Pubblicato in: cultura della sicurezza, incidenti, miti della sicurezza

Affidabile ma non sicuro

AereodicartaIl tragico incidente aereo del Boeing 737 Max 8 della Ethiopian Airlines mette in discussione l’affidabilità del sistema e la sicurezza dei voli aerei.

Le cause dell’incidente non sono ancora note, ma trovo molto interessante discussione che ne è emersa perché, a mio avviso, si continua a ragionare secondo un paradigma che andrebbe superato.

Partiamo dalla distinzione tra «affidabilità» e «sicurezza».
Già, perché, nonostante in continuazione (anche su questo incidente) si tenda a considerare sicuri i sistemi affidabili, questo assioma non è vero.

Un sistema può essere affidabile ma non sicuro o sicuro ma non affidabile.

In generale, l’uno non implica l’altro.

È un argomento che ho anche accennato nel mio libro, ma qui vorrei meglio esplicitare alcuni concetti.

L’aereo precipitato era dotato di un sensore chiamato “Angle of attack” (“Angolo di attacco”, cioè l’angolo tra l’ala e la direzione relativa del vento) che invia ad un software input che permettono al sistema di correggere automaticamente il profilo del volo.

Se, semplicemente per ipotesi, venisse confermata la tesi secondo la quale il software avesse interpretato le indicazioni del sensore come una condizione di stallo (per un possibile errore nella scrittura del software), laddove il sensore non fosse stato guasto, il sistema avrebbe fatto proprio ciò per cui era stato progettato.
Se, per errore, dici ad un software di fare una certa cosa e quello poi la fa, non puoi prendertela con il software. Anche se quello che fa è indesiderato.
In poche parole, il sistema era affidabile, ma non sicuro.

Prendi adesso Chesley “Sully” Sullenberger, il celeberrimo pilota del Volo 1549 che salvò la vita dei passeggeri e dell’equipaggio facendo ammarare il suo aereo sul fiume Hudson a causa della perdita di un motore avvenuta, dubito dopo il decollo, a seguito dello scontro con uno stormo di oche.
Lì per lì, la commissione che indagava sull’accaduto voleva fargli il culo perché le procedure prevedevano che dovesse tornare all’aeroporto e non prendere la decisione, più rischiosa, di atterrare sull’acqua.
Solo dopo si dimostrò che, se avesse seguito le procedure, l’aereo sarebbe precipitato prima del rientro e che “affiumare” fu la decisione corretta.
Il comportamento del pilota fu, dunque, sicuro ma inaffidabile (non avendo seguito le procedure).

La questione non è solo che «sicurezza» e «affidabilità» sono due cose diverse, ma anche che agiscono a livelli diversi.

L’affidabilità è una proprietà del componente. Una valvola è affidabile e la sua affidabilità, intesa come il tempo medio che intercorre prima del fallimento, può essere testata in condizioni standard.

Nei sistemi complessi, invece, la sicurezza è una proprietà emergente del sistema (cioè qualcosa che non deriva dalle proprietà note dei componenti del sistema). Il singolo componente può anche non essere affidabile e, perfino, non sicuro, ma il comportamento complessivo del sistema può essere sicuro (è il caso dei sistemi fail safe progettato in modo che un malfunzionamento termini sempre in uno stato sicuro).

Nei sistemi complessi l’incidente non è generato solo da malfunzionamenti dei singoli componenti: tutto potrebbe funzionare correttamente, ma le interazioni tra i componenti potrebbero generare un incidente.

L’analisi degli incidenti si è sempre concentrata sui malfunzionamenti (sulle cause), ma le interazioni divengono sempre più rilevanti man mano che i sistemi si fanno complessi.
Più il sistema è complesso, più il malfunzionamento di un componente pressoché irrilevante potrebbe avere effetti catastrofici nella sua interazione con altre componenti.

E non è semplice prevedere tutti i possibili modi di interazione tra le componenti (es. Albero dei guasti) e gli effetti di tali interazioni perché ciò che può essere previsto, può essere progettato e la complessità non può essere progettata.
Ciò implicherebbe la sua concentrazione nella testa del progettista e, in questo caso, il sistema non sarebbe complesso ma semplicemente complicato.

