NOTAT #1 GJELDER Status risikovurderinger juni 08 SINTEF Teknologi og samfunn Sikkerhet og pålitelighet Postadresse: 7465 Trondheim Besøksadresse: S P Andersens veg 5 7031 Trondheim Telefon: 73 59 27 56 Telefaks: 73 59 28 96 *** Utkast *** GÅR TIL Alle interessenter i diskusjonen om LNG anlegget Risavika BEHANDLING UTTALELSE ORIENTERING ETTER AVTALE Foretaksregisteret: NO 948 007 029 MVA ARKIVKODE GRADERING ELEKTRONISK ARKIVKODE Notat_1_Status_Risikovurderinger_juni_08.doc PROSJEKTNR. DATO SAKSBEARBEIDER/FORFATTER ANTALL SIDER 504165.01 2008-07-04 Jørn Vatn 27 Sammendrag Notatet diskuterer viktige funn i relatert til risikovurderinger for LNG anlegget i Risavika. Notatet følger noen hovedelementer angitt i NS 5814 (Krav til risikovurderinger) med hovedvekt på risikoakseptkriterier, sannsynlighetsvurderinger, konsekvensvurderinger og usikkerheter. Det diskuteres også konkrete forslag til risikoreduserende tiltak, viktige elementer som bør inngå i fremtidig sikkerhetsstyring og myndighetenes rolle i et tilsynsregime. Viktige funn: NS 5814 forutsetter at risikoakseptkriterier skal fastsettes, og Lyse har fastsatt risikoakseptkriterier både for individrisiko og samfunnsrisiko. Akseptkritereine som Lyse har satt synes rimelige dersom man sammenligner evt risikoøkning som følge av aktiviteten med grunnrisikoen i samfunnet. På visse områder er kriteriene til Lyse noe svakere enn hva andre norske virksomheter har fastsatt. Sannsynlighetsvurderingene som er foretatt fram til nå er kun basert på historiske gjennomsnittstall. Det er foretatt konsekvensberegninger av mange ulike utslippsscenarioer. Det er fremkommet kritikk av disse beregningene, og det foreslås derfor å foreta noen kontrollberegninger som også i større grad kan synliggjøre usikkerhet. Det risikobildet som fremkommer fra de foreløpige analysene viser at risikoen er godt under akseptkritereine som er fastsatt. Det må være feil i størrelsesorden flere dekader før risikoakseptkriteriene er truet når man betrakter tredjeperson (naboer). Ut fra foreløpige beregninger er risikoen svært liten og neglisjerbar i forhold til grunnrisikoen i samfunnet. Det eksisterer likevel en svært lav sannsynlighet for at det kan inntreffe ulykker med svært mange drepte (storulykkespotensial). Flere risikoreduserende tiltak kan iverksettes, og slike tiltak må vurderes fortløpende. Viktige momenter for oppfølging av risiko i driftsfasen er identifisert, her inngår også en diskusjon av tilsyn fra myndigheter. Dette notatet inneholder prosjektinformasjon og foreløpige resultater som underlag for endelig prosjektrapport. SINTEF hefter ikke for innholdet, og tar forbehold mot gjengivelse.
2 Innhold Sammendrag...1 Innhold...2 Liste av funn...3 1 Innledning...4 2 Norsk standard for risikoanalyse NS 5814...5 2.1 Risikoakseptkriterier...6 3 Risikoakseptkriterier...7 3.1 Individrisiko...7 3.2 Samfunnsrisiko...9 3.3 Lokasjonsbaserte kriterier...11 4 Årsaksanalysen...13 5 Konsekvensanalysen...14 6 Risikobildet ut fra analyser i en tidlig konseptfase...16 6.1 Samfunnsrisiko...16 6.2 Individrisiko...16 6.3 Lokasjonsspesifikk risikokonturer...17 7 Videre arbeid med risikoanalysene...18 7.1 Sannsynlighetsvurderinger...18 7.2 Konsekvensvurderinger...18 7.3 Worst Case Scenarioer...18 8 Eksempel på risikoreduserende tiltak...21 9 Oppfølging i drift...22 9.1 Lekkasjefrekvenser og lekkasjestørrelser slik det praktiseres offshore...22 9.2 Status på sikkerhetsbarrierene sin pålitelighet...22 9.3 Rapportering av etterslep i vedlikehold...23 10 Interessentanalyse...24 10.1 Naboer 24 10.2 Risikoanalytikere...24 10.3 Brannvesenet...24 10.4 Lyse/Scangass...24 10.5 Vurderinger...25 10.6 Er løpet kjørt?...25 Referanser...27
3 Liste av funn I notatet er det oppsummert viktige funn/konklusjoner på slutten av en del avsnitt. For lettere å kunne søke etter disse er sidetall angitt nedenfor. Funnene i tekstboksene må sees i sammenheng med teksten foran. Funn 1 Valg av risikoakseptkriterier for individrisiko...9 Funn 2 Valg av risikoakseptkriterier for samfunnsrisiko...11 Funn 3 Lokasjonsspesifikke kriterier...12 Funn 4 Årsaks/sannsynlighetsvurdering...13 Funn 5 Konsekvensvurderinger...15 Funn 6 Risikoreduserende tiltak...21 Funn 7 Er løpet kjørt?...26
4 1 Innledning Dette notatet diskuterer viktige aspekter ved risikovurderinger i tilknytning til LNG anlegget i Risavika. Momenter som er kommet opp i dialogmøtene (se www.sintef.no/lyselng) blir behandlet. Det er imidlertid svært mange momenter som er kommet opp, og ikke alle momenter får plass. I notatet forsøker vi å gi en liten status med hensyn på de risikoanalyser som er utført fram til nå, og hva som blir viktig å se på i analyser som nå er under utvikling. Det gjøres oppmerksom på at SINTEF ikke har utført risikoanalyser fram til nå. I utgangspunktet skal SINTEF heller ikke utføre nye analyser, men SINTEF sin rolle er å påpeke svakheter og å kvalitetssikre at de analyser som utføres er gode nok. Notatet er organisert ved at vi først gjennomgår viktige element i NS 5814 (Krav til risikovurderinger) og ser hvordan disse elementene er i varetatt av Lyse. Deretter diskuteres kritiske faktorer i det videre arbeid. Notatet er ikke SINTEFs endelige vurderinger, men utgjør et statusbilde per juli 2008. Kommentarer til notatet kan sendes på e-post til jorn.vatn@sintef.no. I notatet har vi forsøkt å presentere resultatene på en slik måte at både fagpersoner i risikoanalyse og lekfolk skal ha utbytte, noe som kan være en utfordring. I notatet forsøker vi også å utdype en del av de momenter som ble diskutert på folkemøte i Tananger 11. juni 2008.
