FORFATTER(E) Knut Øien og Snorre Sklet OPPDRAGSGIVER(E) Oljedirektoratet GRADER. DENNE SIDE ISBN PROSJEKTNR. ANTALL SIDER OG BILAG

Transkript

1 SINTEF RAPPORT TITTEL SINTEF Teknologiledelse Sikkerhet og pålitelighet Postadresse: 7034 Trondheim Besøksadresse: Strindveien 4 Telefon: Telefaks: Foretaksregisteret: NO MVA Metode for å utarbeide tekniske risikoindikatorer FORFATTER(E) Knut Øien og Snorre Sklet OPPDRAGSGIVER(E) Oljedirektoratet RAPPORTNR. GRADERING OPPDRAGSGIVERS REF. STF38 A98434 Åpen Liv Nielsen / Odd Tjelta GRADER. DENNE SIDE ISBN PROSJEKTNR. ANTALL SIDER OG BILAG Åpen (1 vedlegg) ELEKTRONISK ARKIVKODE PROSJEKTLEDER (NAVN, SIGN.) VERIFISERT AV (NAVN, SIGN.) Rapport Ver 3 - Metodebeskrivelse.doc Snorre Sklet Marvin Rausand ARKIVKODE DATO GODKJENT AV (NAVN, STILLING, SIGN.) SAMMENDRAG Lars Bodsberg, forskningssjef Rapporten inneholder beskrivelse av en metode for utvikling av tekniske risikoindikatorer. Risikoindikatorene kan benyttes for å overvåke eventuelle endringer i risiko på en offshore innretning under normale driftsforhold ved å gjennomføre periodiske registreringer (f.eks. kvartalsvis) av tilstanden på indikatorene. Tanken er at man ved å identifisere et sett med indikatorer for de viktigste risikopåvirkende forholdene, kan benytte disse til å følge opp evt. endringer i risikonivået på plattformen. Ved å foreta jevnlige målinger av tilstanden på indikatorene, kan man dermed følge opp utviklingen i risikonivået. I rapporten er det lagt vekt på å gi en kortfattet beskrivelse av metoden og samtidig illustrere de ulike stegene i metoden med eksempler fra "Risikoindikatorprosjektet Statfjord A". STIKKORD NORSK ENGELSK GRUPPE 1 Sikkerhet Safety GRUPPE 2 Risiko Risk EGENVALGTE Risikoanalyse Risk Analysis Risikoindikator Risk Indicator

2 2 INNHOLDSFORTEGNELSE 1. SAMMENDRAG INNLEDNING Hensikt og bruksområde Bakgrunn Begreper og avgrensninger Rapportstruktur METODEBESKRIVELSE DISKUSJON AV TEKNISKE RISIKOINDIKATORER Nytteverdi av risikoindikatorer Implementering og bruk av risikoindikatorer Begrensninger ved valgte framgangsmåte Videre FoU-arbeid REFERANSER...28 VEDLEGG 1 Skjema for vurdering av endringspotensiale og endring i risiko... 29

3 3 1. SAMMENDRAG Rapporten inneholder beskrivelse av en metode for utvikling av tekniske risikoindikatorer. Risikoindikatorene kan benyttes for å overvåke eventuelle endringer i risiko på en offshore innretning under normale driftsforhold ved å gjennomføre periodiske registreringer (f.eks. kvartalsvis) av tilstanden på indikatorene. Tanken er at man ved å identifisere et sett med indikatorer for de viktigste risikopåvirkende forholdene, kan benytte disse til å følge opp evt. endringer i risikonivået på plattformen. Ved å foreta jevnlige målinger av tilstanden på indikatorene, kan man dermed følge opp utviklingen i risikonivået. For å kunne kvantifisere endringer i risikonivået, er totalrisikoanalysen for en plattform valgt som utgangspunkt for arbeidet med å identifisere risikoindikatorer. I rapporten er det lagt vekt på å gi en kortfattet beskrivelse av metoden og samtidig illustrere de ulike stegene i metoden med eksempler fra "Risikoindikatorprosjektet Statfjord A". Framgangsmåten for å utarbeide tekniske risikoindikator er vist i Figur 1. Steg 1. Velg ulykkestyper Steg 2. Identifiser forhold som inngår i risikoanalysen Steg 3. Vurder hvilke forhold som kan endres og hvor mye Steg 4. Analyser effekt på risiko Steg 5. Velg forhold med størst innvirkning på risiko Steg 6. Etabler indikatorer Steg 7. Velg et sett med indikatorer Steg 8. Figur 1. Etabler rutiner for bruk av indikatorer Stegene i metoden for utarbeidelse av tekniske risikoindikatorer. Et svært sentralt punkt, er steg 3 hvor det er behov for et nært samarbeid mellom risikoanalytikere og driftspersonell. Rutiner for registrering og bruk av risikoindikatorer må utarbeides av det enkelte operatørselskap. I denne forbindelse, må det avklares om man ønsker å iverksette risikoreduserende tiltak eller detaljerte analyser på grunnlag av negativ utvikling på enkeltindikatorer, eller om man ønsker å vurdere utviklingen samlet for alle indikatorene.

4 4 Fram til nå har arbeidet med å identifisere risikoindikatorer vært avgrenset til å omfatte risiko for tap av menneskeliv pga. ulykkestyper med storulykkespotensiale. Tilsvarende framgangsmåte kan også benyttes for å utvikle risikoindikatorer relatert til endringer i risiko for skade på ytre miljø og tap av materielle verdier. Risikoindikatorene presentert i denne rapporten er relatert til totalrisiko (FAR-verdi). Resultatene fra følsomhetsanalysene viser at det er relativt få risikopåvirkende forhold som enkeltvis har stor innvirkning på den totale FAR-verdien. Benyttes andre mål på sikkerhet, f.eks. integriteten til sikkerhetssystemer, vil man få et annerledes sett med indikatorer. Risikoindikatorene må brukes med varsomhet ettersom de fanger opp bare en del av alle de forhold som påvirker risikoen. Det er mange andre forhold som er viktig å ha under kontroll for at totalrisikoen skal være akseptabel. I den forbindelse arbeides det videre med et prosjekt for å utarbeide indikatorer for menneskelige og organisatoriske forhold. Prosjektet gjennomføres av SINTEF i samarbeid med Oljedirektoratet, ni oljeselskaper og tre konsulentfirmaer. Hovedhensikten med prosjektet er å videreutvikle modeller som kan benyttes for å klargjøre sammenhengen mellom organisatoriske forhold og risikonivået på en offshore innretning. Disse modellene vil i neste omgang danne grunnlaget for å utarbeide en metodikk som kan benyttes til å etablere organisatoriske risikoindikatorer. Dermed kan man også måle endringer i risikonivået på en innretning som skyldes endringer i organisatoriske forhold.

