Bypass di misura (nodo)

Il report Bypass di misura esegue un’analisi formalizzata di un singolo nodo di misura su un periodo selezionato, con l’obiettivo di rilevare segni di possibile sotto-misurazione, sostituzione del canale di misura, comportamento errato del sensore o altri eventi che richiedono l’attenzione del servizio di misura. Si basa sugli stessi standard che regolano la misura del gas: ISO 5167 (diaframmi), ISO 6976 (potere calorifico), EN 12405-1 (conversione elettronica del volume di gas), OIML R 137 (contatori di gas), OIML R 140 (sistemi di misura per combustibili gassosi) ed EN 1359 (contatori a membrana).

Scopo del report

Intestazione del report. La prima cosa che il lettore vede: l’identificativo del nodo, l’identificativo del dispositivo, il tipo di convertitore, il periodo coperto, l’ora di generazione, il punteggio di sospetto finale e la sua severità testuale. Il punteggio da solo non prova nulla: è un indicatore composito che va sempre letto insieme ai sei indicatori adiacenti (vedi la sintesi dell’indagine più avanti).

Il report non costituisce una dichiarazione formale di violazione. Non stabilisce il fatto del furto, non sostituisce un’ispezione sul campo e non è un parere legale. Il suo compito è descrivere matematicamente e metrologicamente i pattern sospetti, mostrare l’affidabilità delle fonti, fissare la priorità dell’ispezione e fornire alla squadra di campo un elenco chiaro di ciò che va verificato in loco.

Il report risponde alle seguenti domande:

• ci sono periodi con Q≈0 nell’archivio orario che appaiono atipici;
• il canale di pressione P era bloccato a un valore di sostituzione o quasi costante;
• la temperatura T è cambiata mentre la pressione restava ferma;
• c’è stato un brusco ripristino di Q e P dopo un periodo a zero;
• ci sono corrispondenze con l’archivio degli eventi anomali;
• ci sono segnali diretti del dispositivo: accesso fisico, modifica di parametri, reset, cambio dell’orologio;
• quanto sono complete le fonti dati;
• il sospetto può essere considerato confermato;
• è necessario un sopralluogo e con quale priorità;
• quale potenziale entità di volume non misurato richiede verifica;
• quali ipotesi alternative devono essere escluse prima di qualsiasi conclusione su una manomissione.

Pubblico di riferimento

Cosa il report NON deve fare

Il report non deve:

• accusare automaticamente un consumatore di bypass di misura;
• chiamare l’esposizione calcolata una perdita confermata;
• trattare il flusso a zero come una violazione senza verificare il regime operativo;
• trattare un sensore bloccato come prova di manomissione;
• applicare la legge di Gay-Lussac senza verificarne l’applicabilità fisica;
• trattare P=100 kPa come illegale senza il libretto e il regime P_const;
• aumentare la prontezza legale basandosi soltanto su un commento dell’IA;
• formulare una conclusione su una manomissione quando manca l’archivio orario;
• sostituire un verbale di campo con un punteggio automatico.

Termini chiave

Logica complessiva del report

La logica complessiva del report è costruita su più livelli:

Archivio orario Q/P/T
→ ricerca di periodi a flusso zero
→ controllo del canale di pressione P
→ controllo della temperatura T
→ controllo del recovery dopo una finestra a zero
→ controllo di pattern aggiuntivi
→ confronto con il log del dispositivo
→ calcolo del pattern score
→ calcolo dell'event score
→ limitazione del cap di severity
→ valutazione dell'evidence confidence
→ legal readiness
→ field priority
→ stima dell'exposure
→ matrice delle cause radice
→ checklist del sopralluogo

È essenziale che il report separi:

1. pattern statistico nell’archivio orario;
2. evento del dispositivo nel log del convertitore;
3. affidabilità delle fonti;
4. prontezza legale;
5. ispezione sul campo.

