Revisjonsrapport Rapport Rapporttittel Tilsynet med barrierestyring, teknisk sikkerhet og elektro på Oseberg Sør Aktivitetsnummer 001079006 Gradering Offentlig Unntatt offentlighet Begrenset Fortrolig Strengt fortrolig Involverte Hovedgruppe T1 Deltakere i revisjonslaget Harald Thv. Olstad, Liv Ranveig Nilsen Rundell, Eivind Sande, Asbjørn Ueland Oppgaveleder Odd Tjelta Dato 25.10.2013 1 Innledning Petroleumstilsynet (Ptil) gjennomførte i perioden 28.8. 30.8.2013 tilsyn med Oseberg Sørinnretningen. I tillegg ble det gjennomført et møte med driftsorganisasjonen og anleggsintegritet i Bergen den 26.8.2013 og et videomøte den 17.9.2013 angående begrensinger ved overbroing eller utkobling av detektorer og oppgradering av brannvannsystemet. Tilsynsaktiviteten var forankret i Ptils hovedprioritering om tekniske, operasjonelle og organisatoriske barrierer. 2 Bakgrunn Oseberg Sør er et oljefelt rett sør for Oseberg i den nordlige delen av Nordsjøen. Feltet er bygd ut med en integrert bore- og boliginnretning i stål med førstestegseparasjon av olje og gass. Oseberg Sør ble satt i produksjon i 2000, undervannsproduksjonen fra J-strukturen startet i 2006 og Stjernestrukturen startet opp i mars i år. Samtykke til å ta i bruk Stjernestrukturen ble tidligere dette året fulgt opp av Ptil med møter knyttet til arbeidet med risikoog barrierestyring. Tilsynsaktiviteten er knyttet til Ptils hovedprioritering for 2013 - barrierer. Denne hovedprioriteringen har som formål å sikre at barrierer ivaretas på en helhetlig og konsistent måte slik at risiko for storulykker reduseres så langt som mulig. Tilsynsaktiviteten må ses i sammenheng med en annen aktivitet mot Statoil - barrierestyring i Statoil (aktivitet 001000141). 3 Mål Ptil skal legge premisser for og følge opp at aktørene i petroleumsvirksomheten holder et høyt nivå for helse, miljø, sikkerhet og beredskap, og gjennom dette også bidra til å skape størst mulig verdier for samfunnet. Målet med aktiviteten var å verifisere at Statoil sin styring og oppfølging av teknisk sikkerhet og elektro er i henhold til selskapets og myndighetenes krav slik at sannsynligheten for feil reduseres.
2 Tilsynet fulgte opp: Bruk av verktøy/systemer for reduksjon av risiko Oppfølging av feildata for barriereelementer identifisert i RNNP Aktiviteter basert på informasjon i samtykket til å ta i bruk Stjernestrukturen 4 Resultat Tilsynet ble gjennomført som planlagt, og i henhold til vårt varselbrev av 24.6.2013. Tilsynet var godt tilrettelagt og både presentasjoner og intervjuene viste stor grad av åpenhet. Ptil fikk gjennom presentasjoner på landmøtet, intervjuer og verifisering offshore, status på tekniske barriereelementer (sikkerhetssystemer) og hvordan disse ble fulgt opp i drift. Inntrykket er at det på Oseberg Sør er et forbedringspotensial med hensyn til oppfølging av barrierer som har svekkelse i drift. Eksempel på dette er brannvannsystemet og brann- og gassdeteksjonssystemet. Tilsynet viste at det vil være nyttig for innretningen å få ferdigstilt brann- og eksplosjonsstrategien sammen med krav til ytelse på områdenivå. Vi identifiserte fire avvik under tilsynet knyttet til: Drivenhet for brannpumper Strategier og prinsipper for utforming og bruk av barrierer Brann og gassdeteksjon Rømningsveier fra rom for høyspenningsinstallasjoner Det ble identifisert to forbedringspunkt: Designulykkeslaster for brann og eksplosjon Risikoanalyser - bruk av områderisikokart 5 Observasjoner Ptils observasjoner deles generelt i to kategorier: Avvik: Knyttes til de observasjonene hvor vi mener å påvise brudd på regelverket. Forbedringspunkt: Knyttes til observasjoner hvor vi ser mangler, men ikke har nok opplysninger til å kunne påvise brudd på regelverket. 5.1 Avvik 5.1.1 Drivenhet for brannpumper Avvik: Drivenheten for brannpumpene kan ikke levere tilstrekkelig krafttilførsel i nødvendig tid. I presentasjon 26.8.2013 ble det informert at drivenheten for den kombinerte nødgenerator og brannpumpe kun hadde driftstid på 5 timer etter at NAS 0 er aktivisert. Avviket ble avdekket ifm nødavstengningstest (NAS test) 8.9.2011. Det ble søkt om internt avvik (DISP nr. 98130) til 31.12.2012. Dette er nå forlenget til 31.12.2013. Vi ble den
