L'affidabilità: strumenti e metodi per progettare prodotti e processi che funzionano

di Stefania Cordiani

In una caserma dei vigili del fuoco di Livermore, in California, c'è una lampadina accesa dal 1901. Si chiama Centennial Light, è entrata nel Guinness dei primati nel 1972 come la lampadina più longeva del mondo e potete guardarla in diretta, in qualsiasi momento, attraverso la webcam che i pompieri le hanno puntato addosso. Fu prodotta dalla Shelby Electric Company su progetto dell'inventore franco-americano Adolphe Chaillet, con un filamento di carbonio molto più spesso del normale e donata alla caserma da Dennis Bernal, il proprietario della società elettrica locale. Da allora si è spenta praticamente una volta sola: nel 1976, per 22 minuti, il tempo di trasferirla nella nuova sede dei pompieri. Oggi emette una luce fioca, circa 4 watt, ma continua a fare il suo mestiere da oltre un secolo.

Ora spostiamoci a Ginevra, 23 dicembre 1924. In una stanza si riuniscono i rappresentanti dei principali produttori mondiali di lampadine: Osram, Philips, General Electric, Compagnie des Lampes, Tungsram e altri. Firmano un accordo che passerà alla storia come cartello Phoebus e che molti economisti considerano l'atto di nascita dell'obsolescenza programmata. Le aziende dell'epoca sapevano già costruire lampadine da 2.500 ore di vita e oltre, ma le vendite ne risentivano. La soluzione fu spietata nella sua semplicità: limitare deliberatamente la durata delle lampadine a circa 1.000 ore. L'anno dopo venne persino istituita un'apposita commissione interna, la commissione "1000 ore", incaricata di verificare che i prodotti dei membri del cartello non durassero troppo.

Tenete insieme queste due immagini, perché raccontano la stessa verità da due direzioni opposte: l'affidabilità si progetta. La lampadina di Livermore dura da 125 anni perché qualcuno ha scelto un filamento otto volte più spesso. Le lampadine del cartello Phoebus duravano 1.000 ore perché qualcuno ha deciso che dovevano durare 1.000 ore e ha riprogettato filamenti e tensioni per centrare quell'obiettivo con precisione ingegneristica. In entrambi i casi, la durata è stata una specifica.

E qui arriva la domanda che riguarda voi. I vostri prodotti, i vostri servizi, i vostri processi hanno un'affidabilità. Ce l'hanno adesso, in questo momento, che voi la conosciate o no. La differenza tra le organizzazioni che gestiscono l'affidabilità e quelle che la subiscono sta nel sapere che numero è, da cosa dipende e come si sposta. Questo articolo serve esattamente a questo: darvi definizioni pulite, tre o quattro strumenti concreti, un paio di verità contro-intuitive documentate e un piano d'azione per iniziare immediatamente a lavorarci su.

Che cos'è davvero l'affidabilità (e perché non è un sinonimo di qualità)

Partiamo dalla definizione che usiamo da sempre su queste pagine: l'affidabilità è la garanzia della durata, della capacità di rispettare le specifiche di funzionamento nel tempo e del buon funzionamento di un prodotto. E si basa sulla probabilità.

Dentro questa definizione ci sono quattro parole che fanno tutta la differenza del mondo, e conviene guardarle una per una. La prima è probabilità: l'affidabilità non è mai una certezza, è un numero compreso tra 0 e 1 (o tra 0% e 100%) che esprime quanto è verosimile che le cose vadano bene. La seconda è funzione: un prodotto è affidabile se fa ciò per cui è stato progettato, non genericamente "se funziona". La terza è tempo: l'affidabilità ha sempre un orizzonte temporale esplicito, perché dire che qualcosa è affidabile "e basta" non significa nulla. La quarta è condizioni: la stessa pompa ha un'affidabilità diversa se lavora a 20 gradi in un capannone o a 45 gradi in un impianto chimico.

Messe insieme, queste quattro parole vi danno la struttura di qualunque affermazione seria sull'affidabilità: la probabilità che il prodotto X svolga la funzione Y per il tempo Z nelle condizioni W. Tutto ciò che non ha questa forma ( "i nostri prodotti sono estremamente affidabili", "puntiamo sulla massima affidabilità") è marketing.