Ciascuno dei cinque livelli viene valutato in modo indipendente. Un punteggio alto su uno di essi non aumenta la prontezza all’azione su un altro. Ad esempio, score=100 senza eventi del dispositivo e senza sopralluogo può restare partial sulla prontezza legale e P1 sulla priorità di campo.

Dati di ingresso

Dati obbligatori

Senza l’archivio orario il report può solo mostrare l’assenza di dati e non deve costruire una conclusione completa di sospetto.

Dati auspicabili

Periodo minimo affidabile

Un periodo inferiore a 30 giorni declassa automaticamente di un livello l’affidabilità della base probatoria: high → medium, medium → low. Un minimo ragionevole è di 90 giorni; il periodo consigliato è di 366 giorni (un anno fornisce la stagionalità per tutti i pattern).

Mappa delle prove

Mappa delle prove. Quali fonti dati sono state usate per lo scoring e quanto sono complete. Più contrassegni verdi “OK” ci sono, maggiore è l’affidabilità delle prove. Ogni fonte ha un peso nella formula dell’evidence confidence, e uno stato partial o missing abbassa la percentuale risultante.

Formula di affidabilità delle fonti

Sia:

• w_i — peso della fonte;
• s_i — coefficiente di stato della fonte.

Stati:

La percentuale complessiva di affidabilità delle fonti è quindi:

Interpretazione dell’evidence confidence

Periodo a flusso zero

La maggior parte dei segnali nel report parte dalla ricerca dei periodi in cui il flusso è quasi zero.

Soglia di quasi-zero

Soglia di base:

Un’ora è considerata a zero se:

Durata minima

Un periodo a zero diventa candidato per l’analisi se dura almeno:

Cioè:

Q≈0 in modo continuo per 6 ore o più

Perché esattamente 6 ore

La soglia di 6 ore evita di reagire a brevi pause operative, periodi di inattività casuali o singoli punti a zero. Per un pattern di bypass o sostituzione, ciò che conta non sono gli zeri isolati ma una finestra stabile in cui il flusso è assente mentre gli altri canali si comportano in modo sospetto.

Empiricamente, 6 ore coprono la maggior parte dei pattern reali “spegnimento notturno → riavvio mattutino con sostituzione” senza falsi positivi su pause pranzo o brevi fermate pianificate in siti industriali.

Pressione di sostituzione P_default

Uno degli indicatori chiave è una pressione vicina ai valori tipici di sostituzione.

Valori di sostituzione

Tolleranza

Per i valori atmosferici e contrattuali:

Per il valore zero:

Formula di prossimità

La pressione è considerata vicina al valore di sostituzione se:

dove:

• P_mean — pressione media all’interno della finestra a zero;
• P_default — uno dei valori di sostituzione.

Limitazione importante

P_default da solo non è prova di violazione. Può essere:

• un regime P_const legittimo;
• un’impostazione del dispositivo usata quando il sensore è assente;
• un valore di ripiego in caso di emergenza;
• una conseguenza dello scollegamento del sensore;
• una caratteristica particolare del modello di convertitore.

Per questo il libretto è necessario per qualsiasi conclusione:

Verifica: P_const è consentito, quale valore di P_const è impostato, perché è stato applicato.

Canale di pressione bloccato P_stuck

Deviazione standard della pressione

All’interno della finestra a zero viene calcolata la deviazione standard della pressione:

Il canale di pressione è considerato bloccato se:

Variazione di temperatura

Per il controllo fisico, la temperatura nella finestra deve variare in modo apprezzabile:

Condizione:

Se la temperatura è variata appena, è impossibile dire con sicurezza se P avrebbe dovuto cambiare.

Verifica della legge di Gay-Lussac

Formula fisica

Per un volume chiuso di gas con una quantità di sostanza costante:

dove:

Dati i valori iniziali:

Variazione di pressione attesa:

Confronto con la variazione reale

La variabilità reale della pressione si valuta tramite la deviazione standard o l’escursione:

oppure:

Se:

e allo stesso tempo:

allora il canale di pressione è considerato sospettosamente bloccato.

