Quando il sistema di supervisione mente — SCADA, sensori e falsi allarmi negli impianti industriali

Il dato era lì, in bella vista sul monitor SCADA.

Temperatura: 74°C. Nella norma. Pressione: stabile. Portata: regolare.

Il responsabile di produzione lo guardava ogni mattina e vedeva quello che voleva vedere: una fabbrica che girava bene. Poi un giorno la qualità del prodotto finito ha iniziato a calare. Non in modo critico — quel tanto che basta per far partire le domande.

Quando siamo arrivati, dopo tre settimane di supposizioni, la prima cosa che ci ha detto è stata: “El sistema el funziona,  dove  xe el problema?” (In veneto: Il sistema funziona, dov’è il problema?)

Aveva ragione su entrambe le cose. Il sistema funzionava. E il problema non si vedeva.

Un dato SCADA corretto può essere una bugia

Questa è la cosa che pochi si aspettano quando installano un sistema SCADA: i dati possono essere tecnicamente corretti e raccontare comunque una storia falsa.

Non perché il sistema sia rotto. Non perché qualcuno abbia sbagliato la configurazione in malafede. Ma perché tra il fenomeno fisico che succede in fabbrica e il numero che appare sul monitor ci sono una serie di scelte — dove mettere il sensore, con quale frequenza campionare, quali soglie usare per gli allarmi — e ognuna di queste scelte può introdurre una distorsione silenziosa.

Il dato arriva. È registrato. È archiviato. Ma è fuorviante.

Questo è il caso più insidioso che esiste in automazione industriale: non il guasto che si vede, ma l’errore che non si vede perché tutto sembra funzionare.

Le tre cause più comuni di dati SCADA inaffidabili

Nel corso degli anni, lavorando su impianti industriali in Italia e in particolare in tutto il Veneto — dal vicentino al padovano, dal trevigiano alla provincia di Verona — abbiamo imparato a riconoscere tre situazioni ricorrenti.

Il sensore è nel posto sbagliato. Un sensore misura quello che ha davanti, non quello che ti interessa. Se è montato sul corpo macchina invece che vicino al materiale lavorato, se è troppo vicino a una fonte di calore esterna, se misura l’aria invece del fluido — legge qualcosa di reale, ma non quello che conta.

In uno stabilimento del vicentino che seguiamo da anni, il termometro era installato perfettamente — a norma, nella posizione indicata dal costruttore. Solo che il costruttore aveva progettato quella macchina per un materiale diverso da quello che il cliente lavorava da qualche anno. Nessuno aveva mai sollevato la questione. “El ga sempre segnà così” — ha sempre segnato così — ci ha detto l’operatore. Come se la continuità del dato fosse una prova della sua correttezza.

Le soglie di allarme SCADA non sono mai state tarate sul processo reale. Quando si installa un sistema di supervisione, le soglie di allarme vengono spesso impostate su valori di default, o su stime teoriche. Col tempo il processo cambia — nuovi materiali, nuove velocità, nuove condizioni operative — ma le soglie restano dove erano.

Il risultato è un sistema che non scatta mai, o che scatta sempre per falsi allarmi. In entrambi i casi succede la stessa cosa: il responsabile smette di fidarsi degli allarmi. Li silenzia, li ignora, li tratta come rumore di fondo. E quando arriva quello vero, la soglia di attenzione è già abbassata da mesi.

Abbiamo visto pannelli SCADA con diciassette allarmi attivi in contemporanea, nessuno dei quali veniva più letto da nessuno. “Quelli lì ci sono sempre” — la spiegazione più comune. Una rassegnazione che costa.

Il campionamento è troppo rado per quello che succede. Se un processo varia in pochi secondi e il sistema registra un dato ogni minuto, i picchi spariscono. La media sembra stabile. Ma tra un campione e l’altro può succedere qualcosa di significativo — una fluttuazione, uno spike termico, una variazione di pressione — che il sistema non vede e non registra.

Non è un guasto. È un limite di configurazione che nessuno ha mai messo in discussione, perché il sistema “ha sempre funzionato così”.

Il paradosso del sistema SCADA ben funzionante

Più un sistema di supervisione sembra funzionare bene, meno si tende a metterlo in discussione.

Se gli allarmi scattano raramente, si pensa che la fabbrica vada bene. Se i grafici sono stabili, si pensa che il processo sia sotto controllo. Se i dati arrivano regolarmente, si pensa che siano affidabili. La fiducia nel sistema cresce con il tempo. E con la fiducia cresce anche la difficoltà di accorgersi quando quella fiducia è mal riposta.

Il saggio — e qui usiamo la parola nel senso più pratico del termine — non è chi ha più dati. È chi sa quali domande fare ai dati che ha. E la prima domanda da fare, periodicamente, è la più scomoda: questo sistema SCADA sta misurando davvero quello che pensiamo stia misurando?

Non è una domanda tecnica. È una domanda di metodo. E va fatta anche quando tutto sembra andare bene. Anzi: va fatta soprattutto allora.

Come si corregge un sistema di supervisione industriale che inganna

Il punto di partenza è sempre fisico: si torna sul campo, si guarda dove sono i sensori, si capisce cosa stanno misurando davvero. Non si legge solo la documentazione. Si cammina lungo la linea, si osserva il processo, si confronta quello che succede con quello che il monitor mostra.

Il secondo passo è confrontare i dati del sistema con misurazioni indipendenti. Uno strumento portatile, una misurazione manuale, un secondo sensore installato in parallelo per un periodo limitato. Se i valori coincidono, bene. Se divergono, si ha già un’indicazione preziosa.

Il terzo passo è rivedere le soglie con chi conosce il processo — non solo chi conosce il sistema. Le soglie giuste non sono quelle teoricamente corrette: sono quelle che riflettono il comportamento reale di quella specifica linea, in quelle specifiche condizioni operative. Questo lavoro si fa insieme al responsabile di produzione, non al posto suo.

[→ Sul tema di come costruiamo sistemi di supervisione che riflettono il processo reale: Sistemi di controllo e supervisione]

[→ Se il problema riguarda anche come usare i dati per prevenire fermi macchina: L’IoT non serve a far parlare le macchine. Serve a far dormire te]

Quello che abbiamo imparato

Tornando a quella fabbrica con cui abbiamo aperto: il sensore di temperatura era montato correttamente, nel posto indicato dal progetto originale. Solo che misurava il materiale a valle del miscelatore, già processato. La variazione che stava causando il calo di qualità avveniva prima, in ingresso, in un punto che nessun sensore stava guardando.

Non serviva sostituire il sistema. Serviva aggiungere un punto di misura nel posto giusto e ridisegnare la logica di supervisione intorno a quel dato nuovo.

Un sistema SCADA è potente quanto le domande che gli vengono fatte. Prima di chiedersi se i dati sono buoni, vale la pena chiedersi se si stanno misurando le cose giuste, nel posto giusto, con la frequenza giusta.

Se hai un impianto in Veneto e vuoi capire se il tuo sistema di supervisione sta misurando davvero quello che pensi, possiamo farlo insieme. Senza grandi investimenti: spesso basta un’analisi, una camminata lungo la linea, e le domande giuste.