Hvorfor det skjer hydrokarbonlekkasjer

Transkript

1 Hvorfor det skjer hydrokarbonlekkasjer og mulige risikoreduserende tiltak Eksempler fra gransking av hydrokarbonlekkasje på Heimdal 2012 Studie gjennomført av Sintef/Studio Apertura for Petroleumstilsynet Elisabeth Lootz Petroleumstilsynet 1

2 Hovedtrekk i presentasjonen Kort om Petroleumstilsynet (Ptil) Kort om Risikonivå i norsk petroleumsvirksomhet (RNNP) Årsaksanalyse av hydrokarbonlekkasjer på norsk sokkel - Fire identifiserte forbedringsområder - Behov for å bedre forståelse av design av prosessanlegg, menneskelig pålitelighet og menneske-maskingrensesnitt for å redusere risiko for hydrokarbonlekkasjer Hydrokarbonlekkasjen på Heimdal forhold_og_tiltak_knyttet_til_hydrokarbonlekkasjer_norsk_sokkel.pdf %202Rapport_2010_total_rev1b%5B1%5D.pdf

3 Petroleumstilsynet Mål: Petroleumstilsynet skal legge premisser for og følge opp at aktørene i petroleumsvirksomheten holder et høyt nivå for helse, miljø, sikkerhet og beredskap og gjennom dette også bidra til å skape størst mulig verdier for samfunnet. Tilsyn Drift og utvikling Hovedledelse Fag Rammesetting 3

4 Risikonivå i norsk petroleumsvirksomhet (RNNP) - målbeskrivelse Årlig rapport som publiseres på Ptil skal gjennom RNNP utvikle og anvende måleverktøy som viser utviklingen av risikonivået i petroleumsvirksomhet innen vårt forvaltningsområde - Bidra til å identifisere områder som er kritiske for arbeidsmiljø og sikkerhet - Sette fokus på industriens oppfølging av trender og analyser

5 RNNP Risikonivå i norsk petroleumsvirksomhet Storulykkesindikatorer (brønnkontrollhendelser, konstruksjonshendelser, hydrobarbonlekkasjer..) «Barrieredata» - test av sikkerhetskritisk utstyr på innretningene Spørreskjemadata Arbeidsmiljøindikatorer Kvalitativ studie - feltarbeid/arbeidsseminarer/intervjuer

6 Hydrokarbonlekkasjer > 0,1 kg/s lekkasjer Antall >10 kg/s 1-10 kg/s 0,1-1kg/s

7 Mål og problemstillinger Studie gjennomført av tverrfaglig forskerteam fra Sintef /Studio Apertura Hva framstår som de sentrale menneskelige, tekniske og organisatoriske årsakene til hydrokarbonlekkasjer på norsk sokkel på bakgrunn av granskninger? Hva er de sentrale tiltakene som er foreslått for å redusere lekkasjefrekvensen? Er det samsvar mellom identifiserte årsaker og de tiltak som er anbefalt? Studiens hovedmålsetting er å beskrive noen utfordringer som petroleumsnæringen kan gripe fatt i med tanke på å redusere antall hydrokarbonlekkasjer

8 Datakilder Gjennomgang av 42 granskingsrapporter ( ) etter hydrokarbonlekkasjer (inkl tre fra Ptil og tre fra landanlegg) Gjennomgang av nasjonal og internasjonal faglitteratur Operatørselskapene ble invitert til å bidra med informasjon om de risikoreduserende tiltak deres egne fagfolk opplever er de mest sentrale i sitt eget arbeid med hydrokarbonlekkasjer

9 Utløsende årsaker identifisert fra selskapsinterne granskninger fordelt på menneske, organisasjon og teknologi. Teknologi 48 % Menneske 41 % Menneske Organsisasjon Teknologi Organsisasjon 11 %

10 Direkte utløsende årsaker identifisert fra selskapsinterne granskninger fordelt på menneske, organisasjon og teknologi. Tekniske årsaker utgjør største samlekategori. De to hyppigste tekniske årsakene er: - Teknisk design av anlegg (24 %) og - Teknisk tilstand/aldring/slitasje (21 %) Menneskelige årsaksfaktorer fordeler seg som følger: - Feilhandling knyttet til brudd på gjeldende praksis/prosedyrer (14 %) - Feilhandling av type glipp/slurv (11 %) - Kognitive feil (manglende kompetanse og/eller risikoforståelse) (9 %) - Feilhandling knyttet til dårlig/mangelfull design (7 %)

11 Bakenforliggende årsaker identifisert fra selskapsinterne granskninger fordelt på menneske, organisasjon og teknologi. Teknologi 14 % Organsisasjon 65 % Menneske 21 % Menneske Organsisasjon Teknologi