Coefficiente di divergenza

Per la spiegazione nel report si può usare il seguente rapporto:

dove ε è una piccola costante per evitare la divisione per zero.

Se K_GL è grande, il report indica che la variazione di pressione attesa è molte volte superiore alla variabilità reale.

Limitazione fisica importante

La legge di Gay-Lussac è applicabile solo a un volume chiuso di gas.

Non è applicabile o lo è solo in parte se:

• il nodo è collegato alla rete;
• la pressione è mantenuta da un regolatore;
• il monte/valle è aperto;
• la pressione è relativa, non assoluta;
• il libretto specifica un regime P_const;
• il volume non è isolato;
• il sensore di pressione arrotonda o filtra i valori.

Catalogo dei pattern rilevati

Tabella della metodologia. Tutti i nove indicatori che il report può cercare, con la loro condizione formale, il livello di severity (low / medium / high / very_high) e un contrassegno cliccabile “attivato in questo report”. La tabella mostra subito quali indicatori si sono attivati sul nodo dato e consente di saltare direttamente alla scheda dell’evento.

Sostituzione di P con un valore di default

Condizione formale:

e:

e:

e:

Significato: la pressione resta a un valore di sostituzione tipico durante un lungo periodo a flusso zero. Questo può indicare una sostituzione del canale di pressione, ma può anche essere un regime P_const legittimo.

Canale di pressione P bloccato (violazione di Gay-Lussac)

Condizione formale:

e il modello di Gay-Lussac mostra che la variazione di pressione attesa dovrebbe essere apprezzabile.

Significato: la temperatura cambia ma la pressione resta quasi ferma. Questo può indicare un canale di pressione bloccato, il regime P_const, un regolatore di rete o una sostituzione del canale di misura.

Salto sincrono di Q+P dopo un periodo a zero

Condizione formale:

C’è un periodo a zero:

e dopo che termina, entro una finestra di:

viene registrato quanto segue:

e:

Significato: dopo un lungo periodo a zero, sia il flusso che la pressione vengono ripristinati simultaneamente. Questo può indicare che la misura è ripresa dopo un cambio di regime, ma può anche essere un normale avviamento tecnologico.

Lacuna nell’archivio con sessioni di comunicazione riuscite

Condizione formale:

C’è una lacuna nell’archivio orario:

e nella stessa finestra ci sono state sessioni di comunicazione riuscite:

Significato: il nodo era online, ma l’archivio orario non è stato consegnato o registrato. Questo somiglia più a un problema di consegna, esportazione, parsing o integrazione che a un bypass fisico della misura.

Q e P troppo piatti (plateau)

Condizione formale:

Il periodo dura:

il flusso è diverso da zero:

il flusso è troppo piatto:

la pressione è quasi bloccata:

Significato: una curva molto piatta può essere normale per alcuni processi tecnologici, ma può anche indicare un profilo sintetico o sostituito.

Q=0 notturno con temperatura calda

Condizione formale:

Nelle ore notturne:

il flusso è pari a zero:

la temperatura è superiore alla soglia:

e questo si verifica in almeno 5 notti.

Significato: indicatore debole. Per scuole, uffici, siti stagionali ed edifici residenziali, un flusso notturno nullo può essere la norma.

Salti di pressione senza flusso

Condizione formale:

Almeno 3 occorrenze:

con:

Significato: forti salti di pressione senza un flusso corrispondente possono indicare un guasto del sensore, un artefatto della telemetria o una modifica manuale del canale.

Lunga sequenza di valori Q identici

Condizione formale:

Il flusso resta identico per:

entro:

Significato: un flusso naturale presenta normalmente rumore e variabilità. Una sequenza prolungata di valori identici può indicare una costante, un errore di trasmissione o un sensore di flusso scollegato.

Recovery solo durante l’orario lavorativo

Condizione formale:

Ci sono almeno 3 eventi di recovery, e la quota di recovery durante l’orario lavorativo è:

Orario lavorativo:

e il giorno della settimana è un giorno feriale.

