Organisatoriske endringer. Prosjektrapport 2002 FORFATTER(E) OPPDRAGSGIVER(E) Norsk Hydro GRADER. DENNE SIDE ISBN PROSJEKTNR. ANTALL SIDER OG BILAG

Transkript

1 SINTEF RAPPORT TITTEL SINTEF Teknologi og samfunn Sikkerhet og pålitelighet Postadresse: 7465 Trondheim Besøksadresse: S P Andersens veg Trondheim Telefon: Telefaks: Foretaksregisteret: NO MVA Morgendagens HMS-analyser for vurdering av tekniske og organisatoriske endringer Prosjektrapport 2002 FORFATTER(E) Rapporten er omgradert Knut Øien, Geir Guttormsen, Stein Hauge, Snorre Sklet, Trygve Steiro OPPDRAGSGIVER(E) Norsk Hydro RAPPORTNR. GRADERING OPPDRAGSGIVERS REF. STF38 A02423 Åpen John Monsen GRADER. DENNE SIDE ISBN PROSJEKTNR. ANTALL SIDER OG BILAG Åpen ELEKTRONISK ARKIVKODE PROSJEKTLEDER (NAVN, SIGN.) VERIFISERT AV (NAVN, SIGN.) SINTEF RAPPORT Morgendagens HMS-analyser 2002 endelig åpen.doc Knut Øien Lars Bodsberg ARKIVKODE DATO GODKJENT AV (NAVN, STILLING, SIGN.) SAMMENDRAG Lars Bodsberg, forskningssjef Denne rapporten beskriver resultatene av prosjektet Morgendagens HMS-analyser for vurdering av tekniske og organisatoriske endringer for Prosjektet er et treårig prosjekt ( ) igangsatt av Norsk Hydro i samarbeid med SINTEF og NTNU. Rapporten beskriver tekniske og organisatoriske endringer som Norsk Hydro står overfor i de nærmeste årene, med spesiell fokus på endringer for eksisterende innretninger, slik som effektiviseringsbehov ved sluttfaseproduksjon. Målet for dette treårige forskningsprosjektet er å utvikle bedre metodikk for vurdering av de sikkerhetsmessige konsekvensene av tekniske og organisatoriske endringer. Dagens metoder, både innenfor offshore i Norge, innenfor annen virksomhet i Norge og i verden forøvrig, er ikke nødvendigvis tilpasset en vurdering av komplekse tekniske og organisatoriske endringer i eksisterende virksomhet. Rapporten skisserer at nye metoder eller ny bruk av eksisterende metoder som dekker ulike perspektiver av sikkerhet må anvendes. Noen av de mest aktuelle metodene for endringsanalyse er beskrevet. Disse metodene vil bli testet, tilpasset og eventuelt videreutviklet i neste fase av prosjektet (2003). STIKKORD NORSK ENGELSK GRUPPE 1 Sikkerhet Safety GRUPPE 2 Risikoanalyse Risk Analysis EGENVALGTE Sluttfaseproduksjon Tail Production Organisatoriske endringer Organisational Change

2 2

3 3 INNHOLDSFORTEGNELSE SAMMENDRAG Innledning Bakgrunn Målsetting Avgrensing Begreper og definisjoner Rapportstruktur Fremgangsmåte og organisering Risikoanalyser; historikk, status og utvikling Status og utvikling innen petroleumvirksomheten i Norge Historikk, status og utvikling internasjonalt Kjernekraft Romfart Luftfart Andre virksomheter Oppsummering Perspektiver og metoder for sikkerhetsvurderinger av komplekse endringer Overordnede perspektiver for sikkerhetsvurderinger Kravspesifikasjon til analysemetodikk Eksisterende metoder Valg av metoder Endringsidentifikasjon Oppgaveanalyse Barriereanalyse Scenarioanalyse Stressfaktoranalyse / arbeidsmiljøundersøkelser Total endringsanalyse Andre aktuelle metoder Tekniske, operasjonelle og organisatoriske barrierer Innledning Krav til barrierer i ODs regelverk Generell diskusjon av barrierebegrepet Barrierer mot prosessulykker Detaljert nedbryting av barrierer Nedbryting av prosessulykker i henhold til IEC endringsanalyse Kommentarer/diskusjon Barriereanalyse brukt ved ulykkesgransking MTO-analyse The Accident Evolution and Barrier Function Method (AEB) Proaktive analyser av barrierer Kvantitative risikoanalyser Analyse av sikkerhetsbarrierefunksjoner (Safety barrier function analysis) Arbeidstillatelsessystem Tekniske endringer Innledning Teknologiske trender...57

4 Nye bruksområder for informasjons- og kommunikasjonsteknologi (IKT) Modifikasjoner av eksisterende installasjoner Kortere gjennomføringstider/ledetider Sluttfaseproduksjon Status for fjernstyring på norsk sokkel Erfaringer med tekniske endringer ifm. fjernstyring på norsk sokkel Framtidige tekniske løsninger Tekniske og sikkerhetsmessige utfordringer Bemannings- og organisasjonsendringer Innledning Organisatoriske endringer generell bakgrunn Bemannings- og organisasjonsendringer Fleksibilitet Lederfunksjoner plattformsjef og arbeidsledere ( supervisors ) Organisatoriske trender offshore Selvstyrte lag og flerferdighet Aldring av mennesker og utstyr Fjerndrift kontrollromsoperatørenens rolle Erfaringer med organisatoriske og operasjonelle endringer på norsk sokkel Endringsprosessen generelt Sikkerhets- og beredskapsvurderinger Kontrollromsfunksjonen (flytting av sentralt kontrollrom - SKR) Drift og vedlikehold Flerfaglige team (faste) Flerfaglige team (mobile) Opplæring/kunnskap og prosedyrer Andre organisatoriske og operasjonelle forhold Beredskapsorganisering Hva kan vi lære fra andre industrier? Organisatoriske og sikkerhetsmessige utfordringer Prosjektstatus og veien videre Status Veien videre...96 Referanser...97 Vedlegg 1 Forkortelser Vedlegg 2 Barrierebegreper...107

