HAZOP

La metodologia di analisi di pericolo e operabilità (o HAZOP, dall'inglese HAZard and OPerability analysis^[1]), ha lo scopo di esaminare gli ambienti di lavoro e identificare i pericoli cui tali ambienti espongono i lavoratori, le strutture e l'ambiente naturale.

La tecnica HAZOP ha avuto origine da studi di tipo assicurativo, specie su grandi impianti di processo, estendendo la sua applicazione ad ambiti e dimensioni diverse. Le modalità operative richiedono il concorso di esperti e operatori coinvolti in un team multidisciplinare che lavora attenendosi agli scopi e alla programmazione dello studio stabiliti dalla committenza.

Le caratteristiche principali delle tecniche impiegate nella analisi/valutazione dei rischi sono:

• Checklist: uno dei metodi più semplici; consiste in una serie predefinita di domande o argomenti da esaminare. È il "knowledge based HAZOP", sviluppato dalla Exxon.
• What-if analysis: viene condotta utilizzando un approccio del tipo brainstorming; si inizia con l'analizzare pericoli già noti al team di lavoro, per arrivare ad altri potenziali scenari incidentali. Menzionato nello standard OSHA 1910.119 e nello standard CEI UNI EN IEC 31010 Gestione del rischio - Tecniche di valutazione del rischio.^[2]
• Analisi dei modi e degli effetti dei guasti (o FMEA, dall'inglese Failure mode and effects analysis): valutazione dei possibili modi di guasto dei singoli componenti di un sistema e delle conseguenze che tali guasti provocano sul sistema.
• HAZOP: esercizio di gruppo, che si svolge attraverso la formulazione di alcune specifiche domande strutturate; è finalizzato all'individuazione di deviazioni dagli intenti di progetto che possono portare ad inconvenienti di sicurezza o di esercizio.

L'HAZOP è una delle tecniche più conosciute e largamente adottate, anche dagli Enti di Normazione Internazionali:

• European Process Safety Center, HAZOP,Guide to Best Practice (2008)
• European Process Safety Center, Hazard Identification Methods (2003)
• Kletz T. “HAZOP & HAZAN” (4th Edn), IChemE (2006)
• CCPS “Guidelines on Hazard Evaluation Procedures, 2nd Edn”
• IEC 61882 Ed. 1.0 b:2001: Hazard and operability studies (HAZOP studies) - Application guide
• OSHA 1910.119: standard per la gestione della sicurezza di processo di impianti nei quali si utilizzano sostanze molto pericolose. Cita l'HAZOP tra le tecniche raccomandate per l'individuazione dei pericoli.
• DEF STAN 58: standard pubblicato dal Ministero della Difesa britannico. Fornisce precise indicazioni sull'impiego dell'HAZOP nello studio di Sistemi Elettronici Programmabili (PES).
• Chemical Industries Association (1990): ente cui aderiscono società del settore chimico; ha pubblicato linee guida da seguire in studi HAZOP applicati all'industria di processo.
• American Institute for Chemical Engineers (1985): ha pubblicato un volume dedicato alla tecnica HAZOP, inserito in una collana monografica curata dal Centre for Chemical Process Safety.

Nella legislazione italiana, pur in mancanza di riferimenti obbligatori a tale tecnica, sono presenti cenni, specie per le parti riguardanti gli impianti complessi (Rischi Rilevanti, secondo quanto definito dalla Direttiva Europea 82/501/CE e successive modifiche).

L'HAZOP è basato su un lavoro di gruppo, svolto in sedute, mirato all'individuazione dei pericoli esistenti nella gestione di un determinato processo lavorativo. Tali pericoli sono identificati e indagati sulla base di deviazioni, siano esse accidentali o meno, di parametri chiave, caratteristici del processo in esame. Tale analisi è condotta attraverso una fase di definizione degli ambienti lavorativi e della comprensione dei processi lavorativi che in essi hanno luogo, in una successiva disamina di parametri, loro deviazioni e relative conseguenze, per procedere alla registrazione delle conclusioni su possibili pericoli e di raccomandazioni utili per la loro gestione. Caratteristici dell'HAZOP sono il modo di operare del gruppo di lavoro e le modalità di definizione del contenuto dello studio.

