Revisjonsrapport Rapport Rapporttittel Aktivitetsnummer Tilsyn med tekniske og operasjonelle barrierer på Goliat FPSO 014229026 Gradering Offentlig Unntatt offentlighet Begrenset Fortrolig Strengt fortrolig Involverte Hovedgruppe Oppgaveleder T-2 Bård Johnsen Deltakere i revisjonslaget Dato Siv Eeg, Odd Thomassen, Harald Thv. Olstad og Bård Johnsen 25.4.2012 1 Innledning Petroleumstilsynet (Ptil) gjennomførte i perioden 15.-22.3.2012 tilsyn med Eni Norge AS (Eni) sin etterlevelse av krav til etablering og implementering av tekniske og operasjonelle barrierer i utbyggingsprosjektet. Tilsynet ble gjennomført med møte i Enis lokaler på Forus 15.3.2012 med påfølgende revisjon hos Hyundai Heavy Industries (HHI) i Ulsan, Sør-Korea i perioden 20.-22.3. 2012. Tilsynet var en oppfølging og videreføring av våre tidligere gjennomførte barrieretilsyn med Goliat FPSO innenfor fagområdet prosessintegritet i 2010 og 2011. 2 Bakgrunn Barrierer er også i år en av Ptil sine fire hovedprioriteringer. Erfaring viser at aktørene i varierende grad har implementert regelverkets krav til barrierer. Robustgjøring av barrierer i de ulike faser i et anleggs livssyklus har utviklet seg i forskjellig retning og har forskjellig modenhet. Svikt og svekkelser i et eller flere barriereelementers ytelse er en gjennomgående årsaksfaktor ved hendelser. Dette krever større oppmerksomhet og tettere oppfølging både fra aktørene og myndighetene for å sikre kontinuerlig forbedring. Observasjoner fra tidligere tilsyn med Goliat-prosjektet viser at det er behov for videre oppfølging. 3 Mål Formålet med tilsynsaktiviteten var å følge opp hvordan Eni sikrer etterlevelse av krav til etablering og implementering av tekniske og operasjonelle barrierer i utbyggingsprosjektet. Vi la spesiell vekt på hvordan Eni i samarbeid med HHI sikrer bedre forståelse av: - samspillet mellom operatør, utbyggingsprosjekt, leverandører og driftsforberedelser
2 - sammenhengen mellom den kvantitative risikoanalysen, dimensjonerende ulykkeslaster, designlaster, sikkerhetsstrategier og barriereelementenes ytelseskrav i et livsløpsperspektiv Det primære hjemmelsgrunnlaget for aktiviteten er: - Styringsforskriften 4 om risikoreduksjon, 5 om barrierer og 21 om oppfølging - Innretningsforskriften 8 om sikkerhetsfunksjoner samt utvalgte i kapittel V om fysiske barrierer Tilsynet var begrenset til fagområdene prosessikkerhet og teknisk sikkerhet. 4 Resultat Resultatene bygger på ENIs styrende dokumenter, presentasjoner og samtaler med nøkkelpersonell samt verifikasjoner knyttet til utvalgte tema. Tilsynet var godt tilrettelagt og både presentasjoner og samtaler viste stor grad av åpenhet. Det ble avdekket fire avvik knyttet til følgende områder: - Barrierestyring; - konkretisering og konsistens mellom sikkerhetsstrategi, ytelsesstandarder og underliggende prinsipper, spesifikasjoner og retningslinjer - Risikoreduksjon; - ALARP (As low as reasonably practicable ) prosess - Prosessikringssystem; - uavhengighet og sårbarhet til Software valve interlock for trykksikring av innløpsarrangementet - Kvalifisering og bruk av ny teknologi; - vinteriseringsveggen for prosessanlegget Videre ble det identifisert følgende syv forbedringspunkt: - Kvantitativ risikoanalyse; - formål, anvendelse, begrepsbruk og tidsriktig oppdatering i prosjekteringsfasen - Implementering og verifisering av Safety Integrity Level (SIL) krav - Gassutslippssystem; - dokumentasjon av valgt løsning - Ytelseskrav til nødavstengningsventilene - Cargo pump room ; - gasspredingsanalyser basert på mekanisk ventilasjon og potensielle gasslekkasjer - ATEX implementering; - ikke elektrisk utstyr - Nødgeneratorenheten; - uavhengighet og sårbarhet 5 Observasjoner Ptils observasjoner deles generelt i to kategorier: Avvik: Knyttes til de observasjonene hvor vi mener å påvise brudd på regelverket. Knyttes til observasjoner hvor vi ser mangler, men ikke har nok opplysninger til å kunne påvise brudd på regelverket. 5.1 Avvik 5.1.1 Barrierestyring Det er fremdeles mangelfull konkretisering og konsistens mellom sikkerhetsstrategi og ytelsesstandarder og underliggende prinsipper, spesifikasjoner og retningslinjer som skal
