Innholdsfortegnelse 1 Sammendrag Hendelsen Konsekvenser Årsaker Beredskap Nattarbeid Tiltak...

Transkript

1

2 Innholdsfortegnelse 1 Sammendrag Hendelsen Konsekvenser Årsaker Beredskap Nattarbeid Tiltak Mandat for granskingen Mandat Granskingsarbeidet Bakgrunnsinformasjon Systembeskrivelse og modifikasjonsprosjekt Hot-tap verktøy og planlagt operasjon Organisering av arbeidet Hendelsen Hendelsesforløpet Omfang av Hot-tap operasjoner og tilsvarende hendelser Konsekvenser Faktiske konsekvenser Potensielle konsekvenser Klassifisering av hendelsen Årsaker Utløsende årsaker Bakenforliggende årsaker knyttet til Industrikonsults rolle Bakenforliggende årsaker knyttet til Aker Solutions rolle Bakenforliggende årsaker knyttet til StatoilHydros rolle Barrierer og avvik Ledelse og styring Beredskap Varsling og mønstring Evakuering Bekjempelse Normalisering og oljevern Andre forhold Nattarbeid Rigging Tiltak Forkortelser og begreper Referanser...41 App A MTO-diagram...44 App B Hendelseslogg...50 App C Søknad om nattarbeid...57 App D Bilder...59 App E Utdrag fra V&M kontrakt med Aker Solutions...61 App F Sikker jobb analyse...62 App G Arbeidstillatelse...65 App H Barriereanalyse...66 Side 2 av 74

3 1 Sammendrag 1.1 Hendelsen Hendelsen oppstod i forbindelse med fjerning av overflødige rør i utstyrskaftet på Statfjord A. Dette ble gjort av sikkerhetsmessige årsaker for å fjerne risiko for lekkasje pga korrosjon i rørsystemet. Rørene var oljefylt og koblet til lagercellene. Det ble derfor utviklet et spesielt verktøy (hot-tap verktøy) for å kutte, børste og plugge rørene. Verktøyet ble utviklet og operert av Industrikonsult A/S (IK) som underleverandør til V&M kontraktor Aker Solutions ASA (AS). I det operatøren skulle justere en mekanisme (sagstøtte) på hot-tap verktøyet ble sagstøtten skrudd for langt ut slik at den falt av gjengene og det ble et 2 åpent hull der oljen i røret strømmet ut. Oljen strømmet direkte fra lagercellene gjennom avstengingsventiler som ikke holdt tett internt. For å stoppe lekkasjen måtte ballastvann pumpes ut av oljelagercellene og vann inn i rørsystemet. Etter ca. 7 timer og 40 minutter var lekkasjen tilstrekkelig redusert til at sagstøtten kunne skrues tilbake på plass. Oljen rant ned i bunnen av utstyrskaftet der noe olje-vann ble pumpet til sjø. Avdamping fra oljen medførte oppbygging av eksplosiv atmosfære i utstyrskaftet. Personell som ikke hadde beredskapsoppgaver ble evakuert til Statfjord B og C. 1.2 Konsekvenser Det var ingen personskader. Initiell lekkasjerate var ca. 10 kg/s, totalt strømmet det ut ca 150 tonn olje. Ca tonn olje ble pumpet til sjø, hvorav ca 20 tonn oljeemulsjon ble samlet opp av oljevernfartøyer Det var 4 dager produksjonsstans på SFA og delvis på Snorre A etter hendelsen. Vigdis hadde ett døgn nedetid Det var eksplosiv gass luft blanding i ca. 2 timer i nedre del av utstyrskaftet, hvorav ca 40 minutter med mye gass. Dersom gassen i verste fall hadde antent kunne det oppstått en kraftig eksplosjon med storulykkespotensiale. Se kap Basert på beregnet størrelse og varighet av oljelekkasjen klassifiseres hendelsen med faktisk alvorlighetsgrad 1 (faktisk rød 1). 1.3 Årsaker Utløsende årsaker Det var ingen stoppanordning eller varsling som hindret utskruing av sagstøtten IK s operatører på skiftet var ikke klar over at det var risiko for utskruing Avstengingsmulighet eller andre tiltak for å begrense lekkasjemengde og varighet var ikke etablert Bakenforliggende årsaker Mangelfull etterlevelse Hot tap verktøyet var utenfor relevante standarder og inneholdt vesentlige nye elementer. Det ble likevel ikke kvalifisert iht. WR1622 Teknologikvalifisering og heller ikke vurdert i Fagstigen Verken StatoilHydro eller AS spesifiserte funksjonskrav til verktøyet som barriere Side 3 av 74

4 IK utførte ikke design verifikasjon og sikkerhetsvurderinger iht krav i ISO9001 og Maskinforskriften og gjennomførte ikke opplæring av operatør i utførelse av børsteoperasjonen Prosedyrer for inngrep i prosessanlegg og for arbeidstillatelser ble ikke etterlevd Uklar rolleforståelse Det var ulik oppfatning mellom StatoilHydro og AS om hvem som hadde ansvar for å følge opp IK s arbeid. StatoilHydro personell tok beslutninger som normalt er kontraktørs ansvar. AS mobiliserte ikke egen mekanisk fagdisiplin Mangelfull risikovurdering Det ble utført til sammen 5 risikoanalyser. Ingen av disse omhandlet risiko for mekaniske feil og feiloperasjon av hot-tap verktøyet og det ble ikke stilt spørsmål mht. konsekvens av lekkasje fra hot-tap verktøyet. Risiko ble ikke vurdert mot risikoakseptkriterier Det var velkjent for de operasjonelt ansvarlige (ref.omc01) at svikt i hot-tap verktøyet ville medføre en langvarig lekkasje i et kritisk område på plattformen. Denne risikoen ble likevel akseptert uten at det ble pålagt eller etablert konsekvensreduserende tiltak Ledelse og styring WR1622 Teknologikvalifisering er lite kjent i V&M miljøet og er ikke referert til i sentrale styrende dokumenter for V&M. Det er ikke tydelig når et verktøy skal betraktes som ny teknologi og teknologikvalifiseres. Dette gjelder også hos V&M leverandør. Det var ikke etablert noe system for monitorering kommunikasjon og beslutning om risiko mellom prosjekt, anleggsintegritet og drift og mellom ulike ledelsesnivåer og beslutningsfora, ref. WR2266- HSE Risk Management kap 3.4 Mangelfull oppfølging av leverandører 1.4 Beredskap Varsling, evakuering, oljevern og normalisering ble godt besluttet og utført Det var ikke etablert plan for tiltak i tilfelle lekkasje fra hot-tap verktøyet. Strategi for stans av lekkasjen ble godt improvisert og viste god systemkunnskap. Det kan dog i ettertid vurderes om man burde ventet lengre med å entre skaftet. Stans av ventilasjonsanlegget førte til farlig gasskonsentrasjon i skaftet. Nødlensepumpe og ballastpumpe ble kjørt i eksplosiv atmosfære. 1.5 Nattarbeid 1.6 Tiltak Godkjent søknad for nattarbeid var signert av lokale verneombud fra AS og Statfjord Drift, AS installasjonsleder land samt plattformsjef iht. rutiner etablert i forbindelse med Statfjord Senfaseprosjektet. For V&M prosjekt etter skulle søknaden i følge intern retningslinje fra StatoilHydro (UPN Nattarbeidsrapporten) vært forelagt Statfjord HVO og behandlet i SFA K- AU eller eventuelt Statfjord K-AMU, og etter intern retningslinje i AS vært behandlet av AS K- HVO/Klubb. Strakstiltak foreslått av granskingsgruppen er beskrevet i kapittel 9.1 og er utført eller under utførelse. Forslag til langsiktige tiltak er beskrevet i kapittel 9.2. Side 4 av 74

