Allegato III
Analisi di Rischio
1. Premessa
L'analisi quantitativa dei rischi nelle gallerie ferroviarie deve
essere inquadrata in una logica generale di sistema, adattata allo
specifico ambito del sistema treno - galleria, ed articolata nei
sottosistemi di natura strutturale o funzionale secondo le
indicazioni della direttiva 96/48/CE del 23 luglio 1996 e 2001/16/CE
del 19/3/2001 e decisioni seguenti.
Piu' in particolare, l'analisi di rischio deve fare riferimento
alla scomposizione del sistema treno - galleria nei sottosistemi
componenti infrastruttura, materiale rotabile e procedure operative
(rif: documento UIC - Codex 779-9 "Safety in Railway tunnels").
L'analisi di rischio deve valutare i diversi rischi in una
galleria, tenendo conto di tutti gli elementi inerenti alle sue
peculiarita' progettuali, alle condizioni e al tipo di traffico
(modello di circolazione), alle frequenze di circolazione delle
diverse tipologie di traffico (passeggeri o merci), alle
caratteristiche della infrastruttura e dei rotabili.
2. Scopo
L'analisi di rischio ha lo scopo iniziale di valutare le
probabilita' di accadimento di eventi incidentali preventivamente
identificati (rif: annessi A e B) unitamente alla valutazione di un
indicatore della gravita' delle conseguenze connesse all'evolversi
degli stessi eventi.
Qualora in ragione del livello di rischio valutato si adottino
opportune misure e dispositivi per la riduzione del rischio stesso
(rif. All. II), l'analisi viene reiterata per la valutazione del
rischio residuo.
In particolare le misure e i dispositivi di sicurezza che mirano a
ridurre il rischio si devono distinguere (rif. documento UIC - Codex
779-9 "Safety in Railway tunnels" richiamato in Allegato II) in:
- misure di prevenzione (prevention of incidents, UIC), allo
scopo di ridurre la probabilita' di innesco di eventi incidentali
caratteristici (Eventi Iniziatori, EI) relativi al sistema treno -
galleria,
- misure di protezione (individuale e collettiva) e mitigazione
delle conseguenze derivanti dal verificarsi dei suddetti eventi
incidentali (mitigation of impact, UIC)
- misure di facilitazione dell'allontanamento dai luoghi di
pericolo (autosoccorso) (facilitation of escape, UIC);
- misure di facilitazione degli interventi di soccorso
(facilitation of rescue, UIC).
Inoltre, per le gallerie molto lunghe, si possono adottare
ulteriori misure aggiuntive.
La prevenzione degli eventi incidentali e' affidata essenzialmente
al rispetto delle condizioni di funzionamento regolate dalle
direttive gia' richiamate e successive decisioni.
E' peraltro compito specifico della analisi di rischio valutare
anche gli effetti in termini di riduzione del rischio dovuto
all'insieme di misure e dispositivi di protezione/mitigazione e
facilitazione adottati (PMF), distinti per singoli sottosistemi (vedi
Allegato Il), precisando l'eventuale interazione sinergica o
antagonistica delle singole misure.
3. Metodologia
3.1 Procedura di Analisi di Rischio
La procedura di Analisi di Rischio di cui agli annessi A e D si
basa sull'applicazione critica di metodi probabilistici consolidati
per la valutazione del rischio di eventi complessi utilizzando le
usuali tecniche ad Albero degli Eventi ed ad Albero delle Cause,
combinati a studi di Scenario per la valutazione delle conseguenze
associate a ciascun possibile esito finale.
Le informazioni di riferimento per costruire i dati di ingresso
della procedura hanno come fonte di riferimento le Relazioni sullo
Stato della Sicurezza delle Gallerie Ferroviarie di cui alt'art. 16
del decreto, eventualmente integrate da informazioni contenute in
banche dati, ufficialmente accreditate, su indici di incidentalita' e
tassi di malfunzionamento o guasto di componenti del sistema
(Annesso C).
3.2 Scenari Incidentali di Riferimento
Sono stati identificati alcuni scenari incidentali principali di
riferimento, relativi all'emergenza in galleria, conseguenti
all'insorgenza dei seguenti eventi critici iniziatori:
- INCENDIO (S1);
- DERAGLIAMENTO (S2);
- COLLISIONE (S3).
Questi scenari devono necessariamente essere considerati.
Ulteriori scenari, relativi per esempio ad atti vandalici e
attentati, non sono oggetto della procedura descritta nel presente
allegato, dal momento che questi non rappresentano scenari
incidentali tipici ed esclusivi del sistema treno - galleria. In casi
particolari puo' essere necessario considerare tali scenari
nell'ambito della formulazione estesa della analisi di rischio.
Con riferimento ad un'analisi di rischio di tipo probabilistico i
tre scenari incidentali considerati devono essere costruiti in modo
da risultare mutuamente disgiunti e dunque da costituire un gruppo
completo di eventi incompatibili, in modo tale che il rischio
complessivo relativo all'emergenza in galleria sia somma dei rischi
relativi ai singoli scenari incidentali.
3.3 Identificazione e classificazione dei sottosistemi
I tre scenari incidentali di riferimento potranno evolvere verso
differenziate configurazioni stazionarie di fine emergenza
caratterizzate da diversi livelli di danno all'uomo, al materiale e
all'infrastruttura a seconda che si verifichi funzionamento corretto
o malfunzionamento delle misure di protezione e mitigazione
realizzate a livello di:
- Sottosistema INFRASTRUTTURA;
- Sottosistema MATERIALE ROTABILE;
- Sottosistema PROCEDURE OPERATIVE.
