Revisjonsrapport Rapport Rapporttittel Tilsynet med vedlikeholdsstyring, elektro- og sikkerhetssystemer på Scarabeo 8 Aktivitetsnummer 401003004 Gradering Offentlig Unntatt offentlighet Begrenset Fortrolig Strengt fortrolig Involverte Hovedgruppe T-F Deltakere i revisjonslaget Kjell-Gunnar Dørum, Ole Jørgen Melleby, Bård Johnsen og Svein Harald Glette Oppgaveleder Kjell-Gunnar Dørum Dato 22.3.2012 1 Innledning Petroleumstilsynet (Ptil) gjennomførte en tilsynsaktivitet i perioden 6.3.2012-8.3.2012, hvor forhold knyttet til elektro-systemer, sikkerhetssystemer og vedlikeholdsstyring var tema. Aktiviteten ble gjennomført ved Saipem SpA Norwegian Branch (Saipem) sitt kontor på Sola og om bord på innretningen Scarabeo 8, ved utrustningsverkstedet Westcon i Ølen. Saipem har ansvaret for byggingen av innretningen, og skal stå for den daglige driften av innretningen på norsk kontinentalsokkel. Ptils aktivitet ble utført som en del av saksbehandlingen av selskapets søknad om samsvarsuttalelse (SUT). Innretningen skal benyttes som boreinnretning for Statoil og senere for ENI i Barentshavet. 2 Bakgrunn Scarabeo 8 er en ny flyttbar boreinnretning og innretningen var ved tidspunktet for tilsynet oppankret i fjorden utenfor verftet i Ølen. Det pågikk her installasjon, ferdigstillelse og testing av systemer og utstyr. 3 Mål Målsetting med tilsynsaktiviteten var å verifisere tekniske og styringsmessige forhold på innretningen innen de aktuelle fagområdene som var gjenstand for Ptils verifikasjoner. 4 Resultat Tilsynet ble utført i form av verifikasjoner og stikkprøvekontroller på innretningen, samt gjennomgang av selskapets styrende dokumenter og prosedyrer, i tillegg til samtaler med
2 involvert personell. Aktiviteten bestod også i gjennomgang av prosjektdokumenter og verifikasjoner av tekniske forhold om bord på innretningen. Aktiviteten avdekket at det var flere avvik og forbedringspunkter fra regelverkets krav innen vedlikeholdsstyring, risiko- og barrierestyring og elektro- og sikkerhetssystemene om bord. Eksempler på dette var: Risiko- og barrierestyring Selskapets system for risiko- og barrierestyring var mangelfull. Utarbeidelse av ytelsesstandarder pågikk, men var ikke ferdigstilt. Det var ikke beskrevet hvordan utarbeidet dokumentasjon skulle benyttes for å ivareta barrierenes funksjon i driftsfasen. Vedlikeholdsstyring Det ble avdekket en del avvik fra regelverkskravene innen vedlikeholdsstyring. Hovedfunnene var: Det var uklart hvilken metode og kriterier som ble brukt for kritikalitetsvurdering og for fastsetting av hva som er sikkerhetskritisk utstyr/barrierer. Mangler i, og manglende forståelse av, vedlikeholdsstyringssystemet. Det var ikke etablert et tilstrekkelig system for styring og prioritering av vedlikeholdet. Sertifikater på blant annet sikkerhetskritisk utstyr kunne ikke fremlegges. Ingen formelle rapporteringssystemer for vedlikehold. Mangler med merking og funksjonsmerking av utstyr, også sikkerhetskritisk utstyr. Tilfeldig valgt utstyr var vanskelig å identifisere eller kunne ikke identifiseres i vedlikeholdsstyringssystemet. Utstyr manglet spilltrau for å fange eventuelle oljelekkasjer til sjø. Elektro- og sikkerhetssystemer Det var foretatt en betydelig utskifting og oppgradering av de elektriske systemene under verkstedoppholdet i Ølen. Det var i hovedsak benyttet velkjent utstyr og systemleverandører med lang erfaring fra bransjen. Noen steder var tilkomsten til utstyr vanskelig og enkelte barriereelementer var ikke ivaretatt på en god nok måte i forhold til kravene. Det vises ellers til rapportens kapittel 5.1 og 5.2 for ytterligere beskrivelse av avvik og forbedringspunkter.