• Il team di HAZOP: ne fanno parte il leader (pone domande al team e ne coordina i lavori), il segretario (prende nota dei punti chiave della discussione) e rappresentanti di ciascuna delle principali discipline per l'impianto studiato, che sono:
  • processo
  • esercizio
  • sicurezza e manutenzione.

• L'impianto in esame: viene definito all'inizio dell'HAZOP, utilizzando normalmente planimetrie, schemi funzionali, schemi di marcia, schemi elettrici unifilari dell'impianto e individuando con chiarezza limiti di batteria ed interfacce con altri impianti.
• Il team al lavoro: attraverso l'uso di parole guida ("The basis of HAZOP is a guide word examination" - IEC 61882 2001), sono poste domande e ricercate risposte riguardo a deviazioni dagli intenti di progetto delle variabili di processo o modi di guasto dell'impianto.

La dinamica dell'HAZOP è caratterizzata da un alternarsi di domande e risposte tra leader e membri del team. Il leader definisce, in ciascun P&ID, una serie di punti singolari (nodi) e di sezioni delimitate da più nodi; per ogni sezione il team esamina le possibili deviazioni delle variabili dagli intenti di progetto. Il leader formula una serie di domande; attraverso una discussione di gruppo, i membri del team di HAZOP cercano di pervenire ad una risposta condivisa:

• le domande poste dal leader si basano sull'uso sistematico di parole guida
• le domande mirano a sollecitare la discussione del gruppo sui modi in cui il funzionamento dell'impianto o di una sua parte potrebbe discostarsi dagli intenti dei progettisti
• per ciascuna deviazione il team si interroga sulla possibilità che insorga una condizione di pericolo
• il segretario registra i punti salienti della discussione per ogni parola guida.

I limiti dell'impianto in esame devono essere definiti in dettaglio prima dell'inizio dell'HAZOP, con l'ausilio dei documenti che saranno successivamente impiegati per l'esecuzione dello studio. In particolare:

• Disegni e schemi tecnici dell'impianto, quali planimetrie, schemi di marcia, diagrammi funzionali, vengono normalmente utilizzati per circoscrivere l'area di studio.
• Ulteriori documenti di utile consultazione:
  • diagrammi di flusso
  • specifiche delle apparecchiature, disegni di dettaglio dei fornitori.
  • manuale operativo e procedure di emergenza.

L'uso di documenti incompleti o non aggiornati può compromettere in modo significativo qualità e risultati dello studio, pertanto è fondamentale lavorare su documentazione "as built", ossia in versione finale di costruzione e aggiornata per tener conto delle eventuali variazioni intervenute. Oltre che all'industria di processo, la tecnica dell'HAZOP è efficacemente applicata utilmente a svariate tipologie di sistemi, come indicato nella tabella:

Argomento di studio	Diagramma di riferimento	Tipo di parametro
Distribuzione energia elettrica	Diagrammi unifilari	Elettrico
Software critico per la sicurezza	Diagramma del flusso informativo	Dati
Componenti elettro-pneumatici	Circuiti elettrici e pneumatici	Elettromeccanico
Manuale operativo	Analisi "Gerarchia Compiti"	Azione umana

Per la buona riuscita dell'HAZOP è essenziale che la documentazione disponibile fornisca una descrizione esauriente del modo in cui il sistema è chiamato a funzionare.

Altrettanto importante è la disponibilità di informazioni affidabili sulle condizioni di funzionamento alle interfacce con altri impianti. Non di rado, infatti, disomogeneità esistenti ai punti di confine sono all'origine di situazioni di pericolo.

I documenti chiave dovrebbero essere resi disponibili almeno una settimana prima dell'inizio dell'HAZOP, onde permettere un'adeguata pianificazione dello studio. È importante che il leader dell'HAZOP ottenga i documenti con un congruo anticipo, affinché possa prendere confidenza con l'impianto e le modalità di rappresentazione del processo.

Prima dell'inizio dello studio il leader incontra i membri del team e li informa su come verrà condotto lo studio e sulle parole guida che saranno impiegate. Il programma proposto deve essere compatibile con la sede prescelta per lo svolgimento dello studio e le esigenze dei membri del gruppo di lavoro, tenendo conto dell'esigenza, da parte del team, di poter lavorare indisturbato in due sedute giornaliere, ciascuna della durata di circa 3 ore, verificando la disponibilità effettiva di tutti gli interessati.