3 legges til grunn for utforming, bruk og vedlikehold av barrierer, slik at barrierenes funksjon blir ivaretatt gjennom hele innretningens levetid. Beslutningsgrunnlaget og -kriteriene er ikke i tilstrekkelig grad basert på de fastsatte målene og prinsippene for barrierestyring. Nødvendig samordning av beslutninger på ulike nivå og ulike områder som skal bidra til at det ikke oppstår utilsiktede effekter, er heller ikke tilfredsstillende ivaretatt. Sikkerhetsstrategien og ytelsesstandardene er forbedret siden vårt forrige tilsyn i 2011, men de er fremdeles ikke i tilstrekkelig grad utdetaljert og egnet som beslutningsunderlag for designløsningene. Utviklingen av sikkerhetsstrategien samt detaljeringsgraden i ytelsesstandardene ivaretar ikke i tilstrekkelig grad regelverkskravet i styringsforskriftens 5 om barrierer og den tilnærmingen som beskrives i de anbefalte standardene ISO 13702 og Norsok S-001. Strategi og ytelsesstandardene inneholder fremdeles mange generelle og overordnede kravformuleringer og mangler tydelig konkretisering av hva barrierestyringsprosessen og de generelle krav faktisk har resultert i av spesifikk strategi og ytelseskrav gjeldende for Goliat FPSO. Mangelfull konkretisering og detaljering av Goliat spesifikke ytelseskrav kan gi store utfordringer i ferdigstillelsesfasen og videre i drift- og vedlikeholdsfasen. Styringsforskriften 5 om barrierer. 5.1.2 Risikoreduksjon Avvik: Mangelfull etterlevelse av regelverkets krav til risikoreduksjon. Under samtaler og presentasjoner av prosjektets ALARP - register og ALARP - rapport ble det identifisert mangelfull etterlevelse av prosjektets styrende dokument 229A-HHI- S-RA-0034 Detailed design ALARP report, (jamfør Figure 1 ALARP process). Mangelfull samordning og beslutningsprosess knyttet til ALARP tiltak. HHI har sitt eget ALARP- register, mens Eni har etablert et samlet ALARP - register for hele Goliat prosjektet. Det ble identifisert uoverensstemmelser mellom disse ALARP- registrene. Det var av den grunn uklart for oss hvilke risikoreduserende tiltak som var identifisert, under behandling, besluttet implementert eller avslått. Styringsforskriften 4 om risikoreduksjon. Rammeforskriften 11 om prinsipper for risikoreduksjon. 5.1.3 Software valve interlock for trykksikring av innløpsarrangementet
4 Avvik: Valgt løsning for trykksikring av innløpsarrangementet tilfredsstiller ikke regelverkets krav til uavhengighet og sårbarhet. Valgt løsning er ukonvensjonell, noe som innebærer spesielle krav til å dokumentere etterlevelse av minimumskrav i regelverket Dokumentasjonen viser at det er flere muligheter for felles feil mellom de forskjellige beskyttelsesfunksjonene som er antatt uavhengige, men det er ikke vist at løsningen møter kravene til uavhengighet, forskjellighet og sårbarhet, ( independency/diversity ) Innretningsforskriften 8 om sikkerhetsfunksjoner. Innretningsforskriften 34 om prosessikringssystem. Styringsforskriften 4 om risikoreduksjon. 5.1.4 Vinteriseringsveggen for prosessanlegget Avvik: Manglende planer for kvalifisering eller prøving av vinteriseringsveggen som demonstrerer at gjeldende krav og forutsetninger kan oppfylles ved bruk av den nye teknologien. Vi etterlyser en avklaring fra ENI om hvordan selskapet vil dokumentere at valgt løsning for vinteriseringsveggen ivaretar tiltenkt funksjon under påvirkning av relevante brann- og eksplosjonslaster, eksempelvis mulig uønsket deformasjon av veggen. Innretningsforskriften 9 om kvalifisering og bruk av ny teknologi og nye metoder. 5.2 Forbedringspunkter 5.2.1 Kvantitativ risikoanalyse (QRA) Mangelfull informasjon om formålet med og anvendelsen av QRA en i prosjekteringsfasen, herunder krav til ytterligere risikoreduksjon. Uklarheter knyttet til begrepsbruk samt mangelfull tidsriktig oppdatering av analysen ved endringer. Begrunnelse Basert på samtaler med både ENI og HHI personell er det vårt inntrykk at QRA en benyttes som det primære styrende dokumentet i designfasen av prosjektet. QRA en er imidlertid basert på mange forutsetninger og antakelser som ikke nødvendigvis innarbeider tilstrekkelig robuste løsninger eller påkrevd risikoreduksjon. Videre er det en utfordring å sikre tidsriktige oppdateringer av QRA en ved filosofi- og designendringer.