Significato: se il ripristino della misura avviene spesso solo durante l’orario lavorativo, questo può indicare manutenzione manuale, visite di operatori o interventi di regime. Ma non è una prova di manomissione.

Pre-filtri sulla qualità dei dati

Prima di interpretare i pattern di manomissione, il report deve escludere gli artefatti evidenti.

Pressione fisicamente impossibile

Se:

per un nodo a bassa o media pressione, questo può essere un artefatto della telemetria.

Tali punti non devono gonfiare il sospetto.

Picco di flusso

Un picco di flusso può essere considerato un artefatto se:

e allo stesso tempo:

Un punto del genere può essere uno scarico del totalizzatore, un errore di trasmissione o un reset dell’archivio.

Sensore P guasto

Se il canale di pressione è bloccato per:

allora i rilevatori di manomissione dipendenti da P devono essere disattivati o contrassegnati come non probatori.

Questo significa:

Problema: affidabilità metrologica del sensore P.
Non una conclusione: prova di bypass.

Nodo di rete dove Gay-Lussac non è applicabile

Se:

e:

e il sensore non è ritenuto guasto, il nodo può essere un oggetto di rete a bassa pressione in cui la pressione è mantenuta da un regolatore.

In tal caso gli indicatori dipendenti da GL devono essere declassati o esclusi dallo scoring.

Livelli di severity e pesi di probabilità

A ogni indicatore attivato viene assegnato un livello di intensità.

Questi valori non sono la probabilità di una violazione legale. Sono pesi interni per combinare indicatori indipendenti.

Punteggio di sospetto composito

Perché non una semplice somma

Se sommassimo semplicemente tutti gli indicatori, un nodo con molti eventi deboli riceverebbe un punteggio eccessivamente alto. Per questo si usa una logica moltiplicativa di segnali indipendenti.

Formula

Per ogni evento il peso p_i viene preso in base alla sua severity.

Probabilità che nessuno degli indicatori indichi un sospetto:

La stima combinata è quindi:

Punteggio:

oppure, sviluppato:

Esempio

Supponiamo che ci siano due eventi:

• medium: p=0.30;
• low: p=0.10.

Allora:

Eventi esclusi dal punteggio

Alcuni eventi possono comparire nel report ma non partecipare al punteggio:

• eventi informativi;
• eventi con fisica non applicabile;
• eventi soppressi da un quality gate;
• eventi GL di rete;
• eventi spiegati da un sensore guasto.

Cap di severity

Anche se il punteggio risulta alto, il livello testuale finale non deve essere gonfiato quando tutti gli eventi sono deboli.

Matrice del cap

Perché serve il cap

Il cap protegge il report da una situazione in cui molti eventi deboli producono un punteggio matematico molto alto mentre il valore probatorio di ciascun evento resta basso.

Esempio:

Score = 100
Ma non ci sono eventi high/high_plus.
Livello finale: medium.

Event score — eventi del dispositivo

Il report tiene conto non solo delle statistiche Q/P/T ma anche degli eventi del dispositivo.

Classi di eventi del dispositivo

Perché l’event score può dominare

Gli eventi del dispositivo possono essere più affidabili delle euristiche statistiche. Ad esempio:

• violazione dell’involucro;
• modifica di parametri;
• reset;
• reset dell’archivio;
• cambio di data/ora;
• accesso con password/default;
• parameter_change.

Se tali eventi esistono, il punteggio finale può essere determinato da essi anche quando il punteggio statistico è più basso.

Limitazione importante

Non ogni evento del dispositivo è una prova diretta di manomissione.

Ad esempio:

• le deviazioni metrologiche possono essere regolari;
• le sintesi degli eventi anomali richiedono decodifica;
• i RAISE/CLEAR ripetuti vanno raggruppati;
• “flow = 0” può essere un funzionamento normale.

Punteggio finale e Root Cause Matrix

Punteggio finale e matrice delle ipotesi. Il blocco mostra quale dei due livelli (pattern statistico o event score) ha determinato il punteggio finale e propone immediatamente una matrice delle cause radice con ipotesi alternative. Tutte le ipotesi tranne “bypass” vengono verificate in loco. La causa radice finale viene fissata solo dopo il sopralluogo e la decodifica del log degli eventi anomali.