5 2 Norsk standard for risikoanalyse NS 5814 Definere rammebetingelser Etablere rikoakseptkriterier Prosess som dekkes av standarden Igangsetting, problemformulering, mål Organiserig av arbeidet Planlegging Valg av metoder og datagrunnlag Etablere systembeskrivelse Fareidentifikasjon Risikoanalyse Årsaksanalyse Konsekvensanalyse Beskrive risiko Sammenligne med risikoakseptkriterier Identifisere tiltak og deres risikoreduserende effekt Risikoevaluering Dokumentasjon og konklusjoner Risikohåndtering Figur 1 Hovedtrinnene i en risikoanalyse etter NS 5814 I dette kapitlet diskuteres kort noen hovedelementer i en risikoanalyse slik de er definert i NS 5814. NS 5814 er norsk standard for risikoanalyse (Krav til risikovurderinger), og denne ble først
6 utgitt i 1990. Fortiden er standarden under revisjon, og en ny forventes å bli utgitt i løpet av 2008. Diskusjonen her tar utgangspunkt i den versjonen som vil komme, selv om noen småjusteringer i denne kan forekomme. I Figur 1 vises hovedtrinnene. Kun de trinn som ligger innenfor den grå rammen er omfattet av NS 5814, men standarden stiller krav til at trinnene utenfor den grå rammen også skal gjennomføres. Noen av elementene utdypes i senere kapitler 2.1 Risikoakseptkriterier Risikoakseptkriteriene tilpasses behovet for beslutningsstøtte. Valg av kriterier vil påvirke planlegging og gjennomføring av risikovurderingen, for eksempel valg av metoder. Risikoakseptkriterier etableres før risikovurderingen igangsettes og omfattes ikke av NS 5814 men vil bli diskutert nedenfor. Et risikoakseptkriterium defineres som et kriterium som legges til grunn for beslutning om akseptabel risiko. Risikoakseptkriterier kan uttrykkes med ord eller være tallfestet, eller ved en kombinasjon av disse, f.eks. som ulike soner i en risikomatrise. Akseptabel risiko er risiko som aksepteres i en gitt sammenheng basert på gjeldende verdier i samfunnet og virksomheten. I Norge er hovedregelen at virksomhetene selv setter akseptkriteriene, mens i Storbritannia er det myndighetene som setter disse verdiene (HSE). Det er vanlig å etablere riskoakseptkriterier både for individrisiko og samfunnsrisiko. Individrisiko beskriver risikoen for enkeltindivider, mens samfunnsrisiko (storulykkesrisiko) beskriver risikoen i form av sannsynlighet for ulike konsekvenskategorier (antall drepte). Det er vanlig å operere med ulike risikoakseptkriterer for første, andre og tredjeperson 1. I noen sammenhenger er risikoakseptkriterier satt i form av en risiko per år, mens i andre sammenhenger er risikoakseptkriteriene satt i form av en risiko per time man er eksponert for risiko. 1 Førsteperson er personer som er direkte involvert i aktiviteten ved at de arbeider på anlegget. Andreperson er de som Nyter godt av aktiviteten. For et transportsystem kan det være reisende, her vil andreperson være de som benytter seg av Scangass/Lyse sine produkter. Tredjeperson er personer som indirekte blir berørt av aktiviteten, for eksempel naboer eller personer som krysser en toglinje dersom det er snakk om en transportvirksomhet.
7 3 Risikoakseptkriterier Som angitt i avsnitt 2.1 er risikoakseptkriterier definert som kriterier som legges til grunn for beslutning om akseptabel risiko. All virksomhet er forbundet med risiko, og man aksepterer derfor en viss risiko. I Norge er det virksomhetene selv som setter disse kriteriene, og vanlig praksis er å sette kriteriene i samme størrelsesorden som den risikoen man historisk har erfart. Dette betyr at risikoakseptkriterier kan variere som funksjon av egenart til den virksomhet som vurderes. Vi understreker også at det i risikoanalysemiljøet i Norge er en diskusjon om hvorvidt risikoakseptkriterier skal benyttes i det hele tatt. SINTEF sin vurdering er at det ikke er ensidig bruk av risikoakseptkriterier som gir gode beslutninger om risiko. Risiko skal identifiseres og løftes fram som en viktig del av beslutningsprosessen, men en skjematisk bruk av risikoakseptkriterier er uheldig. I og med at NS 5814 har såpass sterkt fokus på bruk av risikoakseptkriterier velger vi imidlertid å diskutere ulike aspekter av risikoakseptkriterier. I diskusjonen nedenfor starter vi med å diskutere individrisiko, deretter diskuteres samfunnsrisiko (storulykkesrisiko). 3.1 Individrisiko Som en start på diskusjonen om risikoakseptkriterier starter vi med å referere til olje- og gass næringen. Her settes ofte risikoakseptkriterier i størrelsesorden FAR 2 = 10. For denne næringen vurderes det da som uakseptabelt dersom risikoen er høyere enn 10 forventet drepte per hundre millioner arbeidstimer utført. Her understrekes at et slikt kriterium er satt ut fra hva som er mulig å oppnå i olje- og gassnæringen. Andre virksomheter har langt høyere risiko og kan ikke operere med et så lavt risikoakseptkriterium. For eksempel har Utne (2007) analysert risikoen ifbm sjøfiske i Norge. Her varierer risikoen fra FAR = 19 (store torsk- og reketrålere) til FAR = 152 (mindre sjarker). Det virker derfor helt urimelig å betrakte FAR = 10 som et absolutt akseptkriterium så lenge andre yrkesutøvere i Norge eksponeres for en risiko som er 15 ganger høyere. FAR = 10 betyr en årlig dødssannsynlighet på 1.7 10-4 (0.17 ). I Storbritannia er det myndighetene som setter akseptkriteriene. For første og andreperson er grenseverdien for uakseptabel risiko satt ved 10-3 og for tredjeperson er grenseverdien satt til 10-4. Lyse har valgt å følge de krav som er satt i Storbritannia. Vi ser at for første og andreperson er verdien betydelig høyere enn det som olje- og gassnæringen opererer med, mens det er lavere enn risikoen de norske sjarkfiskerne er utsatt for. Det finnes også et annet internasjonalt prinsipp for å fastsette akseptkriterier, det såkalte MEM prinsippet (se f eks EN 50126). Dette prinsippet tar utgangspunkt i en grunnrisiko, og uttrykker at ny aktivitet ikke må gi en tilleggsrisiko som er signifikant i forhold til grunnrisikoen i samfunnet. MEM prinsippet opererer med at en tilleggsrisiko er uakseptabel dersom den for enkeltpersoner representerer en risiko som er større enn 10-5 per år. For å få en følelse med hva grunnrisikoen i samfunnet er, har vi i Tabell 1 listet opp ved hvilke skadesteder ulykker skjer i Norge samt totalrisikoen for å dø i en ulykke: 2 FAR = Fatal Accident Rate (dødsrate). FAR angir forventet antall drepte per 100 millioner utførte arbeidstimer.
