Indikatorer for risiko- og barrierestyring

Transkript

1 Indikatorer for risiko- og barrierestyring Lars Bodsberg Forskningssjef SINTEF Teknologi og samfunn Sikkerhetssystemkonferansen november 2012, Park Inn Oslo Airport Hotel, Gardermoen Teknologi og samfunn 1

2 Indikatorer for risiko- og barrierestyring Indikatorer og risikostyring Ulykkesmodeller Barrierestyring Resilience en alternativ tilnærming Metoder for utvikling av indikatorer Eksempel - indikatorer bore-scenario. Teknologi og samfunn 2

3 Hva er en indikator? Ordet kommer fra verbet indikere som betyr å anvise, angi En indikator gir et forenklet signal om en tilstand eller endring i tilstand. Vi bruker gjerne indikatorer når fenomenet i seg selv er for komplisert eller for kostbart å måle direkte (målbar størrelse) En vanlig definisjon er et observerbart fenomen som viser tilstanden vedrørende et annet, ikke direkte observerbart fenomen Teknologi og samfunn 3

4 Hva er risiko? Svært mange forskjellige definisjoner Uttrykk for den fare som uønskede hendelser representerer Uttrykkes gjerne ved en kombinasjon av sannsynlighet for skade og alvorlighetsgraden av skaden Mulig tap Teknologi og samfunn 4

5 Balanse mellom produksjon og beskyttelse Beskyttelse Produksjon Kilde: James Reason (1998) Teknologi og samfunn 5

6 Hyppighet Fra hendelsesbasert til risikobasert styring Fritt etter Jens Rasmussen Epidemiologisk: Lær av statistikk! Arbeidsulykker Armbrudd Drukning Hendelsesbasert: Lær av enkelthendelser! Storulykker Åsta Sleipner Katastrofer Fukushima Deepwater Horizon Risikobasert: Løs problemene før de fører til en ulykke! Skadeomfang Teknologi og samfunn 6

7 Heinrichs isfjellteori (1931) 1 Alvorlig skade Mindre skader Inen Ingen skader Arbeidsulykker Storulykker BP mistakenly interpreted improving personal injury rates as an indication of acceptable process safety performance (Baker Report -Texas City Refinery explosion 2005 ) Teknologi og samfunn 7

8 Ulykkesmodeller Vår forståelse av ulykker Ulykkesfugl/ Act of God Teknologi og samfunn 8

9 Domino Teknologi og samfunn 9

10 Energy transfer theory Gibson & Haddon (1963) FARE Energikilde BARRIERE OFFER Et sårbart objekt Injury results only when there is energy transfer beyond the ability of the body or structure to resist it. Teknologi og samfunn 10

11 Ptil Barriere: Tekniske, operasjonelle og organisatoriske elementer som enkeltvis eller til sammen skal redusere muligheten for at konkrete feil, fare- og ulykkessituasjoner inntreffer, eller som begrenser eller forhindrer skader/ulemper. Barrierer er funksjoner og tiltak som er planlagt for å bryte et uønsket hendelsesforløp. Teknologi og samfunn 11

12 Barrierefunksjoner FARE BARRIERE OFFER Unngå bruk av farlig energi Unngå oppbygging av farlig energi Unngå utslipp av farlig energi Begrens utslipp av farlig energi Atskill farlig energi fra sårbart objekt i tid og rom Isoler farlig energi fra sårbart objekt Øk objektets motstandskraft Tilpasset fra Haddon Teknologi og samfunn 12

13 Swiss cheese model Some holes due to active failures Hazards Losses Other holes due to latent conditions Successive layers of defences, barriers, & safeguards Teknologi og samfunn Kilde: James Reason 1997

14 Different perspectives on the DWH / Macondo accident "One perspective": Most of the events and missteps related to the Deepwater Horizon disaster can be traced back to an overarching failure of management and communication (ref. President Commissions' report) "Another perspective": if the cement at the bottom of the well had been leak-tight or the BOP had closed successfully, this accident would not have happened! Source: Getty Images Teknologi og samfunn 14