5 Uklarheter knyttet til definisjon og anvendelse av begrepene design accidental load og dimensioning accidental load har også vært påpekt ved tidligere tilsyn og er ennå ikke entydig beskrevet i relevante dokumenter. Styringsforskriften 17 om risikoanalyser og beredskapsanalyser. Innretningsforskriften 11 om laster, lastvirkninger og motstand 5.2.2 Implementering og verifisering av SIL krav Nødvendige tiltak må iverksettes for å forsere fremdriften av denne aktiviteten slik at informasjonen blir tidsriktig tilgjengelig i etterfølgende faser av prosjektet. Begrunnelse Functional Safety Assessment (FSA) utført av 3.dje part inneholder mange funn og kommentarer som prosjektet ennå ikke har tatt stilling til. Safety Requirement Spesification (SRS) har status som Approved for construction, men dokumentet er ennå ikke akseptert av hovedleverandøren av Safety and Automation Systems (SAS). Tidsriktig ferdigstillelse av SRS ene er viktig, spesielt med tanke på at disse også legger sterke føringer for bygging, ferdigstillelse, drift og vedlikehold. Innretningsforskriften 8 om sikkerhetsfunksjoner. 5.2.3 Gassutslippssystem Mangler ved dokumentasjonen som skal beskrive og dokumentere valgt løsning for gassutslippssystemet. Systemet skal bidra til å hindre eskalering av fare- og ulykkessituasjoner ved hurtig å redusere trykket i tanker, rør og utstyr, og det skal utformes slik at gassutslipp ikke medfører skade på personell eller utstyr. Vi etterlyser en avklaring knyttet til valg av trykkavlastningstid som tiltak for å redusere risiko samt aktivering av gassutslippssystemet ved bekreftet brann- eller gassdeteksjon i prosessområdet. Innretningsforskriften 35 om gassutslippssystem Styringsforskriften 4 om risikoreduksjon 5.2.4 Nødavstengningssystemet
6 Det er ikke entydig klart hvilke ytelseskrav som er etablert for nødavstengningsventilene med tilhørende utrustning. Vi fikk opplyst at det ikke er etablert en lukkesekvens for nødavstengningsventilene. Det er identifisert divergerende krav til passiv brannbeskyttelse av ventiler og aktuatorer. Vi fikk ikke bekreftet om prosjektet har foretatt nødvendige kalkulasjoner og/eller simuleringer som dokumenterer at ventilene og aktuatorene er i stand til å motstå brannlastene og effekten av disse i tilstrekkelig tid. Vi etterlyser også en bekreftelse på respons- og lukketider for nødavstengningsventilene basert på valgt løsning. Akseptkriterier for intern lekkasjerater for nødavstengningsventilene kunne ikke fremlegges. Det foreligger to sett av tegninger som viser ESD - hierarkiet. Disse er blant annet ikke sammenfallende med hensyn til nedstengingsfunksjoner. Innretningsforskriften 33 om nødavstengningssystemet 5.2.5 Cargo pump room i sentralt skaft Manglende analyser og/eller beregninger som dokumenterer tilstrekkelig antall luftvekslinger (mekanisk ventilasjon) versus gasspredning ved potensiell gasslekkasje i eksempelvis Cargo pump room i sentralt skaft. Gasspredningsstudier basert på potensielle lekkasjer og mekanisk ventilasjon er ikke gjennomført. Vi fikk opplyst at valgt løsning er basert på erfaringer fra tilsvarende innretninger. Styringsforskriften 16 om generelle krav til analyser 5.2.6 ATEX implementering Mangler ved implementering av ATEX direktivet. Vi fikk informasjon om at arbeidet med å sikre etterlevelse av ATEX direktivet blir ivaretatt av anerkjent 3. part. Gjennom stikkprøve ble det imidlertid funnet at krav til eksplosjonsbeskyttelse (Ex) av mekanisk utstyr (pumpe) ikke er spesifisert eksplisitt i
