Tre blackout e un’infrastruttura sommersa. Il meccanismo è quasi sempre lo stesso: un evento locale incontra un sistema interconnesso, e ciò che sembrava ridondante smette di esserlo.
Le grandi crisi infrastrutturali non iniziano necessariamente con un incidente di grande entità. A volte tutto ha inizio con una variazione di tensione, un incendio in una sottostazione, della vegetazione troppo vicina a una linea elettrica o un cavo danneggiato sul fondo del mare. Il vero problema si presenta in seguito, quando quell’incidente locale incontra un sistema fortemente interconnesso e le conseguenze iniziano a propagarsi.
28 aprile 2025: Spagna e Portogallo al buio
Alle 12:33 del 28 aprile 2025, le reti elettriche della Spagna peninsulare e del Portogallo hanno subito un collasso totale. Una piccola parte del sud-ovest della Francia ha avuto brevi interruzioni, mentre il resto della rete europea è rimasto sostanzialmente stabile. Il ripristino ha richiesto circa 12–16 ore. L’ENTSO-E ha ricostruito l’incidente con un gruppo internazionale di esperti e, nel rapporto finale pubblicato il 20 marzo 2026, ha concluso che il blackout non ha avuto un’unica causa, ma è nato dall’interazione di più fattori. Oscillazioni, problemi nel controllo della tensione e della potenza reattiva, modalità di regolazione diverse, riduzioni rapide della produzione e disconnessioni dei generatori hanno prodotto aumenti molto rapidi della tensione e una sequenza di disconnessioni a cascata. La lezione per chi si occupa di resilienza è evidente. Nei sistemi complessi non serve un singolo componente che “si guasti e spenga tutto”. Basta una combinazione di condizioni che, prese una a una, sembrano controllabili, ma insieme superano la capacità del sistema di stabilizzarsi.
Heathrow: tre alimentazioni, una sola dipendenza
Alcune settimane prima, la sera del 20 marzo 2025, alle 23:21, uno dei tre trasformatori della sottostazione di North Hyde (275 kV, nella zona ovest di Londra) è andato in guasto e ha preso fuoco. Gli altri due sono usciti di servizio subito dopo, e la sottostazione ha perso ogni alimentazione. L’incendio non era all’interno dell’aeroporto e non ha toccato né piste né terminal. Heathrow ha comunque cessato le operazioni per gran parte del 21 marzo. Il caso è istruttivo per tre motivi.
- La ridondanza era solo apparente. Heathrow si considerava protetto: prendeva energia da tre sottostazioni, ciascuna con più trasformatori e più collegamenti. La Kelly Review, commissionata dallo stesso aeroporto e pubblicata il 28 maggio 2025, ha rilevato che la perdita di un’intera alimentazione era considerata un evento di bassa probabilità. Secondo la revisione, quasi tutte le fonti di emergenza collegate all’alimentazione di North Hyde si sarebbero esaurite prima del ripristino della rete.
- Il difetto era noto. Il rapporto finale del NESO (National Energy System Operator), che il governo britannico aveva incaricato di indagare, indica come causa probabile l’ingresso di umidità in un isolatore passante ad alta tensione. L’anomalia era stata rilevata nel 2018 e non era stata risolta. L’impianto antincendio della sottostazione era fuori servizio almeno dal 2022.
- Nessuno vedeva la dipendenza. Secondo il NESO, né il gestore della rete di trasmissione né quello di distribuzione erano consapevoli di quanto la perdita di un punto di alimentazione potesse incidere sui sistemi critici dell’aeroporto.
È la differenza tra ridondanza e indipendenza, applicata a una manutenzione rimandata. Tre alimentazioni sulla carta; di fatto un punto debole che nessuno aveva collegato al servizio che sosteneva.
Un blackout multinazionale iniziato dalla vegetazione
Il 21 giugno 2024 un grave incidente alla rete elettrica ha colpito l’Europa sud-orientale: blackout in Albania, Bosnia-Erzegovina e Montenegro e blackout parziale in Croazia. Il rapporto finale dell’ENTSO-E, pubblicato nel febbraio 2025, individua come cause iniziali due cortocircuiti provocati dalla vegetazione cresciuta troppo vicino alle linee. La radice del problema, scrive il rapporto, è che la vegetazione non era stata potata nei limiti operativi: il rischio di cortocircuito era stato sottovalutato. Le disconnessioni successive hanno coinvolto diversi gestori. Quando la tensione ha iniziato a calare, le misure disponibili non sono bastate a evitare il collasso. Il rapporto raccomanda ai gestori di controllare le procedure di potatura e di estendere l’osservabilità alle reti confinanti, per avere in tempo reale un quadro più completo. È difficile trovare un esempio più eloquente di come una causa banale possa diventare un incidente sistemico. Non un attacco informatico sofisticato, non un terremoto, non un sabotaggio: un rischio di manutenzione ordinaria sottovalutato, in una rete interconnessa. Nei sistemi complessi la gravità delle conseguenze non è proporzionale al carattere spettacolare dell’evento iniziale.
