Mangelfull planlegging og prioritering
Beskrivelse
Equinors samlede plan for utføring av vedlikehold på barrierefunksjonene mot storulykker hadde ikke resultert i utbedringer i takt med betydelige og alvorlige svekkelser på barrierefunksjonene.
Begrunnelse
Flere betydelige og alvorlige svekkelser av barrierefunksjonene hadde eksistert i en årrekke. Selv om selskapet hadde uttalt ambisjon om utbedringer innen rimelig tid, og flere kompenserende tiltak var utført, hadde man endt opp med gjentakende forsinkelser på utbedringsplanene.
Selskapets TIMP-anleggsvurdering beskrev at antallet barrierer med betydelige og alvorlige svekkelser var for høyt i forhold til måltallet på åtte. Antallet har økt de siste årene til ti D’er (betydelige mangler) og en E (alvorlige mangler). Selskapets oppsummerte i anleggsvurderingen at akseptabel integritet var avhengig av god framgang på tiltak gjennom neste halvår.
Selskapet beskrev videre at oversikten over svekkelsene var krevende, som beskrevet i delkapittel 4.1. Siste TTS-revisjon av Norne var utført i 2016, slik at neste TTS skulle vært utført i 2021, men dette hadde blitt utsatt til 2023.
Følgende svekkelser identifisert av Equinor i TIMP gjennomganger av barrierefunksjoner mot storulykker nevnes:
- Equinor fikk i rapport etter Ptils tilsyn av 13.11.2020, vår journalpost 2020/1260, avvik angående manglende vurdering av konsekvens av verste prosessbrann på Norne. Avviket var fortsatt ikke lukket. Analyse var forventet ferdig i 2022. Se også delkapittel 4.2.
- Utglidning i endekobling på ni produksjonsrisere kan gi tap av containment. Dette var en problemstilling på flere innretninger. På Norne var det planlagt inspeksjon i løpet av andre halvår 2023.
- Sideveis forskyving av turret 28. mars førte til skader på glideflaten med økt stabilitetsrisiko og låst heading. Equinor opplyste om at dette ville utbedres ved sveising før vintersesongen.
- Equinor beskrev at Norne hadde lav stabilitetsmargin og utgåtte ankerliner. Selskapet beskrev dette som alvorlige mangler. Ankerlinebytte og å løfte luftehatthøyde i 2022 ble framhevet som de viktigste prosjektene for å løfte Nornes integritet.
Gjennom tilsynet fikk vi informasjon om status på måloppnåelse for vedlikeholdsstrategien og endringer knyttet til vedlikeholdsstyring som blant annet omfattet følgende:
- Porteføljen for korrektivt vedlikehold ble beskrevet som økende. Antall overskridelser av frist for å gjennomføre vedlikehold («required end date overdue») var vesentlig redusert i senere tid på grunn av at man hadde fått ekstra ressurser til saksbehandling av disse. Målet var å utføre 85% innen første utløp. Tidligere var resultatet rundt 40%, men dette hadde blitt økt til tett under 50%. Reduksjonen i antall utgåtte «required end» var i liten grad på grunn av økt gjennomføring av utbedringer.
- Selskapet har et uttalt mål om at det skal nærme seg kritisk svikt før man gjør vedlikeholdet, noe som krever høy kvalitet i estimering av konsekvens i forbindelse med «required end date». Etterslepet i porteføljen med forebyggende vedlikehold var nedadgående, men over målet på 560 t i snitt pr mnd.
- Antall arbeidsordre pr måned med ikke utført sikkerhetskritisk vedlikehold var redusert de siste to årene, og man nærmet seg målet om ½ ordre i snitt pr måned.
Selskapets interne tilsynsrapport for elektriske anlegg på Norne i 2021 beskrev et stort behov for vedlikehold og anleggskompetanse. Selskapets egen samlede vurdering var at det ikke var tilstrekkelig kapasitet til arbeidsoppgavene. Selskapet beskrev at de måtte følge opp forutsetningene for bemanning og kompetanse, og at flere arbeidsprosesser og myndighetskrav ikke etterleves. Blant annet framhevet selskapet at over halvparten av tiltakene fra forrige interne tilsyn i 2020 av elektriske anlegg på Norne ikke er utført. Selskapet vektla at oppfølgingen var blitt mer systematisk etter det interne tilsynet i 2021, og at de hadde fått mer ressurser.