5 5 SAMMENDRAG Norsk petroleumsindustri og derigjennom Norsk Hydro står ovenfor store utfordringer i tiden framover. Verdiskapningen vil i økende grad komme fra mindre tilgjengelige og mer marginale felt. Dessuten vil det være viktig å utnytte eksisterende ressurser i best mulig grad. Dette vil kreve utvikling av ny teknologi og kunnskap og vil dessuten medføre et enda sterkere fokus på organisering og kostnadseffektivisering. Stortingsmelding nr. 7 om HMS i petroleumsnæringen, peker på at utviklingen i risikonivået offshore har vært økende de senere år opp til 2001, og at dette blant annet kan tilskrives de omfattende endringer som ble gjennomført på 90-tallet. Det er verdt å merke seg at flere av de endringer det her pekes på må antas å bli ytterligere forsterket i tiden framover. Dette inkluderer blant annet forhold slik som: økt grad av automatisering, herunder fjernstyring; modifikasjoner og omorganiseringer på eksisterende installasjoner, for eksempel i forbindelse med tilknytning av nye felt og sluttfaseproduksjon; økt kompleksitet blant annet i forhold til grensesnittet mellom gammel og ny teknologi og mellom mennesker og teknologi; krav til kortere ledetider; både i leting, utbygging og ifm. modifikasjoner krav til ytterligere reduksjon av driftskostnader og påfølgende nedbemanninger. En hovedutfordring vil derfor være å styre den framtidige utviklingen på en slik måte at sikkerheten på installasjonene opprettholdes og helst forbedres. Dette krever verktøy som kan predikere sammenhengene mellom endringer og deres effekt på risikonivået. Nye styringsverktøy, analysemetoder og tilnærminger må derfor utvikles, og eksisterende metoder må tilpasses og tas i bruk. Det er dessuten viktig å se på de mulighetene som ligger i ny teknologi og ny organisering, for eksempel i forhold til bedre utnyttelse av IKT. I prosjektet Morgendagens HMS-analyser for vurdering av tekniske og organisatoriske endringer har vi som mål å utvikle bedre metodikk for vurdering av de sikkerhetsmessige konsekvensene av tekniske og organisatoriske endringer. Denne rapporten dokumenterer resultatene av det arbeidet som er gjort innenfor prosjektet i Dette har blant annet inkludert: en beskrivelse av aktuelle og tilgjengelige analysemetoder, herunder en gjennomgang av status internasjonalt og nasjonalt en identifikasjon av metoder som anses som spesielt relevante for å kunne analysere effekten av større endringer, samt en beskrivelse av hvilke krav som bør settes til en overordnet analysemetodikk en diskusjon rundt barrierebegrepet og forslag til mulige nedbrytingsmåter for å kunne analysere barrierene nærmere, spesielt knyttet opp mot endringer en beskrivelse av teknologiske trender, herunder utviklingen på norsk sokkel, spesielt i forhold til sluttfaseproduksjon og fjernstyring en beskrivelse av organisatoriske utviklingstrekk, spesielt knyttet til nedbemanning Behovet for nye analysemetoder baserer seg på en erkjennelse av at dagens metoder er utilstrekkelige, og at de ikke dekker alle aspekter som påvirkes av de ulike endringene. Kvantitativ risikoanalyse (QRA) har blitt brukt til å tallfeste endring i risiko i forbindelse med større modifikasjoner. Det er imidlertid en allmenn oppfatning at slike kvantitative analyser i hovedsak dekker tekniske forhold, og i mindre grad fanger opp de menneskelige og

6 6 organisatoriske implikasjonene av endringer. Det er derfor naturlig å inkludere metoder som også dekker disse perspektivene og som dermed, av natur, er mer kvalitative. Vi har identifisert følgende metoder som spesielt aktuelle: Systematisk endringsidentifikasjon; sjekklister og ulike varianter av HAZID/HAZOP Oppgaveanalyse Barriereanalyse Scenarioanalyse - CRIOP Stressfaktoranalyse / Demand Resource Analysis (DRA) Total endringsanalyse (oppsummering) Noen av analysemetodene nevnt ovenfor må omarbeides og videreutvikles. Både oppgaveanalyse og DRA må tilpasses for bruk som endringsanalyseverktøy, og CRIOP-metoden må oppdateres og dernest videreutvikles for i større grad å være egnet til analyse av endringer i driftsfasen. Metodikk for barriereanalyse må etableres mer eller mindre fra scratch, spesielt i forhold til menneskelige og organisatoriske forhold. Vi beskriver i denne rapporten mulige tilnærminger for videre modellering og analyse av barrierer. I det videre arbeidet anses det som viktig at vi kommer i godt inngrep med en plattformorganisasjon hvor større endringer planlegges, samt at vi også får inngrep med prosjektet som har ansvaret for planlegging og gjennomføring av endringene. Hovedfokus for 2003 vil være oppdatering og videreutvikling av CRIOP-metoden, samt utvikling av barriereanalysemetodikk. I tillegg må vi tilpasse metoder for endringsidentifikasjon, oppgaveanalyse (OSD, TTA), stressfaktoranalyse (DRA), og total endringsanalyse (TEA). For alle metodene har vi behov for en iterativ prosess med uttesting og tilpassing/videreutvikling i tilknytning til et case. Arbeidet med CRIOP er definert som en viktig del av et NFR-finansiert prosjekt knyttet til forskningsprogrammet HMS Petroleum. Dette arbeidet vil skje i samarbeid med alle de sentrale aktørene i næringen. Et oppstartsmøte for dette ble avholdt i Bergen.

7 7 1 Innledning 1.1 Bakgrunn Norsk Hydro vil i årene som kommer stå foran store utfordringer når det gjelder utbygging og drift offshore. En av disse utfordringene gjelder sluttfaseproduksjon ved eksisterende installasjoner. Produksjonen og dermed inntektene reduseres i sluttfasen, og for å kunne opprettholde produksjonen lengst mulig både av hensyn til ressursutnyttelsen og til arbeidsplassene, må driften effektiviseres. Dette kan løses gjennom en kombinasjon av tekniske og organisatoriske endringer. Parallelt med disse endringene, må Norsk Hydro på en troverdig måte kunne dokumentere overfor myndighetene, eierne og de ansatte at endringene gjennomføres slik at de også ivaretar en sikkerhetsmessig forsvarlig drift. Til dette har Norsk Hydro behov for å utføre analyser som synliggjør den sikkerhetsmessige betydningen av de tekniske og organisatoriske endringene. Behovet for bedre håndtering av endringsprosesser framgår også av Stortingsmelding nr. 7 (AAD, ), hvor følgende påpekes: Effektene av endringsprosesser er ofte blitt undervurdert i forhold til konsekvensene for arbeidstakerne og virksomheten på kort og lang sikt. Videre hevder man at: Det er imidlertid fortsatt behov for forbedringer av analyseverktøy og indikatorer for måling av endringseffekter til bruk ved gjennomføring av endringsprosesser. Denne utfordringen er i OD-prosjektet Risikonivå på norsk sokkel (Husebø et al., 2001) uttrykt som følger: Petroleumsvirksomheten på norsk sokkel har vært, er, og vil fortsatt være i utvikling. Det er en rekke ulike utviklingstrekk som i større eller mindre grad vil påvirke risikobildet. Det er av stor interesse å fange opp slike trekk i utviklingen, både forretningsmessige, økonomiske, teknologiske, organisatoriske, sosiale og politiske, som kan påvirke sikkerheten på norsk sokkel. Utfordringen ligger i å framskaffe kunnskap og innsikt i de mekanismer som gir sammenhengene mellom de underliggende utviklingstrekk og deres effekt på risiko. SINTEF gjennomførte i 2001 en kartleggingsstudie for Hydro, med fokus på å identifisere områder som krever framtidig forskningsinnsats. Som følge av dette forprosjektet besluttet Norsk Hydro å sette i gang et treårig forskningsprosjekt ( ) i samarbeid med SINTEF og NTNU, hvor målsettingen er å utvikle analysemetodikk som kan underbygge og dokumentere at tekniske, operasjonelle og organisatoriske endringer gjennomføres slik at de ivaretar en sikkerhetsmessig forsvarlig drift. Denne rapporten dokumenterer resultatene i prosjektet for det første året (2002) av dette prosjektet. Prosjektet har tittel Morgendagens HMS-analyser for vurdering av tekniske og organisatoriske endringer, ofte omtalt som kun Morgendagens HMS-analyser.

