Imparare dagli errori: la manutenzione di un impianto di una raffineria

Brescia,  24 Sett –  Generalmente lo scopo di questa rubrica è quello di rilevare e analizzare gli “errori”, le cause degli incidenti, per poterli evitare in futuro. Magari, quando possibile, offrendo anche strumenti informativi utili per affinare e migliorare le strategie di prevenzione e di tutela della salute e sicurezza nei luoghi di lavoro.

 

Tuttavia questa puntata di “ Imparare dagli errori” ci permette di andare anche oltre la sola rilevazione degli errori e di dare informazioni, attraverso i risultati delle indagini e del processo di primo grado, sulle responsabilità connesse al gravissimo incidente avvenuto all’interno dell’area industriale di un’importante raffineria di petrolio della Sardegna sud occidentale: tre operai di una ditta esterna di manutenzione perdono la vita all’interno di un serbatoio di processo.  Un incidente – precedente all’entrata in vigore del  Decreto del Presidente della Repubblica 14 settembre 2011, n. 177- che mostra la concatenazione delle cause che portano agli infortuni mortali, le carenze organizzative e come a volte anche i modelli organizzativi, “per quanto raffinati, non diano sufficienti garanzie, in quanto modifiche in corso d’opera di procedure codificate e comportamenti solo apparentemente imprevedibili possono alterare il corso degli eventi e la percezione del pericolo da parte dei lavoratori coinvolti”.

Ad affermarlo è un intervento – tratto dagli atti dell’8° Seminario di aggiornamento dei professionisti Contarp “ Dalla valutazione alla gestione del rischio. Strategie per la salute e la sicurezza sul lavoro” (Roma, novembre 2013) – dal titolo “Genesi e sviluppo di un infortunio sul lavoro mortale plurimo. Riflessioni sulle condizioni di sicurezza” e a cura di F. Di Gangi, G. Spadaccino, P. Mura e I. Cadeddu (Inail - Direzione Regionale Sardegna - Consulenza Tecnica Accertamento Rischi e Prevenzione).

 

L’azienda di manutenzione direttamente coinvolta nell’evento “è un consorzio di imprese che all’epoca dell’infortunio aveva in appalto dalla raffineria l’esecuzione di lavori di manutenzione (pulizia idrodinamica) di un impianto denominato MHC1 (MildHydroCracking). L’impianto MHC1 è utilizzato nei processi di idrodesolforazione catalitica di gasoli primari prodotti nella raffineria al fine di portarli alle specifiche richieste dal mercato”.

E in particolare le operazioni di bonifica e manutenzione dell’impianto “erano state programmate in accordo a quanto specificato nel manuale di manutenzione dell’impianto (Istruzioni di fermata e bonifica MHC1 nov. 2007)”.

 

Il 26 maggio 2009 il caposquadra dell’azienda di manutenzione “A”, “diede istruzioni ai propri operai di attenderlo sulla strada di servizio, in prossimità dell’impianto MHC1, e quindi si recò a ritirare alcuni permessi di lavoro relativi all’accumulatore D106. In realtà non era previsto che quel pomeriggio si dovesse operare su tale apparecchiatura, ma lo era per i giorni successivi. Comunque si trattava di operazioni analoghe a quelle già svolte poco prima sugli accumulatori D101 e D102. Dalle dichiarazioni testimoniali risulta che, mentre il caposquadra era intento a sbrigare queste ‘formalità amministrative’, un lavoratore dell’azienda di manutenzione, INF A, si allontanò da solo. Il suo collega (LAV B), non vedendolo, si preoccupò e iniziò a cercarlo nei pressi dell’accumulatore D106. Salito sulla scaletta che porta all’imbocco del passo d’uomo diede un’occhiata al suo interno e lo vide sul fondo dell’accumulatore, con le spalle a terra e le braccia distese all’indietro. Pensando che fosse svenuto iniziò a chiamare aiuto”. Con dinamiche diverse “altri colleghi del primo infortunato accorrono per aiutare il collega” e due di loro (uno di questi indossava una mascherina di protezione antigas), “entrano all’interno dell’accumulatore e, in pochi secondi, perdono a loro volta i sensi”. Sarà necessario “l’intervento di due addetti alle emergenza muniti di autorespiratori con bombole di ossigeno per estrarre i tre corpi degli infortunati dal serbatoio D106”. I tre operai sono immediatamente sottoposti alle pratiche di rianimazione, ma dopo quaranta minuti è constatato l’avvenuto decesso”.

