Tilsynsrapport Rapport Rapporttittel Tilsyn med styring av storulykkesrisiko og håndtering av barrierer i Transocean Aktivitetsnummer 402000008 Gradering Offentlig Unntatt offentlighet Begrenset Fortrolig Strengt fortrolig Involverte Hovedgruppe T-F Deltakere i revisjonslaget Kristen Kjeldstad, Svein Harald Glette, Trond Eskedal, Ingvill H. Foss og Rune Schwebs Oppgaveleder Kristen Kjeldstad Dato 1.12.2010 1 Innledning I perioden 1. 4.11.2010 førte Petroleumstilsynet (Ptil) tilsyn med Transocean Offshore Ltd (Transocean) sin styring av storulykkesrisiko og håndtering av barrierer. Tilsynsaktiviteten ble innledet med et heldags oppstartsmøte med ledelsen på land 21.10.2010. Den 1.-4.11.2010 gjennomførte vi en verifikasjon om bord på innretningen Transocean Leader. Ptil fikk i åpningsmøtet på land en gjennomgang av selskapsledelsens forståelse av strategier og prinsipper som ligger til grunn for utforming, bruk og vedlikehold av barrierer. Ledelsens roller og de tiltak som skal sikre risikoforståelse knyttet til storulykker ble presentert. Transocean er i ferd med å implementere en Bow-tie metodikk (sløyfediagrammer) som illustrerer faresituasjoner og sannsynlighetsreduserende barrierer på en side, og konsekvensreduserende barrierer etter hendelser på den andre siden. På innretningen Transocean Leader verifiserte vi Transoceans styring av og kunnskap om storulykkesrisiko ved å gjennomgå to storulykkesscenarier i form av table-top - øvelser knyttet til innretningens definerte fare- og ulykkessituasjoner. Videre foregikk verifikasjonen gjennom intervjuer, gjennomgang av beredskapsplan og annen dokumentasjon. Risikoforhold knyttet til brønnaktiviteter, brann og eksplosjonsfare og håndtering av beredskap etter alvorlige hendelser ble prioritert. Det ble også gjennomført en befaring på innretningen. I en øvelse hvor hele beredskapsorganisasjonen deltok, ble det øvd på et storulykkesscenario. Et møte med vernetjenesten ble også gjennomført. Tilsynsaktiviteten ble godt tilrettelagt av Transocean. 2 Bakgrunn Tilsynsaktiviteten var knyttet til to av Ptils hovedprioriteringer for 2010:
2 Ledelse og storulykkesrisiko, med formål at ledelsen på alle nivå i næringen skal arbeide for å redusere storulykkesrisiko, og sørge for at dette arbeidet gjøres på en helhetlig måte. Tekniske og operasjonelle barrierer, med formål at tekniske og operasjonelle barrierer skal ivaretas på en helhetlig og konsistent måte slik at risiko for storulykker reduseres så langt som mulig. Transocean Leader er en halvt nedsenkbar boreinnretning bygget i 1986. Transocean fikk samsvarsuttalelse (SUT) for innretningen i 2004. 3 Mål Målet med tilsynsaktiviteten var å evaluere selskapets forståelse, kunnskap og kompetanse relatert til storulykkesrisiko og barrieretenking både i ledelsen og hos medarbeidere. Videre ville vi evaluere strategier og prinsipper for styring, utforming, bruk og vedlikehold av barrierer særlig med tanke på storulykkesscenarier. 4 Resultat. Transoceans hovedledelse har definert hvilke DFUer som primært kan utløse storulykker. Det foreligger imidlertid ikke en fullstendig oversikt over de tilhørende operasjonelle og organisatoriske barrieresystemer, og selskapet mangler en systematisk tilnærming på området. Innføringen av bow-tie -metodikken skal ivareta og visualisere sammenhengen mellom faresituasjoner og barrierer. Ptil ser metodikken som et nyttig verktøy som har et godt potensial for å bli praktisk anvendbart gjennom videre utvikling i selskapet. Metodikken er nylig innført, og ennå ikke utarbeidet for alle storulykkesscenarioer. Vi fant lite kjennskap til bow-tie metodikken og kunnskap om hvordan denne metodikken var tenkt benyttet blant personellet om bord på Transocean Leader. Vi fant varierende kunnskap om og forståelse av hvilke DFUer som har storulykkespotensial. Det var ikke tydelig for tilsynslaget at trening og øvelser omkring storulykkesrisiko var gitt spesiell oppmerksomhet. Det ble identifisert 6 avvik og 8 forbedringspunkter under tilsynet. 