8 8 1.2 Målsetting Hovedresultatet av prosjektet skal være analysemetodikk som på en troverdig måte kan underbygge og dokumentere at tekniske, operasjonelle og organisatoriske endringer gjennomføres slik at de ivaretar en sikkerhetsmessig forsvarlig drift av installasjonen(-e). Analysemetodikken skal fortrinnsvis kunne anvendes som en integrert del av endringsprosessen, dvs. kunne gi beslutningsunderlag fortløpende og ikke bare benyttes til sluttverifikasjon. For 2002 har aktivitetene i prosjektet vært knyttet til følgende problemstillinger: 1. Endringsanalyser Mange omstillinger for eksempel fjernstyring og bemanningsreduksjoner innebærer tekniske, operasjonelle og organisatoriske endringer. Hvordan kan vi vurdere den sikkerhetsmessige effekten av disse endringene? Hvordan kan vi være sikker på at vi fanger opp alle endringene, og dernest bedømmer effekten av disse korrekt? 2. Ikke-fysiske barrierer Arbeidstillatelsessystemet kan betraktes som en administrativ barriere som skal bidra til at de fysiske barrierene opprettholder sin ytelse. Hvordan kan arbeidstillatelsessystemet forenkles på en installasjon med lav bemanning, samtidig som alle de sikkerhetsmessig viktige funksjonene ivaretas? Kan man differensiere mellom ulike typer jobber, slik at for eksempel rutinejobber behandles enklere? 1 3. Bemanning Regelverket stiller krav til bemanning. Bl.a. sies det i veiledningen til Styringsforskriften at kravet om bemanning og kompetanse innebærer at bemanningen skal være tilstrekkelig til å ivareta blant annet aktivitetstopper, driftsforstyrrelser og fare- og ulykkessituasjoner. Hvordan kan man sikre og dokumentere at man har tilstrekkelig bemanning og kompetanse i alle aktuelle situasjoner under drift av installasjoner i sluttfasen? Den første problemstillingen er hovedproblemstillingen og vil på sikt innbefatte problemstilling 2 og 3 fordi en analyse av komplekse tekniske og organisatoriske endringer vil innbefatte en vurdering av fysiske så vel som ikke-fysiske barrierer (slik 2 i Styringsforskriften (OD, 2001a) krever), samt en vurdering av tilstrekkelig bemanning (jfr. 11 i Styringsforskriften). Alle aktivitetene/problemstillingene ovenfor har innbefattet gjennomgang av eksisterende aktuelle analysemetoder. 1.3 Avgrensing Hovedproblemstillingen er knyttet til større tekniske og organisatoriske endringer. Et spesifikt eksempel på en slik endring er forlenget sluttfaseproduksjon, som krever at driften av den aktuelle installasjon effektiviseres ettersom produksjonen og dermed inntektene reduseres i sluttfasen. 1 Problemstillingen har endret seg underveis fra spesifikk fokus på arbeidstillatelsessystemet til mer generell betraktning av ikke-fysiske barrierer.

9 9 Fjernstyring og nedbemanning 2 er to relevante strategier for å forlenge produksjonen. Ved oppstarten av dette prosjektet (Morgendagens HMS-analyser), i januar 2002, var forlenget sluttfaseproduksjon aktuelt på to av Hydros installasjoner; Oseberg Øst og Brage. Begge disse ble derfor valgt som case for prosjektet. Tidlig i 2002 var planene at man for Oseberg Øst skulle vurdere fjernstyring, altså flytte det sentrale kontrollrommet (SKR) fra installasjonen, mens man for Brage kun utarbeidet planer for en effektivisering av driften uten å flytte SKR. Dette innebærer at man for Brage i hovedsak arbeidet med en organisatorisk endringsprosess, mens man for Oseberg Øst også vurderte en større teknisk endring. Vi har sett på trender og erfaringer med tekniske og organisatoriske endringer, både generelt og i norsk petroleumsvirksomhet. Hovedfokus har imidlertid vært fjernstyring og nedbemanning, hvor vi har beskrevet status på norsk sokkel. Dessuten har vi sett litt på erfaringer fra britisk sokkel (gjennom arbeid i regi av Health and Safety Executive - HSE) og andre industrier internasjonalt. Når det gjelder de sikkerhetsmessige konsekvensene av endringene, har vi i hovedsak avgrenset oss til personellrisiko med hovedfokus på storulykkesrisiko. Vi dekker imidlertid også i noen grad arbeidsmiljø og psykososiale forhold. 1.4 Begreper og definisjoner Fjerndrift ( remote operation ) Prosessering eller behandling av olje, gass, vann, sand, etc. i prosessanlegget på en offshoreinstallasjon kan sjelden observeres og kontrolleres direkte. Man kan trekke slutninger om hvordan prosessen forløper ved å overvåke trykk og temperaturer, og kontroll oppnås indirekte via datamaskiner. HSE (2002) gir to definisjoner eller forklaringer til hva remote operation er: 1) Fjerndrift oppstår når en eller annen form for barrierer befinner seg mellom prosessen som kontrolleres og personen som kontrollerer den. Barrierene overvinnes gjennom indirekte overføring av prosessinformasjon. 2) Fjerndrift defineres ut fra måten personellet oppdaterer sine mentale modeller av prosesssystemet. Bruk av kommunikasjon eller sekundær informasjon fra sensorer eller alarmer for å oppdatere disse modellene er fjerndrift. Det er verdt å merke seg at disse definisjonene, og spesielt den siste, kan tolkes dit hen at en plattform med kontrollrom plassert for eksempel i boligmodulen, egentlig er en form for fjerndrift. Denne definisjonen avviker fra vår normale oppfatning av begrepet, som tilsier at en større fysisk avstand må være tilstede før vi kaller det fjerndrift. (Typisk er at kontrollrommet "flyttes" vekk fra installasjonen.) Sosio-teknisk system Et teknisk system som er slik at mennesker som opererer og vedlikeholder systemet i stor grad påvirker systemets effektivitet betegner vi som et sosio-teknisk system. Teknologiens effektivitet er altså i stor grad avhengig av de menneskene som opererer og vedlikeholder det, og det er et komplekst samspill mellom menneskene og teknologien (HSE, 2002). Fjernstyrte prosessanlegg er eksempler på sosio-tekniske systemer. 2 Nedbemanning gir lett negative assosiasjoner (naturligvis!), men man kan også betrakte dette som opprettholdelse av arbeidsplasser ut over normal levetid når temaet er forlenget sluttfaseproduksjon.