 

È evidente che nessuno dei lavoratori infortunati conosceva le “condizioni di pericolo all’interno del’accumulatore HD106. Non risulta fossero stati informati e formati, né risulta avessero DPI e rivelatori dedicati. L’assenza di segnaletica che evidenziasse il pericolo ha indubbiamente favorito la confusione e gli equivoci, come anche la presenza di una manichetta posta all’interno dell’accumulatore che, senza alcuna segnalazione specifica, poteva sembrare (e così è, in effetti, stato) collegata ad un erogatore di aria per il ricambio all’interno dell’accumulatore e non invece di Azoto. Le analisi dimostrarono che l’atmosfera interna dell’accumulatore era satura di azoto utilizzato per bonificarne l’interno proprio dai residui di gas tossici, infiammabili ed esplosivi. Nel sangue dei tre sfortunati operai non risultarono tracce di inquinanti del petrolio grezzo, ma soltanto segni di carenza di ossigeno; le analisi chimiche condotte sul luogo dell’infortunio hanno accertato che all’interno dell’accumulatore non vi era ossigeno in quantità sufficiente ad assicurare la sopravvivenza e le perizie medico-legali hanno evidenziato che la causa della morte dei tre operai è stata originata da ‘asfissia’ per ridotta concentrazione di ossigeno in ambiente confinato (nella fattispecie, l’accumulatore D106)”.

 

La sentenza di primo grado del Tribunale di Cagliari si è espressa sia nei confronti del personale direttivo della raffineria che dell’azienda di manutenzione (sentenza n° 188/11 del 04/07/2011). In particolare il direttore generale della raffineria e il direttore delle operazioni industriali “sono stati ritenuti colpevoli dei delitti ascritti, limitatamente alle condotte colpose, per diverse omissioni di carattere informativo ed operativo”. Il direttore tecnico e il legale rappresentante dell’azienda di manutenzione “sono stati ritenuti colpevoli dei delitti ascritti, limitatamente alle condotte colpose, per non avere fatto un’adeguata valutazione dei rischi connessi all’ingresso degli accumulatori e avere predisposto le azioni conseguenti, oltre che per non avere impartito un’adeguata formazione del proprio personale sui rischi connessi all’ingresso negli accumulatori; l’azienda di raffinazione è stata esclusa in ordine alla responsabilità dell’illecito amministrativo contestato per insussistenza del fatto, in quanto il reato non fu commesso nell’interesse o a vantaggio della stessa”.

La ricostruzione dei fatti ha in realtà chiarito che “gli infortuni mortali non sono avvenuti in conseguenza del comportamento ‘anomalo’ del primo infortunato, ma, al contrario, a seguito di una ben chiarita concatenazione di eventi, alcuni gestiti in modo superficiale. Il tutto ha avuto inizio con l’apertura del passo d’uomo del D106, resasi obbligata da un guasto meccanico (difficoltà nel disserraggio della flangia inferiore dell’accumulatore); questo imprevisto evento ha innescato la catena, che è continuata quando è stato deciso di modificare la consueta procedura di bonifica utilizzando azoto in luogo del vapore (perché il vapore avrebbe comportato condizioni di pericolo per gli operai che stavano completando la ciecatura)”.

Dunque una decisione non predeterminata e gestita in modo scorretto nelle successive fasi: se i rischi da ambienti confinati erano stati previsti nel DVR, “non era al contrario stata prevista la nuova procedura utilizzata che prevedeva la bonifica con azoto e non erano stati valutati i nuovi rischi. Le mutate condizioni dell’accumulatore D106 divennero tali da renderne l’atmosfera irrespirabile, e quest’aspetto avrebbe dovuto prevedere, secondo la sentenza, l’adeguamento del DUVRI, cosa non avvenuta”. In particolare sarebbe stato necessario “implementare un sistema organizzativo che portasse tali modifiche procedurali a conoscenza dei soggetti incaricati della valutazione del rischio, in modo che fosse reso possibile aggiornare le misure di prevenzione o, quantomeno, prevedere il rischio dei mutamenti delle procedure di bonifica ed imporre l’uso di idonea segnaletica di sicurezza; in tale circostanza è emerso che i permessi di lavoro adottati come strumenti autorizzativi ed informativi non sono risultati idonei, singolarmente, a surrogare l’assenza o il non aggiornamento di un DUVRI”.

Inoltre secondo il giudice sarebbe stato necessario “verificare la necessità o meno di misure di sicurezza ulteriori rispetto a quelle previste dagli strumenti di valutazione adottati”.