15 Bow-tie ulykkes- og barrieremodell = Barrieresystem som skal utføre en Barrierefunksjon Årsaksforhold Hendelsesforløp Konsekvensutvikling Gasslekkasje Påvirkende forhold Påvirkende forhold Teknologi og samfunn 15

16 NORMAL OPERATIONAL SITUATION Accident external to process HAZARD ACCIDENT CONSEQUENCE Normal equipment condition Mistake by personnel Mechanical degradation Loss of production Personnel injury Failure of control or safety system Facility damage Stable process Process upset (transient) Leak (Process equipment failure) Fire or explosion Pollution PSV FSV SELF-ACTING Function S M CM S M PSL GD M FD SHUTDOWN Detectable conditon Implementation (Example) CONTROL Equipment Process function Production Platform Extent of shutdown action PC SYSTEM PSD SYSTEM FGD/ESD SYSTEM CM:Condition Monitoring, S:Process sensor, PSV:Pressure relief, PSL:Pressure switch low, FSV:Check valve, GD:Gas detector, FD:Fire Detector, M:Manual API RP14: Analysis, design, installation and testing of basic surface safety systems for offshore production platforms Teknologi og samfunn 16

17 NORMAL OPERATIONAL SITUATION Normal equipment condition Accident external to process Mistake by personnel Mechanical degradation HAZARD ACCIDENT CONSEQUENCE FD QRA Loss of production Personnel injury Failure of control or safety system Facility damage Stable process Process upset (transient) Leak (Process equipment failure) Fire or explosion Pollution PSV FSV SELF-ACTING Function S M CM S M PSL GD M FD SHUTDOWN Detectable conditon Implementation (Example) CONTROL Equipment Process function Production Platform Extent of shutdown action PC SYSTEM PSD SYSTEM FGD/ESD SYSTEM CM:Condition Monitoring, S:Process sensor, PSV:Pressure relief, PSL:Pressure switch low, FSV:Check valve, GD:Gas detector, FD:Fire Detector, M:Manual API RP14: Analysis, design, installation and testing of basic surface safety systems for offshore production platforms Teknologi og samfunn 17

18 Hvorfor skjer det ikke flere ulykker? Vi etablerer og vedlikeholder barrierer, planlagte tiltak for å hindre bestemte hendelsesforløp i å utvikle seg til ulykker Vi har evne til å improvisere når det oppstår en situasjon ingen har forutsett vi finner en løsning og implementerer den mer eller mindre umiddelbart Teknologi og samfunn 18

19 Teknologi og samfunn 19

20 Robuste organisasjoner Tradisjonell ulykkesteori er vinklet mot de «sykdomsskapende faktorene», dvs. forhold som gjør at en organisasjon er utsatt for ulykker. Utvikling av robuste organisasjoner innebærer at vi må studere og kultiverer de «helseskapende» faktorene Teknologi og samfunn 20

21 Eksempel «helseskapende» faktorer Organisasjonen totalt sett har en bred risikoforståelse. Ansatte kjenner de tekniske systemene til bunns fra de abstrakte fysiske prinsippene og ned til lunene og nykkene til hver enkelt duppeditt. Ansatte forstår operasjonene, ikke minst hvordan jobben de selv er ansvarlig for, virker inn på andres arbeidsoppgaver. Ansatte kjenner arbeidsprosedyrene så godt at de forstår hva som er konsekvensene av å avvike fra prosedyren. Ansatte har nok innsikt til å takle uforutsette situasjoner og til å kunne improvisere sikkert og effektivt i krisesituasjoner. Ikke nok at kunnskapen sitter i hodene på enkeltpersoner. Organisasjonen må evne å dele kunnskap på tvers av faggrenser og organisatoriske grenser. Teknologi og samfunn 21

22 "Resilience" en alternativ tilnærming Tradisjonell tilnærming Feil og svikt ses på som unormalt Ulykker kan forklares gjennom enkle årsakskjeder "Resilience" tilnærming Feil ses på som en normal variasjon i ulike måter å gjennomføre en arbeidsoppgave på Ulykker kan forklares gjennom uforutsette samspilleffekter Barrierer mot kjente, planlagte hendelsesforløp Fokus på hva som kan gå galt risikoanalyser Forberede organisasjonen til å takle uforutsette situasjoner Fokus på hva som skaper sikkerhet Teknologi og samfunn 22