In definitiva l'evoluzione del singolo scenario incidentale verso
una conseguenza di danno massimo, minimo o intermedio deriva dalla
presenza, dall'efficacia e dall'efficienza dei sistemi protettivi e
mitigativi realizzati a livello di: infrastruttura, materiale
rotabile, procedure operative, nonche' delle misure di facilitazione
dell'autosoccorso e soccorso. Le procedure operative sintetizzano il
ruolo congiunto dei sottosistemi: manutenzione del sistema
ferroviario, controllo-comando e segnalamento del sistema
ferroviario, energia del sistema ferroviario, esercizio del sistema
ferroviario (rif. Direttive gia' citate).
3.4 Estensione ed integrabilita' della Procedura
La procedura puo' essere estesa sulla base delle seguenti
possibili integrazioni:
- aumento del numero di scenari incidentali di riferimento;
- aumento del livello di dettaglio dei sottosistemi.
La rappresentativita' della descrizione degli scenari incidentali,
e in particolare del livello di dettaglio con cui viene specificata
la gravita' delle conseguenze da essi derivanti, e' funzione della
rappresentativita', veridicita' e precisione dei dati di riferimento.
La procedura puo' essere estesa anche allo studio delle cause di
innesco dei singoli eventi iniziatori caratteristici dello scenario
(Incendio, Deragliamento, Collisione), sulla base delle usuali
tecniche ad Albero delle Cause, al fine di identificare la
probabilita' di accadimento dell'evento. A titolo di esempio si veda
lo schema riportato in Tavola 3.4.I.
----> VEDERE SCHEMA A PAG. 62 DELLA G.U. <----
4. Accettabilita' del Rischio
4.1 Definizioni preliminari
In ragione dell'aleatorieta' della misura del danno,
l'accettabilita' del rischio deve essere preliminarmente valutata
nella sola componente della salvabilita' dei passeggeri.
I risultati derivanti dall'analisi ad Albero degli Eventi
forniscono la stima della distribuzione di probabilita' di
accadimento del livello di danno associato alle conseguenze degli
scenari incidentali di riferimento.
Sulla base di tali dati si definisce una misura del livello di
Rischio Atteso Totale (R), per una specifica opera e per uno
specifico regime di traffico. Il Rischio Atteso Totale (R) puo'
essere espresso come:
----> VEDERE FORMULA A PAG. 63 DELLA G.U. <----
dove:
R = rischio atteso;
pi = probabilita' di accadimento dell'i-esima conseguenza;
Ci = valore dell'indicatore di danno associato alla conseguenza
i-esima;
n = numero di eventi-conseguenza.
La misura del livello di Rischio Atteso Individuale (IR) si
ottiene, normalizzando il valore del precedente indicatore rispetto
alla popolazione esposta in un intervallo di tempo prefissato (un
anno) e per chilometro percorso in galleria.
E' altresi' ben definito un livello di Rischio Cumulato (CR) sulla
base della distribuzione di probabilita' cumulata del livello di
danno riferita sempre ad un anno.
Il livello di rischio cumulato fornisce la probabilita' (cumulata)
che si abbia un danno maggiore di un'assegnata soglia di tolleranza
(vedi par. 4.3).
Il rischio atteso individuale unitamente al rischio cumulato
costituiscono le grandezze di riferimento per l'accettabilita' del
livello di sicurezza del passeggero associato alla singola specifica
galleria (vedi par. 4.2 e 4.3).
I dati complessivi ottenuti dall'Analisi di Rischio, effettuata su
tutte le gallerie distribuite lungo la rete ferroviaria, messi a
confronto da una parte con i dati statistici dell'incidentalita' e
dall'altra con le aspettative di sicurezza della collettivita',
consentono di definire gli obiettivi di rischio in termini di soglie
di rischio individuale e cumulato.
Considerato inoltre, che il sistema ferroviario puo' evolvere, i
valori di soglia suddetti sono suscettibili di essere modificati di
conseguenza.
Rispetto alla richiesta di validazione dei requisiti minimi (cfr.
art. 4 - comma 5) come condizioni sufficienti per garantire la
sicurezza dei passeggeri per una determinata classe di gallerie, e'
necessario poter valutare il livello di rischio relativo ad una
singola galleria.
4.2 Livelli di accettabilita' del rischio individuale
Un indicatore che permette di valutare il livello di rischio
relativo ad una singola galleria, e quindi anche per la valutazione
della sufficienza dei suddetti requisiti minimi per garantire un
fissato livello di sicurezza dei passeggeri, e' il rischio atteso
individuale IR definito in 4.1.
Secondo dati di letteratura per i rischi liberamente assunti viene
registrato statisticamente un rischio individuale per anno compreso
tra 10-4 e 10-5, mentre per quelli involontari si va da 10-6 a 10-8.
Ipotizzando, in modo cautelativo, che ciascun utente percorra in
media 1000 km/anno sul sistema ferroviario, il valore di rischio
individuale in galleria viene fissato in 10-9 fatalita' / (passeggeri
km anno).
Per quanto sopra esposto, il rischio individuale definisce il
valore atteso di rischio annuo per passeggero per km; la soglia di
attenzione e' fissata a 10-11 e la soglia di inaccettabilita' a 10-9.
Il valore fissato per la soglia di attenzione tiene conto anche
dell'incertezza sulla percentuale di percorrenza in galleria e
dell'incertezza sulle informazioni e sui dati disponibili per i
calcoli.