3 26.8.2013 informert om at dette skulle utbedres høsten 2014. I videomøtet den 17.9.2013 ble vi informert om at planene var endret og at utbedringen skulle gjennomføres 1. kvartal 2014. Innretningsforskriften 38 om nødkraft og nødbelysning, jf. innretningsforskriften 82(2) om ikrafttredelse jf. forskrift om sikkerhets- og kommunikasjonssystemer i petroleumsvirksomheten 24 om nødkraftsystemer. 5.1.2 Strategier og prinsipper for utforming og bruk av barrierer Avvik: Det er ikke etablert egne innretningspesifikke overordnede strategier og prinsipper for utforming, bruk og vedlikehold av barrierer basert på risiko- og farevurderinger for Oseberg Sør. I møtet 26.8.2013 ble det informert om at det ikke eksisterer en overordnet barrierestrategi, men deler er spredt i flere dokumenter. Det ble opplyst at i Statoils sentrale fagmiljø foregår det aktiviteter for å utvikle mal og metode for anleggsspesifikke sikkerhetsstrategier og ytelsesstandarder. Innretningsspesifikke krav til ytelse er ikke utarbeidet. TR1055 beskriver krav til ytelse, men siden Oseberg Sør er et eldre anlegg (før krav ble beskrevet i TR1055) kan de avvike fra krav i TR1055. Dette dokumenteres med en ALARP prosess som ligger samlet på "Team Site" til Oseberg Sør. Med referanse til Statoil presentasjon i forbindelse med oppstart Stjerne /8/ så ble det informert om at: "Stjerne inkluderes i ny brann og eksplosjonsstrategi (FES) for Oseberg Sør. Denne er under oppdatering nå". Vi er blitt informert om at det fortsatt jobbes med oppdatering av dokumentet. I befaring på Oseberg Sør ble det observert mange isolasjonsjakker på ventiler i prosessområdet og det ble informert om at disse skulle skiftes ut. Det ble observert hull i ytterkappen på enkelte isolasjonsjakker som var tatt av for å males under jakkene. I befaring i elektriske tavlerom ble det observert at: - Dør C21-0219 manglet merking av brannklasse - En branndør i nødtavlerommet lukket ikke helt I brønnområdet ble det observert at det var forskjellig brannbeskyttelse av "Stjernestigerøret" og de eldre stigerørene som var installert tidligere. De aktive systemer ble verifiserte med hensyn til valg av slokkeutstyr: På lukedekk (katedral) var det plassert tanker med metanol og diesel. Av brannslokkeløsninger var det kun installert to monitorer. Vi observerte langs rømningsvei mellom lukedekket og boligkvarter, i sikkert område, at det var lagret brennbart materiale (maling og trepaller) uten fast slokkeutstyr. Styringsforskriften 5 om barrierer 5.1.3 Brann og gassdeteksjon
4 Avvik: Det er ikke fastsatt på forhånd de tiltak og begrensinger som er nødvendige ved overbroinger eller utkobling av detektorer i brann og gassdeteksjonssystemet. I dokument /7/ er det beskrevet om brann og gassdeteksjonen: "Antall detektorer er minimum av hva som er nødvendig for å oppfylle krav og opprettholde et forsvarlig sikkerhetsnivå. Dersom detektorer svikter eller overbroes er det derfor nødvendig med kompenserende tiltak for å holde samme sikkerhetsnivå. Ettersom det ikke er lagt inn ekstra detektorer for å ta høyde for broing anbefales det å legge broede detektorer i et område inn som alarmer slik at evt. automatiske aksjoner iverksettes ved aktivering av kun en detektor i samme område." I samtaler ble det