5 2 Mandat for granskingen 2.1 Mandat Peter Alexander Hansen, Koordinerende hovedverneombud ble oppnevnt som medlem av granskingsgruppen den Granskingsarbeidet Granskingsarbeidet har i hovedsak omfattet disse aktivitetene: Befaring Intervjuer Gjennomgang av dokumentasjon Tekniske undersøkelser Beregninger og simuleringer Granskingsarbeidet har omfattet alle faser inkludert prosjektering, realisering og beredskap. Agnes Elin Hollund har utført gasspredningsberegninger, Arild Grov lekkasjeberegninger, Gexcon eksplosjonsberegninger og Dr.Tech Olav Olsen AS har utført strukturberegninger. Side 5 av 74

6 3 Bakgrunnsinformasjon 3.1 Systembeskrivelse og modifikasjonsprosjekt I utstyrskaftet på Statfjord A (SFA) var det fra byggefasen montert et rør- og pumpesystem for å kunne fjerne mulige emulsjoner (sludge) i vann/olje kontakten i lagercellene i betongstrukturen. Utstyret har imidlertid aldri blitt tatt i bruk. Pga. korrosjonsfunn og fare for fremtidige lekkasjer ble det i 2004 besluttet å utføre en forstudie mht. å fjerne de tre sludgemanifoldene som et forebyggende sikkerhetstiltak. På figuren under er to av sludgemanifoldene vist med rød farge (manifold 1 og 3). For å unngå dødlegger med stillestående vann og dermed korrosjonsrisiko ble det besluttet å kutte disse dødleggene som vist med stiplet rød strek på figuren. Fig. 3.1 Planlagt fjerning av sludgemanifolder med tilhørende rør Fig. 3.2 Sludgemanifoldene er lokalisert på nivå 61.5 meter i utstyrskaftet på SFA. Dekksnivåene i skaftet har betegnelsene US1 til US13 (tilsvarende nummer 1 til 13 på figuren) Side 6 av 74

7 3.2 Hot-tap verktøy og planlagt operasjon For å kutte og blinde som vist på fig.3.1 var det nødvendig å frigjøre rørene for hydrokarboner. Det lot seg ikke gjøre som planlagt i revisjonstansen Det ble derfor besluttet å utføre arbeidet ved hottap i drift. Hot-tap betegner normalt en teknikk der man kobler en rørstuss for ekstra avgrening til rør eller utstyr som er i drift. Rørstussen for tilkobling av avgreningen festes ved sveising eller mekaniske boltede klammer til røret/utstyret, og deretter borer/skjærer en hull i røret eller utstyret gjennom rørdelen. Det har vært gjennomført mange vellykkete hot tapping operasjoner i StatoilHydro både på landanlegg og offshore installasjoner. For det aktuelle prosjektet var det imidlertid behov for å skjære hull i røret i et bend, rengjøre røret innvendig og sette mekanisk plugg. Dette krevde en nyutviklet form for hot-tap. Metoden inneholdt følgende trinn (se fig ): 1. Oppkobling av klammer og sageverktøy på bend. Trykktesting 2. Saging. 3. Børsting. Etter sageoperasjonen må det fjernes rust på innsiden av røret der hvor man vil sette en plugg 4. Setting av plugg. 5. Setting av sekundærplugg med avblødning 6. Sveising av blindflens Fig. 3.3 Rigging, trykktesting og saging. Ved utsaging av segment i rørbend må styringen skje ved hjelp av to stk. sagstøtter til den roterende sagen. Disse sagstøtter for radiell justering må kunne justeres fra utsiden. Ved vanlige hot-tap vinkelrett på rette rør anvendes et sentreringsborr. Side 7 av 74

8 Fig. 3.4 Børsting og klargjøring for setting av plugg. En roterende stålbørste med diameter 40mm mer enn diameteren på sagkutteren føres inn gjennom åpningen i rørbendet for å fjerne rust og avleiringer der hvor det skal monteres en isolasjonsplugg som barriere. Fig. 3.5 Setting av plugg, trykktesting og kutting av rør. Før røret kuttes settes en plugg nr. 2 med avblødning mellom for å ha to barrierer før påsveising av endelflens. Fig.3.6. Skisse av klammer som viser plassering av de to sagstøttene (sagsupport) som styrer sagkutteren. Detaljtegning av sagstøtte. Side 8 av 74

9 3.3 Organisering av arbeidet StatoilHydro hadde utpekt en oppdragsleder med totalansvar for oppdraget. Det var også utpekt teknisk fagansvarlig for oppdraget (tidligere kalt oppdragseier) i anleggsintegritet. Oppdraget ble også fulgt opp av andre tekniske ressurser fra både anleggsintegritet og operasjonsgruppen, som teknisk sikkerhet, driftsingeniør m.m. Fra Plattformorganisasjonen var områdeansvarlig skaft dedikert for oppfølging av prosjektet, andre ressurser deltok etter behov. Oppdragsleder StatoilHydro hadde satt ut arbeidet til Aker Solutions ASA (AS) under Tampen V&M rammekontrakt. AS hadde utnevnt en oppdragsleder som er ansvarlig for oppdraget. Han rapporterte til prosjektgjennomføringsleder Statfjord, som igjen rapporterer til prosjektsjef Tampen. Offshorearbeidet ble ledet av AS V&M offshore leder, assistert av AS Feltingeniør. Industrikonsult (IK) fikk i oppdrag å utvikle ett hot-tap verktøy spesielt for operasjonen. De ble også engasjert til å gjennomføre operasjonen. IK er en nisjebedrift som bl.a. leverer skreddersydde løsninger for reparasjon og ombygging av rørsystemer. En referanseliste fra IK viser til sammen mer enn 80 tradisjonelle hot-tap operasjoner utført for mer enn 10 av StatoilHydro sine anlegg siden tidlig i I samme periode er det også utført mange tilsvarende tjenester overfor andre operatørselskap på norsk sokkel. IK er sertifisert iht. ISO 9001 av DNV. IK har rammeavtale med AS, men rammeavtalen ble ikke benyttet i dette tilfellet. I stedet ble IK bestilt inn av AS via StatoilHydro s innkjøpsystem i SAP. Dette er en vanlig måte å foreta innkjøp på. Arbeidet offshore ble utført av 2 operatører på hvert skift, der en av de to var ledende og sertifisert som spesialist på hot-tap av IK. IK rapporterte til AS V&M leder på plattformen. Sveising av endeflens ble utført av AS-personell. D&F utførte stillasarbeid og rigging knyttet til arbeidet. D&F installerte og overvåket sveisehabitat. De ulike rollene og informasjonsflyten er illustrert i fig. 3.7 for fase 1 og fig 3.8 for fase 2. Fig 3.7 Step diagram - Organiseringen og rollefordeling i fase 1 Side 9 av 74

