Mangelfull risikoanalyse
Beskrivelse
Risikoanalysen inneholder ikke nødvendige vurderinger av usikkerhet og følsomhet.
Begrunnelse
Regelverket har krav til risikostyring og risikovurdering, deriblant vurderinger av usikkerhet og følsomhet. NORSOK Z-013 /30/ utgjør forskriftenes normative referanse og danner dermed et minimumsnivå. Z-013 setter blant annet i kapittel 5.6.2 krav til analysene slik at beslutninger skal kunne tas på best mulig opplyst grunnlag, det vil si at kunnskapsstyrken i analysens forskjellige deler tydelig formidles til beslutningstakere og eksponert personell. Vi kan ikke se at risikoanalysene for Gullfaks C oppfyller helheten i disse kravene. Som illustrasjon kan man benytte Gullfaks C TRA, men kravene gjelder ikke bare for TRA. Vi har fulgt opp forhold knyttet til risikoanalysen i møter 28.11. og 19.12.2013. I tillegg har vi blant annet sett på risikoanalysens hovedrapport (TRA) og utvalgte vedlegg (dokument 2-5).Gullfaks C TRA behandler i stor grad risiko som et matematisk produkt av sannsynligheter og konsekvenser. Et slikt syn på risiko vil være en forenkling av en mer helhetlig framstilling av risiko. Kravene i delkapittel 5.6.2 av Z-013 eksisterer for å unngå for store forenklinger.Sammenligner man kravene med Gullfaks C TRA, ser man blant annet at det er spesifikke mangler i forhold til kravene i delkapittel 5.6.2.a.5 om usikkerhetsdiskusjon. Ptil understreker at kravene i Z-013 tydelig viser at en endring vil måtte omfatte mer enn å oppsummere eventuelle spredte usikkerhetsvurderingene som var gjort i totalrisikoanalysen. For eksempel kreves det i avsnitt 5.6.2.a.5.i) og ii) at usikkerhetsdiskusjonen skal inkludere det valgte risikoperspektivet, og effekt og nivå av usikkerhet gitt dette perspektivet. Ettersom usikkerhet tolkes på forskjellige måter avhengig av hvilket risikoperspektiv man velger i avsnitt 5.6.2.a.5.i, kan man ikke ha en komplett usikkerhetsvurdering før et risikoperspektiv er valgt.
Videre kreves det i underpunkt iii) at usikkerhetens mulige implikasjoner for analysens hovedresultater diskuteres. Underpunkt iv) krever at usikkerhetsdiskusjon tar inn over seg "uventede utfall" som resultat av ugyldige antakelser og premisser, eller manglende kunnskap.
Delkapittel 5.6.2.a.6 krever at betydningen av sentrale begreper som sannsynlighet, frekvens, forventningsverdi og konservativisme defineres og diskuteres. Dette kravet oppfylles heller ikke.
Videre informerer TRA ikke systematisk om mulige begrensninger i modelleringene, eller eventuelle uenigheter mellom eksperter, slik delkapittel 5.6.2.a.7 av Z-013 krever. Enkelte forhold er nevnt i TRA, men dette kan vanskelig sies å være systematisk eller helhetlig.
Når det gjelder analysens antakelser og forutsetninger, er det krav i delkapittel 5.6.2.f, som utdypes i delkapittel 5.6.3.4 for kvantitative analyser. Som en illustrasjon, delkapittel 5.6.3.4.b.1 spesifiserer at input-parametere som skal vurderes for sensitivitetsanalyser bør inkludere total bemanning og personellfordeling.
Her kan det for eksempel stilles spørsmål til hvorvidt bemanningsanalysen tar inn over seg realitetene angående at noe personell ikke jobber 2/4-rotasjon på en enkelt innretning. Slikt personell vil ofte forflytte seg med helikopter mellom innretninger, slik at de får et helt annet risikobidrag fra helikoptertrafikk enn de som jobber 2/4-rotasjon på en enkelt innretning. Ptils hovedprioritering Risikoutsatte Grupper har også illustrert at arbeidsoppgavene slike "nomader" utfører, gjerne fører til at de benevnes som risikoutsatte grupper.
Det kan argumenteres for at det er vanskelig å finne en eksakt beregningsmetode for denne problemstillingen rundt "nomadene", men poenget her er ikke å gjøre detaljerte beregninger. Poenget er at risikoframstilling i liten grad er komplett uten at man i det minste har diskutert og illustrert "nomade"-utfordringen slik at risikoforholdene er godt kjente. Små endringer i input til risikoanalysen kan gi en annerledes framstilling, og dette bør ikke skjules.
En annen illustrasjon når det gjelder sensitivitetsanalyser, er at de utførte sensitivitetsanalysene kun oppsummerer resultatene i forhold til effekten på gjennomsnittlig FAR-verdi. Vi påpeker at Statoil også har andre risikoakseptkriterier som man kan måle mot, og at regelverket også har risikoakseptkriterier. Gjennomsnittlig FAR-verdi kan sies å være det akseptkriteriet som er minst sensitivt for endringer i studiebasisen, og dessuten gir minst relevant informasjon om risikonivået i forhold til å gi beslutningsstøtte.