5 5 2. INNLEDNING 2.1 Hensikt og bruksområde Hensikten med rapporten er å beskrive en metode for utvikling av tekniske risikoindikatorer. Risikoindikatorene kan benyttes for å overvåke eventuelle endringer i risiko på en offshore innretning under normale driftsforhold ved å gjennomføre periodiske registreringer (f.eks. kvartalsvis) av tilstanden på indikatorene. Metoden skal ikke måle det absolutte risikonivået på en plattform, kun endringer i forhold til sist oppdaterte totalrisikoanalyse (TRA). Risikoindikatorene kan benyttes som en integrert del av operatørenes arbeid med å holde risikoen på et akseptabelt nivå. Risikonivå Risikopåvirkende forhold (RPF) Indikatorer BRENNTID TOTALT FOR EN PERIODE VARMT ARBEID ANTALL OVERSKRID- ELSER AV TILLATT BRENNTID I OMRÅDER MED BEGRENSNING %-VIS ENDRING I RISIKONIVÅ %-VIS ENDRING I RISIKONIVÅ Indikator %-VIS ENDRING I INDIKATOR P1 P2 P3 P4 P5 PERIODE Figur 2. Illustrasjon av etablering og bruk av indikatorer. I Figur 2 har vi illustrert metoden for etablering og bruk av indikatorer. Tanken er at man ved å identifisere et sett med indikatorer for de viktigste risikopåvirkende forholdene (RPF), kan benytte disse til å følge opp evt. endringer i risikonivået på plattformen. Med utgangspunkt i resultater fra følsomhetsanalyser i TRA'en, kan man beregne den relative endringen i risikonivået (i %) ved endringer av tilstanden på risikoindikatorene. Ved å foreta jevnlige målinger av tilstanden på indikatorene, kan man dermed følge opp utviklingen i risikonivået. I rapporten er det lagt vekt på å gi en kortfattet beskrivelse av metoden og samtidig illustrere de ulike stegene i metoden med eksempler fra "Risikoindikatorprosjektet Statfjord A".

6 6 2.2 Bakgrunn Arbeidet med å utvikle en metode for overvåking av risikonivået på en offshore innretning ble initiert av Oljedirektoratet (OD) pga. et behov for å overvåke utviklingen i risikonivået på Ekofisk 2/4-T i perioden fra beslutning om nedstengning av plattformen ble vedtatt fram til plattformen ble stengt ned i august Ettersom det foreligger svært mye informasjon om forholdene på en plattform i drift, var det også en utfordring å skille ut den viktigste informasjonen, dvs. informasjon om de forholdene som har størst betydning for risikoen, og som det dermed var viktig å ha kontroll med. Resultatene fra indikatorprosjektet for Ekofisk 2/4-T (/1/) var såpass lovende, at OD ønsket å gå videre med et tilsvarende prosjekt for Statfjord A (/2/) i samarbeid med Statoil. Denne beskrivelsen av en generell metode for utvikling av risikoindikatorer bygger på erfaringer fra begge disse pilotstudiene. Det er også et ønske at denne metodebeskrivelsen kan bidra til bedre utnyttelse av resultatene fra totalrisikoanalysene i driftsfasen. TRA ene inneholder mye informasjon om risikoforholdene på en plattform som det er viktig å følge opp og benytte i det ulykkesforebyggende arbeidet. 2.3 Begreper og avgrensninger Metoden kan altså benyttes til å utvikle et sett med risikoindikatorer. Disse indikatorene kan så benyttes for å måle endringer i risikonivået. Risiko er i ODs risikoanalyseforskrift (/3/) definert som et samlende begrep for sannsynligheten for og konsekvensen av en ulykkeshendelse, der en ulykkeshendelse er en "ukontrollert hendelse som kan medføre tap av menneskeliv, personskader, skade på miljø og tap av økonomiske verdier". I arbeidet med å utvikle tekniske risikoindikatorer har vi avgrenset risikobegrepet til å gjelde risiko for tap av personell på en plattform. Metoden er i utgangspunktet avgrenset til å omfatte storulykkesrisiko, dvs. risiko for ulykker som kan resultere i flere drepte. Risiko for skade på eller tap av personell i tradisjonelle arbeidsulykker omfattes dermed ikke av metodikken. Dette skyldes ikke at vi anser det som mindre viktig å holde kontroll med risiko for arbeidsulykker. En av årsakene er at endringer i frekvensen av arbeidsulykker kan måles direkte ut fra statistikk, for eksempel ved bruk av H-verdi 1. For å kunne si noe om endringer i risikonivået, valgte vi å ta utgangspunkt i totalrisikoanalysen for en plattform. Dette skyldes i hovedsak to forhold: TRA en gir et kvantitativt mål på risikoen, som regel uttrykt ved FAR-verdi 2 eller PLL-verdi 3. I TRA'en inngår de ulykkestypene som kan føre til storulykker. ("For at et system skal feile, må en av dets feilmoder inntreffe, uavhengig av hva som er de bakenforliggende årsaker" (/4/)). Totalrisikoanalysen er altså valgt som utgangspunkt for arbeidet med å identifisere tekniske risikoindikatorer. Kvaliteten på TRA'en (kompletthet, detaljnivå, godhet av modeller, etc.) legger dermed begrensninger på hvilke risikopåvirkende forhold vi finner. Ettersom modellene i TRA'en 1 H-verdi def. som antall fraværsskader pr eksponeringstimer. 2 FAR-verdi (Fatal Accident Rate) er et mål på individuell risiko og defineres som forventet antall døde pr eksponerte timer. 3 PLL-verdi (Potential Loss of Life) er et mål på grupperisiko og defineres som forventet antall døde pr. år.

7 7 i begrenset omfang inneholder årsaksanalyser, vil de identifiserte risikopåvirkende forholdene heller ikke omfatte årsakssiden, f.eks. for hydrokarbonlekkasjer. Med risikopåvirkende forhold (RPF) menes et forhold (tilstand, egenskap) som påvirker risikonivået knyttet til et gitt system eller aktivitet (her drift og vedlikehold av en offshore innretning). Et eksempel på et risikopåvirkende forhold er varmt arbeid på innretningen. En indikator er en målbar/tellbar/registrerbar/observerbar størrelse som benyttes til å overvåke utviklingen av et risikopåvirkende forhold. En indikator skal i størst mulig grad være sterkt eller perfekt korrelert med det risikopåvirkende forhold den overvåker. To eksempler på indikatorer for varmt arbeid er total brenntid i en periode og antall overskridelser av tillatt brenntid i områder med begrensninger i en gitt periode. Kun den første av disse er imidlertid en parameter som inngår i tennsannsynlighetsmodellen i risikoanalysen, og hvor det er mulig å beregne effekten av en endring basert på TRA'en. 2.4 Rapportstruktur Kapittel 3 inneholder beskrivelse av metoden for å utvikle tekniske risikoindikatorer. Metoden beskrives steg for steg (i alt 8 steg). For hvert steg gis det eksempler fra Statfjord A. I kapittel 4 diskuteres noen av utfordringene man vil møte ved utarbeiding og implementering av tekniske risikoindikatorer. Til slutt sies det litt om det videre arbeid som gjennomføres ved SINTEF for å videreutvikle metodikken.

8 8 3. METODEBESKRIVELSE Figur 3 viser oversikt over de ulike stegene som må gjennomføres for å utarbeide og ta i bruk indikatorer for overvåking av endringer i risikoen på en offshore innretning. Steg 1. Velg ulykkestyper Steg 2. Identifiser forhold som inngår i risikoanalysen Steg 3. Vurder hvilke forhold som kan endres og hvor mye Steg 4. Analyser effekt på risiko Steg 5. Velg forhold med størst innvirkning på risiko Steg 6. Etabler indikatorer Steg 7. Velg et sett med indikatorer Steg 8. Figur 3. Etabler rutiner for bruk av indikatorer Stegene i metoden for utarbeidelse av tekniske risikoindikatorer. På de neste sidene beskrives innholdet i hvert enkelt steg i metoden nærmere. I tillegg gis det praktiske eksempler fra "Risikoindikatorprosjektet Statfjord A". Mange av stegene i metoden kan gjennomføres av risikoanalytikere (fra oljeselskapene og/eller konsulentselskapene), f.eks. steg 1, 2, 4 og 5. Steg 3, 6 og 7 krever stort bidrag fra driftspersonell, mens steg 8 også vil måtte involvere aktuelle beslutningstakere.