3 5 Observasjoner Ptils observasjoner deles generelt i to kategorier: Knyttes til de observasjonene hvor vi mener å påvise brudd på regelverket. Knyttes til observasjoner hvor vi ser mangler, men ikke har nok opplysninger til å kunne påvise brudd på regelverket. 5.1 Avvik 5.1.1 Risiko- og barrierestyring Selskapet har ikke etablert endelige strategier og prinsipper som skal legges til grunn for utforming, bruk og vedlikehold av barrierer for å sikre at barrierenes funksjon ivaretas gjennom hele innretningens levetid. Arbeidet med utarbeiding av ytelsesstandarder for å sikre at barrierene er effektive til enhver tid var ikke ferdigstilt. Selskapets system for risiko- og barrierestyring beskrevet i SUT-søknadens kapittel 4 var mangelfull. Det var ikke beskrevet hvordan Bow-Tie (BT) og andre verktøy skulle oppdateres og brukes i driftsfasen. Det kunne ikke fremlegges dokumentasjon på at alle storulykkesscenarioene var analysert for å identifisere aktuelle barrierer, eksempelvis var dette tilfelle for hendelsen Brann i maskinrom. Det var uklart hvordan kravet til utarbeidelse av strategier var ivaretatt. Noe av den forventede informasjonen fremgikk av Construction Risk Analysis (CORA) og noe fremgikk av BT-diagrammer. Det var ikke beskrevet hvilken dokumentasjon som skulle benyttes for å formidle informasjon til relevant personell om bord, hvilke barrierer som var etablert og hvilken funksjon de skulle ivareta. Arbeidet med å utarbeide ytelsesstandarder for de forskjellige sikkerhetssystemene var ikke ferdigstilt. Det var planer om at kravene skulle beskrives på en slik måte at de kunne verifiseres i driftsfasen. Styringsforskriften 4 om risikoreduksjon og 5 om barrierer. 5.1.2 Vedlikeholdsstyring Mangler i, og manglende forståelse av, vedlikeholdsstyringssystemet. Det var uklart hvilken metode og kriterier som ble brukt for kritikalitetsvurdering og for fastsetting av hva som er sikkerhetskritisk utstyr/barrierer. Anleggsstrukturen (hierarkiet) fanger ikke alt sikkerhetskritisk utstyr slik at dette kan identifiseres i anlegget, på tegninger og i PM programmet på en oversiktlig måte. Manglende forståelse av kritikalitetsvurdering og RCM analysene.
4 Rollene og ansvaret knyttet til oppfølging, prioritering og avviksbehandling av vedlikeholdsjobber, og eierskapet til vedlikeholdsprogrammet, kom ikke tydelig frem i intervjuer av personell. Ingen formelle rapporteringssystemer for vedlikehold. Selskapet har formelle rapporterings- og oppfølgingsrutiner eksempelvis for Scarabeo 5, men for Scarabeo 8 var ikke disse rutinene/systemene igangsatt. Vedlikeholdshistorikk for kraner i periodene før hhv januar 2011 og mars 2011 var ikke lagt inn i vedlikeholdsstyringssystemet. Rammeforskriften 24 om bruk av anerkjente normer. Aktivitetsforskriften Kapittel IX om vedlikehold. 5.1.3 Vedlikeholdsprogram Vedlikeholdssystemet er under utarbeidelse og fremstår som mangelfullt. Alt sikkerhetskritisk utstyr var ikke lagt inn i vedlikeholdsstyringssystemet (eksempel: exutstyr, hydrauliske slanger, osv.). Systemer og utstyr var idriftsatt uten et ferdigstilt vedlikeholdsprogram (eksempelvis exutstyr og systemer i boligkvarter). En del viktig utstyr, også sikkerhetskritisk, ble funksjonstestet, men vedlikeholdsrutiner for forebyggende vedlikehold manglet. Eksempelvis brenselventiler ( fuel valves ) og overspeed funksjonen for hovedmaskineri. Verifikasjoner i vedlikeholdssystemet viste at alle brann- og gassdetektorer var angitt med årlig testrutine. Beskrivelse av system for endring av vedlikeholdsprogram eller vedlikeholdsrutiner manglet. Sikkerhetsventiler (PSV) hadde feil kritikalitet og rekalibreringsintervallet var satt til 5 årlig uten at dette kunne begrunnes. Aktivitetsforskriften kapittel IX om vedlikehold. 5.1.4 Sertifikater Manglende sertifikater. Det kunne ikke fremlegges nødvendig dokumentasjon som sertifikater for utstyr, som sikkerhetsventiler (PSV), manometre, kjettingtaljer etc. Aktivitetsforskriften 20 om oppstart og drift av innretninger, bokstav b).
