6 Ascca News • Gennaio/Marzo n°1 • 2008

Introduzione

L’ albero dei guasti, noto generalmente come Fault TreeAnalysis, è una metodologia di analisi del rischio chetramite visualizzazione grafica consente di individuare lecause iniziatrici di incidenti che sono frutto di una com-plessa combinazione di eventi. Il risultato dell’analisi èun diagramma logico, mutuato dalla teoria delle deci-sioni che, in definitiva, risponde a questa domanda:“Che cosa deve succedere perché si abbia un determi-nato guasto?”.È una tecnica induttiva che parte dagli eventi finali, dettiEventi Top o Eventi Critici, (scoppio, incendio, rilascio dimateriale tossico, contaminazione al difuori dei limiti, etc.) e risale ai guasti od aglierrori iniziali (Fault). Un albero dei guasti èun diagramma costruito con l’utilizzo diporte logiche and/or che illustra le relazio-ni tra le cause iniziatrici e l’evento finaleindesiderato mostrando al contempo ilcontributo di ogni fattore. Operativamente occorre per prima cosa individuare isistemi coinvolti nell’Evento Critico e procedere quindinella catena di sistemi, sottosistemi, apparati, ecc., finoad arrivare a valutare l’impatto dei guasti dei singolicomponenti per i quali si devono conoscere i valori dellaprobabilità di guasto da utilizzare nella valutazione(eventualmente facendo ricorso a banche dati). La com-binazione di questi dati attraverso le operazioni logicheand/or riportate sul diagramma, permetterà di determi-nare la probabilità (P) dell’Evento Critico. Conoscendo laseverità (X) connessa a tale evento è poi possibile calco-lare il relativo rischio con la nota relazione:

R = P * X

L’analisi dell’albero dei guasti consente di trattare ancheil contributo al rischio derivante da errori umani, cosìcome di individuare le cause di guasto comuni a più sot-tosistemi. È quindi una procedura completa attraversola quale possono essere trovate tutte le combinazioni dieventi che conducono all’evento critico, siano essi gua-sti di apparecchiature che errori umani permettendo difocalizzare l’attenzione sulle misure preventive perridurre la probabilità dell’incidente. Essa può guadagna-

re in semplicità operando la suddivisionedei sistemi complessi in combinazioni logi-che di sottosistemi (alberi), più semplici daanalizzare. In questo caso un approccio digruppo può essere preferibile in quantociascun membro potrebbe concentrarsiprincipalmente su un albero: l’interazionefra i membri del gruppo e di questi con per-

sonale esperto garantirebbe all’analisi completezza edesaustività.È chiaramente possibile utilizzare questa tecnica ancheper una valutazione qualitativa del rischio. I limiti di que-sta tecnica sono dettati non dalla procedura ma dallacompetenza o accuratezza di chi la usa. Di seguito sintetizziamo le caratteristiche del metodo.

Obiettivo

Identificazione delle combinazioni di guasto di compo-nenti ed errori umani che sono all’origine di un incidente.

Analisi del rischio: un esempio applicativo al settorefarmaceutico della Fault Tree Analysis

L. SabatiniLesatec Srl – Opera – Milano

Attraverso l’analisi dell’albero dei guasti è possibile indicare quelle combinazioni di eventiche portano ad un certo evento critico (siano essi imputabili a guasti delle apparecchiatureche ad errori umani) in modo da poter individuare le misure preventive atte a ridurre laprobabilità dell’incidente. In questa prima parte ci si focalizzerà sul come si costruisce unalbero dei guasti, mentre nella seconda parte si analizzerà un caso pratico

Parole chiave: Analisi del rischio • Evento critico • Classificazione dei guasti • Ripartizioni sterili • Eventiintermedi

A RT I C O L O T E C N I C O

…è una procedura com-pleta attraverso la qualepossono essere trovate tut -te le combinazioni di even-ti che conducono al l’e -vento critico…

Campo di applicazione

- In fase di progetto: può essere usato per identificaremodi di guasto non usuali, con riduzione del rischio.

- In fase operativa: è uno strumento utile per valutare laprobabilità di modi di guasto di tipo comune, inclusi gliinterventi dell’operatore, sia autonomi che per l’inosser-vanza delle procedure.

- In generale: può essere usato quando si vuole determi-nare la probabilità di verificarsi di determinati incidentie/o scenari.

Tipo e natura dei risultati

Con sufficienti dati di base, la procedura può dare risul-tati sia qualitativi che quantitativi. In ogni caso consentedi individuare le combinazioni di guasto ed errore umanoche originano specifici Eventi Critici (elenco degli eventielementari concomitanti che possono provocare ildanno) nonché la relativa importanza come contributo alrischio (influenza dei vari eventi elementari nel determi-nare il danno).

Requisiti

La preparazione di un albero dei guasti presuppone l’e-satta conoscenza sia del funzionamento del sistema edei suoi componenti in situazione di normale attività siadei suoi modi di guasto e dei relativi effetti, dati questiricavabili, ad esempio, da un precedente studio HAZOP,FMEA o FMECA.Ogni albero deve essere predisposto da un singoloanalista, con la collaborazione di operatori ed altro per-sonale con esperienza nel funzionamento dei compo-nenti e dei sistemi inclusi nell’analisi, in modo daavere le informazioni sui guasti che contribuisconoall’incidente.

Costruzione dell’Albero dei Guasti

L’albero dei guasti viene costruito per mezzo di grafi cheuniscono gli eventi alle cause con simboli specifici rappre-sentanti funzioni logiche (vedi Fig. 1).Il punto di partenza del grafo è l’Evento Critico da cui sirisale alla/e possibile/i causa/e che lo possono produrre.

Esempio applicativo del metodo FTA

Consideriamo il caso di una cleanroom in esercizio nellaquale si esegua la ripartizione asettica di un farmaco infiale aperte. Il locale riempimento sarà, quindi, caratterizzato da unaclasse “A” nella zona considerata critica (zona di riem-pimento ed eventuali depositi e percorsi sterili), e dauna classe “B” (zona ad essa adiacente). Per simili loca-li è praticamente obbligatorio eseguire campionamenti

continui, in condizioni operative, della concentrazionedi particelle in aria sia nelle zone critiche che in almenoin un punto della zona “B” rappresentativo dell’impat-to della contaminazione sulla qualità del prodotto fina-le. La posizione di questo punto, che nella figura 2 èindicato con “P”, può essere definita, ad esempio, conl’ausilio della metodologia HACCP.Consideriamo come Evento Critico il superamento nonsistematico in “P” del limite della classe ISO 7 in condizio-ni operative e poniamoci l’obbiettivo di individuare leeventuali cause che lo possono determinare.