10 10 Systemsikkerhet Anvendelsen av ingeniørmessige og ledelsesmessige prinsipper, kriterier, og teknikker for å optimalisere sikkerheten innenfor rammebetingelsene gitt av operasjonell effektivitet, tid og kostnader gjennom alle faser av systemets levetid (FAA, 2000). Sikkerhet Sikkerhet skal iht. petroleumsloven forstås vidt og omfatter sikkerhet for personell, miljø, økonomiske verdier som innretninger og fartøy representerer, og driftstilgjengelighet (AAD, ). Arbeidsmiljø Helheten av fysiske, kjemiske, biologiske og psykologiske faktorer i en arbeidssituasjon som kan påvirke den ansattes helse og velvære i form av akutt traume eller varig eksponering. Resultatene av varig eksponering kan være positive og negative for de ansattes helse (NORSOK S-002N, 1997). HMS (Helse, Miljø og Sikkerhet) HMS-begrepet omfatter Helse, Ytre miljø, Arbeidsmiljø og Sikkerhet (AAD, ). Risiko Kombinasjon av sannsynlighet for og konsekvensene av skade (NORSOK Z-013, 2001). MERK Risiko kan uttrykkes kvalitativt eller kvantitativt. Sannsynlighet kan uttrykkes som en sannsynlighetsverdi (0-1, dimensjonsløs) eller som en frekvens, med invers av tiden som dimensjon. Definisjonen innebærer at risikoaversjon (dvs. en evaluering av risiko som legger mer vekt på noen ulykkeskonsekvenser enn andre, når man benytter risikoakseptkriterier) ikke bør inkluderes i det kvantitative uttrykket for risiko. Det kan være relevant på kvalitativt grunnlag å ta hensyn til aspekter av risikoaversjon i tilknytning til vurdering av risiko og dens tolererbarhet. Betydningen av definisjonen er videre at opplevd risiko (dvs. subjektivt vurdert risiko gjort av enkeltindivider) ikke bør inkluderes i uttrykket for risiko. Risikoanalyse Bruk av tilgjengelig informasjon for å identifisere farer og estimere risikoen (NORSOK Z-013, 2001). MERK 1 Ordet risikoanalyse brukes om flere typer analyser som alle vurderer årsakene til og konsekvensene av ulykkeshendelser, mht. risiko for personell, miljø og materielle verdier. Eksempler på enkle analyser er SJA, FMEA, PHA, HAZOP, etc. MERK 2 Kvantitative analyser kan være de mest relevante i mange tilfeller, og innebærer en kvantifisering av sannsynligheten og konsekvensene av ulykkeshendelser, på en måte som tillater sammenlikning med kvantitative risikoakseptkriterier. Storulykke Med storulykke menes en ulykke med flere alvorlige personskader eller dødsfall eller en ulykke som setter innretningens integritet i fare (OD, 2001b). Barriere (se forøvrig vedlegg 2 for flere definisjoner) Tiltak som reduserer sannsynligheten for å utløse en fares potensial for skade eller reduserer skadepotensialet (ISO 17776, 2000). MERK Barrierer kan være fysiske (materialer, beskyttelsesutstyr, skjerming, segregering, etc.) eller ikke-fysisk (prosedyrer, inspeksjoner, opplæring, øvelser, etc.)

11 Rapportstruktur Figur 1.1 illustrerer strukturen i rapporten og hva de ulike kapitlene dekker. Samtidig viser figuren hvilken forståelse/kunnskap som er nødvendig for at vi skal kunne utvikle en analysemetodikk som skal bidra til å gi en tilstrekkelig god forståelse av hvorvidt morgendagens situasjon er sikkerhetsmessig forsvarlig. Dagens situasjon/løsning Kapittel 2 Teknisk system Dagens org. Forståelse av dagens situasjon Kapittel 6 Kapittel 7 Tekn. endr. Org. endr. Forståelse av komplekse endringer Kapittel 3 Kapittel 4 Kapittel 5 Analysemetodikk ("Morgendagens HMS-analyser") Forståelse av den sikkerhetsmessige effekten av komplekse endringer Nytt teknisk system Morgendagens org. "Tilstrekkelig" forståelse av morgendagens situasjon til å vurdere om den er sikkerhetsmessig forsvarlig Morgendagens situasjon/løsning Figur 1.1 Innholdet i denne rapporten For å kunne vurdere effekten av endringer, trenger vi en tilstrekkelig detaljert forståelse av dagens situasjon, dvs. både hvordan de tekniske systemene fungerer og hvordan dagens organisering er. Dette er kort kommentert i kapittel 2, men inngrepet med casene (Oseberg Øst og Brage) har vært begrenset i denne fasen av prosjektet. Det vil derfor være behov for bedre inngrep med konkrete case i neste fase av prosjektet. Dernest trenger vi kunnskap om de tekniske og organisatoriske endringene som er aktuelle i tiden framover, hvilke historiske forutsetninger, trender og utfordringer som fører til disse endringene, samt hvilke erfaringer man allerede har gjort seg med denne typen endringer. I kapittel 6 og 7 ser vi på generelle erfaringer fra annen virksomhet internasjonalt, og spesifikke erfaringer fra petroleumsvirksomheten på norsk sokkel. De tekniske og organisatoriske endringene er behandlet hver for seg, i henholdsvis kapittel 6 og 7. Figur 1.1 illustrerer at det er en vekselvirkning mellom tekniske systemer og organiseringen av drift og vedlikehold av systemene. Tekniske endringer kan framtvinge organisatoriske endringer

12 12 og motsatt. Kapittel 6 og 7 må derfor sees i sammenheng. Det vil sjelden være rene tekniske endringer uten behov for organisatoriske endringer, og motsatt. Kunnskap om dagens situasjon og om endringene utgjør på en måte "systemkunnskapen". I tillegg trenger vi metodekunnskap for å kunne spesifisere og utvikle ny metodikk, eventuelt tilpasse eksisterende metoder. Dette behandles i kapittel 3, 4 og 5. I kapittel 3 ser vi på utviklingen og status internasjonalt av kvantitative risikoanalyser, samt på arbeidet med å utvikle en operasjonell risikoanalyse i petroleumsvirksomheten i Norge. I kapittel 4 tar vi for oss noen metoder vi mener vil være sentrale i en framtidig analysemetodikk for komplekse tekniske og organisatoriske endringer. Dette er metoder som dekker ulike innfallsvinkler og perspektiver på sikkerhet. I kapittel 5 fokuserer vi spesielt på barriereanalyse og hvordan barrierer kan håndteres, både fysiske og ikke-fysiske. Et eksempel på en ikke-fysisk barriere som vi kommer inn på er arbeidstillatelsessystemet. Vår behandling av eksisterende metoder og kravspesifikasjon til ny metodikk er ikke endelig. Dette er en iterativ prosess, og arbeidet vil videreføres i neste fase av prosjektet. Kapittel 8 oppsummerer status så langt og inneholder forslag til hva som bør gjøres i neste fase av prosjektet.

