Sommario: 1.1 Le esplosioni nel luogo di lavoro – 1.2 Le esplosioni delle polveri combustibili – 1.3 Le esplosioni di gas, vapori e nebbie infiammabili – 1.4 Asfissia e prevenzione dell’ATEX – 1.5 Case History – 1.6 L’incidente di Flixborough e il nuovo approccio alla sicurezza nell’industria di processo – 1.7 Conclusioni

Abstract: Nel Capitolo vengono descritte le principali statistiche connesse al fenomeno dell’esplosione accidentale nell’industria. Sono altresì riportati alcuni gravi ed emblematici incidenti accaduti nel recente passato, per contestualizzare l’importanza della valutazione del rischio di esplosione e l’individuazione delle misure di prevenzione e protezione.

Nella maggioranza dei siti manifatturieri la presenza di sostanze infiammabili e/o polveri combustibili è dovuta a precise ragioni tecniche legate ad esigenze produttive. I cicli industriali, infatti, oltre al prodotto finito, ottenuto a partire da materie prime o intermedie, generano anche sostanze di rifiuto in forma liquida, gassosa o solida pulverulenta. In tutta l’articolazione del ciclo di fabbricazione è quindi possibile la creazione di miscele infiammabili che necessitano di procedure specifiche e impianti di trattamento dedicati. Tali problematiche risultano presenti in molte filiere di produzione, sia con rischi di tipo convenzionale sia con possibilità di incidente rilevante. L’esistenza di sostanze pericolose in un processo industriale viene associata almeno a tre scenari di incidente con effetti sulla sicurezza dei lavoratori:

La prevalenza di un incidente rispetto ad un altro è funzione sia del tipo di ciclo produttivo realizzato sia della quantità di sostanze coinvolte nel possibile scenario. Per esempio, l’industria chimica di processo può risultare soggetta a tutte e tre le tipologie di incidente secondo le modalità indicate in Tabella 1.1.

Tabella 1.1 – Tre tipi di incidente nell’industria chimica

Fonte: Crowl et al., 2002

Si rileva altresì che, nella maggioranza delle aziende “non chimiche” a rischio convenzionale (es. metalmeccanica, legno, alimentare), la possibilità di un rilascio tossico risulta limitata².

1.1 Le esplosioni nel luogo di lavoro

La maggioranza delle esplosioni che hanno luogo nelle filiere industriali del territorio nazionale risultano raramente estese a parti rilevanti di stabilimento, pur con eccezioni significative. Tuttavia, vista la frequente presenza di personale dipendente operante a ridosso del fronte di fiamma eventualmente generato, gli effetti del fenomeno non sono per questo meno significativi. Lesioni gravissime si possono generare, oltre che da esplosioni che rilascino grandi quantità di energia, anche da Flash Fire originati da semplici operazioni di travaso di liquidi infiammabili o polveri combustibili³.

I casi di esplosione più severi determinano, oltre a danni alle persone, anche perdite economiche particolarmente importanti causate da lesioni e/o cedimenti strutturali di impianti, attrezzature e luoghi di lavoro. Tali danni sono provocati dalle sovrappressioni generate dall’esplosione, dal passaggio del fronte di fiamma oppure dalla proiezione di frammenti. Descrizioni approfondite di esplosioni avvenute negli ultimi 30 anni in Occidente (Italia, Europa, Stati Uniti) sono presenti nei seguenti database di libero accesso:

• database INFOR.MO dell’INAIL nel quale è presente una raccolta qualitativa dei casi di infortunio contenuti nell’archivio del sistema di sorveglianza degli infortuni mortali, tra i quali è selezionabile come causa prima l’esplosione (https://appsricercascientifica.inail.it/getinf/informo/home_informo.asp, ultima consultazione il 3/6/2017);

• database ARIA (Analysis, Research and Information on Accidents) del Ministero dell’Ambiente Francese nel quale sono raccolti report dettagliati di eventi incidentali avvenuti in Francia ed Europa in aziende a rischio di incidente rilevante (https://www.aria.developpement-durable.gouv.fr/?lang=en, ultima consultazione il 3/6/2017);

• database MARS (Major Accidents Reporting System) che annota gli incidenti avvenuti in ambito europeo in aziende a rischio di incidente rilevante (https://emars. jrc.ec.europa.eu/, ultima consultazione il 3/6/2017);

• rapporti completi di indagine sviluppati dall’U.S. Chemical Safety and Hazard Investigation Board (http://www.csb.gov/, ultima consultazione il 3/6/2017).

Descrizioni e statistiche di incidente sono inoltre reperibili presso i database MHIDAS dell’HSE britannico e FACTS realizzato dal TNO olandese diffusamente utilizzati nell’ambito delle valutazioni di rischio in aziende soggette a Direttiva Seveso (cfr. D.Lgs. n. 105/2015).

L’estensione e l’accuratezza delle statistiche legate alle esplosioni e agli infortuni ad esse collegate è variabile e dipende dall’entità dell’incidente stesso. Mentre infatti è poco probabile che incidenti quali quelli avvenuti in ThyssenKrupp o in Umbria Olii passino inosservati, può accadere che eventi verificatisi senza causare danni rilevanti o infortuni non siano correttamente annotati, come rappresentato qualitativamente in Figura 1.1.

Figura 1.1 – Indicazione qualitativa tra gli incidenti rilevabili e non rilevabili nelle statistiche

Pur a fronte di tali difficoltà, si riporta un riepilogo delle principali esplosioni industriali avvenute nel trentennio 1971-2001 in Europa e negli Stati Uniti (vedi Tabella 1.2).

Tabella 1.2 – Esempi illustrativi di esplosioni dovute a gas, vapori e polveri

Fonte: Abbasi et al., 2006; Pekalski et al., 2005

Esiste un primo aspetto importante che differenzia le esplosioni causate da gas e vapori infiammabili rispetto a quanto accade con le polveri combustibili. Infatti, se le esplosioni di gas e vapori avvengono prevalentemente come conseguenza del rilascio di tali sostanze non combuste nell’ambiente e nel loro successivo innesco, le esplosioni che coinvolgono le polveri combustibili hanno tipicamente origine dall’interno di un contenimento e, solo successivamente all’innesco, si propagano all’ambiente circostante (e alla parte rimanente dell’impianto). Pur se tali caratteristiche saranno approfondite in seguito, già fin d’ora si può quindi anticipare che le strategie di prevenzione e protezione contro il rischio di esplosione potranno differire a causa di questa prima, importante, constatazione.

Un secondo aspetto da sottolineare è collegato alla pericolosità percepita della sostanza infiammabile/combustibile. Mentre risulta evidente che sia i gas sia i vapori infiammabili hanno la potenzialità di causare un’esplosione, così non è per le polveri combustibili, la cui rischiosità esplosiva risulta spesso scarsamente considerata, soprattutto quando tali sostanze sono presenti ordinariamente negli ambienti di vita (es. zucchero, cereali, legno, ecc.).

Tra le più significative esplosioni industriali avvenute negli ultimi dieci anni nel nostro Paese si elencano le seguenti:

• anno 2006: Umbria Olii di Campello sul Clitunno (PG). Oleificio. Esplosione di serbatoi di stoccaggio olio che causa quattro morti;

• anno 2007: Molino Cordero a Fossano (CN). Mulino per cereali. Esplosione di silos di stoccaggio cereali che causa cinque morti;

• anno 2007: Acciaierie ThyssenKrupp a Torino. Produzione acciai speciali. Esplosione che avviene nel reparto trattamenti termici e che causa sette morti.

Questi accadimenti, pur essendo di assoluto rilievo sia per il carico di dolore che hanno causato sia per il loro risalto mediatico, non sono tuttavia realmente rappresentativi dell’insieme degli eventi incidentali causati da esplosioni nei luoghi di lavoro. A questo fine si riportano (Tabella 1.3) gli infortuni sul lavoro avvenuti nell’anno 2006 e indennizzati a tutto il 30/04/2008, analizzati dall’INAIL per deviazione e agente materiale della deviazione. Da tali dati emerge che gli infortuni attribuibili alla deviazione elettricità, esplosione ed incendio è causa di circa lo 0,4% degli infortuni nel settore industria e servizi.

Il fenomeno dell’esplosione manifesta, pertanto, una limitata frequenza di infortuni rispetto a tutte le altre ipotesi di incidente. Tuttavia, un’analisi approfondita sviluppata attraverso la banca dati interattiva dell’ISPESL-INAIL e basata su informazioni fornite dall’INAIL (anni 2000-2006) relative alle gestioni Industria, Agricoltura e Conto Stato (di cui si riporta un estratto in Allegato A) evidenzia che l’infortunio derivante da un evento esplosivo risulta statisticamente mortale una volta ogni (circa) 55 incidenti, secondo solo all’elettrocuzione (1 morto ogni 46 incidenti). Tale mortalità risulta molto più frequente della media complessiva degli infortuni, dato che risulta mortale, in media, un infortunio ogni (circa) 500.