7Ascca News • Gennaio/Marzo n°1 • 2008

Fig. 1 Simbologia per la costruzione dell’albero dei guasti

Fig. 2 Pianta reparto

Per eseguire una analisi FTA occorre inizialmentedescrivere correttamente il sistema ed il suo funziona-mento, e quindi valutare i guasti che possono averlocausato.

8

Descrizione del reparto di ripartizione sterile

Il reparto è basato su un locale di ripartizione al quale l’o-peratore accede per mezzo di uno spogliatoio in tre stadidi collegamento con il corridoio classificato “D”. Le fialeriempite escono per mezzo di una bussola con porte inter-bloccate di collegamento con il corridoio “D”. Le fiale ste-rili da riempire entrano tramite la porta sterile di una ste-rilizzatrice depirogenatrice e gli altri materiali tramite laporta sterile di un’autoclave. I principali locali ancillari (vediFig. 2) quindi sono i seguenti:- Locale sterilizzazione in classe “C” con sterilizzatrice ed

autoclave.- Locale preparazione soluzione in classe “C” con disso-

lutore e sistema di filtrazione della soluzione.- Locale lavaggio in classe “D” con lava fiale.La ripartizione vera propria è fatta da una ripartitricedotata di sezione di saldatura alla quale occorre addur-re manualmente le fiale vuote con apposito cestello dicarico e dalla quale occorre asportare i cestelli riempiti.Come dotazione pertinente alla produzione ipotizziamola presenza di un carrello di servizio per i cestelli riem-piti. La soluzione viene direttamente portata alla riem-pitrice con un sistema di pressurizzazione e di filtrazio-ne sterile.All’interno del locale di ripartizione lavora solo un ope-ratore, “Operatore 1”, mentre all’esterno lavora uno opiù operatori che indicheremo genericamente con“Operatore 2”.

Descrizione delle operazioni svolte dall’operatore 1:

- Ingresso operatore nel locale ripartizione e controllodella documentazione di produzione.

- Prelievo dei dispositivi e dei filtri finali dall’autoclave.- Montaggio dei dispositivi e dei filtri.- Controllo funzionale della riempitrice e delle sue impo-

stazioni.- Prelievo di tutti i carrelli dei contenitori primari dalla ste-

rilizzatrice e loro posizionamento nel deposito sterilecon chiusura della porta della sterilizzatrice.

- Caricamento dei contenitori primari sulla riempitrice.- Inizio produzione con caricamento dei cestelli riempiti

nel carrello di servizio.- Spostamento del carrello riempito nella bussola di usci-

ta e proseguo della produzione con i cestelli di un altrocarrello.

- Ripetizione del ciclo per il numero di volte previsto perl’esaurimento del lotto.

Descrizione delle operazioni svolte dall’operatore 2:

- Prelievo del carrello riempito dalla bussola da parte del-l’operatore 2, suo svuotamento ed adduzione del car-rello al locale lavaggio per la sua pulizia e caricamentocon altri cestelli di fiale lavate.

- Inserimento dei carrelli riempiti con fiale lavate nel loca-le sterilizzazione.

- Riempimento della sterilizzatrice dal locale sterilizzazio-ne con i carrelli addoti dal locale lavaggio ed avvionuovo ciclo di sterilizzazione.

- Ripetizione del ciclo per il numero di volte previsto perl’esaurimento del lotto.

Valutazione dei guasti o malfunzionamentiche possono avere causato l’Evento Critico

Si può iniziare cercando di rispondere alla domanda:“cosa deve succedere per avere il guasto ipotizzato?”.Fra le cause possiamo porre:- diminuzione di portata di aria;- variazione della temperatura di ingresso dell’aria che

altera i percorsi aerodinamici all’interno del locale riem-pimento;

- variazione della portata di estrazione dei gas di combu-stione delle fiamme che a sua volta induce variazioni deipercorsi aerodinamici;

- guasto non rilevato al sistema di controllo della pressio-ne ambientale con aumento delle infiltrazioni;

- danneggiamento grave di uno o più filtri terminali;- guasto al sistema di interblocco della bussola uscita

materiali che ne permette l’apertura prima dello scade-re del relativo recovery time;

- operatore che agisce non in conformità alla proceduraqualificata per la produzione, per esempio muove i car-relli troppo velocemente;

- procedura qualificata di produzione non sufficiente-mente precisa per cui la ripetibilità dei dati dipende dallabravura dell’operatore;

- procedura qualificata di produzione precisa ma non suf-ficientemente controllata nell’applicazione;

- procedura qualificata di produzione precisa ma opera-tore non correttamente addestrato;

- non corretta applicazione procedura di pulizia di finelavoro;

- non corretto controllo applicazione procedura di pulizia;- caduta di un cestello con fiale piene o vuote od altro

evento di natura accidentale svincolato dai puntiprecedenti.

Tali eventi ipotetici possono essere suddivisi in catego-rie distinte per semplificare la costruzione dell’albero.Per stabilire quali eventi entrano in una categoriae quali no può essere scelto il criterio della connessio-ne degli eventi che le compongono. In questo modo,se ciò è possibile, si individuano delle sequenze inci-dentali che possono essere analizzate indipendente-mente. Queste sequenze, la cui corretta scelta dovràperò essere comprovata a posteriori, possono a lorovolta essere suddivise in fasi distinte separatamenteanalizzate. Nel nostro caso possiamo fare le seguentisuddivisioni:

Ascca News • Gennaio/Marzo n°1 • 2008

• Eventi connessi con impianto di trattamento aria (E.i.t.)• Eventi connessi con sistemi ausiliari ( interblocco busso-

la) (E.s.a.)• Eventi connessi con danneggiamenti filtri HEPA termina-

li (E.d.H.)• Eventi connessi con difetti procedurali (E.d.p.)• Eventi connessi con difetto di controllo d’applicazione

delle procedure (E.d.c.)• Eventi connessi con difetto d’istruzione del personale

(E.d.i)• Eventi connessi con errori umani accidentali (E.e.a.)

Alla luce di quanto detto è possibile rappresentare ilnostro albero dei guasti in questo modo:

sarà praticamente ininfluente. Questo stato di cose puòessere reso bene dall’inserimento di una porta “ORESCLUSIVO”. Si ricorda che tale operatore logico assume valore “1”(vero), quando gli ingressi sono diversi, assumendo il valo-re “0” (falso), quando gli ingressi sono uguali. Con que-sta ipotesi di lavoro l’evento E.e.a. può essere consideratocome evento “causa” non ulteriormente sviluppabile.In altri termini si esclude a priori la concomitanza dell’e-vento E.e.a con gli altri tre.