5 Aktivitetsforskriften 45 om vedlikehold. 5.1.5 Merking Mangelfull merking innen mekanisk og maritime systemer. Det var mangelfull merking av utstyr, ulike merkesystemer og ofte vanskelig å lese informasjonen selv om skilt er på plass. Funksjonsmerking av utstyr var enkelte steder mangelfull. Pad-eye manglet årets merkefarge. Manglende synlig merkefarge av løfteutstyr, spesielt i boreområdet. Selskapet har innført et eget merkesystem for Ex-utstyr, men slik merking var mangelfull på deler av innretningen, eksempelvis nede i skaftene. Aktivitetsforskriften 47 om vedlikeholdsprogram. Innretningsforskriften 10 om anlegg, systemer og utstyr. 5.1.6 Spilltrau Manglende spilltrau. Hydraulikkskap over åpen sjø manglet spilltrau. Styringsforskriften 4 om risikoreduksjon og 5 om barrierer. 5.1.7 Hurtiglukkeventiler for brennolje Ventiler for hurtig lukking av brennoljetilførsel i tilfelle lekkasjer, var ikke ivaretatt på tilfredsstillende måte. Hurtiglukkeventilene var ikke vist på mimic panel i Engine Control Room (ECR). Ventilene ved utløpet fra dagtanken var vanskelig tilgjengelig i maskinrommet for inspeksjon, testing og vedlikehold. Funksjonstest og inspeksjon av ventilene var i vedlikeholdsprogrammet dekket under rutine for dagtanken. Det var ikke etablert rutine for å lekkasjeteste ventilene. Ref rapportens pkt. 5.1.3. Det var i Construction Risk Anlysis (CORA), avsnitt 3.7 beskrevet at i tilfelle brann i maskinrommet skulle brennstofftilførselen avstenges automatisk med manuell back-up fra ECR eller broen. Verifikasjonen viste at kun manuell avstengning fra ECR var mulig.
6 Styringsforskriften 4 om risikoreduksjon og 5 om barrierer. 5.2 Forbedringspunkter 5.2.1 Mekanisk ferdigstillelse ( Mechanical Completion ) og uttesting ( Commissioning ) Status for overlevering ( Subsystem Handover Status ) av de forskjellige systemene var ikke oppdatert. Det fremkom at flere systemer var ferdigstilt og klargjort for operasjon (RFO) uten at dette fremkom av statusrapporten. Det ble opplyst at bakgrunnen for dette var at det var utestående aksjonspunkter som ikke var lukket. Det ble opplyst at det var utført uttesting av alle elektriske systemer uten at dette fremgikk av statusrapporten. Det ble også opplyst at alle sløyfer ( loops ) for branndeteksjon var satt i drift uten at dette fremkom av statusrapporten. System for gjennomføring av Area Completion med overlevering fra Westcon til prosjektet og overlevering fra prosjektet til drift var mangelfull. Aktivitetsforskriften 20 om oppstart og drift av innretninger. 5.2.2 Anlegg for helikopterdrivstoff Anlegg for helikopterdrivstoff og tilhørende spilltrau hadde mangler og skader. Delugedysene ved tankene for helikopterdrivstoff var plassert slik at de lett kan bli ødelagt. Det ble registrert at to av dysene var skadet. Tilkoblingspunkt for helikopterdrivstoff ved pumpeenheten var plassert slik at eventuell lekkasje fra flenser ikke samles opp av eksisterende spilltrau. Rørsystem for overrislingsanlegget til fyllestasjonen for helikopterdrivstoff var ikke installert slik at full tømming av rørene oppnås ved drenering av systemet. Styringsforskriften 4 om risikoreduksjon og 5 om barrierer. 5.2.3 Overtykk i borekabin (DCR) og tilhørende lokalt utstyrsrom (LER) Det var manglende alarm ved tap av overtrykk i DCR og LER.
