Barrierer mot utslipp har vi strenge nok krav?

Transkript

1 Barrierer mot utslipp har vi strenge nok krav? Og i hvilken grad er det sammenheng mellom overordnete krav og systemkrav? Sikkerhetssystemkonferansen, 3. november 2011 Stein Hauge, SINTEF 1

2 Ny PDS-BIP rapport: Omhandler miljørelaterte krav på to nivåer: (1) Overordna miljøakseptkriterier (2) Ytelseskrav til barrierer for å forhindre utslipp Og ser på eventuelle koblinger mellom overordna akseptkriterier og ytelseskrav på barrierenivå 2

3 PDS forum PDS prosjektet PDS metoden / håndbøker PDS rapporter PDSTool 3

4 Innhold Hva er kravene hva sier regelverket? Miljørisikoanalyse og miljøakseptkriterier Koblinger mellom overordna akseptkriterier og krav på system-/barrierenivå Mulige alternative akseptkriterier Status på ytelseskrav til barrierene Konklusjoner 4

5 Hva sier regelverket? I følge Styringsforskriften 5 om Barrierer skal det etableres barrierer som a) reduserer sannsynligheten for at feil og fare- og ulykkessituasjoner utvikler seg, b) begrenser mulige skader og ulemper. Det skal være kjent hvilke barrierer som er etablert og hvilken funksjon de skal ivareta, samt hvilke krav til ytelse som er satt til de tekniske, operasjonelle eller organisatoriske elementene som er nødvendige for at den enkelte barrieren skal være effektiv I følge Styringsforskriften 9 om "Akseptkriterier" skal operatøren sette akseptkriterier for storulykkesrisiko og miljørisiko. Det forutsettes at operatøren selv definerer akseptkriterier og setter ytelseskrav til barrierene! 5

6 Idealsituasjonen: 6

7 Statusbeskrivelse (personellrisiko): Selskapene fastsetter overordna akseptkriterier Risikoanalysen (TRA) benyttes i begrenset grad til å fastsette ytelseskravene Funksjonelle krav er i stor grad basert på krav i regelverket, NORSOK standarder, API standarder og andre standarder (samt erfaring fra tidligere prosjekter) Integritetskrav / pålitelighetskrav er ofte basert på historiske data / erfaringsdata (type OLF- 070), egne selskapskrav og/eller basert på krav fra LOPA/kalibrert risiko-graf (samt erfaring fra tidligere prosjekter) Krav til robusthet / evne til å motstå laster er delvis basert på risikoanalysen og delvis basert på krav i standarder som NORSOK S-001, osv. (samt erfaring fra tidligere prosjekter) Risikoanalysen benyttes (i en viss grad) til å verifisere pålitelighetskravene (og noen funksjonelle krav) til en del av barrierene, og inkluderer disse i beregningene opp mot AK. 7

8 I rapporten forsøker vi å gi en tilsvarende statusbeskrivelse knyttet til miljørisiko Hvilke miljøakseptkriterier gjelder? Hvilke ytelseskrav har vi? Er det noe sammenheng mellom overordna akseptkriterier og ytelseskravene? Er det rom for forbedringer? 8

9 Hvilke barrierer er vurdert i prosjektet? Barrierer knyttet til: Boring Brønnintervensjon Undervannsproduksjon 9

10 Miljøakseptkriterier (MAK) og miljørisikoanalyse (MRA) hva sier forskrifter, standarder og veiledninger? Styringsforskriften 16 Krav om MRA og kriterier ("shall") Krav om koordinering mellom operatører ("should") NORSOK Z-013 Krav til MRA og kriterier Krav til at "barriers that may prevent or reduce spills to the environment should be analysed" (App. C) MIRA Metode for miljørettet risikoanalyse Gir eksempel og veiledning knyttet til å sette miljøakseptkriterier 10

11 MIRA (Metode for miljørettet risikoanalyse) Beskriver hva en miljørisikoanalyse bør innehold steg for steg Etablere akseptkriterier og beskrive aktiviteten Etablere et sett med utslippsscenarier Gjøre konsekvensberegninger Foreta spredningsberegninger (vær, vind, strøm, osv.) Tilstedeværelse av og sårbarhet til ressurser Estimere konsekvenser og miljørisiko Konsekvens måles i restitusjonstid av verdifulle ressurser Grunnleggende prinsipp: Det aksepteres at miljøet er påvirket i en viss (liten) andel av tiden: For eksempel: 5 % eller 1 % av tiden 11

12 Region Akseptkriterier i MIRA Operation 1 Operation 2 Operation 3... Operation 10 Field A Ops 1 10 Ops 1 10 Field B Ops 1 10 Possible acceptance criteria when defining 5 % as the level of tolerable harm. Restitution time (years) Activity specific RAC (freq. per activity) Facility specific RAC (freq. per year) Field specific RAC (freq. per year) Regional RAC for fields seen together (freq. per year) Minor harm Consequence category Moderate Significant harm harm Serious harm 0,1-1 yr 1-3 yrs 3-10 yrs > 10 yrs 1,25x10-3 4,25x10-4 1,25x10-4 2,5x10-5 1,25x10-2 4,25x10-3 1,25x10-3 2,5x10-4 2,5x10-2 8,5x10-3 2,5x10-3 5x10-4 5x10-2 1,7x10-2 5x10-3 1x