Hjemmel
Avvikshåndtering
Beskrivelse
Avvik fra krav i helse-, miljø- og sikkerhetslovgivningen var ikke registrert, fulgt opp og korrigert.
Begrunnelse
Under tilsynet registrerte vi flere eksempler på manglede og mangelfull avviksbehandling:
- I Ventilasjon og dispersjon studie utført i 2019 står det at ventilasjonsraten i tanktoppområdet har kun 7.5 luftutskiftninger i timen i 95% av tiden. I anerkjent standard (IP 15 code (1990)) er tilstrekkelig ventilasjon den ventilasjonen som er nødvendig for å forebygge akkumulering av brennbar gass-luft konsentrasjon. Dette vil normalt oppnås ved ventilasjonsrate på minst 12 luftutvekslinger i timen, der ingen områder har stillestående luft. Manglende luftutskiftning var ikke håndtert som et avvik. I TIMP vurdering var det registrert et tiltak om at nye ventilasjonsberegninger bør utføres (med vindretning fra babord side). Det var ikke kjent om at nye beregninger var planlagt utført.
- Teknisk løsning for dører til rom på turret, med direkte adkomst til et sone 1 eller sone 2 område, var ikke avviksbehandlet mot krav fra byggetidspunkt.
- Flere brannvannsystemer overholdt ikke krav til responstid på 30 sekunder til vann ut i fjerneste dyse. Dette ble avdekket i fullskalatester utført i 2019 og 2020. Det var påbegynt en intern avvikssøknad for dette forholdet, men søknaden var ikke ferdigstilt i avvikssystemet.
- Det var etablert et midlertidig disp. (nr. 112390) som omhandler manglede brannvannsdekning i turretområdet. Midlertidig disp. hadde gyldighet til 26.2.2016. Under tilsynet ble vi informert om at manglende brannvannsdekning ikke var korrigert, men kompenserende tiltak var etablert. Det var ikke etablert et permanent disp. for manglende brannvannsdekning i dette området. Det var utført brannanalyse for å identifisere hvilke flenser/bolter som krevde passiv brannbeskyttelse (PBB) for å kompensere for manglede brannvann. Vi ble informert om at to av disse flensene/boltene manglet PBB. Manglende PBB på flenser/bolter var inkludert i TIMP vurdering under PS 10. Under tilsynet var det usikkert om flenser/bolter hadde tilstrekkelig brannintegritet uten PBB. Det var ikke innført kompenserende tiltak for manglede PBB for disse flensene/boltene.
Hjemmel
Mangelfull kontroll med tennkilder
Beskrivelse
Det var ikke gjort en systematisk kartlegging av potensielle ikke-elektriske tennkilder.
Begrunnelse
TIMP-evalueringen og det interne tilsynet med elektriske anlegg viste at det ikke var utført kartlegging av ikke-elektriske tennkilder. Vi har blitt informert om at Equinor holder på med å utarbeide en felles metode for kartlegging av ikke-elektriske tennkilder. Vi er likevel gjennom andre tilsyn gjort kjent med at noen Equinor-innretninger har utført en slik kartlegging på egen hånd. Eksempelvis ble det utført en kartlegging på Draupner i 2018.
Hjemmel
Brannpumpesystemet
Beskrivelse
Brannpumpesystemet er ikke utformet med hensyn til kapasitet for effektivt å kunne bekjempe dimensjonerende branner.
Begrunnelse
Norne følger kravene gitt i forskrift om eksplosjons- og brannbeskyttelse av innretninger i petroleumsvirksomheten (slik den forelå på tidspunkt for godkjent PUD i 1995). Norne har en 4 x 50% pumpekonfigurasjon, der to pumper er tilstrekkelig for å forsyne brannvann til største brannområde. For Norne har Equinor likevel vurdert kapasitet til brannpumper mot dagens krav om tilstrekkelig brannvann til største brannområdet og største tilstøtende brannområde med en brannpumpe ute av drift. I et scenario med utløsning av brannvann i største brannområde (prosessområdet) og største tilstøtende brannområde (turretområdet) med en pumpe ute av drift, vil seks brannvannsystemer ikke oppnå tilstrekkelig trykk i systemet. Manglende trykk i to av disse seks brannvannsystemene, vil føre til redusert kastelengde til brannmonitorer.