Quando parlo di interazioni tra componenti, non mi riferisco solo a quelle tecnologiche. Il tutto è inserito all’interno di un sistema socio-tecnico più complesso del sistema aereo, che vede coinvolte:

  • Vincoli economici: scelte derivanti dagli obiettivi di profitto delle compagnie aeree che devono risparmiare carburante e uno dei vantaggi del Boeing 737 Max 8 era proprio quello;
  • Prestazioni umane: ogni modifica richiede l’aggiornamento della formazione del personale che con la modifica dovrà convivere (es. i piloti che devono sapere come bypassare il sistema di correzione automatica del profilo di volo). Ma questo significa aggiungere o modificare procedure consolidate, essere certi che le modifiche siano state recepite;
  • Requisiti di progettazione: difficilmente chi progetta un aereo sa scrivere un software e pilotare il velivolo. Così l’uno dà le specifiche all’altro. E il problema è spesso la completezza delle specifiche, non la correttezza del software;
  • componenti politiche: modifiche alle regole che gestiscono l’aviazione civile e che comportano continui aggiustamenti organizzativi e tecnologici che devono convivere con le esigenze di sicurezza, del mercato.

In tutto questo l’aereo deve anche volare.

Nei sistemi complessi, gli incidenti non possono essere descritti con una “catena di eventi”, ma sono generati dalle interazioni tra tutte le componenti socio-tecniche e dalla loro naturale tendenza a spostarsi verso stati di rischio più elevato per esplorare nuovi modi per ottimizzare le proprie prestazioni.

Il paradigma che cerca la spiegazione degli incidenti nelle cause deve essere superato e, con esso, i suoi proclami, come per esempio: «L’80% degli incidenti è causato dal fattore umano».

Bisogna andare oltre le cause e guardare ai meccanismi, smettendo di limitarsi ad osservare gli errori operativi o umani per concentrarsi, piuttosto, sui cambiamenti e le migrazioni del sistema verso stati di rischio maggiore.


V.I.P.S. (Very Important Post Scriptum)
È la prima volta che leggi questo blog?
Allora è probabile che ci ritornerai. Senti a me: ti conviene ricevere delle notifiche quando scriverò nuovi post.
Guarda in alto a destra, c’è la mia foto. Indipendentemente dal tuo sesso, resisti alla tentazione carnale e  guarda sotto, dove dice «Segui ottantunozerotto.it».
Se invece non era la prima volta che leggevi questo blog, allora lo vedi che c’avevo ragione? Fai come ti dico, senti a me…

 

 

Annunci
Pubblicato in: incidenti

Natale sta arrivando

christmas-is-coming

Non ci sono soluzioni.

Puoi solo ridurre i danni.

Per esempio, occhio alle lucine natalizie.

Il 6 dicembre (il giorno di San Nicola… alias Santa Claus… aka BABBO NATALE… L’ennesima prova che non puoi fidarti di nessuno) la Commissione europea ha reso pubblici i risultati dei test effettuati sulle luci di Natale ed è risultato che il 20% di quelle testate non sono a norma.

Ne avevo già parlato qui 9 anni fa, ma nel frattempo la situazione non è migliorata di tanto.

20%.

Quali difetti siano stati riscontrati, non è dato sapere, poiché  i dettagli dello studio non sono ancora stati pubblicati, ma guardando quello di 9 anni fa, se tanto mi dà tanto, parliamo di rischio elettrico e rischio incendio.

Proviamo allora a dare qualche consiglio pratico per non peggiorare la situazione che già basta il Natale…