Una violazione fondamentale è stata la “mancata segnalazione del pericolo esistente all’interno dell’accumulatore D106”. La normativa sulla sicurezza prevede inoltre la “predisposizione della segnaletica come obbligo principale e le altre misure organizzative alternative come eccezione, ancorché in taluni casi ciò può essere derogato (è il caso dei permessi di lavoro); tale eccezione normativa, non appare applicabile al caso in questione, in quanto alla base vi è, non già la mancata segnalazione del pericolo, ma bensì la già citata, e non eseguita, valutazione del rischio a seguito della variazione della procedura di bonifica e quindi la non conoscenza del pericolo”. E prevedere che per “forza maggiore e/o cause eccezionali” un lavoratore potesse introdursi nell’accumulatore D106 era un obbligo del datore di lavoro. E a parere degli autori dell’intervento “sarebbe stato necessario impedire fisicamente l’accesso al passo d’uomo. Non potendo riposizionare il portello, sarebbe stato pertanto necessario provvedere al suo ripristino oltre che ad un sistema di chiusura sicura, rendendo di fatto impossibile a chiunque l’ingresso (ad eccezione delpersonale della raffineria preposto alla consegna lavori)”.

 

L’intervento segnala poi che il POS (Piano Operativo della Sicurezza), adottato dall’azienda direttamente coinvolta nell’evento infortunistico, “si è dimostrato non esente da difetti, soprattutto per la parte relativa ai rischi da ambienti confinati, malgrado che la pulizia idrodinamica dovesse essere effettuata all’interno di serbatoi industriali. Si osserva peraltro con rammarico che un’integrazione al POS, corretta e a detta del giudice esaustiva, è stata redatta (secondo la sentenza) in data successiva all’evento infortunistico. Se fosse stato adottato per tempo, è possibile che almeno i due lavoratori successivamente infortunati avrebbero mostrato maggior cautela nell’intervenire per salvare il compagno, e così facendo avrebbero potuto salvarsi la vita”.

 

Alla luce  di quanto affermato quale sarebbe stato allora il corretto metodo operativo, valido come approccio generale?

Per gli ambienti confinati “si può immaginare un semplice schema i cui principi sono alla base di una corretta valutazione e gestione del rischio:

- coordinamento in fase di esecuzione dei lavori: le modifiche in corso d’opera possono introdurre nuovi pericoli e rischi associati; è determinante che queste informazioni arrivino alle persone addette al coordinamento della sicurezza in fase di esecuzioni dei lavori;

- corretta segnalazione di pericolo negli ambienti confinati: quale che sia l’organizzazione del lavoro, non si può prescindere da un sistema che permetta a tutti i lavoratori, anche quelli estranei alle attività lavorative previste in detti ambienti, di essere informati della presenza di eventuali pericoli mortali;

- interdizione dell’accesso per gli ambienti confinati: quando gli ambienti confinati non sono oggetto di lavorazioni, devono essere segregati a prescindere dal tipo di pericolo in essi presente (lockout-tagout nella cultura anglosassone). In questo modo si evita tout court: che un lavoratore ‘non autorizzato’ o ‘non addetto ai lavori’, possa entrarvi ed infortunarsi; che altri lavoratori possano a loro volta infortunarsi nel tentativo di prestare soccorso improvvisato;

- formazione e informazione dei lavoratori: i pericoli e i rischi presenti negli ambienti confinati devono essere conosciuti in tutti i loro aspetti e i corretti comportamenti devono diventare meccanismi automatici”.

 

E, come già indicato in apertura, gli errori commessi dai protagonisti di questa vicenda “dimostrano come a volte modelli organizzativi, per quanto raffinati, non diano sufficienti garanzie, in quanto modifiche in corso d’opera di procedure codificate e comportamenti solo apparentemente imprevedibili possono alterare il corso degli eventi e la percezione del pericolo da parte dei lavoratori coinvolti”. E gli autori ritengono che “l’apparente eccesso di cautele sia garanzia efficace di riduzione dei rischi in sistemi di lavoro complessi come quello analizzato, dove elevata è soprattutto la probabilità di rischi interferenti”.

Alla luce di incidenti come questo “sarebbe opportuno che nelle lavorazioni ad elevato rischio infortunistico, il ‘principio di ridondanza’ dei sistemi di sicurezza sul lavoro divenisse la norma”.

  

 

 

“ Genesi e sviluppo di un infortunio sul lavoro mortale plurimo. Riflessioni sulle condizioni di sicurezza” e a cura di F. Di Gangi, G. Spadaccino, P. Mura e I. Cadeddu (Inail - Direzione Regionale Sardegna - Consulenza Tecnica Accertamento Rischi e Prevenzione), intervento all’8° Seminario di aggiornamento dei professionisti Contarp (formato PDF, 97 kB).

 

 

Tiziano Menduto

 

 

Questo articolo è pubblicato sotto una Licenza Creative Commons.