L’esplosione è pertanto un evento infortunistico il quale, pur presentandosi con una limitata frequenza nei luoghi di lavoro, manifesta un’efficacia notevole nel determinare gravi lesioni ai lavoratori esposti.

Emerge inoltre che il settore delle costruzioni di macchine ed il settore delle costruzioni e impianti sono le attività INAIL del settore industria che espongono maggiormente i lavoratori al rischio infortunio derivante da un’esplosione.

1.2 Le esplosioni delle polveri combustibili

Nel settore delle esplosioni delle polveri combustibili, si rileva una discreta presenza di ricerche che hanno approfondito statisticamente il fenomeno (Stati Uniti, Germania e Gran Bretagna). Si ricorda, tuttavia, che questi studi riepilogano solo una piccola frazione di tutte le esplosioni dovute a polveri a causa, anche in questo caso, dell’assenza di un sistema centralizzato di raccolta ed analisi dei dati. In conseguenza di ciò gli indici di seguito riportati non potranno essere utilizzati per conclusioni generalizzate. Si presenta in Tabella 1.4 un riepilogo e confronto tra le principali statistiche dei materiali in polvere coinvolti nelle esplosioni.

La lettura complessiva fa emergere una situazione di particolare pericolosità nei settori del legno/carta ed alimentare. Il settore dei metalli (leghe leggere in particolare) risulta comunque presente con un discreto numero di eventi incidentali mentre l’ambito farmaceutico, pur possedendo un rischio potenziale significativo, palesa una ridotta presenza di accadimenti. Tale limitazione del fenomeno è dovuta alla presenza di misure di controllo tecnico ed organizzativo maggiormente sviluppate rispetto ad altre filiere di produzione.

Tabella 1.3 – Infortuni sul lavoro avvenuti nell’anno 2006 e indennizzati a tutto il 30 aprile 2008 per deviazione/agente materiale della deviazione. Settore industria e servizi

Fonte: Rapporto Annuale INAIL, 2007

Tabella 1.4 – Materiali coinvolti nelle esplosioni di polveri

*ND: Non disponibile

Fonte: AICHE, 2005

D’altra parte, gli impianti di processo più frequentemente coinvolti in incidenti sono quelli indicati in Tabella 1.5. Le statistiche evidenziano che sia negli Stati Uniti che in Gran Bretagna le tipologie impiantistiche maggiormente soggette al rischio di esplosione sono rappresentate dai sistemi di deposito e separazione (filtri, elettrofiltri, cicloni, ecc.). Tale dato è spiegabile per almeno tre ragioni:

• i sistemi di separazione sono diffusi in tutti settori industriali;

• in essi si concentrano buona parte delle polveri sottili del processo. Polveri sottili che, possedendo basse energie di accensione, risultano facilmente incendiabili;

• le forme geometriche tipiche nonché gli spessori ed i materiali con i quali sono realizzati costituiscono la parte dell’impianto più debole strutturalmente.

Tuttavia, mentre in USA sono i sistemi di separazione delle polveri gli impianti in cui si concentrano la maggioranza degli eventi, in Gran Bretagna la situazione si presenta più sfumata con una distribuzione statistica delle esplosioni uniforme (ad eccezione del caso relativo ai Dust Mixer). In Germania le statistiche riportano una situazione molto simile a quella inglese, con una prevalenza di esplosioni avvenute in silos e bunker. A questo si aggiunga che studi specifici condotti dall’NFPA sull’industria molitoria hanno individuato nell’elevatore a tazze il componente dell’impianto a maggior rischio di esplosione primaria.

Tabella 1.5 – Apparecchi coinvolti nelle esplosioni di polveri

Fonte: AICHE, 2005

In generale, un’esplosione primaria (e le relative esplosioni secondarie) causano con molta frequenza un successivo incendio che coinvolge la frazione significativa delle polveri che non hanno preso parte all’esplosione stessa. Questo fenomeno è presente in circa il 70% del totale dei casi di esplosione (Thornberg, 2001) ed avviene con maggiore frequenza nei processi con presenza di polveri organiche.

Concentriamo ora l’attenzione sul rischio infortunistico derivante dall’esplosione delle polveri. Le aziende maggiormente esposte da questo punto di vista risultano quelle appartenenti alla filiera alimentare nella quale si verificano circa il 32% dei decessi complessivi (Tabella 1.6), mentre più uniforme risulta la distribuzione dei feriti nei vari ambiti industriali (ad eccezione dell’industria del carbone e carta, che possiede presenze limitate di entrambi i fenomeni).

Tabella 1.6 – Esplosioni da polvere nella Repubblica Federale Tedesca tra il 1965 ed il 1980

Fonte: Beck, 1982

Spostandoci ora agli eventi incidentali rapportati alla singola esplosione, emerge anche in questo caso l’elevata letalità delle esplosioni che avvengono nel settore alimentare, probabilmente a causa della violenza intrinseca del fenomeno in questo ambito. Si rileva, tuttavia, che il maggior numero di feriti per esplosione avviene nel settore della plastica e dei metalli.

Un ultimo particolare che riteniamo importante sottolineare è relativo alle sorgenti di accensione che con più frequenza innescano le ATEX dovute a polveri combustibili (Tabella 1.7). Si rileva la preponderanza delle scintille meccaniche nei casi dell’industria del legno, alimentare e metalli. Il caricamento elettrostatico contribuisce con una certa significatività alle esplosioni nel settore della plastica, mentre il carbone trova causa di innesco frequente nelle combustioni senza fiamma.

Tabella 1.7 – Esplosioni da polveri nella Repubblica Federale Tedesca (1965-1985). Relazione tra le sorgenti di ignizione e tipologie industriali

* Include “Altro”

Fonte: Jeske et al., 1989

1.3 Le esplosioni di gas, vapori e nebbie infiammabili

Varie possono essere le sorgenti di accensione che determinano un’esplosione di gas e vapori infiammabili ma, anche in questo caso, i dati e la distribuzione delle sorgenti di innesco risultano studiate parzialmente. Un approfondimento che ha cercato di dettagliare le cause e gli effetti delle esplosioni è stato condotto dall’HSE⁴ britannico attraverso uno studio prospettico che ha coperto un anno di incidenti avvenuti in Gran Bretagna nel periodo compreso tra l’aprile 1987 e il marzo 1988. Una prima serie di dati riepiloga gli eventi incidentali che hanno avuto origine all’interno degli impianti di processo (Tabella 1.8). Preliminarmente osserviamo che in tali impianti si rileva una presenza maggioritaria di eventi innescati da cause di cui non è stato possibile accertarne la natura. Un aspetto sicuramente degno di rilevanza è comunque rappresentato dal fatto che il totale degli infortuni è attribuibile a inneschi legati a fiamme/lavori a fuoco o superfici calde. Queste sorgenti di accensione risultano frequentemente attribuibili a lavori di manutenzione. Un deciso incremento degli infortuni si verifica nel caso di impianti ed attività con superfici aperte (Tabella 1.9).

Nel passaggio da operazioni su impianti chiusi a quelle ad impianti aperti si rileva un incremento del 60% degli incidenti (da 86 a 139 eventi). Tale aspetto è probabilmente attribuibile sia alla contemporaneità tra lo sviluppo dell’esplosione e la presenza nelle vicinanze del lavoratore (dovuta prevalentemente ad esigenze di processo e/o lavorazione) sia alla maggiore probabilità che, con impianti aperti, le ATEX contenute possano venire più facilmente in contatto con le sorgenti di accensione. Gli infortuni che avvengono con superfici aperte possiedono inoltre altre cause di innesco ulteriori oltre a quelle tipiche della manutenzione; l’elettricità, in questo senso, determina un totale di 29 incidenti con 4 infortuni significativi mentre l’assenza di divieto di fumo è alla base, complessivamente, di 17 incidenti con 8 infortuni.

Tabella 1.8 – Indagine su incendi ed esplosioni. Incidenti in impianti chiusi

N.B. Tra parentesi si riporta il numero di incidenti che hanno causato infortuni

Fonte: Cox et al., 1990

Tabella 1.9 – Indagine su incendi ed esplosioni. Incidenti in impianti ed attività con superfici aperte

N.B. Tra parentesi si riporta il numero di incidenti che hanno causato infortuni

Fonte: Cox et al., 1990

1.4 Asfissia e prevenzione dell’ATEX

In molte attività produttive si opera, all’interno dei contenimenti di processo, in regime di prevenzione dell’ATEX attraverso varie strategie, la principale delle quali è rappresentata dall’inertizzazione con gas inerti, azoto principalmente.

Il CSB statunitense, a questo proposito, ha identificato e studiato gli incidenti connessi all’utilizzo di azoto gassoso nel decennio compreso tra il 1992 ed il 2002.