12 Prosentvis fordeling av bakenforliggende årsaker basert på selskapsinterne granskninger av hydrokarbonlekkasjer Organisatoriske bakenforliggende årsaker: Mangelfull planlegging/forberedelse eller mangelfulle risikovurderinger/analyser (11 %) Mangelfull kommunikasjon/samhandling/grenseflater/målkonflikter (9 %) Mangelfulle prosedyrer/dokumentasjon (8 %) Mangelfull arbeidspraksis (7 %) De to hyppigste tekniske og menneskelige bakenforliggende årsakene: Teknisk design av anlegg (11 %) Kognitiv feil som følge av manglende kompetanse eller risikoforståelse (11 %)

13 Identifiserte årsaker (direkte og bakenforliggende) og resulterende tiltak for de selskapsinterne granskningene Feilhandling av type glipp/slurv M e n n e s k e Kognitiv feil (pga manglende kompetanse etc.) Feilhandling knyttet til dårlig / mangelfull design Feilhandling knyttet til brudd på gjeldende praksis/prosedyrer Selskapsledelse, innretningsledelse Arbeidsledelse Risikovurderinger/analyser Planlegging / forberedelser o n O rg a n is a s jo Prosedyrer / dokumentasjon Arbeidspraksis Arbeidsbelastning Kontroll / sjekk / verifikasjon Kommunikasjon / samhandling/grenseflater/målkonflikter Kompetanse /opplæring Endringsledelse Teknisk design av anlegg Te k n o lo g i Utforming verktøy / løst utstyr Teknisk tilstand / aldring / slitasje Tilfeldig teknisk utstyrssvikt Ergonomi / menneske maskin grensesnitt / utforming av arbeidsplass Utløsende årsaker Bakenforliggende årsaker Tiltak %

14 I hvilken grad er det samsvar mellom identifiserte årsaker og tiltak i granskingene? Utløsende årsaker Bakenforliggende årsaker Tiltak % 20 % 40 % 60 % 80 % 100 % Menneske Organsisasjon Teknologi

15 Identifiserte forbedringspunkter 1. Ombygging og tilpasning av anlegg 2. Gjennomføring av risikovurderinger/analyser og anvendelse av resultatene 3. Definere presise og konkrete tiltak etter granskinger 4. Læring og erfaringsoverføring etter tidligere hendelser

16 1. Petroleumsvirksomheten bør ha en mer offensiv holdning til å bygge om eller redesigne mangelfulle tekniske løsninger snarere enn å akseptere og tilpasse seg dem Teknisk design av anlegget er funnet å være den viktigste utløsende årsak og dessuten den viktigste enkeltstående bakenforliggende årsak for de vurderte hendelsene Stor del av lekkasjene er knyttet til interaksjon mellom mennesker og teknologi (eks ventil satt i feil posisjon, feil ventil er operert, flens feilaktig montert), uheldig menneske-maskingrensesnitt som øker sannsynlighet for feiloperering av anlegget Menneskelig svikt årsaksforklares ofte med manglende kompetanse, manglende risikoforståelse, prosedyrebrudd eller slurv

17 1... redesign og design av anlegg Bort i mot 40% av de gjennomgåtte hendelsene har sammenheng med anleggets utforming og kunne i utgangspunktet vært unngått med annen design og/eller bedret arbeidsplassutforming Mindre designendringer foreslås som tiltak men som regel foreslås tiltak som går på endring av prosedyrer og opplæring av personell Bør i større grad finne løsninger som eliminerer muligheten til feilhandlinger Behov for mer robuste systemer som er mindre sårbare for feil og avvik gjort eksempelvis mye Human Factors-analyser under design og redesign av kontrollrom, lite i prosessanlegget Særlig viktig når personell med kjennskap til innretning forsvinner Behov for erfaringsoverføring til engineering/utstyrsleverandører

18 2. Økt grad av risikovurderinger/analyser - og bedret anvendelse av resultatene Behov for felles tiltak i petroleumsvirksomheten for å bedre gjennomføring av risikoanalyser og bedre anvendelse av resultatene fra analysene/vurderingene, samt vurdere behov for mer grunnleggende endringer i måten analysene gjøres på - Intensjonen er at risikovurderinger og analyser vil bidra til bedre risikoforståelse slik at alle involverte i arbeidet (ledelse og utførende personell) har en god forståelse av egen rolle og hvilke konsekvenser egne beslutninger og eget arbeid kan ha for helheten Mangler i risikovurderinger/analyser og planlegging /forberedelser utgjør til sammen 11% av bakenforliggende årsaker til hydrokarbonlekkasjer. Ptils tilsynsaktiviteter og fagprosjekter bekrefter dette bildet.