23 Contributing Success Factors Resilience attributes Make sure that risk awareness is maintained (avoid underestimation of risk) CSF 1: Risk Awareness Be able to provide necessary capasity to respond, given a deviation or incident CSF 2: Response Capacity Be able to support decisions (remedy of goal-conflicts) in order to maintain critical functions (given a deviation or incident) CSF 3: Support Understand anticipate and monitor Respond completely and timely Give support and ensure support Risk understanding Anticipation Attention Response Robustness Resourcefulness/ rapidity Decision support Redundancy (incl. improvisation) (of response) (for support) How do we achieve knowledge and experience about risk/hazards? What can we expect? What should we look for? What must we do? How can we ensure completion of the response (without suffering damage)? How can we ensure timely and sufficient response? How do we support the trade-off between safety and production? How do we compensate for degradation to uphold/ maintain critical functions? 23 Teknologi og samfunn

24 General Issues - overview Resilience refers to the capability of recognizing, adapting to, and coping with the unexpected (Woods, 2006). Resilience attributes Contributing Success Factor General issue Most important general issue Make sure that risk awareness is maintained (avoid underestimation of risk) CSF 1: Risk Awareness Be able to provide necessary capasity to respond, given a deviation or incident CSF 2: Response Capacity Be able to support decisions (remedy of goal-conflicts) in order to maintain critical functions (given a deviation or incident) CSF 3: Support Understand anticipate and monitor Respond completely and timely Give support and ensure support How do we achieve knowledge and experience about risk/hazards? What can we expect? What should we look for? What must we do? How can we ensure completion of the response (without suffering damage)? How can we ensure timely and sufficient response? How do we support the trade-off between safety and production? How do we compensate for degradation to uphold/maintain critical functions? Risk understanding Robustness Resourcefulness/rapidity (for 1.1 Anticipation 1.2 Attention 1.3 Response Decision support 3.1 Redundancy 3.2 (incl. improvisation) (of response) support) System knowledge Risk/hazard identification (Hazid, ) Process disturbances; control and safety system actuations Training (simulators, table-top, preparedness, ) Robustness of responsible function Adequate resource allocation and staffing (incl. buffer capacity) Adequate decision support staffing (availability & knowl./ experience) Redundancy of decision support functions Information about risk through e.g. courses & doc. (Hazop, QRA,...) Learn from own experiences & accidents Bypass of control and safety functions Adaptability of training (timely revisions of training material) Organizational robustness (backup functions) Adequate ICT systems (timely updating of information) Adequate ICT decision support systems Redundancy in information processing Reporting of incidents, near-misses and accidents Learn from other s experiences & accidents Activity level / simultaneous operations Handling of exceptions (beyond day to day operations) Redundancy in skills; multiple skills Adequate external decision support Information about the quality of barriers (technical safety) Trends in reported events and quality of barriers Flexibility of organizational structure Communication between actors (interface control) Criteria for safe operation well defined and understood Information about the quality of barrier support functions (operational safety) Early warnings/weak signals (e.g. from whistle blowers) Ability to make (correct) decisions Discussion of HSE issues/status in regular meetings Changes; technical, organizational, external (weather, ) Safety performance matters requested by senior management Communicating risk/ resilience at all levels of the organization Focus on safety (safety versus other issues) How well are we doing? What would tell me that we are doing well (or have problems) with this issue? Teknologi og samfunn

25 General Issues - examples No. CSF level 2 General issue Risk understanding System knowledge Information about risk through e.g. courses & documents Reporting of incidents, near-misses and accidents Information about the quality of barriers (technical safety) Information about the quality of barrier support functions (oper. safety) Discussion of HSE issues/status in regular meetings Safety performance matters requested by senior management Communicating risk/resilience at all levels of the organization Anticipation Risk/hazard identification Learn from own experiences & accidents Learn from other s experiences & accidents Attention Process disturbances; control and safety system actuations Bypass of control and safety functions Activity level/simultaneous operations Trends in reported events and quality of barriers Early warnings/weak signals (e.g. from whistle blowers) Changes; technical, organizational, external (weather, ) Focus on safety (safety versus other issues) 25 Teknologi og samfunn

26 Six perspectives that can help us understand the organisational mechanisms related to major accidents: The energy and barrier perspective; The theory of Normal Accidents; The theory of High Reliability Organisations; The information processing perspective; A decision-making perspective; The Resilience Engineering perspective. Teknologi og samfunn 26

27 Early warning indicators Using four complementary methods for the development of early warning indicators II. ORIM I. HSE III. IDM Ensure best possible capturing of potential signs/signals/warnings IV. REWI General approach I. Safety performance based II. Risk based III. Incident based IV. Resilience based Specific method HSE method (HSE, 2006) Dual assurance method ORIM (Øien, 2001) (Organizational Risk Influence Model) IDM (Øien, 2008) (Influence Diagram Method) REWI (Øien et al., 2010) (Resilience based Early Warning Indicators) Teknologi og samfunn 27

28 Risk based method for indicators Focus on the most important risk influencing factors (RIFs) Early warning Sociotechnical system (OPI) Risk indicators Risk model (QRA) Risk Indicator Risk status Risk Influencing Factor (RIF) Risk measure Take advantage of the existing risk analysis / risk model of the facility/plant/activity/ Extract the factors that are important with respect to potential change in risk Δ R0, t * 4 [%] R Probability of ignition due to failure in electrical equipment (x2) Probability of hot work (x2) Probability of autoignition (x2) (x1.75) Probability of ignition due to drive unit (x1.5) (x1.7) Probability of ignition given leakage and hot work (x1.6) Probability of ignition due to pumps/compr. (x2) (x0.5) -5.2 Reduction factor for electrical disconnection of ignition sources (x2) Probability of blowout (x0.75) Number of workovers (x0.5) Number of drillings and completions (0) Probability of leakage in neighbor module (x0.4) Insignificant RIFs Potential risk increase Focus on the significant risk influencing factors! (Øien, 2001) Leak frequency (x0.1) Significant RIFs Potential risk reduction 5 Teknologi og samfunn

29 Comparison of methods - complementarities Characteristic Table 5. Comparison of different indicator methods I Perform. based II Risk based III Incident based IV Resilience based 1 Easy to identify influencing factors 2 Relevant for major accidents 3 Easy to determine risk significance/importance 4 Relevant as early warnings 5 Practical, simple, well-documented 6 Resource intensive 7 Easy to communicate 8 Independent of the occurrence of events 9 Dependent on thorough accident investigation 10 Focusing on what went right (positive signals) - Very favorable; Favorable; Neutral; Unfavorable; Very unfavorable All methods are very favourable with respect to some characteristics and at the same time very unfavourable to some other characteristics. (Øien, 2010) Teknologi og samfunn

30 Teknologi og samfunn

31 PDS forum PDS metode og data håndbøker PDS prosjekt PDS rapporter PDSTool Teknologi for et bedre samfunn 31

32 PDS-BIP Hovedaktiviteter og resultater Utvikling av barrierer og indikatorer for å hindre og begrense utslipp til sjø 1. Utvikling av miljøakseptkriterier og tekniske og operasjonelle krav til sikkerhetssystemer 2. Utvikling av indikatorer for å overvåke potensialet for utslipp til sjø 3. Utvikle analyseverktøy og håndbøker for å beregne påliteligheten av barrierefunksjoner mot miljøutslipp 4. Publisering / informasjonsspredning Håndbøker Presentasjoner Analyseverktøy Rapporter Artikler, osv. Teknologi for et bedre samfunn 32

33 PDS rapport Foreslår indikatorer for sentrale barrierer knyttet til et borescenario. Beskriver metodikk for å finne slike indikatorer. Rapporten ligger åpent på: Teknologi for et bedre samfunn 33