5 Observasjoner Ptils observasjoner deles generelt i to kategorier: Knyttes til de observasjonene hvor vi mener å påvise brudd på regelverket. Knyttes til observasjoner hvor vi ser mangler, men ikke har nok opplysninger til å kunne påvise brudd på regelverket. 5.1 Styring av storulykkesrisiko 5.1.1 Storulykker oppfølging av barrierer og ytelseskrav
3 Det var ikke på en helhetlig måte etablert strategier og prinsipper som skal legges til grunn for utforming, bruk og vedlikehold av barrierer. Det er ikke etablert et enhetlig begrepsapparat omkring temaet barrierer og storulykkesrisiko. Selskapet har startet arbeidet med å gjennomgå potensielle storulykkeshendelser på Transocean Leader ved å analysere årsaker og konsekvenser ved forskjellige faresituasjoner. Dette gjøres i form av såkalte sløyfediagrammer ( bow tie diagrams ). Hensikten og bruken av systemet var ikke beskrevet i selskapets styringssystem. Det var ikke kjent blant alle i organisasjonen hvilke barrierer som var etablert og hvilke ytelseskrav som var definert. Kjennskapen offshore til de gjennomførte bow-tie analysene var foreløpig begrenset. Det var igangsatt et arbeid for å teste sikkerhetskritisk utstyr for på denne måten å verifisere integriteten til de enkelte barrierene. Arbeidet var imidlertid ikke fullført, jf. avsnitt om vedlikehold. Det var uklart for oss om ledelsen la særlig vekt på storulykkerisiko, f.eks i rapporter som ble forespurt. For eksempel var det ikke etablert rapportering til ledelsen på godhet av barrierer (eks. KPI er). Styringsforskriften 1 om risikoreduksjon og 2 om barrierer. 5.1.2 Vedlikeholdsstyring og barriereoppfølging Vedlikeholdssystemet RMS var planlagt benyttet for testing og verifikasjon av godheten til tekniske barrierer som skal hindre storulykker. Systemet var imidlertid mangelfullt og ikke oppdatert for å ivareta denne funksjonen. Det ble opplyst at vedlikeholdsstyringssystemet ikke var ferdig utarbeidet. Blant annet pågikk fremdeles utarbeidelse av barriere test program. Nye forhold som fremkom under bow-tie analysene skulle inngå i testprogrammet. Likeledes gjenstod det å definere krav til ytelse for enkelte barrierer, samt å sørge for at ytelsene ble verifisert under testingen. Det ble opplyst offshore at konverteringen fra Empac til nytt system RMS hadde medført mange problemer. Blant annet var testintervaller eller historikk fra gammelt system ikke overført til nytt system på en tilfredsstillende måte; eller nye jobber definert med riktig forfallsdato. Dette hadde medført en rekke endringer i vedlikeholdsprogrammet. Forespørsler om slike endringer ble sendt til land hvor kapasiteten til å gjøre slike endringer var begrenset. Nødavstengingsutstyret (ESD-systemet) var ikke definert som sikkerhetskritisk utstyr (SCE). I vedlikeholdssystemet var imidlertid jobbene på systemet definert med TRN 112 og prioritet high. Vedlikeholdssystemet var ikke utviklet for å ta ut enkle rapporter som viser historikk. Det ble registrert en del overdue både på sikkerhetskritisk og annet utstyr. Mottatt dokumentasjon viser at implementering av nytt vedlikeholdssystem (RMS) vil pågå fram til 1.7.2011.
