Oppsummering etter gjennomført tilsyn med alarmsystemer på produksjonsinnretninger på norsk sokkel i perioden august 2000 til september 2002.

Transkript

1 Oppsummering etter gjennomført tilsyn med alarmsystemer på produksjonsinnretninger på norsk sokkel i perioden august 2000 til september

2 Innholdsfortegnelse: 1 Hensikt Oppsummering og hovedfunn Bakgrunn for tilsyn med alarmsystemer Tilsynsmetode Problemområder og utfordringer Generelt Analyse av innsamlede data Vurdering av alarmsystemene målt mot prinsippene i YA Vedlegg: Oppsummering av resultatet fra brukerundersøkelsen

3 1 Hensikt Denne rapporten oppsummerer Oljedirektoratet (OD)s samlede vurderinger av sikkerhetsmessige forhold knyttet til utvalgte alarmsystemer på produksjonsinnretninger på norsk sokkel. Vurderingene er basert på resultatene fra ODs tilsyn av alarmsystemer på syv (7) innretninger i perioden august 2000 til september Tilsynet er blitt rettet mot alarmsystemer på følgende innretninger på norsk sokkel: Innretning Type Tidspunkt for Tilsyn Operatør SAS 1 leverandør Draugen Fast (9) Shell ABB Oseberg A Fast (8) Hydro Siemens Jotun A FPSO (7) ExxonMobil Honeywell Heidrun TLP (8) Statoil Simrad Visund Flyter (8) Hydro Siemens Ula Fast (5) BP Honeywell Ekofisk Fast (13) ConocoPhillips ABB Alle operatørselskap med produksjonsinnretninger på norsk sokkel unntatt Total og Pertra er blitt gjenstand for direktoratets tilsyn. Innretningene som ble valgt skulle representere forskjell i alder, type innretning, total alarmmengde og leverandør av sikkerhets- og automatiserings (SAS) systemer. Det ble i etterkant av tilsynsaktivitetene utformet egne tilsynsrapporter til de enkelte operatørselskap. I denne rapporten er data fra de enkelte tilsynsaktivitetene benyttet men anonymisert slik at det ikke fremgår eksplisitt hvilke innretninger de enkelte data knytter seg til. Deltakere Fra OD har følgende personer deltatt i gjennomføring av tilsynsaktivitetene: Sjefingeniør Trond Sigurd Eskedal (revisjonsleder) Sjefingeniør Eirik Bjerkebæk Sjefingeniør Torleif Husebø Overingeiør Aleksander Ellingsen Sjefingeniør Hilde Heber Fra Institutt for Energiteknikk (IFE) i Halden har følgende personer deltatt: Overingeniør Lars Åge Seim (deltok på samtlige tilsyn offshore sammen med OD) Forsker Magnhild Kaarstad Forsker Øystein Veland 2 Oppsummering og hovedfunn Foretatt kartlegging av alarmsystemer avdekket i hovedsak de samme svakhetene og de samme problemområder uavhengig av systemleverandør, operatørselskap, type innretning og alder på innretning. Til tross for den begrensede kartlegging som er foretatt, finner vi det rimelig å anta at resultatene fra disse aktivitetene er noenlunde representative mht utfordringer på øvrige innretninger på norsk sokkel. Hovedfunn fra denne kartleggingen er basert på en samlet vurdering av innhentet informasjonen ved hjelp av ulike datainnsamlingsmetoder. Det vises til rapportens kapittel 4. 3

4 Hovedresultatene etter gjennomførte tilsyn kan oppsummeres som følger: 1. Alarmsystemene og funksjonaliteten har ikke vært utformet basert på en dokumentert og tilgjengelig alarmfilosofi gjeldende for selskapet og den spesifikke innretningen. Systemer på den enkelte innretning bærer delvis preg av å være utformet av ulike leverandører, uten en felles integrert systemfilosofi. Konfigurasjon og alarmpresentasjon har i stor grad vært styrt av SAS leverandøren, basert på leverandørens standard løsninger. 2. Ingen selskaper hadde etablert rutiner og/eller foretok systematiske undersøkelser for å kartlegge systemets kvalitet som et viktig sikkerhetsmessig barriereelement og operatørhjelpemiddel. Det var ikke etablert ytelseskrav til alarmsystemet. Generelt gjøres det for lite fra de ansvarliges side for å identifisere og forbedre svakheter ved alarmsystemet. Problemområder og svakheter ved alarmsystemene synliggjøres i liten grad gjennom de formelle rapporteringsrutiner som er etablert på innretningen for å registrere og følge opp uønskede hendelser, tilstander og forhold. 3. Det genereres og presenteres for mange alarmer både i normaldrift og spesielt ved forstyrret drift/nedstenging. 4. For stor andel av alarmene som presenteres har liten eller ingen nytteverdi for operatøren. Dette legger en ekstra og unødig belastning på personellet. 5. Mangelfulle alarmtekster og mangel på enhetlige forkortelser gjør at det kan være vanskelig å oppfatte budskapet i meldingene. 6. For mange systemalarmer presenteres i kontrollrommet. Mange alarmer er uforståelige for kontrollromsoperatørene som ikke kjenner til kritikaliteten av disse og hvordan det bør reageres på disse. 7. Det erfares inkonsistens i måten alarmer presenteres på i ulike systemene i SKR (f. eks i SAS, fiskal målesystemer og marine kontrollsystem). Dette kan gjelde, symboler, farger og forkortelser. Slike forhold kan føre til feiltolkninger og feilhandlinger i stressede situasjoner. 8. Det registreres for mange stående alarmer når anlegget er i normal drift. Det ble observert opp til et par hundre stående alarmer ved enkelte innretninger. Dette reduserer operatørens mulighet til å få en rask og sikker oversikt over de alarmene som måtte kreve oppmerksomhet. 9. Alarmene er ikke prioritert slik at operatørene hjelpes i å identifisere og aksjonere på de alarmer som krever størst oppmerksomhet i ulike driftsituasjoner. 10. Fravær av alarmundertrykkingsmekanismer gjør at personellet blir belastet med mange unødige alarmer fra utstyr som er ute av drift eller blir stoppet på ordinær måte, enten via operatør eller fra ordinær nedstengingslogikk. 11. Sikkerhetskritiske alarmer er ikke eksplisitt identifisert og presentert på en enhetlig og konsistent måte som gjør at man ikke kan overse og/eller misforstå informasjonen. Dette fører til at slike alarmer kan bli oversett av operatørene, da de lett kan drukne i mengden av andre mindre viktige alarmer i perioder med mange innkommende alarmer. 12. Det kunne ikke dokumenteres at det ble gjennomført systematisk opplæring/retrening rettet mot forståelse av alarmsystemet og håndtering av unormale avvik og hendelser (opplæring i krisehåndtering). 13. Det er identifisert varierende kvalitet på retningslinjene for utkobling av sikkerhetsfunksjoner, og praksis for hvordan informasjon om slike utkoplinger overføres mellom ulike skift. Det er videre observert varierende kvalitet på hvordan man raskt kan skaffe seg oversikt over status på slike utkoblinger, dvs hvordan slik informasjon visualiseres for aktuelle brukere. 3 Bakgrunn for tilsyn med alarmsystemer OD har registrert at mangler knyttet til kontroll- og alarmsystemer på produksjonsinnretningene har medvirket til at prosessavvik og driftsforstyrrelser har kunne utvikle seg til uønskede hendelser. Mangler ved systemene gjør det videre vanskelig for 4

