Begrenset Fortrolig. Arne J. Thorsen. Arne J. Thorsen, Semsudin Leto

Transkript

1 Revisjonsrapport Rapport Rapporttittel Aktivitetsnummer Tilsynet med vedlikeholdsstyring på Mongstad Gradering Offentlig Unntatt offentlighet Begrenset Fortrolig Strengt fortrolig Involverte Hovedgruppe T-L Deltakere i revisjonslaget Oppgaveleder Arne J. Thorsen Arne J. Thorsen, Semsudin Leto Dato 1 Innledning Petroleumstilsynet (Ptil) førte i perioden tilsyn med styring av vedlikehold på Statoil Mongstad. Tilsynet ble gjennomført som presentasjoner, intervjuer og verifikasjoner på Mongstad. Tilsynet ble gjennomført i samarbeid med Klima- og forurensningsdirektoratet (Klif). Klif leverer egen rapport. 2 Bakgrunn Ptil skal legge premisser for og følge opp at aktørene i petroleumsvirksomheten holder et høyt nivå for helse, miljø og sikkerhet og gjennom dette bidra til å skape størst mulig verdier for samfunnet. Oppfølgingen skal være systemorientert og risikobasert og komme i tillegg til næringens egen oppfølging. Stortingsmelding nr. 7 ( ) om helse, miljø og sikkerhet i petroleumsvirksomheten kapittel sier blant annet følgende om styring av vedlikehold: Myndighetene mener det er nødvendig å videreutvikle styringsmodeller for drift og vedlikehold i samarbeid med næringen, for å sikre et felles løft for å styrke kvaliteten av vedlikeholdet i petroleumsvirksomheten gjennom blant annet videreutvikling av metoder og teknologier, kompetanseheving og forskning. Stortingsmelding nr. 12 ( ) om helse, miljø og sikkerhet i petroleumsvirksomheten påpeker i kapittel 5.4 at mangelfullt vedlikehold kan øke risikoen for storulykker, skader og uhell. Meldingen refererer til en omfattende gjennomgang av tilsynsrapporter som viser flere avvik fra regelverket, blant annet mangler ved prioriteringen av vedlikehold, vurdering av kritiske forhold, oppfølging av midlertidig utstyr, utilfredsstillende dokumentasjon og utestående vedlikehold av sikkerhetskritisk utstyr. I noen tilfeller var heller ikke kompetansen i vedlikeholdsstyring tilstrekkelig.

2 2 Tilsynsaktiviteten ble gjennomført med grunnlag i forskrift om helse, miljø og sikkerhet i petroleumsvirksomheten og enkelte landanlegg (rammeforskriften), forskrift om styring og opplysningsplikt i petroleumsvirksomheten og på enkelte landanlegg (styringsforskriften) og forskrift om tekniske og operasjonelle forhold på landanlegg i petroleumsvirksomheten med mer (teknisk og operasjonell forskrift). Gjeldende krav til vedlikeholdsstyring er særlig gitt i teknisk og operasjonell forskrift 55 om planlegging, 57 om overvåking og kontroll, 58 om vedlikehold og 59 om klassifisering og styringsforskriften kapitler II-VI. 3 Mål Målet var å føre tilsyn med at regelverket blir oppfylt, at innretninger eller deler av disse holdes ved like slik at de er i stand til å utføre sine tiltenkte funksjoner i alle faser av levetiden Tilsynet ønsket å få klarlagt kombinasjonen av de tekniske, administrative og styremessige tiltakene som sikrer dette, og omfattet områder som status med hensyn til forebyggende og korrigerende vedlikehold (FV og KV), deriblant etterslep og utestående vedlikehold konsekvensvurdering av etterslep og utestående vedlikehold, enkeltvis og samlet, metode for prioritering av etterslep og utestående vedlikehold, handling basert på konsekvensvurderingene 4 Resultat Resultatene bygger på presentasjoner av elementer i Statoils styringssystem og samtaler med utvalgt personell, vedlikeholdsledere og ansvarlige for vedlikehold i IOS og lokal prosessleder for vedlikehold. I tillegg ble det gjort verifikasjoner. Tilsynet avdekket mangelfull oppfylling av regelverkskrav til vedlikeholdsstyring. Det er fem observasjoner som er karakterisert som avvik, og de er gruppert under følgende hovedområder: måleparametere og indikatorer oppfølging av systemer og utstyr klassifisering av systemer og utstyr vedlikeholdsprogram avviksbehandling Slik vedlikeholdsstyringen framstår, er det vanskelig å danne seg et bilde av risiko som beslutningsunderlag for vedlikeholdsformål, hvor stort vedlikeholdsbehovet er og hvor mye ressurser det krever.