gitt eksempel på at anbefalingen var fulgt, men bekreftet at det ikke er etablert praksis på innretningen i dag. I møtet 17.9.2013 ble det beskrevet hvordan saksbehandling av svikt /overbroing håndteres med oppfølging i arbeidstillatelsessystemet. Ved svikt over lengre tid vil unntaksbehandling vurderes. Det er ikke etablert praksis å fastsette på forhånd de tiltak og begrensinger som er nødvendige ved overbroinger. Aktivitetsforskriften 26 om sikkerhetssystemer 5.1.4 Rømningsveier fra rom for høyspenningsinstallasjoner Avvik: Det er mangelfull anordning for åpning av utgangsdører i rom for høyspenningsinstallasjoner. Utgangsdørene i rom for høyspenningsinstallasjoner hvor det kan oppholde seg personer, er ikke forsynt med anordning slik at de kan åpnes innenfra ved hjelp av kne, albue eller annen kroppsdel, også av en person som kryper eller åler. Eksempelvis observerte vi at utgangsdører fra høyspenningsrom på Oseberg Sør var utstyrt med panikkbeslag, men disse kunne ikke betjenes fra gulvnivå. Innretningsforskriften 47 om elektriske anlegg, jf. innretningsforskriften 82(2) om ikrafttredelse jf. forskrift om elektriske anlegg i petroleumsvirksomheten 14, jf. forskrift om elektriske forsyningsanlegg (FEF 4.7) om bygninger, herunder utganger fra rom for høyspenningsinstallasjoner. 5.2 Forbedringspunkter 5.2.1 Designulykkeslaster for brann og eksplosjon Forbedringspotensial:
5 Det kan ikke dokumenteres at Oseberg Sør er designet til å motstå eksplosjonslaster fra det største gassegmentet på innretningen. I dokument /9/ er det beskrevet "dimensioning accidental load" (DAL) laster som innretningen er designet for. DAL lastene for utstyr og konstruksjoner er etablert med en probabilistisk metodikk (10-4 kriteriet). Statoil ble i møtet 26.8.2013 bedt om å redegjøre for hvilke laster (brann og eksplosjon) som ville kunne opptre fra det største væske- og gassegmentet på innretningen. Det fremkom da at nødavstengingsventiler og brannvegger ikke er dimensjonert til å motstå disse lastene. I dokument /14/ og /15/ oversendt etter tilsynet, ble det redegjort for laster og konsekvenser av brannlaster på brannvegger og nødavstengingsventiler. Det ble konkludert med at brann fra det største væskesegmentet ikke ville medføre problemer for evakuering eller føre til noe alvorlig miljøutslipp. I dokument /15/ er det vist til at risikoanalysen ikke direkte har vurdert lastene fra eksplosjoner for hvert segment. Statoil informerer om at det vil ta noe tid å gå gjennom risikoanalysene for å avklare dette. Styringsforskriften 16 om generelle krav til analyser og 17 om risikoanalyser og beredskapsanalyser. 5.2.2 Risikoanalyser - bruk av områderisikokart Forbedringspotensial: Manglende utarbeidelse og informasjon om områderisikokart. Områderisikokart for innretningen var ikke utarbeidet og de vi hadde samtaler med offshore var ikke kjent med slike systemer. Vi er kjent med at slike områderisikokart finnes på en rekke innretninger, men bruken av slike systemer er ikke erfaringsoverført til Oseberg Sør. Vi er kjent med at risikoanalysen er i ferd med å bli oppdatert etter oppstart av Stjerne. Det ble i oppsummeringsmøtet 30.8.2013 opplyst at områderisikokart skulle utarbeides i forbindelse med denne oppdateringen. I Statoildokumentet GL 0282 "Guidelines for risk and emergency preparedness analysis" er det beskrevet at presentasjon av resultatene fra totalrisikoanalysen kan gjøres gjennom områderisikokart. I Annex til App E i GL 0282 er det beskrevet at "the objective of the area risk charts is to provide operations and maintenance personnel with information needed in order to plan and perform work in a safe manner". Krav Styringsforskriften 15 om informasjon og 16 om generelle krav til analyser.