La ricerca evidenzia che, negli USA, più di 80 persone sono decedute per asfissia in 10 anni. Le cause di tali tragici fatti sono varie e non si concentrano nella sola industria chimica ma si estendono all’industria alimentare (impianti di processo e stoccaggio), ai laboratori chimici e agli impianti medici. Una maggioranza degli incidenti è avvenuta durante operazioni di manutenzione e gli eventi mortali hanno coinvolto nel 60% dei casi appaltatori esterni. Sono esclusi da questo studio tutti gli incidenti dovuti all’accesso a spazi confinati che non coinvolgano l’utilizzo di azoto. Molto più numerosi sono, infatti, i decessi per asfissia connessi ad operazioni in spazi confinati contenenti sostanze di varia natura (diverse dall’azoto), come la cronaca italiana, anche recente, è lì a dimostrare.

1.5 Case History

Nel seguito si riportano alcuni studi di casi significativi utili alla contestualizzazione del fenomeno. Si suddivideranno i casi presentati nelle categorie di:

Preliminarmente, però, osserviamo che la grande maggioranza degli incidenti accaduti nel passato non sono avvenuti perché non sono noti i metodi per evitarli, bensì perché tali metodologie sono state “scordate” (dal singolo o dall’organizzazione), oppure perché la loro conoscenza non è mai stata trasferita. La veicolazione delle conoscenze all’interno di un’organizzazione risulta, spesso, molto difficoltosa. Peraltro la conoscenza dei casi accaduti nel passato può essere di ausilio all’analista per discriminare gli scenari di rischio astrattamente possibili dagli scenari di rischio maggiormente credibili, e sui quali concentrare le maggiori attenzioni di prevenzione e protezione. Molte volte, infatti, quello che può accadere è già avvenuto nel passato e tali esperienze devono essere poste a fondamento delle attività di valutazione. Il passato, in questo senso, fornisce l’indicazione diretta ed evidente di quali siano i meccanismi coinvolti nella genesi di incidenti. Il passato è sempre un buon maestro, soprattutto nel settore delle atmosfere esplosive.

I casi presentati sono tratti da inchieste specifiche, letteratura scientifica e dalle risultanze emerse in sede di Commissione parlamentare di inchiesta sugli infortuni sul lavoro riportate nella relazione finale pubblica del 20 marzo 2008⁵. Nel paragrafo finale si proporrà una ricerca approfondita dell’incidente che ha cambiato per sempre la percezione degli incidenti rilevanti in Europa: l’esplosione dovuta dovuta a cicloesano avvenuta a Flixborough (UK) nel 1974.

1.5.1 Esplosione di vapori infiammabili: Umbria Olii (Italia), Novembre 2006

Si riportano nel seguito le risultanze emerse in sede di Commissione parlamentare di inchiesta relativamente all’incidente, avvenuto il 25 novembre 2006, presso lo stabilimento di Umbria Olii sito in provincia di Perugia.

Figura 1.2 – Incidente avvenuto presso Umbria Olii, dicembre 2006

1.5.2 Esplosione di vapori infiammabili: Barton Solvents Wichita (USA), Luglio 2007

Il 17 luglio 2007, alle ore 9,00 del mattino circa, un’esplosione seguita da un incendio ebbe luogo alla Barton Solvents Wichita, in Kansas (USA).

A causa dell’esplosione, undici residenti e un vigile del fuoco ebbero necessità di cure mediche. Tale incidente provocò, inoltre, l’evacuazione di circa 6.000 residenti, abitanti in prossimità del sito, a causa dei rilasci tossici provocati dall’incendio conseguente all’esplosione.

Figura 1.3 – Incidente avvenuto presso Barton Solvents Wichita, luglio 2007

Fonte: CSB, 2007

L’inchiesta svolta dal CSB (USA), concluse che la prima esplosione si verificò all’interno di un serbatoio verticale fuori terra contenente etere di petrolio (VM&P naphtha, Cas. N. 8032-32-4). A fini antincendio tale sostanza, oltre a generare vapori infiammabili, possiede una bassa conducibilità elettrica che può accumulare livelli pericolosi di elettricità statica.

Questa prima esplosione si verificò in un serbatoio fuori terra della capacità di circa 60 m³. La violenza dell’evento fu tale che il rumore ed il fumo furono udibili e visibili a vari chilometri di distanza. L’esplosione, oltre a proiettare il tank a circa 40 metri di distanza, provocò la rottura di altri due serbatoi che sversarono in ampie pozze il loro contenuto di liquido infiammabile generando un conseguente incendio che causò sovrappressioni e rotture in molti altri serbatoi (una delle estremità superiori dei tank coinvolti nelle successive esplosioni venne scagliata a circa 120 metri di distanza).

Le probabili cause dell’incidente individuate dal CSB furono da attribuire alla impossibilità da parte del recupero dei vapori di prevenire la formazione di ATEX interne al serbatoio. Questo fatto, unito all’elevata resistività del liquido, permise l’innesco elettrostatico dei vapori.

1.5.3 Esplosione di gas infiammabili: Manutenzione su cisterna (Italia), 2007

Nel caso di seguito analizzato, presente nella banca dati INFOR.MO, l’infortunato, per eseguire la manutenzione di alcuni indicatori di livello, avrebbe dovuto procedere all’apertura di una flangia in un serbatoio di vetroresina (volume = 30 m³), utilizzato per l’accumulo dell’acqua proveniente da due pozzi.

Per raggiungere la parte alta del serbatoio, nella quale era collocato il boccaporto di accesso, l’uomo utilizzò una cesta autosollevante.

Le viti in acciaio che mantenevano chiusa la flangia del “passo d’uomo” risultarono corrose e l’operatore non riuscì a svitarle. L’utilizzo della smerigliatrice portatile, per la rimozione di tali viti, determinò un’esplosione che proiettò in alto il serbatoio. Questa esplosione investì in pieno la cesta sulla quale stava operando il manutentore.

Sia l’infortunato, sia una grande parte del serbatoio, vennero proiettati sul tetto dell’edificio adiacente.

L’uomo morì a causa delle numerose fratture riportate. Nel serbatoio si accumulò, nel corso del tempo, metano disciolto nell’acqua prelevata dai due pozzi artesiani utilizzati dalla ditta. Lo scintillio prodotto dalla mola abrasiva causò l’innesco della miscela esplosiva interna al serbatoio (metano e aria).

Negli anni precedenti all’incidente, l’impianto fu dotato di un degasatore per metano, ma venne successivamente rimosso. Inoltre, la ditta possedeva una procedura per l’esecuzione di lavori “con produzione di scintille” ma questa non fu mai implementata.

1.5.4 Esplosione di vapori infiammabili: Feyzin (Francia), Gennaio 1966

Particolarmente significativo risulta l’incidente accaduto nella raffineria francese di Feyzin causato dal rilascio non controllato di propano da una sfera di stoccaggio (AICHE, 1994). Preliminarmente si osserva che il processo di produzione del propano genera anche idrossido di sodio il quale, più pesante del gas liquefatto, tende a depositarsi sul fondo della sfera pressurizzata (nell’impianto di Feyzin erano installate quattro sfere della capacità di 1200 m³ e quattro contenimenti non sferici da 2000 m³. Tutti gli otto recipienti a pressione erano destinati allo stoccaggio di propano liquefatto).

L’incidente ebbe luogo durante la regolare operazione di spurgo proprio dell’idrossido di sodio. Una delle criticità dell’operazione consisteva nella potenziale e rilevante espansione che avrebbe subito il propano in uscita (se non intercettato per tempo). Espansione che, accompagnata da un notevole sottoraffreddamento della miscela, poteva comportare il transitorio congelamento della valvola di drenaggio. A questo scopo, per ogni sfera, ne erano previste due in serie. La procedura di spurgo prevedeva l’apertura parziale della valvola a valle e, successivamente, la regolazione del flusso grazie alla valvola di intercettazione posta a monte della prima. L’eventuale congelamento sarebbe stato sopportato dalla valvola a valle in corrispondenza della quale si generava la principale laminazione del gas. Al termine dello spurgo, l’operatore avrebbe potuto agire sulla valvola a monte che si manteneva comunque operativa. Nel giro di breve tempo, con il riscaldamento successivo al termine del flusso, ridiventava operativa pure la valvola a valle che veniva richiusa di nuovo.

L’evento, accaduto nel primo mattino del 4 gennaio del 1966, fu determinato da un comportamento scorretto degli operatori addetti alla manovra di spurgo. Contrariamente alle istruzioni fu aperta completamente prima la valvola posta a valle del condotto di deflusso e poi quella di regolazione del flusso, posta a monte. Tale operazione determinò una limitata uscita di soda caustica mista a propano, questo perché, come appurò successivamente l’inchiesta, era presente un tappo di ghiaccio di idrossido di sodio creatosi proprio in corrispondenza della valvola a monte. Gli operatori, vedendo il debole flusso in uscita, agirono ripetutamente sulla valvola di regolazione a monte fino alla sua completa apertura che determinò il disancoraggio del tappo di ghiaccio e la successiva sua fuoriuscita dalla tubazione di drenaggio. Il rilevantissimo flusso in uscita (entrambe le valvole erano infatti completamente aperte), determinò un’espansione adiabatica ed un conseguente, rilevantissimo, sottoraffreddamento che ghiacciò la valvola a valle e rese inservibile quella a monte impedendo la richiusura del drenaggio. Non ci fu quindi più modo di intercettare il flusso di propano che proseguì ininterrotto e generò una nube alta circa un metro che venne innescata in breve tempo causando una prima VCE.

