Bedre barrierestyring
Beskrivelse
Det var enkelte mangler med strategier og prinsipper for barrierenes funksjon.
Begrunnelse
a. Mangler med hvilke storulykkescenarier som dekkes i sikkerhetsstrategien
Eksisterende sikkerhetsstrategi inneholder hydrokarbonlekkasjer som feil-, fare- og ulykkessituasjon. I liten grad er andre scenarier som brønnkontroll-, konstruksjons- og helikopterhendelser dekket. Også i disse scenariene er det behov for barrierefunksjoner og en tilhørende sikkerhetsstrategi.
Eksempler på dette inkluderer:
- I tilsynets gjennomgang med personell på land av kollisjon med forsyningsfartøy, var det ikke avklart hvem som gjør hva med hvilket utstyr for å håndtere skip innenfor 500 meter-sonen eller hvordan et eventuelt skadeomfang blir vurdert og håndtert på beste måte.
- Brønnkontrollhendelser under bore- eller brønnoperasjoner er pr nå ikke dekket. Vi har mottatt plan for at dette skal inkluderes i 2020.
b. Mangler med beskrivelse av risikoforhold i Sikkerhetsstrategi
Barrierestrategien (sikkerhetsstrategien) skal beskrive resultat av analysene, vurderinger og de påfølgende beslutninger som er tatt med hensyn til behov for risikoreduserende tiltak.
I Sikkerhetsstrategien kapittel 5.5 om områdespesifikk beskrivelse av sikkerhetssystemer og deres rolle, beskrives for området boretårn at risikobildet i området er knyttet til brann og eksplosjon fra oljefylt transformator i M90. Under befaring i uteområdet ble det observert at det ikke var noen slik oljefylt trafo.
c. Mangler med vedlikehold av barrierene
I vedlikeholdssystemet (SAP) avdekket vi manglende historikk på årlige funksjonstester av brannvannsmonitoren (mengde- og skummåling) plassert på M10 og M20, se dokument 58. Eksempelvis viser historikk på vedlikehold 18.12.2019 at ingen mengdemåling ble utført og på en av monitorene ble det ikke tatt skumprøve.
Notifikasjon 44736092 beskriver en branndør som ikke lukker (og dermed svikt på barriereelementet), i notifikasjonen er den likevel beskrevet som «serious ill» og må repareres innen 45 dager (istedenfor med en gang).
Vi observerte under befaring at det var korrodert hull i ventilasjonsrør til PSV verksted. Dette degraderte systemets evne til å opprettholde overtrykk.
Vi observerte også at kabelgjennomføring i boreområdet hadde degradering med korrosjon som medførte svekket integritet.
Se også kapittel 5.2.6 om mangelfullt vedlikehold av lysarmaturer.
d. Mangler med måling og oppfølgingssystemene for barrierer (TIMP og Technical Condition Report)
TIMP er et system som benyttes for å gi en oversikt over tilstanden (for eksempel godhet og svekkelser) til de ulike sikkerhetssystemene på innretningen. Systemet blir benyttet som beslutningsstøtte for prioritering av utbedringer av systemene.
A10 ble tidligere benyttet for å få en oversikt over feilrate på sikkerhetskritisk utstyr. Denne erstattes nå av Technical Condition Report (TCR). Hovedforskjellen på TCR-rapporten og A10 er at TCR er en "live" rapport som også inneholder informasjon om feil på sikkerhetskritisk utstyr som avdekkes i drift (utenom test).
I tilsynet fulgte vi opp TIMP, og TCR rapporten. TCR har ingen rapporterte sikkerhetskritiske feil på branndører eller brannvannsmonitor. I tilsynet fant vi likevel feil på disse, se bokstav c).