6 6 Deltagere fra Petroleumstilsynet Harald Thv Olstad, fagområde prosessintegritet (landmøtet 26.8.2013) Liv Ranveig Nilsen Rundell, fagområde prosessintegritet Eivind Sande, fagområde prosessintegritet Odd Tjelta, fagområde prosessintegritet (oppgaveleder) Asbjørn Ueland, prosessintegritet (deltok i møtet 17.9.2013) 7 Dokumenter Følgende dokumenter ble benyttet under planlegging og gjennomføringen av aktiviteten: 1. Organisasjonskart Oseberg Sør, operasjonsgruppe, anleggsintegritet og offshore 2. Organisasjon, ledelse og styring (OMC dokumenter) 3. Teknisk Sikkerhetstilstand (TST) Oseberg S, rapport nr 2006-2034 4. Statoils presentasjoner fra åpningsmøtet på Sandsli 26.8.2013 5. Statoils presentasjon på videomøtet 17.9.2013 6. P&ID'er av prosessanlegget 7. System Engineering Manual, B&G og nødavstengning, 11-3A-AK-F87-70000 8. Presentasjon Stjerne samtykke, avklaringer etter spørsmål fra Ptil, møtet 10.1.2013 9. Oseberg Sør - Design Accidental Load Specification, 8.1.2010 10. Stjerne Samtykkesøknad - avklaring etter møte 25. januar, AU-DPN OE OSE-00165, 21.2.2013 11. GL 0282 om Guidelines for risk and emergency preparedness analysis 12. Performance Standards for safety systems and barriers offshore, TR1055, versjon 4.03 13. System Engineering Manual - System 71 & 72, aktive brannslukkningssystemer, rev 05L 14. Epost fra Statoil med beskrivelse av konsekvenser av at utstyr ikke er dimensjonert til å motstå lastene fra det største væske og gassegmentet, 26.9.2013 15. Epost fra Statoil med beskrivelse at utstyr (brannvegger og nødavsteningsventiler) er dimensjonert til å motstå brannlastene fra det største væskesegmentet, 4.10.2013
7 Vedlegg A Oversikt over intervjuet personell. Vedlegg B Forkortelser og definisjoner ALARP B&G DAL FES GL HC If NAS P&ID Rf RNNP SKR TIMP TR TST TTS As Low As Reasonable Practicable Brann og gassdeteksjonsystem Dimensioning Accidental Load, den mest alvorlige ulykkeslasten system eller funksjon skal kunne motstå Fire- and eksplosion strategi Guidelines Hydrokarbon Innretningsforskriften Nødavstengingssystem Piping og instrumentdiagram Rammeforskriften Risikonivå i petroleumsvirksomheten Sentralt kontrollrom Technical Integrity Management Program Technical Requirement, tekniske krav Teknisk Sikkerhetstilstand, tilsvarende en TTS verifikasjon Teknisk tilstand sikkerhet Til informasjon: På vår hjemmeside, www.ptil.no, beskriver vi om barriereelementer og ulykkeslaster i dokumentet "Prinsipper for barrierestyring i petroleumsvirksomheten, 29.1.2013". Tekniske, operasjonelle og organisatoriske barriereelementer: I mange tilfeller må det være tilstede både tekniske, operasjonelle og organisatoriske elementer for å kunne realisere en barrierefunksjon. Noen barrierefunksjoner vil ha en overvekt av tekniske barriereelementer, eksempelvis barrierefunksjoner så som å "forhindre antennelse" og å "forhindre eskalering", mens det for andre funksjoner ofte vil være en overvekt av operasjonelle og organisatoriske elementer. Et eksempel på dette er barrierefunksjonen "å sikre