10 Fig 3.8 Step diagram - Organiseringen og rollefordeling i fase 2 Landrådet beslutter V&M studier og gjennomføring og er styringskomité for modifikasjonsporteføljen i enheten. Oppdragsgiver fra lisensansvarlig enhet (normalt produksjonsdirektør) leder arbeidet i landrådet. Oppdragsleder fra Driftsutvikling har ansvar for å fasilitere beslutningsprosessen og har ansvar for metode for gjennomføring. Ved evt. uenighet mellom oppdragsgiver og oppdragsleder skal beslutninger løftes til neste nivå i organisasjonen. Landråd er ikke beskrevet i OMC01, men det pågår arbeid for å inkludere dette. 4 Hendelsen 4.1 Hendelsesforløpet Dette kapittelet inneholder en oversikt over hendelsesforløpet fra prosjektering til utførelse og beredskap. Hendelsesforløpet er illustrert i MTO-skjema i vedlegg A og detaljert beskrevet i hendelsesloggene i vedlegg B Prosjektering og gjennomføring av Fase 1 Studie for å gjennomføre fjerning av sludgemanifolder og tilhørende utstyr og rørføringer ble satt ut til AS sommeren Forstudierapport ble levert Mht. utførelse av arbeidet sier rapporten følgende: Gjennomføring av prosjektet står og faller på behovsavklaring (holder ventilene tett), metode og filosofi for nedstengning, senking av oljenivå celler og H2S. Dette anses som et klargjøringsscope som tradisjonelt blir gjennomført av Drift på plattformen, og er derfor ikke utredet av V&M i denne studie. Basert på forstudien ble det den satt ut oppdrag til AS å gjennomføre fjerning av manifold 2 med tilhørende utstyr (Fase 1). Oppdragsbeskrivelsen sier at installasjonsmetodikk er kritisk pga. fare for tilbakestrømning av gass fra lagercellene og at det må legges stor vekt på utarbeidelse av en robust installasjonsplan. Side 10 av 74

11 Fryseplugg introduseres av AS som en mulig løsning. Dette ble avvist av StatoilHydro. I stedet ble hot-tapping foreslått som en mulig metode med IK som en mulig leverandør. IK ble kontaktet og presenterte forslag til metode. Bruk av hot-tap ble så formalisert som en endringsordre i prosjektet og en studie ble bestilt hos IK. Studien ble levert og den ble gjennomføringsoppdrag for fase 1 bestilt hos IK. Bestillingen ble utført av AS som innkjøp av en teknisk tjeneste (ATS) i StatoilHydros innkjøpsystem i SAP. Bestillingen inkluderte krav til kvalifisering av hot-tap verktøyet i form av FUNKSJONSTEST som inkluderte i alt 4 testboringer på en trykksatt fullskala modell av rørbendet. I august 2006 gjennomførte IK hot-tap operasjoner på 2 rør. Ved saging av det andre røret oppstod en lekkasje gjennom akseltetningen for sag gjennomføringen (ref. fig. 3.3) liter olje lakk ut. Dette skyldtes at en forlengelse av aksling for å føre sagen langt nok fram, ble montert litt skjevt slik at pakningen ble revet da skjøten passerte denne. Lekkasjen var liten nok til at man kunne dra tilbake sagen med utskåret plate for deretter å stenge sandwichventilen og reparere tetningen. Etter dette ble det avholdt et erfaringsmøte og muligheter for forbedring av verktøyet ble identifisert. Hendelsen er registrert i Synergi som HMS avvik,-tilløp nr Etter granskingsgruppens vurdering skulle hendelsen vært registrert som HMS avvik skade med alvorlighetsgrad 3 og varslet til Ptil. Det ble også utført manuell bekjempelse i strid med beredskapsprinsippene over en periode på fem minutter. Hendelsen er innmeldt, godkjent og avsluttet av SFA V&M Offshoreleder Prosjektering Fase 2 Den ble det inngått oppdragsavtale med AS for gjennomføring av forstudie for fjerning av Sludge Manifold 1 og 3 (Fase 2) inklusive oppgradering av hot-tap verktøyet. Samtidig ble det bestilt gjennomføring. Oppdragsavtalen fremhever installasjonsmetoden som kritisk pga. lekke ventiler. Forstudierapport ble levert , men besvarer ikke dette. Manifoldene ble fjernet i revisjonsstansen i august satte AS ut bestilling til IK for gjennomføring av fase 2. Bestillingen ble utført som en teknisk tjeneste (Assistance Technical Services - ATS) foretatt av AS i StatoilHydros innkjøpssystem SAP. IK videreutviklet hot-tap verktøyet og utførte nye tester og i mai 2008 startet operasjonen offshore. Det ble gjennomført t0 vellykkede hot-tap operasjoner før den aktuelle operasjonen startet Hot-tap operasjonen den Startet nattskift 23.5 kl med å sjekke utstyret, som var rigget, trykktestet og klargjort for boring/saging av dagskift. Områdeoperatør kontrollerte arbeidsted. Områdeoperatør stengte to 16 ventiler før IK fikk starte med boring/saging. IK operatør var klar over at ventilene ikke holdt tett. Områdeoperatør ga beskjed om at trykket var 4-5bar. Områdeoperatør ga beskjed til kontrollrom (HKR) om at IK startet boring. IK hadde radiokontakt med HKR og hadde gassmåler på stedet. Klokken var da ca. 23:00. IK s ledende operatør sagde mens IK s andre operatør styrte hydraulikk aggregatet. De hadde visuell kontakt med hverandre 4-5 timer med saging Etter ferdig saging dro ledende operatør sagen tilbake og stengte sandwichventil. Tilkalte områdeoperatør for å få drenert sagadapteren, kl var ca Side 11 av 74