Il punteggio finale deve tenere conto di entrambi i livelli:

pattern statistico
event score del dispositivo

Uno dei principi:

Se EventScore è più alto, il report deve spiegare:

Il punteggio finale è determinato da eventi del dispositivo diretti o classificati.
Il rilevatore statistico ha fornito un punteggio inferiore.

Se PatternScore è più alto, il report deve spiegare:

Il punteggio finale è determinato da un pattern Q/P/T ripetuto.
I segnali diretti del dispositivo sono insufficienti.

Evidence confidence

L’evidence confidence riflette non l’intensità del sospetto ma la completezza della base probatoria.

Formula

Si usa la mappa delle fonti:

Stato della fonte:

Percentuale complessiva:

Livelli

Interpretazione importante

• Suspicion score risponde a: quanto è forte il pattern.
• Evidence confidence risponde a: se le fonti sono sufficienti per una conclusione affidabile.
• Legal readiness risponde a: se è possibile formulare una conclusione legalmente rilevante.

Sono tre scale diverse, e l’una non può essere derivata dall’altra.

Sintesi dell’indagine: sette scale

Sintesi dell’indagine. Subito sotto l’intestazione del report — sette indicatori che si leggono insieme, non separatamente. Ad esempio, Pattern Score = 100 con Evidence Confidence = 58% e Confirmed Tampering = ”—” significa: matematicamente il nodo appare molto sospetto, ma non ci sono ancora prove sufficienti per un verbale formale — è necessario un sopralluogo.

Ciascuna delle sette scale ha il proprio significato, formula e fonti:

Legal readiness

La legal readiness è la valutazione di quanto la conclusione sia pronta per un’azione legalmente rilevante.

Stati possibili

Condizioni per not_ready

solo pattern statistici
e nessun sopralluogo
e nessuna prova concreta del dispositivo
e il libretto è incompleto

Condizioni per partial

ci sono eventi di sostituzione
oppure l'evidence confidence è alta
oppure c'è un sopralluogo ma mancano alcune fonti

Condizioni per ready

ready è possibile solo se la base probatoria è sufficiente. Esempi:

• un evento fisico concreto nel log del dispositivo;
• violazione dell’involucro confermata;
• modifica di parametri confermata;
• sopralluogo + eventi del dispositivo;
• documentazione fotografica formale;
• P_const / parameter_change illegittimo comprovato.

Field priority

La field priority definisce l’urgenza della visita.

Livelli possibili

Matrice

Perché uno score di 100 può essere P1

Se il punteggio è alto ma:

• pochi eventi;
• nessun high / high_plus;
• la confidence è medium;
• nessun sopralluogo;
• il libretto è incompleto;
• non ci sono prove concrete;

allora la visita può essere P1, non P0.

Metrology reliability

La metrology reliability mostra quanto siano corrette le assunzioni fisiche e metrologiche.

Cosa riduce l’affidabilità

• libretto non confermato;
• P_const sconosciuto;
• peso impulso sconosciuto;
• Qmin/Qmax sconosciuti;
• P≈100 kPa si ripete senza spiegazione;
• il canale P è bloccato;
• il canale T è bloccato;
• tipo di pressione sconosciuto: assoluta o relativa;
• Gay-Lussac applicato a un nodo di rete non chiuso.

Livelli

Data integrity risk

Il data integrity risk mostra quanto siano completi i dati dell’indagine.

Cosa aumenta il rischio

• archivio delle sessioni parziale;
• log degli eventi del dispositivo mancante;
• archivio orario incompleto;
• lacune con sessioni riuscite;
• contraddizioni tra le fonti;
• timestamp dal futuro;
• decodifica degli eventi incompleta;
• log grezzi non disponibili.

Livelli

Root Cause Matrix — ipotesi tipiche

La Root Cause Matrix esiste affinché il report non si riduca a una singola accusa.