34 Metodisk tilnærming for å finne indikatorer Velg initierende hendelser som kan føre til miljøutslipp Blowout under boring (lete- og produksjonsboring) Identifiser relevante barrierefunksjoner for initierende hendelse 6 ulike barrierefunksjoner Etabler hendelsetre basert på initierende hendelse Hendelsetre for blowout under boring med de 6 barrierefunksjonene Analyser barrierefunksjoner relativ viktighet basert på analyse av hendelsetreet Input fra andre studier Identifiser og etabler indikatorer for de viktigste barrierene Teknologi for et bedre samfunn 34

35 Beskrivelse av identifiserte barrierefunksjoner Barriereelement-diagrammer etablert for de 6 barrierefunksjonene Barrier function 1: Gas inflow is detected before it reaches BOP (kick detection) Utgangspunkt for kvantitative beregninger og for å identifisere indikatorer 1. TECHNICAL BARRIER ELEMENTS Pit Gain Flow-out/in (Volumetric (Rate Drill pipe comparison) comparison) pressure 1.4 Gas content 2. HUMAN BARRIER ELEMENTS 2.1 Human detection and action Control system HMI in control room and at drilling floor 3. ORGANISATIONAL BARRIER ELEMENTS 3.1 Operational procedures (e.g pit management) 3.2 Reservoir / pore pressure predictions Risk influencing factors: Management and work supervision Communication, cooperation and interfaces Competence and training Work practices Other RIFs Teknologi for et bedre samfunn 35

36 Etablering av hendelsestre Teknologi for et bedre samfunn 36

37 Indikatorer Utarbeidet liste med forslag til indikatorer Videre arbeid med oppfølging av indikatorer og behov for datainnsamling er nødvendig Indicators for "early kick detection" function (barrier function 1) Time since last test / calibration of kick detection sensors (e.g. level sensors in pit tank and flow rate sensors) Unit Months Average number of active mud pits/tanks since drilling start-up Number Fraction of spurious alarms (to the total number of alarms) % Number of formal verification meetings between mud logger and driller (to number of drilling days) Ratio Indicators for "BOP annular preventer seals" function (barrier function 2) Fraction of failed functional tests (both closure tests and pressure tests) to the total number of tests Fraction of repeated failures revealed during testing and maintenance (to the total number of revealed failures) Number of stripping operations during lifetime of BOP Indicators for "heavy mud to kill well" function (barrier function 3) % % Number Time since last functional test of essential choke and kill line assemblies Months Average amount of spare mud available throughout the operation m 3 Average number or fraction of mud and cement pumps out of service throughout the operation Number or % Indicators for "shear ram cuts and seals" function (barrier function 5) Fraction of failed functional tests of shear ram (both closure tests and pressure tests) to the total number of tests Fraction of repeated failures revealed during testing and maintenance (to the total number of repeated failures) Service life of shear ram time since last cutting verification General indicators Number of deviations from original "detailed drilling program" handled onshore (e.g. during last three months) Number of deviations from original "detailed drilling program" handled offshore (e.g. during last three months) % % Months Number Number Teknologi for et bedre samfunn 37

38 Ytelseskrav til barrierene Noen observasjoner Generelt manglende pålitelighetskrav (SIL/EIL) for utstyr knyttet til boring, brønnintervensjon og undervannsproduksjon Misforhold mellom pålitelighetskrav til barrierer for boring, brønnintervensjon og undervannsproduksjon sammenlignet med topside barrierer: OLF 070 inneholder per i dag kun krav til "drilling BOP" og til "ESD isolation of subsea well" Ingen kvantitative pålitelighetskrav til barrierer som: deteksjon av brønnspark, kontroll på væskesøylen, nødkraft, akustisk BOP aktivering, nødfrakobling (EQD) av rigg, avledersystemet, subsea PSD funksjoner og BOP under brønnintervensjon. Dersom dette er sikkerhetskritisk utstyr burde det ikke da settes krav til det? SIL = Safety Integrity Level EIL = Environmental Integrity Level ESD = Emergency Shutdown PSD = Process Shutdown EQD = Emergency Quick Disconnect Teknologi for et bedre samfunn 38

39 Teknologi og samfunn

40 PETROMAKS Petro-HRA Analysis of human actions as barriers in major accidents in the petroleum industry, applicability of human reliability analysis methods ( ) IFE, SINTEF, NTNU, INL, DNV, Statoil Teknologi og samfunn 40