  1. Diamo per scontato che prendiate solo roba col marchio CE.
    O le acquistate sotto casa oppure online, non cambia nulla. Perché tanto anche quelle testate dalla Commissione europea avevano il marchio CE.
    Quindi, magari, acquistate quelle che, oltre al marchio CE, siano certificate anche da un istituto indipendente tipo TÜV o abbiano un marchio di qualità come, ad esempio, IMQ.
  2. Verificate il grado di protezione IP.
    Se siete tra quelli che fanno l’albero di Natale anche in giardino e sul tettuccio dell’auto, allora sulla confezione dovete guardare i simboli della tabella qui sotto.Schermata 2018-12-20 alle 18.28.37.pngQuelle per “uso esterno” devono essere almeno IP44 e devono avere la spina shuko.
  3. Se sulla confezione ci fosse riportato questo simbolo qua:
    Casaindovinate un po? Le luci sono solo per uso interno.
    Se, invece del simbolo, c’è proprio scritto “uso interno”, non potete usarle all’esterno.
    So che sembra la stessa cosa ed infatti lo è. E quando sono per uso interno, allora non sono per uso esterno. Mai.
  4. Se avete un bambino di 2 anni come me e gli avete regalato per Natale gli attrezzi isolati e un coupon per un corso PES/PAV, è probabile che lui voglia cimentarsi coi lavori elettrici sotto tensione. Mi sembra pure giusto… Sennò quando imparano ‘sti ragazzi. Se non siete sicuri della qualità del corso che ha frequentato, potete  allestire il vostro albero con lucine LED alimentate a bassissima tensione (roba da 12-24V). Le riconoscete da questo simbolo qui sulla confezione:
    SELVSe invece pensate che il corso sia stato fatto bene, allora potete mettere quelle standard, alimentate a 230V. In questo caso il rischio elettrico aumenta, ma per limitarlo ai soli contatti diretti, dobbiamo acquistare delle luci a doppio isolamento, cioè con questo simbolo qui:
    Doppio_isolamentoRipensandoci, queste due regolette non valgono solo per il bambino di 2 anni, che sa cavarsela da solo.
  5. Se volete comprare quelle lucette ad intermittenza che non solo intermittano, ma cambiano il modo e la velocità di intermittare con un pulsante, allora dovete guardare bene la scatoletta dove in genere è posizionato il pulsante (cioè il controller). Premetelo con i pollici, come farebbe una massaggiatrice thailandese mentre vi tortura. Se sentite che cede, lasciate perdere… Materiale scadente.
  6. Staccate sempre la spina prima di uscire di casa o di andare a letto.

Se non sono riuscito a farvi passare la voglia di festeggiare, BUON NATALE 🙂


V.I.P.S. (Very Important Post Scriptum)
È la prima volta che leggi questo blog?
Allora è probabile che ci ritornerai. Senti a me: ti conviene ricevere delle notifiche quando scriverò nuovi post.
Guarda in alto a destra, c’è la mia foto. Indipendentemente dal tuo sesso, resisti alla tentazione carnale e  guarda sotto, dove dice «Segui ottantunozerotto.it».
Se invece non era la prima volta che leggevi questo blog, allora lo vedi che c’avevo ragione? Fai come ti dico, senti a me…

Pubblicato in: Altro, incidenti

INAIL: azione di regresso o estorsione?

estorsioneLo sanno anche i sassi: in caso di infortunio sul lavoro, l’INAIL indennizza il lavoratore infortunato, ma può successivamente rivalersi sul datore di lavoro, richiedendo indietro la somma versata.

Quelle che a molti non sono note, sono le circostanze che rendono possibile l’azione di regresso (si chiama così) e, spesso, chi solleva la questione si pone due domande (in genere precedute da bestemmie e improperi):

  1. com’è possibile che l’INAIL possa chiedere al datore di lavoro indietro i soldi senza che sia stata accertata alcuna responsabilità in sede penale?
  2. che senso ha pagare l’assicurazione dell’INAIL se poi bisogna restituire i soldi che lei versa all’infortunato?

Per rispondere alla prima domanda, occorre comprendere il senso dell’art. 61, comma 1 del D.Lgs. n. 81/2008:

In caso di esercizio dell’azione penale per i delitti di omicidio colposo o di lesioni personali colpose, se il fatto è commesso con violazione delle norme per la prevenzione degli infortuni sul lavoro o relative all’igiene del lavoro o che abbia determinato una malattia professionale, il pubblico ministero ne dà immediata notizia all’INAIL ed all’IPSEMA, in relazione alle rispettive competenze, ai fini dell’eventuale costituzione di parte civile e dell’azione di regresso

La norma non dice che, per esercitare l’azione di regresso, l’INAIL debba attendere la sentenza penale di condanna. No. È sufficiente l’esercizio dell’azione penale, ovvero, nella maggioranza dei casi, che sia avvenuto un evento riconducibile alla commissione di un reato perseguibile d’ufficio (omicidio colposo o lesioni personali colpose gravi o gravissime).