I TCR for gassdetektorer var det registrert 11 feil (1,77 %), se dokument 53, som er over kravet på 1 %. I tilbakemelding fra dere oppgir dere at det kun er 6 stk som er reelle feil ved funksjonstest.
e. Krav i TR1055
På forespørsel om gjeldene barrierekrav i tilsynet fikk vi tilsendt TR1055 versjon 5. I denne versjonen var det ikke krav til operasjonelle eller organisatoriske barriereelementer. I tilbakemelding 22.11.2019 er vi informert om at plan forelå for tilknytning til versjon 9 innen utgangen av 2019.
f. TIMP-evaluering av brønnintegritet i boreoperasjoner og brønnintervensjon (PS17B)
I tilsyn med bruk av HMS-systemer (aktivitet 001000208) presenterte dere på en god måte TIMP-evaluering som utføres hver tredje måned, eller oftere ved behov. TIMP-retningslinjen GL0313 krever TIMP-evaluering på fagnivå, deretter systemnivå, og PS-nivå. På anleggsnivå skal det gjøres helhetsevaluering, men ingen karakter skal gis.
I brev 22.11.2019 svarer dere at for å sikre at funksjon, pålitelighet, vedlikehold, styring og overlevelsesevne i TIMP-verktøyet, vil boreentreprenør få tilgang til TIMP-verktøy, og utføre TIMP-evalueringer på vegne av riggoppfølger.
g. Eksplosjonslaster i M20, nivå 2 og 3
I oversikt over operasjonelle barrierer knyttet til PS15 (eksplosjon, ref OBE nr 63) beskrives at eksplosjonslaster overskrider akseptkriterier i M20. I intervjuer fikk vi informasjon om at det kunne være lite utlufting i M20 og på sommeren kunne det være behov for å ha åpne dører. Det er informert om at ventilasjonsvifter var installert og på oppsummeringsmøtet 10.1.2020 ble det informert om at disse var stoppet for vedlikehold. Vi registrerte under befaringen i M20 at modulene hadde lite avlastningsareal og modulåpningene hadde eksplosjonspanel.
h. Manglende informasjon om bruk av røykmasker
I tilsynet etterspurte vi hvordan Equinor informerte om røykmasker installert i M100. Offshore ble vi informert om at personer som jobbet i området M100 kjente til maskene, men de som jobbet med arbeidstillatelser eller lignende ikke ble gjort kjent med disse maskene.
i. Barrierestyring beskrevet i andre kapitler
Mangler ved oppfølging av operasjonelle og organisatorisk barriereelementer, se kapittel 5.2.2.
Mangler med alarmsystemet i en feil-, fare- og ulykkessituasjon, se kapittel 5.2.2
Hjemmel
Mangler ved oppfølging av operasjonelle og organisatoriske barriereelementer
Beskrivelse
Det var mangler ved ytelseskrav, verifikasjon av ytelse og overvåking av operasjonelle og organisatoriske barriereelementer, samt gjennomføring av treninger.
Begrunnelse
Equinor har kartlagt operasjonelle og organisatoriske barriereelementer på Oseberg C. Offshore fikk vi verifisert at det ble trent på utførelse av operasjonelle barrierelementer (OBE) relevant for Oseberg C. Under tilsynet på land i september ble vi presentert planer som delvis var gjennomført offshore. Offshore ble vi fortalt at dette arbeidet er underveis. Basert på arbeidet så langt hadde vi under tidspunktet for tilsynet disse observasjonene:
Enkelte OBEer var det ikke etablert verifiserbare ytelseskrav til. Eksempelvis scenario med manuell tennkildeisolering fra SKR.
I september ble vi presentert at opplæring, trening og øvelser på nye OBEer vil registreres i CAMS og DaWinci. Det var ikke noen offshore som kunne opplyse om det var en tidsplan for når man begynner å dokumentere trening og øvelser på barrierefunksjoner i CAMS og DaWinci. Intervall på retrening av OBE-scenariene var ikke besluttet, men det ble sagt at treningene trolig vil gjennomføres årlig.
I landdelen av tilsynet ble vi fortalt at det inkludert i de scenariobaserte treningene ville bli sjekk av merking på utstyr, avstander, tilkomst etc. i uteområdene for å vurdere ytelse eller ytelsespåvirkende forhold. Det var foreløpig ikke gjennomført offshore.