5 kontrollromsoperatørene å oppdage prosessavvik tidlig slik at hensiktsmessige kompenserende aksjoner kan iverksettes for å opprettholde stabil og sikker drift av prosessanlegget. Med bakgrunn i denne viten besluttet OD våren 2000 å foreta en kartlegging av hvordan alarmsystemene støttet operatørene i sentralt kontrollrom (SKR) i å identifisere og håndtere uønskede avvik for å unngå at disse utviklet seg til fare eller ulykkessituasjoner. OD ønsket å gjennomføre tilsyn mot flere operatørselskap for å skaffe seg et noenlunde representativt bilde av de sikkerhetsmessige utfordringer som knytter seg til alarmsystemer som benyttes på innretninger på norsk sokkel. OD betrakter alarmsystemet som et viktig sikkerhetsmessig barriereelement mot ulykkeshendelser. Det anses derfor som vesentlig at godheten av alarmsystemene blir kartlagt. For å kunne utføre kartleggingen ble det utviklet et kartleggingsverktøy som alarmsystemene skulle måles mot. Måleverktøyet skulle ta utgangspunkt i Beste Praksis og basere seg på allerede tilgjengelig teknologi og tekniske løsninger som kunne implementeres innen kort tid. Resultatet av dette arbeidet ble OD publikasjon YA-710, Prinsipper for utforming av alarmsystemer (engelsk utgave YA-711 Principles for design of alarm systems ). Publikasjonen er vist til i ODs nye HMS regelverk og er i vesentlig grad basert på foreliggende EEMUA 2 publication no 191 Alarm Systems, A Guide To Design, Management and Procurement som er ansett som en Best Practice standard for utvikling og drift av alarmsystemer i bl a Britisk petroleumsindustri. 4 Tilsynsmetode Flere metoder for informasjonsinnsamling ble benyttet i tilsynet for å ha et så bredt datagrunnlag som mulig. Alle disse hadde sin basis i YA-710 og EEMUA 191. Nedenfor er det gitt en kort oversikt over disse metodene. Operatørspørreskjema: For å få en oversikt over den enkelte brukers subjektive vurdering av viktige egenskaper ved alarmsystemet, ble et spørreskjema distribuert til SKR personellet på hver innretning. Spørreskjema ble besvart anonymt og returnert i utfylt stand før tilsynet fant sted. Spørreskjemaet ble totalt besvart av 64 SKR teknikere, Dette gir et gjennomsnitt på 9 personer pr. innretning. Skjemaet var tilsvarende et som ble benyttet av de britiske sikkerhetsmyndighetene, UK Health and Safety Executive (HSE) da de foretok en kartlegging av alarmsystemer i britisk industri i I tillegg til HSE sine spørsmål bestod vårt spørreskjema av 21 tilleggspørsmål. Resultatet fra vår undersøkelse gir den enkelte innretning/selskap mulighet til å identifisere og prioritere viktige forbedringsområder. Oppsummering av resulatene fra denne undersøkelsen finnes i vedlegg til denne rapporten. Resultatene fra denne undersøkelsen er sammenlignet med resultatene fra den britiske undersøkelsen, og der det er relevant, har vi også sammenlignet resultatene fra operatørenes vurdering med faktiske resultater fra bl a analyse av alarmlogger. Analyse av alarmlogger: I forkant av tilsynsaktivitetene bad vi om å få tilsendt en alarmlogg over en periode med normaldrift og en alarmlogg fra en periode med driftsforstyrrelser/nedstenging. Dette var logger som selskapene selv valgte ut for oversendelse til oss. Hensikten med disse loggene var å gi oss inntrykk av mengden og typen av alarmer som SKR personellet må håndtere. Disse ble analysert med hensyn på noen ytelsesindikatorer som gjennomsnittlig alarmrate og antall forekomster av den enkelte alarm i perioden (repeterende alarmer). En oppsummering av resultatene fra disse analysene finnes i kap The Engineering Equipment and Materials Users Association 5

6 Nytteverdiundersøkelse: Under tilsynet offshore ble SKR personellet bedt om å registrere alle innkommende alarmer over en tidsperiode. I tillegg skulle personellet kategorisere nytteverdien av alarmen ved å krysse av i én av fire predefinerte kategorier. ( Svært viktig/ korrigerende aksjon påkrevd til helt unyttig/ bortkastet tid.) Dette skjemaet ville i tillegg til informasjon om nytteverdien også gi informasjon om alarmraten i perioden samt antall repeterende alarmer. Skjemaet er det samme som ble benyttet av UK Health &Safety Executive i undersøkelsen nevnt ovenfor. Resultater fra slike undersøkelser kan også benyttes som ytelsesindikator på alarmsystemets nytteverdi. En oppsummering av resultatene fra denne undesøkelsen finnes i kap 5.2. Sjekklistegjennomgang: Basert på de 43 prinsippene til et godt alarmsystem nedfelt i YA- 710/YA-711, ble det utarbeidet en sjekkliste som skulle hjelpe tilsynslaget med å få et bilde av alarmsystemets tekniske funksjonalitet og i hvilken grad de ulike prinsipper var ivaretatt. Sjekklisten ble sendt til operatørselskapet i forkant av tilsynsaktiviteten slik at relevant personell i operatørselskapet kunne gjennomgå den og fylle inn sine kommentarer. Under tilsynet offshore ble den utfylte sjekklisten gjennomgått og korrigert i samarbeid med selskapets personell, slik at man hadde en omforent forståelse av i hvilken grad prinsippene var ivaretatt. En oppsummering av resultatene fra denne gjennomgangen finnes i kap 5.3. Observasjoner i kontrollrom og samtaler med relevant personell: Under oppholdet offshore brukte tilsynslaget tid til å foreta egne observasjoner i SKR med spesiell fokus på hvordan alarminformasjon ble presentert og håndtert, samt hvordan retningslinjene for utkobling av sikkerhetsfunksjoner var utformet og ble praktisert, og hvor lett tilgjengelig man hadde status over slike operasjoner. I tillegg hadde man samtaler med enkeltpersoner og grupper av personell. 5 Problemområder og utfordringer 5.1 Generelt Det vises til rapportens kapittel 2 hvor hovedfunn (hovedutfordringer) etter gjennomførte tilsynsaktiviteter er listet. Her utdypes enkelte forhold noe mer i detalj. Det kunne i liten grad dokumenteres at uønskede tilstander/forhold knyttet til alarmsystemene ble rapportert og underlagt videre oppfølging fra ledelsen på samme måte som andre uønskede hendelser/tilstander på innretningen. Dette til tross for at formelle rapporteringssystemer var etablert på innretningene for å fange opp slike forhold, uansett hvor på innretningen disse måtte forekomme. Vi etterlyser en bedre rapporteringskultur blant kontrollromspersonellet, slik at sikkerhetsmessige svakheter ved overvåkings- og alarmsystemene klart blir synliggjort for innretningens ledelse. Hovedproblemet som ble avdekket ved tilsynsaktivitetene var at den gjennomsnittlige alarmraten (antall alarmer pr. tidsenhet) gjennomgående var høyere enn anbefalte grenseverdier. Samtidig hadde mange av disse alarmene liten nytteverdi for operatørene. Dette fører til en ekstra og unødig belastning på operatørene, samtidig som sannsynligheten for at viktige alarmer kan bli oversett øker. Dette ble avdekket både gjennom analyser av alarmlogger, brukerundersøkelser og øvrige samtaler med brukerne. Det vises til kap 5.2 nedenfor for en videre analyse av alarmrater og nyttevurdering av alarmene. Brukergrensesnittet (Human Machine Interface, HMI) mot prosessanlegget var på alle undersøkte innretninger skjermbasert. Den vanlige måten å presentere alarmene på er i listeform, hvor én eller flere skjermer benyttes. Spesielt når det kommer mange alarmer i løpet av kort tid, (f. eks ved tripp av utstyr), kan alarmer bli oversett av operatøren, da alarmlisten fort fylles opp og ruller over skjermen. Man har eksempler fra litteraturen på at dette har ført til ulykker, jf bl.a. Milford Haven ulykken i For å gjøre alarmpresentasjonen bedre brukertilpasset, bør det etter vårt skjønn arbeides videre med følgende forhold: 6