4 Styringsforskriften 1 om risikoreduksjon og 2 om barrierer. Aktivitetsforskriften 42-46 om vedlikehold. 5.1.3 Beredskapsplan Definerte fare- og ulykkessituasjoner (DFU) DFU-ene var mangelfulle og beskrev ikke alle aktuelle faresituasjoner. DFU 12 angående brann i maskinrom har ikke definert alle faresituasjoner som kan oppstå, eksempelvis gass i ventilasjonsinntaket. Det angis at innretningen har 2 maskinrom og 5 generatorer, mens det er 1 maskinrom og 4 generatorer. Det ble opplyst at etter bow-tie analysene vil alle DFU-ene bli gjennomgått og oppdatert. Styringsforskriften 14 om analyse av storulykkesrisiko. Styringsforskriften 15 f) om kvantitative risikoanalyser og beredskapsanalyser. 5.1.4 Oppgradering av boredekksområdet Utstyr og utforming av boredekk og i tårnet fremstod ikke som optimalt. Borerens arbeidsplass møter ikke dagens standard til utrustning, ergonomi og effektivitet. Mye av utstyret i boretårnet er av eldre fabrikat og virker sammenstilt på en sub-optimal måte. En full gjennomgang av behovet for oppgradering av boredekksområdet i forbindelse med neste verftsopphold, SPS, var ikke foretatt eller planlagt. Aktivitetsforskriften 31 om tilrettelegging av arbeid og 32 om ergonomiske forhold. Innretningsforskriften 9 om anlegg, systemer og utstyr, 19 om ergonomisk utforming, 20 om menneske-maskin-grensesnitt og informasjonspresentasjon og 21 om utendørs arbeidsområder. 5.1.5 Brannbekjempelse ved hjelp av faste CO 2 slokkesystemer Det var installert et CO 2 brannbekjempelsessystem i mange rom for å bekjempe større branner i rommet. Et slikt system er ikke ansett som et hurtig og effektivt brannbekjempelsessystem. CO 2 var benyttet som fastmontert anlegg for brannbekjempelse i mange rom. Slike anlegg er i dag ikke vurdert å være hensiktsmessige for å kunne bekjempe branner på en hurtig og
5 effektiv måte. Bakgrunnen for dette er de farene CO 2 representerer for personell og de restriksjonene som vanligvis gjelder ved utløsning av systemene. Den gjennomførte øvelsen (DFU 12 brann i maskinrom) illustrerte de faremomentene som bruken av systemet representerer og den relativt lange tiden det tar før systemet kan utløses. Det er de senere årene utviklet flere typer systemer som kan erstatte CO 2 som slokkemiddel, eksempelvis gjelder dette vanntåkeanlegg og forskjellige typer inergensystemer. Det ble opplyst at det pågikk vurderinger om å skifte systemet ifm neste klassing. For å ivareta farene som bruken av CO 2 som slokkemiddel representerer, benyttes ofte NFPA 12 som anerkjent norm. Det var uklart for oss om sikkerhetsanordningene på Transocean Leader var i henhold til denne normen. Dyser som ble brukt i systemet er spesielle og kan representere en restriksjon ved utløsning av systemet. Det bør verifiseres at 85 % av gassen kan frigjøres i rommet i løpet av 2 minutter, ref. DNV-OS-D301 Ch2 App A, C304. Styringsforskriften 1 om risikoreduksjon. Rammeforskriften 3 om bruk av maritimt regelverk i petroleumsvirksomheten, jf Sjøfartsdirektoratets forskrift om sikringstiltak mot brann og eksplosjon på flyttbare innretninger 10 samt DNV-OS-D301. 5.1.6 Selskapets overordnete styringssystem og lokale tilpasninger Enkelte direktiver fra selskapets hovedkontor er i liten grad tilpasset lokale forhold. Transocean synes å ha et relativt rigid styringssystem hvor mye saksbehandling og beslutninger gjøres sentralt i selskapet. Det fremkom i flere intervjuer at det i liten grad tillates at det gjøres lokale tilpasninger i arbeidsmetoder og prosedyrer, og at motivasjonen til å foreslå sikkerhetsmessige forbedringer basert på lokal erfaring dermed svekkes. Forslag til tilpasninger i arbeidsmetoder og prosedyrer som tar hensyn til de lokale operasjonsforholdene har blitt forkastet etter behandling sentralt. Styringsforskriften 22 om forbedring. Aktivitetsforskriften 22 om prosedyrer. 5.2 Andre forhold 5.2.1 Brannslanger Noen brannslanger var ikke i henhold til kravene.