Det var ikke beskrevet i dokumentasjonen hvordan ytelse skal verifiseres, og hvordan barrierenes tilstand skal overvåkes over tid. Og det var ingen som kunne opplyse om det i intervju. Det fremkom i intervjuer at det nå ble samlet inn erfaringer med scenariene som det ble trent på for å vurdere eventuelle forbedringer eller tilpasninger til treningsscenariene. I den grad det ble registrert erfaringer eller læringspunkter etter OBE-treningene ble dette registrert på Team Site. Det ble imidlertid ikke registrert erfaringer knyttet til om treningene ble gjennomført på en sånn måte at ytelseskrav ble nådd, eller godhet ved treningen ble vurdert. Det var liten kjennskap til hvorvidt det skulle verifiseres og dokumenteres at treningen ble gjennomført på en god måte/i henhold til ytelseskrav.
Det er gjennomført en rekke treninger på operasjonelle barrierescenarier offshore på Oseberg C hvor intervjuet personell hadde deltatt. Vi fikk verifisert at treningen gjennomføres ved at alt personell med sikkerhetskritiske oppgaver diskuterer hvem som gjør hva med hvilket utstyr for å håndtere scenariet. Det ble uttalt at disse treningene utgjorde et godt utgangspunkt for å håndtere relevante hendelser som kan oppstå på Oseberg C.
Vi har imidlertid noen observasjoner som indikerer at personell kunne fått mer informasjon om risikobildet på Oseberg C som del av treningen for å sikre en felles situasjonsforståelse. Det blir trent på sekvenser av hendelsesforløp som kan være relevant i ulike feil-, fare- og ulykkessituasjoner som kan oppstå. Det ble ikke, eller i liten grad, diskutert hvilke hendelsesscenarioer man skal beskytte seg mot, og i hvilke hendelsesforløp handlingsmønsteret (OBE) kan være relevant for. Vi observerte i en table top-øvelse offshore, som omfattet beredskap, at potensialet i hendelsen ble kartlagt. Dette bidro til å gi deltakerne en felles forståelse for hva man skal beskytte seg mot. Potensialet i hendelsen ble imidlertid ikke inkludert som en del av OBE-treningene.
Ut fra intervjuer ble ikke tidligere hendelser eller granskinger fra Oseberg C eller fra andre innretninger gjennomgått i forbindelse med OBE-treningene for å bidra til en felles situasjonsforståelse for hvilke hendelser som kan oppstå på Oseberg C. Det var foreløpig ikke vurder om enkelte treningsscenarier kunne være relevant brukt som en innledende fase for en beredskapsøvelse.
Det var ikke formidlet tilstrekkelig kriterier for registrering av deltakelse i OBE trening. I intervju fremkom det derfor at en person hadde gjennomgått scenariene for treningene på egenhånd (som i seg selv er meget positivt), men etterpå registrerte dette som deltakelse i organisert trening.
Plattformintern verifikasjon (PIV) skal gjennomføres i løpet av 2020 og omfatte OBE-treningsscenariene, men Equinor har ikke avklart hvilken hyppighet disse skal ha.
Hjemmel
Bedre alarmhåndtering i en feil-, fare- og ulykkessituasjon
Beskrivelse
Mangler med alarmhåndtering i en feil-, fare- og ulykkessituasjon.
Begrunnelse
Vi ba i tilsynet om Equinors vurdering av om alarmsystemet på Oseberg C var i henhold til egne krav i TR1494. I deres tilbakemelding (referanse 50), er stående alarmer pr 15.1.2020 oppgitt. Innretningen er ikke i henhold til egne krav til disse alarmene for prioritet 1, 2 og 3 (krav er maks 0, 5 og 20, og ble målt til 8, 10 og 45). I TIMP-vurdering av alarmsystemet pr desember 2019 (PS22) var karakteren likevel vurdert med karakteren C og tilfredsstillende tilstand.
Under intervjuene og på verifikasjonsrunde i sentralt kontrollrom kom det frem at det oppstår alarmras under hendelser. Det er mange stående alarmer på kontrollromskjermer og lange alarmlister. Det er ikke kontrollromssimulator for opplæring av kontrollromspersonell.