7 1. Etablere hensiktsmessige rutiner for å rapportere erfarte svakheter knyttet til alarm og informasjonspresentasjon i kontrollrommet slik at disse kan underlegges utbedring og kritikalitetsvurdering. 2. Foreta en kritisk gjennomgang av hvilke parametre som skal gi alarm. Man har her sett en tendens de senere år at antallet konfigurerte alarmer i systemet av ulike årsaker har øket, uten at man har vurdert hvordan SKR personellet vil være i stand til å håndtere dette. 3. Foreta en kritisk gjennomgang av hvordan alarmgrensene og øvrig signalbehandling (som f. eks. lavpassfilter) justeres i forhold til driftsparametre og anleggets dynamikk. 4. Etablere en gjennomtenkt alarmprioritering slik at operatørene lett kan skille mellom hva som er viktige alarmer til enhver tid. Disse må skilles klart vha både visuelle og akustiske virkemidler. 5. Etablere effektive mekanismer (såkalt alarmundertrykking) for å hindre at ikke-reelle alarmer blir presentert for operatøren. 6. Sørge for at de aller viktigste alarmene (også kalt nøkkelalarmer) alltid er synlige og blir identifisert. Disse bør presenteres på faste plasser i et oversiktspanel (f.eks. alarmtablå) som er permanent synlig. Punkt 1) 5) ovenfor representerer tildels store utfordringer for selskapene. Når det gjelder presentasjon av nøkkelalarmer punkt 6 var dette delvis ivaretatt på seks av de syv kartlagte innretningene, da man hadde veggmonterte oversikts paneler i kontrollrommet som ga en oversikt over bl a brann & gass alarmer og annen statusinformasjon knyttet til sikkerhetssystemer. Kvaliteten på alarmpresentasjonen via disse panelene var likevel noe varierende. Det etterlyses hos selskapene analyser og vurderinger som tar stilling til hvilke alarmer som skal kategoriseres og presenteres som nøkkelalarmer. 5.2 Analyse av innsamlede data Dette kapittelet presenterer resultatene av noen analyser som ble foretatt av alarmlogger og brukerregistreringer. Det ble foretatt analyser av bl a. alarmrater og nytteverdimålinger. Dette er data som kan benyttes som indikatorer for å karakterisere viktige egenskaper ved alarmsystemet. For disse indikatorene har vi sammenlignet resultatene fra de enkelte innretningene. Disse data er så sammenholdt med anbefalte normer. Innretningene er her gitt et tilfeldig nummer fra 1 til 7. Dette representerer nødvendigvis ikke den rekkefølge tilsynene ble foretatt i. Kap 5.3 gir en samlet vurdering av tilstanden på alarmsystemene målt opp mot prinsippene i YA-710/YA-711. Alarmrater: Tabellene 1 og 3 nedenfor gir en oversikt over registrerte alarmrater i normal og forstyrret drift ved den enkelte innretning. Disse verdiene er basert på alarmlogger som ble tilsendt OD i forkant av tilsynsaktivitetene. Da innretningens størrelse (dvs antall konfigurerte alarmer i systemet) og den aktuelle driftstilstanden i det tidsrom loggene ble tatt ut, kan variere en del, kan man ikke direkte sammenligne resultatene. De gir likevel en pekepinn på mengden av alarmer som presenteres for operatørene og som de må forholde seg til. Disse verdiene er så sammenlignet med EEMUA s karakteristikk av nytteverdien brukerne har av alarmsystemet basert på alarmrate. Jo større alarmraten er jo mer reduseres nytten og bruken av systemet. Høy alarmrate øker både sannsynligheten for at alarmmeldingen blir oversett, og at man utfører feil/manglende tiltak på grunn av øket arbeidsbelastning bl.a. knyttet til hyppig lydavstilling og akseptering av de innkommende alarmmeldingene. Det er verdt å merke seg at en høy alarmrate ikke nødvendigvis bare indikerer mangler ved den delen av alarmsystemet som omfattes av SAS systemet, men det kan i like stor grad være et tegn på bl. a: instrument feil alarmgrenser ikke satt i forhold til de prosessparametre man kjører etter mangelfulle reguleringsstrategier mangelfull justering av regulatorparametre 7