Quando il P.M. riceve la notizia di reato, ne darà comunicazione all’INAIL che potrà esercitare l’azione di regresso. Se non è la magistratura a muoversi, perché per esempio il superamento dei giorni di prognosi necessari per configurare il reato di lesioni personali colpose gravi avviene a tranche, è l’INAIL stessa che dovrà comunicare al P.M. il superamento dei 40 giorni di prognosi definitiva perché si proceda all’esercizio dell’azione giudiziaria.

In questi casi, laddove l’INAIL decida di esercitare l’azione di regresso, il giudice competente sarà il Giudice civile che dovrà accertare il reato e decidere se c’è una responsabilità del datore di lavoro e se, dunque, questi debba restituire o meno i soldi all’Istituto.
Nel processo civile, il datore di lavoro dovrà provare che l’infortunio o la malattia non siano dipesi da sue responsabilità e che egli aveva adempiuto ai propri obblighi, altrimenti dovrà ridare indietro all’INAIL i soldi che questo avrà versati all’assicurato.

E qui veniamo alla seconda domanda: ma quindi che pago a fare l’INAIL se poi le devo dare indietro i soldi?

L’esistenza stessa dell’INAIL è applicazione dell’art. 38 della Costituzione che, tra le altre cose, dice:

I lavoratori hanno diritto che siano preveduti ed assicurati mezzi adeguati alle loro esigenze di vita in caso di infortunio, malattia, invalidità e vecchiaia, disoccupazione involontaria.
(omissis)
Ai compiti previsti in questo articolo provvedono organi ed istituti predisposti o integrati dallo Stato.

Lo scopo dell’INAIL è quello di risarcire i lavoratori o assisterli in caso di infortunio o malattia. L’INAIL, perciò, paga sempre* il lavoratore ed esonera il datore di lavoro dalla responsabilità civile.
Ma, laddove venga riconosciuta la commissione di un illecito penale, l’esonero dalla responsabilità civile viene meno e  darà seguito ad un’azione risarcitoria nei confronti del responsabile, fermo restando il principio che (art. 41 della Costituzione) l’iniziativa privata economica è libera ma essa non può arrecare danno alla sicurezza e, dunque, è primario il dovere del datore di lavoro di garantire la sicurezza del lavoratore.

Un’ultima annotazione: non siamo soli. Regno Unito, Francia e Germania hanno anche loro il diritto di rivalsa

 

*Sempre… Sempre che sia riconosciuto l’infortunio o la malattia professionale

Pubblicato in: cultura della sicurezza, incidenti, Normativa

La situazione è grave ma non seria

keep Calm154 morti sul lavoro da inizio anno e oggi è il decennale dell’approvazione del D.Lgs. 9 aprile 2008, n. 81 (da qui potete scaricarvi il testo della norma in formato ePub).

Parlo a te, legislatore, componente della Conferenza Stato-Regioni, membro di qualche Commissione consultiva permanente: mantieni la calma.

Respira… Così, bravo… No, non agitarti… Buono, stai calmo…Non digrignare i denti.

Soprattutto non toccare niente! Non sei obbligato a scrivere una nuova legge, accordo o altro. Per carità, hai già fatto abbastanza.

Stai tranquillo, non c’è nessuna emergenza infortuni in corso. Non sta succedendo nulla che la statistica non possa spiegare, nulla che non sia l’effetto a lungo termine dell’aver creato l’illusione che il semplice rispetto delle regole fosse condizione sufficiente per combattere le morti sul lavoro.

Anzi, guarda… Senza nessuna necessità di inventarsi ulteriori e strane fattispecie di delitti come l’omicidio sul lavoro, se vogliamo chiamare le cose col loro nome, chiameremo questa tipologia di morte «lavoricidio».

Dicevo dell’illusione di combattere il lavoricidio con le norme. Ecco, questo è il risultato delle norme in 40 anni (direi un tempo statisticamente significativo!):

 

Schermata 2018-04-09 alle 10.12.12

Dal 1994, data di entrata in vigore del D.Lgs. n. 626/94, la riduzione che pur c’è stata non ha fatto nient’altro che proseguire la tendenza precedente già in corso.