Vi fikk oppgitt over at det ikke er konkrete tiltak eller planer for å redusere antall alarmer eller tiltak for å forhindre alarmras under hendelser. Det er vurdert to separate prosjekter for oppgradering av kontrollrommet. Det var på tilsynstidspunktet ikke besluttet om de skulle gjennomføres.
I tilsyn med styring av arbeidsmiljøforhold i 2015 på Oseberg C ble alarmer til HVAC-anlegget adressert sammen med støy, vibrasjoner og gjennomgangstrafikk i kontrollrommet. Rapporten etterlyser en helhetsvurdering av ulike arbeidsmiljøfaktorer for kontrollromsoperatørene.
Hjemmel
Kollisjon med forsyningsfartøy
Beskrivelse
Innretninger skal brukes i henhold til krav i regelverket og tilleggsbegrensninger gitt av innretningens tekniske tilstand.
Begrunnelse
Equinor hadde under tilsynet ikke oversikt over om fartøy som var større enn det som var kollisjonskapasiteten på innretningene ble benyttet, ev. med baugform eller forsterkning utover det som er forutsatt i analyser.
Equinor kunne ikke under tilsynet fremvise hvordan de kontrollerte at besøkende fartøyer fulgte innseilingsprosedyren (etter at trafikksentralen på Sandsli hadde gitt ansvaret over til innretning).
Equinor bekreftet under tilsynet at støtte for å få oversikt over resterende konstruksjonskapasitet etter en eventuell kollisjon vil starte senest 24 timer etter kollisjon. Videre merket vi oss at det var en intern diskusjon hos Equinor om dette var godt nok.
Hjemmel
Bedre oppfølging av midlertidig utstyr
Beskrivelse
Mangelfull styring og oppfølging av midlertidig utstyr.
Begrunnelse
Vi mottok under tilsynet offshore en liste over midlertidig utstyr som skulle være om bord. Denne listen var datert 10.1.2020.
Videre fikk vi tilsendt dokumentasjon på intern avviksbehandling knyttet til midlertidig utstyr som har vært eller skal være om bord lenger enn to år.
Det var ikke samsvar mellom liste over midlertidig utstyr og mottatt dokumentasjon på intern avviksbehandling.
Eksempelvis:
- Utstyr EO-M-04 KCAD hadde vært om bord i 1453 dager. Denne var ikke omfattet av intern avviksbehandling.
- Utstyr STMO-001 Nor elektro/Statoil hadde vært om bord i 1123 dager. Denne var ikke omfattet av intern avviksbehandling.
- Utstyr SW10-248 GB Service hadde vært om bord i 986 dager. Denne var ikke omfattet av intern avviksbehandling.
- Utstyr ID 2774 hadde vært om bord i 2070 dager. Denne var ikke omfattet av intern avviksbehandling.
- Mottatt DISP knyttet til EO-M-03 (KCAD kontainer) samt EO-M-01 (stroppekontainer). Disse enhetene er ikke lenger om bord ifølge mottatt liste.
Hjemmel
Bedre vedlikehold av lysarmaturer
Beskrivelse
Mangelfullt vedlikehold og oppfølging i vedlikeholdssystemet (SAP) for lysarmaturer.
Begrunnelse
Det fremkom under tilsynet at det var noen utfordringer med vanninntrengning i lysarmaturer og påfølgende jordfeil. Disse feilene oppstod typisk som følge av aldring av pakninger og kabelnippel. Ved denne type feil ble det opplyst å ikke være egnede feilmodi-kategorier til å rapportere disse feilene i SAP, slik at det ble synliggjort at svekkelser i IP-grad medfører en sikkerhetskritisk feil.
Ex-vedlikehold av lys var ikke knyttet til den enkelte tag, men ble gjennomført som en område-FV. Det ble opplyst at dette medførte at forhold knyttet til dette vedlikeholdet ikke ble synlig på måltavler (MIS).
Hjemmel