19 2. risikovurderinger/analyser og anvendelse av resultatene Viktig forutsetning for formidling er at det er god sammenheng mellom analysene som gjennomføres på ulike nivå fra TRA/QRA (mer overordnede analyser), HAZID/HAZOP (vurderinger knyttet til drift og vedlikehold) til SJA (vurderinger knyttet til mer konkrete jobber). Antakelsene og forutsetningene for de overordnede analysene må sjekkes ut når det gjøres analyser av operasjoner og aktiviteter i driftsfase For at formidlingen av analyseresultatene skal fungere må de være lett tilgjengelig, entreprenører må bli involvert, relevant personell må ha kjennskap til risikoanalysemetodikken, og utøvende personell kjennskap til fagterminologien

20 3. Definere mer presise og konkrete tiltak på bakgrunn av identifiserte årsaksforhold Svak sammenheng mellom identifiserte direkte/bakenforliggende årsaker og tiltaksforslag i granskingsrapportene Overvekt av organisatoriske tiltak (79%) sjekk/verifikasjon prosedyrer kompetanse/opplæring/risikoforståelse Entreprenører (design/planlegging)/entreprenøransatte (utførende personell) er i liten grad fanget opp på tiltakssiden Bredere representativitet ved utarbeidelse av tiltak (entreprenører og operatører, ledere med beslutningsmyndighet, folk med kunnskap om det aktuelle prosessanlegget og samtlige anlegg i selskapet) Behov for kompetanse på menneskelige faktorer og design av brukervennlige løsninger Sørge for erfaringsoverføring også til design/engineering/utstyrsleverandører Industriforum for erfaringsoverføring operatører/entreprenører/leverandører/engineeringsselskaper

21 4. Læring og erfaringsoverføring må bedres Årsaksbildet har ikke forandret seg vesentlig de senere årene og dette bekreftes av andre studier Samles inn betydelige mengder erfaringsdata gjennom hendelsesdatabaser, indikatorer og granskinger - Men utfordringer knyttet til: - Kvalitet på innsamlede data - Tolkingsmangfold og ulik forståelse av kategorier - Hvordan disse erfaringsdataene blir anvendt til læringsformål Et sentralt mål på læring er om handlingsrepertoar og arbeidsmåtene faktisk endres (eks fjerner risiko ved bedre design, bedre arbeidsplassutforming/nye arbeidsprosesser) - og at arbeidsmåter ikke bare justeres/forbedres (endrer prosedyrer) Erfaringsoverføring må inkludere relevante aktører, eksempelvis beslutningsdyktig ledelse, engineering, utførende operatøransatt og entreprenøransatt personell

22 Hydrokarbonlekkasje Heimdal Gassenter 26. mai 2012 Gransket av Statoil og Petroleumstilsynet Heimdal

23

24 Gasslekkasje på Heimdal Hydrokarbonlekkasjen oppsto i forbindelse med testing av to nødavstengingsventiler(esdv). For å forberede testing av ventilene skulle en rørlinje trykkavlastes mot fakkel. I rørlinjen var en kuleventil med trykklasse på 16 bar installert som siste barriere mot fakkel. Denne kuleventilen stod i stengt posisjon og ble eksponert for trykk på 129 bar. Trykket førte til at pakningen i flens til ventilen sviktet og resulterte i en gasslekkasje estimert til 3500 kg med lekkasjerate initialt på 16,9 kg/s. Gass ble detektert i et større område på innretningen.

25 Observasjoner av størst betydning for hendelsen Mangelfull designløsning Mangelfull designløsning var ikke identifisert Mangelfulle beskrivelser av hvordan arbeidet skulle utføres Svakheter ved Statoils dokumentstyring Svakheter ved risikovurderingen i planleggingen Svakheter knyttet til kompetanse og risikoforståelse I tillegg ble det funnet svakheter ved erfaringsoverføring og læring i Heimdalorganisasjonen etter tidligere hendelser

26 Tidslinje - Heimdal Innretning bygget 1984 I drift fra og med 1985 Eiere: Elf, Hydro, Statoil Gjennomganger av anlegget NAS test planlagt til 3. juni Besluttet å fremskynde testen til 26. mai Hendelse 12: mai 2012

27 Den direkte årsak Fra krimteknisk rapport

28 Storulykkepotensiale Gasspredning etter ca. 3 minutter.. Fra Statoils FLACS-analyse

29 Trykkavlastning til fakkel

30

31 Sentrale årsaksforhold Design fra 1984: Design av rørspool og ventil nedstrøms HCV ikke i henhold til gammelt eller nåværende regelverk Trykk-klasseskifte var oppstrøms rørspool og stengeventil. Denne designkombinasjonen med normally closed merking på P&ID av ventilen utgjorde en latent risiko for overtrykking og lekkasje Stengeventil nedstrøms (NC3) reguleringsventil ble ikke åpnet Uteoperatør åpnet NC1, fant NC2 åpen. NC3 ble ikke åpnet Mangelfull designløsning var ikke identifisert. Designfeil ble aldri oppdaget av ulike operatører ved systemgjennomganger og verifikasjoner TTS og notifikasjoner fra driftspersonell til Anleggsintegritetet ble ikke beskrevet som hensiktsmessige verktøy for å avdekke designfeilen Risiko ved arbeidet og ved samtidige operasjoner ble ikke vurdert da man valgte å fremskynde test av nødavstengingsventilene