3 3 5 Observasjoner Ptils observasjoner deles generelt i to kategorier: Knyttes til de observasjonene hvor vi mener å påvise brudd på regelverket. Forbedringspunkt: Knyttes til observasjoner hvor vi ser mangler, men ikke har nok opplysninger til å kunne påvise brudd på regelverket. 5.1 Avvik Måleparametere og indikatorer Mangelfulle måleparametere for å overvåke forhold som er av betydning for vedlikeholdet (helse, miljø og sikkerhet), deriblant måloppnåelse. Det fremgår av regelverket at den ansvarlige skal etablere måleparametere for å overvåke forhold som er av betydning for helse, miljø og sikkerhet, deriblant graden av måloppnåelse, jf. styringsforskriften 7 om mål og strategier og 8 om interne krav. Disse måleparameterne og indikatorene skal brukes i arbeidet med overvåking og vurdering av risikonivået. Statoils krav til prioritering av vedlikeholdet er beskrevet i Statoils APOS R110A prosesskrav. Kriterier for prioritering er: konsekvensvurdering av funksjonsfeil (klassifisering av systemer og utstyr) feilgradering ( Failure Impact ), U-Uvel, S-Syk, D-Død redundans operasjonelle forhold Tilsynet viste at Statoil rapporterer utestående arbeidsmasse kun for utvalgt sikkerhetskritisk utstyr med høy feilgradering, dvs. D-død, og bruker det som en indikator (KPI) for måloppnåelse, jf. styringsverktøyet MiS. Utvalgt sikkerhetskritisk utstyr med høy feilgradering utgjør en forholdsvis liten del av det totale vedlikeholdet. Det er vår vurdering at en KPI for sikkerhetskritisk utstyr med høy feilgradering alene vil gi et mangelfullt bilde av og status for Statoils vedlikeholdsstyring. Verifiseringen viste en stor utestående arbeidsmasse, spesielt innenfor uprioriterte og lavprioriterte arbeidsordrer (AO), som ikke er utført innen planlagt utførelsesdato. På tidspunktet for tilsynet var totalt utestående arbeid timer som var ferdig planlagt med tidsestimat. Kun ca 50 % av AO var ferdigestimert på tidspunktet for tilsynet. Totalt antall timer er mye større, men alt er ikke tidsestimert. For arbeidsordrer med laveste prioritet (U), lav og medium kan tidsfrister skyves på av planlegger eller andre med fullmakt, uten at en trenger formell avvikshåndtering (DISP). Statoil kunne ikke redegjøre for hvordan mengden (total) utestående arbeid systematisk overvåkes og følges opp med tanke på risikovurdering, prioritering og styring av ressurser.