9Ascca News • Gennaio/Marzo n°1 • 2008

Grafo 1

Grafo 2

Tutti gli eventi intermedi segnati possono essere ulterior-mente sviluppati. Prima di procedere, è utile fare alcune riflessioni in meritoall’errore accidentale. Se le procedure sono corrette e correttamente applica-te da operatori istruiti e controllati, gli eventi E.d.p,E.d.c., E.d.i. avranno probabilità assimilabile a “0”mentre l’evento E.e.a., pur avendo probabilità in que-sto caso molto bassa, sarà preponderante. Se inveceuno degli altri eventi può accadere, l’influenza di E.e.a.

L’evento E.d.p. può essere ulteriormente approfondito(vedi il Grafo 2). Considerando non realistica un’errataprocedura dovuta all’imperizia dello staff che l’ha redatta,si possono ipotizzare due possibili cause prime:- Non completa conoscenza della problematica di produ-

zione (E.c.p.)- Non rispondenza ergonomica del diagramma di produ-

zione alla procedura (E.e.p.)Gli eventi Edi e Edc possono anch’essi essere ulteriormen-te sviluppati oppure considerati come cause prime.

Summary Fault tree analysis (FTA) is a risk analysis techniquethat visually models how logical relationships between equip-ment failures, human errors, and external events can combineto cause specific accidents. Thanks to this analysis is possibleidentify preventive measures to reduce accident probability

Per ulteriori informazioni segnare sull’apposito tagliando iln. 1

6 Ascca News • Aprile/Giugno n°2 • 2008

Eventi connessi con danneggiamenti filtriHEPA terminali (E.d.H.)

Consideriamo l’insieme di guasti che possono portareall’evento Top per problemi connessi alla rottura dei fil-tri HEPA. Da un punto di vista concettuale un filtro HEPA più siintasa meglio filtra fino a quando non intervengono: - problematiche legate all’invecchiamento (Inv.), che

provocano un lento decadimento dell’efficienza di fil-trazione;

- problemi di rottura innescati da salti di pressione trop-po elevati (∆P) che provocano la rottura meccanicadelle fibre del filtro e quindi diminuzione rapida del-l’efficienza di filtrazione;

- eventi traumatici accidentali quali danneggiamentidovuti ad urti (Urto).

Le tre ipotesi di guasto possono essere inserite nell’albe-ro per mezzo di una porta OR (vedi Grafo 3).L’evento ∆P può essere sviluppato ulteriormente sullabase delle seguenti considerazioni: - il ventilatore ha una prevalenza massima superiore alla

pressione di rottura dei filtri HEPA (Al.P);- è assente una procedura di controllo manuale od

automatica delle perdite di carico di detti filtri (As. P).

Questi due eventi sono connessi attraverso una portaAND perché entrambi devono essere “veri” per averel’evento ∆P “vero” e possono essere considerate causeiniziatrici (vedi Grafo 4).Nella realtà il deterioramento conseguente all’evento∆P, per la tipologia e l’uso continuo degli impianti con-siderati, assume un andamento non impulsivo ma dilento decremento dell’efficienza per cui una proceduradi controllo basata sull’utilizzo pianificato del DPC leaktest, che non peggiora le condizioni di intasamento deifiltri, o del Recovery Time può evidenziare tale degradoprima che insorgano seri problemi. Altro tipo di fenomenologia da considerare in relazionea questo evento sono le rotture per stress meccanicoconnesse ai cicli di accensione. Anche questi deteriora-menti da “fatica” possono essere evidenziati o impo-nendo un numero massimo di cicli di accensione oppu-re eseguendo i test prima elencati ad ogni riavvio; cosaoggettivamente assai semplice con il Recovery Time.L’esecuzione di tali test può però evidenziare anche l’in-

Analisi del Rischio: un esempio applicativo al settorefarmaceutico della Fault Tree Analysis

L. SabatiniLesatec Srl – Opera – MI

Dopo aver visto nella parte prima cos’è e come si costruisce un albero dei guasti, in questaparte inizieremo a sviluppare gli eventi intermedi individuati

Parole chiave: Filtri HEPA • Danneggiamenti filtri • Sistemi ausiliari • Recovery Time

A RT I C O L O T E C N I C O

Grafo 3 Grafo 4

sorgere di problemi connessi con l’invecchiamento. Con queste ulteriori considerazioni, introducendo lacausa prima “assenza di test” (As. T) il nostro albero simodifica come riportato nel Grafo 5.

Nella stesura dell’albero fino ad adesso abbiamo conti-nuato a riportare per chiarezza esplicativa gli eventiintermedi che definivano la catena incidentale. Nellarealtà una volta giunti alle rispettive cause iniziali ciònon è più necessario, anzi potrebbe indurre ad errori infase di valutazione delle probabilità connesse con ognisingola sequenza. Nel Grafo 6 è applicato quantosopra detto alla sequenza E.d.H. che, ricordiamo, rap-presenta la sequenza di eventi che danno come risulta-to finale una diminuzione della efficienza di filtrazionedei filtri finali.

Per completezza facciamo alcune considerazioni inmerito ai danneggiamenti dovuti agli urti meccanici. Se le procedure di installazione e la I.Q. dell’impianto diventilazione sono state correttamente eseguite,non sono

da prendere in considerazione i danneggiamenti causatida materiali lanciati sui filtri dal sistema di ventilazionestesso. Rimangono, quindi, le cause che insorgono all’in-terno della camera bianca quali gli eventi catastrofici, urticausali (U.C) (rottura di una macchina di processo con“lancio” di mezzi contundenti, “esplosione” di un flaco-ne durante il riempimento, errore procedurale grave del-l’operatore, errore procedurale grave della squadra dipulizia ecc.) che sono, comunque, eventi a bassissimafrequenza, e gli eventi riconducibili ad azioni sistemati-che causate dalla non corrispondenza ergonomica delleprocedure di produzione con il diagramma di produzione(E.e.p.) già in precedenza introdotte. Tenendo comunquein conto che l’invecchiamento è a tutti gli effetti unacausa prima, il diagramma risulta modificato come ripor-tato nel grafo 6.Occorre fare una osservazione dettata dall’esperienza.Nelle camere bianche in classe ISO7 ed ISO8 l’intasamen-to dei filtri finali è estremamente lento. In media occorro-no più di 3-4 anni per pervenire a perdite di carico di 400-450 Pa. contro perdite di carico massime sopportabili daifiltri terminali superiori ai 1000 Pa. Ciò comporta unanetta prevalenza dei guasti causati dall’invecchiamentorispetto a quelli causabili dallo sforzo meccanico. Nellapratica, anche per problematiche legate al rumore ed aiconsumi energetici, è prassi comune sostituire i filtri ter-minali prima del quarto anno di funzionamento. Ciò com-porta la non necessità di disporre di ventilatori di notevo-le potenza in grado di scaricare sui filtri terminali salti dipressione paragonabili a quelli di rottura. Se il dimensio-namento del sistema di ventilazione è stato eseguitotenendo in conto questo dato di fatto vengono eliminatii danneggiamenti dovuti alla alta pressione. La sequenzaE.d.H. si modifica come sotto riportato (grafo 6a). Comesi vede ciò, indipendentemente dalle considerazioni cheverranno svolte, comporta comunque una buona sempli-ficazione e mostra l’inutilità del controllo della caduta dipressione, e relativa procedura, sui filtri HEPA terminali inquanto l’evento primo da cui dipendeva è eliminato.