----> VEDERE SCHEMA A PAG. 65 DELLA G.U. <----
Qualora il rischio calcolato ricadesse in zona di attenzione e'
richiesto di documentare in modo esauriente la precisione e
rappresentativita' dei dati utilizzati nonche' l'accuratezza della
procedura; nel caso di residua incertezza e' richiesto di procedere
con una valutazione di tipo ALARP (as low as reasonably possible).
4.3 Livelli di accettabilita' del rischio cumulato
L'indicatore di rischio cumulato consente di valutare gli effetti
dell'evoluzione degli eventi pericolosi sui passeggeri esposti.
Come criterio di accettabilita' del rischio cumulato si procede ad
una analisi sulla base del criterio definito come probabilita' che si
verifichino, in un fissato periodo di tempo (es: un anno) e per
chilometro di galleria, non piu' di un predeterminato numero di
fatalita' [N/Km - anno].
Al fine di identificare una soglia di accettabilita' viene
introdotto un criterio di limitazione sul piano P([N/Km - anno ]> x),
N dove viene preso in considerazione la probabilita' che le fatalita'
superino una predeterminata soglia.
----> VEDERE SCHEMA A PAG. 66 DELLA G.U. <----
Il grafico riportato nella Tavola 4.3.I riporta il criterio di
accettabilita' della funzione cumulata di probabilita' ed indica la
probabilita' annua che il numero di fatalita' per chilometro sia
maggiore di predeterminate soglie di riferimento.
Da solo il criterio basato sull'indicatore di rischio cumulato non
puo' essere adottato come criterio di accettabilita' nell'analisi
della singola galleria; esso deve essere associato a quello
individuale.
5. Analisi di Rischio Base (ARB)
La procedura di Analisi di Rischio Base, con riferimento ai
requisiti di sicurezza minimi, di cui all'Allegato II, definisce un
metodo per la validazione di tali requisiti non solo come necessari
ma anche come condizioni sufficienti per garantire la sicurezza dei
passeggeri in una data galleria.
Questa e' una procedura semplificata mirata alla verifica
dell'incolumita' e quindi della salvabilita' dei passeggeri,
ipotizzando e simulando uno scenario in cui la sopravvivenza dei
passeggeri e' condizionata essenzialmente dall'autosoccorso.
Nel sistema treno - galleria assume particolare rilievo lo
scenario incidentale che prevede il simultaneo verificarsi di
incendio e perdita di mobilita' del rotabile. L'Analisi di Rischio
Base e' focalizzata sullo studio di tale scenario e sull'efficacia
del complesso di misure e dispositivi di sicurezza prioritariamente
con riferimento a passeggeri, addetti e soccorritori.
La procedura di Analisi di Rischio Base e' eseguita per un fissato
volume di traffico ed e' caratterizzata dai seguenti parametri:
- sviluppo della galleria: distanza tra gli imbocchi o
interdistanza tra vie di esodo fruibili (L'efficace),
- tipo di traffico: merci; viaggiatori, misto leggero (merci <
30%), misto pesante, (merci > 30%);
- peculiarita' progettuali (presenza di deviatoi,
interconnessioni o stazioni; possibilita' di incrocio tra treni in
transito; andamento altimetrico; localizzazione della galleria;
rischi di area specifici in prossimita' degli imbocchi).
La procedura viene descritta negli annessi D1 e D2 a cui si
rimanda.
6. Scelta dei metodi di verifica della sicurezza
La procedura di Analisi di Rischio Base e' stata definita sulla
base dello scenario incidentale incendio in galleria con perdita di
mobilita' del rotabile, assumendo unitaria la probabilita' di
malfunzionamento dei sottosistemi materiale rotabile e procedure
operative, ritenendo efficaci ai fini della salvabilita' dei
passeggeri solo le condizioni di esodo. L'evento iniziatore incendio
e' dunque assunto vincolato all'evento di arresto del convoglio in
galleria: S1 = (stop in galleria) ?? I, con conseguente
impossibilita' del treno di sottrarsi alle condizioni critiche. Si e'
supposto, inoltre, che un eventuale intervento delle squadre di
soccorso non sia efficace al fine di mettere in salvo passeggeri e
addetti del treno incidentato. Lo sviluppo dettagliato dello scenario
di riferimento e' riportato in Annessi D1 e D2.
La sufficienza dei requisiti minimi e' condizionata dunque
essenzialmente dalla realizzazione dell'esodo in sicurezza dei
passeggeri (autosoccorso) nell'ipotesi di insorgenza di un focolaio
di incendio e di avanzamento del fronte di fumo in galleria.
Le condizioni di sicurezza sono determinate sulla base del
confronto tra andamento delle concentrazioni dei prodotti tossici
della combustione, delle concentrazioni di ossigeno e della
visibilita' lungo la galleria e tempo d'esodo dei passeggeri.
La procedura di analisi di rischio base, sviluppata con
riferimento alla realizzazione dell'esodo in sicurezza dei passeggeri
(autosoccorso) e applicata ad una opportuna ed esauriente varieta' di
casi tipo, al variare delle variabili di progetto, fornisce una base
di dati per la verifica del rispetto delle condizioni di
accettabilita' ovvero della necessita' di svolgere un'analisi di
rischio estesa.