32 Bakenforliggende faktorer Rørlinje sjelden i bruk (ikke siden 1984) Driftsoperatør (områdeansvarlig) hadde aldri sett denne rørlinjen før Bruksendring - rørlinje ikke ment til denne bruken Var kalt ut en egen driftsoperatør for å gjennomføre tast av ESDV ventilene, ble skifte av bemanning Selvpålagt tidsnød hos SKR for å få jobb gjort Ufullstendig planlegging on/offshore og uteoperatør ikke del av planleggingen, risikoforhold knyttet til trykkavlastingen ble ikke vurdert Ikke gjennomført en A-standard handlingsmønster Dette arbeidet var ikke omfattet av en Arbeidstillatelse (SJA, Ventil- og blindingsliste) - bransjeutfordring

33 Bakenforliggende faktorer En rekke fagpersoner i Anleggsintegritet (AI), som hadde ansvar for prosedyrer med P&IDer, var overbevist om at en slik type arbeid automatisk ville utløse søknad om arbeidstillatelse med tilhørende planleggingselementer Prosedyre ga lite beslutningsstøtte, sa bare: trykkavlast testsegmentet via 2HCV til 1,05 bara Flere feil ved P&ID ble identifisert - NC2 var åpen ute i anlegget, men lukket (NC) i P&ID P&ID vanskelig lesbar pga liten skrift P&ID og prosedyre for test av ESDV-ventilene befant seg på en lokal PC og var ikke i SAP, var oppdatert sist for svært mange år siden Ventiler ikke tag et ute i prosessanlegget og derfor heller ikke i P&ID Kontrollromsoperatør ledet arbeidsoperasjonen, fra kontrollrommet, men så kun HCV ventil på skjerm, ikke ventilene som skulle åpnes av driftoperatør ute, kunne ikke navngi ventiler som skulle åpnes Utilstrekkelig kommunikasjon mellom SKR og uteoperatør «åpne NC, NC, NC»

34

35 Bakenforliggende årsaker Mangelfull kunnskap om hydrokarbonlekkasjer og risikoforståelse i Heimdalorganisasjonen på land og til havs I et tiårsperspektiv før hendelsen er Heimdal (HPR inkludert) den innretningen som på norsk sokkel har hatt flest hydrokarbonlekkasjer over 0,1kg/s på norsk sokkel basert på Statoils egen rapporterte hendelser til Petroleumstilsynet Var den gang ikke kjennskap til lekkasjefrekvens av rapporteringspliktige hydrokarbonlekkasjer på Heimdal, eller på Heimdal sammenliknet med andre innretninger De fleste fortalte at Heimdal trolig lå godt an ift lekkasjer sammenliknet med andre innretninger, kun en person, to måneder etter hendelsen, sa at han hadde sett på data at de nok ikke lå så godt an

36 Bakenforliggende årsaker Ledere og andre ansatte hadde svært begrenset kjennskap til årsaker, og mønster i årsaker til hydrokarbonlekkasjer på Heimdal, Modne Felt, i Statoil eller på norsk sokkel - Tidligere granskinger etter hydrokarbonlekkasjer på Heimdal pekte på mønster i årsaksforhold og manglende oppfølging med tiltak - På Heimdal var de aller fleste hendelsene knyttet til Statoils eget driftspersonell som utfører arbeid uten Arbeidstillatelse - Sto i kontrast til kunnskap om utestående vedlikehold og spesielt knyttet til sikkerhetskritiske tekniske barriereelementer (deluge etc)

37 Bakenforliggende årsaker Var gjennomført en årsaksanalyse for «Modne felt» i 2010, men den var ukjent for personell i Heimdalorganisasjonen Hvem som sitter på informasjon om lekkasjefrekvens og årsaker i Statoil ble aldri klarlagt på bakgrunn av intervjuene Generelt virket det ikke som om det var særlig bekymring knyttet til risiko for hydrokarbonlekkasjer, dette ga seg eksempelvis uttrykk i samtaler knyttet til behov for planlegging av driftsoperatørenes arbeid eller for å rette opp feil ved P&IDer Enkelthendelser ble gjennomgått i Heimdalorganisasjonen, men statistiske hendelsesdata og studier var ikke bearbeidet, systematisert og anvendt i risikoreduserende tiltak på Heimdal

38 Takk for meg 38