6 Det ble observert at noen brannslanger utvendig på dekk ikke hadde diameter på minst 51 mm slik forskriften krever. Rammeforskriften 3 om bruk av maritimt regelverk i petroleumsvirksomheten, jf Sjøfartsdirektoratets forskrift om sikringstiltak mot brann og eksplosjon på flyttbare innretninger 8, punkt 2 om hydranter og brannslanger. 5.2.2 Batterinødlys Manglende batterinødlys i rom for CO2-flasker. Under befaring fremgikk det at batterinødlys manglet i et rom/kontainer med CO 2 -flasker for nødgenerator, kompressorrom og malingsbu. I en nødssituasjon kan det være behov for tilgang til rommet for utløsning av systemet direkte på flaskebanken. Rammeforskriften 3 om bruk av maritimt regelverk i petroleumsvirksomheten, jf Sjøfartsdirektoratets forskrift om bygging av flyttbare innretninger 12, nødbelysning. 5.2.3 Trening og øvelser Manglende treningsplan og loggføring av trening for brannlag. En plan for trening av brannlag kunne ikke legges frem, og gjennomført trening kunne ikke dokumenteres. Det var heller ikke noen systematisk plan for trening av stedfortrederrollen under øvelser. Rammeforskriften 3, jfr Sdir 853/07 redningsforskriftens 19. Aktivitetsforskriften 21 om trening og øvelser. 5.2.4 Oppbevaring og tilkomst til redningsutstyr Uhensiktsmessig utforming av skifteområde og lagring av brannmanns- og MOBbåtmannsutstyr. For lav takhøyde i brannlagscontainer (brannstasjon) ved helidekk gjør brannstasjonen uegnet. Det ble opplyst under befaringen at ny container var bestilt. Det var ikke tilrettelagt for at MOB-båtmannskap kunne stå skjermet for vær og vind under omkledning i forbindelse med mobilisering. Det var heller ikke tilrettelagt for at draktene kunne tørkes etter bruk, før lagring.