Ne derivano le seguenti considerazioni:
a. le gallerie di lunghezza compresa tra 1000 m e 2000 m,
corredate dei requisiti minimi e caratterizzate dai parametri
indicati nell'introduzione dell'Allegato II (Volume di traffico non
superiore a 220 treni/giorno; Andamento altimetrico senza inversioni
di pendenza), garantiscono un adeguato livello di sicurezza rispetto
alla realizzazione dell'esodo dei passeggeri (autosoccorso) e quindi
non vanno sottoposte all'Analisi di Rischio: tale classe di gallerie
definisce la Zona Requisiti Minimi; qualora non fossero
caratterizzate dai parametri sopra indicati vanno sottoposte
all'Analisi di Rischio Base;
b. le gallerie di lunghezza compresa tra 2000 m e 9000 m,
corredate dei requisiti minimi e caratterizzate dai parametri sopra
indicati vanno comunque sottoposte all'Analisi di Rischio Base per la
valutazione della sufficienza delle misure di sicurezza applicate;
c. le gallerie di lunghezza compresa tra 1000 m e 9000 m non
corredate dei requisiti minimi, ma caratterizzate dai parametri sopra
indicati vanno sottoposte all'Analisi di Rischio Base; qualora non
fossero caratterizzate dai parametri sopra indicati vanno sottoposte
all'Analisi di Rischio Estesa;
d. le gallerie di lunghezza superiore ai 9000 m vanno sottoposte
all'Analisi di Rischio Estesa;
Comunque, tutte le gallerie ove non sia possibile escludere sia la
contemporanea presenza di treni trasportanti merci pericolose e treni
passeggeri sia la presenza di rischi di area specifici in prossimita'
degli imbocchi, vanno sottoposte all'Analisi di Rischio Estesa al
fine di individuare specifici provvedimenti da adottare caso per
caso.
L'Analisi di Rischio Estesa deve essere condotta in tutti i casi
in cui l'Analisi di Rischio Base non consente di dimostrare la
sufficienza delle misure applicate.
Lo schema riportato nella Tavola 6.II illustra il diagramma di
flusso della procedura sopra definita.
Tavola 6.II. Procedura da attuarsi per l'applicazione dell'ARS oppure
dell'ARB.
----> VEDERE SCHEMA A PAG. 70 DELLA G.U. <----
ANNESSI
ANNESSO A
Schema indicativo delle fasi operative dell'analisi di rischio
ANNESSO B
Lista preliminare dei pericoli e degli eventi pericolosi
ANNESSO C
Banche dati incidentali
ANNESSO D1
Descrizione dell'analisi di rischio base in ambito probabilistico.
ANNESSO D2,
Descrizione del modello deterministico di riferimento per
l'analisi di scenario e verifica delle conseguenze limite - Analisi
di Rischio Base (ARB).
ANNESSO A
Schema indicativo delle fasi operative dell'analisi di rischio
1. Identificazione dei pericoli
Lista preliminare dei pericoli, con evidenza del percorso che
conduce alla loro identificazione. L'identificazione avviene
attraverso l'analisi del sistema specificando le funzioni necessarie
a garantire i requisiti operativi del sistema in studio. Attraverso
l'analisi storica degli eventi incidentali, considerando la
omogeneita' delle informazioni a disposizione, si definisce una
classe di eventi pericolosi la cui probabilita' di accadimento e'
significativa.
2. Classificazione e selezione degli eventi pericolosi.
Classificazione degli eventi pericolosi (collegati ai pericoli di
cui al punto 1) in termini di frequenza/probabilita' di accadimento e
di gravita' delle conseguenze.
Il percorso adottato prevede la selezione dei pericoli, di cui al
punto 1, significativi in base alla valutazione empirica delle
frequenze/probabilita' di accadimento e della gravita' delle
conseguenze per ciascun evento pericoloso.
3. Stima delle probabilita' di accadimento degli eventi pericolosi.
Analisi frequentista/soggettiva degli eventi pericolosi
selezionati, con chiara indicazione delle fonti e/o dei criteri di
valutazione adottati.
Si indica il livello di significativita', rappresentativita' e
precisione statistica dei dati utilizzati.
4. Analisi degli scenari incidentali.
Sviluppo delle sequenze incidentali conseguenti agli eventi
pericolosi selezionati. Si individuano gli scenari incidentali piu'
frequenti o comunque possibili sulla base dei dati storici a
disposizione.
5. Stima delle probabilita' degli eventi caratteristici degli scenari
incidentali.
Analisi frequentista/soggettiva degli scenari incidentali.
A partire da dati storico/statistici o attraverso valutazioni di
tipo soggettivo si valutano le probabilita' degli eventi elementari e
degli eventi complessi che caratterizzano gli scenari incidentali,
evidenziando il livello di significativita', rappresentativita' e
precisione statistica dei dati utilizzati.
6. Analisi delle conseguenze.
Analisi delle conseguenze per gli scenari incidentali identificati
Si individuano le conseguenze in termini di fatalita'.
7. Valutazione dei profili di rischio.
Rischio Individuale e Collettivo
Si valuta il rischio individuale, primariamente in termini di
danno atteso relativo al singolo passeggero. Ad un livello di
maggiore dettaglio si possono prendere in esame anche le conseguenze
relative agli infortunati e ai danni ai beni.
Si valuta il rischio collettivo considerando la probabilita'
cumulata relativa al numero annuo di fatalita' per il complesso del
comparto gallerie.
8. Misure per la riduzione del rischio.
Analisi delle misure e dispositivi di tipo costruttivo,
impiantistico, strumentale ed organizzativo
Si elencano le tipologie di misure da mettere in atto per
fronteggiare gli scenari critici evidenziati al fine di ridurre la
probabilita' di accadimento o la gravita' delle conseguenze: misure
di prevenzione (riduzione della probabilita' di accadimento degli
eventi pericolosi iniziatori), misure di protezione, mitigazione e
facilitazione (contenimento del malfunzionamento dei sottosistemi
considerati e della gravita' delle conseguenze).