8 Tabell 1 antall drepte og tilhørende risiko fordelt over skadested (Kilde SSB 2005) Skadested Antall (per år) Risiko (per år) Bolig og boligområde 339.3 7.5 10-5 Trafikkulykker 318.4 7.1 10-5 Annen ulykke på gate/vei (ikke trafikkulykke) 5.3 1.2 10-6 Barnehage/lekeplass 0.7 1.6 10-7 Skole/skolegård 0.3 6.3 10-8 Sykehus, helse- og pleieinstitusjon 59.7 1.3 10-5 Idrettsanlegg 1.7 3.8 10-7 Friluft, hav, sjø og vann 142.6 3.2 10-5 Annet oppgitt sted 69.3 1.5 10-5 Ukjent skadested 755.0 1.7 10-4 Total 1692.3 3.8 10-4 Drepte i storulykker 34.5 7.7 10-6 Tallene er små, noe som betyr at det er svært liten sannsynlighet for å dø i en ulykke. Men dersom vi betrakter et helt liv (ca 80 år), ser vi for eksempel at totalsannsynligheten for å dø i en ulykke i løpet av livet er i underkant av 3%. Sannsynligheten for å dø i en trafikkulykke er 5 i løpet av et helt liv. Dersom vi holder tallene i Tabell 1 opp mot MEM prinsippet ser vi at MEM prinsippet tillater en tilleggsrisiko på ca 3% i forhold til grunnrisikoen i Norge. Dette er en del strengere enn HSE i Storbritannia setter, hvor en tilleggsrisiko på 25% for tredjeperson aksepteres. Norsk Hydro har håndtert risiko ved landanlegg i Norge over svært lang tid, og det vil derfor også være av interesse å se hvilke verdier Norsk Hydro opererer med. Fra Hydros hjemmeside kan vi finne et overordnet dokument (http://www.hydro.com/upload/7233/hse.pdf) som angir risikoakseptkriterer som Hydro bruker (samme risikoakseptkriterer gjelder for hele konsernet). Hydro har satt følgende risikoakseptkriterier (grenseverdi for uakseptabel risiko): Risk exposed personnel (risikoutsatt personell): 10-3 Control rooms, etc.(kontrollrom mm): 10-4 Off site (tredjeperson): 10-5 For tredjeperson ser vi at Hydros kriterier er på linje med MEM kriteriet, og altså noe strengere enn kravene fra HSE i Storbritannia. I og med at Lyse følger HSE sine kriterier for individrisiko kan det hevdes på dette punktet at Lyse her legger seg litt lavere enn hva andre sammenlignbare aktører gjør. Det må imidlertid understrekes at akseptkriteriet som legges til grunn i seg selv ikke sier noe om hvilken risiko man blir eksponert for. Ofte vil det ikke ha noen betydning hvilke akseptkriterier som settes fordi det såkalte ALARP prinsippet kommer inn som et tilleggskriterium. ALARP kritereit sier at selv om man har en risiko som er lavere en grenseverdien for akseptabel risiko skal man søke å redusere risikoen ytterligere så langt dette er praktisk mulig. Ut fra foreløpige risikoanalyser ser det ut til at individrisikoen for naboer i Tananger er i lavere enn 10-7 per år, som også er betydelig lavere enn risikoakseptkriteriet til f eks Norsk Hydro. For personer som arbeider i Risavika er også risikoen vurdert i størrelsesorden 10-7 per år. Selv om det er fremkommet kritikk mot risikoanalysen som er utført er det vanskelig å se for seg at de endelige vurderingene av risiko som foreligger når anlegget står ferdig på noen som helst måte indikere at risikoen blir uakseptabel i forhold til kriteriene som Lyse har satt. Det er heller ikke svært sannsynlig at nye risikoanalyser vil tilsi at risikoen ville vært uakseptabel dersom Norsk Hydro sine kriterier var lagt til grunn. ALARP ALARP (As Low as Reasonably Practicable) sier at selv om risikoen er lavere en det som er definert som uakseptabelt skal risikoreduserende tiltak implementeres. Dette prinsippet gjelder i
9 det man ofte betegner som ALARP området, eller gult område. Gult område spenner ofte over flere dekader og ofte vil dette være området man opererer innenfor. I sammenheng med ALARP prinsippet innføres ofte også et grønt område. Her vurderes risikoen så lav at det ikke er nødvendig å iverksette ytterligere tiltak. Tabell 2 viser Lyse sine kriterier både for første/andre person og tredjeperson. Vi ser her at grenseverdien mellom gult (ALARP) og grønt (Akseptabelt) område ikke skiller på første/andreperson og tredjeperson. Her er det verdt å merke seg at skille mellom gult og grønt område kun har betydning i forhold til hvilke risikoreduserende tiltak man vil iverksette. Teoretisk kan det tenkes at det finnes risikoreduserende tiltak som har et godt nytte/kost forhold, men som ikke blir iverksatt fordi risikoen er lav. Da risikoen i utgangspunktet da er svært lav, vil det ikke være særlig sannsynlig at det finnes slike risikoreduserende tiltak med et godt nytte/kost tall. Tabell 2 Lyse sine risikoakseptkriterier for individrisiko Risikokategori Individuell risiko (dødssannsynlighet per år) 1.person og 2.person 3.person Uakseptabel > 1 10-3 > 1 10-4 ALARP 1 10-6 til 1 10-3 1 10-6 til 1 10-4 Akseptabelt < 1 10-6 < 1 10-6 Funn 1 Valg av risikoakseptkriterier for individrisiko Lyse har satt sine risikoakseptkriterier i samsvar med HSE i Storbritannia. Dette er noe svakere krav enn hva som er vanlig i Norge. Selve valget ser imidlertid ikke ut til å ha praktisk betydning fordi risikoen foreløpig er fastsatt til et langt lavere nivå. 3.2 Samfunnsrisiko Individrisikoen sier noe om risikoen for enkeltpersoner men kan ikke synliggjøre faren for storulykker. Derfor ønsker man også å synliggjøre storulykkespotensialet og evt sette kriterier knyttet opp mot store ulykker. Begrepet samfunnsrisiko benyttes vanligvis for å beskrive storulykkesrisiko, og den vanligste måten å synliggjøre denne risikoen på er å vise såkalte f-n kurver, eller f-n diagrammer. En f-n kurve viser kumulativ frekvensen f av ulykker med N eller flere drepte som funksjon av N. Det er også vanlig å tegne inn rødt (uakseptabel risiko), gult (ALARP) og grønt (akseptabel risiko) områder i et slikt diagram. Figur 2 viser Lyse sine risikoakseptkriterier for samfunnsrisiko. Vi ser at jo flere antall drepte en ulykke kan ha, jo lavere frekvens aksepteres. På høyre side i diagrammet er det vist forventet antall år mellom forekomster av en ulykke med et visst antall drepte da disse verdiene kan være lettere å forholde seg til enn veldig små sannsynligheter.