12 Demonterte sag etter at områdeoperatør hadde verifisert, at det ikke var lekkasje. IK operatørene skrudde så sagstøttene utover for å få inn børsteverktøyet, en operatør på hver side av hot-tap verktøyet. Dette ble gjort for at sagstøttehjulene ikke skulle bli ødelagt av børsten. Operatør var sikker på at det var en barriere/låsing slik at ikke sagstøtten ikke kunne hoppe ut Justeringsskruen hoppet av gjengene uten forvarsel, sagstøtten falt ut og oljen strømmet ut IK s ledende operatør prøvde å sette sagstøtten på igjen men trykket var for stort IK operatørene skjønte at de måtte komme seg ut og tok heisen opp til 80meter nivået. Fikk raskt kontakt med HKR. Alarmen gikk, PA melding om gassalarm på 61m. Snakket med HKR i heisen og på 80m dekket. Tok med gassmasker og gikk trappene derfra Fikk beskjed om å komme inn i HKR. Operatør tok imot utenfor HKR, ble etter hvert fulgt ned i nødhospitalet. Sykepleier spurte om de ville ha oksygen. Tok imot oksygen når de kom ned til nødhospitalet. IK ledende operatør hadde olje på kjeledressen, ansikt, armer. Var på nødhospitalet ca 30 min, før de ble evakuert til SFB. Sykepleier der tok seg av dem, tok prøver og hadde samtaler. Fig. 4.1 Hot-tap verktøyet med sagstøtte (lekkasjested) Beredskap Når gassalarmen gikk i skaftet kl tenkte både plattformsjef og D&V leder umiddelbart at det var i tilknytning til hot-tap operasjonen og at det var en alvorlig og mulig langvarig situasjon pga. begrensede avstengingsmuligheter. Beredskapsledelsen ble raskt mønstret og det ble tatt beslutning om å starte helikopterevakuering samtidig som det ble lagt planer for hvordan lekkasjen kunne stanses. Fagapparatet på land ble mønstret som støtte i tillegg til vanlig andre linje beredskap. Pga. hovedkraftutfall ved omlegging fra gass til dieseldrift ble det delvis stans i ventilasjonen av skaftet. Senere ble ventilasjonen slått av i en periode pga. gassdeteksjon under kjellerdekk. Delugeanlegget ble startet for å redusere gassavdampingen i skaftet. For å stoppe lekkasjen måtte ballastvann pumpes ut av lagercellene og det ble pumpet vann inn i rørsystemet. Dette ble mulig da hovedkraft ble gjenopprettet ca. kl Etter ca. 7 timer og 40 minutter var trykket tilstrekkelig redusert til at lekkasjen kunne stanses. Beredskapsfasen er nærmere beskrevet i kapittel 7, i MTO skjema vedlegg A og i detaljert hendelseslogg vedlegg B. Side 12 av 74

13 4.2 Omfang av Hot-tap operasjoner og tilsvarende hendelser Hot-tap operasjoner Ref./2/ beskriver erfaringer med hot-tap operasjoner i Statoil. Det er bred erfaring både fra landanlegg, plattformer og subsea. Erfaringene er gode. Det er flere leverandører. Rapporten anbefaler etablering av sentral fagstøtte for hot tap operasjoner. Industrikonsult AS er registrert i SAP i fra 1999, med tidligere omfang på ca. 80 hot-tap operasjoner for StatoilHydro. Langt de fleste er utført som påsveiste stusser 90 grader på eksisterende rørlinje. De største verdiene for Hot-tap operasjonene er: Høyeste trykk: 155 bar Største diameter: 18 Største veggtykkelse: 70 mm (rustfritt) Høyeste materialtemperatur: 450 gr. C Medier: Luft, N2, vann, olje og gass. IK hadde ikke gjort jobber som er direkte sammenlignbare med den aktuelle hot-tap operasjonen med boring i bend. I tillegg til IK har hot-tap operasjoner blitt utført for StatoilHydro av andre selskaper. Ingen direkte sammenlignbare operasjoner er kjent. Det er ikke registrert hendelser i forbindelse med Hot-tap i Aker Solutions Synergi. Fra StatoilHydro og Hydro Synergi er følgende hendelser registrert: Oljelekkasje ved Hot tapping i forbindelse med det aktuelle prosjektet fase 1 som beskrevet i kap Material damage of Subsea Cutter på Tampen link prosjektet. Denne hendelsen skjedde i forbindelse med en prototype test for en subsea hot-tap operasjon. Det medførte en kostbar forsinkelse i prosjektet men ingen HMS-konsekvens Hendelser i skaft I 1978 ved bygging av SFA var den en alvorlig brann i utstyrskaftet på SFA. 5 personer omkom. I 1988 oppstod det en lekkasje på et ballastrør i utstyrskaftet på SFA. H2S ble frigjort og plattformen ble evakuert. Det var ingen personskade oppsto en oljelekkasje i skaftet, U06, på Statfjord C. 500 liter olje lakk ut. Årsak: Korrosjon. Ref. RUH Hendelsen ble gransket og granskingsgruppen påpekte følgende forrhold: Granskningsgruppen har avdekket svakheter relatert til følgende forhold: teknisk tilstand på reclaim oil systemet manglende inspeksjon og vedlikehold mangelfull oppfølging og prioritering av arbeidsordre manglende oppdatering av dokumentasjon ved endring av reclaim oil systemet prosedyrebrudd knyttet til manglende stopping av produksjonen mangelfull kommunikasjon internt i beredskapsledelsen Side 13 av 74

14 demobilisering av beredskapsledelsen før situasjonen var avklart mangelfull RUH rapportering Andre operatører har hatt alvorlige hendelser i betongskaft: Olje/gasslekkasje Brent Bravo døde pga av gasseksponering fra lekkasje Frigg - metanolbrann Ingen av disse hendelsene er direkte sammenlignbare. 5 Konsekvenser Med utgangspunkt i Figur 1 i WR0015 (se nedenfor), er det vurdert faktiske og mulige konsekvenser for relevante konsekvenskolonner gitt i denne figuren. 5.1 Faktiske konsekvenser Personskade Det var ingen personskader. En av operatørene fra IK ble lettere eksponert for hydrokarbongass, men det er ved helseundersøkelse ikke registrert noen konsekvenser av dette. Oljelutslipp I løpet av de 7 timer og 40 minutter lekkasjen varte, lakk det ut totalt ca. 156m3 olje. Av dette ble tonn pumpet til sjø via nødlensepumpen i bunnen av utstyrsskaftet. Ref./4/. Ca. 20 tonn oljeemulsjon ble samlet opp i den påfølgende oljevernaksjonen. Dette tilsvarer alvorlighetsgrad 3. Det var ikke kjemikalieutslipp. Olje-/gasslekkasje Initiell lekkasjerate er estimert til 10 kg olje pr. sekund. Gass dampet av oljen. Dette tilsvarer alvorlighetsgrad 1. Totalt 20 gassdetektorer indikerte gass under hendelsen. Se tabell 5.1. Side 14 av 74

15 Tabell 5.1 Detektorer som har indikert gass. For maks utslag på 100%LEL kan gasskonsentrasjonen ha vært høyere pga. måler ikke viser utslag over 100% Nivå Antall Punkt Linje Maksutslag M15 1 ~ 15% LEL CD4B 1 ~ 10% LEL US 2 1 ~ 10% LEL US 3 1 ~ 10% LEL US 4 1 ~ 10% LEL US 5 1 ~ 20% LEL US 6 1 ~ 25% LEL US % LEL US % LEL US % LEL US % LEL US % LEL Gassen skyldes avdampning fra den stabiliserte oljen. Fordampningen er estimert til mellom 0,25 kg/s og 0,9 kg/s (ref./1/). Gass spredningen i skaftet ble påvirket av ventilasjonsanlegget.: Mellom kl 06:09 og kl 07:18 var det ingen tilluft kun avtrekk Mellom kl 07:18 og 07:57 var det verken tilluft eller avtrekk I perioden der det var lite ventilasjon var det store mengder gass i nedre deler av skaftet. Dette er illustrert på følgende figurer: Fig. 5.1 Detektorutslag på nivå US7 Side 15 av 74