7Ascca News • Aprile/Giugno n°2 • 2008

Grafo 5

Grafo 6

Grafo 6a

8

Possiamo in modo analogo rappresentare l’insieme dellesequenze connesse con errori procedurali o omissioni dicontrollo come da Grafo 7.

Eventi connessi con sistemi ausiliari (interblocco bussola) (E.s.a.)

Analizziamo adesso le problematiche connesse con iguasti o il non corretto utilizzo dei sistemi ausiliari qualila bussola di uscita del prodotto (E.s.a.). Normalmente tali sistemi sono così concepiti:- bussola ventilata con pressione intermedia tra i locali

che pone in comunicazione- interblocco temporizzato tra le due porte- segnalazioni ottiche sullo stato delle portePer quanto riguarda la ventilazione possiamo avere duesoluzioni: a) la bussola può essere ventilata indipenden-temente; b) la bussola è ventilata attraverso un sistemacomune anche ai locali connessi. Dal punto di vista dei malfunzionamenti non è rilevantené il “valore” di portata immessa né il “valore” dellapressione relativa. Essi influenzano la classe di contami-nazione, il recovery time ed il grado di contenimento mase sono stati considerati idonei per l’applicazione inoggetto e certificati, non possono essere consideratifonte di eventi dannosi.

Sono, invece, eventi dannosi le variazioni dei valori ditali parametri. Se l’impianto di ventilazione è unicodovremo sviluppare questi eventi nella catena incidenta-le connessa con l’impianto di trattamento aria (E.i.t.),altrimenti nella catena (E.s.a).In relazione all’Evento Top i guasti che hanno importan-za sono:- apertura porta interna prima che sia trascorso il

Recovery time dalla chiusura della porta esterna;- aumento della pressione nella bussola a valori supe-

riori di quella del locale riempimento;- diminuzione della pressione nella bussola al di sotto di

quella del corridoio “D”.Nel primo caso se l’Operatore 1 apre la porta internaprima che sia trascorso un recovery time da che è statachiusa la porta esterna, il locale riempimento verrà incontatto diretto con un’area più contaminata. Questoevento può verificarsi sia per una rottura meccanica(Ro.M.) che elettrica (Ro.E.) delle serrature accompa-gnata da un contemporaneo guasto alle spie di segna-lazione (Ro.S.). Altra possibile causa potrebbe essere unguasto al temporizzatore (Ro.T).Nel secondo caso, (>P), quando l’Operatore 2, uscendo,chiude la porta esterna, l’aria interna alla bussola, più con-taminata, entrerà nel locale di riempimento, per via delleinfiltrazioni, per tutta la durata del recovery time dellabussola. Nel caso di suo ingresso a tale periodo occorreràaggiungere il tempo della sua permanenza all’interno. Nel terzo caso,(<P) le infiltrazioni di aria più contamina-ta dal corridoio possono fare sì che le condizioni di puli-zia idonee per l’apertura della porta interna non venga-no mai raggiunte. Nel Grafo 8 sono riportate le considerazioni sopraespresse.

Ascca News • Aprile/Giugno n°2 • 2008

Grafo 7

Grafo 8

Gli eventi rottura temporizzatore e alta/bassa pressionesono eventi da sviluppare ulteriormente. Se la bussola èdotata di sistema di allarme per bassa/alta pressione,l’osservanza di questo allarme evita le conseguenze sul-l’evento Top, anche se il suo intervento impedisce l’usoin sicurezza della bussola medesima. Introduciamo quin-di la causa prima “assenza allarme pressione nella bus-sola” AAP.Si sono introdotti, tra le cause prime, gli eventi connes-si con il difetto di controllo d’applicazione delle proce-

dure (E.d.c.), in quanto, data per scontata l’esistenza diidonea procedura, l’inosservanza delle spie di segnala-zione può solo essere causata da un difetto nel control-lo dell’applicazione delle procedure.

Summary After examinating in the firts part how a fault treeis designed, in this second part we analyze the graphical repre-sentation of undesired evets caused by intermediated events

Per ulteriori informazioni segnare sull’apposito taglian-do il n. 1

9Ascca News • Aprile/Giugno n°2 • 2008

6 Ascca News • Luglio/Settembre n°3 • 2008

Eventi connessi con l’impianto ditrattamento aria (E.i.t.)

Rimane da esaminare l’evento intermedio (E.i.t.) dipen-dente dai guasti o malfunzionamenti degli impianti diventilazione e trattamento aria. Le catene incidentaliche determinano questo evento dipendono fortementeda come l’impianto è stato progettato, realizzato e qua-lificato. Per procedere nella sua analisi occorre pertantodescriverlo con sufficiente precisione. Supponiamo che esso sia stato progettato e realizzatotenendo in conto i seguenti criteri:- Distribuzione dell’aria negli ambienti del reparto

effettuata per mezzo di filtri HEPA terminali;- Equi portata specifica dei filtri terminali: questo

significa che in tutti i filtri terminali la velocità diattraversamento del mezzo filtrante è la stessa, ovve-ro che la portata di aria per unità di superficie filtran-te è costante;

- Costanza delle caratteristiche tecniche dei mediafiltranti dei filtri terminali: ossia, le caratteristichetecniche dei media filtranti, quali efficienza di filtra-zione, diametro di massima penetrazione, perdita dicarico in funzione della velocità di attraversamento esua variazione in funzione dell’omogeneo intasamen-to sono le stesse;

- Costanza delle caratteristiche geometriche dei fil-tri terminali: ovvero, le pieghettature del mezzo fil-trante hanno tutte la stessa profondità e spaziatura.Con il soddisfacimento contemporaneo dei preceden-ti requisiti, ciò si traduce nella uguaglianza delle per-dite di carico di tutti i filtri del reparto a parità di velo-cità frontale di emissione;