10 f = frekvens (sannsynlighet) per år 10-2 En per hundre år 10-3 En per tusen år Uakseptabel risiko 10-4 10-5 ALARP område 10-6 En per million år Akseptabel risiko 10-7 10-8 1 10 100 1 mill. 100000 10000 1000 En per milliard år N = antall omkomne Figur 2 Lyse sine risikoakseptkriterier for samfunnsrisiko For å vurdere Lyse sine risikoakseptkriterier for samfunnsrisiko har vi i Figur 3 ført inn noen typiske storulykker i diagrammet. Hendelsene er noe grovt vurdert, men gir en indikasjon. Først har vi vist storulykker i transportsektoren. Eksempler på slike ulykker er Åstaulykken, Sleipnerulykken, Namsosulykken osv. Slike ulykker har inntruffet flere ganger i tiåret med skadeomfang opp til 25 drepte. Så er det vist store rasulykker i Norge. De største ulykkene har inntruffet når det er gått ras fra fjell ned i innsjøer eller fjorder og medført store flodbølger. Flere slike ras har innruffet hvert hundreår med skadeomfang i størrelsesorden hundre drepte. De to Åknes scenarioene er hentet fra Blikra m.fl (2006) hvor ras fra Åknes er vurdert. To scenarioer er risikovurdert, ett litt mindre ras, og ett større. Disse hendelsene er altså ikke erfart, men scenarioer man frykter i forbindelse med at det er observert utglidninger av partier i fjellet. Storegga scenariet er aktuelt fordi risikoen ble vurdert i forbindelse med utbyggingen av Ormen Lange feltet. For om lag åtte tusen år siden gikk det et stort undersjøisk skred som skapte en Sunamibølge på 10 til 20 meter som dersom den hadde inntruffet i dag trolig ville ta livet av mange titalls tusen innbyggere på Vestlandet og i Trøndelag. Det er svært vanskelig å vurdere frekvensen for et nytt slikt skred. I forbindelse med utbyggingen av Ormen Lange ble det vurdert som svært lite sannsynlig at aktiviteten ville kunne utløse et nytt skred. Pragmatisk har vi her satt frekvensen lik en på 10 000 ut fra at det har skjedd en slik hendelse i en 10 000 års periode. Når vi nå har vist disse hendelsene i diagrammet ser vi at alle hendelsene kommer i rødt område. Dette betyr at risikoakseptkriteriene er satt betydelig strengere enn hva man historisk har erfart av storulykker i Norge. Nå er det åpenbart at mange virksomheter kan bidra til storulykkesrisikoen i Norge, og det er derfor urimelig at en virksomhet som Lyse kan ta hele risikoen som de da heller ikke gjør når vi ser på risikoakseptkriteriene. Vi ser av figuren at grenselinjen mellom rødt og gult område kun representerer i størrelsesorden en prosent av historisk storulykkesrisiko. Kriteriene synes i så måte rimelige.
11 Figur 3 Noen typiske "storulykker" ført inn i f-n diagrammet Det eksisterer også noe ulik praksis mht å fastsette akseptkriterier for storulykker. For eksempel i en nederlandsk studie (Uijt de Haag m fl. 2007) er kriteriene satt i området mellom gult og grønt i forhold til Figur 2. Det bemerkes at det ikke eksistere faste risikoakseptkriterier for samfunnsrisiko i Nederland, men verdiene som det refereres til her er mer av veiledende karakter, og det er uklart om kriteriene skal fortolkes som absolutte, eller mer i betydningen måltall. Funn 2 Valg av risikoakseptkriterier for samfunnsrisiko Lyse har satt sine risikoakseptkriterier som vist i Figur 2 og disse vil ikke representere signifikant økning i samfunnsrisiko for Norge dersom en sammenligner med andre hendelser med storulykkespotensial. I så måte virker kriteriene som er satt rimelige. 3.3 Lokasjonsbaserte kriterier I Nederland opererer man med lokasjonsbaserte kriterier, eller såkalte risikokontur områder. Ideen her er at man beregner dødsrisiko ved ulike avstander fra et anlegg i form av sannsynlighet for å bli drept dersom man er eksponert utendørs et helt år ved den gitte lokasjonen. I Nederland er det satt en grenseverdi på 10-6. Innenfor en risikokontur på 10-6 skal man ikke ha skoler, sykehus eller vanlig boligbebyggelse. Til en viss grad tillates å drive virksomhet innefor 10-6 konturen, men da skal det være særskilte grunner til dette, se (Uijt de Haag m fl. 2007). Det er ikke helt åpenbart hvordan slike konturer skal benyttes i en beslutningssammenheng. Man kan se for seg flere tilnærminger: 1. Grenseverdier for hvor man vil tillate ulike typer virksomhet med hensyn til risikoen som virksomheten blir eksponert fra 2. Grenseverdier for hvor man innenfor konturen kun vil tillate virksomheter å etablere seg dersom kompenserende tiltak iverksettes. Et slikt kompenserende tiltak vil være konstruksjonsmessige tiltak. 3. Grenseverdier hvor an ikke vil tillate aktivitet som kan utgjøre en risiko for anlegget som vurderes (her LNG anlegget). Dette kan være begrunnet ut fra for eksempel risiko for at
12 medfølgende aktivitet kan antenne en evt gasslekkasje. Et slikt område er betegnet Sikringsfelt. Lyse har ikke eksplisitt satt noen krav i forhold til perspektiv 1 og 2 ovenfor, men det er satt en grenseverdi på 10-5. Innenfor 10-5 -konturen (sikringsfelt) er det begrensninger med hensyn til hvilken aktivitet som tillates. Dersom vi ser på akseptkriteriene for individrisiko (Tabell 2) vil et 10-6 kriterium gi føringer for risikoer i grønt område fordi personer ikke vil oppholde seg 100% av tiden innenfor denne risikokonturen. Dersom man for eksempel vil tillate virksomhet mellom 10-6 og 10-5 konturene skal dette medføre at risikoreduserende tiltak vurderes, og disse skal etter ALARP kriteriet implementeres dersom kostnadene ikke er urimelig høye i forhold til hva sikkerhetsgevinsten er. Dersom man ikke vil fastsette eksplisitte sikkerhetskostnader for eksempel i form av verdien av et statistisk liv, kan man alternativt kreve at risikoreduserende tiltak skal iverksettes mht til at individrisikoen høyst blir 10-6 for de som er eksponert i dette området. Dette kan for eksempel resultere til krav til dimensjonering. En litt annen tilnærming vil være å foreta en eksplisitt nytte/kost betraktning av dimensjoneringstiltak. Det vil i så fall kreve at verdivalgene gjøres eksplisitte i form av hvor mye vi vil betale for å spare et statistisk liv. Som et utgangspunkt for en slik diskusjon kan man ta tallmaterialet fra Transportøkonomisk institutt (TØI) hvor et statistisk liv er verdsatt til 25 millioner kroner. En studie av Hokstad & Vatn (2008) antyder at det kan være grunn til å øke denne kroneverdien dersom det er snakk om en storulykke. Da en evt ulykke i denne sammenhengen med stor sannsynlighet vil lede til en storulykke, vil en verdi på i størrelsesorden 40 millioner kroner være et utgangspunkt for en diskusjon. Funn 3 Lokasjonsspesifikke kriterier Lyse har ikke satt eksplisitte kriterier som begrenser etablering innenfor visse risikokonturer ut over en begrensning i forhold til aktiviteten kan medføre risiko for anlegget. Et 10-6 kriterier kan vurderes ut fra føringer dette vil gi i forhold til dimensjonering.
