La risposta è ZERO! Perché? Perché l’ERRORE UMANO non esiste!
Introduzione
Buon lunedì,
quanto spesso sentiamo parlare di “errore umano”?
Molto spesso, credo.
O perlomeno molto spesso quando sui media si parla di incidenti.
In effetti l’errore umano è la più importante causa di incidenti aerei.
E’ anche la più grande causa di incidenti stradali.
E molto spesso nei casi di incidente industriale la responsabilità è di qualcuno che non ha eseguito le procedure di sicurezza come prescritto.
Giusto?
Sbagliato.
L’errore umano non esiste.
E’ una scusa per non focalizzarsi sull’ottimizzazione dei processi.
E’ una scusa che le assicurazioni tirano fuori per non pagare quanto dovuto.
E’ una scusa per non mettersi nei panni degli operatori e lavorare sulla cosiddetta UX – User Experience.
Il mito dell’errore umano
L’errore umano infatti è un mito.
Di pancia non ci sembra che sia così.
Per due motivi.
- Sappiamo che gli umani hanno dei difetti e quindi possono sbagliare;
- I media ci parlano costantemente di errore umano quindi diamo per scontato che esista.
Il punto è questo: noi sappiamo che gli esseri umani hanno difetti, sappiamo quali sono questi difetti eppure non disegniamo il nostro mondo tenendo conto di questi difetti.
Sappiamo che è pericolosissimo distrarsi alla guida, magari guardando il telefono, eppure le case automobilistiche invece di bloccare le connessioni all’interno dell’abitacolo creano iper-connettività e questo è per loro un selling point, ma ci rende sempre più distratti e fa incrementare gli incidenti.
Quindi quello che noi chiamiamo errore umano, in realtà è un errore di design, ovvero di progettazione dei nostri sistemi.
Three mile island
Quando si parla di incidenti in centrali nucleari tutti pensiamo a Chernobyl e a Fukushima.
Ma pochi conoscono un incidente avvenuto negli Stati Uniti ancora prima di Chernobyl, nel 1979, in Pennsylvania, per la precisione alla centrale di Three Mile Island.
La centrale di Three Mile Island è, o meglio era, visto che dopo 45 anni di lavoro ha interrotto la produzione nel 2019, una centrale con due reattori ad acqua pressurizzata.
Cos’è un reattore ad acqua pressurizzata?
Tutti sappiamo che l’acqua bolle a 100°C. Quello che non ci ricordiamo dalle lezioni di fisica del liceo è che se incrementiamo la pressione l’acqua rimane liquida anche a temperature superiori.
Questo impianto mantiene l’acqua del circuito primario, che passa direttamente nel reattore, a circa 2000 PSI di pressione, pari a circa 136 atmosfere. Ovvero 136 volte la pressione presente sulla superficie terrestre.
L’acqua nell’impianto raggiunge così oltre 300°C senza arrivare a bollire.
O almeno non dovrebbe.
28 marzo 1979. Il reattore numero 1 è spento per fare rifornimento di uranio dopo 5 anni di attività. Il reattore numero 2 è stato acceso per la prima volta a dicembre 1978. 3 mesi prima.
Nella notte del 28 marzo tutto procede regolarmente tranne un piccolo problema ai sistemi di depurazione della condensa. Questi depuratori hanno il compito di pulire l’acqua del circuito secondario dedicato alle preziosissime e delicate turbine che generano elettricità.
All’improvviso a causa di questa problematica, apparentemente piccola, e che comunque tutti conoscevano perché già capitata in precedenza nel reattore n° 1, tutti e 8 i sistemi di depurazione della condensa vanno in blocco.
Senza sistemi di depurazione della condensa l’acqua nel circuito secondario smette di scorrere attraverso gli scambiatori di calore, la turbina e il condensatore. Interrompendo così totalmente il flusso del circuito.
Nella sala di controllo inizia a suonare una sirena d’allarme perché la turbina si è fermata e diversi indicatori luminosi iniziano a lampeggiare.
Basterebbe bypassare i sistemi di depurazione e far ripartire le pompe del circuito secondario e tutto tornerebbe a funzionare nel giro di mezz’ora. Ma non viene fatto.