16 Fig. 5.2 Detektorutslag på nivå US8 Fig. 5.3 Detektorutslag på nivå US10,11 og 12 Svekking/bortfall av sikkerhetsfunksjoner og barrierer Stans i ventilasjonen førte til gassoppbygging i skaftet (se foran) som igjen kunne medført en brann/eksplosjon. HVAC er definert som et sikkerhetsystem. Se kap Basert på dette vurderes faktisk alvorlighetsgrad 1. Produksjonstap Nedetid for SFA var 4 dager. Da hendelsen oppstod på gikk både Vigdis og Snorre produksjon ned Vigdis ble startet opp kl 05:50. Snorre ble startet opp med redusert produksjon via x- over mot Vigdis Snorre startet opp oljeekspprt til SFA kl.:20: 45, men med begrenset rate grunnet kompressorproblemer på SFA Basert på dette vurderes faktisk alvorlighetsgrad 3. Det var ikke vesentlige materielle tap. Side 16 av 74

17 5.2 Potensielle konsekvenser Begrepet mulig alvorlighetsgrad som benyttes i dette kapittelet beskriver alvorlighetsgrad ved ubetydelig endrede omstendigheter. Ubetydelig endrede omstendigheter betyr at det bare er tilfeldig at alternative utfall av hendelsen ikke inntraff, ikke hva som i verste fall kunne skjedd. Personskade IK s ledende operatør ble noe eksponert for gass. Inhalering av gass gir en narkotisk effekt som illustrert i fig IK s operatører ble imidlertid raskt klar over at de måtte evakuere området og handlet rasjonelt. Det var ingen andre i området. Fig. 5.4 Effekt av inhalering av hydrokarbongass Alle som arbeider i utstyrskaftet skal ha skaftekurs før entring av skaft. Som en del av dette kurset gies det opplæring i risiko ved inhalering av gass og figur 5.4 blir vist. Av IK s operatører er det kun den eksponerte operatøren som er registrert med godkjent skaftekurs. To av de øvrige IK operatørene har bekreftet muntlig at de har gjennomgått kurset. Registreringsrutinene bør derfor gjennomgås. Generelt var risiko ved gasseksponering og erfaringene fra Brentulykken godt kjent om bord på SFA. På grunnlag av dette og vurderingen av mulig alvorlighetsgrad for brann/eksplosjon nedenfor vurderes mulig alvorlighetsgrad lik faktisk, dvs. ingen. Merk at dette er ved ubetydelig endrede omstendigheter. Det kan ikke utelukkes at det var risiko for tap av liv. Oljeutslipp Potensielt oljeutslipp vurderes som lik faktisk, dvs. alvorlighetsgrad 3 Side 17 av 74

18 Olje-/gasslekkasje Potensiell oljelekkasje vurderes som lik faktisk, dvs. alvorlighetsgrad 1 Brann/eksplosjon I perioden mellom kl. 07:30 til kl 08:20 var det eksplosiv atmosfære i store deler av utstyrskaftet under 80meter nivået. Samtidig ble nødlensepumpen og ballastpumpe kjørt. Utstyret i skaftet er Ex-sikkert. Statistisk er det relativ liten sannsynlighet for at gasslekkasjer i slike områder antenner. TRA en estimerer en tennsannsynlighet på 5-8% ved store gasslekkasjer avhengig av område. Det er ikke beregnet tennsannynlighet for utstyrskaftet. Motorene for ballastpumpene (6.6 kv) har Ex-e beskyttelse. Iht. TR1028 bør Ex-e ikke benyttes for motorer over 3.3 kv. Iht. Norsok E-001 skal motorer over 6,6kV ha Ex-p eller Ex-d beskyttelse. Det er vanskelig å vurdere i hvilken grad dette påvirker tennsannsynligheten, men pga. at Norsok E- 001 aksepterer Ex-e opp til 6.6V selv for sone 1 vurderes økning i tennsannsynlighet pga. dette som marginal i forhold til begrepet ubetydelig endrede omstendigheter. Mulig alvorlighetsgrad mht. brann/eksplosjon settes derfor til alvorlighetsgrad 5 - grønn. Dersom gassen i verste fall hadde antent kunne det oppstått en kraftig eksplosjon med storulykkespotensiale. Eksplosjonsberegninger utført av Gexcon (ref./3/) i forbindelse med granskingen angir et maksimalt trykk i skaftet på bar. Dette forutsetter støkiometrisk (ideell) gass-luft blanding og antennelse på det verst tenkelige tidspunktet. Det er lite sannsynlig med støkiometrisk blanding i hele volumet samtidig. Med disse konservative forutsetningene viser styrkeberegninger utført av Dr. Techn. Olav Olsen AS (ref./6/) at utstyrskaftet ikke vil miste sin bæreevne og at dekket på SFA derfor vil være intakt. Utstyrskaftet ville imidlertid sannsynligvis sprekke opp og det er også sannsynlig med en etterfølgende brann. Mønstring var gjennomført på det tidspunkt den vesentlige gassoppbyggingen i skaftet skjedde. Personell var derfor lite eksponert. Ved sterk eksplosjon kan imidlertid tap av liv ikke utelukkes og det er sannsynlig med ikke reparerbar strukturskade av skaftet. Svekking/bortfall av sikkerhetsfunksjoner og barrierer Mulig alvorlighetsgrad vurderes som lik faktisk, dvs. alvorlighetsgrad 1 Produksjonstap Mulig alvorlighetsgrad vurderes å kunne blitt 5 dager, dvs. alvorlighetsgrad 2. Side 18 av 74

19 5.3 Klassifisering av hendelsen Basert på vurderingene ovenfor og føringer gitt i WR0015, er faktisk alvorlighetsgrad relatert til hendelsen totalt sett vurdert til faktisk alvorlighetsgrad 1. Mulig alvorlighetsgrad beskriver alvorlighetsgrad ved ubetydelig endrede omstendigheter. Ubetydelig endrede omstendigheter betyr at det bare er tilfeldig at alternative utfall av hendelsen ikke inntraff, ikke hva som i verste fall kunne skjedd. Skadekategori Faktisk alvorlighetsgrad Mulig alvorlighetsgrad Personskade/ABS Ingen Ingen Utslipp - olje 3 3 Utslipp - kjemikalier Ikke relevant Ikke relevant - Sjø/land - Svart/rød/gul Olje-/gasslekkasje 1 1 Brann/eksplosjon Ingen 5 Svekking av innretningens 1 1 sikkerhetsmessige integritet Sikringsbrudd Ikke relevant Ikke relevant Produksjonstap 3 2 Materiell skade/ andre 4 4 økonomiske tap Tabell 5.2 Klassifisering av hendelsens alvorlighetsgrad 6 Årsaker 6.1 Utløsende årsaker Overskriftene refererer til Synergi årsakskoder. Det vises for øvrig til beskrivelse av hendelsen i kapittel Mangler ved utstyr og verktøy Hot-tap verktøyet hadde ingen vern eller stoppanordning som hindret utskruing av sagstøtten Det var relativt lite justeringsmonn for sagstøtten. Når sagstøttehjulet er jevnt med innsiden av klammeret er det kun 2-3 gjenger i inngrep Det må betegnes som feilkonstruksjon at sagstøttene ikke var designet med stoppeanordning som ville gjøre det umulig å skru av støttene fra klammeret når dette var trykksatt. At det heller ikke varsles om fare i form av en liten lekkasje før hele sagstøtten er løs, gjør denne konstruksjonen ekstra farlig Mangler ved fysisk sikring/merking/skilting/varsling/opplæring Det var ingen merking som varslet fare for utskruing Det var ikke informert om fare for utskruing IKs installasjonsprosedyre beskriver ikke risiko ved bruk av sagstøtte Det var normal praksis å justere ut sagstøtten når det skulle settes inn børsteverktøy Side 19 av 74