9 9 Steg 1. Velg ulykkestyper Første steg i arbeidet er å velge ut de ulykkestypene man skal identifisere risikoindikatorer for. Valg av ulykkestyper gjøres ved å ta utgangspunkt i totalrisikoanalysen. Følgende kriterier kan benyttes for å velge ulykkestyper: Ulykkestypen må innebære storulykkesrisiko. Ulykkestypen må gi et signifikant bidrag til totalrisiko. Ulykkestypen må være påvirkbar. Kommentar til steg 1. Benyttes kriteriene beskrevet ovenfor, vil det som regel bare gjenstå et lite utvalg av ulykkestyper for en innretning. Arbeidsulykker vil utelates pga. liten storulykkesrisiko. Ulykker som skyldes ytre påvirkninger, f.eks. jordskjelv og ekstreme værforhold, kan som regel ses bort fra pga. liten påvirkningsmulighet eller lite bidrag til totalrisikoen. Typiske ulykkestyper man står igjen med er dermed prosessulykker, stigerør- og rørledningsulykker, utblåsning og helikopterulykker. Eksempel Figur 4 viser bidraget til totalrisiko fra alle ulykkestyper på Statfjord A plattformen. I dette tilfellet ble ulykkestypene topside prosessulykker, stigerør/rørledningsulykker, utblåsning og helikopterulykker valgt som kandidater for å identifisere risikoindikatorer. Disse ulykkestypene bidro totalt med 83 % av totalrisikoen. Andre branner 1 % Arbeidsulykker 12 % Helikopterulykke 6 % Flotellkollisjon 0 % Skipskollisjon 0 % Jordskjelv 2 % Ekstreme værforhold 2 % Prosessulykker 46 % Utblåsing 25 % Stigerør / rørledn.ulykker 6 % Figur 4. Bidrag til totalrisiko fra ulike ulykkestyper for Statfjord A.

10 10 Steg 2. Identifiser forhold som inngår i risikoanalysen For de utvalgte ulykkestypene må risikoanalysen gjennomgås grundig. Alle forhold/parametre (risikopåvirkende forhold) som inngår i modellene i risikoanalysen identifiseres og listes i en tabell. Tabellen bør bygges opp i henhold til inndelingen i barrierene (grenene) i hendelsestreet, slik at det er lett å holde oversikt over hvor de ulike risikopåvirkende forhold inngår i risikoanalysen. Kommentar til steg 2. I arbeidet med å gjennomgå risikoanalysen bør det delta personer med kjennskap til og forståelse av risikoanalysen. I tillegg kan det også være nyttig å involvere driftspersonell i dette arbeidet. For driftspersonell eller andre som ikke har kjennskap til innholdet i og oppbygging av totalrisikoanalyser fra før, vil dette også gi en god innføring i oppbyggingen av TRA'en. Eksempel En ulykkesmodell av prosessulykker som er benyttet i totalrisikoanalysen for Statfjord A, er vist i Figur 5. Hver barriere tilsvarer en grein i hendelsestreet i risikoanalysen. I Figur 5 inngår ikke rømning og evakuering. Modellering av rømning og evakuering er vist i Figur 6. HENDELSESTRE LEKKASJE- FREKVENS LEKKASJE LANGVARIG LEKKASJE ANTENT LEKKASJE I MODUL STERK EKSPL. Pr. modul: Gass- og/eller oljelekkasje fra representativt utstyr; - middels stor - stor - svært stor Kortvarig lekkasje Uantent lekkasje 3 ANTENT LEKKASJE UTENFOR M. Brann 5 6 BRANN- SPREDNING ANDRE SEGM. BRANN- SPREDNING ANDRE OMR. Uantent lekkasje LOKAL BRANN I MODUL BARRIERER: 1. NEDSTENGNING 2. FORHINDRE ANTENNELSE I MODUL 3. FORHINDRE ANTENNELSE UTENFOR MODUL 4. FORHINDRE STERK EKSPLOSJON 5. FORHINDRE SPREDNING TIL ANDRE SEGMENT 6. FORHINDRE SPREDNING TIL ANDRE OMRÅDER Figur 5. Statfjord A Ulykkesmodell for prosessulykker.

11 11 Å8/<..(602'(//Å +(1'(/6(675( /(..$6-( )5(.9(16 /(..$6-( /$1*9$5,* /(..$6-( $17(17 /(..$6-(,Ã02'8/ 67(5. (.63/ 3UÃPRGXO *DVVÃRJHOOHU ROMHOHNNDVMHÃIUD UHSUHVHQWDWLYW XWVW\U ÃPLGGHOVÃVWRU ÃVWRU ÃVY UWÃVWRU.RUWYDULJ OHNNDVMH 8DQWHQW OHNNDVMH 8DQWHQW OHNNDVMH $17(17 /(..$6-( 87(1)25Ã0 %UDQQ %5$11 635('1,1* $1'5(Ã6(*0 %5$11 635('1,1* $1'5(Ã205 /2.$/ %5$11,Ã02'8/.RQVHNYHQVEHUHJQLQJ +(1'(/6(675($1$/<6(Ã+7$ Ã')8HU ÃVFHQDULHU 5 PQLQJ (YDNXHULQJ 5HGQLQJ 8PLGGHOEDUH IDWDOLWHWHU 7DSÃDYÃOLY XQGHU U PQLQJ 7DSÃDYÃOLY XQGHU HYDNXHULQJ È È È 5 01,1*Ã7LOÃP QVWULQJVRPUnGH (9$.8(5,1*Ã)RUODWHUÃLQVWDOODVMRQHQ 5('1,1*Ã)UDÃPLGOHUWLGLJÃVLNNHUWÃWLO ÃÃÃÃÃÃÃÃÃÃÃÃÃÃÃÃÃÃVLNNHUWÃRPUnGH Ã,QGUHÃU PQLQJVYHLHU Ã%URÃWLOÃ3RO\FURZQ Ã+HOLNRSWHU Ã/LYEnWHU Ã)OnWHU Ã6WU PSHU Ã%HUHGVNDSVIDUW \ÃLQNOÃ02% Ã6$5ÃKHOLNRSWHU 9HOO\NNHWÃU PQLQJÃRJÃHYDNXHULQJ Figur 6. Statfjord A Ulykkesmodell for prosessulykker inkl. rømning og evakuering. I Figur 7 er sammenhengen mellom ulike forhold som inngår i "Barriere 1 Nedstengning", vist ved hjelp av et feiltre. Alle basis- og ikke utviklede hendelser i feiltreet (skravert med grå farge) må inngå i tabellen med risikopåvirkende forhold. I Tabell 1 er det vist hvordan tabellen med risikopåvirkende forhold for "Barriere 1 Nedstengning" ble seende ut for Statfjord A. Kolonnen benevnt "notasjon" inneholder oversikt over notasjonen benyttet i TRA'en. Kolonnen "benevning" inneholder oversikt over benevning benyttet i TRA for relevante forhold (f.eks. m 3 /sek for lekkasjerate). I kolonnen benevnt "verdi" er verdiene for hver enkelt parameter benyttet i TRA'en listet. Tabell 1. Opplisting av risikopåvirkende forhold knyttet til godhet av "Barriere 1- Nedstengning" for Statfjord A. 1 Detektor ikke eksponert (2x60%LEL) (1-P3) 0 f(antall, plassering, lekk.rate, etc) 2 Svikt i gassdeteksjonssystemet (1-P4) 0,001 f( ) 2.1 Svikt i detektor 0, totalt for 2oo3 med 2x60%LEL 2.2 Svikt i gasspanel f(test frekvens), 6 pr år " 2.3 Systematisk feil i kalibrering av detektor ~0 " 2.4 Katalysator forgiftning ~0 " 3 Svikt i ESD-paneler (1-P5) ~0 4 Svikt i isoleringsventiler (1-P6) 0,012 5 Svikt i manuell nedstegning (1-P2) 0.05/0.3/1. 100% svikt ved svært stor lekkasje

12 12 Ingen nedstegning (1-P 1) P1 Svikt i autom atisk nedstengning Svikt i manuell nedstegning Paut P2 Svikt i gassdeteksjon Svikt i autom atisk nødavstegningssystemet (ESDII) GD ESD Detektor ikke eksponert [p=1-c/0.6c0] Svikt i gassdeteksjonssystemet Svikt i ESD-paneler Svikt i isoleringsventiler P3 P4 P5 P6 Svikt i detektorer Felles feil DET CCF Svikt i gasspanel Systematisk feil i kalibrering av detektorer Katalysator forgiftning CCF1 CCF2 CCF3 Figur 7. Statfjord A - Risikopåvirkende forhold for barriere 1 Nedstengning.