7 Det ble opplyst at alarm ved tap av overtrykk i DCR og LER ble overvåket fra ECR. Informasjon om dette var lite kjent om bord. Det ble foretatt en test av den aktuelle alarmen. Alarmsignal ble ikke registret i ECR, men kun i DCR. Rammeforskriften 3 om anvendelse av maritimt regelverk i petroleumsvirksomheten til havs, jf. DNV-OS-D201og IEC 61892 Mobile and fixed offshore units Electrical installations Part 7: Hazardous areas, Clause 8.5.2, failure of the pressurization. 5.2.4 Mekanisk beskyttelse av nødstoppbrytere og skilting Mangelfull merking og mekanisk beskyttelse av utstyr. En del nødstoppbrytere manglet mekanisk beskyttelse for å forhindre utilsiktet utløsning, eksempelvis på systemer og utstyr nede i skaftene. Enkelte start/stopp-brytere manglet angivelse av funksjon, eksempelvis var dette tilfelle for motorer og pumper nede i skaftene som kun hadde tag nr. og ikke beskrivelse av funksjon. Rom med over- eller undertrykk er en del av områdeklassifiseringen og skal bidra til å hindre spredning eller opphoping av eksplosiv gassatmosfære. Disse rommene manglet varselskilt på dørene, eksempelvis var dette tilfelle i boreområdet. Aktivitetsforskriften 16 om installering og ferdigstilling og 91 om arbeid i og drift av elektriske anlegg. 5.2.5 Arbeidsrom ( workshop ), verkstedfasiliteter og lager for elektro-, instrumentog telepersonell (EIT) Strategi for inspeksjon, feilsøking, reparasjon og overhaling av EIT utstyr samt kartlegging av behov for arbeidsrom, lager og verkstedfasiliteter for EIT personell var ikke endelig fastsatt. Innretningen var utstyrt med omfattende elektro-, instrument- og telesystemer og utstyr som krever ettersyn, testing og vedlikehold. Eksisterende avsatt arbeidsrom, lager og verkstedfasiliteter var svært begrenset og EIT personell ombord hadde ved flere anledninger påpekt dette forholdet. Vi fikk opplyst at tiltak vil bli iverksatt for å bedre disse forholdene, men dette var ikke i tilstrekkelig grad kommunisert til involvert personell. Vi viser også til vår rapport etter tilsyn på innretningen i juni 2009, punkt 5.3.4. Under dette tilsynet ble det fra Ptil påpekt at rom avsatt for elektrisk verksted var relativt lite og det var usikkert om dette ville kunne gi plass til lagring av nødvendig utstyr og materiell. Det ble tilbakemeldt fra selskapet at et koblingsskap og en transformator var flyttet fra rommet, men at andre tiltak også skulle vurderes.
