What-If Analysis: Tecnica di Analisi del Rischio

Definizione e origine: posizionamento tra HAZOP, PHA, FMEA e FTA

La What-If Analysis(letteralmente: analisi del «e se...?») è un metodo di analisi del rischio basato sul brainstorming strutturato. Un team multidisciplinare esamina un processo, un impianto o un'attività ponendo in modo sistematico domande aperte del tipo «What if the pump fails?» («Cosa succede se la pompa si guasta?») o «What if the operator skips the venting step?»(«Cosa succede se l'operatore salta la fase di sfiato?»). Per ciascuna domanda il team identifica le conseguenze potenziali, le misure di prevenzione e protezione già esistenti e le eventuali raccomandazioni di miglioramento.

In termini di posizionamento tra i principali metodi di analisi del rischio:

• PHA — Preliminary Hazard Analysis: è l'analisi di pericolo condotta nelle primissime fasi di progettazione, quando i dettagli di processo non sono ancora definiti. La What-If Analysis è spesso il passo successivo alla PHA: si applica quando il processo è abbastanza definito da poter formulare domande specifiche sui nodi operativi, ma non ancora così complesso da richiedere la formalizzazione dell'HAZOP.
• HAZOP — Hazard and Operability Study(IEC 61882:2016): metodo altamente strutturato che analizza le deviazioni dal funzionamento normale di ciascun nodo di processo attraverso parole guida standardizzate (più, meno, nessuno, inverso, altro che). Richiede un facilitatore certificato, documentazione di processo dettagliata (P&ID) e sessioni formali con verbale. La What-If è più flessibile e meno resource-intensive, ma meno esaustiva.
• FMEA — Failure Mode and Effects Analysis: analizza sistematicamente i modi di guasto dei singoli componenti di un sistema e le loro conseguenze. Ha un approccio bottom-up (dal componente all'effetto sul sistema), mentre la What-If ha un approccio top-down o orizzontale per scenario. La FMEA è preferibile per sistemi meccanici e elettronici complessi; la What-If è più adatta per processi operativi e scenari di errore umano.
• FTA — Fault Tree Analysis: metodo quantitativo top-down che calcola la probabilità di un evento indesiderato a partire dai guasti elementari dei componenti. La What-If non produce valori probabilistici: è uno strumento qualitativo orientato all'identificazione degli scenari, non alla loro quantificazione.

La What-If Analysis è descritta e raccomandata, tra gli altri riferimenti, dalle Guidelines for Hazard Evaluation Procedures del CCPS (Center for Chemical Process Safety, edizione 3a, 2008) come uno dei metodi fondamentali di analisi del pericolo di processo.

Struttura della sessione What-If: team, nodi, domande e tabella di risposta

Una sessione di What-If Analysis si articola in fasi ben definite, anche se la struttura è deliberatamente più flessibile di quella dell'HAZOP.

Composizione del team

Il team deve essere multidisciplinare e includere competenze complementari. Le figure tipicamente coinvolte sono:

• Facilitatore: guida la sessione, formula le domande, mantiene il ritmo e la sistematicità, evita che il gruppo si concentri solo sui rischi più ovvi. Deve avere familiarità con la tecnica e con il tipo di processo analizzato.
• Esperto di processo: ingegnere o tecnico che conosce in dettaglio il funzionamento dell'impianto o del processo. Fornisce le informazioni tecniche necessarie per valutare le conseguenze degli scenari What-If.
• Esperto di sicurezza: RSPP, safety engineer o consulente HSE, che porta la prospettiva delle normative di sicurezza, delle misure di prevenzione e protezione e dell'esperienza su incidenti analoghi nel settore.
• Operatori e preposti: chi lavora quotidianamente sul processo conosce le criticità operative reali, le prassi informali e i quasi-incidenti che non compaiono nella documentazione formale.
• Altre funzioni (in base al contesto): manutenzione, strumentazione e controllo, logistica, qualità, ambiente.

Il team ottimale per una What-If Analysis su un processo di media complessità è composto da 4-8 persone. Gruppi troppo piccoli rischiano di perdere prospettive importanti; gruppi troppo grandi diventano difficili da gestire e rallentano la sessione.

Definizione dei nodi di processo

Prima della sessione, il facilitatore suddivide il processo in esame in nodi(o sezioni): porzioni del processo sufficientemente omogenee da essere analizzate come unità. La definizione dei nodi dipende dalla complessità del processo: in un processo chimico possono corrispondere alle sezioni del P&ID (diagramma di tubazioni e strumentazione); in un processo logistico o manifatturiero alle fasi operative principali del flusso di lavoro. Per ciascun nodo viene preparata la documentazione di riferimento: P&ID, schemi di flusso, procedure operative, schede di sicurezza (SDS) delle sostanze coinvolte.

Formulazione delle domande «What if...»