Questo è quello che succede quando si vuole sopperire con le norme e le sanzioni alla carenza di cultura, invece di rassegnarsi al fatto che la cultura precede ed è il fondamento delle norme.

E se non si investe in cultura, puoi fare le norme più fighe del mondo, ma le persone non ne comprenderanno mai il senso. E tu non solo hai continuato a scrivere norme che non sai manco scrivere, ma per di più non hai investito in cultura in questi anni.

Non c’è da stupirsi del fatto che la metà degli italiani abbia un’intelligenza inferiore alla media.

Molti di quelli che hanno letto la precedente affermazione, concorderanno con me.
Una buona parte di loro riterrà di ritrovarsi nell’altra metà.
Ma solo una minima parte si sarà resa conto che ho affermato un’ovvietà statistica.

Ecco, questa è un po’ la conferma di quello che dicevo prima. Quanto è difficile far capire il concetto di sicurezza a chi non ha la cultura del rischio necessaria per riconoscere un’affermazione lapalissiana come questa?

Che c’entra il rischio? Il rischio è probabilità, incertezza, comprensione delle correlazioni e delle causalità, dell’andamento degli eventi.
La comprensione del significato di questi elementi è indispensabile a tutti per poter prendere decisioni consapevoli e, per quanto possibile, «sicure».

Le persone non sono stupide, semplicemente spesso fanno scelte sbagliate e confondono il rischio e la sua valutazione con la certezza, basandosi su considerazioni fallaci o incomplete.

Ma per essere più sicuri, non bastano le norme, non basta la formazione. Ci vuole cultura.

 

Pubblicato in: cultura della sicurezza, incidenti, valutazione dei rischi

L’elefante nella stanza

maxresdefaultIeri sono state pubblicate alcune indiscrezioni giornalistiche relative alla parziale conclusione delle indagini preliminari sull’incidente accaduto alla Lamina il 16 gennaio scorso, nel quale sono deceduti 4 lavoratori.

Non entrerò nel merito dell’esito (presunto) dell’inchiesta e di quella che sembra essere la (presunta) dinamica dell’incidente. Le indagini non sono concluse (manca un ultimo accesso peritale), ma intendo soffermarmi su una frase del giornalista:

«Nessuno poteva sospettare che la valvola fosse aperta: in caso contrario, non sarebbe stato silenziato l’allarme, come invece successo».

Ci sono due elementi che devono essere evidenziati in questa frase e che sono la rappresentazione della fallacia logica che affligge un po’ tutti noi (sicuramente il giornalista ne è vittima) e che, al di là del caso in questione, è effettivamente all’origine di errate valutazioni.

N.B.: uso la frase citata come spunto. Non intendo minimamente avallare o smentire la ricostruzione data nell’articolo. 

La prima è la seguente.

Non vedere alcun elefante in una stanza viene considerata da chiunque una buona prova dell’assenza di elefanti nella stanza. Ma, al contrario, difficilmente qualcuno considererebbe il non riuscire a vedere una pulce su un elefante la prova di assenza di pulci sull’elefante e non ci sarebbe niente di strano se pretendessi delle indagini supplementari a sostegno della tesi che l’elefante non ha le pulci. Nel dubbio, chiunque metterebbe un collare antipulci all’elefante se ha intenzione di tenerselo in casa.

Nel suo «Il mondo infestato dai demoni» (consiglio a tutti la lettura del libro), lo scienziato e divulgatore Carl Sagan nel rappresentare le fallacie logiche più comuni che inficiano la valutazione della veridicità di un’affermazione, riassume benissimo il concetto nella seguente frase:

«L’assenza di prove non è prova di un’assenza»

Non so come si sia potuti arrivare alla conclusione citata dal giornalista. Tuttavia è un dato di fatto che fin quando ci sembrerà normale «non sospettare che le valvole siano aperte», invece di «dubitare che le valvole siano chiuse», avremo un problema. Serio.