13 13 Steg 3. Vurder hvilke forhold som kan endres og hvor mye Neste steg er å vurdere endringspotensialet til alle identifiserte risikopåvirkende forhold. Dette bør gjøres i to trinn: 1. Vurder om man kan forvente endring i et risikopåvirkende forhold. 2. Estimer den største sannsynlige endringen man kan forvente for de forhold som kan endres. Alle risikopåvirkende forhold gjennomgås systematisk og resultatene fra vurderingene dokumenteres. Tabellen med oversikt over risikopåvirkende forhold kan benyttes som hjelpemiddel i arbeidet med å vurdere endringspotensialet ved å tilføye to nye kolonner i tabellen. Resultatene kan dermed dokumenteres i hver sin kolonne i tabellen. Kommentar til steg 3. Endringer i de ulike risikopåvirkende forholdene kan gå i begge retninger, dvs. at endringene i risikonivået kan være både negative og positive. I dette arbeidet er det svært viktig å trekke inn driftspersonell som har god kjennskap til plattformen og aktivitetsnivået framover. Man må ikke være for "forsiktig" i vurderingene av om et forhold kan endres. Det er bedre å ta med for mange forhold, enn å utelate forhold som kan ha stor effekt på risikoen hvis de endres. Enkle og forståelige illustrasjoner av modellene i risikoanalysen, både av helheten og den enkelte barriere, bør benyttes som et kommunikasjonsmiddel mellom risikoanalytikere og driftspersonell. Dette gir driftspersonell en god forståelse av hvordan risikoanalysen er bygd opp og hvilke forutsetninger resultatene bygger på. For driftspersonell er det nyttig å vite og forstå hvordan virkeligheten om bord på plattformen er modellert (dvs. forenklet) i risikoanalysen. Diskusjonene mellom risikoanalytikere og driftspersonell gir også nyttige tilbakemeldinger til risikoanalytikerne om svakheter i modellene og eventuelle endringer i de parametre som er benyttet i analysen. Eksempel Eksempel på hvordan steg 3 kan dokumenteres er vist i Tabell 2. Tabellen er hentet fra "Barriere 1 Nedstengning" for Statfjord A. Dette er kun en utvidelse av Tabell 1 med to nye kolonner, én for å vurdere om forholdene kan endres, og én for å vurdere maksimal sannsynlig endring av hvert forhold. Tabell 2. Vurdering av endringspotensiale av risikopåvirkende forhold. %$55,(5(ÃÃ1HGVWHQJQLQJ.DQÃHQGUHV 0DNVÃVDQQV 1U,QQJDQJVSDUDPHWUHULVLNRSnYLUNHQGHÃIRUKROG 1RWDVMRQ %HQHYQLQJ 9HUGL.RPPHQWDU -D1HL HQGULQJÃ 1 Detektor ikke eksponert (2x60%LEL) (1-P3) 0 f(antall, plassering, lekk.rate, etc) Nei 2 Svikt i gassdeteksjonssystemet (1-P4) 0,001 f( ) Ja x 0,1 x Svikt i detektor 0, totalt for 2oo3 med 2x60%LEL 2.2 Svikt i gasspanel f(test frekvens), 6 pr år " 2.3 Systematisk feil i kalibrering av detektor ~0 " 2.4 Katalysator forgiftning ~0 " 3 Svikt i ESD-paneler (1-P5) ~0 Nei 4 Svikt i isoleringsventiler (1-P6) 0,012 Ja x 0,5 x 2 x 8,3 (0,1) 5 Svikt i manuell nedstegning (1-P2) 0.05/0.3/ % svikt ved svært stor lekkasje Ja 0.5/0.7/0.5 1,0/1,0/1,0

14 14 Steg 4. Analyser effekt på risiko Effekten på risikonivået av endringer i risikopåvirkende forhold beregnes ved å gjennomføre følsomhetsanalyser i totalrisikoanalysen. Maksimal forventet endring i de risikopåvirkende forholdene (etablert i foregående steg) utgjør nye inngangsparametre i analysene. Følsomhetsanalyser gjennomføres ved å forandre verdien på én og én parameter i risikoanalysen. For enkelte forhold kan det være behov for å gjøre flere følsomhetsanalyser, f.eks. hvis man mener at et forhold kan endres i både positiv og negativ retning. Resultatene av følsomhetsanalysene kan dokumenteres ved å tilføye enda en ny kolonne i tabellen med risikopåvirkende forhold. I tillegg vil det som en del av steg 3 og 4 gjøres en del vurderinger og antakelser som det også er viktig å dokumentere. Dette kan gjøres i et kommentarfelt under tabellen. Kommentar til steg 4. Ved å gjennomføre følsomhetsanalyser utvides kunnskapen om det totale risikobildet på plattformen. Resultatene fra følsomhetsanalysene sier noe om hvilke forhold som gir stort eller lite bidrag til totalrisikoen på plattformen. Dette skaper bedre forståelse av hvilke forhold det er viktig å holde under kontroll i det ulykkesforebyggende arbeidet. Følsomhetsanalysene kan enten gjennomføres "manuelt" eller "automatisk". Med manuelle følsomhetsanalyser utføres disse uten bruk av dataverktøyene risikoanalysene er utført med. Dette krever svært god dokumentasjon av risikoanalysen (både input-parametre og alle hendelsestrærne). Ved automatiske følsomhetsanalyser gjennomføres nye analyser ved hjelp av dataverktøyene som ble benyttet ved gjennomføring av risikoanalysen (f.eks. OHRAT). Dette krever direkte tilgang til og kjennskap til bruken av disse verktøyene. Eksempel Et eksempel på tabell med resultater fra følsomhetsanalyser for "Barriere 1 Nedstengning" for Statfjord A er vist i Tabell 3. I Figur 8 har vi presentert resultatene fra følsomhetsanalysene for Statfjord A i et Pareto-diagram. Figuren viser de forholdene som har størst innvirkning på risikonivået i rangert rekkefølge fra venstre mot høyre. Her har vi skilt mellom forhold som kan gi reduksjon i risiko ved at de ligger over x-aksen, mens forhold som kan gi økning i risiko ligger under x-aksen. Vi ser også at enkelte forhold kan endres i både positiv og negativ retning.