8 anlegget opereres ikke i henhold til design forutsetningene alarmgrenser satt på utstyr/variable hvor man ikke har behov for dette Alarmraten er derfor en svært viktig indikator som periodevis bør monitoreres for å kunne identifisere både utstyrsmessige og operasjonelle svakheter. Normaldrift: Tabell 1: Registrerte alarmrater basert på tilsendte alarmlogger (normaldrift) Innretning nr: Alarmrate normaldrift: antall /10 minutt Som en ser av tabellen varierer den gjennomsnittlige alarmraten (antall/10 minutt fra 1 til 20). På 6 av installasjonene ble det registrert alarmrater over det EEMUA karakteriserer som en håndterbar alarmrate for operatørene. (se tabell 2 nedenfor). Operatørenes egne anslag fra spørreundersøkelsen (spørsmål 10 i vedlegget) viste et gjennomsnitt på 20 alarmer/time som tilsvarer et gjennomsnitt på 3.3 alarmer/10 minutt (variasjon fra 1,7 til 5.8 alarmer/10 min). Tabell 2: EEMUAs karakteristikk av alarmsystem i normaldrift basert på alarmrate More than 1 alarm per minute Very likely to be unacceptable One per 2 minutes Likely to be over-demanding One per 5 minutes Manageable Less than one per 10 minutes Very likely to be acceptable Trippsituasjon: Tabell 3: Antall alarmer i det første minuttet etter at en nedstengning (tripp) inntrådte Innretning nr: Alarmrate ved en tripp: antall/minutt Som en ser av tabell 3 ovenfor er de registrerte alarmratene i det første minuttet etter at en tripp er initiert alt for høyt til at alarmsystemet egner seg til å gi operatørene støtte i håndtering av hendelsen. Den store variasjonen i registrerte alarmrater skyldes i hovedsak omfanget av driftsforstyrrelsen (utfallet) som varierte fra utfall av hovedkraft til deler av produksjonssystemene. Med slike alarmrater er det stor sannsynlighet for at kritiske alarmer som varsles i dette tidsrom vil bli oversett. De høye alarmratene legger i tillegg en ekstra belastning på operatørene bl. a.i form av at man må lydavstille og/eller kvittere de innkommende alarmer. Den hyppige lydvarslingen vil også være med på å redusere konsentrasjonen til operatørene. Sammenligner vi de registrerte verdiene med tabell 5 nedenfor se vi at ingen av innretningene (i denne konkrete registreringen) hadde en alarmrate som tilnærmelsesvis var innenfor EEMUA s anbefalinger. Operatørenes egne anslag fra spørreundersøkelsen (spørsmål 17 i vedlegget) viste et gjennomsnitt på 122 alarmer det første minuttet etter en driftsforstyrrelse (variasjon fra 66 til 214). Tabell 4: EEMUAs karakteristikk av alarmsystem i forstyrret drift basert på alarmrate More than 10 alarms per minute Definitely excessive and very likely to lead the operator abandoning the use of the system 2-10 per minute Hard to cope with Less than 1 per minute Should be manageable, but may be difficult if several alarms require a complex operator response 8

9 Nytteverdimålinger: For å få en idé om den nytten SKR-operatørene hadde av den enkelte alarm og hvilke korrigerende tiltak som ble iverksatt, ble det foretatt en undersøkelse hvor operatørene over en periode skulle registrere og klassifisere alle innkommende alarmer. Man bestemte seg for et starttidspunkt for registreringene og noterte og kategoriserte fortløpende alle alarmer etter nytteverdien i en gitt periode. Registreringen ble stoppet dersom andre mer preserende oppgaver eller prosessforstyrrelser inntrådte. Registreringsperioden varierte mellom innretningene, men lå i området 2 til 10 timer. Ved de fleste innretningene ble det gjort registreringer både på nattskift og dagskift. Det var normal produksjon på alle innretningene under registreringene. Det skal likevel bemerkes at på noen innretninger var alarmraten så høy (selv i normaldrift) at operatørene ikke rakk å registrere alle alarmene. Dermed er den virkelige tilstand enda mindre tilfredsstillende enn resultatet av registreringen kan gi inntrykk av. Vesentlige årsaker til denne høye alarmraten var at et fåtall alarmer repeterte med høy frekvens. Dette var alarmer med liten nytteverdi og kunne skyldes instrumentfeil, feiljustering av parametre, utstyr ute av drift etc. Tabell 5 nedenfor viser prosentvis fordelingen av alarmene på de ulike kategoriene av nytteverdi. Registreringen viser også hvor stor prosentandel av det totale antall alarmer som kom igjen én eller flere ganger i perioden (repeterende alarmer). De ulike kategoriene i tabellen har følgende mening: Aksjon: Alarmen førte til at korrigerende tiltak var nødvendig (f. eks stenge en ventil). Sjekk: Alarmen førte til at man tok opp et prosessbilde for å sjekke verdier/status. Notert: Alarmen notert som nytting informasjon men ingen videre aksjoner eller undersøkelser nødvendig. Unyttig: Alarmen var helt verdiløs. Bortkastet tid. Repetert: Prosentvis andel av det totale antall alarmer som ble registrert mer enn én gang i perioden. Kolonnen til høyre (Sp) viser det gjennomsnittlige resultatet fra spørreundersøkelsen (spørsmål 16 i vedlegget) hvor operatørene selv skulle anslå en fordeling. Tabell 5: Fordeling av fortløpende innkommende alarmer etter kategori Innretning: Sp Kategori: Aksjon Sjekk Notert Unyttig Sum 100% 100% 100% 100% 100% 100% 100% 100% Repetert Repeterende alarmer ble ikke notert ned. Som en kan se av tabellen er den andelen av alarmer som varsler et avvik som krever en aksjon, svært lav. Anslagene varierte mellom 21 og 4%. Dette bryter med prinsippet om at alarmer skal være et varsel om en uønsket tilstand som fortrinnsvis skal kreve en respons fra kontrollromsoperatøren. 5.3 Vurdering av alarmsystemene målt mot prinsippene i YA-710/YA-711 I tabell 6 er der gitt en samlet men mer detaljert vurdering av alarmsystemenes kvalitet som operatørstøtte målt opp mot prinsippene i YA-710/ YA

10 Tabell 6: Vurdering av alarmsystemene målt mot YA-710 /(YA-711 engelsk utgave) Prinsipp Generelt: Stikkord: -Alarmfilosofi -Ytelseskrav -Opplæring -Dokumentasjon -Utkobling av sikkerhetsfunksjoner Kommentar Ingen av innretningene kunne forevise en alarmfilosofi som basis for design og drift av alarmsystemet. Det kunne ikke dokumenteres at det var etablert ytelseskrav til alarmsystemene. Det var heller ikke noen systematisk oppfølging av systemene. For noen innretninger dokumenterte man endringer av trippgrenser. Det ble registrert varierende kvalitet på denne registreringen, spesielt med tanke på begrunnelsen for endringen og tilgjengelighet på informasjonen. Ingen av innretningene kunne dokumentere at man foretok systematisk opplæring/trening med visse tidsintervall rettet mot bruk og forståelse av alarmsystemet. Med høy regularitet på anleggene vil On the Job Training, som hovedvekten av opplæringen ved samtlige innretninger var basert på, gi meget begrenset trening i å håndtere uønskede hendelser. Kun én innretning hadde en tilstrekkelig utviklet treningsimulator til bruk for regelmessig operatørtrening hvor bl. a. krisehåndtering og bruk av alarmsystemet kunne bli ivaretatt. Utkobling av sikkerhetsfunksjoner vil måtte skje av ulike grunner (testing, utskifting av defekt utstyr etc). Det er av sikkerhetsmessig stor betydning at man har klare og entydige retningslinjer for hva man kan koble ut, hvordan utkopling av utstyr skal utføres og registreres, hvilke kompenserende tiltak som skal iverksettes etc. Videre er det viktig at ledelsen følger opp at reglene etterfølges og at det er lett tilgjengelige oversikter over hvilke sikkerhetsfunksjoner som til enhver tid er utkoblet. Tilsynsaktivitetene avdekket en svært varierende kvalitet på retningslinjene for slike utkoblinger, praksis som ble benyttet, samt hvor enkelt det var å skaffe seg raske oversikter over slik utkobling. Kun to av innretningene syntes å ha ivaretatt disse forhold på en tilfredsstillende måte. Generelt sett var prinsippene under denne overskrift i YA-710 mangelfullt ivaretatt hos samtlige innretninger. 10

