EUROPEAN COMMISSION DIRECTORATE-GENERAL JUSTICE , FREEDOM AND SECURITY

EUROPEAN COMMISSION
                     DIRECTORATE-GENERAL JUSTICE , FREEDOM AND SECURITY

EUROPEAN PROGRAMME FOR CRITICAL INFRASTRUCTURE PROTECTION 2007

Introduzione

     La contaminazione delle acque potabili è da sempre considerata come uno dei
peggiori rischi di intossicazioni e diffusione di malattie, tali da provocare enormi
problemi di salute pubblica ed ingenti danni economici.
     In questa sede ci riferiremo al rischio di contaminazione dell’acqua in sistemi
idropotabili, dalla presa alla distribuzione. Le misure di salvaguardia per le opere di
presa sono codificate dall’attuale quadro normativo (D.Lgs. 152/2006) ed ampiamente
trattate nella letteratura tecnica.
     La contaminazione di un sistema idrico può avvenire per cause accidentali o per
attacchi deliberati.
     La contaminazione accidentale può avvenire lungo le tubazioni o nei serbatoi. La
contaminazione lungo le tubazioni può essere causata dalla presenza di punti di
perdita e dalla contemporanea presenza di una piezometrica che taglia l’asse della
condotta. Fenomeni di contaminazione accidentale possono poi prodursi nei serbatoi,
soprattutto per effetto della cattiva manutenzione di questi. Ad esempio nel 1993, a
Gideon, Missouri (USA) furono identificati casi di salmonellosi dovuti ad una
contaminazione dell’acqua potabile distribuita dal locale acquedotto. In seguito ad
analisi condotte sul sistema (Clark et al., 1996) la causa fu identificata nella cattiva
manutenzione di uno dei serbatoi.
     Per quanto concerne le contaminazioni intenzionali occorre ricordare come, già in
epoca classica, la contaminazione dei pozzi era praticata come tattica di guerra.
Episodi di contaminazione dei sistemi idrici si sono poi verificati nel corso delle guerre
napoleoniche e anche del secondo conflitto mondiale. Oggi il rischio di possibili
contaminazioni intenzionali dei sistemi idropotabili appare accresciuto in seguito
all’affermarsi a livello internazionale della minaccia terroristica dopo l’11 settembre
2001. Accanto alla contaminazione a scopo terroristico occorre poi tener presente i
forse meno gravi, ma sicuramente più frequenti, atti vandalici o di sabotaggio che
possono verificarsi soprattutto per gli impianti più isolati. In tale ambito l’Università
degli Studi di Cassino e la società GORI S.p.A., Gestore dell’ATO3 Campania, hanno
già sviluppato un progetto che si poneva come obiettivo quello di sviluppare delle
linee guida per la messa in sicurezza dei sistemi idropotabili rispetto alla minaccia di
contaminazioni intenzionali.
     Il progetto, denominato DISWIP (Development of an Integrated System for Water
Infrastructure Protection against intentional attacks), è stato finanziato dalla
Commissione Europea nell’ambito del programma EPCIP (European Programme for
Critical Infrastructure Protection), destinato a migliorare la sicurezza delle
Infrastrutture Critiche nell’Unione Europea.
     Il progetto si è concluso il 30 novembre 2007 e i suoi risultati sono stati presentati
nell’ambito di un workshop tenutosi a Sorrento il 25 gennaio 2008. L’approccio seguito
nel progetto è stato di tipo induttivo: l’analisi di un reale sistema di adduzione gestito

dalla GORI, quello della Penisola Sorrentina, ha rappresentato l’occasione per testare sul
campo strumentazioni, procedure e metodologie di protezione, al fine di valutare la loro
applicabilità ed efficacia. L’uso di un approccio induttivo è un elemento innovativo rispetto
ad analoghi studi recentemente pubblicati; ciò ha consentito lo sviluppo di procedure
maggiormente adeguate alla realtà degli impianti ai quali dovranno essere applicate.
     La filosofia adottata in DISWIP è stata quella della realizzazione di un Sistema
Integrato di protezione, che adotti i sistemi disponibili in sequenza, dai più semplici (ed
economici), quali i dispositivi di controllo degli accessi, ai più complessi (ed onerosi), come
i sistemi di monitoraggio in tempo reale della qualità dell’acqua, in maniera tale da
ottenere un buon livello di sicurezza minimizzando i costi. Anche alla luce dei risultati di
DISWIP, la Commissione Europea ha finanziato un nuovo progetto sulle medesime
tematiche, sempre nell’ambito del programma EPCIP. Tale nuovo progetto, denominato
GLEWIP (GuideLines Enhancement for Water Infrastructure Protection against
intentional attacks), ha visto coinvolti l’Università di Cassino, ed in particolare il
Laboratorio di Ingegneria delle Acque, in qualità di capofila, la GORI S.p.A. e Acea ATO 5
spa, gestore dell’ATO5 Lazio. Il progetto è stato sviluppato nell’intero arco temporale del
2008, e in tale ambito sono stati individuati due nuovi siti pilota, uno per ciascun partner.
Per la GORI il sito pilota è stato il sistema acquedottistico Vesuviano, mentre per Acea
ATO5 la scelta è caduta sull’acquedotto Aurunci Valcanneto.
     Si tratta di due sistemi di adduzione idrica con caratteristiche volutamente molto
differenti. Il primo serve 17 comuni dell’area Vesuviana, con circa 400.000 abitanti, e si
sviluppa come un sistema fortemente magliato, il secondo è a servizio di 25 piccoli comuni
della provincia di Frosinone, con circa 80.000 abitanti, ed è fondamentalmente costituito
da una adduttrice principale dalla quale partono le diramazioni per i centri da servire.
     La scelta è caduta su tali sistemi proprio per poter generalizzare le tecniche sviluppate
in DISWIP, e valutare la loro applicazione in realtà differenti.

