costringendo loperatore ad una scelta dimportanza ed ad azioni demergenza non necessariamente non contraddittorie. La non percezione teoricamente possibile solo nella coincidenza di una qualche deficienza percettiva che si manifesti in una condizione demergenza ebbene in questo caso una patologia. Se ipotizziamo un fenomeno di questo genere resterebbe solo lassenza delloperatore che a ben guardare, anchessa non un errore, ma uninadempienza che non ci permette di ipotizzare come avrebbe reagito loperatore se fosse stato presente. In breve possiamo ipotizzare che i cosidetti 11

12

errori umani esistano solo nel caso di patologia o di pi parametri da osservare e nella necessit di scegliere azioni non contradditorie. Infine allora per quanto riguarda gli errori umani li potremmo pi adeguatamente definire come errori dorganizzazione: sia del sistema di visualizzazione dei malfunzionamenti o dellorganizzazione medica di controllo. Il nostro scopo pu essere perseguito solo attraverso lanalisi dei rapporti fra dispositivi dallarme ed azioni automatiche correttive. Lintervento dei sistemi di sicurezza condizionato dallintervento dei dispositivi di protezione e di controllo allarme ai quali dovremmo assegnare delle probabilit: nel caso di procedure automatiche, a meno non ci si trovi in presenza di dispositivi dalla costruzione ripetibile e comunque funzionanti anche inseriti in processi diversi le probabilit saranno specifiche per quel tipo di processo. Il funzionamento di un dispositivo dipende fortemente dalla sollecitazioni alle quali soggetto e le sollecitazioni dipendono dalle peculiarit del processo: sollecitazioni e peculiarit abbisognano di assegnazioni di probabilit. A questo punto saremo anche, per lanalisi di un processo campione a met strada, perch dovremmo fare assegnare ai produttori ed agli utilizzatori delle probabilit di malfunzionamento (dei dispositivi di comando, controllo e protezione del processo) che possono fallire nel confinare eventi dannosi o distruttivi. I due settori (produttori ed utilizzatori) assegnano probabilit di malfunzionamento e di guasto modellizzando un percorso di convergenza che sar anche il nostro percorso di verifica attraverso un monitoraggio di prototipi di dispositivi inseriti nella produzione dellutilizzatore.

12

13

Forma del modello: un'applicazione della formula di Bayes che racchiuder l'informazione generale e quella specifica rese omogenee dall'utilizzo della medesima scala di misura. Il modello sar soggetto a continui aggiustamenti in funzione della disponibilit di informazioni e tali aggiustamenti saranno introdotti dal gruppo di lavoro. Area della ricerca: Il malfunzionamento come sintomo di un processo evolutivo, forse, dannoso. Nella realt della ricerca avremo probabilit di guasto di singoli componenti o di processo (provenienti da database costruiti con metodiche perlopi discutibili) e dei malfunzionamenti specifici, segnalati da organi di controllo e di protezione e/o dalle sensazioni di irregolarit intese soggettivamente (rumori, fischi,..) ai quali si assegner una probabilit che in qualche modo esprime l'opinione dell'eventualit di unevoluzione dannosa. Luogo della ricerca: Un reparto campione per ogni singola azienda di produzione macchinario e un reparto dellutilizzatore, analizzati (per flusso produttivo, procedure, manutenzioni, per esistenza di memoria cartacea o elettronica, interventi manutentivi di riparazione o sostituzione) da un gruppo misto: membri del gruppo di lavoro sull'impianto od area composti sia da lavoratori del produttore sia da quelli dell utilizzatore, responsabili della sicurezza e delegati alla sicurezza del produttore e dellutilizzatore e esperti del gruppo di lavoro "Valutazione di rischio" formati da tecnici Ispesl e ricercatori del dipartimento di statistica dell'Universit di Bologna. Paolo Mosconi Dott. Paolo Mosconi v.Remorsella, 24 tel. 051265913 40125 Bologna Ispesl v.Boldrini, 14 tel. 0514215111 40128 Bologna

13