11 Prinsipp Alarmgenerering: Stikkord: -Alarmrater -Repeterende alarmer -Stående alarmer -Sammensatte alarmer -Signalbehandling (filtrering, tidsforsinkelse etc) Alarmstrukturering: Stikkord: -Sortering og gruppering -Automatisk alarmundertrykking Kommentar Gjennomsnittlige alarmrater registrert fra alarmlogger både i normaldrift og ved nedstenginger var i gjennomsnitt alt for høye i forhold til anbefalte grenseverdier. Likeledes ble der registrert et for høyt antall repeterende alarmer og stående alarmer. Dette gjør at nytten (å få fokus på de reelle alarmene som man må ta aksjon på) blir svært liten og sannsynligheten for å overse viktige alarmer øker. Alarmgenereringen er ikke tilpasset den aktuelle driftstilstand. Dermed kommer det for mange alarmer som ikke er reelle i den aktuelle situasjon. Disse legger likevel beslag på operatørtid da man må sjekke og kvittere ut. Mer detaljer om registrerte alarmrater etc. kan finnes i kap 5.2. Generering av alarmer basert på binærlogikk og algoritmer av flere variable (sammensatte alarmer) var ikke benyttet. Dette kan være med på å begrense alarmmengden samtidig som informasjonsinnholdet får større verdi. Ulike typer signalfiltrering var benyttet ved alle innretningene men det var ulik grad av hvordan dette var implementert, optimalisert og fulgt opp. Generelt kan man konkludere med at noen prinsipper knyttet til alarmgenerering delvis er ivaretatt men et stort forbedringspotensial er observert. De fleste innretningene hadde tilstrekkelige muligheter til å kunne få frem selektive alarmlister basert på ulike typer kriterier (pr. område, system etc). Her var det bare små variasjoner mellom innretningene, men for det meste var operatørenes ønsker og behov ivaretatt eller kunne implementeres med enkle midler. Automatisk undertrykking av alarmer var i liten eller ingen grad implementert. Dette er et effektivt middel for å hindre at ikke relevante alarmer blir presentert for operatøren. Her ligger et stort forbedringspotensiale ved f. eks å undertrykke følgealarmer som er naturlige konsekvenser av f. eks en prosessnedstenging. Effektiv bruk av slike mekanismer vil kunne redusere alarmraten ved nedstengninger betydelig, ved at kun reelle alarmer for den aktuelle operative tilstand blir presentert for operatøren. Generelt kan man konkludere med at alarmundertrykkingsfunksjonalitet ikke er tatt i bruk som et virkemiddel til å redusere mengden unødvendige alarmer i kontrollrommet. 11

12 Prinsipp Alarmprioritering: Stikkord: -Alarmprioritering Alarmpresentasjon: Stikkord: -Hovedalarmbilde -Kritiske alarmer (nøkkel alarmer) -Alarmtekster -Alarmfarger -Alarm i prosessbilde -Akustisk varsling -Tilgjengelighet på alarminfo. Kommentar Alarmprioritering er et viktig hjelpemiddel for å kunne skille ut viktige alarmer fra mindre viktige. Ingen av innretningene hadde benyttet seg av slik funksjonalitet. Man skilte i hovedsak mellom to (tre) kategorier av alarmer; forvarsel, nedstenging (og feilalarm). Dette er ihht NORSOK I-002 kap 3 men den standarden sier eksplisitt at denne kategoriseringen ikke reflekterer prioritet eller kritikalitet. Denne kategoriseringen ble både av ledelse og operatører kalt alarmprioritering. Dette er ikke i tråd med hverken NORSOK eller YA-710. Ikke på noen av innretningene var det etablert en klar formening om begrepet prioritet eller regler for hvordan man skulle tilordne den enkelte alarm en slik egenskap. Generelt kan man konkludere med at alarmprioritering som et hjelpemiddel for en bedre operatør-ytelse ikke er benyttet ved de innretningene man foretok tilsyn av. Tilsynet avdekket varierende kvalitet på hvordan alarmer ble presentert for operatørene i SKR. For samtlige innretninger var hovedalarmbildet en alarmliste. Noen hadde splittet denne listen i to deler slik at Brann & Gass alarmer ble presentert på egen liste og prosessalarmer på egen liste. Alle innretningene bortsett fra én hadde i tillegg presentert B&G alarmer i et matrise format enten på veggpanel eller storskjerm. Kvaliteten og informasjonsinnholdet mht presenterte alarmer var noe varierende. Ved presentasjon av B&G alarmer på veggmatrise i tillegg til alarmliste presentasjonen så økes sjansene for at kontrollromspersonellet gjøres kjent med disse kritiske alarmene. Vurderinger mht hvorvidt andre alarmer av stor betydning (nøkkelalarmer) burde presenteres etter tilsvarende prinsipp, i tillegg til alarmlistene, synes ikke å være gjort. Her bør man vurdere nærmere f. eks feilalarmer fra annet sikkerhetskritisk utstyr, samt et fåtall viktige prosessalarmer. Kvaliteten på alarmtekstene var mangelfull ved samtlige innretninger. De fleste var i ferd med å utføre forbedringer her. Uforståelige og inkonsistent bruk av forkortelser gjorde at operatørene til tider hadde vansker med å forstå alarmmeldingene. Kryptiske alarmtekster på bl. a. systemalarmer gjorde disse vankelige å forstå. Et ergonomisk prinsipp om at den viktigste delen av informasjonen må komme først i tekstlinjen var brutt på samtlige innretninger. Dato og klokkeslett hadde alt for dominerende plass i alarmstrengen og opptok mange karakterer. Man måtte langt inn på tekstlinjen før man 12