- Equi intasamento del sistema filtrante finale: sup-poniamo che il sistema di ventilazione sia dotato deitre classici sistemi di filtrazione. Il primo di bassa effi-

cienza (G4), il secondo costituito da filtri ad alta effi-cienza (F8) ed il terzo sistema, sul quale transita ovvia-mente tutta l’aria, costituito dagli HEPA terminali diefficienza H14 con ventilatore di mandata posto trasistema secondario e terminale (vedi Fig. 3). Questotipo di schema di ventilazione garantisce che su tutti ifiltri terminali la contaminazione media dell’aria inarrivo sia la stessa in quanto tutta l’aria in circolo su -bisce lo stesso tipo di prefiltrazione e passa per ilmedesimo ventilatore. Questo tipo di geometria, unitoal soddisfacimento delle caratteristiche precedenti, fasì che le variazioni di perdita di carico dei filtri con ilproseguire dell’intasamento siano uguali per tutti;

- Condizione di stabilità aerodinamica: è noto che ipercorsi aerodinamici all’interno delle clean room aflusso misto, dipendono, una volta fissata la geome-tria dei dispositivi di immissione e ripresa, dalle veloci-tà di immissione e dalla differenza tra la temperaturadi immissione e la temperatura media ambientale.Con il diminuire di tale differenza di temperatura edella velocità di immissione può generarsi il fenome-no della inversione aerodinamica. Nel caso specificosupponiamo che la velocità di immissione, che ècostante per tutti i filtri, e quindi le portate siano statedefinite in modo da garantire il funzionamento stabi-le in tutte le condizioni;

- Criteri di determinazione della portata di ariaimmessa: la portata minima da immettere in ogniambiente è definita prioritariamente per garantire leclassi di contaminazione previste in condizioni operati-ve e l’alimentazione dei flussi unidirezionali a protezio-ne delle zone critiche. Tale valore di portata normal-mente è superiore, a parità di grado di sottoraffredda-

Analisi del Rischio: un esempio applicativo al settorefarmaceutico della Fault Tree Analysis

L. SabatiniLesatec Srl – Opera - Milano

In questa ultima parte vengono sviluppate le sequenze relative ai malfunzionamenti degliimpianti di ventilazione e trattamento aria. L’esempio è infine completato dalla metodolo-gia di valutazione del rischio

Parole chiave: Criteri impiantistici • Portata del sistema • Controllo della temperatura • Controllo dell’umidità• Valutazione del rischio

A RT I C O L O T E C N I C O

mento, a quella necessaria per il mantenimento dellecondizioni termiche medie. Occorre però verificare chetale portata renda accettabili le variazioni spaziali deiparametri termoigrometrici, rispetto ai valori medi, infunzione dei carichi per rendere trascurabile il diversoimpatto della sudorazione degli operatori;

- Invarianza del sistema di ventilazione: questosignifica che essendo i parametri fondamentaliambientali (temperatura, classe di con-taminazione, recovery time) garantitidalle portate di aria immessa negliambienti, che a sua volta dipendonodalle perdite di carico di tutto il circui-to, il sistema di distribuzione dell’aria èprogettato per rimanere meccanica-mente invariante. Ovvero che una voltaeffettuata in fase di avvio la ripartizio-ne delle portate e dei gradienti di pressione con le ser-rande manuali all’uopo predisposte, esse rimangonofisse durante la vita dell’impianto. Unica eccezionel’organo di regolazione della potenza del ventilatoreche deve sopperire all’incremento delle perdite di cari-co del sistema filtrante al fine di mantenere costantela portata di aria in ciclo.

Con il tipo di presupposti sopra riportati abbiamo chenei tratti di circuito compresi tra i filtri terminali, e quin-di gli ambienti, e la zona del condizionatore a monte deifiltri G4, le pressioni rimangono sempre costanti se laportata rimane costante. Nel tratto compreso tra il valledei filtri G4 ed il monte dei filtri H14 invece le pressionidovranno variare per mantenere costante la portata pervia dell’intasamento progressivo. Ogni variazione di por-tata si ripercuoterà in modo quadratico, ma con stessalegge parabolica, sulle pressioni del tratto 1 del circuito.Ciò garantirà comunque il mantenimento di differenzedi pressione relative tra i vari tratti del circuito, ivi com-prese le differenze di pressione ambientali. Tali differen-ze aumenteranno o diminuiranno con l’aumentare o ildiminuire della portata annullandosi solo con l’annulla-mento della medesima senza mai invertirsi.Appare evidente che il soddisfacimento dei criteri enun-ciati implica che un parametro da tenere sicuramentesotto controllo e la cui costanza è da garantire attraver-so una idonea gestione è la portata del sistema. Essopuò essere considerato, per il tipo di impianto prospet-tato, un vero e proprio parametro critico di controllo. Lasua costanza, ripetiamo, garantisce:a) mantenimento delle classi di contaminazione prefis-

sate;b) mantenimento, a porte chiuse, delle pressioni

ambiente e, quindi, del contenimento per pressioneprevisto;

c) mantenimento, con idonea posizione geometrica deifiltri terminali, della distribuzione delle temperaturepreviste negli ambienti;

d) costanza del recovery time.

Altri parametri conseguenti da misurare e gestire sonole temperature e le umidità per il loro impatto sul benes-sere e la sudorazione degli operatori.Supponiamo che nel nostro caso il controllo dellecondizioni termoigrometriche sia effettuato permezzo di una batteria centralizzata di deumidificazio-ne e raffreddamento posta nella macchina di tratta-mento aria, da batterie di zona di post riscaldamento

ed un umidificatore anche esso centraliz-zato. Le variabili misurate nel caso specifi-co risultano:- temperature ed umidità medie dell’ariaricircolata al condizionatore per mezzo ditrasmettitori inseriti nel canale di ripresa. Talivalori serviranno per il controllo della batte-ria e dell’umidificatore centralizzato;- temperatura degli ambienti pilota delle varie

zone termiche per mezzo di trasmettitori posti nellecanalizzazioni di ripresa da tali ambienti. Tali valori servi-ranno per il controllo delle batterie di post riscaldamen-to di zona.

Il soddisfacimento dei criteri impiantistici e delle con-dizioni di benessere impone però alcuni ulteriori vinco-li che è bene evidenziare. Uno di questi è il grado disottoraffreddamento massimo che può avere l’ariaimmessa. Data la tipologia della distribuzione non èsalutare per gli operatori che esso superi i 4 °C quan-do le velocità di immissione sono quelle tipiche previ-ste dalle pratiche di buona fabbricazione dei farmaci(0,45 m/s). Altro vincolo è rappresentato dalla necessi-tà di garantire la corretta ossigenazione degli ambien-ti imponendo un sufficiente tasso di rinnovo dell’ariain circolo. Occorrerà perciò dotare l’impianto di idonei sistemi dipresa aria esterna ed espulsione che possano supplirealla bisogna e che, contemporaneamente, non alterinol’invarianza del circuito di ventilazione. Nel nostro casociò è stato ottenuto per mezzo di un espulsore che pre-leva parte dell’aria ricircolata al condizionatore e conl’immissione di aria esterna direttamente alla sezione dipresa del condizionatore stesso.Con riferimento al nostro Evento critico le sequenzeincidentali pertinenti possono essere ridotte alleseguenti:- malfunzionamento del sistema di controllo della por-

tata totale di aria in ciclo con riduzione della medesi-ma (E.i.P);

- depressurizzazione degli ambienti causata da unaumento della portata di aria di espulsione (E.i.E);

- depressurizzazione degli ambienti causata da una rot-tura di un componente del sistema di distribuzionedell’aria (E.i.R);

- malfunzionamento del sistema di controllo della tem-peratura (E.i.T);

- malfunzionamento del sistema di controllo della umi-dità (E.i.U).