13 4 Årsaksanalysen Målet med årsaksanalysen er å finne årsaker til at uønskede hendelser kan inntreffe. Som en del av årsaksanalysen fastsettes også sannsynlighet for de ulike uønskede hendelser Eksempel på en uønsket hendelse er en gasslekkasje, eller søl under fylling til LNG skip. Årsaksanalysen gjennomføres på ulike tidspunkt gjennom et prosjekt. I en tidligfase studie (jmfr den såkalte Advantica rapporten ) er detaljer om anlegget ukjent. I detaljeringsfasen når design med mer kommer på plass, kan man få et bilde av risiko som reflekterer kunnskap man har om anlegget. Det betyr Risikoanalyser gjennomføres i ulike faser av et prosjekt. I en tidlig fase av et prosjekt er den detaljerte utformingen av et anlegg ofte ikke bestemt. Dette betyr at risikoanalysen i tidlig fase er grov, og ofte veldig generell. For eksempel vil sikkerhetssystemene ofte ikke være designet, og i analysen tar man da gjerne utgangspunkt i gjennomsnittsverdier for påliteligheten av sikkerhetssystemer for slike anlegg. Den såkalte Advanticarapporten er en analyse som er utført i en slik tidlig konseptfase. Det Norske Veritas (DNV) har kvalitetssikret Advantica sin rapport på oppdrag fra Direktoratet for Samfunnssikkerhet og Beredskap og har ingen merknader når det gjelder lekkasjefrekvenser som er benyttet av Advantica. Etter hvert som et prosjekt utvikler seg vil flere og flere av de tekniske løsningene komme på plass, og det er mulig å oppdatere analysene i lys av den løsning som faktisk velges. Erfaring viser at svært mange ulykker kan knyttes til manglende vedlikehold eller andre problemer knyttet til drift og vedlikehold. Vedlikeholdsprogrammet og andre operative prosedyrer vil ofte først komme på plass like før anlegget settes i drift. Også her må analysene oppdateres etter hvert som ting faller på plass. Oppfølging av sikkerhet i en driftsfase diskuteres i avsnitt 9. For anlegget i Risavika er den detaljerte utformingen av sikkerhetssystemer, vedlikehold og driftsprosedyrer ennå ikke på plass. Det betyr at de gjennomførte risikoanalyser har lagt gjennomsnittsverdier til grunn. Konkret betyr det at dersom Lyse velger dårlige tekniske løsninger, et reaktivt vedlikeholdsprogram og lite gjennomtenkte driftsprosedyrer kan risikoen bli betydelig høyere enn hva risikoanalysene viser. På den andre side vil risikoen kunne bli betydelig lavere dersom Lyse velger gode tekniske løsninger, et proaktivt vedlikeholdsprogram og gjennomtenkte driftsprosedyrer. Det er det tyske firmaet Linde som står for byggingen av selve prosessanlegget på LNG anlegget. Linde utfører i parallell med enginering av prosessanlegget risikoanalyser. Disse analysene vil ha et større presisjonsnivå enn de sannsynlighetsvurderingene som ble foretatt av Advantica i en tidlig fase. Når Linde sine risikoanalyser foreligger er det mulig å få et mer realistisk risikobilde for det anlegget som faktisk bygges. Lindes analyse vil nok i hovedsak fokusere på sannsynlighetsdelen av analysen, men det forventes også at en del av konsekvensanalysene blir oppdatert. Funn 4 Årsaks/sannsynlighetsvurdering Sannsynlighetsvurderingene som ligger til grunn for de kvantitative risikoanalysene er basert på historiske verdier anbefalt av HSE i Storbritannia. Disse representere i så måte gjennomsnittsverdier. Det er ingenting som tilsier at det ikke skal være mulig å oppnå minst lik god sikkerhet som disse foreløpige analysene tilsier, men her må man vente på resultater fra de analyser som nå pågår parallelt med detaljutforming av anlegget.
14 5 Konsekvensanalysen I en konsekvensanalyse belyses hendelsesforløpet etter at en uønsket hendelse har inntruffet. En mengde scenarioer danner grunnlaget for konsekvensberegninger. Hvert scenario tar utgangspunkt i en konkret uønsket hendelse, og fysiske modeller benyttes for å si noe om skadeomfang. De scenarioer som bidrar mest til storulykkesrisikoen for anlegget i Risavika tar utgangspunkt i at det blir en større gasslekkasje fra anlegget. Gassen vil ikke bli antent umiddelbart men bevege seg opp til flere hundre meter langs bakken før den eventuelt antennes å kan medføre enorme skader i nærheten av der antennelse og eksplosjon finner sted. Det er to typer usikkerhet som her inngår i beregningene. Den første usikkerheten betegnes ofte aleatorisk usikkerhet og representerer en variabilitet i inngangsstørrelsene i analysen. Typisk representerer værforholdene en slik aleatorisk usikkerhet fordi vi ikke vet hvilket vær det vil være ved en eventuell lekkasje. For å håndtere denne variabiliteten varieres inngangsparameterene i de fysiske modellene ut fra for eksempel værstatistikk, og man får på denne måten fram en sannsynlighetsfordeling over konsekvensen av et scenario. Den andre typen usikkerhet som er relevant her er såkalt epistemisk usikkerhet. Epistemisk usikkerhet uttrykker manglende kunnskap om et fenomen som analyseres. Epistemisk usikkerhet kan reduseres ved at det foretas med forskning som gir større kunnskap om et fenomen. Epistemisk usikkerhet kan også reduseres ved at det utføres mer detaljerte analyser. Selv om det over flere tiår er forsket på, og foretatt forsøk med gassspredninger, brann og eksplosjoner er det fortsatt vurdert som relativt stor usikkerhet knyttet til hvordan en gasslekkasje vil fysisk oppføre seg. I en nederlandsk studie som sammenligner ulike modeller for beregning av lokasjonsspesifikke risikokonturer er det fremkommet at variasjonen her er større enn en dekade mht radius for 10-6 konturen. Advantica som har utført konsekvensbergningene har basert beregningene på verktøy de selv har utviklet gjennom mange år. De fysiske modellene som ligger i verktøyene er basert på en rekke empiriske forsøk. Mange av disse forsøksresultatene er publiserte og er i så måte underlagt en vitenskapelig kontroll. På dette området vil det imidlertid alltid være et spørsmål om hvor relevant utførte forsøk er for den situasjonen som nå skal undersøkes. Derfor vil det være ønskelig å teste noen av scenarioene i Risavika opp mot andre forsøksresultat. For eksempel har Shell utført forsøk med utslipp av LNG til sjø, og resultatene fra disse forsøkene vil være interessante her. I konsekvensanalysene som Advantica har utført er resultatene presentert som f-n kurver for hvert av de 24 utslippsscenariene som er analysert. Hver slik f-n kurve er kommet fram ved at initialbetingelsene er variert ut fra statistisk variasjon. De scenarioene som bidrar mest til storulykkesrisiko er: 15 - Brudd på LNG lagringstank 22 - Større lekkasje fra LNG-fartøy ved kai Advantica har dokumentert grunnlaget for analysen på en måte som ikke kan sies å være dårligere enn hva som er vanlig praksis for slike analyser. Det ville imidlertid vært ønskelig med en enda grundigere dokumentasjon av forutsetninger, og følsomhetsanalyser for ulike sett av forutsetninger i analysene. For eksempel ved å variere lekkasjestørrelsene kunne man i større grad fått fram de verst tenkelige scenarioene ( worst case scenarier ). Dette er diskutert i avsnitt 7 - Videre arbeid med risikoanalysene. I konsekvensberegningene er det også lagt til grunn hvilken dimensjonering bygninger i nærheten av anlegget har. Det er her påpekt av eksperter på konstruksjonsteknikk at disse kravene er urealistisk høye, noe som kan tyde på at risikoen egentlig er undervurdert for personer som oppholder seg i slike bygg.