13 Prinsipp Kommentar fant den informasjon operatøren først søkte etter, nemlig tag (inkl. system nr) og alarmbeskrivelsen. Man bør vurdere hvorvidt denne tidsinformasjonen i den løpende alarmlisten er av en slik viktighet, samt dens plassering i tekstlinjen. Dette er viktig informasjon som må finnes i alarmdatabasen til logge funksjoner for bruk i ettertid, men nødvendigvis ikke så vesentlig å presentere for operatørene i kontrollrommet. Farger var i det vesentligste brukt til å skille mellom de ulike kategorier av alarmer men ikke som anbefalt til å skille mellom ulike alarmprioriteter. Et par innretninger hadde endog kun benyttet én farge (rød) for alarmpresentasjon. Dette gjorde det enda vanskeligere for operatørene å kunne skille de enkelte alarmers betydning og viktighet fra hverandre. Der man benyttet rød alarmtekst var denne ofte vanskelig lesbar, noe avhengig av bakgrunnsfarge på skjermen. Alarmer var vist i prosessgrafikk med symbol og farge. Det ble observert noe inkonsistens mellom fargebruk i alarmlistene og i prosessbildene. Alarmfargene gult og rødt var ikke eksklusivt forbeholdt alarmer (som anbefalt ergonomisk prinsipp) men ble også benyttet til andre formål. Samtlige innretninger presenterte alarminformasjon (grafisk symbol) i de detaljerte prosessbildene. Det ble observert noe inkonsistens i fargebruken mellom listene og i bildene. Ved én innretning var det vanskelig å skille mellom prosess og B&G alarmer ut fra akustiske alarmvarsel noe som bidro til at operatørene måtte søke gjennom begge listene på leting etter alarmen (unødig tidkrevende). Ved noen innretninger var det vanskelig å skille mellom kvitterte og ukvitterte alarmer. Bruk av farge/symbol og andre effekter (f. eks blinking) var ikke fullt ut utnyttet Generelt kan sies at flere av prinsippene ikke syntes å være tilstrekkelig ivaretatt. Noen fohold var stort sett dekket på de fleste av innretningene men de absolutt viktigste prinsippene var ikke tilfredsstillende ivaretatt. Alle innretningene har et stort forbedringspotensiale når det gjelder ulike sider ved alarmpresentasjon. 13

14 Prinsipp Kommentar Alarmhåndtering: Stikkord: -Lydavstilling -Kvittering/ akseptering -Ansvarsfordeling -Manuell undertrykking -Navigering Flere innretninger manglet en sentral knapp for lydavstilling. Dette førte til at alarmlyder kunne bli stående på lengre enn nødvendig og derved virke distraherende på operatørene. Det ble registrert forbedringspotensial hos flere innretninger med hensyn til å etablere klarere retningslinjer og praksis vedrørende ansvarsfordeling og prioritering av oppgaver mellom operatørene i kontrollrommet knyttet til håndtering av driftsforstyrrelser og ulykkeshendelser. Kun et fåtall av innretningene hadde ett museklikk funksjon for å navigere fra alarmlisten direkte til det detaljerte prosessbilde. Dette var en funksjon man etterlyste på flere innretninger. Manuell undertrykking (også kalt shelving ) var kun mulig ved et fåtall av innretningene. Prinsippene knyttet til alarmhåndtering var hos de fleste brukbart ivaretatt til tross for at det også der eksisterer områder for forbedringer. 14

15 Vedlegg: Oppsummering av resultatet fra brukerundersøkelsen Som en del av OD tilsynet rettet mot alarmsystemer på innretninger i Nordsjøen ble et spørreskjema distribuert til kontrollroms operatørene. Dette vedlegget summerer resultatene av denne undersøkelsen. Svar fra sju ulike installasjoner er slått sammen. Undersøkelsen er basert på spørreskjema der en ønsket deltakelse av så mange operatører som mulig. Til sammen 64 operatører returnerte utfylte skjemaer. En undersøkelse som dette kan være et viktig redskap for å vurdere hvor nyttig alarmsystemet på den spesifikke innretningen er, og mer generelt på tvers av innretningene. Spørsmål 1 til 36 er strukturerte med faste svarkategorier. Nedenfor blir svarene angitt i prosent, antall fordelt på ulike kategorier, eller gjennomsnitt. Enkelte spørsmål viser også frekvensoversikter over svarene for illustrative formål. Innretningene er ikke referert med navn, kun nummer for å holde svarene anonymisert. Der det gir mening og kan være interessant, er dessuten svarene sammenlignet med en tilsvarende undersøkelse foretatt av UK Health & Safety Executive (HSE) i Storbritania blant 11 industribedrifter (energiselskaper og petroleum) hvor ca 90 operatører hadde besvart spørreskjemaet. Resultatene er, der det er relevant, også sammenlignet med resultatene fra analyser av alarmlogger tilsendt OD i forkant av tilsynene (spm. 10 og 17) og alarmregistrering foretatt av operatørene under tilsynet (spm. 16). Det skal bemerkes at i de figurene hvor man har sammenligninger mellom innretningene er nummereringsrekkefølgen (1-7) tilfeldig valgt og sammenfaller nødvendigvis ikke med den rekkefølge tilsynene ble foretatt i. Spørsmål 37 til 44 er basert på fritekst, og et antall punkter som kun er relevant for den enkelte plattform ble trukket frem av operatørene. Disse spørsmålene hjalp tilsynsgruppen å få en oversikt over de viktigste temaene for hver innretning, og er gjengitt i tilsynsrapportene for de respektive innretningene. Det er ikke hensiktsmessig å diskutere og sammenstille disse emnene i denne overordnede sluttrapporten. Til slutt følger et utfylt spørreskjema, som viser frekvenser og gjennomsnittssvar for alle innretningene (svarene på spørsmål 18 til 21 og 37 til 44 er ikke gjengitt i det utfylte spørreskjemaet). Spørsmål 1: Hva er din nåværende stilling, og på hvilken del/enhet arbeider du? Dette spørsmålet var nødvendig ved sammenstillingen av data fra alle innretninger for å se om det er store forskjeller mellom disse (dataene er selvsagt kodet og anonymisert i denne sammenstillingen). Spørsmål 2: Hvor lenge har du jobbet med det nåværende prosess alarmsystemet? Det var nokså stor spredning på hvor lenge operatørene har jobbet med alarmsystemet. Variasjonen var fra ni måneder til ti år, og gjennomsnittet varierte på de ulike innretningene fra 1,3 år til 7 år. En av innretningene hadde et forholdsvis nytt alarmsystem, der erfaringen var temmelig kort enda, mens ved et par andre innretninger hadde flere operatører rundt ti års erfaring med alarmsystemet. Det gjennomsnittlige svaret på tvers av de 62 operatørene som hadde svart på dette spørsmål, var på litt over fire år. Dette viser at operatørene generelt er godt erfarne med alarmsystemene sine. Nedenfor vises en figur med oversikt over hvor mye gjennomsnittlig erfaring de norske operatørene har sammenlignet med britiske industrioperatører. 15