ANNESSO B
Lista preliminare degli eventi pericolosi e delle cause
La seguente lista e' strutturata su due livelli. Il primo livello
corrisponde alla lista preliminare degli eventi pericolosi; il
secondo livello e' invece rappresentativo delle cause principali che
possono portare all'evento pericoloso.
o deragliamento:
- guasto o cedimento strutturale del materiale rotabile,
- cedimento strutturale o deterioramento del tracciato,
- guasto ai sistemi di controllo della circolazione,
- impatto con oggetti sulla linea,
- cedimenti strutturali opere civili,
- esplosione/fuoco a bordo,
- errore umano a bordo,
- errore umano al posto centrale;
o collisione:
- guasto alle logiche di interlocking,
- prestazioni ridotte dell'impianto frenante,
- presenza di convoglio non segnalato sulla via,
- presenza di ostacoli in linea,
- errato controllo della circolazione dovuto a incompatibilita'
elettromagnetica,
- perdita dell'impianto frenante per guasti all'elettronica di
bordo,
- errore umano a bordo,
- errore umano al posto centrale (o controllo);
o incendio:
- rilascio di sostanze infiammabili, tossiche, pericolose
trasportate
o esterne,
- corto circuito a bordo,
- corto circuito della linea di alimentazione,
- surriscaldamento organi di rotolamento,
- difetto impianto frenante rotabili,
- incendio di materiale combustibile in galleria;
o interferenza con sistemi di distribuzione di gas o liquidi
pericolosi in prossimita' degli imbocchi:
- esplosione/incendio,
- rilascio di sostanze pericolose;
o generici pericoli per i passeggeri:
- intrappolamento tra convoglio e banchina,
- intrappolamento nelle porte,
- tentativo di discesa a treno gia' avviato,
- treno in movimento con porte aperte,
- porte aperte dal lato sbagliato,
o altri pericoli:
- perdita completa di potenza elettrica,
- guasto ai sistemi anti intrusione,
- perdita di trazione della motrice,
- sezione di linea disalimentata,
- perdita completa di alimentazione agli apparati di linea,
- perdita dell'impianto di telecontrollo,
- manutenzione inadeguata.
I pericoli sopra riportati garantiscono una copertura
esemplificativa esauriente ma non esaustiva delle tipologie di eventi
che possono verificarsi durante l'esercizio di un sistema
ferroviario.
ANNESSO C
Banche dati incidentali
Si presenta di seguito uno schema di format tipo per la redazione
di schede di evento incidentale che costituiscono l'informazione
elementare per costruzione della banca dati. Si tratta di un rapporto
(standardizzato) sul tipo di evento, livello delle conseguenze e
ipotesi di causa; da compilarsi secondo canoni predeterminati e che
deve dunque contenere:
- dati anagrafici
- data dell'evento;
- luogo dell'evento;
- tipologia del luogo (stazione, in linea, in galleria, ecc.);
- descrizione dell'evento;
- descrizione delle cause determinanti;
- descrizione delle conseguenze in termini di danni a persone,
cose e infrastrutture;
- tipo di rotabile;
- tempo di interruzione della circolazione
- dati valutativi
- identificazione dei sottosistemi o ambiti (infrastruttura,
materiale rotabile, procedure operative) nei quali si e' verificato
l'evento incidentale
- valutazione del livello di gravita' delle conseguenze
provocate dall'evento
- nesso di causa - effetto tra accadimento dell'evento
incidentale / malfunzionamento del sotto sistema / conseguenze
- dati storico statistici relativi alla classe dell'evento
incidentale/malfunzionamento
- dato cumulato relativo all'incidentalita'
- dato cumulato relativo al tasso di malfunzionamento/guasto
Banca dati disponibile nel gruppo FS
Per la rete gestita da RFI esiste una banca dati di eventi
incidentali nella quale sono riportate tutte le informazioni di
dettaglio sulla cui base possono essere effettuate valutazioni
statistiche per l'analisi di rischio.
L'accesso alla banca dati di RFI da parte di altri operatori
ferroviari viene assicurato attraverso la Direzione Generale del
Ministero delle Infrastrutture e dei Trasporti che si rende garante
del trattamento riservato delle informazioni fornite.
ANNESSO D1
Descrizione dell'analisi di rischio base in ambito probabilistico.
Nella procedura indicata si considerano gli effetti combinati e
concatenati dell'evento di riferimento S1 (incendio) nei tre
sottosistemi.
Nella Tavola allegata viene rappresentato in forma grafica
l'albero degli Eventi corrispondenti alla procedura descritta.
----> VEDERE SCHEMA A PAG. 78 DELLA G.U. <----
La probabilita' di accadimento della singola conseguenza finale e'
data dal prodotto delle probabilita' (%) di accadimento dei singoli
sottoeventi (Malfunzionamento o Funzionamento corretto di
Infrastruttura, Materiale Rotabile e Procedure Operative) che
concorrono alla definizione dei rami che conducono alla conseguenza
stessa. Le conseguenze vengono gerarchizzate a partire dal danno piu'
severo, (Dm) a quello meno severo, (Dmin) rispetto ad una opportuna
misura di utilita/danno convenzionale, determinata dal livello di
sicurezza associato alla generica conseguenza. Le probabilita' di
accadimento delle suddette conseguenze sono indicate con P1, ..., P8.