15 Funn 5 Konsekvensvurderinger I de konsekvensanalysene som er gjennomført av Advantica har man basert seg på resultater fra publiserte empiriske forsøk. Analysene er gjennomført og dokumentert på en måte som er på høyde med det som er vanlig praksis. For å få større tillitt til resultatene ville det vært ønskelig at ulike følsomhetsanalyser ble gjennomført slik at effekt av ulike forutsetninger ble eksplisitt belyst. Det foreslås i det videre arbeidet å foreta supplerende følsomhetsanalyser for et eller flere scenarier. En del forutsetninger lagt til grunn er også betvilt av fageksperter på konstruksjonsteknikk, og det foreslås derfor at dette også undersøkes.
16 6 Risikobildet ut fra analyser i en tidlig konseptfase Risiko er beregnet ut fra kunnskap om anlegget i en tidlig konseptfase. Analysene skal oppdateres med kunnskap om den konkrete utformingen av anlegget. 6.1 Samfunnsrisiko I Figur 4 er beregnet totalrisiko ut fra konseptanalysen gjengitt. Kurven ligger i sin helhet i gult eller grønt område. Med hensyn på den delen av kurven som angir storulykkesrisiko ligger kurven i grønt område. Ut fra de analyser som er utført i en tidlig konseptfase, er storulykkesrisikoen svært liten sammenlignet med risikoakseptkriteriene. Det er viktig å understreke at det eksisterer en risiko for en stor ulykke som kan ta livet av en stor del av Tanangers befolkning. Sannsynligheten for en slik hendelse er imidlertid betydelig mindre enn sannsynligheten for andre ekstreme hendelser av samme omfang, jmfr historiske hendelser vist i samme figur. Det understrekes også at risikobildet presentert i Figur 4 er basert på en tidlig konseptanalyse. Når detaljutforming av anlegget kommer på plass kan risikobildet bli noe endret. Det er imidlertid lite trolig at nye analyser som tar inn det aktuelle designet som velges vil medføre at risikoen nærmer seg rødt område mht storulykkesrisiko. Det skal også svært mye til for at eventuelle optimistiske antagelser lagt til grunn i konseptanalysen tilsier at de endelige beregningene skal vise risiko i rødt område. f 10-2 10-3 10-4 10-5 Storulykke, transport Loen, Tafjord, med mer (historiske) Åknes 10 mill. m 3 Åknes > 35 mill. m 3 Storegga (Ormen Lange) 10-6 10-7 10-8 Beregnet totalrisiko (konseptanalyse) N 1 10 100 10000 1000 1 mill. 100000 Figur 4 Beregnt f-n kurve (fra Advantica-rapport) 6.2 Individrisiko I analysen til Advantica er det også beregnet individrisiko for tredjeperson. Analysen viser at risikoen for bedriftsnaboer sør for anlegget er i størrelsesorden 10-7. og for befolkningen i
17 Tananger er risikoen i størrelsesorden 5 10-8. Individrisikoen er i grønt område i henhold til aksepkriteriene i Tabell 2. 6.3 Lokasjonsspesifikk risikokonturer I Advantica sin analyse er lokasjonsspesifikk risiko også beregnet i form av risikokonturer. I Figur 5 er risikokonturer fra analysen gjengitt. Kurvene viser risikoen for personer som er eksponert utendørs 100% av tiden. Ut fra de forutsetninger som er lagt til grunn i analysen betyr dette at å oppholde seg innenfor den innerste kurven permanent vil kunne gi en økt risiko sammenlignet med grunnrisikoen vi er eksponert for, jmfr Tabell 1. I området mellom de to innerste kurvene er risikoen liten sammenlignet med grunnrisikoen. Det vil si at det er tryggere å oppholde seg i dette området enn det er å utsette seg for de risikoer man vanligvis er eksponert for. Å oppholde seg permanent innefor den oransje kurven gir økt risiko sammenlignet med grunnrisikoen vi utsettes for Å oppholde seg permanent mellom oransje og gul kurve gir liten tilleggsrisiko sammenlignet med grunnrisikoen Å oppholde seg permanent utenfor den grønne kurven gir svært liten risikoøkning sammenlignet med grunnrisikoen Figur 5 Risikokonturer (Dødssansynlighet per år ved opphold ute i 100% av tiden. Fra Advantica rapport) Dersom man innfører et regime slik man har gjort i Nederland, jmfr avsnitt 3.3, skal man ikke legge skoler, sykehus og lignende innenfor den tredje innerste sirkelen. I så måte kan det stilles spørsmålstegn ved ferjeterminalen dersom man legger de nederlandske kriteriene til grunn. Som antydet i avsnitt 3.3 kan man isåfall gjennomgå konstruksjonsdesign for bygninger i området mellom den nest innerste og tredje innerste sirkelen. Her kan det være naturlig å stille krav til design slik at innendørs risiko i bygninger er mindre enn 10-6 per år.