La durata dello studio dipende anche dalle modalità di registrazione della discussione: un registro completo richiede che venga annotata ogni parola guida utilizzata, mentre è più rapido considerare solo quelle deviazioni che possono dare origine ad una condizione di pericolo

Devono essere previste pause in numero e di durata sufficiente per mantenere alto il livello di attenzione e concentrazione dei partecipanti. In particolare, prolungare la durata delle sedute di lavoro oltre le sei ore giornaliere risulta spesso controproducente: la concentrazione del gruppo di lavoro inevitabilmente cala e la qualità del lavoro ne risente.

Al termine di ogni giornata di lavoro, inoltre, leader e segretario devono dedicare tempo alla revisione e completamento delle note e prepararne copie da distribuire ad ogni membro del team il giorno successivo.

L'esperienza acquisita in precedenti studi permette di stimare la durata di un HAZOP sulla base del numero giornaliero medio di P&ID che è possibile esaminare.

È anche importante la scelta della sala riunioni e la sua ubicazione.

La sala riunioni deve essere spaziosa, il tavolo di lavoro deve essere di dimensioni sufficienti da permettere ad ogni partecipante di poter seguire lo studio, tenendo di fronte a sé copia della documentazione in discussione e di altri documenti di lavoro.

Il segretario deve avere spazio sufficiente per la sistemazione di un computer portatile, usato per la trascrizione delle note. È buona prassi fissare alle pareti della sala le planimetrie generali e gli schemi di flusso dei processi indagati, per rendere più immediata la comprensione del processo ed il controllo delle interfacce tra impianti o sezioni di impianto.

La scelta dei membri del gruppo di lavoro deve cadere su personale dell'azienda in possesso delle necessarie competenze tecniche e operative, che deve essere liberato da altri impegni di lavoro per l'intera durata dello studio.

Ad ogni membro del gruppo di lavoro sono assegnati incarichi specifici:

• Il leader ha il ruolo di presidente. È lui a formulare le domande e a stimolare la discussione e la partecipazione degli altri membri del team sugli argomenti di volta in volta trattati.
• Il segretario prende nota dei punti chiave della discussione, organizza le sedute di lavoro e prepara le versioni preliminari del documento di HAZOP, da far circolare quotidianamente tra tutti i partecipanti.
• I membri del gruppo rappresentano le principali discipline tecniche coinvolte.

Altri specialisti possono essere chiamati a partecipare per periodi limitati, ove necessario.

La composizione numerica del gruppo può variare tra 4 e 12 elementi: gruppi troppo numerosi rallentano il ritmo di lavoro e limitano la discussione, mentre in gruppi troppo piccoli è carente la visione globale dei problemi trattati.

Il ruolo principale del leader è di favorire la discussione e il confronto. Tale obiettivo è perseguito dal presidente:

• mantenendo il gruppo di HAZOP concentrato:
  • ribadendo che si tratta di individuare dei pericoli, non di riprogettare;
  • in carenza di informazioni, annotando e procedendo al punto successivo.
• tenendo conto delle diverse personalità dei membri del gruppo:
  • tollerando piccoli inconvenienti e mantenendo un'atmosfera positiva e serena;
  • tenendo a freno le persone più loquaci;
  • sollecitando l'opinione delle persone più riservate.
• mettendo a frutto la propria conoscenza ed esperienza per:
  • promuovere l'accuratezza;
  • raggiungere un punto d'intesa;
  • formulare le raccomandazioni appropriate ed efficaci.

Il segretario deve possedere adeguate conoscenze tecniche e partecipare attivamente alle sedute. Suoi compiti e caratteristiche sono:

• mantenere un livello di concentrazione tale da consentirgli di cogliere e annotare gli aspetti salienti degli argomenti in discussione;
• riassumere e trascrivere conclusioni e raccomandazioni formulate dal presidente;.
• offrire supporto al team, ad esempio nel sollecitare risposte a domande ancora aperte o richieste di chiarimenti;
• suggerire eventuali punti che fossero stati trascurati e partecipare alla discussione, ove necessario, senza alterarne il ritmo;
• evitare di interrompere la seduta per richiedere chiarimenti su aspetti di poco conto.