Formålet med kravformuleringene i forskrift om eksplosjons- og brannbeskyttelse av innretninger i petroleumsvirksomhet (1995) § 33 om brannpumpesystemer, var å sikre at en hadde tilstrekkelig brannvannskapasitet (med en pumpe ute av drift), også dersom brannen (scenariet) involverte mer enn ett definert brannområde.
Som tidligere tilkjennegitt er det vår vurdering at dersom punktene 1-5 nedenfor ivaretas på en robust måte, både enkeltvis og samlet, kan regelverkskravet likevel være ivaretatt med et 4 x 50% system (altså at bomstart ikke hensyntas). Vurderingen er basert på at det er tilstrekkelig robusthet i utformingen av systemet (ref. vårt brev til Norsk olje og gass av 28.1.13). Punkt 1-5:
- Usikkerhet i brannscenarier (så som type brann og størrelse)
- Utforming av brannområder (så som fysiske skiller kontra tilstrekkelig avstand)
- «Smittefare» på grunn av deteksjon fra andre brannområder
- Vedlikehold, havari (kortvarig og langvarig, kompenserende tiltak)
- Startfeil (bomstart) av brannpumper (pålitelighet til brannvannssystemet)
Intensjonen bak krav til aktiv brannbekjempelse inkluderer å sikre at relevante brannscenarier effektivt skal kunne bekjempes.
Under tilsynet var det ikke dokumentert at 4 x 50% brannpumpesystem oppnår tilstrekkelig trykk/vann for alle brannvannsystemene som løses ut i scenarioet største brannområde og største tilstøtende brannområde. Punktene 1-5 ovenfor var heller ikke vurdert.
Norne har over tid hatt utfordringer med brannpumpene (ref. statusmøte med Ptil 9.2.22), og en pumpe var nylig ute av drift i en lengre periode (ref. presentasjon oppstartsmøtet 20.9.22). Under tilsynet informerte Equinor om at alle brannpumpene var i drift.
Det er utført flere modifikasjoner på brannvannsystemet siden oppstart. Både forbedringer som medfører økt brannvannsforsyning, men også implementering av nye brannvannsystem og modifikasjoner på eksisterende system som har medført økt behov for brannvann i dimensjonerende brannscenario.
For Norne var det under tilsynet dermed ikke dokumentert at hverken kravet som gjaldt da Norne fikk PUD eller dagens krav til kapasitet til brannpumper er ivaretatt.
Hjemmel
Prosessikring
Beskrivelse
Det var ikke dokumentert at prosessanlegget på Norne ivaretar kravet om to uavhengige sikringsnivåer mot overtrykk.
Begrunnelse
Det var mangler ved å sette ytelseskrav samt mangler ved oppfølging av ytelseskrav for identifiserte prosessikkerhetsfunksjoner.
Prosessikring skal utformes med to uavhengige sikringsnivåer for beskyttelse av utstyr. Krav til responstid for primærbarriere må settes for å sikre at det er et uavhengig sikringsnivå.
Vi har mottatt arbeidsfiler som viser identifiserte krav til nødavstengningsventiler og prosessnedstengningsventiler samt målt gangtid for ventiler fra tester de tre siste årene.
Manglende verifisering av responstid for primærbarrierer var identifisert av Equinor i forbindelse med TTS gjennomgang på Norne knyttet til ytelsesstandard for prosessikkerhet i 2016 (PS12 F5.2). Det ble i 2017 gjennomført en verifikasjonsaktivitet som ble dokumentert i et notat som underlag for å lukke dette funnet.
Følgende mangler knyttet til prosessikring ble identifisert i tilsynet:
- I forbindelse med Equinor sin gjennomførte verifikasjonsaktivitet i 2017 ble krav til responstid beregnet både for å ikke overstige maksimum tillatt akkumulert trykk (MAAP) og for ikke å overstige testtrykk. I forbindelse med vurderingen ble responstid for å ikke overstige testtrykk benyttet som kriterium.