7Ascca News • Luglio/Settembre n°3 • 2008

…un parametro da teneresicuramente sotto control-lo e la cui costanza è dagarantire attraverso unaidonea gestione è la porta-ta del sistema…

8

Possiamo a questo punto riportare in forma grafica i nuovieventi intermedi individuati per la sequenza E.i.t. (vedigrafo 9) ed iniziare le analisi per le sequenze individuate.Occorre però fare una importante precisazione. Parlan -do di apparati meccanici od elettronici possiamo suddi-videre tali guasti in due categorie principali: quelli ridu-cibili a livelli accettabili o eliminabili per mezzo di unamanutenzione ben programmata e quelli di natura pret-tamente stocastica connessa con l’affidabilità della com-ponentistica utilizzata. Al primo tipo sono chiaramentericonducibili i malfunzionamenti delle trasmissioni, deicuscinetti, ecc. mentre al secondo tipo quelli tipici deicontroller, PLC o trasmettitori di segnale.Oltre a questi occorre ipotizzare eventi catastrofici con-nessi con eventi non prevedibili quali tranciature di cavi,cadute di gravi su componenti, ecc.

Malfunzionamento del sistema di controllodella portata totale di aria in ciclo con

riduzione della medesima (E.i.P)

Con le precisazioni sopra fatte, per l’evento intermedioE.i.P possiamo suddividere nel seguente modo i possibi-li malfunzionamenti:- Guasti dovuti a carente o assente manutenzione:

a) guasto alla trasmissione del ventilatore (GuV);b) guasto per sporcamento o ossidazione del senso-

re/trasduttore di portata (GtP);c) guasto per “baco” al software del PLC (GsP)

- Guasti dovuti alla affidabilità dei componenti (GaC) quali:a) guasti elettronici dei controller/PLC;b) guasti elettronici dei trasmettitori di segnale;c) guasti elettrici dei motori;d) guasti degli inverter

- Guasti dovuti ad eventi catastrofici (Ro.Ca) quali:a) tranciature cavi trasmissione dati o potenza;b) rotture per eventi catastrofici dei componenti

La lista dei guasti proposta, sicuramente non esaustiva,è prettamente dipendente dalla tipologia di impiantoprospettata e, quindi, non generalmente valida.

Data la tipologia degli eventi considerati e la scarsainfluenza della manutenzione programmata su alcuni diessi è opportuno prevedere azioni parallele sia per pre-venire, attraverso le ridondanze dei componenti menoaffidabili, che per mitigare o contenere le conseguenzedelle sequenze incidentali a più bassa probabilità diaccadimento. Nel grafo 10 sono stati riportati gli eventi primi già indi-viduati con l’aggiunta della assenza della manutenzionepreventiva (AmP). Si è provveduto anche ad inserire l’e-vento Edc in quanto se non vi è controllo dell’applica-zione della procedura di manutenzione non c’è la sicu-rezza che venga effettuata.Il diagramma ottenuto si presta ad alcune ottimizzazio-ni che, limitatamente al nostro Evento Top, possonopermettere, per un non trascurabile numero di guasticausati dall’affidabilità (GaC), di attenuarne gli effettisenza ricorrere estesamente alle ridondanze di impiantoper i componenti di notevole costo e buona affidabilità.Diremo subito che con quanto proporremo non è possi-bile coprire i guasti stocastici dovuti al motore del ven-tilatore (Gmv).Nell’ipotesi che il ventilatore di mandata sia statodimensionato conformemente a quanto sopra descritto,molti dei guasti GaC che comportano una diminuzionedi portata, con l’esclusione della rottura del motore delventilatore, potrebbero essere mitigati nelle loro conse-guenze imponendo che le variabili controllate vadano alloro valore massimo attraverso il distacco dell’organocontrollato. Per esempio al guasto per sovra assorbi-mento o eccessiva dispersione dell’inverter (Gai) potreb-be corrispondere l’immediato passaggio all’alimentazio-ne diretta del motore. Analogamente all’azzeramentodel segnale di portata (Gac), o sua diminuzione al disot-to di una soglia prefissata, un relè potrebbe alimentarel’organo regolante con un segnale prossimo al valoremassimo. Se in fase di qualificazione della installazioneè stato provato che il passaggio dalle condizioni norma-li a queste condizioni di guasto “attenuato” non com-porta un superamento dei limiti per l’evento critico inquestione, allora gli operatori potrebbero avere il tempodi esaurire il prodotto in linea senza la necessità di eli-

Ascca News • Luglio/Settembre n°3 • 2008

Grafo 9

Grafo 10

minarlo. Chiaramente il ciclo di lavoro dovrà essereinterrotto per permettere la riparazione del guasto. Altritipi di guasto potrebbero essere quelli che comportanoun blocco delle capacità di regolazione (Gar). Questiultimi, comunque causati, possono non essere immedia-tamente percepiti. È quindi necessario che opportunesegnalazioni indichino il degrado del sistema di control-lo. Per fare questo occorre che le variabili controllate, inquesto caso la portata, vengano misurate anche da unsistema ausiliario ad elevata affidabilità di facile o imme-diata manutenzione (ridondanza). Nel caso della porta-ta questo potrebbe essere un manometro a liquido omeccanico collegato ad un tubo di venturi o ad unaflangia tarata.Impostando su tale manometro, in parallelo con il siste-ma di controllo automatico, il valore della portata nomi-nale e l’intervallo accettabile in diminuzione (livelli diallerta/azione), il variare del valore misurato entro dettointervallo potrebbe essere utilizzato come indicatoredelle condizioni di guasto e permettere di esaurire insicurezza il prodotto in linea. Possiamo quindi introdur-re nel nostro grafo le due condizioni sopra dette, ovve-ro l’evento “Assenza progettazione autosicura” (Apa) e“Assenza preallarme portata” (App). Nel nostro schemadi condizionamento la pressione dipende essenzialmen-te dalla portata in quanto la quantità di aria esternaaumenta/diminuisce con l’aumentare/diminuire dellaportata in ciclo mentre l’espulsione tende a rimanecostante se i relativi sistemi sono ben funzionanti. Oltrea ciò le pressioni ambientali dipendono dal quadratodella portata e così pure le variazioni. Pertanto la dimi-nuzione di pressione può essere evidenziata in tempiassai più rapidi della diminuzione della portata. Pertener conto di ciò introduciamo l’evento “Assenzapreallarme pressione” (ApP).Nel grafo 11 queste considerazioni sono state introdot-te previa la suddivisione degli eventi GaC nelle tre cate-