15 15 Tabell 3. Effekt på risiko av endringer i risikopåvirkende forhold for "Barriere 1 Nedstengning". %$55,(5(ÃÃ1HGVWHQJQLQJ.DQÃHQGUHV 0DNVÃVDQQV (IIHNWÃSn 1U,QQJDQJVSDUDPHWUHULVLNRSnYLUNHQGHÃIRUKROG 1RWDVMRQ %HQHYQLQJ 9HUGL.RPPHQWDU -D1HL HQGULQJÃ ULVLNRÃ>È@ 1 Detektor ikke eksponert (2x60%LEL) (1-P3) 0 f(antall, plassering, lekk.rate, etc) Nei 2 Svikt i gassdeteksjonssystemet (1-P4) 0,001 f( ) Ja x 0,1 x 100 0,005 0, Svikt i detektor 0, totalt for 2oo3 med 2x60%LEL 2.2 Svikt i gasspanel f(test frekvens), 6 pr år " 2.3 Systematisk feil i kalibrering av detektor ~0 " 2.4 Katalysator forgiftning ~0 " 3 Svikt i ESD-paneler (1-P5) ~0 Nei 4 Svikt i isoleringsventiler (1-P6) 0,012 Ja 100% svikt ved svært stor 5 Svikt i manuell nedstegning (1-P2) 0.05/0.3/1.0 lekkasje Ja x 0,5 x 2 x 8,3 (0,1) 0.5/0.7/0.5 1,0/1,0/1,0 0,03 0,06 0,47 0,003 0,76.RPPHQWDUHUYXUGHULQJHU 1) Pga innelukkede moduler. (Unntatt UM3 og UM10). 2) Nyere/bedre/flere detektorer tilsier en mulighet for mer pålitelige detektorer (er også endret til 2oo3 med 2x30%LEL). 3) Antas fortsatt å være neglisjerbar. 4) Påliteligheten av isoleringsventilene vurderes å kunne endres, og følsomhetsanalysen gjennomføres for både halvering og dobling av upåliteligheten. Mest sannsynlig vil endringen gå i positiv retning. Et nytt system (PCDA) registrerer hvilke ventiler som ikke lukker eller lukker for sakte. Hvorvidt ventilene holder tett er vanskeligere å vurdere (kan evt. koples til nedblåsningstid - hvor fort kommer man under 7,5 bar). 5) Manuell nedstengning; usikkerhet i hva som ligger i dette, a) manuell stenging av ventiler gitt svikt i det automatiske systemet, eller b) svikt i operatørinngripen via manuelle nedstengningsbrytere. For svært store lekkasjer antas svikt i manuell nedstengning å være lik 1,0 pga. spredning av gass skjer så fort at evt. tennkilder vil eksponeres før manuell nedstengning kan iverksettes. Vi vurderer uansett følsomheten i disse verdiene ved a) å endre middels og store lekkasjer i negativ retning, og svært store lekkasjer i positiv retning og b) ved å sette sannsynligheten for svikt lik 1,0 for alle lekkasjetyper. R [o/ o] Lekkasjefrekvens (x0.1) LVLNRUHGXNVMRQ 20 Sannsynlighet for antennelse i nabomodul (x0.4) 10 Antall boringer og kompletteringer (3->0) Antall brønnoverhalinger (8->4) Varmt arbeid (x0.5) Utblåsningssannsynlighet (x0.75) Utkopling av tennkilder ved 20% LEL (x2) 0-10 (3->5) (8->14) (x2) Antennelse pga pumper, kompr.(x2) Antennelse gitt lekkasje og varmt arbeid (0.5->0.8) Antennelse pga drivenheter-turbiner, el.motorer (x1.5) Sannsynlighet for selvantennelse (x2) 5LVLNR NQLQJ -20 Antennelse pga feil på elektrisk utstyr (x2) Figur 8. Statfjord A Resultater fra følsomhetsanalyser (Pareto-diagram).

16 16 Steg 5. Velg forhold med størst innvirkning på risiko De forholdene som i henhold til følsomhetsanalysene har størst innvirkning på risikoen, velges som kandidater for utvikling av risikoindikatorer. Kommentar til steg 5. Når det gjelder hvor mange risikopåvirkende forhold som skal velges, må det brukes skjønn. Faktorer som påvirker valget er bl.a. totalt antall risikopåvirkende forhold, antall risikopåvirkende forhold som gir et signifikant bidrag til endring av risiko og i hvor stor grad man får dekket det totale risikobildet. Eksempel For Statfjord A ble alle risikopåvirkende forhold som kunne gi mer enn 2,3 % endring i totalrisiko valgt som kandidater for utvikling av risikoindikatorer. Utvalget besto av 12 risikopåvirkende forhold fra ulykkestypene prosessulykker og utblåsning, se Tabell 4. Tabell 4. Kandidater for utvikling av risikoindikatorer - Statfjord A RPF nr. Risikopåvirkende forhold Prosessulykker 1 Lekkasjefrekvens 2 Antennelse pga. feil på elektrisk utstyr 3 Utkopling av tennkilder ved 20% LEL 4 Varmt arbeid 5 Eksponeringsfaktor, gitt lekkasje og varmt arbeid 6 Antennelse pga. pumper, kompressorer 7 Antennelse pga. drivenheter (turbiner, elektriske motorer) 8 Selvantennelse 9 Antennelse i nabomodul Utblåsning 10 Boring og komplettering 11 Brønnoverhaling 12 Utblåsningssannsynlighet

17 17 Steg 6. Etabler indikatorer Risikoindikatorer identifiseres for de risikopåvirkende forhold som er valgt ut. En indikator skal være en registrerbar størrelse som kan benyttes til å måle eventuelle endringer i "mengde"/antall av et risikopåvirkende forhold. Kommentar til steg 6. For noen risikopåvirkende forhold vil det være mulig å benytte de parametre som inngår i totalrisikoanalysen direkte som indikator (jfr. RPF nr. 1 i Tabell 5). For andre forhold må det identifiseres andre indikatorer (jfr. RPF nr. 7 i Tabell 5). For disse må det vurderes hvilke "bakenforliggende" faktorer som påvirker det risikopåvirkende forholdet og hvilke av disse som er egnet som indikator. Figur 9 illustrerer hvordan ulike faktorer påvirker muligheten for "antennelse pga. drivenheter til roterende maskineri" på Statfjord A. Drivenhetene til det roterende utstyret er enten turbiner eller elektriske motorer. I tillegg til varmgang pga. lagerfeil og feil som kan gi gnistdannelse kan antennelse skyldes varme overflater på roterende maskineri, f.eks. eksoskanaler. Eksoskanalene er normalt isolert, men feil ved isolasjonen kan oppstå. Sannsynligheten for dette er imidlertid satt lik null. Feil på de elektriske drivenhetene til roterende maskineri kan inntreffe på lik linje med annet EX-utstyr. "Antall feil på elektriske drivenheter" kan derfor benyttes som indikator på sannsynligheten for antennelse pga. drivenheter til roterende maskineri. Tilsvarende vurderinger må gjøres for alle forhold der man ikke kan finne indikatorer direkte ut fra de parametre som inngår i totalrisikoanalysen. Antall av alle feil på el. drivenheter Feil på elektriske drivenheter Antennelse pga drivenheter Risiko Vedlikehold Feil på isolering av eksoskanaler Figur 9. Effekt på risiko av antennelse i nabomodul Det er en fordel å finne indikatorer nærmest mulig de parametre som inngår i totalrisikoanalysen. Jo lenger vekk fra parametrene man kommer, jo vanskeligere blir det å finne sammenhengen mellom den foreslåtte indikatoren og den parameteren som inngår i TRA'en. Dermed blir sammenhengen mellom indikatorer og risikonivået vagere. Dette må veies opp mot forventet antall registreringer på en indikator i en periode. Poenget er å ha såpass mange registreringer at eventuelle endringer fra periode til periode ikke bare skyldes statistiske variasjoner.