4 4 Styringsforskriften 10 om måleparametere og indikatorer Teknisk og operasjonell forskrift 57 om overvåking og kontroll Oppfølging av systemer og utstyr Mangelfull oppfølging av sikkerhetskritisk og utvalgt sikkerhetskritisk utstyr som er gitt lav feilgradering. Dette gjelder også lavgradert ikke sikkerhetskritisk utstyr som har medium og høy konsekvensklassifisering. Det fremgår av regelverket at feilmodi som utgjør en helse-, miljø- eller sikkerhetsrisiko, jf. (konsekvens) klassifiseringen av systemer og utstyr, skal forebygges systematisk ved hjelp av et vedlikeholdsprogram. I programmet skal det inngå aktiviteter for overvåking av ytelse og teknisk tilstand, som sikrer at feilmodi som er under utvikling eller har inntrådt, blir identifisert og korrigert. Programmet skal også inneholde aktiviteter for overvåking og kontroll av feilmekanismer som kan føre til slike feilmodi. Tilsynet viste at Statoil i stor grad vektlegger utstyr som er definert som utvalgt sikkerhetskritisk og har fått høy prioritet for utførelse av vedlikehold/arbeidsordre. Dette utgjør imidlertid en svært liten del av totalen. Verifiseringen viste at en god del sikkerhetskritisk og utvalgt sikkerhetskritisk utstyr har fått lav prioritet for utførelse av arbeidsordre som følge av laveste feilgradering, dvs. U-Uvel. Sikkerhetskritisk og utvalgt sikkerhetskritisk utstyr som er feilgradert som U-Uvel, havner i laveste prioritet (uprioritert). Gjennomgangen/verifiseringen av historikk viste en stor mengde uprioriterte arbeidsordrer. Etter vår vurdering har ikke Statoil et system for å sikre at uprioriterte og lavt prioriterte arbeidsordrer (særlig for utstyr som har høy konsekvensklassifisering) blir gjennomgått for å vurdere eventuelle endringer i feilgradering basert på feilmekanisme under utvikling. Sikkerhetskritisk utstyr med feil som er lagt som uprioriterte og lavt prioriterte jobber, kan utgjøre en sikkerhetsrisiko hvis feilene får utvikle seg uten å bli fanget opp. For arbeidsordre med lav prioritering gjøres det heller ingen formell avviksbehandling når man skyver på utførelsesdato, selv om dette gjelder sikkerhetskritisk utstyr. Verifiseringen viste videre at Statoil har en stor utestående arbeidsmasse for ikke sikkerhetskritisk utstyr, spesielt innenfor uprioriterte og lavt prioriterte arbeidsordrer. Kategorien ikke sikkerhetskritisk omfatter også utstyr med høy og med medium konsekvenskategori (klassifisering), fordi feilgraderingen overstyrer klassifiseringen med hensyn til prioritering av arbeidsorder. Denne typen utstyr kan således også utgjøre en sikkerhetsrisiko hvis potensielle feil utvikler seg uten å bli fanget opp.

5 5 Styringsforskriften 10 om måleparametere og indikatorer og 12 om planlegging Teknisk og operasjonell forskrift 56 om vedlikehold og 55 om planlegging Klassifisering av systemer og utstyr Klassifisering av systemer og utstyr mangler eller er mangelfull. Det fremkommer av regelverket at innretningers systemer og utstyr skal klassifiseres med hensyn til konsekvensene for helse, miljø og sikkerhet av potensielle funksjonsfeil. For funksjonsfeil som kan føre til alvorlige konsekvenser, skal den ansvarlige identifisere de ulike feilmodiene med tilhørende feilårsaker og feilmekanismer, og anslå feilsannsynligheten for den enkelte feilmodusen. Verifiseringen viste: Av totalregistrerte ca tag var 3526 uten klassifiseringen. PSVer Ved verifikasjon av totalt 2885 PSVer var: 2130 PSVer registrert som sikkerhetskritiske (høy konsekvensklasse med redundans A) 203 PSVer registrert som sikkerhetskritiske (høy konsekvensklasse med redundans B) 457 PSVer registrert som medium sikkerhetskritiske (medium konsekvensklasse med redundans A) 6 PSVer registrert uten klassifisering 1 PSV registrert som to be decided Gassdetektorer Verifiseringen viste: Av totalregistrerte 1390 gassdetektorer var alle klassifisert. Røykdetektorer Av totalregistrerte 1945 røykdetektorer var en stk. uten klassifiseringen. Av totalregistrerte 1945 røykdetektorer var 483 stk. uten vedlikeholdsprogram. PA alarm (XI-tag) Av totalregistrerte 333 tag var: 327 sikkerhetskritiske (høy konsekvensklasse med redundans A) 3 stk. medium kritiske (medium konsekvensklasse med redundans A) 2 stk. uten klassifisering Z 1 stk. uten klassifisering to be decided Flammesperre Av de totalregistrerte 216 tag var: 125 stk. sikkerhetskritiske (høy konsekvensklasse med redundans A) 63 stk. medium kritiske (medium konsekvensklasse med redundans A)