gorie ipotizzate che, nella pratica, ne esauriscono le ipo-tesi di guasto con l’aggiunta del guasto al motore.Possiamo fare una ulteriore considerazione in meritoalla causa prima GtP, ovvero il non corretto funziona-mento del sensore a causa della carente manutenzione.È evidente che le conseguenze di questo evento vengo-no mitigate dalla presenza delle cause prime Apa, ApPe App. Pertanto tale evento può non avere influenzasulla contaminazione del prodotto in lavorazione anchese riduce l’affidabilità produttiva del sistema. Avendofinalizzato l’analisi non alla produttività con garanzia diqualità ma alla valutazione del rischio connesso con ilsuperamento occasionale dei limiti di contaminazioneparticellare nel punto di controllo della Classe B, ritenia-mo che per questo fine esso possa essere eliminato.

Depressurizzazione degli ambienti causatada un aumento della portata di aria di

espulsione (E.i.E)

Nella definizione prima data lo abbiamo limitato alleipotesi di guasto che determinano un aumento dellaportata di espulsione in quanto tale aumento comportauna diminuzione di pressione negli ambienti e quindi unaumento delle infiltrazioni con ricaduta nell’evento cri-tico considerato. Viceversa una diminuzione della porta-ta di espulsione causa un aumento della pressione negliambienti che non ha effetto pratico ai nostri fini anchese ciò può comportare inconvenienti ai controsoffitti edagli infissi.Nel nostro esempio la portata di espulsione è controlla-ta per mezzo di una serranda dotata di servomotore conposizionamento manuale. Tale serranda è a taraturafissa quindi tale servomotore può essere eliminato inse-rendo una serranda con blocco meccanico da tarare efissare in sede di collaudo. Per l’esclusione ad impiantofermo può essere introdotta una ulteriore serrandadotata di servomotore ON/OFF con ritorno a molla. Con questa aggiunta di “progettazione auto-sicura”l’evento E.i.E cessa di avere importanza in relazione alnostro Evento Critico e può essere tolto dal grafo.

Depressurizzazione degli ambienti causatada una rottura di un componente del

sistema di distribuzione dell’aria (E.i.R)

L’evento intermedio E.i.R, può essere considerato a tuttigli effetti una causa prima. Non è inoltre necessarioimplementare i sistemi di controllo in quanto la causaprima ApP introdotta nella sequenza E.i.P rileva ancheuna depressurizzazione relativa a questo evento. È danotare che una rottura di un elemento della distribuzio-ne dell’aria, per esempio un collegamento ad un filtroterminale, comporta oltre che la depressurizzazione de -gli ambienti anche una diminuzione di portata immessa.

9Ascca News • Luglio/Settembre n°3 • 2008

Grafo 11

10

Se la rottura avviene dopo il sensore di portata, essa conle usuali regolazioni automatiche, può non essere rileva-ta come guasto in quanto tale ma rilevata sicuramentecome diminuzione di pressione ambientale. Se le rottu-re sono piccole gli effetti saranno diversi da ambiente adambiente con maggior incidenza per quello direttamen-te interessato al guasto. Occorre quindi che i sensori diallarme connessi alla causa ApP siano posizionati in tuttigli ambienti del reparto o, per lo meno, in quelli princi-pali. Quanto sopra detto è espresso nel grafo 12.

Malfunzionamento del sistema dicontrollo della temperatura (E.i.T) emalfunzionamento del sistema di

controllo della umidità (E.i.U)

Gli eventi intermedi E.i.T ed E.i.U possono essere analiz-zati in modo simile a quanto fatto per l’evento E.i.P soloche in questo caso le grandezze da controllare sono rap-presentate dalle portate di acqua calda e fredda allebatterie e dalla portata di vapore dell’umidificatore. Persemplicità ci limiteremo al controllo dell’afflusso dell’ac-qua fredda alla batteria centralizzata in regime estivoper i guasti che possono influenzare il nostro Evento Topovvero che conducono ad un aumento di temperaturaed umidità tale da incidere sulla sudorazione degli ope-ratori. Non entreremo nel merito degli eventi che incido-no sulla affidabilità della fornitura di acqua fredda.Iniziamo con l’analisi del sistema. In fig. 3 è mostratoche solo parte dell’aria ricircolata con la totalità dell’ariaesterna di rinnovo transita sulla batteria di raffredda-mento mentre una sua aliquota la cortocircuita e vienead essa mescolata dopo il trattamento formando così lamiscela che verrà inviata agli ambienti. La quantità diaria cortocircuitata deve essere determinata affinché latemperatura e l’umidità specifica della miscela siano tali

da garantire le condizioni interne previste, entro inter-velli accettabili per la sudorazione, nell’ipotesi di massi-mo carico di progetto senza l’intervento delle batterie dipost riscaldamento. Questo tipo di dimensionamento hadue motivazioni:- limitazione nell’uso del post riscaldamento estivo

(risparmio energetico);- possibilità di mantenimento delle condizioni termoi-

grometriche entro limiti previsti in caso di rottura delsistema di regolazione della portata di acqua fredda incondizioni operative

Affinché la seconda motivazione diventi effettiva occor-re però soddisfare alcune ulteriori condizioni.Supponiamo che il sistema di rilevazione delle variabilicontrollate sia, diversamente da quanto mostrato in fig.3, costituito da una semplice trasduttore di temperaturache misuri la temperatura dell’aria in uscita dalla batte-ria di raffreddamento e deumidificazione e che il sistemadi regolazione sia programmato per mantenere tale tem-peratura costante e pari al valore di condensazione del-l’aria corrispondente alla umidità specifica desideratanegli ambienti. Supponiamo inoltre che la batteria siadimensionata in modo tale che la temperatura di uscitadell’aria con il massimo afflusso di acqua fredda sia pari,nelle condizioni di massimo carico, alla temperatura dicondensazione dell’aria. Allora se il servomotore cheregola l’adduzione di acqua fredda è del tipo normal-mente aperto con molla di ritorno e la logica di regola-zione è tale che in caso di assenza di segnale (GaT) vienetolta l’alimentazione al servomotore la seconda motiva-

