T-2 Bård Johnsen. Marathon la godt tilrette for tilsynet og involverte aktører bidro på en åpen og positiv måte.

Transkript

1 Tilsynsrapport Rapport Rapporttittel Rapport etter tilsyn med menneske-maskin-grensesnittet og informasjonspresentasjonen i kontrollrommet på Alvheim FPSO Aktivitetsnummer Gradering Offentlig o Unntatt offentlighet o Begrenset o Fortrolig o Strengt fortrolig Involverte Hovedgruppe Oppgaveleder T-2 Bård Johnsen Deltakere i revisjonslaget HiH, TSE, JoT, OvH, BJ Dato 1 Innledning Petroleumstilsynet (Ptil) førte i perioden tilsyn med Marathons prosjekt for forbedring av menneske-maskin-interaksjon (HMI) i kontrollrommet på Alvheim FPSO. Det ble spesielt lagt vekt på å føre tilsyn med Marathons arbeid for å sikre god skjermbildeutforming og verifisere alarmsystemfunksjonalitet og alarmpresentasjon på Alvheim FPSO opp mot relevante myndighetskrav og anerkjente standarder. Gode HMIforhold vil kunne redusere sannsynligheten for menneskelige feilhandlinger i kontrollrommet. Tilsynet ble gjennomført i Marathons lokaler i form av presentasjoner, intervjuer med prosjektpersonell og gjennomgang av relevante styrende dokumenter. I tillegg fikk vi en gjennomgang av skjermbildeutforming på Alvheim FPSO treningssimulator og en orientering om Marathons planer for simulatortrening og -opplæring. Marathon la godt tilrette for tilsynet og involverte aktører bidro på en åpen og positiv måte. 2 Bakgrunn Bakgrunnen for tilsynet er Ptils prioritering for 2010 om oppfølging av tekniske og operasjonelle barrierer for å hindre at storulykker inntreffer og får utvikle seg. Regelverket stiller i denne sammenheng krav om at det skal finnes systemer og rutiner for å kartlegge barrierefunksjonalitet, herunder rutiner for regelmessig verifisering av barriereytelse (barrieregodhet) for å sikre at barrierene fungerer og er effektive til enhver tid. Måten prosessinformasjon og alarmer presenteres, sammen med kontrollromsoperatørenes overvåking og styring av innretningen via operatørgrensesnittet, utgjør vesentlige barrierer som skal bidra til å hindre og begrense farer og hendelser. Oppfølging av HMI-forhold vil således inngå som et viktig element for å sikre at ovennevnte barrierer fungerer som tiltenkt og er effektive til enhver tid.

2 2 Tilsynet la særlig vekt på å følge opp Marathons arbeid med å korrigere avviket fra innretningsforskriften 20 om menneske-maskin-grensesnitt og informasjonspresentasjon. Dette avviket som påpekte mangler knyttet til informasjonspresentasjon på skjermbilder og grafiske brukergrensesnitt i kontrollrommet på Alvheim FPSO ble identifisert av Ptil i Marathon har etter søknad til Ptil fått innvilget unntaksfrist til for å korrigere de avvikende forhold. Videre har Marathon selv identifisert enkelte svakheter ved menneske-maskin-grensesnittet og informasjonspresentasjonen i kontrollrommet på Alvheim FPSO i forbindelse med gjennomganger etter fakkelhendelsene i Hjemmelsgrunnlaget for tilsynet fremgår blant annet av styringsforskriften 1 om risikoreduksjon og 2 om barrierer, samt innretningsforskriften 20 om menneske-maskingrensesnitt og informasjonspresentasjon. 3 Mål Formålet med tilsynet var å få presentert og demonstrert Marathons arbeid med å møte regelverkets krav innenfor ovennevnte områder, samt følge opp tiltak etter de to fakkelhendelsene på Alvheim FPSO i januar Det var fire hovedtema under tilsynet: Gjennomføringen av selve oppgraderingsprosjektet, herunder klargjøring av ansvar, roller, mandat og gjennomføring av de enkelte aktivitetene. Utforming av skjermbilder på operatørstasjonene og presentasjon av informasjon på andre grafiske brukergrensesnitt, eksempelvis storskjerm. Alarmpresentasjon i kontrollrommet og verifisering av alarmsystemets funksjonalitet opp mot regelverkets krav og anbefalte retningslinjer. Status på aksjoner etter fakkelhendelsene i januar Resultat Marathon har i samarbeid med involverte aktører (Maersk, Apply Sørco, Human Factors Solutions, Kongsberg og Petrolink) gjennomført et omfattende forbedringsarbeid knyttet til HMI, alarm- og informasjonspresentasjon i kontrollrommet på Alvheim FPSO. Vi fikk inntrykk av at prosjektarbeidet har blitt tett fulgt opp av Marathons ledelse og at selskapet aktivt har tatt nødvendige ressursmessige grep for å møte prosjektets målsetninger om gode HMI-forhold i kontrollrommet på Alvheim FPSO. Vår vurdering er at det utførte prosjektarbeidet er basert på regelverkets krav og anerkjente standarder for HMI, skjermbildeutforming og alarmpresentasjon. I HMI Verification & Validation (V&V) Report utført av Human Factors Solutions har det imidlertid blitt identifisert enkelte forhold som krever modifikasjonsarbeid utover avviksfristen Dette er forhold som Marathon vil ta stilling til og følge opp. Prosjektgjennomføringen har totalt blitt langt mer omfattende enn opprinnelig antatt. Det gjenstår fremdeles en del arbeid før avviket kan sies å være korrigert.