18 7 Videre arbeid med risikoanalysene 7.1 Sannsynlighetsvurderinger Som påpekt i avsnitt 4 så er de fastsatte sannsynligheter for de ulike scenarioene etablert med utgangspunkt i gjennomsnittsverdier for tilsvarende anlegg. Linde som har ansvar for bygging av prosessanlegget utfører nå risikoanalyser som vil ta høyde for det faktiske design av anlegget. Dette betyr at valg av løsning med hensyn på sikkerhetsventiler, antall lekkasjepunkter osv nå blir tatt inn i analysene. I hovedsak vil sannsynlighetsvurderingene (frekvenser av scenarioer det regnes på i konsekvensvurderingene) nå bli basert på: Aktuelt design (konfigurasjon av sikkerhetsventiler, antall lekkasjepunkter, aktivitetsprofil med mer) Feilrater for utstyr som inngår Vedlikeholdsprogram Feilratene (pålitelighetsdata) vil ved analysene som nå gjennomføres fortsatt være basert på historiske feilrater. De feilrater man vil erfare på anlegget vil derfor fortsatt være ukjent, og et regime for oppfølging av pålitelighetsparametrene er påkrevd for å sørge for at forutsetningene som legges nå holder i en driftsfase. Se avsnitt 9 for videre diskusjon. Forskjellen mellom Advantica sin analyse og Linde sin analyse er at man i Linde sin analyse kan ta høyde for aktuelt design og vedlikeholdsprogram. Pålitelighetsparametere (feilrater med mer) vil fortsatt være basert på generiske data. 7.2 Konsekvensvurderinger SINTEF sin vurdering er at de konsekvensberegninger som Advantica har gjennomført holder den kvalitet som er vanlig for slike analyser. Det er imidlertid kommet en del viktige merknader til gjennomførte analyser som SINTEF foreslår blir sett nærmere på. Dette gjelder: 1. Forutsetninger lagt med hensyn til bygningers motstandskraft mot trykkbølger ved en eventuell eksplosjon. En undersøkelse her vil omfatte vurdering av konstruksjonsprinsipper (dimensjonering av bygninger). 2. Usikkerhet med hensyn til hvordan store mengder utslipp av LNG til vann vil oppføre seg. Shell har gjennomført fysiske forsøk som vil være av interesse å studere med hensyn til overføringsverdi for de scenarioer som Advantica har analysert. 3. Utvikling av et Worst Case Scenarioer for å tydeliggjøre tenkte hendelsesforløp for de mest alvorlige scenarioene med hensyn hva som fysisk skjer, og hvilke viktige faktorer/forhold som påvirker et slikt scenario. 7.3 Worst Case Scenarioer Å synliggjøre ett eller flere worst case scenarioer er ønskelig av ulike grunner: Noen interessenter ønsker å vite hvor galt kan det gå? Scenarioene kan til en viss grad benyttes til å dimensjonere beredskap Scenarioene vil kunne belyse viktige usikkerhetsfaktorer som ligger til grunn for QRAen (QRA = kvantiativ risikoanalyse) Et worst case scenario sier ikke at det vil gå så galt som scenarioet indikerer, men sier noe om hva som skjer dersom alle forhold er mest mulig ugunstige. Et worst case scenario representerer ofte et lite risikobidrag, og er således ikke så viktig for å synliggjøre totalrisikoen. En gjennomgang av et worst case scenario kan imidlertid fungere som en kvalitetssikring av de
19 konsekvensberegninger som er foretatt ved at scenarioet ikke bør gi et risikobidrag som er høyere enn det som f-n kurven for scenarioet viser. Det foreslås å ta utgangspunkt et lekkasjescenario. Dette kan være ett av de 24 scenarioene som Advantica analyserte, men man skal nå bli mer konkret på mellom annet: Volum, velg stort volum Varighet, velg lang varighet av utslippet Vindretning: Mest ugunstig, to retninger foreslås vurdert (i) mot Hummern (med hensyn på befolkningen i Tananger) og mot ferjeterminalen. Vindstyrke: Mest ugunstig (1 meter per sekund) Antennelsestidspunkt: Mest mulig ugunstig, dvs når en gass-sky passerer et område med mange personer. For å beskrive scenarioet vil det være viktig å synliggjøre tidsutviklingen, dette omfatter å studere følgende størrelser som funksjon av tid etter startpunkt for lekkasjen ved forskjellige avstander fra lekkasjepunktet (f eks 300, 600, og 900 meter): Mengde Konsentrasjon (nedre og øvre antennelsesgrense) Eksplosjonstrykk Dødssannsynlighet (inne/ute) Dødssannsynligheten inne i bygninger vil avhenge av bygningens konstruksjon. Figur 6 viser en prinsippskisse. I denne figuren er det antatt større sannsynlighet for å dø dersom man oppholder seg utendørs i forhold til inne i bygninger. Dette vil imidlertid kunne bli omvendt dersom bygningen har en svak konstruksjon. Figur 6 Skjematisk illustrasjon av dødssannsynlighet som funksjon av antennelsestidspunkt I Figur 7 har vi synliggjort barrierene eller de forhold som skal til for at et Worst case scenario skal inntreffe. De hullene i de grå parallellogrammene representerer de ugunstige forholdene som må inntreffe dersom vi skal få et slikt worst case scenario. Som vi ser så er det svært mange ugunstige forhold som må inntreffe for at vi skal få en hendelse med svært mange drepte. Ved analysen av et slikt scenario er det mulig å fastsette sannsynlighetene for hver av barrierene slik at vi kan beskrive kvalitativt hendelsesforløpet, og støtte opp med kvantitative
20 sannsynlighetsvurderinger. Den blå ellipsen i Figur 7 er da et mulig bidrag til f-n kurven for dette worst case scenarioet. Dersom ellipsen ligger ovenfor f-n kurven for tilsvarende scenario i Advantica rapporten, viser dette at Advanticarapporten enten inneholder beregningsfeil, eller at den har lagt mindre konservative vurderinger til grunn. I så fall er det grunn til å gå tilbake for å undersøke hvor eventuelle forskjeller ligger. Det er imidlertid trolig at bidraget fra dette Worst case scenariet ligger under f-n kurven fordi det er sjeldent at et worst case scenario gir det største bidraget til totalrisikoen, det er ofte mindre alvorlige men mer sannsynlige scenarioer som bidrar til totalrisikoen. f 10-2 10-3 Lekkasje Stor lekkasje 10-4 Vindretning 10-5 10-6 Vindstyrke 10-7 Tidspunkt antennelse 10-8 Mulig bidrag fra Worst Case scenario 1 10 100 N 100000 10000 1000 1 mill. Figur 7 Synliggjøring av barrierer i et "Worst case scenario
21 8 Eksempel på risikoreduserende tiltak Det rapporteres om at et LNG anlegg i Shetland har montert fakkelsystem for å antenne gass ved en evt gasslekkasje. En begrunnelse for et slikt system er at det alvorligste scenarioet sett fra 3dje part er at det blir en stor gasslekkasje som ikke antennes før den når naboene i Tananger eller ferjeterminalen. Sannsynligheten for en slik hendelse forventes å bli betydelig redusert dersom man har en mengde med fakler som står og brenner for derved å kunne antenne en eventuell gasslekkasje. I forhold til Figur 7 er det barrieren tidspunkt for antennelse man således ønsker å påvirke, dvs sørge for at en evt gassky antennes før den når områder med mange personer. Ulike operasjonsstrategier for et slikt fakkelsystem kan tenkes: 1. Systemet er kontinuerlig på, dvs det står å brenner hele tiden. Dette vil trolig være den sikreste strategien mht storulykkesrisiko, men løsningen vil trolig være den mest kostbare, og vil også kunne representere et lite forurensningsproblem. 2. Fakkelsystemet benyttes kun ved lasting til skip og lastebil. Det vil si at det ikke brennes gass normalt, men en liten pilotflamme skurs på ved lasting for å antenne evt gass ved disse kritiske operasjonene. 3. Fakkelsystemet er i utgangspunktet ikke satt på, men startes kun dersom en gasslekkasje oppdages enten ved gassdetektorer eller manuell observasjon. Det er viktig å understreke at et slikt system ikke er det ordinære fakkelsystemet. Det ordinære fakkelsystemet er tenkt for å ta hånd om gass som oppstår i prosess-systemet eller fra tanken under vanlig produksjon. Denne gassen kan da kontrollert ledes til fakkelsystemet for å bli avbrent der. Fakkelsystemet som er beskrevet ovenfor må plasseres på strategiske punkter for å antenne gass som har lekket ut på en eller annen måte, og således ikke er under kontroll. Det understrekes også at det kan være konflikt mellom 1. og 3. person. Å antenne et stort gassutslipp vil i så å si alle tilfeller redusere storulykkesrisikoen, men det kan tenkes å øke risikoen for førsteperson. Operasjonsstrategi 3 ovenfor synes derfor å best kunne ballansere risiko mellom første- og tredjeperson. Som en del av en slik fakkelstrategi kan man også tenke seg mer målrettet strategier for å antenne en gasssky, f eks ved å skyte ut raketter med sporlys (avansert nyttårsrakket ). Poenget er å få antent gasskyen før den når områder med mange personer. SINTEF har foreløpig ikke vurdert sikkerhetsgevinsten ved et slikt system, men med hensyn på storulykkesrisiko er det rimelig å anta en gevinst på mellom en og to dekader. Det vil si at systemet i stor grad vil kunne kompensere for evt risikoøkning som måtte ligge i mulige feilaktige forutsetninger i analysen til Advantica (se Figur 4). Funn 6 Risikoreduserende tiltak Ovenfor har vi skissert et tiltak som vil kunne gi betydelig risikoreduksjon. Selv om tiltaket eksplisitt ikke er modellert per i dag, er det grunn til å tro at en hensiktsmessig implementering av tiltaket vil kunne redusere storulykkesrisikoen med en faktor mellom 10 og 100. Tiltaket vil imidlertid kunne gi økt risiko for førsteperson, og tiltaket må derfor nøye vurderes.