13 13 2 Fremgangsmåte og organisering Prosjektet er et treårig forskningsprosjekt ( ) som Norsk Hydro har igangsatt i samarbeid med SINTEF og NTNU, basert på en kartlegging som ble gjennomført som et forprosjekt i 2001 (Øien et al., 2001). Denne kartleggingen baserte seg i stor grad på intervjuer med personer fra Norsk Hydro, OD og SFT. Dagens analysemetoder for vurdering og dokumentering av de sikkerhetsmessige konsekvensene av større tekniske og organisatoriske endringer ble av Hydro (og andre) vurdert som lite tilfredsstillende. Den tekniske totalrisikoanalysen (TRA/QRA) gir et for grovt og unyansert bilde av sikkerheten/risikoen i driftsfasen. For morgendagen har man behov for HMSanalyser som gir en mer helhetlig og dekkende vurdering av de sikkerhetsmessige konsekvensene av endringer i driftsfasen. Dette krever en tilnærming til sikkerhet som dekker ulike perspektiver, ut over en klassisk reduksjonistisk tilnærming som tradisjonelt har blitt ivaretatt av risikoanalytikere og ingeniører. Prosjektgruppen til SINTEF har av denne grunn bestått av både ingeniører/risikoanalytikere og samfunnsvitere med psykologi- og organisasjonskompetanse. NTNU har ivaretatt rollen som faglig ansvarlig, og én student ved NTNU har tatt prosjekt- og diplomoppgave i tilknytning til prosjektet. Prosjektorganiseringen er vist i Figur 2.1. Kompetanseområdene er indikert i parentes. Oppdragsgiver John Monsen Jan A. Pappas Prosjektansvarlig Jostein Sveen (Petroleumsteknologi) Prosjektleder Knut Øien (Metodeutvikling/ risikoanalyser) Faglig ansvarlige Marvin Rausand (RAM-analyser) Lars Bodsberg (HMS/RAM) Prosjektteam Snorre Sklet (Sikkerhetsstyring) Stein Hauge (Risikoanalyser) Stig Ole Johnsen (IKT) Trygve Steiro (Menneske og organisasjon) Geir Guttormsen (Endringsprosesser) Figur 2.1 Prosjektorganisering John Monsen (teknisk sikkerhet, DUN, Bergen) er prosjektansvarlig hos Hydro, og har sammen med Jan Pappas (teknisk sikkerhet, Oslo) representert Hydro i prosjektet.

14 14 Prosjektet er forankret i ledelsen og gjort kjent i Hydro gjennom bl.a. Hydros web-sider og internblad Bulletin. Følgende er sakset fra Bulletin (mars 2002): Nylig inngikk Hydro et treårig prosjektsamarbeid innen sikkerhet og pålitelighet med SINTEF. Vi ønsker å utvikle bedre metoder for å synliggjøre de risikomessige konsekvensene ved tekniske og organisatoriske endringer. Vår virksomhet preges av at tilpasningsevnen er stor, samtidig som hensynet til helse, miljø og sikkerhet skal ivaretas og styrkes. Eivind Reiten, generaldirektør i Norsk Hydro (Bulletin 6. Mars 2002) Figur 2.2 Ledelsesforankring Den faglige tilnærmingen har bl.a. innbefattet en nokså omfattende gjennomgang av eksisterende litteratur og pågående forskning. Spesielt gjelder dette den forskning som har skjedd i regi av HSE, og som har relevans for dette prosjektet. Det er også foretatt en kartlegging av hva som er status på norsk sokkel, med hovedfokus på fjernstyring. I denne forbindelse ble det våren 2002 arrangert et seminar i Bergen med deltakelse fra oljeselskapene (Hydro, Statoil, BP, PPCoN, TotalFinaElf) og OD. I tillegg har vi sett på det arbeid som CORD og IFE-Halden (IFE, 2002) har gjennomført ifm. fjerndrift. Fjerndrift har også vært tema på møter/seminarer/konferanser som vi enten har arrangert selv eller deltatt på (eksempelvis PDS-Forum møtet våren 2002 og Sikkerhetssystemkonferansen høsten 2002). Vi har også som mål å publisere og presentere resultater fra prosjektet i nasjonale og internasjonale konferanser, blant annet som et ledd i kvalitetssikringen/evalueringen av det arbeidet vi utfører. Vi vil bl.a. presentere prosjektet under den europeiske sikkerhets- og pålitelighets-konferansen (ESREL) i 2003 i Nederland, hvor vi har fått akseptert abstract til artikkel. Når det gjelder tilknytningen til konkrete case, har vi hatt flere møter med Oseberg Øst og Brage sluttfaseproduksjonsprosjektene. Oseberg Øst var spesielt interessant som case fordi man her vurderte fjernstyring, men disse planene har ikke fått tilslutning i Hydros ledelse. Det er derfor ingen eksisterende installasjoner i Hydro hvor man for tiden planlegger overgang til fjernstyring. Vi har som nevnt hatt møter med og fått oversendt dokumentasjon fra sluttfaseproduksjonsprosjektene på Oseberg Øst og Brage, men inngrepet og kontakten burde - sett fra vår side - vært tettere og bedre. Vi hadde bl.a. planlagt et besøk på Oseberg Øst, men dette ble skrinlagt fordi ledelsen rett i forkant av besøket besluttet at fjernstyring foreløpig ikke var aktuelt.

15 15 Prosjektteamet i Brage-prosjektet har hatt høy belastning høsten 2002, slik at det også for dette prosjektet (caset) har vært et nokså begrenset inngrep. Intensjonen er imidlertid at vi skal få til et tettere samarbeid fra begynnelsen av neste år (2003). Det er spesielt viktig at vi får testet ut forslag til metodikk tidlig neste år. Prosjektet er også koplet til NFRs forskningsprogram HMS Petroleum (kompetanseprosjekt endring-organisasjon-teknologi ) gjennom en såkalt BIP (brukerstyrt innovasjonsprosjekt). Dette prosjektet ble startet opp i desember 2002, og skal gå ut Penger er bevilget for 2002, med tilsagn om midler også for 2003 og Hovedfokus i BIP en vil være videreutvikling av CRIOP 3 -metoden som er en scenariometode. I tillegg vil resultatene fra Morgendagens HMSanalyser bli formidlet til petroleumsindustrien som helhet. 3 CRIOP Crisis Intervention in Offshore Production