Le squadre di emergenza, intervenute con rapidità, iniziarono a raffreddare con gli idranti le sfere nelle quali le valvole di sicurezza sembravano (apparentemente) non funzionare, lasciando priva di raffreddamento esterno la sfera, in fase di svuotamento accidentale, protetta dalle valvole di sicurezza in funzione.

In poco tempo il metallo della sfera, investita dalle fiamme e non raffreddata, diminuì la propria resistenza ed esplose in un BLEVE con Fireball e proiezione di frammenti. Quindici minuti dopo una seconda sfera esplose e una terza si svuotò del proprio contenuto a causa di una tubazione rotta. Tre altri contenimenti si ruppero nel corso dell’evento incidentale senza tuttavia dare luogo a frammentazioni. Furono trovati frammenti della prima sfera fino a 800 metri di distanza.

L’incidente causò complessivamente 18 decessi ed 81 persone rimasero ferite. Rimane uno dei più terribili incidenti industriali avvenuti in Francia ed in Europa nel dopoguerra (Figura 1.4).

Figura 1.4 – Incidente di Feyzin, gennaio 1966

1.5.5 Esplosione di vapori infiammabili: Paloma Condensate (USA), Luglio 1952

Il 21 luglio 1952, la regione nella quale era installato l’impianto di riciclaggio chimico Paloma Inc., sito a Bakersfield, in California venne investita da un terremoto (Mannan, 2005). L’evento, con epicentro localizzato a circa 20 km dall’impianto, ebbe un’intensità pari a 7,7 gradi della scala Richter.

L’ampiezza delle vibrazioni fu di circa 15 cm verticali e 30 cm orizzontali determinando almeno 2 metri di spostamento alla sommità della colonna di assorbimento installata presso il sito.

Nell’impianto erano installate anche cinque sfere per lo stoccaggio di butano non progettate per resistere ad un terremoto di quella violenza. Due sfere collassarono e la loro rottura determinò una nube di vapori infiammabili che si innescò 90 secondi più tardi generando un’esplosione (VCE). Si sviluppò quindi un incendio che causò danni estesi all’impianto ma nessuna vittima.

1.5.6 Esplosione di vapori infiammabili: Impianto petrolchimico (Italia), 2004

L’incidente ebbe luogo nella zona destinata alla produzione e stoccaggio di bitume, presso un impianto petrolchimico sito a Falconara Marittima l’8 settembre 2004. La descrizione dell’incidente è estratta dal report pubblico elaborato dal Ministero dell’Ambiente Francese e presente presso la banca dati di ARIA.

La zona dello stabilimento, adibita allo stoccaggio e produzione, era costituita all’epoca dell’incidente da 12 serbatoi a tetto fisso, 8 bracci di carico, 6 pompe di trasferimento e uno scambiatore di calore per il riscaldamento di eventuali stoccaggi di bitume.

L’incidente avvenne durante la fase di caricamento di un serbatoio atmosferico di bitume, operativo dal 1970, della capacità di 1200 m³ (12 metri di altezza). Il serbatoio era dotato di un sistema di riscaldamento interno a spirale ad olio diatermico che assicurava una temperatura di processo pari a circa 170 °C. Erano inoltre presenti all’interno anche indicatori di livello, di temperatura e un agitatore meccanico. Al momento dell’incidente erano contenuti nel serbatoio circa 590 m³ di bitume e circa 150 m³ di olio diatermico nel circuito di riscaldamento.

L’esplosione, avvenuta al mattino, distaccò il serbatoio ed il tetto dalle fondazioni in cemento armato e proiettò il tutto, lateralmente, di almeno 15 metri.

L’incidente, che coinvolse un altro serbatoio, provocò una rilevante fuoriuscita di bitume (circa 550 tonnellate) e di olio rovente (circa 120 tonnellate) che si diffuse ad altre parti del sito. Si innescò un incendio di pozza, alimentato dall’olio minerale fuoriuscito dai circuiti di riscaldamento, che interessò le attrezzature circostanti, compresi alcuni camion durante in fase di carico.

L’incidente, oltre a rilevantissimi danni economici, provocò la morte di un camionista investito dal bitume bollente. Altri tre camionisti vennero ricoverati in gravi condizioni all’ospedale.

Le due principali ipotesi sulle quali si orientarono le indagini ricondussero l’incidente alle seguenti due cause:

• una sovrappressione interna nel serbatoio causata dall’esplosione di idrocarburi infiammabili indebitamente introdotti nel serbatoio, probabilmente da cisterne non correttamente pulite;

• una sovrappressione interna nel serbatoio causata da una rapida evaporazione di acqua, indebitamente introdotta nel serbatoio, (temperatura 170 °C).

Ulteriori indagini, in seguito realizzate, portarono a considerare la prima ipotesi come la causa principale dell’intero incidente.

1.5.7 Esplosione di vapori infiammabili: Azienda di produzione di carrelli elevatori (Italia), 2003

La descrizione del seguente incidente mortale è estratta dalla banca dati INFOR.MO dell’ISPESL. L’evento è avvenuto nel 2003 presso un’azienda di produzione di carrelli elevatori. Il report di incidente è il seguente:

Molti sono gli incidenti causati da operazioni non consentite o comunque non approvate. Il Titolo XI del D.Lgs. n. 81/2008 prevede a questo proposito la realizzazione di appositi permessi di lavoro. Peraltro, sempre con riferimento a lavori su recipienti chiusi, l’art. 8.4 dell’Allegato VI, D.Lgs. n. 81/2008 così recita: “È vietato effettuare operazioni di saldatura o taglio, al cannello od elettricamente, nelle seguenti condizioni:

• su recipienti o tubi chiusi;

• su recipienti o tubi aperti che contengono materie le quali sotto l’azione del calore possono dar luogo a esplosioni o altre reazioni pericolose;

• su recipienti o tubi anche aperti che abbiano contenuto materie che evaporando o gassificandosi sotto l’azione del calore possono dar luogo a esplosioni o altre reazioni pericolose (…)”.

1.5.8 Esplosione di vapori infiammabili: Azienda del settore legno (Italia), 2008

La descrizione del seguente incidente mortale è estratta dalla banca dati INFOR.MO dell’ISPESL. L’evento è avvenuto nel 2008 presso un’azienda del settore legno. Il report di incidente è il seguente:

Il caso riportato risulta rappresentativo degli incidenti con gravi conseguenze che avvengono in assenza di elevati rilasci di energia durante l’esplosione. Il fattore chiave, in questi eventi, risulta la presenza dell’operatore all’interno degli effetti dell’esplosione, anche se limitati.

1.5.9 Esplosione di nebbie e spray: ThyssenKrupp (Italia), Dicembre 2007

Si riportano nel seguito le risultanze emerse in sede di Commissione parlamentare di inchiesta relativamente all’incidente presso lo stabilimento ThyssenKrupp di Torino, avvenuto il 6 dicembre 2007.

Per la comprensione di quanto accadde, risulta di particolare interesse la relazione tecnica elaborata dal Prof. Massimo Zucchetti, docente di “Sicurezza e Analisi di Rischio” al Politecnico di Torino, della quale si riporta uno stralcio⁷.

1.5.10 Esplosione di nebbie e spray: Ingersoll-Rand & Co (USA), 1959

L’esplosione descritta nel presente paragrafo avvenne nel 1959 nell’impianto test per compressori presso Ingersoll-Rand & Co a Phillipsburg, NJ, USA. Quanto segue è un riepilogo dell’incidente, riportato da Eckhoff nel 2005.

La commissione di investigazione concluse che, indipendentemente dalle modalità di progettazione di questo tipo di guarnizione, piccole fughe di olio nel flusso di gas risultassero inevitabili. Questi trafilamenti, tuttavia, venivano canalizzati, in forma atomizzata, nell’aria ad alta velocità presente all’interno del contenimento, con modalità tali da non poter essere drenate. In un circuito chiuso come quello di prova, quindi, la concentrazione di questo spray oleoso aumentò fino a raggiungere il limite inferiore di esplosività in una parte dell’impianto in prova. Il calore generato dall’esplosione determinò un incremento della pressione interna al compressore, pari ad almeno otto volte il parametro di test. Tale valore, incompatibile con la resistenza del contenimento del circuito, originò gli effetti devastanti descritti.

1.5.11 Esplosione di polveri combustibili: SEMABLA (Francia), 1997

Il 20 agosto 1997 si verificò un’esplosione in un impianto di stoccaggio di cereali. L’incidente uccise 11 persone delle quali 6 erano impiegati presso gli uffici dell’impianto. La descrizione di seguito riportata è tratta dal documento ufficiale d’inchiesta realizzato dall’INERIS francese.

Figura 1.5 – Effetto dell’esplosione avvenuta nel silo di stoccaggio cereali a Blaye

Fonte: INERIS, 1997

Il silo apparteneva alla Societé d’Exploitation marittima Blayaise (SEMABLA) sita a Blaye, in Francia. Il complesso era costituito da 44 celle di forma cilindrica aventi 6,2 m di diametro e 36,5 m di altezza. La capacità di stoccaggio dell’impianto era pari a circa 37.000 tonnellate di grano. Al momento dell’esplosione risultava stoccata una miscela di grano, mais ed orzo.

Alle estremità dell’insieme del corpo delle celle erano collocate due torri (= torre nord e torre sud) le quali alloggiavano i sistemi di elevazione a tazze, i dispositivi di pesatura, i depolveratori e gli apparecchi elettrici.

Al di sopra delle celle era collocato il tunnel di caricamento contenente al proprio interno i necessari nastri trasportatori.

Ai piedi della torre nord erano inoltre presenti gli uffici e la zona di ricezione dei materiali.

Le celle, le torri ed il tunnel erano realizzati in calcestruzzo armato e non erano dotati di alcun dispositivo per lo sfogo delle esplosioni.

L’impianto di depolverazione consisteva in un sistema centralizzato di raccolta della polvere sottile estratta da:

• trasportatori a catena;

• elevatori a tazze;

• carcasse dei motori degli elevatori;

• nastri trasportatori;

• redler dal ricevimento buche.

La velocità e la violenza dell’evento non permise ad alcun lavoratore di reagire e di mettersi in salvo; tutti i corpi vennero infatti trovati nel luogo di lavoro. L’esplosione proiettò grossi frammenti di calcestruzzo a molta distanza dall’impianto. Pezzi con massa fino a 10 kg vennero rinvenuti, infatti, a distanze di oltre 140 metri dal luogo dell’incidente.

L’indagine condotta in seguito all’incidente considerò almeno due possibili scenari all’origine della formazione di ATEX all’interno dei contenimenti:

• formazione di gas infiammabili (CO) dovuti a fenomeni di autocombustione, fermentazione o incendio incipiente;

• formazione di miscele ATEX polveri/aria.

La prima ipotesi venne successivamente scartata a seguito dell’approfondimento delle indagini. Le sorgenti di accensione che vennero considerate quali fattori di innesco furono invece le seguenti:

• scintillio o surriscaldamento (inclusa la presenza di hot spot);

• elettricità statica;

• scintille elettriche;

• autocombustione del deposito.

Anche in questo caso l’approfondimento dell’inchiesta identificò, quale fonte di accensione dell’ATEX, il malfunzionamento e/o guasto di un ventilatore del sistema di raccolta centralizzata delle polveri unita alla presenza di un’elevata temperatura locale che determinò un surriscaldamento delle polveri e, in conseguenza di ciò, un abbassamento della loro energia di innesco (vedi Capitolo 2).

Dalla torre di movimentazione l’esplosione si propagò lungo il tunnel di caricamento attraverso successive esplosioni secondarie alimentate dalla presenza di strati polverosi presenti nei nastri trasportatori. Le fiamme penetrarono infine nelle celle in fase di caricamento generando inneschi con fiamma a getto (Flame Jet Ignition) che fecero collassare i contenimenti i quali, come abbiamo già anticipato, non risultavano protetti da sistemi di sfogo delle esplosioni.

1.5.12 Esplosione di polveri combustibili: DeBruce Grain Co. (USA), 1998

L’impianto DeBruce Grain Co. possedeva all’epoca dell’incidente, avvenuto nel 1998, una capacità tale da contenere il grano necessario per produrre pane sufficiente a soddisfare le necessità dell’intera popolazione americana per circa un mese e mezzo. Era costituito da n. 246 silos cilindrici sistemati in file affiancate. L’incidente causò il decesso di 7 persone ed il ferimento di altre 10 (NFPA, 1999).

L’esplosione primaria si originò nel tunnel est della fila a sud, cui fecero seguito una serie di esplosioni secondarie attraverso il tunnel trasversale diramandosi nei tunnel della fila sud.

L’esplosione raggiunse poi l’edificio principale dove erano posizionati gli elevatori a tazze, propagandosi ulteriormente da lì ai restanti silos (Figura 1.6). Nella zona nord grossi frammenti delle strutture in calcestruzzo armato dei silos furono proiettate a diverse centinaia di metri.

La sorgente di innesco più probabile fu di tipo non elettrico causata da un surriscaldamento localizzato a carico di un cuscinetto mal lubrificato che generò la formazione di braci locali le quali innescarono l’ATEX presente in prossimità.

Figura 1.6 – Lesioni all’impianto DeBruce Grain Co.

Fonte: NFPA, 1999

1.5.13 Esplosione di polveri combustibili: Fabbricazione accessori per abbigliamento (Italia), 2003

La descrizione del seguente incidente mortale è estratta dalla banca dati INFOR. MO dell’ISPESL. L’evento ebbe luogo nel 2003 in un’azienda per la fabbricazione di accessori per l’abbigliamento nella quale si effettuavano operazioni di tornitura e fresatura di bottoni in materiale plastico e naturale. Il report di incidente è il seguente:

Anche in questo caso si rileva una stretta relazione tra operazioni di manutenzione e infortuni mortali causati da esplosioni nel luogo di lavoro.

1.5.14 Esplosione di polveri combustibili: Operazioni di caricamento delle polveri nell’industria farmaceutica

Un aspetto particolarmente delicato connesso all’utilizzo di polveri combustibili è relativo alle operazioni di caricamento di reattori e serbatoi con liquidi infiammabili o polveri combustibili. Quelle che seguono sono due descrizioni di incidente tratte dalla letteratura tecnica (Esposito et al., 2001, ANPA, 2000).

Il primo contributo è tratto da un report di indagine relativo ai rischi dovuti all’elettricità statica, presentato al IV congresso CONTARP.

La seconda case history presentata è tratta dalla pubblicazione dell’ANPA relativa alla sicurezza nei reattori industriali.

1.5.15 Esplosione di polveri combustibili: Molino Cordero di Fossano (Italia), 2007

Presso il Molino Cordero di Fossano (CN), il 16/07/2007 si verificarono una serie di esplosioni che causarono il decesso di cinque persone e la totale distruzione dell’impianto (Figura 1.7). Di seguito si riporta il riepilogo degli eventi che portarono a questo tragico evento, così come indicato dai periti tecnici che seguirono il processo (Marmo et al., 2010).

L’esplosione ebbe luogo a seguito della necessità di scaricare una piccola quantità di prodotto precedentemente caricata in eccesso in un’autocisterna. A questo fine venne collegato lo scarico della cisterna ad un condotto metallico di ripompaggio pneumatico per mezzo di una manichetta flessibile, della lunghezza pari a 6 m, in dotazione al mezzo. La tubazione di trasporto pneumatico avrebbe dovuto convogliare il prodotto in fariniera. Tale operazione, visto il limitato quantitativo di prodotto in gioco, venne condotta con alta diluizione della farina in aria.

L’attivazione della sequenza incidentale è dunque da ricercarsi nei seguenti due fattori concomitanti:

• diluizione della polvere in ingresso che crea un’ATEX all’interno della tubazione;

• collegamento non equipotenzializzato con la manichetta isolante.

Tali fattori determinano il primo innesco elettrostatico dell’ATEX all’interno della tubazione. L’esplosione si generò rapidamente e raggiunse la fariniera, trasformando la deflagrazione interna al trasporto pneumatico in un innesco ad alta energia per il contenimento della farina. Ebbe luogo, a questo punto, la prima vera esplosione primaria in capo alla fariniera. Esplosione che rilasciò energie molto elevate, anche a causa dell’innesco ad alta energia e dell’assenza di misure adeguate di protezione contro l’esplosione del contenimento.

Come conseguenza dell’esplosione primaria, si verificano tutta una serie di esplosioni secondarie che si propagano sia lungo il vano montacarichi il quale, attraversando tutti i piani del molino, trasferì le esplosioni a tutti i piani del molino, sia verso l’alto provocando la distruzione del tetto e di parte delle strutture murarie con particolare riferimento alla parte superiore dell’edificio.

Le esplosioni propagatesi nel vano montacarichi determinano anche il cedimento delle cerniere delle strutture di sostegno dei plansichter che precipitano al suolo provocando il crollo totale dei macchinari presenti nella zona dell’azienda definita “B”.

Le esplosioni secondarie si propagano, inoltre ai locali magazzino sacchi. A questi scenari di incidente si aggiunga che il rilievo dei periti evidenziò la presenza, sulla tubazione di carico, di flange deformate che certamente contribuirono anch’esse a propagare l’esplosione originata nel tubo di carico.

A seguito delle esplosioni primaria e secondarie si sviluppò un incendio generalizzato che proseguì per alcuni giorni.

