Centrale operativa

Progettare per l’operatore, non per la demo

Una centrale operativa si valuta nelle condizioni peggiori: notte fonda, evento in corso, operatore solo. Da qui discendono scelte di interfaccia che sembrano banali e non lo sono. Il sinottico mostra la rete in scala geografica corretta, con la progressiva chilometrica sempre visibile. Gli stati usano forma e posizione oltre al colore, perché il colore da solo esclude gli operatori con deficit cromatico. Gli allarmi sono ordinati per gravità e per anzianità, e non scompaiono da soli.

Il numero di elementi contemporaneamente attivi sullo schermo è un vincolo di progetto: oltre una certa soglia l'operatore smette di leggere e comincia a cercare, e il tempo di reazione crolla.

Gestione degli eventi e registro

Ogni evento ha un ciclo di vita: rilevazione automatica o segnalazione, presa in carico da parte di un operatore identificato, azioni intraprese, chiusura con esito. Ogni passaggio è registrato con marcatura temporale e identità dell'operatore in un registro non modificabile.

Questo registro serve a tre cose distinte: ricostruire l'accaduto in caso di contestazione, misurare i tempi di reazione per migliorarli, e alimentare l'analisi delle cause ricorrenti. È anche l'elemento che le procedure di gestione degli incidenti richiedono di poter esibire.

Comando dei pannelli e messaggi cooperativi

Il comando dei pannelli a messaggio variabile è automatizzabile a partire da soglie, ma con due cautele. La prima è la revoca: un messaggio che resta acceso quando la condizione è cessata erode la credibilità dell'informazione più di quanto un messaggio mancato non faccia. La seconda è la coerenza fra pannelli successivi lungo lo stesso itinerario.

Accanto ai pannelli, la diffusione cooperativa. I messaggi DENM descrivono eventi puntuali e transitori — veicolo fermo, ostacolo, fondo scivoloso, cantiere mobile — con area di rilevanza e tempo di validità espliciti. I messaggi IVIM veicolano le informazioni di segnaletica, incluse le limitazioni variabili. La generazione automatica di questi messaggi a partire dagli eventi già gestiti in centrale è il modo naturale di rendere cooperativo un impianto esistente, senza duplicare le logiche.

Continuità di servizio e sicurezza

I server di supervisione lavorano in coppia con commutazione automatica, alimentati da gruppo di continuità con autonomia verificata periodicamente sotto carico reale. La rete di campo è segmentata rispetto alla rete d'ufficio, con flussi consentiti dichiarati in modo esplicito e negati per impostazione predefinita.

Gli accessi amministrativi sono nominali e protetti da autenticazione a più fattori; le utenze di servizio hanno privilegi minimi e credenziali ruotate. La direttiva NIS2 e la relativa norma nazionale di recepimento hanno reso questi elementi requisiti di progetto per gli operatori di infrastrutture critiche, con obblighi di notifica degli incidenti significativi entro termini stringenti. Progettarli dopo la messa in esercizio costa molto più che progettarli prima.

Il passaggio dalla vecchia alla nuova centrale

Raramente si costruisce una centrale operativa da zero. Nella maggior parte dei casi si sostituisce un sistema in esercizio che non può fermarsi, e questo vincolo domina tutte le altre scelte progettuali.

La strada che seguiamo è il funzionamento in parallelo. Il nuovo sistema viene alimentato dagli stessi ingressi di campo e portato in esercizio in sola lettura, mentre il vecchio continua a comandare. Il periodo di sovrapposizione serve a due cose: confrontare gli eventi generati dai due sistemi sulle stesse condizioni reali, e permettere agli operatori di familiarizzare con la nuova interfaccia senza responsabilità operativa.

Il passaggio del comando avviene per sottosistemi, non in un unico blocco, e ogni passaggio ha un piano di ritorno documentato e provato. La formazione degli operatori si svolge sul sistema reale durante la sovrapposizione, con scenari costruiti su eventi realmente accaduti sulla rete del gestore: sono molto più efficaci di qualunque esercitazione astratta.

Documentazione e trasferimento delle competenze

Una centrale operativa che dipende dalla memoria di due persone è una centrale fragile. Consegniamo quindi, oltre al sistema, l'insieme dei documenti che ne rendono possibile la gestione autonoma.

• Architettura logica e fisica, con schema delle zone di rete e dei flussi consentiti.
• Elenco dei punti dati con nome, unità, dominio e sorgente, allineato al dizionario dei campi.
• Manuale operativo per turnista, scritto in forma di procedure e non di descrizione del software.
• Procedure di ripristino, con tempi obiettivo dichiarati e prove periodiche registrate.
• Registro delle configurazioni e delle soglie, con storico delle modifiche e motivazione.

Le credenziali amministrative restano al gestore. Un manutentore che detiene le uniche chiavi del sistema non sta offrendo un servizio: sta costruendo una dipendenza.