Per questo, quando scrivete le specifiche dei vostri prodotti, l'affidabilità va dichiarata in forma misurabile "probabilità di funzionamento senza guasti del 95% a 5.000 ore in condizioni d'uso definite" e non lasciata implicita in un aggettivo.

La legge di Lusser, o perché il proverbio della catena vi sta confondendo

Tutti conosciamo il proverbio: una catena è forte quanto il suo anello più debole. È rassicurante, perché suggerisce una strategia semplice: trova l'anello debole, rinforzalo e il sistema sarà a posto. Peccato che, quando si parla di affidabilità, il proverbio sia matematicamente falso. E la storia di come lo abbiamo scoperto merita di essere raccontata.

Siamo in Germania, durante la seconda guerra mondiale. Il gruppo che lavora ai missili V-1 si trova davanti a un mistero frustrante: secondo la ricostruzione che ne fanno Arnljot Høyland e Marvin Rausand nel loro classico System Reliability Theory (1994), i primi lanci furono tutti dei fiaschi. I missili esplodevano sulla rampa o cadevano in mare, nonostante i componenti fossero di alta qualità e l'attenzione ai dettagli maniacale. Il team ragionava proprio con la logica della catena: se ogni singolo componente è buono, il sistema sarà buono. Fu chiamato come consulente Robert Lusser, che analizzò il sistema e ne ricavò quella che oggi conosciamo come legge di Lusser, o legge del prodotto delle affidabilità: in un sistema in serie, dove il guasto di un solo componente crea problemi a tutto il resto, l'affidabilità complessiva non è la media delle affidabilità dei componenti e nemmeno quella del componente peggiore: è il loro prodotto.

Fermatevi un attimo su cosa significa, perché è qui che il proverbio vacilla. Prendete un processo composto da dieci fasi in serie (un ordine che passa dall'ufficio commerciale alla pianificazione, dagli acquisti alla produzione, dal controllo alla spedizione) e supponete che ogni fase sia affidabile al 95%, un valore che a prima vista sembra più che rispettabile.

Con venti passaggi si scende al 36%. Ecco perché i V-1 cadevano in mare: perché la moltiplicazione di tanti anelli quasi perfetti produce una catena mediocre. Un sistema in serie non è forte quanto il suo anello più debole: è più debole del suo anello più debole.

La legge di Lusser ha anche un rovescio consolante, però, ed è la ridondanza. Se due componenti lavorano in parallelo (uno funge da riserva dell'altro, e il sistema ha problemi solo se entrambi non funzionano a dovere) la matematica si ribalta a vostro favore: due elementi affidabili al 90% in parallelo danno un sistema affidabile al 99%, perché la probabilità che smettano entrambi di funzionare bene è 0,10 × 0,10 = 1%. È il principio per cui gli aerei hanno più motori e i data center hanno più alimentatori. Tradotto in pratica: individuate, nel vostro processo, le due o tre fasi in cui la moltiplicazione vi fa più male, e chiedetevi se lì un controllo aggiuntivo, una seconda firma, una macchina di riserva o un fornitore alternativo non valgano il loro costo. La ridondanza costa ma l'inaffidabilità costa di più e si presenta sempre nel momento peggiore.

La curva a vasca da bagno: i tre modi in cui le cose si guastano

Il secondo strumento della vostra cassetta è un modello che la reliability engineering ha preso in prestito da una disciplina apparentemente lontanissima: le scienze attuariali, cioè la matematica delle assicurazioni sulla vita. Gli attuari sanno da due secoli che la probabilità di morire non è costante lungo la vita: è più alta nei primi anni, scende e resta bassa per decenni, poi risale con la vecchiaia. Disegnata su un grafico, questa curva del tasso di mortalità ha la forma di una vasca da bagno vista di profilo. Ebbene, moltissimi prodotti e componenti "muoiono" esattamente allo stesso modo e la curva a vasca da bagno è diventata il modello mentale fondamentale per ragionare sui guasti.

La curva ha tre zone, e ogni zona richiede una strategia diversa — questo è il punto operativo che spesso non si considera.

Notate una conseguenza pratica immediata: se sostituite preventivamente un componente che si trova nella zona di vita utile, non solo non guadagnate niente (il suo tasso di guasto era basso e costante e il pezzo nuovo non farà meglio), ma vi riportate all'inizio della curva, in piena mortalità infantile, con il rischio di errori di montaggio annesso. State letteralmente pagando per aumentare i guasti. Su questo punto torneremo tra poco, perché c'è uno studio che ha fatto la storia.

MTBF, MTTR e disponibilità: i numeri da mettere nel cruscotto

Prima, però, servono i numeri giusti. L'affidabilità si misura, e i tre indicatori fondamentali sono facili da calcolare con i dati che quasi certamente avete già nei vostri rapporti di manutenzione e nei registri delle non conformità.

Il primo è l'MTBF, Mean Time Between Failures: il tempo medio che intercorre tra due guasti di un sistema riparabile. Si calcola dividendo il tempo totale di funzionamento per il numero di guasti nel periodo. Il suo gemello per i prodotti non riparabili è l'MTTF (Mean Time To Failure), il tempo medio fino al primo e unico guasto. Il secondo è l'MTTR (Mean Time To Repair), il tempo medio necessario a rimettere in funzione ciò che si è guastato. Il terzo li combina ed è forse il più eloquente per la direzione: la disponibilità, cioè la frazione di tempo in cui il sistema è effettivamente in grado di lavorare, che si calcola come MTBF / (MTBF + MTTR). Una macchina con MTBF di 400 ore e MTTR di 8 ore ha una disponibilità del 98%; se dimezzate il tempo di riparazione, la disponibilità sale senza toccare l'affidabilità. È una leva spesso trascurata: a volte è più economico imparare a riparare in fretta che ridurre la probabilità di guasto.

Il consiglio operativo per il vostro sistema di gestione è di inserire nel cruscotto di indicatori almeno questi per le macchine e i processi critici: MTBF, MTTR, disponibilità, più il tasso di guasti in garanzia e il tasso di guasti precoci (entro i primi 30-90 giorni di vita del prodotto), che è la spia della mortalità infantile. Sul sito trovate una raccolta ragionata di esempi di indicatori da cui attingere. Ma soprattutto: registrate i guasti bene. Data e ora del guasto, ore di funzionamento del componente al momento del guasto, modo di guasto, causa, tempo di ripristino. Senza questi dati grezzi, tutti gli strumenti di questo articolo restano teoria.

Il giorno in cui la manutenzione preventiva scoprì di sbagliare bersaglio

Ed eccoci allo studio che ha fatto la storia, quello che vi avevamo promesso qualche paragrafo fa. Il 29 dicembre 1978 F. Stanley Nowlan e Howard F. Heap, due ingegneri di United Airlines, pubblicano sotto l'egida del Dipartimento della Difesa americano un rapporto intitolato Reliability-Centered Maintenance. Il documento nasce da anni di analisi sui guasti dei componenti aeronautici, e contiene una scoperta che demolisce il presupposto su cui si fondava (e in molte aziende ancora si fonda) l'intera manutenzione preventiva: l'idea che i componenti abbiano una "vita attesa" e che sostituirli o revisionarli a intervalli fissi, prima che quella vita si esaurisca, migliori l'affidabilità.

Analizzando i dati, Nowlan e Heap identificarono sei diversi andamenti del tasso di guasto nel tempo, e scoprirono che solo una piccola minoranza dei componenti studiati mostrava un vero comportamento da usura. Tutto il resto si guastava in modo sostanzialmente casuale o, peggio ancora, mostrava il pattern della mortalità infantile. La conclusione era tanto logica quanto rivoluzionaria: per la grande maggioranza dei componenti, la revisione a intervalli fissi non previene proprio niente e, riportando ogni volta il pezzo nella zona della mortalità infantile, rischia di causare più guasti di quanti ne eviti. Va detto, per onestà intellettuale, che le percentuali esatte di quello studio sono state discusse e ridimensionate da analisi successive, e che i numeri variano molto da settore a settore; ma la lezione operativa di fondo (non tutti i guasti dipendono dall'età, e la manutenzione va scelta in base a come le cose si guastano) è rimasta il fondamento della disciplina.