Figura 1.7 – Il Molino Cordero di Fossano dopo l’esplosione

1.5.16 Asfissia dovuta a gas inerti: Valero Energy Corporation (USA), 2005

Il fatto avviene il 5 novembre 2005 presso la Valero Energy Corporation sita nel Delaware (USA). Quanto segue è un riepilogo del report dell’indagine effettuata dal CSB nel 2006⁸.

Pochi giorni prima dell’incidente, il committente di uno stabilimento chimico installò un sistema temporaneo di approvvigionamento di azoto su un reattore di idrocraking oggetto di manutenzione che denomineremo in seguito reattore R1.

Gli operatori del committente aprirono la valvola di fornitura dell’azoto una o due volte al fine di inertizzare l’R1 durante la procedura di caricamento del catalizzatore. L’azoto fuoriuscì lentamente dal reattore attraverso il passo d’uomo superiore, unico punto di caricamento del reattore. Il gas doveva proteggere dalla reazione con l’ossigeno il catalizzatore fino alla sera dell’incidente, quando venne intercettato per l’emergenza in atto. Tuttavia, contrariamente a quanto previsto dal regolamento interno del committente, non venne apposta alcuna segnalazione di pericolo che avvertisse del flussaggio di azoto in atto.

Figura 1.8 – Incidente avvenuto presso Valero Energy Corporation, novembre 2005

Fonte: CSB, 2006

Due giorni prima dell’incidente, i lavoratori dipendenti dell’appaltatore, fornitori del catalizzatore, terminato il caricamento del reattore R1, posizionarono una tavola in legno e un telo di plastica a protezione del passo d’uomo aperto. Apposero, inoltre, un segnale di pericolo in prossimità del passo d’uomo e delimitano con un nastro rosso la zona.

Al fine di reinstallare la tubazione alla sommità dell’R1, il committente rilasciò un permesso di lavoro notturno ai dipendenti dell’appaltatore. Nel modulo di permesso di lavoro si segnalò, in corrispondenza della riga indicante il “Pericolo di presenza di azoto” l’indicazione “Non applicabile”, nonostante il flussaggio di azoto fosse stato posto in essere.

Due lavoratori dell’appaltatore, rimossa la copertura in legno e plastica, pulirono la flangia del passo d’uomo (operazione necessaria all’installazione della tubazione richiesta).

Durante la pulizia del passo d’uomo, un operatore dell’appaltatore si avvide della presenza di un rotolo di nastro adesivo all’interno del reattore, circa 1,5 metri al di sotto del passo d’uomo. Gli operatori, consapevoli che i criteri di pulizia del reattore proibiscono la presenza di un rotolo di nastro all’interno del contenimento, discussero con il loro caposquadra le diverse opzioni di recupero. Un operatore entrò all’interno del reattore per il recupero dell’oggetto.

Non è tuttavia noto se volontariamente o meno. Alcuni testimoni dell’incidente, poco prima, videro, infatti, i lavoratori accovacciati intenti a recuperare l’oggetto dall’esterno con un filo dotato di un gancio all’estremità. Tale fatto orienta per la non volontarietà dell’ingresso.

In ogni caso, l’ingresso del primo lavoratore fu seguito dal secondo operatore, probabilmente allarmato della perdita di conoscenza del primo.

Il rapido allarme e l’avvio delle operazioni di recupero avvenute in meno di 10 minuti non furono purtroppo sufficienti a salvare la vita agli operai.

1.5.17 Corrosione per correnti vaganti: l’esplosione di via Chiasserini a Milano (10/06/1952)

Il caso che andremo ora ad illustrare risulta stranamente assente dalla memoria dei gravi eventi incidentali avvenuti nel nostro Paese. Nella notte del 10 giugno 1952 una fuga di gas naturale dovuta alla corrosione per correnti vaganti di un metanodotto interrato provocò un’esplosione e il crollo di uno stabile di tre piani in Via Chiasserini, 20, alla Bovisa a Milano. Nell’incidente persero la vita tredici persone e tre rimasero gravemente ferite. L’edificio di Via Chiasserini si trovava al centro di un triangolo i cui lati erano costituiti dalle linee ferroviarie Milano-Erba, Milano-Como e Milano-Torino. Tali linee elettrificate determinarono l’innesto di correnti vaganti nella tubazione convogliante gas naturale che le canalizzò fino al piano interrato dell’edificio poi esploso. Queste correnti, successivamente attratte da qualche terra locale del circuito elettrico relativo alle linee ferroviarie anzidette, abbandonarono la canalizzazione formando un’area anodica di corrosione nella zona di abbandono causando la perforazione della tubazione.

Il Corriere della Sera il 18 giugno 1952, in un articolo intitolato “Il terreno attorno alla casa era corroso dalle correnti vaganti”, illustrava i risultati ottenuti dagli esperti della Commissione di inchiesta, nominata subito dopo l’incidente⁹:

L’evento venne probabilmente innescato dall’accensione di una sigaretta in piena notte al piano primo della palazzina¹⁰. Il gas naturale rilasciato credibilmente scavò un solco nel terreno fino a raggiungere una braga di scarico. Si liberò quindi nell’interrato della palazzina raggiungendo anche i piani superiori probabilmente gorgogliando attraverso i sifoni dei servizi igienici. Al primo piano, nottetempo, trovò l’innesco il 10 giugno 1952 nella sigaretta accesa da Giuseppe Suardi, titolare dell’osteria collocata al piano terreno dell’edificio.

Il processo, iniziato nell’ottobre del 1956, si chiuse il 26 giugno 1958 con la piena assoluzione di tutti gli imputati¹¹.

Figura 1.9 – Scena del disastro avvenuto in Via Chiasserini a Milano

1.6 L’incidente di Flixborough e il nuovo approccio alla sicurezza nell’industria di processo

Il 1º giugno 1974 è una data densa di significati e rappresenta, peraltro tristemente, l’inizio del cammino europeo verso l’industria di processo sicura. Gli accadimenti che ebbero luogo in quel giorno, sommati a quanto avvenne due anni dopo in Italia, presso gli stabilimenti dell’ICMESA di Meda, vicino a Seveso (MI), posero infatti le basi per l’emanazione della prima Direttiva comunitaria indicante l’obbligatorietà di costruire ed esercire “in sicurezza” gli stabilimenti i cui rischi, per la sicurezza delle persone e la salubrità dell’ambiente, si potessero estendere anche all’esterno del sito produttivo. Come già accennato, alle 16:53 del 1º giugno 1974 ebbe luogo a Flixborough, nel Nord Lincolnshire (UK), forse il più impressionante incidente della storia dell’industria convenzionale moderna. Un rilascio accidentale di cicloesano ad alta pressione e temperatura, che si originò dagli impianti della Nypro Ldt. (produttrice di Nylon 6), causò una catastrofica esplosione e un conseguente incendio, con il decesso di 28 persone e il ferimento di altre 104. Il sito industriale, esteso su circa 100.000 m², venne interamente distrutto e circa 1800 case e 170 tra attività commerciali e fabbriche prossimali furono danneggiate. Il totale dei danni venne quantificato in circa 750 milioni di dollari, rivalutati all’anno 2000 (Kletz, 2001).

L’enorme esplosione venne udita fino ad Anlaby, nella contea di Hull, distante 32 km da Flixborough.

Figura 1.10 – Il sito prima del disastro

Fonte: BDE, 1975

1.6.1 Il sito industriale

L’impianto di cicloesano, collocato nella zona definita 25 A (cfr. Figure 1.10 e 1.11), risultava adiacente alla sala controllo, al blocco principale degli uffici, ai laboratori, all’impianto di generazione dell’idrogeno, alla sezione 7 (impianti di caprolattame) e alla sezione 27.

Figura 1.11 – Il sito dopo il disastro

Fonte: BDE, 1975

Esso consisteva in 6 reattori collegati tra loro (cfr. Figura 1.12), con tubazioni da 28 pollici, posti in serie a livelli differenti di altezza (codici Nypro nn. 2521-2526). All’interno di tale processo il cicloesano (sostanza con caratteristiche di infiammabilità simili alla benzina), inertizzato con azoto in pressione, veniva ossidato (a 9,6 bar e 155 ºC) in cicloesanone e cicloesanolo grazie all’iniezione d’aria in presenza di un catalizzatore.

1.6.2 Il ciclo produttivo

Una configurazione impiantistica di questo tipo fu dettata dalla particolare lentezza della reazione di ossidazione. Fu pertanto prolungato il tempo di permanenza del fluido all’interno dell’impianto, con l’adozione di più reattori in serie, e venne migliorata la cinetica del processo, rispetto agli impianti già esistenti all’epoca, portando la temperatura del ciclo a 155 ºC, molto al di sopra al punto di ebollizione del liquido a pressione ambiente (circa 81 ºC). La scelta obbligata conseguente fu quindi quella di pressurizzare la miscela in reazione fino a 9,6 bar al fine di mantenere il cicloesano in forma liquida. L’impianto, con i parametri di progetto indicati, consentiva di produrre, a regime, 70.000 tonnellate all’anno di caprolattame.