Le domande vengono generate durante la sessione con un approccio a brainstorming guidato. Il facilitatore e i membri del team propongono scenari ipotetici per ciascun nodo, cercando di coprire le principali categorie di deviazione:

• Guasti di apparecchiature e strumentazione («What if the level sensor fails high?»)
• Errori operativi e omissioni di procedura («What if the operator adds reagent B before reagent A?»)
• Variazioni di condizioni operative (pressione, temperatura, portata, composizione)
• Perdite di contenimento, tenuta e integrità strutturale
• Interruzioni di servizi ausiliari (energia elettrica, aria strumenti, acqua di raffreddamento)
• Fattori esterni (eventi meteorologici estremi, interferenze da attività adiacenti)
• Fasi non routinarie: avviamento, arresto, manutenzione, emergenza

Non esiste un numero predefinito di domande: la sessione continua finché il team ritiene di avere coperto sistematicamente le principali fonti di pericolo per il nodo in esame.

Tabella di risposta What-If

Per ciascuna domanda il team compila una tabella strutturata con le seguenti colonne:

• Scenario (What if): descrizione sintetica della deviazione ipotizzata.
• Causa: possibile causa o cause che potrebbero portare alla deviazione ipotizzata (guasto strumentale, errore umano, evento esterno, ecc.).
• Conseguenza: effetti attesi della deviazione in assenza di misure di prevenzione o protezione aggiuntive (danni alle persone, all'ambiente, agli impianti, perdite di produzione).
• Misure esistenti: salvaguardie già in atto che riducono la probabilità di accadimento o la gravità delle conseguenze (barriere tecniche, procedure, DPI, sistemi di allarme, sistemi di blocco automatico — SIS).
• Raccomandazioni: misure aggiuntive suggerite dal team per ridurre ulteriormente il rischio, con indicazione del responsabile e della priorità.

In alcune varianti della tecnica, alla tabella vengono aggiunte colonne per la valutazione qualitativa o semiquantitativa del rischio residuo (es. classificazione Alta/Media/Bassa per probabilità e conseguenza), avvicinando la What-If alla struttura della matrice di rischio usata nell'analisi semiquantitativa.

Vantaggi e limitazioni rispetto ad altre tecniche

Vantaggi della What-If Analysis

• Flessibilità: si adatta a processi di diversa natura (chimici, manifatturieri, logistici, informatici, sanitari) senza richiedere una documentazione di processo altamente dettagliata come l'HAZOP. Può essere applicata anche con informazioni di progetto parziali.
• Rapidità di esecuzione: rispetto all'HAZOP, richiede meno tempo di preparazione e sessioni più brevi. Per un processo di media complessità, una What-If Analysis completa può essere condotta in 1-3 giornate, contro le settimane tipicamente necessarie per un HAZOP approfondito.
• Accessibilità: non richiede un facilitatore con formazione specialistica avanzata. È applicabile da team con competenze generali di sicurezza e buona conoscenza del processo, senza necessità di strumenti software dedicati.
• Efficacia per scenari di errore umano: la formulazione in linguaggio naturale delle domande «What if» è particolarmente adatta a esplorare scenari di errore operativo e di deviazione da procedure, che metodi più strutturati come l'HAZOP tendono a trattare in modo meno esplicito.
• Coinvolgimento del personale operativo: la struttura a brainstorming favorisce il contributo attivo degli operatori, che possono segnalare criticità note dall'esperienza quotidiana ma non documentate formalmente.

Limitazioni della What-If Analysis

• Dipendenza dalla qualità del team: a differenza dell'HAZOP, che guida sistematicamente l'analisi attraverso parole guida standardizzate, la What-If è tanto esaustiva quanto la creatività e l'esperienza del team che la conduce. Rischi non immaginati dal team non vengono identificati.
• Mancanza di sistematicità garantita: non esiste una procedura formale che assicuri la copertura di tutte le possibili deviazioni. La qualità dell'analisi dipende fortemente dall'esperienza del facilitatore.
• Non produce output quantitativi: la What-If fornisce un elenco qualitativo di scenari e raccomandazioni, ma non calcola probabilità di accadimento né stima le frequenze di incidente. Per questi scopi è necessario integrare con metodi quantitativi (FTA, QRA, LOPA).
• Meno adatta a sistemi molto complessi: per impianti di processo ad alta complessità (raffinerie, impianti petrolchimici, centrali nucleari), dove le interazioni tra componenti sono numerose e le modalità di guasto possono essere combinatorie, l'HAZOP o la FMEA garantiscono una copertura più sistematica.

Applicazioni tipiche: MOC, PSSR e valutazione preliminare del rischio di processo

La What-If Analysis trova applicazione in diversi contesti operativi, in particolare come strumento agile per revisioni di sicurezza che non giustificano un HAZOP completo.

Valutazione preliminare del rischio di processo (Process Hazard Analysis — PHA)

Nelle fasi di progettazione concettuale o di ingegneria di base di un nuovo impianto o processo, la What-If Analysis viene spesso utilizzata come PHA iniziale, prima che siano disponibili i P&ID definitivi necessari per un HAZOP. Permette di identificare le principali fonti di pericolo e di incorporare misure di sicurezza fin dalle prime fasi progettuali, riducendo i costi di modifica rispetto a interventi eseguiti a progetto avanzato.