Ipotesi tipiche

Stati delle ipotesi

La causa radice finale viene fissata solo dopo un sopralluogo e la decodifica del log degli eventi anomali.

Stima del volume potenziale di esposizione

Stima del volume potenziale di esposizione. Non un volume di furto, ma una stima di entità per dare priorità al controllo. I tre numeri (low / expected / high) formano un intervallo di ±30% attorno al valore atteso. La baseline è calcolata come mediana dei flussi non nulli per la stessa ora della settimana al di fuori degli eventi. Senza un’ispezione sul campo, tutti i numeri restano un’euristica.

L’exposure è un calcolo dell’entità del consumo potenzialmente non misurato nelle finestre sospette.

Baseline

Per ogni ora si costruisce una baseline a partire dai dati storici al di fuori degli eventi.

Si usa la mediana dei flussi non nulli per la stessa combinazione:

ora del giorno + giorno della settimana

Formula:

Esposizione oraria

Per ogni ora di una finestra sospetta:

Limite superiore

Per evitare sovrastime, l’esposizione oraria è limitata al P95 storico:

Se Qmax è noto, il limite può essere ristretto:

Deduplicazione

Se le finestre sospette si sovrappongono, la stessa ora viene conteggiata una sola volta:

Esposizione attesa totale

Intervallo di incertezza

Per l’intervallo indicativo si usa ±30%:

Peso probatorio dell’exposure

L’exposure ha un peso probatorio basso o medio finché non si dispone di:

• un sopralluogo;
• letture di contatore esterno;
• conferma del regime del sito;
• conferma che Q avrebbe dovuto effettivamente essere >0;
• verifica dei parametri del libretto.

Correlazione con l’archivio degli eventi anomali

Eventi per gruppi. Ogni finestra di pattern sospetto si espande in una scheda completa: valori dettagliati, correlazione con il log degli eventi anomali (eventi del dispositivo entro ±24h), l’elenco delle ipotesi alternative e l’archivio orario di questa finestra. Una forte correlazione (parameter_change / reset all’interno della finestra) è un candidato a prova concreta.

La correlazione mostra se gli eventi del dispositivo si trovano vicino a una finestra sospetta.

Finestra di correlazione

Per ogni evento si usa la seguente finestra:

Cosa conta come corrispondenza

Una corrispondenza è qualsiasi evento del dispositivo che cade all’interno della finestra.

Esempi:

• sintesi degli eventi anomali;
• un singolo evento anomalo;
• parameter_change — modifica di un parametro del dispositivo;
• reset — reset;
• cover_open — violazione dell’involucro;
• clock_change — cambio dell’orologio;
• archive_reset — reset dell’archivio.

Interpretazione

Commento dell’IA

Commento dell’IA. Un testo ausiliario per l’operatore: un blocco spiega gli eventi del dispositivo, l’altro formula una sintesi della metodologia. La nota in alto sottolinea che l’IA non partecipa allo scoring e non sostituisce un’ispezione sul campo.

Il commento dell’IA è un testo ausiliario.

Cosa può fare l’IA

• spiegare brevemente il problema;
• elencare i rischi principali;
• formulare ipotesi;
• suggerire l’ordine dei controlli;
• produrre una conclusione chiara per l’operatore.

Cosa l’IA non può fare

L’IA non può:

• modificare il punteggio;
• modificare la prontezza legale;
• confermare la manomissione;
• sostituire il log del dispositivo;
• sostituire il libretto;
• sostituire un sopralluogo;
• creare prove.

Nota informativa obbligatoria

Il commento dell'IA non partecipa al calcolo di Legal Readiness, Evidence Confidence o Pattern Score e non fa parte della base probatoria.

Checklist di ispezione per la squadra di campo

Checklist del sopralluogo. L’insieme minimo di foto e misure necessario per redigere il verbale. Stampato o aperto su tablet prima della visita. Legato agli indicatori rilevati: se si è attivato il pattern P_default — la voce sul regime P_const è obbligatoria; se si è attivato il pattern della lacuna d’archivio — la voce sul log degli eventi anomali è obbligatoria.

