Fotogramma del deragliamento del Frecciarossa AV9595 Milano-Salerno[1]

Deragliamento del Frecciarossa 9595: i fatti e le domande ancora aperte

A quasi una settimana di distanza dal deragliamento del Frecciarossa 9595 a Lodi, sono ancora molte le ipotesi aperte sulle possibili cause dell’incidente. Mentre il lavoro dei Consulenti Tecnici d’Ufficio e degli investigatori tecnici è appena cominciato, è utile fare il punto su quanto emerso finora, per un’analisi costruttiva dell’incidente.

Il deviatoio in posizione “rovescia”

Lo scorso 6 Febbraio, alle 5.34 della mattina, il Frecciarossa AV9595 ha deragliato perché sulla tratta che stava percorrendo a quasi 300Km/h, nei pressi di Casalpusterlengo, ha incontrato un deviatoio (comunemente definito scambio) in posizione “rovescia” invece che in posizione “normale”, ovvero dritta. Questo ha provocato il cosiddetto svio del treno, con il distacco dal resto del treno della carrozza motrice (dove si trovavano i due macchinisti poi deceduti) ed il deragliamento di tutto il convoglio.

L’errore commesso dai tecnici della manutenzione

Esclusa la possibilità di un’azione dolosa (un sabotaggio per causare deliberatamente l’incidente), come ha fatto praticamente da subito il Procuratore della Repubblica di Lodi, l’ipotesi che ha iniziato a prendere quota è stata quella di un errore dei tecnici della manutenzione.

La squadra di tecnici presente sul posto quella notte avrebbe inavvertitamente lasciato il deviatoio in posizione sbagliata al termine di un intervento di manutenzione programmata avvenuto sul deviatoio. Per il momento, però, ci sono solo speculazioni su quale sia stato esattamente il tipo di errore commesso, in attesa di accedere a tutte le informazione su cui in questi giorni staranno certamente lavorando i Consulenti Tecnici d’Ufficio della Procura di Lodi e gli esperti incaricati di condurre le investigazioni tecniche.

Le ipotesi sul deragliamento

La “prova di concordanza”

Il Sole 24 Ore, ad esempio, accredita la tesi che, terminata l’operazione di ripristino del deviatoio, i manutentori abbiano omesso di effettuare la cosiddetta “prova di concordanza”. Questo test prevede che almeno uno dei tecnici rimanga in prossimità del deviatoio, mentre gli altri effettuano delle prove in corrispondenza della sua cabina di controllo, collocata ad alcune centinaia di metri dal deviatoio stesso.

La prova serve a verificare se il deviatoio è stato riconfigurato correttamente e se c’è perfetta corrispondenza fra la sua posizione e le indicazioni fornite su un apposito pannello di controllo.

Ma è davvero possibile che questo tipo di controllo sia stato omesso o effettuato male, considerando che i tecnici incaricati erano tutti molto esperti di quel tipo di lavorazione?

Le polarità invertite e il braccio di movimento difettoso

Un’ipotesi aggiuntiva la formula un articolo del Giorno, in cui viene ventilata la possibilità che siano state accidentalmente invertite le polarità della parte elettrica del deviatoio, determinandone la movimentazione in direzione opposta rispetto a quanto previsto.

Infine, non manca chi sostiene che l’errore sia stato favorito da un difetto di fabbricazione del braccio di movimento dello scambio. Ma per il momento si tratta solo di ipotesi.

I fatti: la disalimentazione del deviatoio

Quello che invece è stato già accertato è che, al termine dell’operazione di manutenzione, il deviatoio è stato “disalimentato”. Che cosa vuol dire? Significa che il deviatoio è stato scollegato dalle linee di corrente elettrica che ne consentono il controllo a distanza tramite i cosiddetti “attuatori”. Nelle ferrovie moderne, infatti, gli scambi non sono controllati a mano, ma comandati a distanza (attraverso i cosiddetti Apparati Centrali e Sistemi di Comando e Controllo) da operatori che regolano la circolazione dei treni, su tratti di linea anche molto lunghi. In questo caso, dal Dirigente Centrale Operativo (DCO), che si trova a Bologna.

Sempre secondo il Sole 24 Ore, durante le operazioni di manutenzione e la riconfigurazione del deviatoio, alcuni dei “circuiti di diagnosi” del deviatoio avrebbero dato un segnale di errore. Non vi era quindi la certezza che il sistema di comando da remoto potesse funzionare correttamente e che non vi fosse il rischio di spostamenti accidentali. Da qui, la decisione dei tecnici di bloccare il deviatoio in posizione dritta, per assicurare la regolarità della circolazione ferroviaria, rimandando il pieno ripristino del funzionamento del deviatoio ad un intervento successivo. Questa circostanza è confermata dalla comunicazione fatta al DCO, tramite un fonogramma delle 4.45 (circa 45 minuti prima dell’incidente): “Deviatoio n. 05 disalimentato e confermato in posizione normale come da fonogramma n. 78/81 fino a nuovo avviso”.

                         Esempio di deviatoio oleodinamico analogo a quello coinvolto nell’incidente

Cosa vede il DCO e cosa “vede” il treno ad alta velocità

È importante precisare che, anche in mancanza della possibilità di comandarne a distanza i movimenti, l’indicazione sulla posizione del deviatoio viene comunque fornita al DCO e tramessa automaticamente ad altri sistemi di sicurezza. La trasmissione di questa informazione è assicurata da linee elettriche diverse da quelle che servono a comandare i movimenti del deviatoio.