8 Aktivitetsforskriften 91 om arbeid i og drift av elektriske anlegg. 5.2.6 Nødkraftforsyning Beskrivelsen av nødkraftsystemet og hvordan nødkraft til viktige nødkraftforbrukere sikres i en nødsituasjon var mangelfull. Det ble opplyst at alle 8 generatorene var konstruert og sertifisert for å kunne operere som nødgeneratorer i henhold til maritime krav. Det kunne ikke vises til at det var etablert en nødmodus for nødgeneratorene eller om det på annen måte var etablert tiltak for å hindre at fellesfeil kunne sette hele nødkraftforsyningen ut av funksjon. Informasjonen i SUT-søknaden avsnitt 3.4.1.2 var mangelfull i forhold til angivelse av referanser til relevant dokumentasjon og nødprosedyrer for systemet. Rammeforskriften 3 om anvendelse av maritimt regelverk i petroleumsvirksomheten til havs, jf. Sdirs byggeforskrift 11 om nødkraftforsyning. 6 Andre kommentarer 6.1 Alarmsignaler benyttet ombord Ifølge informasjon som var oppslått om bord ( station bill ) var alarmsignalene for generell alarm og evakueringsalarm under sjøprøvene ikke i henhold til anbefalte alarmsignaler angitt i innretningsforskriften 18 om systemer for intern og ekstern kommunikasjon. Alarmsignaler bør i størst mulig utstrekning standardiseres i de forskjellige prosjektfasene. Vi fikk opplyst at nødtelefonnummer om bord var *112, mens station bill beskrev #112. Anerkjent norm på sokkelen er 112. 6.2 Volum på høytalere for PA anlegg og dør-lukke-alarmer Det ble observert at flere høytalere var skjermet med filler og tape for å dempe høyt volum. 6.3 Start av brannpumper Brannpumper kan starters fra skjerm fra to uavhengige skjermsystemer i kontrollrommet samt fra ECR. Ellers startes brannpumpene automatisk ved trykkfall i brannvannsledningen eller manuelt fra tavle i søylene. Start fra eget CAP-panel i kontrollrommet var ikke mulig. Det var uklart om det kunne oppstå nettverksfeil som kunne sette alle de nettbaserte systemene ut av funksjon. 6.4 Elektriske tavler og potensielle lekkasjer fra kjølevannssystem for frekvensomformere til motorer I søylene var det installert rør med bend og flenser for kjølevann til frekvensomformere like i nærheten av elektriske tavler. Det ble opplyst at flensene var beskyttet for å hindre vannsprut ved potensiell lekkasje. Det var uklart om ytterligere tiltak var nødvendig, jf. IEC 61892
9 Mobile and fixed offshore units Electrical installations Part 1: General requirements and conditions, Clause 4.17. 6.5 Andre kommentarer: Varmeovn for sveise-elektroder manglet temperaturmåler. Manglende drenering på boredekket resulterte i vannansamling. 7 Deltakere fra Petroleumstilsynet Kjell-Gunnar Dørum, fagområde prosessintegritet (oppgaveleder) Svein Harald Glette, fagområde prosessintegritet Bård Johnsen, fagområde prosessintegritet Ole Jørgen Melleby, fagområde HMS styring 8 Dokumenter Følgende dokumenter ble benyttet under planlegging og gjennomføringen av aktiviteten: Construction Risk Analysis (CORA), TN-3 Fire and Explosion, 17.11.2010 Ptils rapport etter tilsyn med Scarabeo 8 ved byggeverkstedet Fincantieri I Palermo Subsystem Handover Status datert 7.3.2012 Crane operation & shut down in case of confirmed gas detect., SCA8-STI-MAR-001-E Manual Emergency shutdown (ESD), F&G detection and PA/GAsystem philosophy, SA- 141.000-WO-0003, rev x1 Scarabeo 8 Operation Manual, fire fighting equipment and systems- F&G detection system, SCA8-PRO-TEC-002-E, rev B P&ID Diesel and fuel system Electrical system Principal operating philosophy, SA-850.000-IN-0002, rev. A2 Commissioning procedure system 814, Helideck Fire Fighting System Vedlikeholdsrutine, test HC gas detectors WO.4 West Engineering Services Daily Report # 061- Scarabeo 8 Eni Norge Weekly Report Scarabeo 8, Week 9 Westcon Preservation Procedure, QA-WCP-3162-16.60e Utvalg av Westcon Preservation Check List Punch List/ Notes pr 01.03,12 Saipem, SNB Maintenance Management, rev 04 Saipem, General info and Guide Lines for reporting on AMOSW Maintenance System, rev 1 ModuSpec, Punclist- 01 March 2012 Saipem, Follow Up of Material and Equipment Preservation, rev 01 Vedlegg A Oversikt over intervjuet personell.