Ci sono due elementi da tenere presente per non cadere in queste fallacie logiche:

  1. L’aspettativa. L’aspettativa gioca un ruolo fondamentale, in questo caso. La verità è che io non mi aspetto di trovare un elefante nella stanza e mi accontento di una verifica sommaria il cui esito sarà inficiato dal bias di conferma. Quale che sia la nostra aspettativa, noi siamo chiamati a fare previsioni ovvero ipotesi e queste devono essere innanzitutto di tipo on/off, I/O, Sì/No. L’aspettativa lasciamola ai giornalisti.
  2. La probabilità. Superando l’aspettativa di trovare un elefante nella stanza, difficilmente considererò probabile la sua presenza. Andrebbe tutto bene se la stanza non fosse una cristalleria. In questo caso, le decisioni devono essere prese basandoci sull’entità dei danni. Se questi sono inaccettabili (e la nostra capacità di fare una loro stima è senz’altro più accurata di quella relativa alla probabilità che si verifichi l’evento), dobbiamo rassegnarci all’ipotesi ragionevolmente più conservativa. Il livello di confidenza di una previsione indica la probabilità di azzeccarci. Maggiore è il livello di confidenza (es. 99%) minore è la probabilità che la previsione sia errata (1%). Quanti di voi salirebbero su un aereo sicuro con un livello di confidenza del 99%?

Abbiamo mezzi sufficienti per raccogliere prove e conoscenze sufficienti per interpretare le prove o la mancanza di prove. Basta non dare maggiore credibilità a quelle che confermano le proprie convinzioni o ipotesi e non trattare il mondo reale come un casinò.

La seconda questione che vorrei confutare è l’affermazione lapidaria che «Nessuno poteva sospettare che la valvola fosse aperta». No, no e poi no. «Nessuno» non si può sentire.

Pubblicato in: cultura della sicurezza, incidenti, miti della sicurezza

4° mito: per fare un cane ci vuole un fiore…

cane-fiore… e posso dimostrarlo con la catena di eventi.

Mettiamo le cose in chiaro: lo studio degli incidenti accaduti è un formidabile strumento di conoscenza. Ci aiuta a comprendere meglio i modi di fallimento di un sistema e, potenzialmente, di migliorare le sue prestazioni future.

È per questo che strumenti come la banca dati Infor.Mo. dell’INAIL sono pura ricchezza, soldi ben spesi, investimenti corretti (so quello che state pensando: «Adesso arriva il “Ma…”». Sono prevedibile quanto un infortunio annunciato).

MA la comprensione dell’incidente è enormemente influenzata da come lo studi.

Per dire, il modello di analisi degli infortuni usato nella banca dati Infor.Mo. (anche nota come “sbagliando si impara”), rientra nella categoria dei «modelli sistemici multifattoriali e multiassiali ad albero delle cause».

A questo punto voi starete pensando: «Ma dai! Non è possibile. Mica si può essere così ingenui». Eh, lo so… Sono d’accordo con voi e comprendo la vostra delusione. Non ci si può mai fidare. Le coltellate arrivano da chi meno te le aspetti.

Spiego a beneficio di mio cugino di 5 anni che segue sempre questo blog ma ha alcune lacune in materia che, in sintesi, un modello sistemico multicoso ecc. non è altro che l’evoluzione del cosiddetto «Modello Domino» che Heinrich propose negli anni ’30 per spiegare:

  1. Come succedono gli incidenti;
  2. Come prevenire gli incidenti.

Questo di Heinrich, gli va dato atto, può essere considerato il primo tentativo di spiegare gli incidenti come qualcosa di più che semplice volontà divina. Il problema è che l’abbiamo preso troppo sul serio, talmente sul serio che alcuni aspetti di questa teoria sono diventati veri e propri atti di fede e non vengono più messi in discussione.

Il Modello Domino considera l’incidente come l’esito di una sequenza di fattori ed è rappresentato da tessere di domino che cadono una sull’altra. La prima a cadere è la causa radice dell’incidente.

Siccome gli incidenti sono un tantinello più complessi che non semplici dinamiche lineari, il modello di Infor.Mo. è come se considerasse più linee di tessere di domino, parallele, ciascuna con un proprio significato, che poi convergono su una dorsale principale. Comunque la si veda, è sempre un modello causale.

Cioè le tessere a valle cadono perché a monte qualcuno o qualcosa ne ha fatta cadere una o più. Il percorso a ritroso delle tessere cadute, fino ad arrivare alla prima (o alle prime) è la «catena di eventi» (Dio la fulmini!).