tilstrekkelig væskesøyle" i forbindelse med boreoperasjoner. De organisatoriske og operasjonelle barriereelementene er normalt tett forbundet med hverandre. De organisatoriske barriereelementer er knyttet til personell og deres roller i utførelsen av bestemte funksjoner (eksempelvis kompetanse eller roller beskrevet i prosedyrer), mens de operasjonelle barriereelementer er de konkrete handlinger og oppgaver de skal utføre (eksempelvis aksjoner i uteområdet eller i sentralt kontrollrom etter en HC lekkasje). Ytelseskrav knyttet til de konkrete operasjonelle og organisatoriske barriereelementene kan være spesifikke krav til kompetanse for utførelse av arbeidet, kriterier for handling, responstid, krav til varsling av SKR, antall personer og krav til tilgjengelighet. Ytelseskrav til tekniske og operasjonelle og organisatoriske barriere elementer kan ofte ha samme karakteristika, for eksempel kapasitet, funksjonalitet, effektivitet, integritet, pålitelighet,
8 robusthet, tilgjengelighet. Ytelseskrav relateres konkret til de barriereelementer de skal sikre kvaliteten på. Eksempelvis vil krav om at personell skal ha gjennomført et spesifikt kurs, for å sikre korrekt utførelse av en handling for å realisere en barrierefunksjon, være et ytelseskrav. Ulykkeslaster: Det er viktig at en er klar over forskjellen mellom "design accidental load" og "dimensioning accidental load" (DAL) slik denne fremkommer i NORSOK Z-013. Design accidental load (design ulykkeslast) betyr ulykkeslasten som er lagt til grunn for design. Dimensioning accidental load (dimensjonerende ulykkeslast) betyr ulykkeslasten som barrierefunksjon(er) og barriereelement(er) skal kunne motstå i et nødvendig tidsrom for å møte akseptkriterier/toleransekriterier for risiko. Design ulykkeslasten som skal fastlegges vil som minimum alltid måtte samsvare med den dimensjonerende ulykkeslasten. Samtidig er det viktig å være klar over at det i noen tilfeller er nødvendig å etablere en design ulykkeslast som innebærer kapasitet til å motstå en høyere ulykkeslast enn det den dimensjonerende ulykkeslasten tilsier. Dette skyldes at den dimensjonerende ulykkeslasten (DAL) typisk blir etablert ift "10-4 -kravet" til hovedsikkerhetsfunksjoner, jfr. if. 7 og 11. For å kunne fastlegge en designulykkeslast for en relevant ulykkestype er det imidlertid også andre forhold som må ivaretas. I noen tilfeller kan det være at spesifikke regelverkskrav innebærer at en uavhengig av akseptkriterier for hovedsikkerhetsfunksjoner og beregninger av dimensjonerende ulykkeslaster alltid må fastlegge en minimum designulykkeslast. Et eksempel på dette er at en ved bestemmelse av brannbelastningen som skal legges til grunn for design, som et minimum alltid må forholde seg til konkrete krav tilknyttet seksjonalisering av prosessanlegget, jfr. if. 33. I tillegg vil alltid "ALARP vurderinger" være relevante for å sikre ytterliggere risikoreduksjon, jfr. rf. 11. Resultatet av dette kan i praksis innebære at design ulykkeslasten må settes høyere enn den dimensjonerende ulykkeslasten.