Ogni reattore, realizzato in acciaio AISI 316L, era dotato di un dispositivo di troppo pieno a stramazzo che consentiva di mantenere costante il livello di liquido. In tutti i contenimenti, ad eccezione del n. 4, erano inoltre installati degli agitatori interni. L’alimentazione dell’impianto consisteva in una miscela di cicloesano fresco miscelato ad altro proveniente dagli impianti di recupero del prodotto in uscita. Il prodotto intermedio in uscita dai sei reattori conteneva, infatti, oltre al cicloesanone e cicloesanolo, un tenore del 94% di cicloesano il quale, non avendo partecipato alla reazione, veniva distillato per essere riutilizzato con la miscela fresca in entrata.

Dalla distillazione si separava cicloesanone e cicloesanolo che venivano convertiti, in altra parte dell’impianto, in caprolattame, il monomero base necessario alla produzione del polimero Nylon 6.

1.6.3 Un disastro annunciato

Il 27 marzo, circa due mesi prima dell’evento, venne evidenziata sul reattore n. 5 (codice interno n. 2525) una perdita continua di cicloesano.

Figura 1.12 – I sei reattori e lo schema dell’impianto originale

Fonte: BDE, 1975

Fu decisa la fermata dell’impianto per procedere ad una ispezione approfondita del contenimento che rivelò la presenza di una fessurazione verticale molto ampia (circa 180 cm) causata, come dimostrò l’inchiesta successiva all’incidente, da tensocorrosione. Venne quindi presa la decisione di rimuovere il reattore n. 5, per studiarlo approfonditamente, e di riconnettere, nel frattempo, i reattori 4 e 6 attraverso un collegamento in acciaio AISI 304L del diametro di 20 pollici.

Figura 1.13 – Schema dell’impianto dopo l’eliminazione del reattore n. 5

Fonte: Mannan, 2005

Tale dimensione risultava molto inferiore rispetto a quella prevista in origine dal costruttore (28 pollici, cfr. Figura 1.13). Una simile riduzione di diametro non fu dettata da considerazioni ingegneristiche e/o strutturali bensì, più semplicemente, dalla disponibilità immediata di questa dimensione di tubo presso i magazzini dello stabilimento. Peraltro la struttura del raccordo non risultava assiale rispetto alle flange da collegare, collocate su due livelli differenti, ma composta da tre tronconi cilindrici saldati tra loro. Tale raccordo risultava inoltre connesso ai reattori nn. 4 e 6 attraverso soffietti metallici antivibranti. L’intero bypass risultava supportato da una struttura provvisoria in tubi innocenti (cfr. Figura 1.14).

Tutta la struttura di collegamento tra i reattori risultò, inoltre, concepita in difformità alla regola dell’arte allora vigente e relativa ai recipienti in pressione di quella tipologia (BS 3351:1971). Non fu preventivamente studiata e calcolata, non venne nemmeno semplicemente disegnata (se si eccettua lo schema, realizzato con gesso, rinvenuto sul pavimento della carpenteria di produzione!). Peraltro non furono presentati, nel corso del successivo processo, nemmeno i verbali di collaudo del collegamento realizzato.

Figura 1.14 – Condotta di bypass supportata da tubi innocenti

Fonte: Mannan, 2005

Un’analisi svolta agli elementi finiti evidenziò più frequenze naturali di vibrazione del bypass. Si riportano, a titolo esemplificativo, le prime due:

• assiale: f_1a = 3,98 Hz;

• traversale: f_1t = 12,35 Hz.

Queste frequenze vennero ad essere eccitate in risonanza dal flusso liquido interno di cicloesano. Infatti, la sezione, ridotta da 28 a 20 pollici, determinò una notevole accelerazione della velocità del liquido, con un conseguente incremento della depressione e della turbolenza del flusso. Tali modifiche fluidodinamiche sovrasollecitarono sia staticamente sia dinamicamente il giunto provvisorio nella sua intera lunghezza, inducendo forzanti armoniche che si manifestarono con momenti flettenti pulsanti (cfr. Figura 1.15).

Per molte settimane dalla sua prima installazione, quindi, il giunto si trovò ad essere sollecitato a fatica e vincolato a vibrare in modo anomalo, anche a causa della struttura in tubi innocenti di vincolo.

Figura 1.15 – Schema statico di sollecitazione della condotta di bypass

Fonte: Mannan, 2005

1.6.4 Il giorno dell’esplosione

La situazione rimase stazionaria fino al 1º di giugno quando, in occasione di un riavvio dell’impianto successivo ad una fermata per manutenzione correttiva (che non riguardò il collegamento provvisorio), il bypass cedette di schianto, provocando un rilascio (stimato) di circa 100 tonnellate di cicloesano liquido a 9,6 bar e 155 ºC (molto al di sopra, cioè, del punto di ebollizione del liquido a pressione atmosferica, come già detto). Tale perdita massiva e incontrollata generò un fenomeno noto con il nome di «flashing». Esso si manifestò con la pressoché istantanea nebulizzazione di una frazione rilevante del cicloesano espulso. A seconda delle simulazioni effettuate, da vari autori e dalla commissione governativa d’inchiesta, la quantità di cicloesano liquido, trasformatasi in vapore e nebbia, si colloca nell’intervallo 15-45 tonnellate di infiammabile mentre l’altezza rispetto al suolo, raggiunta da tale nube prima dell’innesco, si stima invece pari a circa 45 metri. Infine, il diametro del rilascio (prima dell’innesco), è stato approssimativamente quantificato in 200 metri (Sadee et al., 1975).

Una prima stima è semplicemente realizzabile adottando il criterio del TNT equivalente; si ottiene, a fronte di un rilascio di liquido pari a 100 tonnellate, una nube di vapori e nebbie infiammabili di circa 36 tonnellate. In questo senso la frazione di cicloesano che evapora una volta espulsa è pari a:

dove:

La massa della nube di infiammabile sarà uguale, quindi, alla frazione evaporata riferita al totale presente nel processo. Per tenere conto della formazione di spray ed aerosol si moltiplica F_v per 2. In ogni caso la massa della nube (W_f) non potrà, ovviamente, superare la quantità totale rilasciata. Si ha, quindi:

W_f = 2·0,18·100000 = 36000 kg

Tale quantità risulta ragionevolmente aderente con quanto stimato dalla commissione d’inchiesta. La massa equivalente di TNT può essere calcolata con le equazioni illustrate nel Capitolo 8:

dove:

Questa enorme nube di vapore e nebbia infiammabile esplose, quindi, con una potenza distruttiva equivalente a circa 10,7 tonnellate di TNT (VCE), anche se alcuni studi arrivano a quantificare tale quantità in circa 16 tonnellate (Sadee et al., 1975). Essa venne probabilmente innescata, dopo un periodo da 30 a 90 secondi dal rilascio, dai bruciatori presenti nell’impianto di generazione di idrogeno, collocato nelle adiacenze della sezione 25.

L’espansione della nube emisferica accesa, pari a circa 8 volte il suo volume iniziale (raddoppio del diametro), fece sì che il fronte di fiamma raggiungesse zone nelle quali non era inizialmente presente la miscela infiammabile, incendiando, così, buona parte del sito dello stabilimento. Assumendo i valori indicati nel DM 9 maggio 2001, il limite delle lesioni reversibili si colloca in corrispondenza degli 0,03 bar. Con tale dato e con le metodologie, già citate, presenti nel Capitolo 8, si ottiene una distanza corrispondente pari a:

All’interno di tale distanza, partendo dal centro della nube, si verificarono lesioni irreversibili per sovrappressione.

La sala di controllo venne completamente distrutta così come venne demolito il blocco principale degli uffici, realizzato in mattoni e posto a 25 metri dal rilascio. Fortunatamente negli uffici, solitamente occupati da circa 200 persone, non c’erano dipendenti (era sabato). Peraltro, nessuno degli edifici civili presenti nel complesso della Nypro era stato progettato e realizzato per proteggere gli occupanti da eventuali esplosioni esterne (cd. Effetto domino).

Le simulazioni degli effetti dovuti a sovrappressione, realizzate con il metodo del TNT equivalente e con il TNO Multienergy, restituiscono valori di sovrappressione significativi (ma inferiori agli 0,03 bar già calcolati) fino ad oltre i tre chilometri dall’epicentro dell’incidente. A questi devono aggiungersi i danni connessi all’esposizione a fiamme e radiazione termica. Tali manifestazioni evidenziano letalità ben oltre il limite di infiammabilità della nube generata, fino a concentrazioni di infiammabile minori del LFL/2. È facilmente ipotizzabile che tali conseguenze abbiano superato, in magnitudo, quelle connesse alla sovrappressione, soprattutto nel campo vicino, in prossimità dell’epicentro dell’esplosione.

Presso lo stabilimento risultavano stoccate, alla data dell’incidente, le seguenti quantità di sostanze infiammabili:

• cicloesano = 1156 tonnellate;

• nafta = 230 tonnellate;

• toluene = 44 tonnellate;

• benzene = 105 tonnellate;

• benzina = 1515 tonnellate.