20 6.1.3 Vurderinger og hensyntagen til fare/risiko Avstengingsmulighet eller andre tiltak for å begrense lekkasjemengde og varighet var ikke etablert 6.2 Bakenforliggende årsaker knyttet til Industrikonsults rolle Fulgte ikke regler/prosedyrer/god arbeidspraksis IK hadde selvstendig ansvar for å gjennomføre design verifikasjon og sikkerhetsvurderinger iht. krav i ISO9001 og Maskinforskriften. Dette ble ikke utført IK var fullt klar over at hot-tap verktøyet skulle være eneste barriere mot et stort oljesegment. Utstyret var en nyutvikling. Hot-tap operasjonene ved fjerning av sludge manifoldene i utstyrsskaftet på Statfjord A må betegnes som krevende og kompliserte i forhold til tradisjonell hot-tap som er beskrevet i anerkjente standarder.hot tapping i bend med boltede klammer er ikke beskrevet i anerkjente standarder. Verken API RP 2201 eller EEMUA 185 omtaler hot-tap uten sveising, og kun hot-tap vinkelrett på kuttet overflate er dekket i disse dokumentene. IK er ISO 9001 sertifisert. For å oppnå dette har bedriften en intern prosedyre IK-P5.1 Procedure for Design som ble revidert sist Det har imidlertid ikke vært mulig å finne dokumentasjon for at denne prosedyren har vært aktivt benyttet ved utviklingen av verktøy for nevnte hot-tap operasjon. IK har, som et ledd i kvalifiseringen av verktøyet gjennomført i alt 8 fullskala hot-tap operasjoner, disse er noe misvisende benevnt FAT ( Factory Acceptance Test ). Testene ble utført i firmaets lokaler på Forus, for samme dimensjon og materiale av rørbend som i aktuelt rørsystem på Statfjord A. Dette har skjedd i to omganger, fase 1 ved 4 tester som ledd i kvalifisering for hot-tap før RS2006, og deretter fase 2 ved 4 nye tester vinteren 2008 etter forbedring av utstyret. Felles for alle testene var fokus på funksjonell saging/kutting for å kunne sette en tett plugg i røret etter sageoperasjonen. Det har ikke vært fokus på verktøyets pålitelighet som barriere. Det har ikke vært gjennomført noen FMECA ( Failure Mode, Effect and Criticality Analysis ) eller tilsvarende gjennomgang av feilkilder verken i forhold til teknisk svikt eller menneskelig svikt ved bruk av utstyret. Etter granskingsgruppens vurdering er hot-tap verktøyet av en slik art at det skal ha samsvarserklæring iht. Maskinforskriften. Granskingsgruppen har ikke funnet teknisk dokumentasjon mht. samsvar med sikkerhetskravene i Maskinforskriften. Dette til tross for at IK, som svar etter revisjon fra AS i februar 2006, bekrefter at alt utstyr leveres i samsvar med Maskinforskriften. Som leverandør av sikkerhetskritisk utstyr til oljeindustrien burde IK selv gjennomført eller tatt initiativ til FMECA eller tilsvarende risikoanalyse av utstyret. Utstyret er heller ikke designet ihht. krav i StatoilHydros rørspesifikasjon for olje eksport og lagring på Statfjord A. Utstyret anses etter granskningsgruppens vurdering, ikke som kvalifisert til å kunne benyttes for hot-tap operasjoner i olje og gass eller andre kritiske medier. Side 20 av 74

21 6.2.2 Krav og forventninger til arbeidsutførelse ikke formidlet IK gjennomførte ikke opplæring av egne operatører mht. risiko ved operasjon av sagstøtten. Risikoen var heller ikke beskrevet i IK s gjennomføringsprosedyre Opplæring av operativt personell mht hva som kan gå galt og hvordan dette forhindres har ikke vært god nok. Dette henger sammen med manglende identifikasjon av mulige feilmekanismer fra design og utvikling av hot-tap verktøyet. IK s operatøropplæring på det spesifikke utstyret var utelukkende basert på at operatørene var tilstede ved funksjonstestene (kalt FAT). Utstyr for fjerning av rust vha. børste ble ikke demonstrert under testene på land. Det ble argumentert med at det ikke var innvendig rust på testrørene. Behov for å justere sagstøttene når stive rustfjerningsbørster med større diameter enn sagen, skulle skyves inn i røret, ble derved ikke utprøvd. Behov for å justere sagstøtter etter fullført saging, er ikke nevnt i noen arbeidsprosedyre verken fra operasjonene i 2006 eller operasjonene i mai Prosedyrene inneholder heller ingen advarsel om fare ved å justere sagstøttene for langt ut. 6.3 Bakenforliggende årsaker knyttet til Aker Solutions rolle Organisering planlegging og gjennomføring av arbeidet AS fulgte ikke opp IK s arbeid med mekanisk fagkompetanse. Leverandøren ble ansett av AS som spesialist med begrenset behov for faglig oppfølging. Det ble av AS ikke stilt tekniske krav eller funksjonskrav til utstyret som barriere. Oppdraget var tildelt AS gjennom V&M-avtalen. AS har et helhetlig ansvar for at arbeidet utføres på en sikker måte, også ovenfor underleverandører. Se vedlegg E. AS etablerte imidlertid ikke i tilstrekkelig grad egen faglig organisasjon. Det ble bl.a. ikke mobilisert mekanisk ingeniør for gjennomføring av oppdraget. AS benyttet StatoilHydro som fagapparat. Basert på presentasjon og informasjon gitt i møte mellom AS, StatoilHydro og IK, samt at IK hadde gjennomført mange Hot-taper for StatoilHydro tidligere foreslo AS løsningen om å benytte Hot-tap som metode reist i AOE (Anmodning om endring) 0385 overfor StatoilHydro, som godkjente dette Denne forutsatte blant annet at IK utførte en studie relatert til hot-tap for prosjektet i denne fasen. (levert ). AS utførte i denne fasen ikke studiearbeid. AS besluttet å gjennomføre prosjektet som et innkjøp av tekniske tjeneste (Assistance Technical Services - ATS). Bestillingen ble utført av AS i StatoilHydros innkjøpsystem i SAP. AS hevder at dette innebærer at IK ikke var å betrakte som AS sin underleverandør i prosjektet og at bruk av ATS innebærer begrenset oppfølging. IK ligger som en godkjent leverandør Trinn 1 i SAP. AS hevder at V&M leverandøren da må kunne ha tillit til at underleverandøren oppfyller krav og forpliktelser til leveranser. StatoilHydro bestrider dette på følgende punkter: AS ble ikke instruert om å bruke ATS Bruk av SAP prekvalifiserte leverandører innebærer ikke at oppfølging av kvaliteten i leveransen kan antas å være ivaretatt av StatoilHydro StatoilHydro innkjøpsmiljø har ikke tidligere hørt denne tolkingen av oppfølgingsansvar ved bruk av leverandører som er prekvalifisert i SAP. Dersom dette er en gjengs fortolkning i AS er det svært viktig å få avklart dette spørsmålet umiddelbart for å unngå mangelfull kvalitetssikring av sikkerhetskritiske leveranser. Side 21 av 74