Pochi secondi dopo la pressione nel circuito primario, quello che passa dal reattore, inizia a crescere. Questo è normale perché non essendoci più acqua nel circuito secondario, l’acqua del primario non viene più raffreddata nello scambiatore di calore e quindi la temperatura, e con lei la pressione, aumenta.
Ma la centrale è disegnata prevedendo questa possibilità e quindi il sistema automatico di controllo della pressione entra in azione iniziando ad abbassare la pressione.
Ma è un sistema un po’ lento, disegnato per gestire piccoli incrementi di pressione, e quindi, 4 secondi dopo, i sensori indicano che la pressione sta continuando a salire e spengono il reattore nucleare interrompendo la famosa reazione a catena. Ma il reattore mantiene comunque calore residuo e impiegherà ore a raffreddarsi.
A questo punto tutto sembra sotto controllo nella sala operativa.
Fino a due minuti dopo.
Quando il sistema di emergenza di raffreddamento del nocciolo entra in funzione riversando 4000 litri d’acqua al minuto nel reattore.
Ed a questo punto che nessuno, nella sala di controllo, ci ha più capito niente. Perché il sistema di controllo della pressione indica che c’è acqua nel reattore ma il sistema di raffreddamento no.
E quindi decidono di spegnere il sistema di raffreddamento per evitare che la pressione salga troppo. E’ questa la loro paura più grande.
Alle 5.00, un’ora dopo l’inizio del problema, il pavimento della sala di controllo inizia a tremare. Le pompe del circuito primario stanno pompando vapore oltre all’acqua e questo le fa vibrare violentemente.
Per evitare che queste pompe si autodistruggano le spengono. A questo punto non c’è più nessun sistema di raffreddamento attivo.
Alle 6.00 il primo allarme radiazioni inizia a suonare. E questo significa che il nocciolo è danneggiato. E un danneggiamento può avvenire solo se il livello dell’acqua di raffreddamento è sceso al di sotto delle barre di uranio che lo compongono.
Alle 6.22 il team che sta cercando di tenere sotto controllo il sistema sta ripercorrendo uno per uno i passaggi del manuale di sicurezza che spiegano come comportarsi in casi come questo e notano che una valvola che sarebbe dovuta essere chiusa precedentemente era rimasta aperta.
La chiudono. Peggiorando però la situazione. Perché quella valvola era l’unica via d’uscita per il vapore. Adesso è intrappolato. E la temperatura continua a montare. Ci mette solo 8 minuti per far collassare la testa del nocciolo.
E’ a questo punto che l’allarme radiazioni principale scatta e fa capire al team che il problema è così grave che devono riaprire il sistema di raffreddamento di emergenza e riversare migliaia di litri d’acqua nel nocciolo. Ma lo lasciano aperto solo 18 minuti, tanta è la loro paura dell’incremento di pressione.
Lo riaccenderanno definitivamente solo alle 8.26 del mattino, 4 ore dopo l’inizio dell’incidente. E lo faranno solo come ultima spiaggia nel tentativo di provare qualcosa, qualsiasi cosa, che risolva il problema.
Il sistema, riversando 4000 litri d’acqua al minuto nel reattore, ci metterà 2 ore e 4 minuti per ricoprire nuovamente il nocciolo. Facendo, di fatto, terminare l’incidente di Three Mile Island.
Nessuna fuoriuscita di radiazioni sarà mai registrata dall’impianto e non ci saranno né morti né feriti ma il reattore risulterà inutilizzabile.
Chi ha sbagliato?
Da questa descrizione degli eventi sembrerebbe chiaro un elemento: se il team avesse seguito attentamente le procedure, avesse analizzato razionalmente la situazione e avesse agito con professionalità il problema sarebbe stato risolto sul nascere.
In due parole: errore umano.
Ma è davvero così?
Il problema è che fra i difetti che hanno gli umani ci sono
- l’hindsight bias: conoscendo un evento e il suo risultato finale tendiamo a esagerare la nostra probabilità di prevedere e agire in modo da evitare quel risultato finale;
- l’outcome bias: una volta che conosciamo il risultato finale ogni decisione presa dalle persone viene vista con la lente di quel risultato finale. Giudichiamo maggiormente quelle decisioni. E le giudichiamo più duramente.
Quindi cosa dovremmo fare per bypassare questi bias?
Dobbiamo osservare l’errore umano come una conseguenza delle vulnerabilità del sistema.