L’incendio conseguente, alimentato da queste rilevantissime quantità di infiammabili, fu anch’esso di proporzioni catastrofiche.

Figura 1.16 – Simulazione CFD della nube di cicloesano rilasciata dai reattori nn. 4 e 6 vista dalla sommità dell’impianto idrogeno. La quantità è riferita a 12 secondi dopo incidente e le superfici indicano le aree di isoconcentrazione UFL, interna, e LFL, esterna

Fonte: Fingas, 2002

Ventotto furono i decessi causati dall’esplosione, 18 dei quali erano presenti in sala controllo. Nel laboratorio, collocato a meno di 12 metri dalla sala di controllo, ci furono sorprendentemente 8 superstiti i quali, avendo assistito direttamente agli eventi immediatamente precedenti l’esplosione, furono in grado di portarsi in un luogo sicuro rispetto agli effetti letali dell’esplosione. Essi, altresì, furono testimoni decisivi per la comprensione delle dinamiche incidentali.

1.6.5 La valutazione del rischio

Le cause ultime del disastro sono state molte e interconnesse tra loro. In un incidente di questo tipo, infatti, l’evento catastrofico non è che la manifestazione di molte anomalie già esistenti e dormienti all’interno del sistema organizzato che trovano un innesco in un fatto specifico (... la goccia, il vaso ecc.).

In molti incidenti industriali, piccoli, medi e grandi, accade spesso così, quindi. Un evento «trigger» innesca i fattori di rischio annidati nel sistema e covanti da tempo. Fatta questa premessa, si elencano le tre cause ultime, immediatamente individuabili, che hanno innescato il disastro:

• la connessione di bypass venne installata senza alcuna valutazione di sicurezza, dimensionamento meccanico e supervisione da parte di ingegneri chimici esperti. Come già detto, addirittura, lo schema in base al quale venne realizzato il collegamento fu disegnato, con un gesso, nel pavimento del reparto della carpenteria di lavorazione;

• il sito conteneva quantità rilevantissime di liquidi infiammabili stoccati che, successivamente all’esplosione, alimentarono l’incendio di proporzioni gigantesche;

• il bypass non fu realizzato in conformità alla regola dell’arte allora vigente. Ogni modifica, come regola generale, deve essere sempre realizzata con il medesimo livello qualitativo dell’impianto nel quale si andrà ad installare.

Un evento con una simile dimensione, oltre al carico di distruzione e sofferenza, porta con sé sempre importanti e preziosi insegnamenti per il futuro. Di seguito si riporta un elenco di principi di prevenzione e di buone pratiche, estratto dalla relazione della commissione d’inchiesta pubblica e integrato da Lees:

• necessità di controllo pubblico sugli impianti a rischio di incidente rilevante;

• localizzazione e distanziamento degli impianti a rischio di incidente rilevante dai centri abitati;

• autorizzazione per lo stoccaggio di materiali pericolosi;

• elaborazione di regole tecniche per sistemi ed attrezzature a pressione;

• adozione di sistemi di gestione negli impianti a rischio di incidente rilevante;

• priorità della sicurezza sulle necessità di produzione;

• utilizzo, in ogni fase del processo, di norme tecniche e codici di buona pratica;

• riduzione degli stoccaggi di prodotti pericolosi;

• riduzione della taglia degli impianti (es. diametro tubazioni, volume dei contenimenti) agendo sull’efficienza del processo;

• adozione di alta affidabilità nell’ingegneria dell’impianto (es. integrità meccanica);

• implementazione di alte affidabilità per i servizi di processo (es. fornitura idrogeno, azoto, ecc.);

• limitazione dell’esposizione del personale;

• progettazione e collocazione sicura delle sale controllo e degli altri fabbricati del plant;

• ergonomia nella scelta della strumentazione di controllo dell’impianto (non specifico di Flixborough);

• addestramento del personale ad operare in condizioni ad alto stress;

• riavvio dell’impianto solo dopo avere trovato la soluzione/spiegazione dell’anomalia;

• procedure di gestione del cambiamento/modifiche;

• sicurezza nel controllo degli accessi all’impianto;

• pianificazione delle emergenze;

• studio e approfondimento dei fenomeni metallurgici di interazione con le sostanze di processo;

• elaborazione di simulazioni di incidente rilevante;

• investigazione sulle cause di disastro e feedback delle informazioni acquisite.

1.7 Conclusioni

Alla luce delle statistiche e dei casi presentati, emerge una fondamentale differenza tra:

Non sempre, infatti, un rischio di infortunio significativo è accompagnato da un rilevante rischio di esplosione (inteso come combinazione tra la probabilità di accadimento e l’energia complessivamente rilasciata nel corso dell’incidente). Molte lavorazioni, soprattutto nella piccola e media impresa, sono realizzate a contatto o nelle immediate vicinanze dell’ATEX (operazioni di travaso/caricamento di liquidi e polveri, verniciatura, sgrassaggio, ecc.). In queste condizioni si genera un rilevante effetto d’amplificazione dell’infortunio causato dalla collocazione dell’operatore all’interno degli effetti dell’esplosione (sovrappressione, proiezione di frammenti, fronte di fiamma), pur in assenza di rilasci rilevanti di energia.

Inoltre, come si rileva dai casi presentati, le esplosioni di polveri combustibili possono liberare energie paragonabili a quelle generate dalle esplosioni industriali che coinvolgono liquidi e gas infiammabili (presenti in particolare nel settore a rischio a incidente rilevante), pur essendo sostanze tipicamente considerate sicure (cereali, legno, zucchero, ecc.).

Come già precedentemente accennato, esiste inoltre una fondamentale differenza tra le esplosioni derivanti dalle polveri combustibili rispetto a quelle che possono avere origine da gas e vapori:

• le polveri combustibili generalmente trovano innesco all’interno del contenimento di processo e, generando un’esplosione primaria, si propagano all’esterno ed all’interno dell’impianto attraverso successive esplosioni secondarie;

• i gas ed i vapori infiammabili, prevalentemente, sono innescati in seguito ad un rilascio dal contenimento dell’impianto. Meno frequentemente l’esplosione si origina dall’interno del contenimento.

Un ulteriore aspetto da sottolineare è relativo alla notevole frequenza degli incidenti nel corso di operazioni di manutenzione industriale, probabilmente a causa della maggior presenza ed efficacia delle sorgenti di accensione in gioco (lavorazioni a fuoco, generazione di scintillii, ecc.).

Si elencano, infine, una serie di fattori spesso rinvenibili nelle esplosioni di gas/vapori infiammabili e polveri combustibili:

• le sorgenti di accensione efficaci non si limitano ai soli componenti elettrici, ma possano derivare da cause meccaniche ed elettrostatiche;

• tutti gli incidenti evidenziano la presenza di più cause attive. In ogni attività sono infatti sempre presenti criticità «dormienti» che vengono attivate da un «innesco» finale costituito da errore umano, operativo, tecnico, ecc;

• l’errore umano, seppur spesso presente quale causa finale dell’incidente, non risulta altrettanto frequente come causa profonda. In questo senso le cause poste alla radice di un evento incidentale sono spesso riferibili ad aspetti di errata progettazione degli impianti o di carente gestione del sistema organizzativo;

• l’assenza di un piano di manutenzione strutturato così come carenti/assenti procedure di gestione del cambiamento possono tragicamente influenzare la stabilità, in termini ATEX, di un sistema a rischio di esplosione;

• a volte un solo approccio “cartesiano” TOP-DOWN al problema delle esplosioni può rivelarsi insufficiente. È necessario, in questo senso, che l’analista possieda expertise specifica degli accadimenti incidentali tipici della filiera tecnologica analizzata.

Da ultimo si vuole porre l’attenzione sulla ripetuta, e pericolosissima, violazione dell’Allegato VI, art. 8.4, D.Lgs. n. 81/2008 che si riporta qui per esteso:

“8.4. È vietato effettuare operazioni di saldatura o taglio, al cannello od elettricamente, nelle seguenti condizioni:

• su recipienti o tubi chiusi;

• su recipienti o tubi aperti che contengono materie le quali sotto l’azione del calore possono dar luogo a esplosioni o altre reazioni pericolose;

• su recipienti o tubi anche aperti che abbiano contenuto materie che evaporando o gassificandosi sotto l’azione del calore possono dar luogo a esplosioni o altre reazioni pericolose.

È altresì vietato di eseguire le operazioni di saldatura nell’interno dei locali, recipienti o fosse che non siano efficacemente ventilati. Quando le condizioni di pericolo previste dalla lettera a) del primo comma del presente articolo si possono eliminare con l’apertura del recipiente chiuso, con l’asportazione delle materie pericolose e dei loro residui, con l’uso di gas inerti o con altri mezzi o misure, le operazioni di saldatura e taglio possono essere eseguite anche sui recipienti o tubazioni indicati alla stessa lettera a) del primo comma, purché le misure di sicurezza siano disposte da un esperto ed effettuate sotto la sua diretta sorveglianza.”