16 16

17 17 3 Risikoanalyser; historikk, status og utvikling 3.1 Status og utvikling innen petroleumvirksomheten i Norge Blant annet som følge av krav i regelverket, har det i forbindelse med større modifikasjoner blitt gjennomført en oppdatering av innretningens totalrisikoanalyse (TRA). En slik oppdatering av risikoanalysen har blitt brukt som verktøy for å vurdere de sikkerhetsmessige konsekvensene av endringene, det være seg tekniske så vel som organisatoriske endringer. En stadig mer utbredt oppfatning i næringen er at dagens TRA først å fremst er en designrisikoanalyse ("DRA"), og at den er lite egnet som underlag for beslutninger i driftsfasen. Risikoanalysen dekker i hovedsak tekniske forhold, og er derfor lite egnet til å vurdere effekten av operasjonelle og organisatoriske endringer. Denne erkjennelsen er ikke av ny dato, men det er først i den senere tid at man har startet et systematisk arbeid for å utarbeide en "operasjonell risikoanalyse" (ORA). Dette arbeidet pågår både i regi av OLF (Acona, 2002; DNV/ScP, 2002) og NFR (Vinnem et al., 2003). Sistnevnte inngår som del av forskningsprogrammet "HMS Petroleum", som ble initiert gjennom Stortingsmelding nr. 7 om helse, miljø og sikkerhet i petroleumsvirksomheten (AAD, ). En allmenn oppfatning er at dagens TRA er for lite detaljert til at den kan fungere som beslutningsunderlag for problemstillinger i driftsfasen. Samtidig behandler ofte analysene designmessige forhold "unødvendig" detaljert i forhold til de behov man har i driftsfasen, da disse forholdene stort sett er "låst". I driftsfasen bør en heller fokusere innsatsen og detaljeringen på de forhold som kan endre seg og som en kan påvirke (dvs. de såkalte "frie variable"). En illustrasjon av maskevidder på DRA i forhold til ORA er vist i Figur 3.1 (basert på Vinnem et al., 2003). DRA (TRA) ORA Figur 3.1 Utvikling av TRA som designanalyse (DRA) til operasjonell analyse (ORA) Figuren kan gi et inntrykk av at "morgendagens" ORA vil bli én stor analyse tilsvarende dagens TRA. Selv om dette fortsatt er et alternativ (som bl.a. benyttes innenfor kjernekraftindustrien), er det mer og mer som tyder på at en ORA ikke vil innbefatte én enkelt metode/modell, men snarere et sett av metoder og modeller. Det er foreløpig også et åpent spørsmål om metodikken skal være kvalitativ, kvantitativ eller semi-kvantitativ.

18 18 Det er heller ikke konkludert med at dagens TRA for visse problemstillinger ikke kan være nyttig også i driftsfasen. DNV/ScP (2002) konkluderer med følgende: "Selvfølgelig vil det avhenge sterkt av endelig format og krav til ORA, men vi ser det som lite sannsynlig at ORA helt vil erstatte behovet for å ha en TRA eller annen kvantitativ risikoanalyse som er oppdatert i forhold til installasjonens aktuelle design og drift. En oppdatert overordnet analyse vil fortsatt være nyttig og nødvendig som en etablert 'base case'." Man har videre vurdert behovene for beslutningsunderlag i driftsfasen relatert til risiko/sikkerhet, og diskutert mulige tilnærminger for å tilfredsstille disse behovene. Vi har gjort en grov sammenstilling av dette i Tabell 3.1, for å synliggjøre hvilke type analyser man ser for seg (og som kan komme til å inngå i en framtidig "ORA"). Tabell 3.1 Behov for beslutningsunderlag i driftsfasen (basert på DNV/ScP, 2002) Behov Mulige tilnærminger 1 Status på barrierer og overordnet risikobilde Utvikle HMS-indikatorer Videreutvikling av designrisikoanalysene (med detaljert modellering av barrierene) 2 Samlet og oversiktlig sikkerhetsinformasjon HMS-resymé (evt. "sikkerhetskart") 3 Behov for å kunne vurdere spesifikke operasjonelle, kortvarige og lokale risikoforhold 4 Behov for støtte i vurdering av når ulike typer analyser skal gjennomføres 5 Behov for støtte i valg av kompenserende tiltak ved bortfall av sikkerhetssystemer 6 Behov for akseptkriterier/beslutningskriterier som kan anvendes i forhold til beslutninger om kortvarige og lokale risikoforhold Analyser for etablering av entydige krav og spesifikke prosedyrer (beslutningsmatriser) Tverrfaglige gjennomganger (SJA) Identifisering av sikkerhetskritiske funksjoner Samlet beskrivelse av analyser og vurderinger ( best practice ) for å unngå tilfeldig valg (HAZOP-type tverrfaglige analyser etterspørres) Godhet av barrierer. (Spesialanalyser/delanalyser) Etablere akseptkriterier for kortvarige og lokale forhold 7 Behov knyttet til underlag for risikobasert vedlikehold Analyser for å risikoklassifisere systemer og utstyr Det er her verdt å merke seg at foruten videreutvikling av TRA, bruk av barriereanalyser, og kvalitative analyser av typen HAZOP og SJA, inkluderes også følgende aspekter som del av ORA: HMS-indikatorer; for å følge utviklingen i risikonivået HMS-resymé; for oversiktlig og samlet sikkerhetsinformasjon I tillegg anses etablering av egnede akseptkriterier for kortvarige og lokale risikoforhold som en forutsetning for å kunne vurdere resultatene fra de risikoanalyser som gjennomføres i driftsfasen. Vi ser altså at det som betraktes å kunne falle inn under "ORA" er nokså mangfoldig. En annen trend innenfor sikkerhetsvurderinger offshore er at man i større grad åpner opp for andre tilnærminger og perspektiver enn tidligere. Eksempler på dette er prosjektet "risikonivå på norsk sokkel" (Husebø et al., 2002), hvor man i tillegg til kvantitative risikoindikatorer benytter seg av