18 18 Eksempel I Tabell 5 er det gitt en oversikt over forslagene til indikatorer for Statfjord A. Tabell 5. Forslag til indikatorer for Statfjord A. RPF nr. Risikopåvirkende forhold Forslag til indikator Prosessulykker 1 Lekkasjefrekvens Totalt antall olje- og gasslekkasjer 2 Antennelse pga. feil på elektrisk utstyr Totalt antall feil på elektrisk utstyr 3 Utkopling av tennkilder ved 20% LEL Ingen indikator funnet 4 Varmt arbeid Antall varmt arbeidstillatelser kl. A og B 5 Eksponeringsfaktor, gitt lekkasje og varmt arbeid Upåvirkelig, ingen indikator funnet 6 Antennelse pga. pumper, kompressorer Antall timer utestående vedlikehold (backlog) 7 Antennelse pga. drivenheter (turbiner, elektriske motorer) Totalt antall feil på elektriske drivenheter 8 Selvantennelse Upåvirkelig, ingen indikator funnet 9 Antennelse i nabomodul Andel av tiden dørene mellom modulene er åpne Utblåsning 10 Boring og komplettering Antall dager med boring og komplettering 11 Brønnoverhaling Antall dager med brønnoverhaling 12 Utblåsningssannsynlighet Antall trekkinger av borestreng

19 19 Steg 7. Velg et sett med indikatorer Et sett med risikoindikatorer for overvåking av endringer i risiko på en plattform velges med utgangspunkt i de foreslåtte indikatorene. Hver enkelt av risikoindikatorene og tilhørende risikopåvirkende forhold må beskrives og effekten på risikoen ved endring fastlegges. Følgende elementer bør inngå i beskrivelsen: Risikopåvirkende forhold Navn og referansenummer Beskrivelse (gjerne med illustrasjon) Antakelser i TRA Effekt på risiko Kvalitativ vurdering av forholdet Risikoindikator Betegnelse og nummer Definisjon og beskrivelse (gjerne med illustrasjon) Informasjonskilde Vurdering av effekt på risikonivå Antakelser Kvalitativ vurdering Referanser, kommentarer Kommentar til steg 7. Når man velger det endelige settet med indikatorer, må man ta hensyn til flere ting. For det første må det vurderes hvor mange indikatorer det er realistisk å registrere og følge opp. I den forbindelse er det nyttig å finne indikatorer på områder hvor selskapet allerede gjennomfører registreringer. I den forbindelse må det vurderes om indikatorene kan registreres i eksisterende registreringssystemer eller om det må utvikles nye systemer for registrering av data. For det andre må det vurderes hvilke indikatorer driftspersonell "stoler på" og vil benytte seg av i forbindelse med beslutninger om behov for å iverksette mer grundige analyser eller iverksette risikoreduserende tiltak direkte. For det tredje bør det vurderes hvilke indikatorer som gir et dekkende bilde av totalrisikoen på plattformen. Fortrinnsvis bør man velge et sett indikatorer som til sammen dekker en forholdsvis stor del av det totale risikobildet.

20 20 Eksempel For Statfjord A ble følgende risikoindikatorer valgt ut: 1. Totalt antall olje- og gasslekkasjer 2. Totalt antall feil på elektrisk utstyr 3. Antall varmt arbeidstillatelser kl. A og B 4. Antall timer utestående vedlikehold (backlog) 5. Totalt antall feil på elektriske drivenheter 6. Andel av tiden dørene mellom modulene er åpne 7. Antall dager med boring og komplettering 8. Antall dager med brønnoverhaling 9. Antall trekkinger av borestreng Et eksempel på beskrivelse av risikopåvirkende forhold "Antennelse pga. drivenheter" og tilhørende risikoindikator "Totalt antall feil på elektriske drivenheter" er gitt nedenfor. STATFJORD A EKSEMPEL PÅ BESKRIVELSE AV RISIKOPÅVIRKENDE FORHOLD Betegnelse: Antennelse pga. drivenheter (turbiner og el.motorer) Ref. nr.: 13 Beskrivelse: Drivenhetene til det roterende utstyret er enten turbiner eller elektriske motorer. I tillegg til varmgang ved lagerfeil og feil som kan gi gnistdannelse kan antennelse skyldes varme overflater på roterende maskineri, f.eks. eksoskanaler. Illustrasjon: Antall av alle feil på el. drivenheter Feil på elektriske drivenheter Antennelse pga drivenheter Risiko Vedlikehold Feil på isolering av eksoskanaler Figur 10 Antennelse pga. drivenheters innvirkning på risiko. Eksoskanalene (til f.eks. turbiner) er normalt isolert, men feil ved isolasjonen kan oppstå. Sannsynligheten for dette er imidlertid satt lik null. Feil på de elektriske drivenhetene til det roterende utstyret kan inntreffe på linje med annet EX-sikret elektrisk utstyr. Antakelser i TRA: Sannsynligheten for at roterende utstyr skal være en tennkilde er gitt av følgende formel: Q 3 = 1 (1-Q 31 ) (1-Q 32 ) Q 31 + Q 32 der Q 3 - Sannsynligheten for at roterende utstyr skal være en tennkilde

21 21 Q 31 - Q 32 - Sannsynligheten for at pumper og kompressorer skal være en tennkilde (se forrige risikopåvirkende forhold) Sannsynligheten for at drivenhetene skal være en tennkilde Følgende tennsannsynligheter er brukt for selve drivenhetene: Q 32 = 0 for eksoskanal til turbiner (termisk isolert i M4-modul) Q 32 = per elektrisk drivenhet Effekt på risiko: Figur 11 er basert på følsomhetsanalyser, og viser effekten av en endring i sannsynligheten for antennelse på grunn av drivenheter (turbiner og elektriske motorer). R ; 20 50% - 90% - 50% x 0.1 x 0.5 ; 20 RPF 50% 100% x 1.5 x 2 900% x 10-50% Figur 11 Effekt på risiko av endring i sannsynlighet for antennelse på grunn av drivenheter (turbiner og elektriske motorer). Følsomhetsanalysen ble gjennomført ved å se på effekten av en hypotetisk økning av feilraten med en faktor på 10 (vi snakker fortsatt om svært lave verdier). Dette er vist med krysset lengst til høyre i figuren. En slik økning gir 65 % økning i den totale risiko (FAR-verdi). Også kun en 50 % økning av feilraten ( tennsannsynlighetsraten ) vil kunne gi en økning av betydning (3.6 % økning i den totale risiko, vist i figuren som det andre krysset). Kvalitativ vurdering: Effekten av en hypotetisk endring av dette risikopåvirkende forholdet var overraskende stor, hele 65 %. Hva som er en hypotetisk og hva som er en realistisk endring er vanskelig å fastslå, men verdien som er benyttet for elektriske drivenheter (Q 32 ) er faktisk én tierpotens lavere enn i en tilsvarende analyse for en annen installasjon. Dessuten er det antatt at man ikke kan få feil på isoleringen av eksoskanaler ved at bidraget fra dette er satt lik null. Dette risikopåvirkende forholdet anses derfor å være viktig å følge opp og ha kontroll med.

22 22 STATFJORD A - EKSEMPEL PÅ BESKRIVELSE AV RISIKOINDIKATOR Betegnelse: Totalt antall feil på elektriske drivenheter Ref. nr.: 5 Definisjon: Info.kilde: Antall av alle feil på elektriske drivenheter i løpet av et kvartal VMS (Vedlikehold og Material Styring) Kvantitativ vurdering: Vi antar her at det er en sammenheng mellom endring i det totale antall feil på elektriske drivenheter og endring i den type kritiske feil på elektriske drivenheter som kan gi antennelse. For å kunne ta utgangspunkt i det totale antall feil på elektriske drivenheter som indikator må vi ha kjennskap til den tilsvarende verdien for basisåret Denne verdien betegner vi som N ELD94 og kan fastsettes som: N ELD94 = N TOT1994 /4 Videre setter vi N ELD = antall av alle feil på elektriske drivenheter i løpet av siste periode/kvartal. Følsomhetsanalysen viste at en 100 % endring i det risikopåvirkende forholdet gir 7.2 % endring i risiko. Endring i risiko (i %) blir dermed: = (/' (/' (/' Eksempel Anta at antall av alle feil på elektriske drivenheter i 1994 var 400. Dette gir: N ELD94 = N TOT1994 /4 = 400/4 =100 Anta videre at det registreres 50 feil på elektriske drivenheter i løpet av et kvartal. Endring i risiko blir da: = 7.2 = 3.6 % 100 Altså en risikoreduksjon på 3.6 %. Antakelser: 1. At det er en sammenheng (lik relativ endring) mellom endring i det totale antall feil på elektriske drivenheter og endring i den type feil på elektriske drivenheter som kan føre til antennelse. Kvalitativ vurdering: Vi har ingen "garanti" for at den sammenhengen som utgjør antakelse nr. 1 virkelig er tilstede, med driftspersonellet som var tilstede på arbeidsmøtet , mente at denne sammenhengen ikke var "urimelig". Selv om sammenhengen kan synes vag, vil alternativet kunne være ennå vagere. Et slikt alternativ er å se på utestående vedlikehold.