La checklist deve essere legata agli indicatori rilevati.

Voci generali

• sigilli del contatore;
• sigilli del convertitore;
• cavo impulsi / reed / encoder;
• sensore di pressione;
• sensore di temperatura;
• linea di bypass;
• posizioni delle valvole a monte e a valle del contatore;
• regime P_const;
• log degli eventi anomali;
• volume cumulativo sul contatore e sul convertitore;
• foto del display del convertitore;
• schema delle tubazioni;
• regime contrattuale del sito.

Foto richieste

• display del convertitore: Q, P, T, V;
• data e ora del convertitore;
• regime P_const;
• numero di serie del contatore;
• numero di serie del convertitore;
• sigilli;
• sensore P;
• sensore T;
• cavo impulsi;
• bypass e valvole;
• vista d’insieme del nodo.

Cosa misurare

• pressione effettiva con un manometro di riferimento;
• temperatura effettiva;
• volume cumulativo;
• letture di contatore esterno;
• presenza di impulsi;
• stato dell’alimentazione;
• parametri di comunicazione;
• Qmin/Qmax da libretto;
• peso impulso.

Grafico Q/P e finestre sospette

Grafico Q/P. La visualizzazione principale. La linea blu è il flusso orario, quella arancione è la pressione. Le zone tratteggiate in rosso e giallo segnano le finestre dei pattern attivati: al passaggio del mouse vengono mostrati i valori orari esatti. Il doppio grafico permette di vedere l’intero periodo in una volta e di non perdere le tendenze a lungo termine.

Tooltip del grafico. Passando il mouse su un qualsiasi punto si mostrano i valori orari esatti di Q e P. Questo serve per la verifica delle ipotesi: ad es. per conoscere il valore di pressione all’interno di una finestra sospetta o per confrontare il flusso con la baseline.

Cosa cercare nel grafico

• lunghi segmenti orizzontali di P (plateau → P_stuck);
• cali di Q a zero (periodi a flusso zero);
• salti simultanei di Q e P (recovery);
• salti di pressione senza flusso;
• una Q perfettamente piatta con media diversa da zero (profilo sintetico);
• discontinuità nel tempo (lacuna nell’archivio).

Cosa non può essere interpretato da solo

• una singola ora a zero;
• un picco isolato di P;
• qualsiasi anomalia senza verificare il log degli eventi anomali e il libretto.

Riepilogo del nodo e distribuzione oraria

Riepilogo del nodo. Uno sguardo d’insieme al “tessuto grezzo”: quanti eventi, quanto sono diversi gli indicatori, durata totale, copertura del periodo. L’istogramma “quando sono iniziati” è utile per individuare pattern di regime: eventi solo di notte o solo durante l’orario lavorativo sono diagnosticamente importanti (vedi il pattern “recovery solo durante l’orario lavorativo”).

Metriche di riepilogo

Distribuzione oraria

L’istogramma “quando sono iniziati” usa una codifica a colori:

• notte (00–05) — blu;
• mattina (06–08) — azzurro;
• giorno (09–17) — arancione;
• sera (18–23) — viola.

La concentrazione in un solo colore è un forte segnale diagnostico (ad es. tutti gli eventi durante l’orario lavorativo → manutenzione manuale).

Top-5 finestre per l’ispezione sul campo

Top-5 finestre per la squadra. Se la squadra ha tempo limitato — si parte da queste 5 finestre. L’elenco completo è più sotto nella sezione “tutti gli eventi per gruppi”. La colonna “cosa controllare” viene assemblata automaticamente dagli indicatori attivati: per zero_flow_p_default è il regime P_const, per gap_with_clean_sessions è il log degli eventi anomali e un controllo del parser dell’archivio.

