Begrenset Fortrolig. T-2 Siv A. Eeg Deltakere i revisjonslaget Harald Thv Olstad, Espen Landro, Bård Johnsen, Odd Thomassen og Siv A.

Transkript

1 Revisjonsrapport Rapport Rapporttittel Tilsynet med design av tekniske barrierer i prosessanlegget på Goliat FPSO Aktivitetsnummer Gradering Offentlig Unntatt offentlighet Begrenset Fortrolig Strengt fortrolig Involverte Hovedgruppe Oppgaveleder T-2 Siv A. Eeg Deltakere i revisjonslaget Dato Harald Thv Olstad, Espen Landro, Bård Johnsen, Odd Thomassen og Siv A. Eeg 1 Innledning Petroleumstilsynet (Ptil) gjennomførte tilsyn med Enis ivaretakelse av tekniske barrierer knyttet til designløsingene for prosessanlegget på Goliat FPSO. Tilsynet ble gjennomført hos Chicago Bridge & Iron (CB&I) i London. 2 Bakgrunn Tilsynsaktiviteten var forankret i Ptils hovedprioritering om teknisk og operasjonell sikkerhet. Tilsynet var spesielt rettet mot etablering og utformingen av utvalgte barrierer og knytningen mot regelverk, standarder, interne krav og risikorelaterte analyser og vurderinger. De utvalgte temaene var: prosessikring, brann og eksplosjonssikring, trykkavlastning og fakkel, åpen drenering og tennkildekontroll. 3 Mål Målet med tilsynet var å vurdere hvordan Eni sikrer ivaretakelse av sikkerhetskritiske barrierer på en helhetlig og konsistent måte samt følge opp at designløsningene på Goliat FPSO møter regelverkets krav og forutsetningene i plan for utbygging og drift. Tilsynet var begrenset til fagområdene prosessikkerhet og teknisk sikkerhet, og hjemlet i krav til tekniske barrierer i styringsforskriften og innretningsforskriften. 4 Resultat Gjennom tilsynet fikk vi belyst utvalgte tema innen prosessikkerhet og teknisk sikkerhet. Prosjektet hadde på dette tidspunktet mye gjenstående arbeid som skulle ferdigstilles i løpet av de neste ukene. Noe arbeid var også utsatt til neste prosjektfase. Det ble identifisert to avvik og syv forbedringspunkter i tilsynet.

2 2 Avvik: 1. Regelverkets krav til to uavhengige sikringsnivåer for beskyttelse av utstyr i prosessanlegget er ikke overholdt for overtrykksbeskyttelsen av innløpet fra havbunnsbrønner til prosessanlegget. 2. Regelverkets krav om robuste og enklest mulige løsninger er ikke overholdt for stigerøret. Forbedringspunkter: 1. Den kvantitative risikoanalysen (QRA en) som er presentert for Ptil er utarbeidet i FEED (Front End Engineering and Design)-fasen, og er på et grovt og overordnet nivå. Når prosjektet nå går inn i en ny fase med detaljprosjektering, vil prosjektet ha behov for mer presise og detaljerte analyser for bestemmelse av designlaster. Det er planlagt at ny revisjon av QRA skal være klar fra konsulent 5.oktober De identifiserte dimensjonerende ulykkeslastene (DAL-spec) er utarbeidet i FEEDfasen, og er på flere områder mangelfull og uklar. Prosjektet behøver en DAL-spec som grunnlag for å prosjektere mot definerte ulykkeslaster. Det er planlagt at ny revisjon av DAL-spec skal være klar fra konsulent 5.oktober Mangelfull synliggjøring av kobling mellom sikkerhetsstrategien og definisjonen av hovedområder og hovedsikkerhetsfunksjoner i QRA. 4. Analyser for å sikre at design av gassutslippssystemet er i henhold til kravet er ikke utført. 5. Designvalg i forhold til kaldt klima er ikke dokumentert. 6. Det ble identifisert enkelte uoverensstemmelser mellom Eni, Hyundai Heavy Industries (HHI) og CB&I sine designkrav dokumenter i prosjektet. 7. Systematisk kartlegging av potensielle tennkilder (elektriske og ikke-elektriske), herunder risikovurderinger og beskyttelsestiltak er ikke utført. Eni hadde lagt godt til rette for tilsynet. Temaene ble belyst på en god og informativ måte. 5 Observasjoner Ptils observasjoner deles generelt i to kategorier: Avvik: Knyttes til de observasjonene hvor vi mener å påvise brudd på regelverket. Knyttes til observasjoner hvor vi ser mangler, men ikke har nok opplysninger til å kunne påvise brudd på regelverket. 5.1 Avvik Overtrykksbeskyttelse av innløp Avvik: Regelverkets krav til to uavhengige sikringsnivåer for beskyttelse av utstyr i prosessanlegget er ikke overholdt for overtrykksbeskyttelsen av innløpet fra havbunnsbrønner til prosessanlegget. Kravet i innretningsforskriften 33 til uavhengighet medfører at begge systemene for overtrykksbeskyttelse hver for seg skal kunne sikre mot overtrykking selv om det andre