23 23 Antallet av alle feil på elektriske drivenheter i løpet av et kvartal vil forhåpentligvis være tilstrekkelig stort til å kunne anvendes som indikator. Referanser, kommentarer: TRA 1995 Arbeidsmøte med driftspersonell Obs! Pass på at disse feilene på elektriske drivenheter til roterende maskineri ikke er de samme som feilene på elektrisk utstyr generelt. Foruten armatur er det viktigste elektriske utstyret, som kan gi antennelse, elektriske motorer til pumper, altså drivenheter til roterende maskineri.

24 24 Steg 8. Etabler rutiner for bruk av indikatorer Det enkelte selskap må etablere rutiner for registrering og bruk av indikatorene. Det må utpekes hvem som er ansvarlig for å implementere og følge opp bruken av indikatorene og hvem som er ansvarlige for å gjennomføre selve registreringene. Rutinene må inngå som en del av selskapets totale styring av sikkerheten på innretningene. Det må også utarbeides gode måter å presentere resultatene på. Kommentar til steg 8. Et sentralt spørsmål hvert enkelt selskap må ta stilling til, er når det er behov for å sette i gang mer detaljerte analyser av et problem eller iverksette risikoreduserende tiltak. Dette vil avhenge av filosofien til det enkelte selskap. Man kan se for seg fire ulike "filosofier" med hensyn til iverksetting av tiltak eller analyser: 1. Oppfølging på grunnlag av endring av én indikator i én periode 2. Oppfølging på grunnlag av samlet endring av alle indikatorene i én periode 3. Oppfølging på grunnlag av endring av én indikator over flere perioder, dvs. trend på enkeltindikatorer 4. Oppfølging på grunnlag av total endring av alle indikatorene over flere perioder, dvs. samlet trend. Risikoindikatorene må brukes med varsomhet. Risikoindikatorene fanger opp bare en del av forholdene som påvirker risikoen på en plattform. Det er mange andre forhold som også er viktig å ha kontroll med for at totalrisikoen skal være akseptabel. Man må ikke gå i den "fella" å bli "flink" bare på de områdene indikatorene dekker. Eksempel I Figur 12 er det vist et eksempel på hvordan resultatene fra registreringer av risikoindikatorer kan presenteres. Her er det vist utviklingen på 4 indikatorer i et år TRA 1. kvartal 2. kvartal 3. kvartal 4. kvartal Figur 12. Eksempel på presentasjonsform.

25 25 4. DISKUSJON AV TEKNISKE RISIKOINDIKATORER 4.1 Nytteverdi av risikoindikatorer Ulike typer "ytelsesindikatorer" benyttes av selskapene for å kunne måle og følge opp utvikling med hensyn på produksjonsmengde, nedetid av utstyr, vedlikehold, osv., men ingen av disse sier noe om effekten på risikonivået (f.eks. ved at utstyr er nede). Risikoindikatorer kan benyttes for å overvåke eventuelle endringer i risiko på en plattform under normale driftsforhold for å avdekke eventuell negativ utvikling i risikonivået før en ulykke inntreffer ("føre-var" prinsippet). Fokus er rettet mot å identifisere de forholdene som kan endres i driftsfasen, og som samtidig er de største bidragsyterne til totalrisiko. Dette gir operatøren bedre kunnskap om det totale risikobildet på innretningen, noe som gjør det enklere å rette oppmerksomheten mot de forholdene det er viktig å holde under kontroll i driftsfasen. Ved at endringer i risikoindikatorene er relatert til endringer i totalrisikoen, unngår en suboptimalisering med hensyn til prioritering mellom ulike bidragsytere til totalrisikoen. Risikoindikatorer kan benyttes for å følge opp endringer i risikonivået i periodene mellom oppdateringer av totalrisikoanalysen pga. endringer i de forholdene som har størst innvirkning på totalrisikoen. Metodikken forutsetter at man benytter informasjonen som finnes i totalrisikoanalysen for en plattform for å identifisere disse risikoindikatorene. Endringer i disse indikatorene relateres til endringer i risikonivået (ved følsomhetsanalyser). Ved å benytte risikoindikatorer, unngår man å måtte oppdatere totalrisikoanalysen pga. små endringer i forhold man vet har liten innvirkning på totalrisikoen. I arbeidet med å utarbeide risikoindikatorer er det viktig at driftspersonell og risikoanalytikere samarbeider. Dette bedrer kommunikasjon mellom risikoanalytikere og driftspersonell. Risikoanalytikernes kunnskap om modeller, forutsetninger og data i risikoanalysen og driftspersonellets kunnskap om forholdene på plattformen må utnyttes på best mulig måte for å finne de indikatorene som har størst betydning for risikonivået. Dette samarbeidet vil også gi nyttige synergieffekter, bl.a. ved at driftspersonell kan bidra til å forbedre kvaliteten på modeller, forutsetninger og data som benyttes ved gjennomføring av risikoanalysene. Når driftspersonell kjenner forutsetningene risikoanalysen bygger, blir det også lettere å følge opp disse i driftsfasen. Ved å ta utgangspunkt i totalrisikoanalysen for en innretning, bidrar arbeidet med å utvikle risikoindikatorer også til økt bruk av totalrisikoanalyser i driftsfasen av en innretning. Tidligere har totalrisikoanalyser primært blitt benyttet i forbindelse med prosjektering av plattformer. 4.2 Implementering og bruk av risikoindikatorer Rutiner for å ta i bruk risikoindikatorer og gjennomføre registreringer av tilstanden på disse må utarbeides av det enkelte operatørselskap. Bruk av risikoindikatorer må integreres i selskapenes totale styring av sikkerheten på sine innretninger. Bruken av indikatorene kan variere fra selskap til selskap. I prinsippet kan man se for seg fire ulike tilnærminger med hensyn til å fatte beslutninger om å iverksette analyser eller risikoreduserende tiltak: 1. Endring av én indikator i én periode (f.eks. et kvartal) 2. Samlet endring av alle indikatorene i én periode 3. Endring av én indikator over flere perioder (evt. rullerende årlig gjennomsnitt) 4. Samlet endring av alle indikatorene over flere perioder.