I membri del gruppo di lavoro provengono dalle imprese responsabili della progettazione e costruzione e dall'azienda da dipartimenti o unità coinvolte nell'esercizio e manutenzione dell'impianto in esame.

Ogni partecipante rappresenta un aspetto delle competenze tecniche, di prevenzione e organizzative necessarie, nel loro complesso, per la gestione dell'impianto in sicurezza. E con questo spirito che ogni membro dovrebbe partecipare allo studio, evitando di farsi prendere la mano da fisse personali o preconcetti. I membri del team devono mostrare (e meritarsi) rispetto reciproco. Quando attorno al tavolo siedono persone di diversa anzianità o livello di carriera, i colleghi più giovani devono sentirsi liberi di esprimere liberamente le loro idee. Eventuali aspetti di riservatezza o confidenzialità delle informazioni devono essere risolti prima dell'inizio dello studio; il lavoro non deve essere ostacolato, ad esempio, da pressioni di tipo legale, tese a negare la circostanza che un determinato scenario incidentale possa anche causare conseguenze molto gravi sulle persone. I membri del gruppo devono mantenere un atteggiamento aperto ed essere in grado di riconoscere e descrivere scenari incidentali credibili. Il gruppo di lavoro deve essere messo nelle condizioni di poter formulare raccomandazioni, senza il bisogno di ricorrere ad un'approvazione esterna.

Il presidente guida il gruppo nell'esame delle varie sezioni dell'impianto, seguendo normalmente il flusso del processo.

Ogni seduta si sofferma su una parte dell'impianto, delimitata dai nodi scelti preventivamente dal presidente. La seduta ha inizio con una breve descrizione del processo fornita preferibilmente dal progettista o dal capo impianto (a seconda dei casi), o se il tempo a disposizione è limitato e la sua esperienza glielo consente, dal presidente. Scopo principale dell'introduzione è di mettere tutti i membri del team in condizioni di comprendere il funzionamento della sezione di impianto in esame. Il tempo dedicato all'introduzione deve essere ragionevolmente breve (5-10 minuti sono generalmente sufficienti); si deve inoltre evitare di trasformare questa fase preliminare in una revisione della progettazione o in una discussione sterile sulle preferenze progettuali dei partecipanti.

Il presidente interroga i membri del gruppo di lavoro attraverso l'uso di parole chiave applicate a ciascuno dei parametri del processo. I parametri sono le principali caratteristiche misurabili del sistema, quali ad esempio: Portata, Pressione e Temperatura; essi vengono presi in esame sistematicamente per ogni sezione dell'impianto. Le parole chiave rappresentano le principali deviazioni, quali No, Basso, Alto; vengono interpretate in termini di eventi tipici che potrebbero essere all'origine di deviazioni rispetto agli intenti di progetto. Ad esempio, nella tabella sono riportate deviazioni caratteristiche per alcuni parametri insieme a possibili cause:

Parametro	Parola Chiave	Deviazione Tipica
Livello	Alto	Malfunzionamento del misuratore di livello
Flusso	No	Blocco (di una conduttura per otturazione)
Azione	Prima/Dopo	L'operatore non esegue correttamente una sequenza di montaggio di un componente
Contenimento	Parziale	Perdita
Tensione	Alta	Perdita di isolamento verso linea a tensione più alta
Utility	Parziale	Perdita dall'impianto di distribuzione emulsioni da taglio

Le domande poste dal presidente hanno lo scopo di stimolare la discussione riguardo a come possono verificarsi deviazioni dagli intenti di progetto e se esse portino a condizioni di pericolo. Inoltre il leader può formulare la domanda in modo esplicito o utilizzare una combinazione di parametri e parole guida: in ogni caso l'idea di fondo è di sincerarsi che vengano esplorate tutte le possibili deviazioni e non vengano trascurati potenziali pericoli. Per ogni deviazione, il team deve decidere se essa può accadere nella sezione d'impianto considerata e in caso affermativo definire se può dare origine ad una situazione di pericolo. Nei casi in cui una deviazione porti a condizioni di pericolo, il team considera se già esistono misure preventive o protettive e propone miglioramenti o modifiche che ritiene vantaggioso attuare.