Sotto il Mar Baltico: un caso diverso
Il Baltico non è un caso di guasto a cascata, ma di infrastruttura che nessuno vede. Secondo il conteggio riportato dall’agenzia AP a gennaio 2025, da ottobre 2023 erano stati danneggiati almeno undici cavi sottomarini nella regione, tra comunicazioni ed energia. A gennaio 2025 la NATO ha avviato la missione Baltic Sentry per sorvegliare cavi e condotte. Le cause non sono sempre chiare. Nelle acque del Nord Europa i danni derivano di norma da pesca e ancore, e in più casi le indagini si sono concentrate su navi sospettate di aver trascinato l’ancora; il sospetto di sabotaggio resta in discussione. Non tutti questi eventi hanno prodotto interruzioni gravi, proprio perché le reti hanno una certa ridondanza. Ma una parte rilevante di comunicazioni e collegamenti energetici europei passa da infrastrutture fisiche sul fondo del mare, difficili da sorvegliare. I cavi in fibra, nel Baltico, sono stati di norma ripristinati in settimane. Per cavi elettrici e condotte possono servire mesi.
Lo schema è sempre lo stesso
I casi sono molto diversi tra loro. Nel blackout iberico c’è un’interazione complessa tra condizioni operative e dinamiche della rete. A Heathrow un incendio in una sottostazione esterna, a causa di un difetto noto e non risolto, ferma un aeroporto internazionale. Nei Balcani due cortocircuiti da vegetazione contribuiscono a un blackout multinazionale. Nel Baltico emerge la vulnerabilità di infrastrutture sommerse da cui dipendono comunicazioni ed energia. Il meccanismo di fondo è simile: un evento locale incide su un sistema interconnesso e le conseguenze si propagano. È il principio del “guasto a cascata”, e uno dei rischi più difficili da gestire, perché mette in discussione la logica dei piani elaborati per scenari isolati. Molte organizzazioni hanno piani indipendenti per la perdita dell’edificio, l’indisponibilità dei sistemi informatici, l’interruzione dell’energia o la perdita di un fornitore. Sono scenari utili, ma una crisi infrastrutturale significativa raramente si ferma lì. Un blackout può colpire telecomunicazioni, trasporti, pagamenti e mobilità delle persone. Un problema alle telecomunicazioni può rendere inutilizzabile il cloud. Una crisi nei trasporti può compromettere il carburante per i generatori. Il rischio non è solo che una risorsa cessi di essere disponibile, ma che la soluzione prevista dipenda a sua volta da un’altra infrastruttura colpita dallo stesso evento.
La vera storia dell’orrore
Le infrastrutture moderne sono progettate con ridondanze, protezioni e procedure di emergenza, ed è anche per questo che eventi di questa portata restano relativamente rari. Ma sono proprio gli incidenti reali a mostrare i limiti di un approccio basato solo sulla probabilità di un singolo guasto. La vera storia dell’orrore non è che qualcosa possa andare storto: sappiamo che prima o poi accadrà. È scoprire, durante l’incidente, che sistemi considerati indipendenti erano collegati dalla stessa dipendenza invisibile. Quando quella dipendenza si spezza, non perdiamo solo un’infrastruttura. Perdiamo, nello stesso momento, anche una parte delle alternative su cui avevamo costruito la nostra resilienza.
Domande per i Resilience Manager
- Quali delle nostre alimentazioni, linee o sedi “ridondanti” condividono lo stesso punto di guasto, compresa la manutenzione di chi le gestisce?
- Conosciamo le anomalie note e non risolte sulle infrastrutture da cui dipendiamo, e sappiamo chi le sta gestendo?
- Quanto dura la nostra autonomia di emergenza rispetto a un ripristino realistico, in ore o in giorni?
Fonti
This post is also available in:
