Quando si dice il caso: nel solo mese di agosto 2026 abbiamo individuato almeno sette eventi pubblicamente documentati in Europa nei quali l’ammoniaca, R717, è risultata coinvolta in incidenti in impianti frigoriferi industriali o in applicazioni tipicamente RACHP.

Perdite da valvole e tubazioni, rilasci in sala macchine, interventi di manutenzione degenerati in emergenza, cedimenti di componenti del compressore, evacuazioni di stabilimenti e, in alcuni casi, lavoratori ospedalizzati.

Messa così, la fotografia sembra quella di una vera “estate tossica”.

Ma prima di trarre conclusioni o avere un atteggiamento catastrofista, occorre raffreddare il dato.

La stessa ricognizione che abbiamo fatto nel mese precedente, luglio 2026, non ha evidenziato una sequenza comparabile di incidenti R717 in Europa. E sette eventi, per quanto significativi, non rappresentano certamente una base statistica sufficiente per affermare un aumento strutturale dell’incidentalità dell’ammoniaca.

Esiste inoltre un inevitabile reporting bias:, che rappresenta anche una sicurezza: una perdita di NH₃ è facilmente percepibile, può richiedere evacuazioni, interventi dei nuclei speciali e tende quindi a essere riportata dalle autorità e dalla stampa con una probabilità molto maggiore rispetto a molte altre anomalie frigorifere.

Quello che merita attenzione è altro: gli eventi di agosto mostrano alcuni schemi tecnici ricorrenti.

Manutenzione. Integrità meccanica. Tubazioni e valvole. Capacità di isolamento. Dispersione oltre la sala macchine. Affidabilità delle barriere di mitigazione.

Ed è su questi elementi, più che sul numero assoluto degli incidenti, che vale la pena soffermarsi.

L’ammoniaca, del resto, resta uno dei refrigeranti più efficienti e tecnicamente validi disponibili per la refrigerazione industriale. Il punto non è quindi metterne in discussione l’utilità, ma capire cosa questi eventi possono insegnarci su come progettare, mantenere e gestire correttamente un impianto R717.

I casi non sono perfettamente omogenei e, soprattutto, il livello delle informazioni tecniche disponibili è molto variabile.

In alcuni eventi abbiamo una ricostruzione abbastanza precisa della causa. In altri sappiamo soltanto che si è verificato un rilascio e che sono intervenute squadre specialistiche.

È importante mantenere questa distinzione: una rassegna seria degli incidenti non deve trasformare un’ipotesi giornalistica in una causa tecnica accertata.

Primo schema: la manutenzione può diventare essa stessa uno scenario incidentale

Due degli episodi di agosto — Osso de Cinca e Kaynarca — sono espressamente associati ad attività di manutenzione o riparazione.

Non significa naturalmente che “la manutenzione provoca gli incidenti”. Significa però ricordare un principio fondamentale: un impianto fermo non è necessariamente un impianto privo di energia o di refrigerante.

Durante un intervento manutentivo vengono modificate condizioni che durante l’esercizio ordinario rimangono normalmente stabili.

Si aprono circuiti. Si isolano sezioni. Vengono manovrate valvole. Cambia la distribuzione del refrigerante. Possono essere realizzate connessioni temporanee. Alcune protezioni possono essere momentaneamente escluse o bypassate.

E soprattutto aumenta enormemente l’interazione diretta tra operatore e sistema.

La lezione che se ne trae non può essere semplicemente “fare più manutenzione”. Deve essere: preparare meglio la manutenzione.

Isolamento positivo, depressurizzazione, verifica dell’assenza di refrigerante residuo, controllo atmosferico, LOTO, permesso di lavoro, ventilazione e gestione dell’emergenza non sono formalismi burocratici.

Sono barriere di sicurezza.

Secondo schema: tubazioni, valvole e capacità reale di isolamento

Vilamalla, Mercabarna e soprattutto Halesworth riportano l’attenzione sulla parte forse meno spettacolare di un impianto frigorifero: tubazioni, valvole, flange, connessioni e dispositivi di intercettazione.

È molto più facile concentrare l’attenzione progettuale sui compressori, sui recipienti e sulle PSV. Ma una centrale R717 è anche — e soprattutto — una rete di tubazioni. E quando una tubazione cede, la domanda determinante non è soltanto: “Quanto è grande la perdita?” ma: “Quanto refrigerante può alimentarla prima che la sezione venga realmente isolata?”

Questo porta direttamente alla filosofia di isolamento dell’impianto.

Valvole manuali o automatiche?
Accessibili durante l’emergenza?
Ridondanti?
Posizionabili senza attraversare la zona interessata dalla perdita?
In grado di limitare la quantità che può essere coinvolta?