Vi minner også om at man ikke nødvendigvis kun bør måle opp mot risikoakseptkriteriene, men at å måle effekten av andre mål på risiko vil kunne gi et mer robust beslutningsgrunnlag. Skal man for eksempel måle effekten av varmt arbeid, kan beskrivelse av endringen i frekvens av antente hydrokarbonlekkasjer bidra til et mer robust beslutningsgrunnlag.
Eksemplene ovenfor angående sensitivitetsanalyser må ikke forstås løsrevet, men må være en del av en helhetsvurdering i forhold til hvordan risikoen presenteres. Dermed kan man lettere oppfylle regelverkets krav om nyansert og helhetlig framstilling av analyse og resultat, og kravet i Z-013 delkapittel 5.6.2.d om et balansert, mange-fasettert og helhetlig risikobilde.
De problemene som er påpekt ovenfor angående manglende systematisk framstilling av kunnskapsstyrken analysen baseres på, og manglende helhetlig tenkning om usikkerhet, gjør at kravet i Z-013 delkapittel 5.6.2.h angående evaluering av robustheten av analysens konklusjoner blir vanskelig å oppfylle.
Vi refererer også til Statoil veiledning for risikoanalyse, GL0282. Denne beskriver at analyser bør benytte data med høyest relevans og reliabilitet, og at det skal evalueres om datasettet er komplett og statistisk signifikant. Rapporten bør diskutere og dokumentere datarelevans, og resultatpresentasjonen i hovedrapporten bør inkludere en diskusjon av usikkerhet.
Sett i lys av de nevnte utfordringene kan det settes spørsmål ved selve fundamentet for de utførte risikoanalysene, og hvorvidt kravene til analyser i styringsforskriftens § 16 og § 17 oppfylles når det gjelder å gi det nødvendige beslutningsgrunnlaget for å ivareta helse, miljø og sikkerhet.
Utfordringene som er påpekt anses ikke å være spesifikke for Gullfaks C, men kan i stor grad anses å gjelde for Statoil og andre operatører på norsk sokkel. Vår oppfatning er at det er behov for å lære av næringens beste på dette området, før det eventuelt er behov for nytenkning.
Innretningens barrierestyring dimensjoneres blant annet basert på risikoframstillingen. Statoil har i møte 30.10.2013 /31/ informert om planer for Gullfaks C og de andre innretningene på norsk sokkel med etablere en overordnet barrierestrategi. En robust risikoanalyse med vurderinger av usikkerhet og følsomhet anses å gi bedre mulighet til å dimensjonere barrierestyringen på en forsvarlig måte.
Avslutningsvis kan det spekuleres i hvordan en ulykkesgranskning ville forholdt seg til en risikoanalyse som i begrenset grad oppfyller de nevnte kravene til robust risikoanalyse. Da kunne det hende man hadde spurt seg om beslutningene ble tatt på et sviktende grunnlag.
Hjemmel
Reduksjon av eksplosjonstrykk
Beskrivelse
Manglende gjennomføring av planlagte korrigerende tiltak for reduksjon av eksplosjonsrisiko, som tidligere beskrevet
Begrunnelse
Gjeldende risikoanalyse beskriver høye eksplosjonstrykk på innretningen og sammendraget (hovedrapport TRA for Gullfaks C) beskriver at hovedbidragsytere til risiko er:
- Sterk eksplosjon i prosessmoduler og brønnmoduler
- Dårlig ventilasjon pga utstrakt bruk av eksplosjons- og louvrepaneler, spesielt fører dette til høye eksplosjonstrykk i M14
- Forhold knyttet til tenning
- Fallende last som treffer hydrokarbonførende rør
Risikoanalysen (TRA 2005) identifiserte allerede i 2005 høye eksplosjonstrykk på Gullfaks C. Dette ble kommentert i TTS gjennomgangen i 2009 /11/ der de alvorligste funn var relatert til manglende ventilasjon i prosessmoduler og høye eksplosjonstrykk.
I dokument /27/, oppsummering av tiltak på Gullfaks C for innfasing av Visund Sør beskrives kortsiktige og langsiktige tiltak for reduksjon av risiko (bla eksplosjon). Disse tiltakene er kun delvis gjennomført.
Vi verifiserte offshore at det var noen vegger i modul M16 som var fjernet.
I møtet 19.12.2013 ble status på gjennomførte tiltak ifm innfasing av Visund Sør gjennomgått i detalj:
- De kortsiktige tiltakene var i hovedsak ikke gjennomført selv om deler var utført og ventilasjonsforholdene i modul M16,17 og 19 var forbedret
- De langsiktige tiltak med planer som presentert i dokument /27/ var ikke i henhold til plan
- Ptil er ikke informert om endringer i gjennomføring av de kortsiktige og langsiktige planene for innfasing av Visund Sør
Hjemmel