Algoritmo di selezione della Top-5

1. filtra gli eventi con severity >= medium
2. ordina per peso (high_plus > high > medium > low)
3. all'interno di ciascun peso — per tempo decrescente
4. mantieni i primi 5
5. assembla l'unione della checklist dagli indicatori attivati

Colonna “cosa controllare”

Come leggere il blocco superiore

Pattern suspicion

Risponde alla domanda:

Quanto sono forti gli indicatori matematici di sospetto?

Non risponde alla domanda:

La manomissione è provata?

Evidence confidence

Risponde alla domanda:

Quanto è completa la base probatoria?

Non è uguale al suspicion score.

Confirmed tampering

Deve restare NOT CONFIRMED se non ci sono prove concrete o un verbale di campo.

Legal readiness

Mostra se si può procedere a un’azione legalmente rilevante.

Field priority

Mostra con quale urgenza è necessario un sopralluogo.

Metrology reliability

Mostra se le assunzioni fisiche e metrologiche possono essere ritenute affidabili.

Data integrity risk

Mostra quanto siano complete e coerenti le fonti dati.

Errori comuni di interpretazione

Errore: score 100 = prova

Sbagliato. Un punteggio di 100 può essere il risultato di un forte pattern statistico o di un event score. La prova richiede le fonti.

Errore: P=100 kPa = sostituzione illegale

Sbagliato. Può essere un valore P_const o di default consentito dal libretto.

Errore: Gay-Lussac violato = manomissione

Sbagliato. Il modello si applica solo a un volume chiuso.

Errore: Q=0 con P>0 = bypass

Sbagliato. Può essere un fermo, una valvola chiusa o un regime tecnologico.

Errore: exposure = perdita

Sbagliato. L’exposure è una stima di entità per il controllo.

Errore: l’IA ha scritto “sospetto” = provato

Sbagliato. Il commento dell’IA è solo una spiegazione.

Errore: “non attivato” = “nessun problema”

Sbagliato. Un indicatore può essere stato soppresso da un quality gate, disabilitato a causa di un sensore bloccato o semplicemente non applicabile al tipo di nodo. Leggi attentamente la sezione sulle limitazioni.

Criteri minimi per un report completo

Il report è considerato metodologicamente completo se contiene:

• periodo di analisi;
• scheda del nodo;
• pattern suspicion score;
• evidence confidence;
• stato di confirmed tampering;
• legal readiness;
• field priority;
• mappa delle fonti dati;
• elenco dei pattern rilevati;
• condizione formale per ogni pattern;
• logica di severity e cap;
• event score o una spiegazione della sua assenza;
• matrice delle cause radice;
• stima dell’exposure;
• correlazione con gli eventi del dispositivo;
• nota informativa sull’IA;
• checklist del sopralluogo;
• metodologia con formule e soglie;
• dichiarazione delle limitazioni e delle ipotesi alternative.

Formulazione consigliata del verdetto finale

Un verdetto finale corretto deve essere neutro:

Il nodo presenta indicatori che richiedono verifica: lunghi periodi Q≈0,
un canale di pressione bloccato e/o corrispondenze con eventi del dispositivo.
Questa non è una prova autonoma di manomissione.
Per il verdetto finale, vanno verificati il P_const da libretto, il log degli eventi anomali,
i sigilli, il cavo impulsi, le letture del convertitore e lo schema effettivo del nodo.

Se l’evidence confidence è alta:

La presenza di eventi diretti del dispositivo aumenta il peso probatorio, ma la qualificazione finale
deve tenere conto della decodifica dei codici, dei parametri di libretto e dei risultati dell'ispezione sul campo.

Se l’evidence confidence è bassa:

Gli indicatori rilevati hanno natura euristica e vengono usati solo per pianificare il controllo.

Report correlati

• Bypass di misura (flotta) — la stessa valutazione sull’intera flotta in una volta, senza i blocchi del procedimento.
• Nodi sospetti — lo strumento principale a livello di flotta per rilevare i bypass.
• Analisi dei consumi — una scomposizione generale del nodo con il log degli eventi; consigliato eseguirlo prima o insieme a questo report.
• Audit del libretto — un controllo della completezza del libretto, senza il quale la legal readiness non può essere ready.