26 26 I noen tilfeller vil indikatorene ikke være påvirkbare verken av driftspersonell eller plattformledelsen. Man må høyt opp i organisasjonen for å finne de funksjoner/personer som har nødvendig beslutningsmyndighet. Men, dette er for så vidt uinteressant. Det som betyr noe er om risikoen endrer seg! Deretter kan man se på hvordan og hvem som kan påvirke utviklingen i risiko. Noen av indikatorene, som f.eks. antall boringer og kompletteringer, er såkalte aktivitetsavhengige indikatorer, som f.eks. driftspersonell ikke kan påvirke. Det betyr imidlertid ikke at indikatoren er mindre viktig av den grunn. Det som er viktig er at de som fatter beslutninger om aktivitetsnivået også kjenner "rekkevidden" mhp. risiko av de beslutninger de fatter. For driftspersonell bør indikatorene først og fremst ses på som et "overvåkingsverktøy", mens ledelsen kan benytte de som et styringsverktøy. Hvordan man i neste omgang skal finne gode indikatorer for forhold som driftspersonell kan påvirke, er en utfordring. For å få til dette, er det nødvendig å gå dypere ned i årsaksforholdene enn det som er modellert i dagens totalrisikoanalyser (hva er det som f.eks. påvirker sannsynligheten for å få utblåsning?). I forbindelse med bruk av risikoindikatorer vil spørsmålet om statistisk signifikans melde seg, dvs. hvor mange registreringer i en periode er nødvendig for å kunne fastslå at endringene er reelle og ikke et resultat av tilfeldige variasjoner? Antall registreringer det er behov for med et gitt signifikansnivå kan beregnes. Problemet er hvilket "signifikansnivå" som er relevant å benytte i en "føre-var" tankegang. Hvis datagrunnlaget blir for spinkelt, er det imidlertid behov får å gå lenger tilbake i årsakskjeden. En annen mulighet er å se på trender, dvs. utviklingen på én (eller flere) risikoindikator(er) over flere registreringsperioder. Selv om antall registreringer er få, vil en eventuell vedvarende negativ trend over flere registreringsperioder antyde en uønsket utvikling. Et alternativ til kvartalsvise registreringer, kan være å benytte 12-måneders rullerende registreringsperiode. Arbeidet med å identifisere risikopåvirkende forhold bør inngå som en naturlig del av enhver totalrisikoanalyse. Dette vil gjøre det lettere for selskapene å følge opp viktige forutsetninger som TRA'en bygger på og å holde kontroll med de viktigste bidragsyterne til totalrisikoen. Involvering av driftspersonell i dette arbeidet vil også bidra til å kvalitetssikre resultatene fra slike analyser. 4.3 Begrensninger ved valgte framgangsmåte Arbeidet med å identifisere risikoindikatorer presentert i denne rapporten er avgrenset til å omfatte ulykkestyper med storulykkespotensiale. Avgrensningen er gjort fordi slike ulykker inntreffer svært sjelden, men fører til store skader hvis de først inntreffer. Tradisjonelle arbeidsulykker inngår derfor ikke i arbeidet. Ikke fordi det ikke er viktig å holde kontroll med risiko for arbeidsulykker, men endringer i risiko for personskader pga. arbeidsulykker følges av de fleste selskaper opp ved bruk av statistikk (f.eks. ved bruk av H-verdi). Vårt arbeid har også vært avgrenset til risiko for tap av personell. Tilsvarende framgangsmåte kan også benyttes for å utvikle risikoindikatorer relatert til endringer i risiko for skade på ytre miljø og tap av materielle verdier. Gjennomføres dette, tyder resultater fra følsomhetsanalyser gjennomført med utgangspunkt i totalrisikoanalysen for Frigg (/5/) på at man antakelig vil komme fram til andre indikatorer i tillegg til de man finner for risiko for tap av personell. Dette vil i så fall være et supplement og gi et bedre mål på endringer i samlet risiko for tap av personell, skade på miljø og tap av materielle verdier. Risikoindikatorene presentert i denne rapporten er relatert til totalrisiko (FAR-verdi) slik den er beregnet i totalrisikoanalysen. Resultatene fra følsomhetsanalysene viser at det er relativt få risikopåvirkende forhold som enkeltvis har stor innvirkning på den totale FAR-verdien. FARverdien er også ufølsom for endringer i f.eks. bemanningsnivå, noe som ville blitt fanget opp ved bruk av PLL som risikomål. Benyttes andre mål på sikkerhet, f.eks. integriteten til

27 27 sikkerhetssystemer, vil man få et annerledes sett med indikatorer. Man kan i prinsippet også se for seg indikatorer på to nivå. Indikatorer på nivå 1 relaterer seg til totalrisiko, mens indikatorer på nivå 2 relaterer seg til spesifikke systemer. Denne inndelingen er også diskutert i (/6/). Ettersom totalrisikoanalysen for en innretning er valgt som utgangspunkt for arbeidet med å identifisere tekniske risikoindikatorer, legger kvaliteten på TRA'en (kompletthet, detaljeringsnivå, godhet av modeller, etc.) begrensninger på hvilke risikopåvirkende forhold vi finner. Bl.a. inneholder modellene i TRA'en lite årsaksanalyser og analyser av menneskelige forhold slik at disse forholdene i utgangspunktet ikke vil inngå i de identifiserte risikopåvirkende forholdene. For å finne sammenhengen mellom endring i en risikoindikator og endring i risikonivået, har vi gjort en forenkling ved å forutsette lineær sammenheng mellom endring i et risikopåvirkende forhold og endring i risikoen. Spesielt ved store endringer i en risikoindikator bør riktigheten av denne forutsetningen vurderes, slik at man ikke innfører for store feilmarginer. Ved vurdering av samlet endring av alle risikoindikatorene, må man være varsom med å summere alle endringene og presentere det som total endring i risikonivået. Dette på grunn av at risikoindikatorene bare dekker en del av alle forhold som påvirker risiko. I tillegg trenger ikke alle risikoindikatorene man identifiserer å være innbyrdes uavhengige. 4.4 Videre FoU-arbeid Det er ønskelig at selskapene tar i bruk og bearbeider metodikken for å utvikle tekniske risikoindikatorer som er beskrevet i denne rapporten videre. Dermed kan vi få testet ut metoden og i neste omgang forbedre den. Denne angrepsmåten bør også sammenlignes med alternative framgangsmåter som benyttes i enkelte selskaper. F.eks. bør det arbeidet som er gjort hos Elf med å utarbeide og benytte utvalgte risikoindikatorer på Frigg inngå som en del av sammenligningsgrunnlaget. Av 12 indikatorer som benyttes på Frigg, og 9 foreslåtte på Statfjord A, er kun 2 sammenfallende. Likheter og forskjeller i angrepsmåte bør derfor kartlegges nærmere. Ser vi på ulykker som har inntruffet, viser granskning av disse at menneskelige og organisatoriske forhold er viktige årsaksfaktorer til mange av disse ulykkene. Skal vi greie å utarbeide gode indikatorer som kan benyttes til å måle endringer i risikonivået på grunnlag av endringer i organisatoriske forhold, er det behov for å utvikle modeller som viser sammenhengen mellom endringer i organisatoriske forhold og risikonivået på en innretning. For å kunne utarbeide indikatorer for menneskelige og organisatoriske forhold gjennomfører SINTEF et prosjekt "Risikoanalyser i driftsfasen" i samarbeid med Oljedirektoratet, ni oljeselskaper og tre konsulentfirmaer. Hensikten med dette prosjektet er å videreutvikle modeller som kan benyttes for å klargjøre sammenhengen mellom organisatoriske forhold og risikonivået på en offshore innretning. Disse modellene vil i neste omgang danne grunnlaget for å utarbeide en metodikk som kan benyttes til å etablere organisatoriske risikoindikatorer. Dermed kan man også måle endringer i risikonivået på en innretning som skyldes endringer i organisatoriske forhold. På bakgrunn av erfaringene som gjøres i selskapene med utvikling og bruk av tekniske risikoindikatorer, samt FoU-aktivitetene for å klargjøre sammenhengen mellom organisatoriske forhold og risikonivået, bør det utarbeides en metode som kan benyttes til å utarbeide risikoindikatorer som dekker både tekniske, operasjonelle og organisatoriske forhold.