22 9 Oppfølging i drift Som indikert i avsnitt 7.1 vil frekvensene av lekkasjescenarioene som er analysert i konsekvensanalysen være en funksjon av: Aktuelt design (konfigurasjon av sikkerhetsventiler, antall lekkasjepunkter, aktivitetsprofil med mer) Feilrater for utstyr som inngår Vedlikeholdsprogram Hvilke feilrater man vil erfare i drift, og hvilket vedlikeholdsprogram som faktisk følges vil være svært vanskelig å forutsi ved oppstart av anlegget. Derfor er en viktig del av moderne risikostyring å følge opp kritiske forhold gjennom en driftsfase. I Norge har vi lagt internkontrollprinsippet til grunn, noe som betyr at det er virksomhetene selv (dvs Lyse/Scangass) som skal etablere et slikt oppfølgingsprogram. Myndighetenes rolle (her DSB) vil være å kontrollere at risikostyringssystemet faktisk fungerer. I de fleste av dialoggruppene har det kommet fram at man generelt er skeptisk til DSB sin evne til å følge opp sitt ansvar her. Argumenter som har kommet fram er: Risavika er ett av de første LNG anlegg i Norge DSB har ikke erfaring med tilsyn av slike anlegg DSB vurderes generelt til å ha lavere kompetanse enn PTIL Det er derfor mange som har pekt på at det heller burde vært Petroleumstilsynet (PTIL) som stod for godkjenning og oppfølging av et slikt anlegg. SINTEFs vurdering er at DSB har lang erfaring med oppfølging av landanlegg. Videre er rolledelingen mellom DSB og PTIL fastsatt slik at det ikke er noe alternativ å skifte tilsynsmyndighet. Det som imidlertid er viktig er å sørge for at den beste kunnskapen som DSB og PTIL har til sammen blir benyttet her. Konkret vil SINTEF foreslå oppfølgingspunkter, og noen av disse skisseres som et utkast nedenfor. 9.1 Lekkasjefrekvenser og lekkasjestørrelser slik det praktiseres offshore Som en del av kartlegging av risikonivå på norsk sokkel (RNNS) er operatørene pålagt å rapportere gasslekkasjer til PTIL. Et slikt regime vil også være viktig for anlegget i Risavika slik at man i størst mulig grad kan forvisse seg om at situasjonen mht gasslekkasjer ikke er verre enn det som er lagt til grunn i risikoanalysene. Det er også viktig at det dokumenteres årsakene til lekkasjer, og at tiltak iverksettes for å eliminere mulige systematiske feil. Det understrekes at DSB i dag stiller krav til alle aktører som håndterer farlig gods at uhell skal innrapporteres til DSB. Det viktige framover er derfor å sikre at rapporteringsformat er hensiktsmessig med hensyn på (i) å verifisere at rapportene er på et slikt format at de kan benyttes til å forsikre seg om at risikoen ikke er større enn antatt i risikoanalysene, (i) at man har mulighet til å følge trender, og (iii) at systematiske feil identifiseres og i størst mulig grad elimineres. 9.2 Status på sikkerhetsbarrierene sin pålitelighet Som en del av RNNS prosjektet offshore stilles det også krav til at viktige sikkerhetsbarrieres følges med hensyn på at sikkerhetsintegriteten er i varetatt. For instrumenterte sikkerhetssystemer (Safetyinstumented systems = SIS) er et slikt regime for oppfølging foreslått i Appendix F av OLF guideline 70. Målet er å verifisere at den innebygde påliteligheten i sikkerhetssystemene er så god som det var forutsatt i risikoanalysene. Dersom påliteligheten er dårligere må dette kompenseres for med økt funksjonstesting (vedlikehold) av disse systemene slik som angitt i OLF guideline 70. I tillegg til å vise aktuell status på sikkerhetssystemene, er det også her viktig å
23 synliggjøre evt negative trender. En viktig trussel mot integriteten til sikkerhetssystemer er såkalte fellesfeil (common cause failures). Fellesfeilbidraget er ofte knyttet til systematiske feil, og det er derfor også mht sikkerhetssystemer viktig å analysere evt feil for å avdekke systematiske feil, og i størst mulig grad eliminere disse. 9.3 Rapportering av etterslep i vedlikehold Erfaring viser at det er vanskelig å følge et vedlikeholdsprogram til punkt å prikke. Planlagte vedlikeholdsoppgaver som ikke blir utført betegnes etterslep ( backlog på engelsk). Etterslep i vedlikeholdet betraktes som en viktig risikofaktor mht storulykkesrisiko, se stortingsmelding 12 i perioden (2005-2006). Det er derfor viktig å etablere et regime for å følge opp etterslep på sikkerhetskritisk utstyr. Dette betyr også at det må etableres en rangert liste over utstyr som bidrar betydelig til risiko. NORSOK Z-0008 er en standard for å gjennomføre slike analyser. Standarden har imidlertid betydelig svakheter slik at SINTEF vurderer denne standarden som et minimumskrav.