Da quel rapporto nacque la Reliability-Centered Maintenance (RCM), che oggi governa la manutenzione dell'aviazione mondiale e che, in versione semplificata, potete applicare anche voi. La logica è una sequenza di domande da porsi per ogni asset critico, modo di guasto per modo di guasto.

Dall'FMEA a Weibull: la scala degli strumenti, un gradino alla volta

A questo punto avete la teoria e i numeri. Restano gli strumenti per mettere tutto a sistema, e la buona notizia è che formano una scala che potete salire un gradino alla volta, partendo da ciò che probabilmente conoscete già.

Il primo gradino è l'FMEA, l'analisi dei modi di guasto e dei loro effetti, che non a caso nacque negli anni '60 proprio nell'industria aerospaziale, la stessa culla della reliability engineering. L'FMEA è lo strumento che trasforma la domanda "cosa potrebbe andare storto?" in una tabella: per ogni componente o fase di processo si elencano i modi di guasto possibili, se ne valutano gravità, probabilità e rilevabilità e si ordina il tutto per priorità di rischio. Se nella vostra organizzazione l'FMEA esiste già, il salto di qualità in ottica affidabilità è alimentarla con i dati veri dei guasti invece che con stime fatte a tavolino. Se non esiste, iniziare dall'FMEA del vostro prodotto o processo più critico è il modo migliore per costruire il ponte tra il sistema qualità che avete e l'ingegneria dell'affidabilità che volete.

Il secondo gradino ha il nome di un ingegnere svedese che merita un posto nella vostra galleria di personaggi da ricordare. Nel 1951 Waloddi Weibull pubblica sul Journal of Applied Mechanics un articolo dal titolo volutamente modesto, "A statistical distribution function of wide applicability": una funzione statistica di ampia applicabilità. Dietro quel titolo dimesso c'era una distribuzione di probabilità così flessibile da riuscire a descrivere, cambiando un solo parametro, quasi tutti i meccanismi di guasto conosciuti e, infatti, oggi la distribuzione di Weibull è lo strumento di lavoro quotidiano degli ingegneri dell'affidabilità di tutto il mondo.

Il piano d'azione: cinque mosse per cominciare

Ricapitoliamo tutto in un percorso operativo. Le cinque mosse che seguono sono in ordine di esecuzione e, cosa non secondaria, le prime tre non costano praticamente nulla.

La natura non si lascia ingannare

Chiudiamo con un'ultima storia, perché c'è ancora una lezione, la più importante, che gli strumenti da soli non possono darvi. Il 28 gennaio 1986 lo Space Shuttle Challenger si disintegra 73 secondi dopo il decollo. Nella commissione d'inchiesta presidenziale siede il premio Nobel per la fisica Richard Feynman, che durante i lavori scopre qualcosa di sconcertante e lo mette nero su bianco nella sua celebre Appendice F al rapporto finale: alla domanda "qual è la probabilità di perdere una navetta?", gli ingegneri della NASA rispondevano circa 1 su 100. I dirigenti della stessa NASA rispondevano 1 su 100.000. Mille volte di differenza, dentro la stessa organizzazione, sullo stesso identico oggetto. Feynman fece notare che il numero dei dirigenti implicava di poter lanciare uno Shuttle al giorno per trecento anni perdendone uno solo, e concluse la sua appendice con una frase che dovrebbe stare appesa in ogni ufficio qualità:

Per una tecnologia di successo, la realtà deve avere la precedenza sulle pubbliche relazioni, perché la natura non si lascia ingannare.

Richard Feynman, Appendice F al rapporto della Commissione Rogers, 1986

La storia, purtroppo, diede ragione agli ingegneri: su 135 missioni complessive del programma Shuttle, le perdite furono due. Circa 1 su 68. Il numero vero era persino peggiore di quello degli ingegneri, e lontanissimo da quello dei dirigenti.

Se adesso chiedeste "qual è la probabilità che il nostro processo principale tradisca un cliente quest'anno?" separatamente a chi lavora sulla linea e a chi siede in direzione, otterreste lo stesso numero o due numeri lontanissimi l'uno dall'altro? E voi, il vostro numero, lo conoscete davvero?