Tutto nasce dal seguente teorema. Poiché:

  1. ogni causa ha un effetto,
  2. non esistono effetti senza cause,

allora:

  1. rintracciando le cause a monte della catena di eventi e rimuovendole, impediremo che l’incidente si ripeta.

È tutto molto bello.

Se non fosse che nel mondo reale ragionare dagli effetti verso le cause (percorso a ritroso), non è la stessa cosa che ragionare dalle cause verso gli effetti (percorso in avanti). Perché:

  1. in effetti noi non “vediamo” nessuna catena degli eventi. Non c’è realmente una fila di tessere di domino evidentemente cadute che scorgiamo con chiarezza e di cui risaliamo il tragitto come fosse il corso di un fiume. Noi vediamo solo l’incidente, la fila di tessere di domino cadute la dobbiamo ricostruire operando scelte, facendo ipotesi, raccogliendo prove;
  2. un effetto può essere determinato da molteplici cause, ma alcune di queste cause potrebbero non essere percettibili come tali, venendo così, dunque, scartate dallo studio;
  3. una volta che si sia ricostruito il percorso a ritroso e siano state individuate le tessere di domino a monte (i «determinanti», secondo il modello di Infor.Mo.) che hanno prodotto la caduta di quelle a valle, il gioco è finito. Non c’è più spazio per spiegazioni alternative, specie dove la spiegazione appare convincente.

Il rischio qual è? Che le spiegazioni terminino con causali che, in realtà, potrebbero essere semplici fallacie causali.

La prima è proprio quella di ricostruire percorsi a ritroso che spesso si basano sul ragionamento che se l’evento Y si è manifestato dopo l’evento X, allora X ha causato Y:

a mio figlio è stato somministrato il vaccino trivalente, per questo è diventato autistico.

Oppure, ritenere che un evento sia causa di un altro mentre, invece, entrambi sono effetto di una causa comune:

Siccome non hai una postura corretta al VDT, è normale che ti venga il mal di schiena

senza considerare, tuttavia, che entrambi sono sintomi legati all’uso di una sedia non conforme.

Potrei continuare per ore…

Fin qui è facile. Se non sei ingenuo e stai un po’ attento, le eviti certe fallacie logiche. Il problema sorge quando c’è una causa che prepotentemente emerge con frequenza da tutte queste indagini e che accomuna la maggioranza di esse. Su questa finirà inevitabilmente per concentrarsi l’attenzione per evitare che simili eventi possano verificarsi.

Non è rilevante che sia davvero una causa, l’importante è che sia sempre rinvenibile nel procedimento di ricerca a ritroso delle cause di fenomeni dello stesso tipo, come ad esempio: la presenza degli immigrati e la criminalità, le rondini e la primavera, la disoccupazione e l’Europa…

In questi casi, volente o nolente, alla fine quella causa te la ritrovi sempre lì, come minimo comun denominatore a cui sarà sempre possibile risalire.

Fate questo esperimento. Entrate nella banca dati Infor.Mo. e guardate nei singoli incidenti le voci “attività dell’infortunato”. Troverete quasi sempre questi:

  • Uso errato dell’attrezzatura
  • Altro errore di procedura

Non c’è un solo incidente in cui anche l’attività dell’infortunato (proprio lui) non sia stata un determinante.

Non vi pare strano? La chiameremo fallacia di ipersemplificazione causale che tende a ricondurre tutto sempre alla stessa causa radice, altrimenti detta «Fallacia del tavolo e del fiore»:

Per fare un tavolo ci vuole il legno, per fare il legno ci vuole l’albero, per fare l’albero ci vuole il seme, per fare il seme ci vuole il frutto, per fare il frutto ci vuole il fiore, per fare tutto ci vuole un fiore.

Anche un cane.

C.V.D.

Pubblicato in: cultura della sicurezza, incidenti

Se pensate che la sicurezza sia un costo, provate con un incidente!

Quanto costa un infortunio sul lavoro?

Farsi un’idea degli ordini di grandezza dei fenomeni è utile per costruirsi una rappresentazione corretta del mondo in cui viviamo.