Il segretario prende nota della discussione annotando ogni coppia di parametro e parola chiave oppure annotando solo le deviazioni che sono alla base di una situazione di pericolo e per le quali sono state proposte raccomandazioni migliorative.

La stretta applicazione di tutte le combinazioni di "parametro-parola chiave" può essere molto onerosa in termini di tempo. Spetta al presidente (leader) decidere un livello di dettaglio appropriato.

Normalmente, i parametri chiave sono variabili misurabili tipiche del processo, che devono essere adattate al sistema in esame.

Industria di Processo	Sistemi Elettrici	Sistemi Meccanici
Flusso	Tensione	Forza
Pressione
Temperatura
Livello
Composizione
Stato
Contaminazione
Corrosione
Corrente
Resistenza
Impedenza
Coppia
Velocità
Accelerazione
Massa

Il leader definisce e comunica al gruppo l'elenco dei parametri che saranno utilizzati durante lo svolgimento dello studio. I parametri prescelti sono rivisti e concordati prima dell'inizio delle sedute. Analogamente, la scelta delle parole chiave sarà legata ai parametri di processo da esaminare. Le parole chiave vengono applicate facendo riferimento alle normali condizioni di esercizio dell'impianto.

Parola chiave tipica	Parametro	Deviazione tipica
No	No corrente	Interruttore aperto inavvertitamente
Basso	Bassa Coppia	Frizione in slittamento
Alto	Alta pressione	Pressostato guasto
Inverso	Flusso inverso	Rottura di condotta a monte
Parziale	Livello parziale	Perdita di contenimento
Come (di stato)	nuova fase	Presenza di condensa
Diverso da	Composizione	Residui tossici su prodotto
Prima/Dopo	Azione di operatore	Errata sequenza di montaggio
Presto/Tardi	Sistema di controllo	Azionamento ritardato di sistema d'arresto

Vengono però anche considerate condizioni dì funzionamento anomale, quali fermata normale, avviamento, fermata d'emergenza, manutenzione. Oltre all'applicazione delle combinazioni di parametri/parole chiave prescelti, il team può anche considerare specifiche modalità di guasto.

Perdita di contenimento

• Perdita da tubazione dovuta a corrosione o impatto meccanico
• Perdita da flange e connessioni
• Perdita da valvole o da tenuta di pompe
• Cedimento di recipiente in pressione
• Perdite da stacchi di piccolo diametro, strumenti, e spurghi.

Guasti di servizi generali

• Aria e azoto
• Energia
• Acqua di raffreddamento, vapore
• Carburanti e combustibili

Fenomeni meteorologici

• Fulmini, vento, allagamento
• Terremoto

Altre parole chiave specifiche possono essere utilizzate per sollecitare la discussione su attività critiche per la gestione in sicurezza dell'impianto.

Collaudi

• Apparecchi e sistemi quali allarmi, blocchi e set-point dì valvole dì sicurezza
• Campionamento ed analisi di prodotti finiti o intermedi di lavorazione.

Manutenzione

• Accessibilità e possibilità di intercettazione
• Drenaggio e spurgo
• Raffreddamento o riscaldamento di apparecchiature
• Disponibilità di pezzi di ricambio.

Impianti elettrici

• Classificazione elettrica dell'impianto
• Isolamento e messa a terra.

Strumenti

• Idoneità/affidabilità/numero
• Ubicazione, modi di guasto ed effetti su sistemi a logica maggioritaria
• Allarmi, gerarchia e possibilità di risposta da parte degli operatori.

Protezione del personale

• Dispositivi di protezione individuale (DPI) tipici (scarpe di sicurezza, elmetto, occhiali, guanti, ecc.)
• Maschere antigas e autorespiratori (per potenziale esposizione a sostanze tossiche, ingresso in spazi confinati, ecc.)
• Permessi di lavoro e prescrizioni (vie di fuga, imbragature, ecc.)
• Strumenti di protezione (analizzatori di ossigeno, SO₂, CO, ecc.)

Protezione degli impianti

• Rilevatori di fumo e di fiamma
• Rilevatori di sostanze tossiche o infiammabili
• Sistemi antincendio (ad acqua, schiuma, ecc.)
• Protezione antincendio passiva
• Stoccaggio, trasferimento e utilizzo di sostanze chimiche
• Protezioni contro l'accesso indesiderato.