Ascca News • Luglio/Settembre n°3 • 2008

Grafo 12

Figura 3 Schema funzionale indicativo

zione diviene effettiva anche nel caso di rottura del ser-vomotore stesso (Gas) tranne nel caso in cui, vuoi perrottura o assenza di manutenzione, subentrano dellecondizioni di blocco della regolazione (Gar). Il soddisfa-cimento delle condizioni sopra esposte rende il progettodel sistema “auto-sicuro” per le condizioni di guastoipotizzate. Possiamo, quindi introdurre anche per questasequenza la causa Apa. Per attenuare il guasto Gar pos-siamo anche in questo caso introdurre, in analogia alApP la causa “Assenza preallarme Tempera tura”.Il sistema di regolazione sopra descritto, consistente nelcontrollo a punto fisso della temperatura di condensazio-ne, benché estremamente semplice e soddisfacente puòessere però migliorato dal punto di vista dei consumienergetici. Difatti esso raffredda l’aria trattata indipen-dentemente dalle caratteristiche dell’aria in arrivo sullabatteria. Ci possono essere situazioni in cui l’aria esternaha basso contenuto di umidità (stagioni intermedie, inver-no) con bassi carichi endogeni (condizioni di riposo). Perqueste condizioni può non essere necessario raffreddarel’aria trattata fino alla temperatura di condensazione pre-vista. In vista di ciò lo schema che si preferisce seguire èquello mostrato nella figura 3, ovvero con due trasdutto-ri distinti di temperatura ed umidità che rilevano le condi-zioni medie di ripresa. In questo caso il sistema di regola-zione dovrà regolare l’apertura della valvola di adduzionedell’acqua fredda in funzione del segnale maggiore invia-to dai due trasduttori. Ovviamente sarà necessario inseri-re, in analogia alla ApT, anche la causa “Assenza preal-larme Umidità”. Le considerazioni sopra svolte sono sin-tetizzate nel grafo 13 dal quale l’evento intermedio E.i.Uè stato eliminato perché nelle condizioni estive e per l’im-pianto ipotizzato è compreso nell’evento E.i.T.Con il grafo 13 consideriamo esaurito l’albero dei gua-sti relativo all’evento considerato anche se l’analisi nonè stata sviluppata in modo esaustivo per tutti le causepossibili.

Valutazione del rischio

Nasce a questo punto il problema della valutazione delrischio relativo al nostro Evento TOP. Possiamo finalizza-re l’analisi a vari tipi di rischio, ovvero individuare diffe-renti tipi di danni con le relative entità:

Rischio connesso alla perdita di produzione

Se accade l’evento TOP la produzione va sospesa per ilperiodo di tempo necessario alla riparazione del guastoed alla riqualificazione dell’ambiente. Non necessaria-mente dovrà essere rieseguita una riqualificazione com-pleta, lo stesso albero dei guasti può indicare i punti suiquali convergere gli sforzi. In questo caso il danno eco-nomico (Severità) sarà rappresentato, intuitivamente,dalla quantità di prodotto non realizzato nel periodo difermo per il suo valore economico, anche se tale severi-tà potrebbe essere valutata, più approfonditamente, inbase al costo della produzione e della riqualificazione.

Rischio connesso alla accettazione qualitativa delprodotto o di conformità

La deviazione del parametro incrementa la possibilità dicontaminazione delle fiale che sono aperte e posiziona-te al di fuori del deposito sterile o comunque fuori daiflussi unidirezionali. Se le condizioni operative descritteall’inizio vengono rispettate questa evenienza nondovrebbe mai verificarsi. Unica conseguenza dell’eventoTOP è, quindi, la maggior contaminazione dell’operato-re. Questo induce ad interrompere la produzione manon comporta nessun rischio per le fiale già chiuse e, sel’operatore non deve fare operazioni sotto flusso, pos-sono essere finite di riempire anche le fiale in linea.Se le procedure operative sono corrette l’unico rischioda valutare è quello connesso con la perdita di produt-tività. Precedentemente abbiamo indicato come valuta-re la severità dell’evento, per quanto riguarda la suaprobabilità essa deve essere calcolata in funzione del-l’albero dei guasti. Nel caso di eventi indipendentilegati da porte “OR”, la probabilità risultante è pari allasomma delle probabilità dei singoli eventi. Nel caso dieventi legati da porte “AND” la probabilità è pari al pro-dotto delle probabilità. Con queste due semplici regolesi possono valutare le probabilità delle varie sequenze dieventi che compongono l’albero.Nel grafo 1 (pubblicato sul n. 1/2008 di Ascca News equi riportato) l’evento critico dipendeva da una serie dieventi intermedi indipendenti legati da una porta logica“OR”, quindi la sua probabilità è pari alla somma delleprobabilità del verificarsi di ogni singolo evento.Occorre però fare una precisazione. Per la costruzionedell’albero noi abbiamo sempre considerato gli eventi ocome veri (1) o come falsi (0) per permetterci di elabo-rare la concatenazione logica dei medesimi. Nel

11Ascca News • Luglio/Settembre n°3 • 2008

Grafo 13

12

momento in cui si passa al calcolo della probabilità ènecessario sostituire a detti valori i valori delle probabi-lità, o le frequenze. Per esempio nel grafo 13 l’eventoApT, assenza preallarme temperatura, se presente assu-me il valore logico “0” ed annulla la sequenza connes-sa all’evento Gar. Nel calcolo probabilistico esso inter-verrà solo se funziona correttamente, ovvero il valore“0” andrà sostituito con la sua probabilità di guasto.Ovviamente anche agli eventi primi ipotizzati occorrerà

sostituire il valore “1” con i valori delle effettive proba-bilità o una loro stima.

Conclusioni

Possiamo aggiungere che la metodologia FTA è unametodologia completa che permette di valutare gliapporti al rischio, connesso con l’evento critico, di tuttele cause prime ipotizzabili siano esse legate ad erroriumani, omissioni di controllo, non adeguatezza delleprocedure operative o alle apparecchiature. Essa inoltrepermette di definire quale delle tre azioni tipiche di:prevenzione, attenuazione, protezione, è da porrein essere per rendere il rischio accettabile. Nell’esempioillustrato abbiamo cercato di mostrare ciò evidenziandoanche l’impatto che ha sul rischio il progetto del siste-ma. L’unico limite della metodologia è rappresentatodal fatto che una analisi accurata è possibile solo se siconosce in modo approfondito il sistema in analisi.

Summary In this part we describe the step about HVAC mal-functioning and consequent risk analysis.

Per ulteriori informazioni segnare sull’apposito taglian-do il n. 1

Ascca News • Luglio/Settembre n°3 • 2008

Grafo 1