È un concetto che Enrico Fermi aveva ben chiaro, tanto da essere ricordato, tra le altre cose, per la sua capacità di fare stime sufficientemente precise dell’entità di fenomeni complessi, partendo da pochi elementi certi o ragionevoli. Per dire, Fermi, in occasione del primo test della bomba atomica, riuscì a stimare la potenza dell’esplosione, facendo cadere dei pezzettini di carta al passaggio dell’onda d’urto (qui trovate la disamina originale).

Io mi sono dedicato ad una stima più semplice, quella del costo medio degli infortuni in Italia, partendo da alcuni dati. Nessuna velleità di voler rappresentare con precisione il fenomeno, semplicemente volevo farmi un’idea più compiuta.

Disclaimer: seguono numeri. Lo giuro, ho usato la sola aritmetica, ma se soffrite alla sola idea di vedere un simbolo matematico, passate avanti, solo che vi perdete il ragionamento.

Quanto costa complessivamente la sicurezza sul lavoro al Sistema Paese? Non è facile dirlo. Le stime di organismi ufficiali (EU-OSHA, INAIL) la pongono tra il 2,5 ed il 3,2% del PIL.

Siccome il PIL dell’Italia, nel 2015 era di 1636 miliardi di euro, stiamo tra (arrotondando):

 41 miliardi € ≤ Sicurezza ≤ 52 miliardi €

Sì, questi sono i numeri. Già si comincia a comprendere la necessità di farsi un’idea dell’entità dei fenomeni. Assumeremo che sia pari a 46 miliardi €.

Questo valore è dato da tre macrovoci, quelle che più di tutte le altre compongono il contributo al PIL:

  • Costo dell’assicurazione: circa 10 miliardi € (per la precisione 9,6 miliardi, secondo la relazione annuale INAIL 2015);
  • Spesa in prevenzione: circa 16 miliardi € (l’Osservatorio statistico degli infortuni dell’INAIL la pone a 1,01% del PIL), spesi in formazione, DPI, acquisto di attrezzature a norma, ecc.;
  • Costo indiretto: per differenza rispetto al contributo della sicurezza al PIL, mi fa 20 miliardi €. Qui dentro c’è di tutto: spese mediche, giudiziarie, sanzioni… Tutto il tuttibile, fatta eccezione le voci di cui sopra;

Nel 2015, secondo l’ISTAT, il numero di lavoratori occupati era di 17 milioni.

Siccome, quell’anno lì, ci sono state 254 giornate lavorative, il numero di giorni lavorabili dalla massa dei lavoratori è stato:

254 x 17 milioni = 4,3 miliardi di giorni lavorativi

la somma del costo assicurativo e della spesa in prevenzione, mi fa complessivamente 26 miliardi di euro, pertanto il costo della sicurezza della giornata lavorativa è:

26 miliardi / 4,3 miliardi = poco più di 6 €/giorno lavorativo

Questa, diciamo, è la spesa necessaria.

Sempre dalla relazione INAIL 2015 mi ritrovo che nel 2015 sono stati persi 9 milioni di giorni di lavoro per infortuni in occasione di lavoro (ho epurato gli infortuni in itinere). Trascuro le malattie professionali che ci hanno fatto perdere altre 78.000 giornate.

Quindi, la spesa non necessaria, legata ai costi indiretti è di ben:

20 miliardi € / 9 milioni giorni infortunio =
poco più di 2.200 €/giorno di infortunio

Poiché secondo Eurostat, il costo medio dell’ora di lavoro è di 28,09 €/h, il costo giornaliero del lavoro è di (comprende anche l’assicurazione INAIL):

28,09 €/h x 8 h = 224,72 €/g

Conclusioni

Il rapporto tra il costo medio di una giornata di lavoro ed una giornata di infortunio è di:

1:10

Ecco perché la sicurezza è un investimento, oltre ad essere un imperativo morale.

Precisazioni

Il calcolo può essere affinato facendo ulteriori considerazioni per ottenere stime più precise, ma non vi aspettate scostamenti rilevanti. Se le assunzioni fatte, in particolare quella sul contributo della sicurezza al PIL (e dubito che qualcuno possa citare fonti più autorevoli dell’EU-OSHA o dell’INAIL), sono corrette, le differenze di risultato saranno minime.