- Responstider etablert i gjennomført verifikasjonsaktivitet i 2017 er ikke videreført som ytelseskrav i vedlikeholdssystemet eller i regnearket for oppfølging pr i dag. Eksempler på dette er:
- For innløpsseparatoren avdekket i notatet at felles ventil på separator innløp ikke er tilstrekkelig rask for å ivareta funksjon som primærbarriere og at det derfor er XV’er på den enkelte flowline som skal sikre primærbarrieren. Kravet til gangtid for disse ventilene er ikke lagt inn i liste for oppfølging av gangtid og resultatet for siste år viser at ventilene ikke alltid møter tidskravet identifisert i notatet.
- Beregnet krav for innløpsventil til testseparator er ikke lagt inn i regneark for oppfølging av gangtid på ventil
- Vi har mottatt informasjon om at en PSV i rekompresjonstoget er dimensjonert for lekkasjerate gjennom to tilbakeslagsventiler. Det var ikke opprettet aktivitet i vedlikeholdssystemet for oppfølging av lekkasjerate for disse tilbakeslagsventilene.
- I fakkelrapport er det identifisert segment som har en utfordring knyttet til akustisk utmattelse. Dette funnet er ikke videre behandlet
- Det er etablert en ikke-konvensjonell løsning for å hindre overtrykk av separatorene ved feilåpning av ventiler i en oppstartssituasjon. Løsningen er basert på å begrense trykk i rørledning før oppstart til maksimum 110 barg. Sekundærbarrieren (PSV’ene) er sjekket ut til å ha kapasitet til å håndtere feilåpning for det etablerte maksimum trykket ved definerte størrelser på strupeventilene (choke).
- Det er ikke satt ytelseskrav til og dermed ikke oppfølging av responstid på primærbarrieren (PSD)
- Det er manglende samsvar mellom sikkerhetsstrategi og avklaringer mottatt i tilsynet knyttet til om det er mekanisk sperre på utvalgte strupeventiler. Det er uklart om kapasitet på sekundærbarrieren er ivaretatt uten mekanisk sperre. Se også avvik 5.1.6 om dokumentasjon.
Manglende setting og oppfølging av ytelseskrav kan resultere i at eventuelle svekkelser ikke blir identifisert og fulgt opp i forbindelse med TIMP prosessen for PS 12 (prosessikkerhet).
Hjemmel
Dokumentasjon
Beskrivelse
Enkelte tekniske driftsdokumenter forelå ikke i oppdatert versjon.
Begrunnelse
Observasjoner knyttet til manglende oppdatering av tekniske driftsdokumenter:
- Prosedyren Tiltak ved brannpumper ute av drift inneholdt feil informasjon knyttet til manglende trykk i systemer i dimensjonerende brannscenario.
- Sikkerhetsstrategi - Norne:
- Informasjon om manglende brannvann i turretområdet (ref. Synergi nr. 112390) var ikke inkludert.
- Det var manglende samsvar knyttet til filosofi for utløsning av brannvann ved bekreftet brann-/gassdeteksjon.
- Avvik knyttet til lang responstid for vann ut i fjerneste dyse var ikke inkludert. Svekkelsen var heller ikke beskrevet i TIMP vurderingen.
- Manglende samsvar mellom det som står i sikkerhetsstrategien i PS 8 angående mekanisk sperre på strupeventiler (choke) og det som ble informert om i tilsynet.
- Informasjon knyttet til overtrykksbeskyttelse av lagertanker er ikke implementert i Fakkelrapport eller API RP 14 C analysen.
- Forutsetninger for valgt løsning for overtrykksbeskyttelse av innløpsarrangement er beskrevet i ulike simuleringsrapporter og alle krav er ikke reflektert i sikkerhetsstrategi eller sikkerhetsdokumentasjon for prosessikring (fakkelrapport / API RP 14C analyse). Det er vår vurdering at det er utfordrende å få oversikt over alle elementer i løsningen som vil kreve oppfølging og hva som er dagens status.
Hjemmel