6 6 1 stk. lav kritisk (lav konsekvensklasse med redundans A) Brannspjeld Av de totalregistrerte 82 stk. var: 22 stk. sikkerhetskritiske (høy konsekvensklasse med redundans A) 33 stk. medium kritiske (medium konsekvensklasse med redundans A) 9 stk. medium kritiske (medium konsekvensklasse med redundans B) 8 stk. sikkerhetskritiske (høy konsekvensklasse med redundans B) Av de totalregistrerte 82 stk. var 66 stk. definert som barriere Av de totalregistrerte 82 stk. var 14 stk. ikke i vedlikeholdsprogram. Teknisk og operasjonell forskrift 59 om klassifisering Vedlikeholdsprogram Vedlikeholdsprogram mangler eller er mangelfullt. Det fremkommer av regelverket at klassifiseringen skal legges til grunn ved valg av vedlikeholdsaktiviteter og vedlikeholdsfrekvens, ved prioritering av ulike vedlikeholdsaktiviteter og ved vurdering av reservedelsbehov. Feilmodi som utgjør en helse-, miljø- eller sikkerhetsrisiko, skal forebygges systematisk ved hjelp av et vedlikeholdsprogram. Det fremkommer videre at med vedlikehold menes kombinasjonen av alle tekniske, administrative og styremessige tiltak som i løpet av levetiden til en enhet har til hensikt å holde enheten i eller føre den tilbake til en tilstand der den kan oppfylle sine tiltenkte funksjoner. Verifisering ved hjelp av stikkprøver avdekket sikkerhetskritisk utstyr som manglet vedlikeholdsprogram. Dette var utstyr i kategoriene: Verifiseringen viste: Av totalregistrerte ca tag var 3526 uten klassifiseringen. Av totalregistrerte 2885 PSVer var 134 stk. uten vedlikeholdsprogram. Av totalregistrerte 1390 gassdetektorer var alle klassifisert Av totalregistrerte 1390 gassdetektorer var kun en detektor ikke i vedlikeholdsprogram ATG3688. Av totalregistrerte 1945 røykdetektorer var en stk. uten klassifiseringen. Av totalregistrerte 1945 røykdetektorer var 483 stk. uten vedlikeholdsprogram. Av de totalregistrerte 333 tag (PA-alarm (XI-tag)) var 90 stk. uten FV program. Av de totalregistrerte 216 tag (flammesperre) var 56 stk. uten vedlikeholdsprogram Av de totalregistrerte 82 stk. brannspjeld var 14 stk. ikke i vedlikeholdsprogram.

7 7 Teknisk og operasjonell forskrift 58 om vedlikehold og 59 om klassifisering Avviksbehandling Det ble ikke gjennomført avviksbehandling av AO som får endret sluttdato eller endret prioritet. Den ansvarlige skal registrere og følge opp avvik fra krav i helse-, miljø- og sikkerhetslovgivningen, deriblant avvik fra interne krav som er av betydning for å oppfylle krav i helse-, miljø- og sikkerhetslovgivningen. Det skal tas stilling til avvikenes betydning for helse, miljø og sikkerhet enkeltvis og i forhold til andre avvik. Verifiseringen viste at det ikke ble gjennomført avviksbehandling av de AO som får endret sluttdato eller endret prioritet. SAP har et felt for å beskrive begrunnelse av endringer (action log). Dette feltet var heller ikke i bruk for de tilfellene som ble undersøkt. Styringsforskriften 22 om avviksbehandling 6 Andre kommentarer Egen oppfølging Monitoreringsplanen for Mongstad for 2010 og 2011 hadde ingen planlagte revisjoner for vedlikeholdsstyring. 7 Deltagere fra Petroleumstilsynet Semsudin Leto vedlikeholdsstyring Arne J. Thorsen prosess og mekanisk, oppgaveleder 8 Dokumenter Følgende dokumenter ble benyttet under planlegging og gjennomføringen av aktiviteten: Organisasjon, ledelse og kontroll, OMC04, ver 2, gyldig fra o OMC04 app. A Fullmaktsmatrise, ver 1.02, gyldig fra o OMC04 app. B Rollebeskrivelse, ver 2.01, gyldig fra Integrity and operational services (MPR PM ISO) Organisation, management and control, OMC04, ver 3, gyldig fra o OMC04 app. B Roller, oppgaver og ansvar, ver 1.01, gyldig fra Organisasjonskart diverse utskrifter fra SAP, APOS, MiS, TIMP Vedlegg A Oversikt over intervjuet personell.