Come fare?
Dobbiamo approfondire le decisioni dal punto di vista delle persone che le hanno prese, non dal punto di vista delle persone che analizzano ex-post quanto accaduto col beneficio di sapere il risultato e tutti i fatti che sono occorsi.
Dobbiamo partire dal fatto che la situazione era caotica e tutto accadeva molto velocemente.
Prova a tornare indietro ai paragrafi che iniziano con “Nella notte del 28 marzo tutto procede regolarmente” e “E quindi decidono di spegnere il sistema di raffreddamento”.
Ci sei?
Vedi quante cose sono successe?
Ecco, tutto è avvenuto in 4 minuti.
Tra il “non c’è problema” a “che cazzo sta succedendo qui trema tutto” sono passati solo 240 secondi.
Poi dobbiamo osservare tutto dalla prospettiva delle buone intenzioni. Nessuno lì voleva creare un danno nucleare e distruggere un impianto da 500 milioni di $.
Quindi perché questa grande attenzione per la pressione che gli ha fatto spegnere il sistema di raffreddamento del nocciolo?
Beh, perché i responsabili dell’impianto quella sera venivano tutti dalla Marina Militare ed erano responsabili di reattori presenti sui sottomarini nucleari.
Quando un reattore nucleare di un sottomarino non viene raffreddato produce 12 Megawatt di energia. Se viene spento improvvisamente ha poca energia rimasta e si raffredda velocemente.
Il reattore di Three Mile Island produce 2.841 Megawatt. Quando viene spento ci mette moltissimo a dissipare l’energia.
Tradotto: se il reattore di un sottomarino nucleare rimane scoperto senza raffreddamento non ha problemi e si raffredda da solo. Un reattore di una centrale nucleare no, ha bisogno di essere raffreddato per evitare che distrugga tutto l’impianto.
Al contrario un “water hammer” (martello ad acqua. Quello che avviene quando la pressione ha uno sbalzo improvviso) non ha gravi conseguenze su una centrale nucleare che ha sistemi ridondanti e bypass vari ma può affondare un sottomarino distruggendo il suo sistema idraulico.
Di fronte alla problematica improvvisa la formazione di anni e anni in Marina ha avuto il sopravvento e li ha fatti comportare di conseguenza.
Inoltre come mai non si sono accorti dei numerosi allarmi che ricevevano?
Semplice, gli allarmi venivano ricevuti dalla sala di controllo in due modi: tramite un pannello con circa 600 luci, una per ogni possibile allarme che possa accadere in una centrale nucleare e tramite una telescrivente che stampa su un foglio di carta la lista degli allarmi che riceve.
Il problema?
C’erano così tanti allarmi contemporaneamente che sarebbe stato impossibile controllare tutte le luci accese una per una, soprattutto tenendo conto che in una normale giornata operativa circa 50/60 di queste luci si accendevano e spegnevano e senza contare che non avevano alcun ordine di importanza.
E c’erano così tanti allarmi che la telescrivente, dopo un’ora dall’inizio della problematica, avrebbe dovuto impiegare altre due ore e mezza per stampare tutta la sequenza di allarmi.
Impossibile tenerli controllati.
La colpa quindi di chi è?
Loro o della mancata formazione ricevuta?
Loro o del sistema di allarmi di fatto inutilizzabile?
E in hotel?
Anche in hotel capitano problematiche, incidenti e disservizi.
Non gravi come un incidente nucleare, certo.
Ma anche noi possiamo imparare da quanto accaduto a Three Mile Island.
Due fattori in particolare:
- Capire che chi fornisce il nostro servizio sono i membri del nostro team e quindi progettare i servizi pensando non solo all’esperienza dell’”utente ospite” ma anche all’esperienza dell’”utente team” è fondamentale per erogare i servizi al meglio
- In caso di “incidente” invece di chiederci CHI ne è responsabile chiediamoci COSA ne è responsabile, capiamo cosa ha portato il membro del nostro team a commettere l’errore, analizziamolo e rimuoviamo la problematica in modo che si manifesti con altri.
Tutti diciamo che si impara dagli errori allora mettiamo a sistema un modo perché TUTTI imparino dagli errori degli altri e perché tutti condividano i propri errori senza colpe o umiliazioni.
