Un terremoto di magnitudo 9 colpisce la costa orientale del Giappone. Nella centrale nucleare di Fukushima Daiichi sono in esercizio le unità 1, 2 e 3. I sistemi di protezione intervengono e i tre reattori si arrestano automaticamente.
Da un punto di vista nucleare succede ciò che deve succedere: l’inserimento delle barre di controllo interrompe rapidamente la reazione a catena. Ma l’arresto della fissione non coincide con l’azzeramento della potenza termica.
Nel combustibile restano prodotti di fissione radioattivi che continuano a decadere liberando energia. È il decay heat, il calore di decadimento. La sua potenza diminuisce rapidamente dopo lo shutdown ma continua a richiedere sistemi capaci di asportarla. Per questo un reattore arrestato deve continuare a essere raffreddato.
A Fukushima questa distinzione diventa decisiva. Circa 46 minuti dopo il terremoto lo tsunami raggiunge il sito. Le onde superano le protezioni della centrale e compromettono gran parte dell’alimentazione elettrica necessaria a mantenere le funzioni di raffreddamento. I reattori erano già stati arrestati. Ciò che diventa progressivamente impossibile garantire è la rimozione del calore prodotto dopo l’arresto. La perdita di questa funzione contribuisce al surriscaldamento del combustibile e alla successiva progressione dell’incidente nelle unità 1, 2 e 3. Quello che accade dopo è noto: il combustibile dei tre reattori fonde e diverse esplosioni di idrogeno danneggiano gravemente la centrale.
Eppure, quando quella sequenza era iniziata, i reattori si erano già arrestati.
La IAEA individua tre funzioni fondamentali per la sicurezza di un reattore: controllare la reattività, rimuovere il calore dal reattore e dal combustibile e confinare il materiale radioattivo. A Fukushima la prima funzione era stata assolta con l’arresto dei reattori. A essere progressivamente compromessa fu invece la capacità di continuare a rimuovere il calore.
Arrestare il processo aveva risolto una funzione. Non tutte quelle necessarie a mantenere il sistema in sicurezza.
Richard Feynman, introducendo il principio di conservazione dell’energia nelle sue celebri lezioni di fisica, lo descriveva attraverso un’idea tanto semplice quanto potente:
«Esiste una quantità numerica che non cambia quando accade qualcosa».
L’energia può cambiare forma, trasferirsi e diventare meno evidente. Non scompare semplicemente perché abbiamo smesso di vedere il fenomeno attraverso cui si manifestava.
Ed è qui che Fukushima diventa interessante anche molto lontano dal settore nucleare.
Siamo abituati a riconoscere una macchina attraverso ciò che fa. Un nastro trasporta, un mandrino ruota, un forno riscalda. Quando quella funzione termina, diciamo che la macchina si è fermata. Dal punto di vista della sicurezza, però, la storia della macchina potrebbe non essere ancora finita.
Ci sono funzioni che devono sopravvivere al processo per accompagnare il sistema verso una condizione stabile. Un mandrino deve essere frenato fino alla cessazione del movimento. Un sistema di raffreddamento può dover continuare a smaltire calore. Un freno deve trattenere un asse verticale anche quando nessuno gli sta più chiedendo di muoversi. In altri casi devono rimanere attivi l’aspirazione o il monitoraggio di una temperatura o di una pressione.
Sono funzioni poco visibili proprio perché, mentre svolgono il loro compito, la macchina può apparire già ferma. Ed è qui che cambia anche il modo di guardare alla valutazione del rischio.
Durante il funzionamento è naturale interrogarsi su movimenti, velocità, materiali e interazioni con l’operatore. L’arresto rischia invece di essere percepito come il punto in cui questa osservazione può terminare. Ma anche la macchina ferma è uno stato della macchina e come tale merita di essere valutato.
Che cosa sta ancora accadendo? Quali condizioni devono essere mantenute? Quali funzioni devono rimanere disponibili? E soprattutto, che cosa accadrebbe se proprio una di quelle funzioni venisse meno?
Sono domande che appartengono pienamente alla valutazione del rischio. Perché una macchina non va osservata soltanto durante il ciclo produttivo: occorre conoscere anche le condizioni da cui dipende la sua sicurezza dopo l’arresto.
Fukushima lo ha mostrato in una scala eccezionale. In azienda le conseguenze e le dimensioni sono diverse ma il principio rimane: ciò che non vediamo funzionare può essere proprio ciò che sta mantenendo il sistema in sicurezza.
Perché anche il silenzio nella macchina ha una sua ingegneria.