Misure di mitigazione del rischio: il progetto del sistema integrato di
sorveglianza e allarme

    Le misure di mitigazione del rischio adottabili per un sistema idropotabile possono
essere classificate in:
    • misure fisiche (miglioramento dei sistemi di controllo dei siti sensibili, sistemi di
        controllo degli accessi, sistemi di videosorveglianza);
    • adozione di sistemi di controllo della qualità dell’acqua (mediante campionamento
        ad intervalli di tempo regolari oppure in tempo reale).

La filosofia di intervento, sviluppata in DISWIP e riproposta ed affinata in GLEWIP, è
quella della realizzazione di un Sistema Integrato di protezione, che adotti i sistemi
disponibili in sequenza, dai più semplici (ed economici) ai più complessi (ed onerosi), in
maniera tale da ottenere un buon livello di sicurezza minimizzando i costi.
 L’obiettivo pertanto non è stato quello di sviluppare nuove tecnologie di protezione,
 quanto piuttosto quello di “assemblare” le tecnologie esistenti in un sistema integrato in
 grado di ridurre efficacemente il rischio. E’ stato pertanto sviluppato un sistema integrato
 di sorveglianza ed allarme costituito da:
     • sistema di controllo degli accessi mediante porte allarmate e badge elettronici per
         l’identificazione del personale che accede alle strutture;
     • sistema di videosorveglianza (TVCC) degli impianti maggiormente vulnerabili,
         realizzato mediante videocamere “motion detection” su IP;
     • sistema di monitoraggio in tempo reale della qualità dell’acqua.

La trasmissione dei dati da questi sistemi al centro di telecontrollo è un elemento
cruciale per la funzionalità dell’intero sistema. Per il Vesuviano essa avviene mediante una
rete di trasmissione wireless proprietaria, realizzata nel corso del progetto. Per il sistema
Aurunci-Valcanneto sono state utilizzate tecnologie tradizionali.

Online Contaminant Monitorino System (O.C.M.S.)

    Il progetto di un sistema di controllo della qualità dell’acqua non può prescindere dalla
conoscenza del funzionamento idraulico del sistema acquedottistico. A tale scopo è stato
realizzato un dettagliato modello di simulazione tempo variabile dei sistemi oggetto dello
studio.
    La calibrazione di tale modello è stata realizzata utilizzando dati di portata ottenuti dal
sistema di telecontrollo.
    Poiché i dati di input del modello sono ovviamente affetti da incertezze (incertezza sul
valore dei parametri fisici: diametri, lunghezze e scabrezze delle tubazioni, incertezza sulla
domanda di portata dell’utenza, che è aleatoria) è stata sviluppata un’analisi di sensitività
dei risultati ai suddetti dati di input. In tale maniera i risultati del modello possono essere
interpretati in senso probabilistico.
    Il progetto di un sistema di monitoraggio in tempo reale della qualità dell’acqua
(OCMS) richiede la soluzione di due quesiti:
     • la definizione dei parametri da misurare;
     • il posizionamento delle stazioni di misura.