7 Rammeforskriften 3, jfr Sdir 227/84 brannforskriftens 15. Rammeforskriften 3, jfr Sdir 853/07 redningsforskriftens 17 underpunkt c). 5.2.5 Utløsning av ankerliner etter høyeste ESD-nivå Det var uklart hvilke tiltak som var iverksatt for å unngå at utløsning av ankerlinene i en nødssituasjon representerte en risiko for antennelse. Det var ikke installert utstyr for overrisling av ankerlineutstyr som kan benyttes etter høyeste nødavstengningsnivå. Det ble opplyst at dette forholdet hadde vært behandlet som internt avvik. Det var uklart om utstyr involvert i nødavstenging av elektrisk kraft møter kravene til sone 2 utstyr. Rammeforskriften 3 om bruk av maritimt regelverk i petroleumsvirksomheten, jf Sjøfartsdirektoratets forskrift om sikringstiltak mot brann og eksplosjon på flyttbare innretninger 26, punkt 2.5 om nødavstengning. 5.2.6 Kommunikasjonsutstyr for røykdykkere Uhensiktsmessig kommunikasjonsutstyr. Kommunikasjonsutstyr for røykdykkerne var ikke brukbart i områder med mye støy. Øvelsesscenariet viste at utstyret ikke var mulig å bruke i maskinrommet mellom røykdykkere og mellom røykdykkere og skadesstedsleder. Aktivitetsforskriften 71 om kommunikasjon, og 21 om trening og øvelser. 5.2.7 Rømningsveier Mangelfull merking av rømningsveier. Mangelfull skilting av rømningsveier mot livbåtstasjoner. Skilter manglet på sentrale plasser eller var vanskelig observerbare. Skilting anga ikke livbåtenes nummer. Rammeforskriften 3, jfr Sdir 853/07 redningsforskriftens 19. 5.2.8 Informasjonsflyt i vernetjenesten
8 Mangelfull informasjonsflyt mellom ledelse og vernetjenesten offshore og mellom vernetjenesten offshore og på land. I intervjuene fremkom det at vernetjenesten offshore hadde lite kjennskap til og informasjon om de aktivitetene som involverte vernetjenesten på land. Det ble kjent at flere verneombud mangler grunnleggende verneombudsopplæring. Hvilken rolle de forutsettes å ha som verneombud var ikke tilstrekkelig klargjort for alle. Rammeforskriftens 6 om tilrettelegging for arbeidstakermedvirkning. Styringsforskriften 12 om informasjon. Aktivitetsforskriften 20 om opplæring i sikkerhet og arbeidsmiljø etter arbeidsmiljøloven. 6 Andre kommentarer En beredskapsøvelse med storulykkespotensial (brann i maskinrom) ble avholdt med hele beredskapsorganisasjonen involvert. Læringspunkter fra øvelsen ble oppsummert i etterkant. Øvelsen viste at selskapet var i stand til å håndtere det definerte ulykkesscenariet på en god måte. Vi hadde forberedt to table-top øvelser med utgangspunkt i storulykkesrisiko relatert til Tranocean Leaders DSHA-12 Brann i maskinrom og DFU3 Undervannsutblåsning. To grupper på henholdsvis 14 og 8 personer deltok i dialog om faresituasjoner, barrierefunksjoner, barriereelementer og hendelseseskalering på den ene siden, samt håndtering, bekjempelse, evakuering og normalisering på konsekvens siden. Det ble videre fokusert på beslutninger, beslutningsmyndighet og ansvarsforhold i diskusjonen. De to gruppene som deltok i table-top øvelsene, viste stort engasjement og åpenhet. Gjennom disse øvelsene fikk vi god innsikt i mannskapets bevissthet om faresituasjoner og hvilke barrierer som var på plass for å redusere sannsynligheten for de aktuelle hendelsene samt hvilke tiltak som iverksettes for å begrense konsekvensene på Transocean Leader ved slike hendelser. 7 Deltakere fra Petroleumstilsynet Svein Harald Glette, fagområde prosessintegritet Kristen Kjeldstad, fagområde boring og brønnteknologi (oppgaveleder) Rune Schwebs, fagområde logistikk & beredskap Trond Sigurd Eskedal, fagområde arbeidsmiljø (kun landorganisasjonen) Ingvill Hagesæther Foss, tilsynskoordinator, flyttbare innretninger (kun landorganisasjonen) 8 Dokumenter Følgende dokumenter ble benyttet under planlegging og gjennomføringen av tilsynet:
9 1. Transocean CMS: Management Principles 2. Transocean HMS-håndbok: Sikkerhetspolitikk, -prosedyrer og -Dokumentasjon Risikostyring/SJA 3. Transocean Maintenance Manual NOR-OPS-PR-01 4. Defined Situations of Hazards and Accidents 5. EAU Score card Matrix 6. To sløyfediagrammer DSHA 01 og DSHA 12 7. Presentasjon 21.10.2010: Tilsyn med styring av storulykkerisiko og håndtering av barrierer i Transocean Vedlegg A Oversikt over intervjuet personell.