La misura del livello di gravita' associata alla generica
conseguenza (Di) e' definita attraverso un Indicatore di Danno
adimensionale (0 indica danno nullo, 1 indica danno massimo)
dipendente dal valore dei parametri caratterizzanti.
La procedura suggerita si basa sulle elaborazioni di un simulatore
che descrive l'esodo dal treno all'interno della galleria fino al
raggiungimento dell'uscita della galleria stessa e sulla base del
quale e' possibile caratterizzare la distribuzione dell'indicatore di
danno relativamente ad un convoglio prototipo. A partire da tale
distribuzione si stima il rischio totale R.
Al fine di indagare il comportamento di una generica galleria di
lunghezza inferiore (o uguale) a 2000 m, nelle condizioni specificate
in precedenza, si definisce innanzitutto la probabilita' di
accadimento dell'evento SI in gallerie di lunghezza minore o uguale a
2000 m, come il prodotto della probabilita' di accadimento del
suddetto evento nel generico punto della linea ferroviarie per la
probabilita' che il treno si trovi durante il suo percorso
all'interno di una galleria di lunghezza effettiva minore o uguale a
2000 m.
Noto il valore della probabilita' di accadimento dell'evento
iniziatore considerato, per fissati volumi e tipologie di traffico, e
tenendo conto dei risultati derivanti dalla simulazione d'esodo in
termini di distribuzione di probabilita' associata all'indicatore
adimensionale di danno si determina il valore del livello di rischio
individuale da confrontarsi con la soglia di accettabilita' e
inaccettabilita' stabilite nel paragrafo 4.
Il livello di rischio individuale relativo alla classe di gallerie
prese in considerazione e' definito dalla seguente relazione:
----> VEDERE FORMULA A PAG. 79 DELLA G.U. <----
essendo Ni il generico valore della variabile numero di fatalita',
ottenuto come risultato della simulazione, Npass il numero totale dei
passeggeri presenti all'interno del convoglio e M il massimo numero
di fatalita' in corrispondenza della galleria considerata e
relativamente a fissati valori di volume e tipologia di traffico.
La suddetta procedura di analisi di rischio base, sviluppata con
riferimento alla realizzazione dell'esodo in sicurezza dei passeggeri
(autosoccorso) ed applicata ad una opportuna ed esauriente varieta'
di casi tipo, al variare della lunghezza efficace, fornisce una base
di dati per la verifica del rispetto delle condizioni di
accettabilita' ovvero della necessita' di svolgere un'analisi di
rischio estesa.
Sono diagrammati gli andamenti lineari che descrivono il legame
tra livello di rischio individuale (IR) e probabilita' di accadimento
dell'evento iniziatore P(S1) parametrizzati dalla lunghezza della
galleria. La pendenza delle rette (R) varia al variare della
lunghezza della galleria (o dell'interdistanza tra vie d'esodo) e
corrisponde all'indicatore di rischio atteso totale, variabile tra
zero e uno, connesso al verificarsi dell'evento iniziatore
considerato.
----> VEDERE SCHEMA A PAG. 80 DELLA G.U. <----
Per gallerie di lunghezza efficace compresa tra 2000 m e 9000 m
eventualmente dotate di requisiti integrativi e caratterizzate da
valori degli altri parametri considerati nell'analisi di rischio
(tipo di traffico e procedimenti progettuali) favorevoli, si adotta
il concetto di Lunghezza Equivalente Le e di Sicurezza Equivalente.
La Lunghezza Equivalente di una galleria e' una lunghezza virtuale
associata al livello di rischio caratteristico di una galleria, in
corrispondenza del medesimo valore di probabilita' dell'evento
iniziatore associato alla galleria specifica.
ANNESSO D2
Descrizione del modello deterministico di riferimento per l'analisi
di scenario e verifica delle conseguenze limite - Analisi di
Rischio Base (ARB).
Descrizione generale dello scenario.
Si ipotizza l'incendio di una carrozza di un treno passeggeri,
fermo in galleria in posizione centrale rispetto agli imbocchi. La
sezione della galleria e' del tipo a singola canna e doppio binario,
di superficie pari a 80 m2; la lunghezza della galleria e' pari a 4
km.
Si valuta l'andamento nel tempo, all'interno della galleria, delle
grandezze rappresentative del rischio per le persone dovuto
all'incendio:
- distribuzione delle concentrazioni di fumi e gas tossici
prodotti dall'incendio (CO, HCN, HC1, CO2) e delle altre specie
chimiche significative ai fini del rischio (difetto di 02,
particolato) all'interno della galleria e loro andamento nel tempo;
- distribuzione delle temperature all'interno della galleria e
loro andamento nel tempo; in particolare lungo i percorsi di esodo;
- distribuzione dell'irraggiamento termico all'interno della
galleria e suo andamento nel tempo.
Determinazione della curva di rilascio della potenza termica.
Al fine di valutare la curva di rilascio piu' appropriata e' stato
studiato l'incendio di una carrozza passeggeri, con innesco
ipotizzato su una poltroncina, considerando altresi' la successiva
rottura dei finestrini.
Tale studio ha consentito di determinare i valori di picco delle
grandezze rappresentative del rischio per lo scenario in oggetto.
I materiali considerati nello sviluppo del modello sono tutti
assimilati, per quanto riguarda le loro proprieta' termodinamiche, al
poliuretano, materiale, tra quelli presenti sulla carrozza tipo, che
presenta il comportamento piu' severo dal punto di vista della
partecipazione al fuoco e della produzione dei prodotti tossici della
combustione (in particolare CO e HCN).
