“Il rischio zero non esiste”... chi ha pratica di valutazioni di rischio conosce bene questa frase, che nasconde una considerazione importante “quale è il livello di rischio accettabile?” o in altre parole quale rischio siamo disposti a tollerare e quindi a correre?
Partiamo dalle basi: cosa si intende per rischio? Prendiamo un esempio pratico: una persona percorre tutti i giorni in auto 20 km per andare al lavoro. Esiste una probabilità non nulla di avere un incidente, che dipende da fattori esterni (orario in cui si viaggia, condizioni del traffico, tipo di strada...) e fattori umani (stile di guida, stato del guidatore, attenzione...).
C’è poi da considerare il livello di gravità delle conseguenze dell’incidente, dipendente anche questa volta da fattori esterni (equipaggiamento di sicurezza dell’auto, tipo di veicolo...) e umani (uso della cintura di sicurezza, velocità tenuta...).
La combinazione della probabilità e della gravità genera il livello di rischio: più sono alte probabilità e gravità, tanto più alto è il rischio.
Per ridurre il rischio è quindi necessario ridurre la probabilità (migliorando i sistemi di sicurezza, rendendo più efficaci gli impianti, riducendo le incidenze dei guasti accidentali...) o la gravità (sistemi di contenimento e di protezione più efficienti...).
In qualsiasi attività umana, in qualsiasi cosa facciamo, vi è un rischio: la cosa importante è che sia minimo. Anche lo stare sdraiati a letto ci espone a rischi (terremoto, caduta di meteorite...), naturalmente ridottissimi ma non nulli.
Tutta questa introduzione per parlare di centrali nucleari: è evidente a tutti che gli scenari incidentali possono essere in questo caso gravissimi (Chernobyl e Fukushima ce lo dimostrano). La probabilità di accadimento è spacciata come bassissima, con un conseguente rischio incidentale accettabile.
Ma è veramente così? Due incidenti di livello 7 (il massimo) in 25 anni, considerando circa 500 centrali nucleari operative nel mondo, ci dà una probabilità per una data centrale di 1 evento ogni 250 anni, probabilità bassa ma certamente non trascurabile (per confronto, se viaggiassimo in aereo tutti i giorni, avremmo la probabilità di un incidente mortale ogni 5000 anni!!).
Il vero limite della tecnica della valutazione dei rischi è la quantificazione della probabilità dell’errore umano. E’ relativamente facile, dati statistici alla mano, valutare l’efficienza di una macchina, è arduo valutare invece l’affidabilità dell’uomo.
Prendiamo per esempio il caso di Chernobyl: l’incidente più grave nella storia delle centrali nucleari è stato causato da una serie impressionante di coincidenze ed errori.
Il reattore nucleare di Chernobyl era formato da uno scheletro portante di grafite (con la funzione di rallentare i neutroni veloci emessi dal materiale radioattivo e promuovere quindi la fissione nucleare): in esso erano alloggiate le barre del combustibile nucleare. Il calore generato dalla fissione dell’uranio era asportato da acqua che scorreva in tubi di zirconio (metallo particolarmente resistente alla corrosione). Il vapore d’acqua generato durante lo scambio termico metteva in movimento delle turbine che generavano infine energia elettrica. La reazione nucleare era mantenuta sotto controllo da 200 barre di boro, elemento che assorbe e blocca i neutroni arrestando la fissione nucleare (variando il numero di barre infilate nel reattore si variava la potenza generata).
L’incidente è avvenuto durante una prova decisa dalla direzione della centrale. L’impianto aveva infatti un difetto costruttivo: in caso di blackout elettrico le pompe dell’acqua di raffreddamento si fermavano per circa 30 secondi, prima dell’intervento dei gruppi elettrogeni d’emergenza, creando una situazione difficile da gestire. I responsabili della centrale volevano provare ad usare direttamente l’energia elettrica generata dalle turbine per alimentare le pompe dell’acqua.
Potete trovare una descrizione approfondita della sequenza completa che ha portato all’incidente a questi link Wikipedia: il disastro di Chernobyl e Fisicamente: Chernobyl
In sintesi però ecco la serie di errori che ha portato al disastro:
- 1° errore: il test programmato alle ore 8AM del 25 aprile 1986 si svolse poi (per una richiesta non preventivata di energia elettrica) alle 01AM del 26 aprile. Invece di avere la presenza di tutto il personale tecnico della centrale, era presente al test solo il personale del turno di notte, ridotto e non ben informato sul test stesso.
- 2° errore: il raffreddamento di emergenza fu scollegato per impedire il suo intervento e rendere la prova più “reale”. Una grave sottovalutazione del rischio.
- 3° errore: per ridurre il rischio si pensò di condurre la prova mantenendo il reattore alla potenza minima, anche se questo era vietato dal manuale operativo: infatti alle basse potenze si innesca una reazione secondaria che genera Xenon-135, un isotopo che fa aumentare notevolmente l’assorbimento di neutroni, facendo crollare ulteriormente la potenza generata e creando un effetto di mascheramento della reale reattività del nucleo. Nessun del personale tecnico della centrale conosceva questo fatto.
- 4° errore: per cercare di fare risalire la potenza del reattore, scesa troppo a causa della produzione di Xenon-135, si estrassero quasi tutte le barre di controllo di boro, superando il limite minimo di 30 barre: una grave violazione delle norme di sicurezza.
- 5° errore: il calo eccessivo della potenza fece scendere così tanto la temperatura dell’acqua da portare quasi al blocco delle turbine per mancanza di vapore: per continuare la prova si decise quindi di disattivare tutti i sistemi di blocco automatico del reattore che sarebbero potuti intervenire ed evitare l’incidente. Troppa sicurezza in sé stessi e negazione del rischio.
Alle 01:23:04 il capo turno tolse l’alimentazione elettrica alle pompe di raffreddamento e cercò di alimentarle con l’energia della turbina. La portata di acqua diminuì drasticamente (ed il raffreddamento d’emergenza, disattivato, non poté intervenire). La sequenza degli eventi fu allora molto rapida:
- la temperatura del nocciolo cominciò a salire rapidamente;
- l’acqua di raffreddamento cominciò a vaporizzare, riducendo ancora la quantità di calore asportato;
- la temperatura del nocciolo salì ancora e avviò la reazione di fissione dello Xeno-135, che creò energia e causò un aumento enorme della quantità di neutroni disponibili per attivare altre fissioni nucleari;
- alle 01:23:40 gli allarmi di alta temperatura suonarono nella sala controllo e gli operatori avviarono la procedura d'emergenza di spegnimento che prevedeva l’inserimento di tutte le barre di boro nel reattore;
- le barre non scesero! La temperatura all’interno del reattore era infatti così alta da aver fuso i tubi di zirconio e le barre di uranio: i canali di immissione delle barre erano deformati ed inservibili;
- alle 01:23:47 la potenza generata dal reattore raggiunse un valore pari a 10 volte la potenza nominale: la reazione fra acqua e zirconio ad alta temperatura generò una grande bolla di idrogeno che a contatto con la grafite incandescente esplose, facendo saltare la piastra superiore del reattore (una enorme “tappo” di acciaio e cemento del peso di circa 1000 tonnellate). Il nocciolo era scoperto, l’incidente di Chernobyl era accaduto!
Quale è il limite del rischio che ognuno di noi è disposto ad accettare? Il rischio zero non esiste e questo vale tanto più per le centrali nucleari.
E l’uomo con le sue debolezze ed i suoi errori sarà sempre l’anello debole della catena...
PS: grazie a Marco e a Rocco per avermi ricordato l'argomento ;-)