    In tale definizione occorre ovviamente tener conto della compatibilità con la necessità
di contenere la spesa totale entro limiti sostenibili dal Gestore.
    Per quanto concerne il primo problema occorre immediatamente evidenziare come
non tutti i contaminanti siano misurabili in tempo reale; inoltre, poiché non è possibile
conoscere a priori l’agente contaminante che potrebbe essere utilizzato in un attacco, è
necessario misurare parametri che possano avere il più ampio spettro di individuazione di
sostanze nocive. Nel progetto dell’OCMS del sito pilota sono stati scelti parametri che, pur
non potendo essere considerati, in senso assoluto, come rappresentativi della presenza di
una contaminazione, hanno tuttavia l’indubbio vantaggio di poter essere misurati in
maniera semplice, e repentine variazioni di uno o più di essi possono senza dubbio essere
indice di situazioni critiche. Una alternativa è costituita dall’uso dei cosiddetti biosensori
che, mediante la valutazione della risposta di sistemi biologici (batteri) alle variazioni di
qualità dell’acqua, permettono l’identificazione di contaminazioni. A causa del loro costo, e
della complessità di gestione, si è scelto di non utilizzare questi strumenti per il
monitoraggio online, ma di utilizzarli, nella loro versione da campo, per l’esecuzione dei
controlli di verifica nel caso di anomalie segnalate dall’OCMS.
    Il sistema di monitoraggio è costituito da piattaforme di misura (5 per il Vesuviano, 2
per l’acquedotto Aurunci - Valcanneto), ciascuna delle quali è equipaggiata della
necessaria strumentazione di misura per i parametri succitati e per la trasmissione al
sistema di telecontrollo. Al fine di rendere, per quanto possibile, modulare il sistema, è
stata progettata una apposita piastra portastrumenti, riportata in Figura 1.
    Il posizionamento delle stazioni di monitoraggio è stato effettuato sulla base dei
risultati del modello di simulazione idraulica del sistema acquedottistico in esame. La
modellazione e le simulazioni effettuate hanno consentito la selezione di alcuni siti nei
quali il posizionamento di stazioni di monitoraggio garantisce la più efficiente e rapida
individuazione di un’eventuale contaminazione in atto originatasi in un punto qualsiasi del
sistema. La scelta dei siti è stata effettuata attraverso una serie di considerazioni sulle
caratteristiche geometriche ed idrauliche del sistema e sulle utenze servite.

In particolare, l’ubicazione delle stazioni di monitoraggio ha privilegiato sia criteri di
economicità di gestione sia di vulnerabilità in opere con la presenza di risorsa idrica a pelo
libero (serbatoi) rispetto alle tubazioni in pressione.
    Una prima selezione dei serbatoi maggiormente “critici” è stata effettuata mediante la
tecnica proposta da Kessler, Ostfeld & Sinai nel 1998. Tale tecnica, che si basa su
un’analisi del sistema in condizioni stazionarie, è stata preferita ad altre più recenti e
basate anche su condizioni di moto non stazionarie per la sua semplicità e rapidità di
applicazione, soprattutto alla luce del limitato numero di stazioni da posizionare e dalla
necessità di portare in conto numerosi vincoli di carattere costruttivo ed operativo.
Mediante simulazioni in condizioni non stazionarie si è proceduto alla verifica del sistema
di allarme progettato rispetto ad un numero elevato di possibili scenari di contaminazione.
Come precedentemente accennato, la necessità di contenere il numero di piattaforme da
posizionare, per ovvi motivi economici, ha imposto la scelta di un numero massimo di 7
stazioni di monitoraggio. Ulteriori valutazioni sono state, pertanto, effettuate considerando
il numero di utenze servite dai vari serbatoi ed il funzionamento idraulico della rete: è
evidente, ad esempio, che la scelta tra due serbatoi è più opportuno che ricada su quello
che serve il numero di utenze più elevato.

Protocolli di Risposta
L’analisi di un elevato numero di scenari di contaminazione ha portato a stabilire “regole
decisionali” per gli operatori del telecontrollo, che, in presenza di un allarme, permettono
di:
           • individuare il serbatoio (o il sottoinsieme di serbatoi) possibile origine della
               contaminazione;
           • valutare il tempo di arrivo della contaminazione ai serbatoi di testata delle
               reti di distribuzione;
           • individuare pertanto le parti di servizio da interrompere in attesa di una
               verifica analitica della contaminazione.

Figura 1. Schema della strumentazione collocata in ciascun nodo di monitoraggio.

Conclusioni

Lo sviluppo del progetto GLEWIP, coordinato dal Laboratorio di Ingegneria delle Acque
dell’Università di Cassino con la GORI S.p.A. e ACEA ATO 5 S.p.A., quale naturale
prosecuzione del progetto DISWIP, ha consentito di pervenire in sintesi ai seguenti
risultati:
             • è stato implementato un sistema di misura e di controllo (monitoraggio)
                 per la mitigazione del rischio derivante da possibili contaminazioni
                 accidentali e/o intensionali;
             • il sistema di monitoraggio è stato progettato nel rispetto dell’economia di
                 realizzazione per garantire costi sostenibili da parte degli utilizzatori;
             • il sistema di monitoraggio è stato installato su siti pilota dei sistemi di
                 adduzione della Penisola Sorrentina e del comprensorio vesuviano (GORI),
                 nonché dell’Acquedotto Aurunci – Valcanneto (ACEA ATO 5) e, allo stato
                 attuale, è in esercizio per le necessarie verifiche di funzionamento;
             • a sostegno del sistema di monitoraggio, è stato implementato un
                 “processo decisionale di intervento”, supportato da specifica modellazione
                 idraulica del sistema idrico.

Tali risultati – alla luce della sperimentazione fin qui effettuata – possono ritenersi
ragionevolmente generalizzabili su impianti idrici di differenti dimensioni, sempre che
siano disponibili i dati necessari all’implementazione dei modelli di simulazione idraulica. A
tal riguardo si auspica una sempre maggiore sensibilità dei soggetti cui è demandata la
responsabilità del servizio idrico, anche ai fini di una gestione “corretta” e continua nel
tempo degli impianti.