Ipotesi adottate per la definizione dello scenario - Incendio di
riferimento.
Lo scenario incidentale di riferimento si caratterizza per essere
rappresentativo di una vasta classe di scenari incidentali e per lo
stesso sono stati individuati i rispettivi parametri conservativi:
- la curva del rilascio prescelta prevede uno sviluppo graduale
della potenza del focolaio (tempo complessivo di sviluppo non
inferiore ai 10 min.) sino al valore di 10 MW e si assume che essa
rimanga costante per tutta la durata della simulazione;
- la lunghezza della galleria e' pari a 4000 m;
- la sezione della galleria ove e' ipotizzato l'incendio e' della
tipologia singola canna doppio binario;
- si assume che l'incendio si sviluppi al centro della galleria;
- la velocita' di esodo in galleria e' ipotizzata pari a 0,6 m/s;
- il tempo necessario per l'esodo della totalita' dei passeggeri
dalle carrozze si assume pari a 180 s;
- si ipotizza inoltre che tutti i passeggeri riescano a
raggiungere il marciapiede laterale di esodo;
- la temperatura ambiente iniziale e' considerata pari a 20 °C;
- la concentrazione iniziale di ossigeno e' considerata pari a
20,7 % (valore in atmosfera al livello del mare).
Rischi ai quali i passeggeri sono esposti durante l'esodo.
La salvabilita' dei passeggeri piu' sfavoriti e' condizionata dal
buon esito delle tre fasi distinte dell'esodo:
- esodo dal vagone incendiato;
- allontanamento dal vagone incendiato;
- raggiungimento delle uscite.
Durante la prima fase dell'esodo sia il rischio termico, legato a
parametri di rischio quali irraggiamento e temperatura dei gas caldi
della combustione, sia il rischio chimico legato alla concentrazione
dei prodotti tossici della combustione quali CO, HCN, HC1 ed alla
ipossia, cioe' alla mancanza di 02, sono elevati.
Durante la seconda fase dell'esodo il rischio principale e' di
tipo termico, legato soprattutto all'irraggiamento.
Durante la terza fase dell'esodo verso l'uscita il rischio
principale e' di tipo chimico e termico.
Calcolo del grado di inabilita' indotto sui passeggeri durante
l'esodo.
Al fine di valutare le capacita' di esodo sono stati calcolati
degli indicatori, definiti dosi frazionali inabilitanti (fractional
effective dose), secondo la norma ISO 13571, Lite threat of fires -
Guidance on the estimation of time available for escape using fire
data, per ogni parametro sia di rischio chimico (concentrazioni di
sostanze tossiche, irritanti, nonche' dell'ossigeno, ai fini della
valutazione della ipossia) sia di rischio termico (temperature dei
gas e dell'aria, valori di irraggiamento termico ai quali gli
esodanti sono esposti in galleria).
I parametri sopra citati sono rappresentativi delle condizioni di
vivibilita' all'interno della galleria ed in particolare lungo i
percorsi di esodo; gli andamenti nel tempo dei valori dei parametri
di rischio costituiscono la base dei dati utilizzata per
l'applicazione dei modelli empirici proposti nella norma sopra
citata, ed assunti come modelli matematici per la valutazione dei
dati calcolati in base a questa simulazione di incendio.
L'approccio utilizzato si basa sul calcolo del tempo disponibile
per l'esodo dei passeggeri attraverso un percorso interessato dalla
diffusione dei prodotti dell'incendio quali fumi e calore.
Gli effetti di cui le formule empiriche del modello proposto nel
documento succitato tengono conto sono computati in base ai valori
assunti dai parametri di rischio lungo la galleria ed al tempo di
esposizione delle persone a ciascun elemento di rischio; tali effetti
sono funzione del prodotto delle concentrazioni di ciascun parametro
di rischio (CO, CO2, HCl, HCN, etc.) pesato con il tempo di
esposizione e normalizzato rispetto ad un valore limite costituente
il parametro di riferimento, FED fractional effective dose, per il
calcolo del tempo disponibile per l'esodo.
Il calcolo delle dosi frazionali e' finalizzato a confrontare, per
ogni parametro di rischio, il valore ottenuto, rappresentativo della
dose frazionale inabilitante complessivamente assunta dal generico
passeggero durante l'esodo, con il valore di soglia (a seguito della
normalizzazione rispetto al valore di soglia i valori ottenuti sono
compresi tra 0 ed 1).
Il valore 1 corrisponde al raggiungimento della condizione di
impossibilita' di autosoccorso.
Sintesi dei risultati del modello deterministico applicato allo
scenario di riferimento.
Dai risultati dell'applicazione del modello, relativi alla
galleria tipo indicata, sono state ricavate dosi frazionali
inabilitanti complessive, rappresentative del rischio chimico e del
rischio termico:
- dose frazionale inabilitante complessiva relativa al rischio
termico = FT = 0,08;
- dose frazionale inabilitante complessiva relativa al rischio da
ipossia (scarsita' di ossigeno) = Fo = 0,006;
- dose frazionale inabilitante complessiva relativa al rischio
chimico = Fa = 0,05.
I valori sopra riportati mostrano che il rischio associato
all'esodo dei passeggeri e' da considerarsi accettabile in quanto i
valori delle dosi frazionali inabilitanti sono tutti inferiori ai
valori limite di accettabilita', indicati dalla stessa norma ISO pari
a 0,3.