Non solo quindi il DCO vede sul suo Apparato Centrale a Calcolatore (ACC) il deviatoio in posizione dritta, ma questa posizione viene anche rilevata in automatico dal cosiddetto “Sottosistema di Terra” lungo l’infrastruttura ferroviaria, che a sua volta comunica con il “Sottosistema di Bordo” del treno, consentendogli di verificare costantemente e automaticamente che il tratto di linea che sta percorrendo sia in condizioni di piena sicurezza.

Solo errore, o anche violazione?

Sulla base di quanto emerso finora, è possibile immaginare che i tecnici, preso atto dell’impossibilità di ripristinare appieno la funzionalità del deviatoio, abbiano fatto tutto il possibile per riconfigurarlo, evitando di sospendere la circolazione sul binario interessato appena prima dell’inizio di un’intensa mattinata di traffico.
Si può affermare con certezza, infatti, che l’esclusione di quel binario avrebbe comportato ritardi e disagi notevolissimi per il regolare andamento dei treni, in una linea che è costantemente utilizzata al limite delle sue capacità. Se però la soluzione adottata per ottenere questo obiettivo fosse normalmente prevista dalle procedure ufficiali, o invece in contraddizione con esse, è ancora tutto da verificare.

E qui, dal punto di vista dell’analisi dei fatti, si apre una differenza fondamentale. Una cosa è l’errore, commettendo il quale l’operatore fallisce nel perseguimento di un giusto obiettivo che si era prefissato. Altra cosa è la violazione, con cui l’operatore decide consapevolmente di derogare ad una procedura ufficialmente riconosciuta, perché ritiene che il rischio che ne deriverebbe sia tutto sommato accettabile.

Differenze principali fra errore e violazione; da
Luca Save, Un colpevole ci dovrà pur essere, Primiceri Editore (2019)

Naturalmente, può anche darsi il caso che i due fenomeni si combinino: l’errore commesso dai manutentori potrebbe essere stato preceduto dalla violazione di una procedura, determinando la rimozione di una barriera di sicurezza fondamentale per evitare o rilevare per tempo quell’errore.

L’ipotesi del ripristino locale del deviatoio

Un’ipotesi plausibile, ad esempio, è che i tecnici abbiamo ripristinato localmente i sistemi di controllo del deviatoio, in modo da farlo risultare in posizione corretta a tutti gli altri sistemi di controllo (poiché questo dato viene rilevato dal DCO e dai Sottosistemi di Terra e di Bordo del treno).
Nel farlo, potrebbero aver “simulato” la corretta posizione del deviatoio attraverso i dispositivi elettrici, isolandolo però fisicamente, ed agendo su di esso in modalità manuale. Durante questa operazione, qualcosa è evidentemente andato storto, ma l’isolamento fisico del deviatoio potrebbe aver di fatto impedito di accorgersi dell’errore, e di farlo rilevare a tutti gli altri sistemi di controllo.

Imparare dagli errori per migliorare la sicurezza

Fuori da ogni logica di colpevolizzazione, un’analisi che punti ad evitare che si riproducano eventi simili in futuro, con protagonisti diversi da quelli di questo specifico incidente, non può limitarsi a constatare che ci sia stato un errore o una violazione. Deve invece fare il possibile per capire perché entrambe le tipologie di azione insicura sono state commesse, e se ci siano delle cause sistemiche che potrebbero averle favorite, indotte, o quantomeno rese possibili. Ecco, dunque, alcune domande che è fondamentale porsi in una circostanza come questa.

Quali domande porsi per guidare l’analisi

Nell’operare sullo scambio, i manutentori hanno ritenuto di agire in conformità con le procedure, oppure hanno deciso di derogare in qualche forma ad esse, temendo che applicarle troppo rigidamente determinasse un impatto troppo negativo sull’efficienza del servizio ferroviario?
Date le circostanze e l’impossibilità di ripristinare il pieno funzionamento del deviatoio, esisteva una modalità alternativa rispetto a quella adottata dai manutentori per rimettere quel tratto di linea in sicurezza, senza escludere il binario incriminato e causare così l’impatto negativo di cui abbiamo parlato?

Nel caso che non vi sia stata violazione, quali elementi possono aver favorito l’errore? L’interfaccia uomo-macchina della cabina di controllo del deviatoio o il design della scatola di controllo, inclusi gli attacchi per il collegamento delle parti elettriche, possono aver giocato un ruolo nel favorire l’errore?

Se è stata invece violata una procedura, possiamo determinare se si trattasse di una violazione eccezionale, mai verificatasi in passato, o invece di una violazione di necessità, già commessa da altri operatori, finora senza conseguenze negative?
Se era già stata adottata in altri casi, è possibile che venisse tollerata dai gestori dell’infrastruttura, proprio per evitare che una condizione di degrado momentanea potesse avere una ricaduta troppo pesante sul servizio offerto sia da Trenitalia che da Italo?

Rispondere a tutte queste domande significa certamente intraprendere un percorso lungo e faticoso. Bisogna però assolutamente farlo, se si vuole imparare qualcosa da questo drammatico evento. Individuare semplicemente dei capri espiatori sarebbe di scarso aiuto, e impedirebbe di porre le premesse affinché eventi analoghi non si ripetano in futuro.

[1] Estratto dalle riprese diffuse dal Corpo Nazionale dei Vigili del Fuoco

Luca Save
luca.save@dblue.it

R&D Manager Safety & Human Factors