16 Figur 1: Sammenstilling av antall års erfaring med alarmsystemet i Norge vs Storbritannia Antall års erfaring Norge GB Spørsmål 3: Har du mottatt systematisk opplæring i bruk av alarmsystemet i større og mindre forstyrrelser (er du kjent med prioritet, undertrykningsmekanismer, hva de ulike alarmene betyr i de forskjellige prosess situasjonene)? På dette spørsmålet svarte 50 operatører at de hadde mottatt slike opplæring, mens 12 svarte at de ikke hadde mottatt opplæring. Spørsmål 4: Kjenner du til om det har vært en gjennomgang av hver alarm, som evaluerer om den trenger din oppmerksomhet (har noen rettferdiggjort og dokumentert hver alarm i alarmsystemet)? På dette spørsmålet svarte 17 'Ja' og 46 'Nei'. Det er tvilsomt om en slik gjennomgang har vært gjort med alle systemene. Kanskje dette har blitt gjort med de nye alarmsystemene, men en slik gjennomgang synes veldig lite kjent blant operatørene. De som ikke kjenner til om det har vært en gjennomgang av hver alarm, synes også at alarmsystemet inneholder for mange alarmer, de forstår alarmmeldingene dårligere, og synes det blir gjort for få anstrengelser i forhold til å forbedre alarmsystemet. Spørsmål 5: Hvor mange alarmer tror du det er definert i alarm systemet (anslå omtrentlig)? Operatørene anslo i gjennomsnitt 4685 brann og gass alarmer. Det gjennomsnittlige anslaget på tvers av innretninger varierte fra 850 til De anslo i gjennomsnitt prosess alarmer, med en gjennomsnittlig variasjon på innretningene fra 2250 til 18786, og gjennomsnittlig 3683 feilalarmer med variasjon fra 50 til 7186 (se figur 1). Det er tydelig at det er antall prosess alarmer operatørene synes er høyt, og ut fra deres vurderinger synes antallet i høyeste laget. Det er forøvrig ikke foretatt noen oversikt av det faktiske antallet alarmer ved de ulike innretningene, slik at en har ikke noe reelt tall å forholde seg til, kun operatørenes vurderinger. Men hvis det er en generell vurdering blant operatørene at det er så mange alarmer i systemet, bør en undersøke antallet i mer detalj og forsøke å finne måter å redusere antall alarmer i de ulike systemene på. 16

17 Figur 2: Gjennomsnittlig anslag av antall alarmer i systemet fordelt på ulike typer. Gjennomsnittlig anslag av antall alarmer i systemet fordelt på ulike typer Brann og gass Prosess alarmer Feil fra utstyr Spørsmål 6: Hva synes du om mengden alarmer i systemet? Over halvparten av operatørene, 34 operatører synes det er 'For mange alarmer', i alarmsystemet, mens 24 operatører synes det er 'Mange, men nødvendig' antall alarmer. Kun tre svarte at det er 'Få, men relevante' og to at det er 'For få alarmer'. Disse svarene henger sammen med svarene i spørsmål 5, der operatørene anslo hvor mange alarmer det var i systemet. En prosentvis sammenligning av den britiske undersøkelsen og resultatene fra de norske innretningene viser følgende resultat: Figur 3: Hva britiske og norske operatører synes om antall alarmer i systemet Antall alarmer i systemet 60 % 50 % 40 % 30 % 20 % 10 % 0 % For mange Mange men nødvendig Få men relevante For få N GB Det er ganske stor enighet i Norge og Storbritannia om at andelen av alarmer i systemet er for høy. Dette resultatet støtter inntrykket av at det på innretningene er sjelden operatører klager på at alarmer mangler på variabler som burde vært alarmert. Innretninger bør selvfølgelig være konstant på vakt for at alarmer ikke skal mangle, men i følge svarene på dette spørsmålet er heller konklusjonen den at det er definert for mange alarmer enn at det mangler alarmer. Dette er også erfaringene fra britisk industri, der operatørene hadde tilnærmet lik 17

18 fordeling på sine svar. Det kan se ut som om oljeinnretningene med fordel vil kunne dra nytte av å gå gjennom alarmene i alarmsystemet for å forsøke å redusere antallet. Spørsmål 7: Hvor godt føler du alarmsystemet støtter deg i normale, stabile driftsituasjoner? 17 av operatørene mener alarmsystemet støtter dem 'Veldig bra' i normal drift, mens 43 synes alarmsystemet er 'OK'. Bare tre mener alarmsystemet er dårlig i normale, stabile situasjoner. Nedenfor vises en figur over hvordan henholdsvis norske og britiske operatører føler at alarmsystemet støtter dem i normale stabile situasjoner. Det er også her rimelig stor enighet om at alarmsystemet gir ok støtte i normal drift. Figur 4: Hvor godt alarmsystemet støtter operatørene i normale situasjoner Støtte i normale situasjoner 80 % 70 % 60 % 50 % 40 % 30 % 20 % 10 % 0 % Veldig bra OK Dårlig Veldig dårlig N GB Spørsmål 8: Hvor godt føler du alarmsystemet støtter deg ved større forstyrrelser før tripp? Svaret på dette spørsmålet var generelt mindre positivt enn svaret på spørsmål 7. Så mange som 43 operatører mener at alarmsystemet fungerer 'OK' under en større forstyrrelse eller tripp, mens tolv hadde svart 'Dårlig' på dette spørsmålet. Bare sju operatør mener alarmsystemet er 'Veldig bra' i en større forstyrrelse før tripp. Spørsmål 9: Hvor godt føler du alarmsystemet støtter deg ved prosess og nødavstengninger? Her mente sju operatører at alarmsystemet er 'Veldig bra', 35 at alarmsystemet er 'OK' ved prosess og nødavstengninger, mens 20 mente det er 'Dårlig'. Spørsmål åtte og ni var slått sammen i den britiske undersøkelsen. Nedenfor følger derfor et gjennomsnitt av svarene på disse to spørsmålene i den norske undersøkelsen sammenlignet med britiske resultater. De britiske operatørene var litt mer jevnt fordelt på de ulike svarkategoriene enn de norske. 18

19 Figur 5: Hvor godt alarmsystemet støtter operatørene ved forstyrrelser og tripp Støtte ved forstyrrelser og tripp 70 % 60 % 50 % 40 % 30 % 20 % 10 % 0 % Veldig bra OK Dårlig Veldig dårlig N GB Responsen på spørsmål åtte og ni styrker synet på at alarmsystemets ytelse/nytteverdi i forstyrrelser eller nedstengninger er lite tilfredsstillende ved de fleste innretningene. Forstyrrelser og nedstengninger representerer generelt en periode med spesielle utfordringer for sikkerheten til ulike innretninger, ettersom det forventes mange endringer i den operasjonelle statusen, og hvis de ikke inntreffer, kan ulike farer oppstå. Det er spesielt viktig at alarmsystemer fungerer optimalt i slike situasjoner. Operatører som var minst tilfreds med alarmsystemet i forhold til disse to spørsmålene har også vansker med å identifisere problemet de står overfor, de finner alarmsystemets prioritering utilfredsstillende, og de synes det er vanskelig å ha oversikt over sikkerhetskritiske alarmer. Spørsmål 10: Hvor mange alarmer (omtrentlig) får du i normal stabil operasjon (gi et anslag)? Her varierte det gjennomsnittlige anslaget for de ulike innretningene fra 10 til 35 alarmer per time, med et gjennomsnittlig anslag på tvers av innretninger på ca 19 alarmer. Vi ser av figuren at operatørenes anslag stemmer bra overens (med unntak av innretning nr. 3) med resultatet fra analysene av alarmlogger som ble foretatt i forbindelse med OD tilsynene. Figur6: Gjennomsnittlig anslag av antall alarmer pr time i normal drift. Normaldrift. alarmer pr. time (Spm 10) Operatøranslag Fra alarmlogg 19