Calcolo del rischio per una galleria generica sulla base dei
risultati del modello deterministico applicato allo scenario di
riferimento-Analisi di Rischio Base.
L'ARB si sviluppa rapportando i risultati del modello
deterministico ottenuti per lo scenario di riferimento alla galleria
oggetto dell'analisi.
L'ARB si applica a tutte le gallerie ferroviarie secondo quanto
indicato nel capitolo 6 del presente allegato III.
Sensibilita' dei parametri di rischio rispetto ai parametri specifici
di progetto.
La salvabilita' dei passeggeri, che si ipotizza effettuino l'esodo
attraverso i marciapiedi, dipende
dalle concentrazioni dei prodotti della combustione;
dalla temperatura ed irraggiamento termico alla quale sono
esposti durante l'esodo;
dai tempi di esposizione.
Tali parametri di rischio dipendono sostanzialmente dalla
configurazione geometrica della galleria. Gli elementi caratteristici
che incidono in maniera significativa sul rischio termico e chimico
sono i seguenti:
sezione della galleria, Sg, incide principalmente sulle
concentrazioni dei prodotti della combustione dipendendo da tale
grandezza il volume all'interno del quale i fumi si distribuiscono;
interdistanza massima delle uscite pedonali, Len, incide sui
tempi di esodo e quindi sui tempi di esposizione alle concentrazioni
dei prodotti della combustione ed agli effetti termici dell'incendio
e rappresenta la lunghezza efficace di una galleria dal punto di
vista dell'esodo dei passeggeri nel caso dell'evento incendio di una
carrozza in galleria;
larghezza dei percorsi di esodo, W'incide sulla velocita' di
fuga e quindi sui tempi di esposizione alle concentrazioni dei
prodotti della combustione ed agli effetti termici dell'incendio.
Indicatori di danno per l'Analisi di rischio base (ARB).
Di seguito sono definiti i tre indicatori di danno:
Dch, rappresentativo del danno durante l'esodo in galleria,
dovuto alla concentrazione del monossido di carbonio e di altri
prodotti tossici, computati conservativamente raddoppiando il
contributo dovuto al solo monossido di carbonio (la concentrazione
dei fumi puo' essere convertita in densita' ottica);
DT, rappresentativo del danno associato agli effetti della
temperatura e dell'irraggiamento termico;
Do, rappresentativo del danno dovuto ad ipossia (scarsita' di
ossigeno).
L'approccio della ARB si basa su leggi empiriche ottenute da una
regressione di una modellazione rigorosa del fenomeno che correlano
gli indicatori agli elementi caratteristici della galleria rispetto
ai quali tali parametri sono sensibili.
Le espressioni dei parametri sopra citati sono le seguenti:
Dch,= Fch *((80/Sg)2 +(0,8/W')2)/2 + 0,03 * Leff/1000;
DT= FT *((80/Sg)2 + (0,8/W')2)/2;
Do = Fo *((80/Sg)2 +(0,8/W')2)/2.
Le espressioni sopra riportate sono basate su ipotesi
conservative, associate alla variazione degli indicatori di danno in
relazione agli elementi caratteristici della galleria.
La condizione per cui l'ARB dimostra la necessita' di effettuare
l'ARE e' che almeno uno degli indicatori di danno sopra definiti,
Dch, DT, Do, risulti maggiore del valore limite normalizzato, pari a
0,3.
La condizione di accettabilita' del danno si realizza nel caso in
cui gli indicatori Dch, DT, Do, rimangano tutti inferiori al valore
limite pari a 0,3.
In altri termini il suddetto risultato corrisponde all'esito
favorevole dell'ARB, compatibile con la soglia di accettabilita'
fissata.
Riferimenti
I valori soglia ed i parametri del modello deterministico dello
scenario di danno considerato e delle corrispondenti conseguenze sui
passeggeri sono tratti dal contesto internazionale normativo del
settore (vedi riferimenti bibliografici sottoelencati):
- ISO/TR 13387:1999, Fire safety engineering - Part 1-9;
- ISO/DTS 13571 Life threat of fires - Guidance on the estimation
of time available for escape using fire data;
- NFPA SFPE Handbook - Visibility and human behaviour in fire
smoke, T. Jin;
- NFPA SFPE Handbook - Toxicity assessment of combustion
products, D.A. Purser;
- NFPA SFPE Handbook - Emergency movement, H.E. Nelson;
- NFPA SFPE Handbook - Heat release rate, V. Babrauskas;
- NFPA SFPE Handbook - Generation of heat and chemical compounds
in fare, A. Tewarson;
- NIST Fire dynamic simulator - Technical referente guide, K.
McGrattan;
- NIST Fire dynamic simulator - User's guide, K. McGrattan;
- NIST - Fire safety of passenger trains: Material evaluation
(cone calorimeter), R.D. Peacock;
- NIST - Fire Safety of Passenger Trains: Application of Fire
Hazard Analysis Techniques, Richard D. Peacock;
- NIST - Fire Safety of Passenger Trains: Evaluation of Fire
Hazard Analysis Using Full-Scale Passenger Rail Car Tests; Richard D.
Peacock;
- University of Canterbury - Assessing the feasibility of
reducing the grid resolution in FDS field modelling, N.M. Petterson;
- NIST - Numerical Simulation of the Howard Street Tunnel Fire,
Baltimore, Maryland, July 2001, K. B. McGrattan, A. Hamins;
- NRC National Research Council Canada - Simulation of the
dynamics of the Fire for a section of the L.H.- La Fontaine Tunnel,
A. Bounagui, A.Kashef, N. Benichou.