19 19 spørreundersøkelser for å vurdere utviklingen i risikonivået. Et annet eksempel er den fokus Norsk Hydro har på sikkerhetskultur (Lindvig, 2002), og et tredje eksempel (også fra Norsk Hydro) er fokus på samarbeid på tvers av selskap på én og samme installasjon (prosjektet "Smartere sammen", Sveen og Madsen, 2002). Vi har også i dette prosjektet (Morgendagens HMS-analyser) valgt en tilnærming hvor vi er åpne for ulike perspektiver og innfallsvinkler til vurdering av sikkerhet. Ikke først og fremst fordi det er en "trend i tiden", men fordi problemstillingen og da spesielt de organisatoriske aspektene etter vårt syn krever en bred, nyansert og ikke nødvendigvis kvantitativ - tilnærming. Dette vil også lettere kunne skape nødvendig tiltro til og forståelse av resultatene. 3.2 Historikk, status og utvikling internasjonalt Vi vil her se på utviklingen av risikoanalysene internasjonalt i lys av behovet for vurdering av "store organisatoriske endringer og eventuelt tekniske endringers effekt på sikkerheten/risikoen". Sikkerhetsmessige vurderinger av større endringer er lite belyst i faglitteraturen og vi baserer oss derfor i dette kapittelet i stor grad på diskusjoner med sentrale personer under PSAM6 4 - konferansen i juni 2002 ( PSAM6, 2002). Vi har også omtalt forsøk på videreutvikling av risikoanalysene til å inkludere organisatoriske faktorer, noe som er viktig dersom disse analysene skal kunne anvendes for å vurdere betydningen av organisatoriske endringer Kjernekraft Nuclear Regulatory Commisson (NRC), som er tilsynsmyndighet for kjernekraftindustrien i USA, mener at problemstillingen rundt større endringer (tekniske/organisatoriske) er aktuell også for kjernekraftindustrien, spesielt i forhold til nedbemanning (Nathan Siu, NRC). Det er imidlertid fattet et vedtak (direktiv) om ikke å utføre forskning på organisatoriske og ledelsesmessige faktorer (O&M faktorer) i regi av NRC! Det siste arbeidet på dette feltet som ble initiert av NRC, med betegnelsen SOCRATES 5, ble stoppet underveis og det ble aldri laget noen sluttrapport for prosjektet (Gertman et al., 1998). Dette skal visstnok skyldes at ledelsen og eierne av kjernekraftverkene ikke var interessert i at NRC vurderte måten kjernekraftverkene ble drevet på. Hvordan disse ble ledet og organisert var ifølge kjernekraftverkene "et indre anliggende". Politisk press gjorde at NRC måtte stoppe denne typen forskning. Den kvantitative totalrisikoanalysen (TRA/QRA) har sin opprinnelse fra kjernekraftindustrien (her betegnet PRA og PSA 6 ). The Reactor Safety Study (RSS) utført på oppdrag av US Atomic Energy Commission (forløperen til NRC) under ledelse av Professor Norman C. Rasmussen (MIT) i perioden var en milepæl i utviklingen av risikoanalyse-teknikker (USNRC, 4 PSAM Probabilistic Safety Assessment and Management 5 SOCRATES The socio-organizational contribution to risk assessment and the technical evaluation of systems 6 PRA Probabilistic Risk Assessment (betegnelse benyttet i USA, Sør-Afrika, og et par andre steder), PSA Probabilistic Safety Assessment (betegnelse benyttet i resten av verden).

20 ). Man tok utgangspunkt i standard feiltreanalyse (FTA) som var en pålitelighetsmetode utviklet av Bell Laboratories for U.S. Air Force i 1962, ti år før starten av RSS. FTA viste seg imidlertid ikke å være egnet som metode alene, noe som ledet til det rammeverk vi finner i dagens kvantitative risikoanalyser, som er en kombinasjon av FTA og hendelsestreanalyse (HTA/ETA). RSS var offentlig tilgjengelig for kritikk, noe den da også fikk, og som ledet til en uavhengig gransking gjennomført av Risk Assessment Review Group under ledelse av Professor Harold W. Lewis (UCLA), etter forespørsel/krav fra Kongressmann M. K. Udall. Dette ble påbegynt i 1977 og ferdigstilt i 1979 (Lewis et al., 1979). Ytterligere to granskinger tok for seg RSS og PRA etter Tree Mile Island ulykken i 1979; Kemeny (1979) og Rogovin & Frampton (1980). Vi skal ikke komme inn på alle sider av kritikken, men kun nevne at det forholdet som ble sterkest kritisert var mangelfull håndtering av usikkerheten i resultatene, nærmere bestemt ble det hevdet at usikkerheten var underestimert. 7 Her er det verdt å merke seg to ting, som avviker fra utviklingen innenfor offshore TRA/QRA: 1. Eksplisitt beregning av usikkerhet har vært en del av PRA/PSA-metodikken fra første dag 2. PRA/PSA har i liten grad blitt benyttet som designrisikoanalyse, og hovedsaklig blitt benyttet som operasjonell risikoanalyse Fokusering på usikkerheten i resultatene har bidratt til et systematisk arbeid med videreutvikling av PRA/PSA-metodikken for å få ned usikkerheten. Dette har implikasjoner for alle deler av analysen, og har drevet fram videreutviklingen. (I tillegg har nok også kravene til offentlig tilgjengelige analyser medvirket til åpen kritikk, som igjen har ført til krav om forbedring.) Like selvfølgelig som man alltid har inkludert usikkerhet i PRA/PSA, kan man noe spissformulert si at man aldri har inkludert usikkerhet i offshore TRA/QRA! Man har dermed ikke hatt dette som incitament for å forbedre analysene, ei heller åpent tilgjengelige risikoanalyser kun selskapsinterne/fortrolige analyser. Dette kan være én av forklaringene på at man i dag sitter med PSAer som er detaljerte og kan benyttes som underlag for beslutninger i driftsfasen, mens man har TRAer som er grove og stort sett betraktes som en designrisikoanalyse. 8 Dette er satt litt på spissen. Måten man har valgt å håndtere usikkerhet på i offshore TRA/QRA er å operere med konservative (punkt-) estimat, og på denne måten hevde at man legger seg på riktig side av en fordeling eller konfidensintervall. Det er bare det at dette gjennom årene har sklidd over fra å være konservative (punkt-) estimat til såkalte "beste estimat", uten at man har brydd seg om usikkerheten. Fortsatt satt litt på spissen kan det hevdes at det er "knapt noen" innenfor risikoanalysemiljøet offshore som "vil vite av usikkerhet", samtidig som man innenfor bl.a. kjernekraftindustrien anser bruk av "beste estimat" for å tilhøre steinalderen. Sitat: There is no reason to talk about best estimates! You should use uncertainty distributions for the inputs. Now that we have the ability to produce uncertainty distributions; why should we keep using this ancient language?... 7 Det er også verdt å understreke at eksempelvis Lewis et al. på tross av sin kritikk støttet den generelle metodikken, og anbefalte denne for framtidig bruk (Garrick, 1992). Det samme gjorde Kemeny og Rogovin-granskingene. 8 Kirwan (1998) sier følgende: "A distinction must be made between two quantitative sub-paradigms: one that uses detailed modelling, called Probabilistic Safety Assessment (PSA), and one that uses higher level data aggregation, called Quantitative Risk Assessment (QRA). The principal distinction between these two sub-paradigms is that QRA carries out significantly less failure modelling than PSA, and hence requires less resources (arguably with consequently less insight)".