20 Det kan se ut som det er en sammenheng mellom anslag av antall alarmer pr time i normal drift og hvor godt operatørene føler alarmsystemet støtter dem i normale situasjoner (spørsmål 7). Det kan virke som om det gjennomsnittlige anslaget på 19 alarmer pr time i normal drift, eller ca en alarm pr tredje minutt, er til å leve med for operatørene, som mener alarmsystemet gir OK eller veldig bra støtte i normal drift. Ideelt sett burde en ikke få noen nye alarmer når alt går normalt. Det kan derfor tenkes at operatørene synes at det også er andre faktorer enn alarm rate som spiller inn og påvirker operatørenes formening om hvilken støtte alarmsystemet gir dem. I figuren nedenfor ser vi at britiske operatører anslår gjennomsnittlig et noe høyere antall alarmer pr time i normal drift enn norske operatører. Søylen til høyre viser gjenomsnittet av alarmloggene som ble analysert i forbindelse med de 7 tilsynene. Figur 7: Norske og britiske operatørers anslag av alarmer pr time i normal drift Anslag alarmer pr. time i normaldrift (Spm. 10) Norge GB Logg En bør ta i betraktning at resultatene av dette og andre spørsmål som går på antall alarmer må behandles med en viss forsiktighet. Operatørene vil bare gjøre omtrentlige gjetninger i forhold til alarm rate etc. I mer detaljerte undersøkelser av alarmsystemenes ytelse, vil det foretrekkes å bruke objektive data på alarm rater i tillegg. Spørsmål 11: Hvor ofte skjer det at en alarm som kommer er en repeterende alarm du allerede har sett i løpet av de siste fem minuttene (anslå omtrentlig)? Vanligvis er repeterende alarmer et stort problem i prosess industrien. I forhold til den britiske undersøkelsen er gjennomsnittlig 51% av alarmene repetisjoner av alarmer som operatørene har fått de siste fem minuttene. I følge undersøkelsen på norske plattformer, står det litt bedre til her. I følge operatørvurderinger er i gjennomsnitt 33% av alle alarmene som kommer repeterende alarmer. Jo færre repeterende alarmer operatørene opplevde, jo bedre opplevde de også at alarmprioriteringen var og muligheten de hadde for å ha oversikt over sikkerhetsrelaterte alarmer ved forstyrrelser. Sammenstiller en operatørvurderingen med faktiske nedtegnelser av alarmenes nytteverdi som ble gjort under tilsynene finner man et litt annet resultat (se spm 16). En slik gjennomgang viste at ca 40% av alarmene var repeterende alarmer. Figur 8 viser en sammenstilling av hvor stort problem repeterende alarmer er for henholdsvis norske og britiske operatører. 20

21 Figur 8: Hvor ofte kommer en repeterende alarm? Hvor ofte repeterende alarm 50 % 40 % 30 % 20 % N GB 10 % 0 % % 40-70% 20-40% <20% Det kan synes som om britiske operatører er mer plaget av repeterende alarmer enn norske operatører. Imidlertid viser resultatene av alarmloggene fra tilsynet at antallet repeterende alarmer var større enn operatørenes anslag. Spørsmål 12: Hender det at du får noen av følgende overflødige alarmer? Dette spørsmålet ble stilt for å forsøke å finne ut hvilke alarmer som er de vanligste overflødige alarmene. På tvers av plattformer virker det som om det operatørene sliter mest med, er at det ofte eller noen ganger kommer alarmer fra utstyr som er under test, alarmer fra systemer som er nedstengt, og alarmer som kommer i en tripp som bare er relevant i en stabil situasjon. En del problemer synes det også å være med alarmer som er galt prioritert og system alarmer. To alarmer som betyr det samme opplever operatørene minst proble mer med. Sammenlignet med den britiske undersøkelsen, har operatørene tilsvarende oppfatning av hvilke alarmer som henholdsvis oppleves som mest og minst overflødige. Det kan synes som om industrien kan dra stor nytte av utvikling av logikk for å undertrykke alarmer fra systemer som er ute av drift og overflødige alarmer i en tripp. Spørsmål 13: Hvilken andel av alarmer er virkelig nyttige for deg i normal, stabil drift? Her svarte flertallet (78%) at de fleste alarmene er nyttige i normal, stabil drift. Dette synes å være noe i konflikt med kommentarene ovenfor med hensyn til repeterende og overflødige alarmer. Men det er mulig det kan tolkes slik at de fleste alarmer er nyttige hvis de er virkelige alarmer (ikke repeterende alarmer etc). Se forøvrig svarene under spørsmål 16 (fig 12) der også resultatet fra en logging som operatørene selvutførte, er vist. I figur 9 er det en sammenligning av hva norske og britiske operatører mener med hensyn til hvilken andel alarmer som er nyttige for dem i normal, stabil drift. 21

22 Figur 9: Hvor mange alarmer er nyttige i normal drift Andel nyttige alarmer 100 % 80 % 60 % N 40 % GB 20 % 0 % Alle essensielle De fleste nyttige Få nyttige Veldig få nyttige Det synes som om norske og britiske operatører er nokså enige med henblikk på hvor mange alarmer som er nyttige for dem. Spørsmål 14: Forstår du hver alarmmelding fullstendig? Operatører bør kunne forstå hver alarmmelding de får presentert. 84% svarte at de 'Som oftest' forstår hver alarm fullstendig. Det kan bety at mange alarmmeldinger ved alle anleggene er uklare og kan trenge en gjennomgang. Figur 10: Hvor godt operatørene mener de forstår alarmmeldingen Forståelse av alarmmelding 100 % 80 % 60 % 40 % N GB 20 % 0 % Alltid Som oftest Noen ganger I denne figuren ser vi at norske operatører sjeldnere forstår hver alarmmelding fullstendig enn britiske operatører. Det er viktig å kunne forstå alarmmeldingene for å kunne gjøre nødvendige aksjoner mot prosessen og styre den mest mulig optimalt. Det bør settes i verk tiltak for å gå gjennom tekstene i alarmmeldingene slik at hver alarm lettere kan forstås. Spørsmål 15: Vet du alltid hva du skal gjøre med hver alarm (vet du hva du skal sjekke, hvem du bør ringe, hvilket prosessbilde du bør ta opp, hvilke aksjoner du bør gjøre, eller hva du bør overvåke for alle alarmer som kommer? På dette spørsmålet svarte 68% 'Som oftest', mens 27% svarte at de alltid vet hva de skal gjøre med hver alarm. Det kan bety at det er flere av alarmene som er uklare med hensyn på hva en bør gjøre når man får dem. 22