La sicurezza non consiste soltanto nel prevenire la rottura. Consiste anche nel limitare quantitativamente le conseguenze quando la rottura avviene.

Terzo schema: la sala macchine non è il confine del rischio

Il caso Mercabarna è particolarmente istruttivo.

L’origine della perdita è stata individuata nella sala macchine, ma l’ammoniaca si è propagata verso le parti superiori ed esterne dell’edificio. È un punto tutt’altro che banale.

Quando si valuta uno scenario di rilascio, il confine dell’analisi non può coincidere con le pareti del locale tecnico.

Occorre considerare anche (elenco non esaustivo!):

• piping esterno;
• scarichi della ventilazione;
• scarico delle PSV;
• aperture e attraversamenti;
• prese d’aria;
• coperture;
• cavedi;
• percorsi di evacuazione;
• edifici o attività limitrofe.

Quindi è fondamentale chiedersi “Dove può arrivare il refrigerante dopo la perdita?”

Una distinzione che diventa essenziale quando si progetta la rete di rilevatori, la ventilazione e la gestione dell’emergenza.

Quarto schema: manutenzione programmata e integrità meccanica non sono la stessa cosa

Il caso di Passau è forse uno dei più interessanti dell’intera sequenza.

La causa del rilascio è stata individuata nel cedimento della guarnizione della testata di un compressore. L’elemento più significativo è però un altro: i compressori erano stati regolarmente controllati e sottoposti a manutenzione pochi mesi prima dell’incidente.

La prima ipotesi formulata dalle autorità locali ha quindi riguardato un possibile difetto del materiale. Questo permette di distinguere due concetti che vengono talvolta impropriamente sovrapposti:

Manutenzione Preventiva

Si tratta, evidentemente, del cercare di ridurre la probabilità del guasto attraverso controlli, sostituzioni programmate e manutenzione.

Integrità Meccanica

Questa richiede invece una visione più ampia, che, in fase di realizzazione del Fascicolo Tecnico (per quel fondamentale capitolo che è l'Analisi dei rischi), richiede, al di là delle norme, ma con un occhio più specifico all'impianto reale e al sito, l'identificazione dei componenti critici.

Ma l'Analisi dei rischi, a prescindere, richiede di conoscere/riconoscere la comprensione dei relativi failure modes, immaginare l'evoluzione e il controllo dell’invecchiamento e la verifica delle condizioni operative. Si tratta poi di gestire eventuali difetti seriali, e ricorrere sempre all'analisi delle anomalie, perseguendo la oot cause analysis dopo un cedimento e la verifica di componenti analoghi presenti sull’impianto o sulla flotta installata.

Una frase come: “il componente era stato regolarmente manutenuto” non chiude quindi necessariamente l’analisi.

Talvolta la apre.

Quinto pattern: le barriere di mitigazione hanno funzionato

C’è poi un elemento che merita di essere sottolineato per evitare una lettura semplicemente allarmistica degli eventi.

In molti degli episodi di agosto gli occupanti sono stati evacuati rapidamente e sono intervenute squadre specialistiche. In tutti i casi sono state effettuate misurazioni atmosferiche ed il rilascio è stato isolato.

Fondamentale, come sempre, le attività di ventilazione degli ambienti sì che le conseguenze sulle persone sono state limitate.

Anche questo è safety engineering.

La sicurezza industriale non significa progettare un mondo nel quale nessun componente possa mai guastarsi.

Significa progettare sistemi nei quali: quando un componente guasta, l’evento non evolve automaticamente in una catastrofe.

Rilevazione, ventilazione, isolamento, emergency shutdown e procedure di evacuazione sono quindi barriere tanto importanti quanto la prevenzione primaria.

Lezioni dall'Agosto 2026

Dai sette episodi non possiamo ricavare frequenze incidentali. Possiamo però ricavare una serie di domande utilissime da porre a qualsiasi impianto R717.

• Integrità meccanica: Quali componenti possono determinare, in caso di cedimento, il maggiore rilascio di refrigerante?
• Filosofia di "contenimento"; quanto refrigerante può effettivamente essere isolato quando si verifica una rottura?
• Manutenzione di sicurezza: prima dell’apertura di una sezione viene verificata realmente l’assenza di pressione e di refrigerante residuo?
• Rilevamento delle perdite: i rilevatori sono installati dove potrebbe realmente svilupparsi o transitare la nube?
• Ventilazione: la ventilazione porta il refrigerante verso una zona effettivamente sicura?
• Scarico delle valvole di sicurezza: lo scarico delle PSV avviene in una posizione che impedisce il ritorno dell’ammoniaca verso aperture, prese d’aria o zone occupate?
• Emergency response: chi può intervenire? Con quali DPI? Con quale formazione? Con quale conoscenza dell’impianto?
• Root cause analysis (analisi della radice del guasto): dopo un cedimento viene semplicemente sostituito il componente oppure viene verificato perché ha ceduto e se lo stesso problema può ripetersi altrove?
• Documentazione: P&ID, schemi di intercettazione, inventario del refrigerante e procedure di emergenza sono effettivamente aggiornati e disponibili a chi deve intervenire?