3 3 Under tilsynet ble det identifisert et avvik fra regelverkets krav til oppfølging av barrierer og et forbedringspunkt knyttet til arbeidstakermedvirkning. Marathon ga en orientering om status på aksjonene etter fakkelhendelsene i Vi har ingen kommentarer til det som ble presentert. 5 Observasjoner Ptils observasjoner deles generelt i to kategorier: Avvik: Knyttes til de observasjonene hvor vi mener å påvise brudd på regelverket. Forbedringspunkt: Knyttes til observasjoner hvor vi ser mangler, men ikke har nok opplysninger til å kunne påvise brudd på regelverket. 5.1 Avvik Barrierestyring Avvik: Det var ikke etablert tilstrekkelige ytelseskrav og rutiner for regelmessig måling av godheten knyttet til HMI forhold i kontrollrommet. Begrunnelse: Det var ikke etablert tilstrekkelig målbare ytelseskrav som dekker sentrale forhold knyttet til kontrollromspersonellets arbeidssituasjon, HMI og presentasjon av alarmer i kontrollrommet for å sikre effektive barrierer mot ulykkeshendelser. I alarmfilosofidokumentet var det etablert enkelte ytelsesmål ( guidelines for performance ) til alarmsystemet. Ytelsesmålet ( Repeating alarms: Target < 20 % of alarms shall be repeated every 5 minutes both in normal and disturbance modes of the plant ) synes ikke å være entydig formulert og vanskeliggjør etterprøving og måling. Dersom dette målet kan tolkes som at opptil hver femte alarm kan være repeterende, må dette anses å være lite ambisiøst. Det var uklart for oss i hvilken grad Marathon hadde kvalitetssikret alarmfilosofidokumentet og forpliktet seg til å etterkomme disse ytelsesmålene. Som eksempel på mangelfull kvalitetssikring vises det til alarmfilosofidokumentet hvor det fremkommer at definisjonene som er benyttet..are as defined in NPD (PSA); Principles for alarm systems YA 710/711. Dette stemmer eksempelvis ikke mht begrepet undertrykking ( Suppression ). Det var ikke etablert formaliserte rutiner for ytelsesmåling av HMI forhold i Marathons styringssystem. Etablering av strategi og retningslinjer for bruk av storskjerm for presentasjon av viktig informasjon i kontrollrommet gjenstår. Det manglet hensiktsmessig alarmanalyseverktøy for å identifisere eventuelle svakheter ved alarmsystemet og for å kunne verifisere alarmsystemytelse opp mot spesifiserte ytelseskrav. Det fremkommer av Petrolink sin Dynamic Alarm Review no. 2 samt intervjuene at dagens alarmsystem ikke møter regelverkets forventede nivå til alarmsystemytelse.