3 3 systemet feiler. I den presenterte løsningen kunne det ikke dokumenteres at systemene hver for seg sikret mot overtrykking. PSV kapasiteten var ikke tilstrekkelig for alle overtrykks scenarioer. For utforming av prosessikringssystemet anbefales i veiledningen til innretningsforskriftens 33 standardene ISO eller API RP 14C i kombinasjon med NORSOK P-001. Forskriftens krav til to uavhengige sikringsnivåer gjenspeiles også i disse standardene. ISO gir en oversikt over konvensjonelle løsninger for overtrykksbeskyttelse av de ulike systemene i et prosessanlegg. Prosessløsninger eller overtrykkbeskyttelse som ikke dekkes av standarden er å betrakte som ikke-konvensjonelle. Designløsningen vi fikk presentert var brønnstrøm fra undervannsbrønner som var koblet opp til innretningen med felles rørledning og stigerør. Denne løsningen er å betrakte som ikke-konvensjonell. Ved bruk av ikke-konvensjonelle løsninger må det gjøres analyser for å sikre at overtrykksbeskyttelsen reduserer risikoen for overtrykking til et akseptabelt nivå. Operatøren er ansvarlig for å sette akseptkriterier for overtrykkingsfrekvens for å sikre et akseptabelt risikonivå. Rammeforskriften 18 om dokumentasjon Innretningsforskriften 33 om prosessikringssystem Mekanisk forbindelse før første nødavstengningsventil Avvik: Kravet om robuste og enklest mulige løsninger er ikke overholdt for stigerøret. Det ble presentert at det er et 2 bypass rørarrangement over nødavstengningsventilen (ESV en) på stigerøret. I innretningsforskriften 4 bokstavpunkt c) står det at svikt i en komponent, i et system eller en enkelt feilhandling ikke skal gi uakseptable konsekvenser. For utforming er det i veiledningen til innretningsforskriften 4 henvisninger til flere standarder, blant annet NORSOK S-001. NORSOK S-001 underkapittel sier at det ikke skal være mekaniske forbindelser på røret før stigerørs ESV. Det er vår vurdering at ett 2 rør (bypass arrangementet over ESV en) ikke skal tilkoples stigerøret, da dette øker risikoen for hydrokarbon lekkasje og således kan gi uakseptable konsekvenser. 5.2 Forbedringspunkter Revidering av QRA Analysen som er presentert for Ptil er utarbeidet i FEED-fasen, og er på et grovt og overordnet nivå. Når prosjektet nå går inn i en ny fase med detaljprosjektering, vil prosjektet

4 4 ha behov for mer presise og detaljerte analyser for bestemmelse av designlaster. Det er planlagt at ny revisjon av QRA en skal være klar fra konsulent 5.oktober Mer detaljert CAD (Computer Aided Design)-modell er utviklet siden FEED-fasen. Denne kan gi grunnlag for bedre brann- og eksplosjonsstudier. I nåværende QRA varierer beskrivelsen av antall hovedområder mellom 5 og 9. Det er således et forholdsvis lavt presisjonsnivå i omtalen av sentrale begreper som hovedområder. Styringsforskriften 13 om generelle krav til analyser Styringsforskriften 15 om kvantitative risikoanalyser og beredskapsanalyser Design Accidental Load specification (DAL-spec) DAL-spec er utarbeidet i FEED fasen, og er på flere områder mangelfull og uklar. Prosjektet behøver en DAL-spec som grunnlag for å prosjektere mot definerte ulykkeslaster. Det er planlagt at ny revisjon av DAL-spec skal være klar fra konsulent 5.oktober Det hevdes i DAL-spec side 7 at The given design fire loads shall not be combined. Vi så ikke en begrunnelse for denne påstanden og det er heller ikke definert noen ulykkestilfelle hvor man for eksempel får jet-brann etterfulgt av pølbrann. I kapittel står det: Fire rating shall be in accordance with the safety strategy. Det er naturlig at DAL spec en angir de lastene som sikkerhetsstrategien skal baseres på. (Se også tabell 3.3). Vi har merket oss at det ikke er dimensjonert for noen brannlaster i for eksempel riser area (se tabell 3.3) uten at vi kan finne en begrunnelse. Innretningsforskriften 10 om Laster, lastvirkninger og motstand Sikkerhetsstrategien ( Safety Strategy ) Mangelfull synliggjøring av kobling mellom sikkerhetsstrategien og definisjonen av hovedområder og hovedsikkerhetsfunksjoner i QRA en. Eni fremhevet viktigheten av å videreutvikle Safety Strategy - dokumentet (229A-ENI-S- RA-0001) slik at denne blir oppdatert samt at den beskriver og dokumenterer viktige sikkerhetsmessige beslutninger og føringer gjennom alle prosjektets forskjellige faser Fakkelberegninger Analyser for å sikre at design av gassutslippssystemet er i henhold til kravet er ikke utført.