22 IK var ikke prekvalifisert for Trinn 2 i SAP, dvs. StatoilHydro hadde ikke utført HMS-revisjon av leverandøren. Ved bruk av ATS skulle det derfor vært utført en HMS-revisjon av IK eller det måtte vært søkt om unntak med en reell begrunnelse. Etter granskingsgruppens vurdering tilsier kompleksitet av jobben og modenhet av utstyret bruk av utstyrsanskaffelse/underleveranse (innkjøpskategori). Dette ville automatisk medført strengere krav til oppfølging av leveransen, bl.a. vurdering av risiko og involvering av mekanisk fagkompetanse Tekniske forhold/betingelser med prosjektgjennomføringen AS spesifiserte ikke funksjonskrav til verktøyet og etterspurte ikke dokumentasjon iht. Maskinforskriften eller andre relevante spesifikasjoner. Selv om hot tap verktøyet er temporært utstyr gjelder de samme kravene som til annet utstyr i rørsystemet. AS stilte ikke krav til brannintegritet eller andre tekniske krav som gjelder for rørsystemer. Det ble av AS ikke stilt spesielle ytelseskrav til verktøyet som barriere. AS identifiserte ikke behov for uavhengig verifikasjoner og FMECA av utstyret før etter at første fase av prosjektet var gjennomført med 3 hot-tap operasjoner på Statfjord A. AS etterspurte ikke design verifikasjon og validering av utstyret iht. kravene i ISO 9001 eller maskinforskriften verken da eller tidligere. Selv om AS var kjent med at hot-tap verktøyet utgjorde en viktig sikkerhetsbarriere og at deler av utstyret måtte utvikles og testes, ble påliteligheten av verktøyet som barriere ikke fulgt opp på annen måte enn man gjør ved tradisjonelle prosjekter med kjent teknologi. AS satte ut studie til IK for å kvalifisere metode for hot-tap. Det ble imidlertid ikke identifisert behov for teknologikvalifisering iht. krav i StatoilHydros WR1622 Technology Qualification. IK s studie drøfter ikke risiko knyttet til operasjonen og inneholder ingen sikkerhetsvurderinger i forhold til krav i Maskinforskriften. Dette ble ikke fanget opp av AS ved vurdering av studierapporten Relevant personell i AS uttaler: Gitt at et utstyr kan defineres som en prototype, så vil dette normalt medføre en anskaffelse med et særskilt høyt risikonivå og således kreve en omfattende spesifikasjon og oppfølging av anskaffelsen. Vi har som generell filosofi å unngå slike anskaffelser. AS ønsker generelt å unngå anskaffelse av prototyper før det foreligger tilstrekkelig kvalifisering Ikke gode nok risikovurderinger i forkant av arbeidet Kvaliteten i utførte risikoanalyser ledet av AS var utilstrekkelig og det ble ikke stilt spørsmål ved risiko i tilfelle lekkasje fra hot-tap verktøyet. Vurdering av risiko er et krav i V&M rammekontrakt med AS, ref. vedlegg D tillegg 1 Krav til HMS. AS prosedyre P010 Sikkerhets- og arbeidsmiljøgjennomganger i prosjekt er sentral mht. AS sitt arbeid med risikovurderinger. I forkant av arbeidet var det utført HMS-sjekkliste analyse, Side 22 av 74

23 byggevennlighetsanalyse (kun for fase 1), SAFEOP og sikker jobbanalyse (SJA). Alle med deltagelse av relevant personell. HMS-sjekkliste er et hjelpemiddel for å identifisere nødvendige HMS-aktiviteter i videre prosjektering og gjennomføring. For fase 1 ble det ikke identifisert noen relevante tiltak. For fase 2 ble det bla. identifisert følgende aspekter ved oppdraget: Fare for tilbakestrømming av hydrokarbongass og H2S fra lagercellene. Komplisert pluggeoperasjon Varmt arbeid i habitat Forutsetning for arbeidet at plugging av cellene fungerer som tilsiktet for å opprettholde gassfritt område 3. parts verifikasjon (eks. FMECA) av IK utstyr vurderes av StatoilHydro. Prosjektet vurderes ikke å påvirke totalrisikoen for installasjonen (TRA) HMS-sjekklisten inneholder ingen referanser til maskinforskriften og krav til samsvarserklæring. - Byggevennlighetsanalysen ble utført iht. AS prosedyre P010 i forkant av gjennomføringen av fase 1. Formålet var å identifisere forhold som kunne medføre skade på mennesker, miljø, og innretning i forbindelse med det planlagte offshorearbeidet og å identifisere behov for nye tiltak/barrierer. Det er identifisert 3 tiltak ingen av disse var knyttet til risiko for lekkasje. Relevante ledeord/sjekkpunkter mht. lekkasje manglet i analysemalen. SAFEOP ble utført i juni 2006 for Fase 1. Formålet var sikkerhetsgjennomgang av IK s gjennomføringsprosedyre samt planlagt habitatsveising. SAFEOP er en variant av hazopmetodikken tilpasset vurdering av operasjonell risiko. SAFEOP identifiserer primært prosedyremessige svakheter og er ikke egnet til å systematisk avdekke konstruksjonsfeil/designfeil. Analysen ble utført iht. AS prosedyre P010. IK s installasjonsprosedyre ble gjennomgått punkt for punkt. Lekkasje ble brukt som ledeord i prosedyren. Mht. gasslekkasje er det kommentert at gasslekkasje ikke er relevant pga. at det kun er stabiliserte hydrokarboner i det aktuelle området. Det er også et punkt mht. innvirking av operasjonen på risikobildet i forhold til TRA (Total risikoanalyse). Dette besvares med at områderisikokart TRA er vurdert mot arbeidet. Ingen ytterligere aksjoner nødvendig. SAFEOP for fase 2 ble utført i februar 2008.Det var ikke deltagelse fra anleggsintegritetet, teknisk støtte og D&V ledelse. Det var ingen aksjonspunkter mht. lekkasje. Sikker Jobb Analyse (SJA se vedlegg F) ble forberedt på land, ledet av AS V&M leder land og fullført offshore ledet av AS V&M leder offshore. Det ble identifisert risiko for lekkasje fra hot-tap verktøyet i forbindelse med setting av plugg og børsting. Tiltak er beskrevet som lukking av 12 sandwichventil på verktøyet. På den vedlagte standard sjekklisten for SJA en er det gitt kommentarer som beskriver tiltak som forutsettes ivaretatt. Disse kommentarene burde vært overført som definerte tiltak på SJA skjemaets hoveddel med ansvarlig for tiltaket. Iht. WR1144 er sjekklisten et hjelpemiddel for å kvalitetssikre at mulige faremomenter og konsekvenser for det enkelte trinn i arbeidet har blitt vurdert. Tiltakene skal beskrives foran i SJA-skjemaet. Det er blant annet kommentert at drift må gies beskjed om å ivareta isolering av rørsystemet og mest mulig senking av trykk. Samtidig er det beskrevet at avstengingsventiler ikke holder tett. Det er ikke definert hvor mye trykket (nivået i ballasttanken) bør reduseres. Innenfor normale driftsbetingelser er det kun mulig med marginale endringer av trykket. For å oppnå en vesentlig reduksjon i trykk er det etter granskingsgruppens oppfatning nødvendig å planlegge hvordan dette skal gjennomføres. Dette ble ikke utført. Det var en generell oppfatning av at lagercellene måtte holdes fulle slik det fremgår av systembeskrivelsen. I forbindelse med Side 23 av 74