Pulizia

• ...

In molti casi la natura del processo comporta l'esposizione degli operatori e degli impianti ad una serie di rischi, che possono essere individuati e analizzati nel corso dello studio, come quelli riportati per esempio nella tabella seguente.

Fase di HAZOP	Azione del Leader	Esempio specifico	Input del gruppo di lavoro
Applicazione della combinazione parametro/parola chiave	Seleziona: Flusso-inverso	Come può avvenire il flusso (inverso) nella linea di alimentazione?	In caso di caduta di pressione a monte
Individuazione di una causa credibile per la deviazione	Esplora se e come la deviazione può accadere	Cosa può causare la caduta di pressione?	1) Rottura di linea a monte 2) Chiusura di valvola 3) Guasto di pompa
Esame delle conseguenze possibili	Verifica se la conseguenza è pericolosa	Ci potrebbe essere un pericolo in caso di perdita dalla linea	Dipende da entità e ubicazione della perdita, possibilità di innesco ed esposizione del personale
Discussione sulle protezioni esistenti manutenzione	Verifica se e come il pericolo viene controllato	Come è protetto il sistema rispetto a questa evenienza?	Standard di progettazione Regolari ispezioni Intervento della squadra di emergenza

Vi può essere più di una causa all'origine di una certa deviazione e ciascuna di esse va analizzata. Il fatto che il team riconosca o meno l'esistenza di una condizione di pericolo dipende dalla specifica situazione sotto esame. Ad esempio, il team potrebbe raccomandare l'installazione di una valvola di non ritorno per minimizzare l'eventualità di flusso inverso.

Ogni riga della tabella di HAZOP si conclude con uno o più dei seguenti quattro tipi di frasi:

• una nota (N): semplicemente per registrare come il sistema funziona o per descrivere misure di controllo esistenti considerate adeguate.
• una raccomandazione (R): nei casi in cui il team concorda sull'opportunità di proporre un intervento mirato al miglioramento della sicurezza e/o performance dell'impianto.
• una domanda (Q): quando le informazioni disponibili nel corso dell'HAZOP non sono sufficienti e occorre raccogliere ulteriori dati.
• una risposta (A): relativa ad una domanda posta. Ove la risposta individui l'esistenza di una condizione di pericolo, può seguire un'ulteriore raccomandazione.

Il documento di HAZOP è numerato in modo sequenziale per facilitare la stesura del successivo piano d'azione (ad esempio: N1, R2, Q3, A4). Le raccomandazioni proposte dal team di HAZOP mirano al miglioramento della sicurezza e/o performance dell'impianto attraverso la riduzione di frequenze o conseguenze di eventi sfavorevoli.

Le raccomandazioni possono riguardare molti aspetti tecnici o organizzativi:

• Apparecchiature e materiali più affidabili e resistenti
• Componenti o strumenti in stand-by
• Maggiore frequenza di test/controlli su apparecchiature, strumenti e sistemi di protezione
• Revisione di procedure operative o intensificazione dell'addestramento

Al termine dello studio è opportuno classificare le raccomandazioni in ordine di importanza, come supporto alla decisione riguardo ai tempi di attuazione.

• Kletz, Trevor, Hazop and Hazan, 4ª ed., Taylor & Francis, 2006, ISBN 978-0-85295-506-2.
• Tyler, Brian, Crawley, Frank & Preston, Malcolm, HAZOP: Guide to Best Practice, 2ª ed., IChemE, Rugby, 2008, ISBN 978-0-85295-525-3.
• IEC 61882 2001 Hazard and operability studies (HAZOP studies) — Application guide

• Piping & Instrumentation Diagram
• Rapporto di sicurezza
• Sicurezza sul lavoro
• Valutazione probabilistica del rischio
• FMEA
• What-if analysis

• Gould, J., (2000) Review of Hazard Identification Techniques, HSE (PDF), su hse.gov.uk. URL consultato il 23 giugno 2011 (archiviato dall'url originale il 29 settembre 2020).
• Summary of Hazop Explanation by the US Coastguard
• Hazard and Operability Studies Explanation by a software supplier