È qui che EN 378, PED, D.Lgs. 81/08, analisi del rischio e procedure aziendali smettono di essere documenti distinti e diventano un unico sistema di gestione della sicurezza.

E luglio?

È forse il dato meno spettacolare, ma metodologicamente più importante. Nella ricognizione che svogliamo regolarmente sulle fonti europee non abbiamo individuato per luglio 2026 una sequenza di eventi frigoriferi R717 paragonabile a quella di agosto. Questo non significa naturalmente che in Europa non sia avvenuta alcuna perdita di ammoniaca. Significa semplicemente che non emerge, dalle fonti pubblicamente disponibili, una concentrazione comparabile di eventi rilevanti e sufficientemente documentati.

Ed è proprio questo dato che impedisce di trasformare la nostra “estate tossica” in uno slogan allarmistico.

Agosto potrebbe essere stato un mese statisticamente anomalo. Oppure potrebbe trattarsi semplicemente di una concentrazione casuale di eventi maggiormente visibili.

Per stabilirlo servirebbero serie storiche, denominatori relativi al parco installato, ore di funzionamento, potenze e inventari di refrigerante.

Dati che le cronache giornalistiche, evidentemente, non possono fornire.

R717: una tecnologia da utilizzare nel suo campo naturale

Alla fine di questa rassegna occorre quindi ritornare al punto di partenza. L’ammoniaca non è il problema. L’R717 rimane uno dei migliori refrigeranti disponibili per molte applicazioni industriali.

Ha:

• eccellenti proprietà termodinamiche;
• elevata efficienza energetica;
• ottime caratteristiche di scambio termico;
• costo relativamente contenuto;
• disponibilità consolidata;
• ODP pari a zero;
• GWP praticamente nullo.

Non sorprende quindi che continui a essere una soluzione di riferimento nella grande refrigerazione industriale, nella logistica del freddo, nell’industria alimentare, negli impianti di processo e nelle applicazioni di grande potenza.

All’altro estremo, lo sviluppo delle architetture low-charge ammonia sta dimostrando che è possibile sfruttarne le eccellenti prestazioni anche riducendo drasticamente l’inventario frigorigeno e, conseguentemente, parte del rischio potenziale.

Si delineano quindi due ambiti particolarmente naturali:

molto piccolo, con cariche fortemente ridotte, e
molto grande, dove efficienza e potenza rendono l’R717 estremamente competitivo.

Nel vasto spazio intermedio, CO₂, idrocarburi e refrigeranti A2L consentono oggi al progettista di valutare architetture diverse e selezionare di volta in volta quella più proporzionata al rischio, alla potenza e all’applicazione.

Non è una competizione ideologica tra refrigeranti.

È engineering!

Gli eventi dell’agosto 2026 non suggeriscono di abbandonare l’ammoniaca. Suggeriscono qualcosa di molto più concreto: la necessità di una elevata competenza. L’R717 non ha bisogno di essere demonizzato. Ha bisogno di essere:

progettato come R717,
installato come R717,
manutenuto come R717
e gestito come R717.

Agosto ci ha ricordato cosa può accadere quando una delle barriere viene meno. Luglio, nel quale non abbiamo rilevato una serie comparabile di eventi, ci ricorda contemporaneamente perché sarebbe scorretto trasformare alcuni incidenti in una condanna della tecnologia.

L’ammoniaca rimane una soluzione matura, efficiente e preziosa per la refrigerazione industriale.

Proprio perché lo è, merita una cultura della sicurezza altrettanto matura.

La Redazione

 

Fonti:

• Vilamalla, Girona — 1 agosto 2026 RAC1 – Vilamalla, fuga di ammoniaca - 3Cat – Vilamalla, fuga di ammoniaca
• Induno Olona (VA) — 5 agosto 2026 VareseNews – Induno Olona
• Mercabarna, Barcellona — 6 agosto 2026 Protecció Civil Generalitat – Mercabarna - Protecció Civil Lleida – Mercabarna, testo completo
• Halesworth, Suffolk — 14 agosto 2026 Suffolk Fire and Rescue Service – Bernard Matthews ammonia leak
• Osso de Cinca, Huesca — 20 agosto 2026 Cadena SER – Osso de Cinca
• Passau — 26 agosto 2026 Città di Passau – causa del rilascio di ammoniaca - Città di Passau – cronologia dell'emergenza
• Kaynarca, Sakarya — 27 agosto 2026- DHA – Kaynarca, 15 lavoratori coinvolti