5 5 I følge krav i innretningsforskriften 34 skal et gassutslippssystem utformes slik at gassutslipp ikke medfører skade på personell eller utstyr. Det er ikke utført spredningsberegninger for kald fakkel og ved ikke-antent fakkel. Varmebelastningsberegninger er heller ikke utført. Vi fikk opplyst at dette vil bli gjort tidlig i neste prosjektfase. Innretningsforskriften 34 om gassutslippssystem Vurderinger i forhold til kaldt klima Designvalg i forhold til kaldt klima er ikke dokumentert. Vi fikk opplyst at designvalg i forhold til kaldt klima var tatt i denne fasen, men ikke dokumentert. I senere faser av prosjektet og med annet personell, kan viktige design betingelser gå tapt. Styringsforskriften 12 om informasjon Designkrav dokumenter Det ble identifisert enkelte uoverensstemmelser mellom Eni, HHI og CB&I sine designkrav dokumenter i prosjektet. Designkrav til anlegg, systemer og utstyr er beskrevet i flere prosjektdokumenter utarbeidet både av Eni, HHI og CB&I. Enhver uoverensstemmelse mellom krav og mellom ansvarsområder (eksempelvis topside/skrog) kan føre til divergerende fortolkninger av designforutsetninger, avvik og endringer som kan påvirke HMS i negativ retning. Eksempel: Uoverensstemmelser mellom krav i Goliat Functional and Design Requirements (3.TR.GOL rev 05, section ), Goliat safety Requirements for Ignition source control (3.TR.GOL v04) samt Ignition Control Philosophy (229A-HHI-S-DF-0008 rev P01). Styringsforskriften 5 om interne krav Tennkildekontroll Kartlegging av potensielle tennkilder (elektriske og ikke-elektriske), herunder risikovurderinger og beskyttelsestiltak. Prosjektet refererer blant annet til standardene EN og EN for tennkildekontroll. Begge disse standardene krever at det gjennomføres en kartlegging av potensielle tennkilder, inklusive beskyttelsestiltak og risikoreduserende tiltak. Standarden EN

6 beskriver en anerkjent kartleggingsmetodikk. Vi kan ikke se at prosjektet så langt har gjennomført en slik systematisk kartlegging. Innretningsforskriften 80 om ATEX Aktivitetsforskriften 43 om klassifisering 6 Andre kommentarer Ikke alt personell kjente til ALARP (As Low As Reasonable Practicable) Registeret som var opprettet i FEED fasen. Vi fikk opplyst at et nytt ALARP Register vil bli utarbeidet i neste fase av prosjektet. Filosofi for oppstart etter dødt-anlegg ( Blackstart Philosophy ) ble etterspurt under tilsynet og det ble uttalt at denne var under utarbeidelse av prosessdisiplinen i prosjektet. Det er viktig at denne filosofien som skal sikre en effektiv og sikkerhetsmessig forsvarlig oppstart, etableres på et tidligst mulig tidspunkt og før detaljerte tekniske og operasjonelle løsninger besluttes. 7 Deltagere fra Petroleumstilsynet Harald Thv Olstad, prosessintegritet Espen Landro, prosessintegritet Bård Johnsen, prosessintegritet Odd Thomassen, prosessintegritet Siv Eeg, prosessintegritet, oppgaveleder 8 Dokumenter Følgende dokumenter ble benyttet under planlegging og gjennomføringen av aktiviteten: QRA of Goliat FPSO_main report- LA-2010-R-036 QRA of Goliat FPSO_App. B - Assumptions and basic documentation- LA-2010-R-036 Safety Strategy- 229A-ENI-S-RA-0001rev03 Goliat Functional and Design Requirements 3.TR.GOL rev 05 Ignition Control Philosophy - 229A-HHI-S-DF-0008 rev P01 ATEX Implementation Plan - 229A-HHI-A-TB-0006 rev P01 Design Accidental Load (DAL) Specification 229A-HHI-S-RA-0032 Goliat Safety Requirements for: 0 - Safety Systems and Barriers - 3.TR.GOL v Containment - 3.TR.GOL v Open drain - 3.TR.GOL v Process safety - 3.TR.GOL v Emergency shut down - 3.TR.GOL v Blow down and flare vent system - 3.TR.GOL v Gas detection - 3.TR.GOL v Ignition source control - 3.TR.GOL v Natural ventilation and HVAC - 3.TR.GOL v Passive fire protection - 3.TR.GOL v03

7 Escape and evacuation - 3.TR.GOL v03 Vedlegg A Oversikt over deltagere fra Eni, HHI og CB&I.