21 21 Unfortunately this is part of a cultural problem. People for whom PSA thinking is relatively new think that this is a big deal, when in fact it is easier to defend an uncertainty distribution than to defend a single point estimate. (Apostolakis, 2001). Denne diskusjonen handler ikke først og fremst om hvordan usikkerhet skal uttrykkes. Det vi forsøker å få fram, er at selv om man videreutvikler TRA til ORA, er man i offshorebransjen skeptisk til om ORA er egnet som underlag for beslutninger i driftsfasen (som diskutert i kap. 3.1). Samtidig er det nettopp som underlag for beslutninger i driftsfasen man anvender PSA i kjernekraftindustrien. Og disse analysene (TRA og PSA) har felles far! Forut for arbeidet med SOCRATES hadde NRC flere initiativ knyttet til å kople organisatoriske og ledelsesmessige forhold til risikoanalysen (PRAen). Dette gjaldt bl.a WPAM (Davoudian et al., 1994a,b), ISM (Wreathall et al., 1992) og ω-faktor-metoden (Mosleh et al., 1997). Denne type forskning ble som tidligere nevnt stoppet ifm. SOCRATES-arbeidet. I likhet med offshore TRA dekker derfor heller ikke PRA/PSA organisatoriske og ledelsesmessige forhold eksplisitt, og en eventuell videreutvikling i denne retning har stoppet opp. Dette er nok bakgrunnen for at Professor Ali Mosleh, University of Maryland, (opphavsmann til ω-faktor-metoden), under diskusjoner om vurderinger av "store organisatoriske og eventuelt tekniske endringers effekt på sikkerheten/risikoen" (dvs. vår problemstilling), mente at dette var vanskelig å kople til PRA, og at analyser av typen oppgaveanalyse ville være en bedre innfallsvinkel. Dette er noe av bakgrunnen for at vi har valgt oppgaveanalyse som én av analysemetodene det er interessant å gå videre med, jfr. diskusjon i kap Romfart Større organisatoriske endringer, for eksempel nedbemanning, er en aktuell problemstilling for NASA for noen av deres missions, fordi bemanningskostnader er en viktig faktor (Michael G. Stamatelatos, NASA). NASA har hatt et nokså anstrengt forhold til probabilistiske risikoanalyser. Fram til brannen under Apollo test AS-204 den 27. januar 1967 hadde NASA stolt på at kvalitetssikring og kvalitetskontroll ble ivaretatt gjennom at kontraktørene anvendte "god ingeniørmessig praksis". Etter denne ulykken, som kostet tre astronauter livet, startet NASA et systematisk arbeid med risikoanalyse-metodikk (Bedford & Cooke, 2001). Dette arbeidet fikk seg imidlertid en knekk etter at General Electric hadde gjennomført en "full numerisk probabilistisk risikoanalyse" av sannsynligheten for en vellykket landing av et menneske på månen. Analysen indikerte at sannsynligheten for suksess var "mindre enn 5%". Historien har vist at dette ikke "holdt stikk", og NASA mistet følgelig troen på probabilistiske risikoanalyser. Det skulle ta mange år før NASA igjen tok opp tråden. En rapport til kongressen etter Challengerulykken konkluderte med at kvalitative metoder som kun identifiserte feil som kunne lede til tap av farkosten (såkalte kritiske enheter) var av begrenset nytteverdi, fordi ikke alle elementene utgjorde en like stor trussel. Uten en måte å identifisere sannsynligheten for feil i de ulike elementene kunne ikke NASA fokusere sin oppmerksomhet og ressurser på en effektiv måte (Garrick, 1989 in Bedford & Cooke, 2001).

22 22 Siden ulykken med romfergen (i 1986) har NASA innført kvantitative risikoanalyse-program for å understøtte sikkerhetsarbeidet under design- og driftsfasene av bemannede romferder. Dette arbeidet nådde sitt høydepunkt med publikasjonen av SAICs "Shuttle Risk Assessment" (Fragola, 1995). NASA igangsatte også arbeid med organisatoriske faktorer i tilknytning til risikoanalysene, og har i motsetning til NRC fortsatt å arbeide med organisatoriske faktorer og den betydning disse har for sikkerheten/risikoen, et arbeid som startet med Elisabeth Páte Cornells analyser av varmebeskyttelsessystemet på romfergen (Páte Cornell & Fischbeck, 1993a,b). Ifølge Nowlan, Forester og Dandini (Sandia National Laboratories 9 ) kjenner de kun til at det er NASA som for tiden gjør noe arbeid innenfor organisatoriske faktorer. Vurderinger av konsekvensene av bemanningsreduksjoner er imidlertid ikke koplet til PRA (Michael G. Stamatelatos, NASA) og som innenfor kjernekraft henviser man til oppgaveanalyser og andre kvalitative tilnærminger som mer hensiktsmessig (Todd Paulos 10, Todd Paulos Inc.) Luftfart En aktuell problemstilling innen luftfarten, som er knyttet til organisering og bemanning, er at 75% av flygelederne ved flygeledersentralene i USA kan gå av med pensjon de neste 5 årene (Geoff McIntyre, FAA 11 ). Selv om det ikke er bemanningsreduksjon direkte det her er snakk om, så vil et raskt påfyll av uerfarne flygeledere kunne ha noe av den samme effekten på sikkerheten. Denne alvorlige situasjonen er ennå ikke blitt nærmere analysert, og FAA er blitt kritisert av National Transportation Safety Board (NTSB) for ikke å ha gjort noe med denne situasjonen tidligere. Så langt vi kjenner til så har man per i dag ingen metoder innen luftfart for å analysere de mulige sikkerhetsmessige konsekvensene av en svært rask utskifting av flygeledere. Innenfor luftfarten har man i motsetning til kjernekraft og romfart ikke benyttet seg av samme type klassiske PRA/PSA. Her har utviklingen gått fra Reliability Engineering til System Safety (McIntyre, 2000). I stedet for å knytte sammen alle mulige ulykkesscenarier og systemsvikt via kombinerte hendelsestreanalyser og feiltreanalyser, så benytter man seg av store feiltreanalyser for hver enkelt alvorlig systemsvikt (eksempelvis totalsvikt i én motor). 12 Selve fareanalysen (hazard analysis), som kan være enten kvalitativ eller kvantitativ, er selve hjertet i systemsikkerhetstilnærmingen (Roland & Moriarty, 1990), men systemsikkerhet er mer enn dette. Det er som for risikobegrepet ulike definisjoner av systemsikkerhet. En definisjon fra FAA er gitt i kap. 1. En alternativ definisjon er gitt av Roland & Moriarty (1990): "Systemsikkerhet er definert som anvendelsen av spesielle teknikker og ledelsesmessige ferdigheter for en systematisk framoverskuende identifikasjon av og kontroll med farer gjennom levetiden til et prosjekt, program eller aktivitet." 9 Utfører oppdragsforskning innenfor flere industrier. 10 Frittstående konsulent som arbeider på oppdrag for bl.a. NASA. 11 FAA Federal Aviation Administration. 12 Det må tas et lite forbehold her, fordi hva de store flyprodusentene faktisk gjør av sikkerhetsanalyser/ risikoanalyser er lite tilgjengelig. Våre antakelser bygger bl.a på diskusjoner med McIntyre, FAA; Nowlan, Forester & Dandini, Sandia National Laboratories; Mosleh, UMCP, og Todd Paulos, Todd Paulos Inc.