Management of Change (MOC) — Gestione delle modifiche

Una delle applicazioni più frequenti e di maggiore impatto della What-If Analysis è la revisione di sicurezza nell'ambito del processo di Management of Change: la procedura sistematica con cui le aziende valutano le implicazioni di sicurezza di ogni modifica apportata a impianti, attrezzature, procedure operative o organizzazione del lavoro prima di darvi corso. La What-If Analysis si presta bene a questo contesto perché è rapida da eseguire, non richiede la rielaborazione di tutta la documentazione di processo e permette di rispondere in modo strutturato alla domanda fondamentale del MOC: «Questa modifica introduce nuovi rischi o altera l'efficacia delle salvaguardie esistenti?».

Pre-Startup Safety Review (PSSR) — Revisione di sicurezza pre-avvio

La PSSR è una revisione di sicurezza condotta immediatamente prima dell'avvio di un nuovo impianto, di un impianto modificato o di un impianto che ha subito una fermata prolungata. La What-If Analysis è uno degli strumenti che possono essere utilizzati durante la PSSR per verificare che tutte le misure di sicurezza identificate nelle fasi progettuali siano state implementate correttamente e che non siano emersi nuovi rischi durante la costruzione o la modifica. Il CCPS raccomanda esplicitamente l'uso della What-If tra le tecniche applicabili per la PSSR (Guidelines for Mechanical Integrity Systems, 2006).

Audit di sicurezza periodici

Alcune organizzazioni utilizzano la What-If Analysis come strumento di audit periodico (annuale o biennale) per verificare che le condizioni operative non si siano allontanate dai presupposti della valutazione del rischio originale e che le raccomandazioni emerse da analisi precedenti siano state implementate.

Integrazione nel DVR e nella valutazione del rischio ai sensi del D.Lgs. 81/08

Il D.Lgs. 9 aprile 2008 n. 81non prescrive uno specifico metodo di valutazione del rischio: l'art. 28, comma 1, richiede che la valutazione sia «effettuata tenendo conto di tutti i rischi per la sicurezza e la salute dei lavoratori», e l'art. 28, comma 2, che il DVR contenga «una relazione sulla valutazione di tutti i rischi per la sicurezza e la salute durante l'attività lavorativa, nella quale siano specificati i criteri adottati per la valutazione stessa». La scelta del metodo è quindi lasciata al valutatore, che deve scegliere l'approccio più adeguato alla complessità e alla natura dei rischi presenti.

Quando usare la What-If Analysis nel contesto del DVR

La What-If Analysis è particolarmente indicata come strumento di supporto alla valutazione del rischio nel DVR nei seguenti casi:

• Processi produttivi di media complessità (es. industria manifatturiera, processi chimici non rientranti nelle soglie Seveso, impianti di trattamento acque) dove la matrice semiquantitativa P × D non è sufficiente a garantire la sistematicità richiesta.
• Valutazione di rischi specifici legati a fasi operative non routinarie (avviamento, arresto, manutenzione, emergenza) che nella valutazione standard tendono a essere sottovalutate.
• Revisione della valutazione del rischio in occasione di modifiche significative agli impianti, alle attrezzature o all'organizzazione del lavoro (obbligo di aggiornamento del DVR ai sensi dell'art. 29, comma 3, D.Lgs. 81/08).
• Approfondimento di rischi di processo identificati come critici dalla valutazione semiquantitativa, per i quali si vuole un'analisi più articolata degli scenari prima di definire le misure correttive.

Documentazione della What-If Analysis nel DVR

Quando la What-If Analysis viene utilizzata come strumento di valutazione del rischio, i risultati devono essere documentati nel DVR o in allegati al DVR. La documentazione minima comprende:

• Descrizione del metodo adottato e dei criteri seguiti per la suddivisione del processo in nodi e per la generazione delle domande.
• Composizione del team che ha condotto l'analisi, con indicazione delle qualifiche e del ruolo di ciascun partecipante.
• Tabelle di risposta What-If complete per ciascun nodo analizzato, con i campi: scenario, causa, conseguenza, misure esistenti, raccomandazioni.
• Piano di attuazione delle raccomandazioni: priorità, responsabile, scadenza e stato di avanzamento, in coerenza con il piano delle misure di prevenzione e protezione del DVR (art. 28, comma 2, lett. c, D.Lgs. 81/08).

Per gli stabilimenti soggetti al D.Lgs. 105/2015(recepimento della direttiva Seveso III, 2012/18/UE), la What-If Analysis può essere utilizzata come metodo di analisi qualitativa nella fase iniziale di identificazione degli scenari incidentali, che devono poi essere quantificati con metodi probabilistici nell'ambito del Rapporto di Sicurezza (RS) richiesto per gli stabilimenti di soglia superiore.