13 Observasjoner knyttet til dagens miljørisikoanalyse og akseptkriterier: MIRA-eksemplet brukes tilsynelatende som en fasit (!) Kriteriene er altfor slakke til å "pushe" sikkerheten: 5 % virker raust - 5 % aksept for hver alvorlighetskategori => total aksept er 19 % (??) Estimert miljørisiko er sjelden/aldri i nærheten av akseptkriteriene og havner sjelden i ALARP-regionen Generiske tall for utblåsningsfrekvens ifm. leteboring (1.5x10-4 per brønn) er veldig "nært" kriteriene Miljørisikoanalysen blir først og fremst en øvelse for å analysere konsekvenser av et utslipp og for å dimensjonere beredskapen. Setter ikke fokus på de frekvensreduserende barrierene! For å sette mere fokus på de frekvensreduserende barrierene trengs det alternative (tilleggs)kriterier! 13

14 Alternative miljøakseptkriterier flytte fokus Konsekvenser Input parametere - Vær, vind, strøm, årstid - Oljetype - Lekkasjerate og -varighet Reaktive barrierer - "Capping" - Oppsamling - Brenning - Dispergering Ressurser - Avstand - Tilstedeværelse - Sårbarhet Restitusjonsmålet er uegnet til å sette krav til sikkerhetssystemer Trenger enklere kriterier som er "nærmere" initierende hendelse 14

15 Forslag til alternative akseptkriterier The maximum acceptable frequency of a blowout is per drilling operation 15

16 Forslag til alternative akseptkriterier - nyansering Maks frekvens for ulike scenarier (eksempel utblåsing): Vulnerability of area Maximum acceptable blowout frequency (per operation) Low Medium High Maks frekvens for ulike utslippsmengder: Consequence class Released volume of oil to sea Acceptable annual frequency Minor harm < 10 m Moderate harm m Significant harm m Serious harm m Major/Catastrophic harm > m

17 En annen diskusjon: hvem bør sette miljøakseptkriteriene? Operatørene setter i dag selv sine egne kriterier Naturlig med hensyn til risiko for personell ("egne" ansatte) Men er det OK for miljørisiko (vårt felles miljø)? Akseptkriterier skal baseres på totalt aktivitetsnivå og bør koordineres mellom selskaper og felt: Fungerer tilsynelatende ikke i dag Bør myndighetene på banen? Regjeringen: "Sokkelen skal være verdensledende!" Ptil: Kontinuerlig forbedring Dagens kriterier synes for slakke Ømtålig politisk tema hvem skal bestemme hva som er akseptabel frekvens/konsekvens av akutte utslipp? En kan diskutere hvorvidt en i det hele tatt skal ha akseptkriterier på et overordna nivå. Men når vi først har valgt å ha dem bør de settes slik at de har en viss effekt! 17

18 Ytelseskrav til barrierene Noen observasjoner En generell observasjon er at pålitelighetskrav (SIL/EIL) i liten grad er satt for utstyr knyttet til boring, brønnintervensjon og undervannsproduksjon Det kan synes å være et misforhold mellom graden av topside utstyr som vi setter pålitelighetskrav til sammenlignet med utstyr for boring, brønnintervensjon og undervannsproduksjon OLF 070 inneholder per i dag kun krav til "drilling BOP" og til "ESD isolation of subsea well" Ingen kvantitative krav til systemer som for eksempel: deteksjon av brønnspark, nød-kraft, akustisk BOP aktivering, nød-frakobling (EQD) av rigg, avledersystemet, subsea PSD funksjoner og BOP under brønnintervensjon. Dersom dette er sikkerhetskritisk utstyr- burde det ikke da settes krav til det? 18

19 Hvorfor sette pålitelighetskrav? Kvantitative krav i seg selv gir ikke nødvendigvis bedre systemer, men de fører med seg: Økt fokus og mere analyser/verifikasjoner i designfasen Krav til regelmessig testing og vedlikehold i operasjon Krav til mer systematisk datainnsamling At utstyret får status som sikkerhetskritisk utstyr (!?) 19

20 Eksempel Deepwater Horizon (DWH) Flere granskningersrapporter etter DWH peker på at en serie av svikt i kommunikasjon og ledelse var hovedårsaker til hendelsen. Samtidig var det også en rekke uheldige forhold knyttet til de tekniske systemene: Sementpluggen i bunnen av brønnen var ikke tett System for kick-deteksjon var mangelfullt BOP stengte ikke Nød-frakobling fungerte ikke Avledersystemet ikke optimalt designet B&G deteksjonssystemet ga stort sett kun alarm og generell PA var utkoblet Tennkildeutkobling - felles luftinntak for forbrenningsluft og kjøleluft til maskinrom. Ingen automatiske aksjoner på gassdeteksjon i luftinntak til motorrom Kilde: Getty Images 20

21 Texas City ulykken sikkerhetskritisk utstyr 21

22 Hovedkonklusjoner fra rapporten: Dagens miljørisikoanalyse fokuserer ensidig på konsekvensmodellering. Lite fokus på frekvensreduserende forhold og tiltak Det er behov for strengere og mer ambisiøse miljøakseptkriterier. Formen på kriteriene bør også vurderes Dagens praksis for å sette miljøakseptkriterier bør vurderes. For å etablere en bedre kobling mot de frekvensreduserende barrierene er det behov for andre/alternative akseptkriterier Ytelseskrav til sentrale barrierer er til dels mangelfulle og bør etableres 22

23 Rapporten ligger åpent på Takk for meg! 23