24 beredskapsoperasjonen vurderte fagapparatet på land det som forsvarlig å senke væskenivået (trykket) i lagercellene vesentlig. Systembeskrivelsen bør oppdateres iht. dette. VO deltok ikke i SJA. WR1144, Sikker Jobb Analyse, beskriver i kap 2.3 at SJA gruppen kan innholde bl.a. relevante verneombud. På spesielle og kritiske operasjoner som dette burde verneombud ha deltatt. SJA en var ikke kontrasignert (ref. krav i WR1144 App. D). Ingen av analysene ovenfor vurderte risiko for aktiviteten i forhold til risikoakseptkriterier. AS sin P010 prosedyre inneholder ikke risikomatrise/akseptkritierier. Risikomatrise kunne med fordel vært brukt. Granskingsgruppen antar at risikoen på analysetidspunktet da ville blitt vurdert med lav sannsynlighet men høy konsekvens. Dette kunne gitt fokus på konsekvensreduserende tiltak, som ikke ble etablert gjennom de gjennomførte analysene. Studierapporten for fase 2 inneholder et risikoregister i et av vedleggene. Oljelekkasje ved hottapping er beskrevet som en risiko med konsekvens at stabilisert olje renner ut. Tiltak er beskrevet som å revidere prosedyre, følge prosedyre, modifisere hot-tap verktøy, teste og at brannisolering må vurderes. Det er brukt risikomatrise. Sannsynligheten er satt til lav mens konsekvensen er satt til medium med maks kostnad Risikoregisteret ble brukt som et sjekkpunkt ved oppstart av gjennomføring. Det ble ikke utført FMECA eller lignende analyse egnet for å avdekke risikoforhold knyttet til selve utstyret. Etter granskingsgruppens vurdering burde dette vært gjort. I det minste burde AS ha etterspurt en slik analyse fra IK som etter Maskinforskriften likevel skulle ha utført sikkerhetsanalyse av hot-tap verktøyet. I fase 2 forespurte AS StatoilHydro om det burde gjøres en FMECA. Iht. V&M kontrakten skal AS vurdere dette selv og burde ha sett at IK var pliktig til å utføre sikkerhetsanalyse iht. Maskinforskriften. 6.4 Bakenforliggende årsaker knyttet til StatoilHydros rolle Organisering og planlegging av arbeidet Hot tap prosjektet ble godkjent for realisering og faktisk gjennomført uten at utstyret var kvalifisert. StatoilHydro personell tok beslutninger i prosjektet som normalt er kontraktørs ansvar (rolleblanding). Fagstigen ble ikke konsultert iht. krav Prosjektet med fjerning av sludge systemet har pågått siden tidlig Hot tap ble identifisert og tatt inn som metode i desember Selv med endring av konsepter underveis og betydelig grad av ny teknologi, medførte dette ikke en revurdering av beslutningsløpet. Hot tap prosjektet ble godkjent for realisering i mars 2006 uten at utstyret var kvalifisert. Jobben ble avbrutt pga. feil ved utstyret offshore høsten Ny realiserings beslutning ble tatt februar 2007, også denne gang uten at utstyret var kvalifisert, omfattende ombygginger og påfølgende testing var påkrevd. Beslutninger om realisering skal ikke taes før man har et modent og kvalifisert konsept, da dette øker usikkerheten av prosjektet. Dette ble tydelig demonstrert ved at utstyret hadde feil allerede ved første operasjon i WR1622 er det beskrevet at det skal utføres en teknologi evaluering frem til DG1 og at teknologien skal være kvalifisert innen DG3 hvis det ikke eksisterer eller modnes frem en alternativ metode. Side 24 av 74

25 Det er iht. WR0155 et krav at modifikasjonsansvarlig, ved kritiske modifikasjoner mht. HMS eller produksjon/regularitet, skal involvere fagledere i kvalitetssikring av utstyret/modifikasjonen. Dette ble ikke gjort. Det er også iht. WR0155 et krav at modifikasjonsansvarlig skal utøve usikkerhetsstyring og etablere usikkerhetsliste som et aktivt styringsverktøy. Usikkerhetsstyringen må anses som ikke god nok, gjennomførte aktiviteter (SAFEOP, SJA) dekker ikke prosjektets totale risikoer og akseptkriterier for bl.a. verktøyets pålitelighet som barriere, er ikke identifisert. Deling av ansvar mellom oppdragsleder og oppdragseier, hvor oppdragseier er teknisk ansvarlig for oppdraget, gir en uklar rolle og ansvarsfordeling disse imellom. Innføring av ny organisasjon fra , beskrevet i OMC01 Undersøkelse og produksjon Norge (EPN) - Organisasjon, ledelse og kontroll, gir en modell med klarere inndeling av roller og ansvar. Overlevering av oppdraget fra anleggsintegritet til modifikasjoner og prosjekter skjer etter DG1. Oppdragsleder har da et totalansvar for gjennomføring av oppdraget og er organisert med et eget teknisk støttepersonell, som ikke har direkte tilknytning til installasjonen, illustrert under. Det var også tidligere et lignende skille mellom prosjekt og anleggsintegritet/drift. For det aktuelle prosjektet stilte Anleggsintegritet SF med ressurser i prosjektet pga. mangelfull bemanning i den daværende modifikasjonsenheten (DVM MOD). Etter omorganiseringen ble det valgt å fortsette med denne organiseringen for prosjektet. Oppdragseier og annet teknisk/operasjonelt personell fra StatoilHydro har i stor grad virket som teknisk støtte for AS oppdragsleder og har kommet med direkte instrukser, forbedringsforslag og innspill til teknisk løsning. Dette er ikke i tråd med StatoilHydros kontrakt med AS. AS skal ha et selvstendig ansvar for gjennomføring av oppdraget. I den nye organisasjonen skal de legges vekt på riktig samspill med leverandør. Dette må det trenes på. StatoilHydro fant det ikke nødvendig å gjennomføre 3dje part verifikasjon eller FMECA. Dette instruerte StatoilHydro AS om i fase 2 av prosjektet, etter forespørsel fra AS. Det ble av StatoilHydro henvist til vellykkede funksjonstester som begrunnelse for å utelate 3dje part eller FMECA. Fagstigen ble ikke involvert i denne vurderingen. Formelt er det likevel klart at denne Side 25 av 74