4 4 Det er ukjent hvorvidt den sikkerhetsmessige vurderingen av dagens alarmbelastning er blitt formelt vurdert og synliggjort for aktuelle beslutningstakere. Vi er gjort kjent med at det foreligger et forslag som omfatter etablering av rutiner for monitorering av alarmytelse samt anskaffelse av et alarmanalyseverktøy, jamfør Technical Modification Request (TMR) ALV/PRJ/047. Målet er å fremskaffe et mer effektivt analyseverktøy som gjør det mulig å identifisere eventuelle svakheter med alarmsystemet samt bidra til å sikre at systemet møter etablerte ytelseskrav. Modifikasjonsforslaget er ikke endelig tatt stilling til av Marathon. Krav: Styringsforskriften 2 om barrierer Styringsforskriften 17 om analyse av arbeidsmiljøet 5.2 Forbedringspunkter Planlegging og styring av arbeidstakermedvirkning i prosjektet Forbedringspunkt: Mangelfull planlegging og styring av arbeidstakermedvirkning i oppgraderingsprosjektet. Begrunnelse: Det har vært aktiv medvirkning fra kontrollromspersonell i prosjektet for å sikre at løsningene tilpasses operatørenes behov i ulike driftssituasjoner, men det fremkom under tilsynet at arbeidstakermedvirkningen i prosjektet kunne vært bedre planlagt og styrt. Det ble særlig etterlyst tydeligere ressursavklaringer mht bruk av tid til prosjektarbeidet, og en klarere avgrensning mellom arbeid i prosjektet og regulære oppgaver som driftsoperatør på Alvheim FPSO i prosjektperioden. Kontrollromsoperatørene kunne ikke alltid følge opprinnelige planer for deltakelse i prosjektarbeidet pga fungering for andre operatører på Alvheim FPSO ved sykdom/fravær. Dette kan ha medvirket til å forsinke fremdriften i prosjektet. Det synes ikke å være etablert noe skriftlig mandat knyttet til oppgaven som utpekt arbeidstakerrepresentant i prosjektet eller plan for arbeidstakermedvirkning. Krav: Rammeforskriften 6 om tilrettelegging for arbeidstakermedvirkning Styringsforskriften 10 om arbeidsprosesser 6 Andre kommentarer Marathon har i samarbeid med involverte aktører gjennomført et omfattende forbedringsarbeid knyttet til HMI, alarm- og informasjonspresentasjon på operatørstasjonene i kontrollrommet på Alvheim FPSO. Etter hvert som prosjektgjennomføringen skred frem viste arbeidet seg å være langt mer omfattende enn opprinnelig antatt. Dette har ført til at prosjektet har trukket noe ut og involvert langt flere personellressurser enn opprinnelig planlagt. Det gjenstår fremdeles en del arbeid før avviket kan sies å være korrigert. Sentralt i prosjektgjennomføringen har vært utvikling av et alarmfilosofidokument og et dokument som beskriver overordnede prinsipper og retningslinjer for utvikling av HMI forhold relatert til operatørstasjonene i kontrollrommet. Disse to dokumentene har bidratt til å sikre en uniform HMI og skjermbildeutforming på tvers av de enkelte systemene i

5 5 kontrollrommet. Dokumentene vil være viktige for å kunne videreføre samme HMI prinsipper i innretningens videre livsløp. 7 Deltakere fra Petroleumstilsynet Jon Thomsen, prosessintegritet Ove Hundseid, prosessintegritet Hilde Heber, arbeidsmiljø Trond Sigurd Eskedal, arbeidsmiljø Bård Johnsen, prosessintegritet, oppgaveleder 8 Dokumenter Følgende dokumenter ble benyttet under planlegging og gjennomføringen av tilsynet: a) ALV/PRJ/0029 Alarm philosophy Alvheim FPSO SAS, (3203-T-SOR-I-KA , rev. P1) b) ALV/PRJ/0029 Philosophy and general standards for SAS/HMI/GUI, (3203-T-SOR-I- KA , rev. A) c) Purpose and use of training simulator, (3203-O-MPC-P-MA , rev. P1) d) Technical Modification Request (TMR), ALV/PRJ/0476 (Orginator input 2), Addition of 3 rd party advanced alarm management solution e) HMI Verification & Validation Report by Human Factors Solutions, HMI Development, Marathon, Draft 1, f) Dynamic Alarm Review, Petrolink doc. P886-SØ-RA-I-004 rev. 0 g) Underlag fra presentasjonene fra innledningsmøtet Vedlegg A Oversikt over intervjuet personell.