7 datablad i innkjøpsdokumenter på linje med krav til de elektriske delene av utstyret. Dette vil ikke nødvendigvis bli ivaretatt i en 3. part verifikasjon og følgelig kan utstyr med feil Ex - kategori bli installert på innretningen. Innretningsforskriften 78 om ATEX 5.2.7 Nødgeneratorenheten Vi etterlyser dokumentasjon som sikrer etterlevelse av krav til uavhengighet og sårbarhet knyttet til valgt løsning for nødgeneratorenheten. Det er ikke klart for oss om nødgeneratorenheten med tilhørende utrustning møter krav til uavhengighet og sårbarhet, jamfør eksempelvis generatorenhetens kjølevannsystem. Innretningsforskriften 8 om sikkerhetsfunksjoner Innretningsforskriften 38 om nødkraft og nødbelysning 6 Andre kommentarer Det er vårt inntrykk at operativt personell i større grad kunne vært involvert i forbindelse med utarbeidelsen av blant annet sikkerhetsstrategien og ytelsesstandardene for Goliat FPSO. Våre observasjoner knyttet til passiv brannbeskyttelse fra tidligere tilsyn synes nå å være ivaretatt på en tilfredsstillende måte. Vi registrerer at det skal benyttes passiv brannbeskyttelse av tanker, rør og flenser noe som erfaringsmessig blir en stor utfordring ved drift og vedlikehold av innretningen. 7 Deltagere fra Petroleumstilsynet Odd Thomassen, prosessintegritet Harald Thv. Olstad, prosessintegritet. Siv Eeg, prosessintegritet Bård Johnsen, prosessintegritet (oppgaveleder) 8 Dokumenter Følgende dokumenter ble benyttet under planlegging og gjennomføring av aktiviteten: 229A-GOL-P-RF-0001_RevC01_Overpressure protection study of inlet arrangement 229A-HHI-E-FD-1005_RevC03_Black start philosophy 229A-HHI-S-FD-0003_RevC02_Safety performance standards 229A-HHI-S-FD-0012_RevC02_Safety strategy (FES_EERS) 229A-HHI-S-RA-0009_C04 Emergency Shutdown (ESD) Principle Hierarchy - 130212 229A-HHI-S-RA-0025_RevC01_Quantified Risk Assessment (QRA) 229A-HHI-S-RA-0032_RevC01_Design Accidental Load (DAL) Specification 229A-HHI-S-RA-0034_RevC01_Detailed design ALARP report
8 229A-HHI-S-RA-0036_C03_Sectionalisation of Process Plant and Valve Criticality Analysis Report 229A-HHI-S-RA-0041_C02 Passive Fire Protection Study 290212 229A-HHI-S-RA-0044_C01 PFP on Structures Report 280611 229A-HHI-S-RA-0069_RevC02_Flare and Cold Vent Gas Dispersion Report 229A-HHI-S-RA-0073_C01 DAL Interpretation Report 110711 229A-HHI-S-RA-0074_RevC02_Ignition Source mapping for Goliat FPSO 229A-HHI-S-RA-0080_C01 Fire Integrity Calculations 280411 229A-HHI-S-RA-0081_C02 IL Safety Requirements Specifications 200112 229A-HHI-ER021-R-SP-4028_C01 Functional Description of Em. Diesel Generator Pkg. 229A-HHI-ER021-R-CA-4085_P01 Winterization Philosophy Em. Diesel Generator Pkg. 229A-HHI-ER021-R-SP-4028_C01 Functional Description of Em. Diesel Generator Pkg. 229A-HHI-ER021-P-XB-8413-01_C03 P&ID Engine J.W. Cooling System H.T. Circuit Em. Diesel Gen. Pkg. 229A-HHI-ER021-P-XB-8410-01_C03 P&ID Seawater Cooling System Em. Diesel Generator Pkg. 229A-HHI-P-XB-5011-01_C03 P&ID Seawater Cooling Filters 229A-HHI-P-XB-5012-01_C03 P&ID Emergency Seawater Cooling Pump 229A-HHI-P-XB-5060-01_C03 P&ID Seawater Lift Pumps 229A-HHI-P-XB-5090-01_C03 P&ID Sea Suction Tube (Sea Chest) 229A-HHI-P-XB-5410-01_C03 P&ID Hot Water Expansion and Circulation 229A-HHI-P-XB-5420-01_C03 P&ID Hot Water Heating 229A-HHI-P-XB-8410-01_C03 P&ID Emergency GeneratorSeawater Cooling Filters ENINO_n1662860_v1_Goliat_FPSO_-_FSA_Report_Phase_I&II_Final ENINO_n1678100 Goliat - Close-out of SINTEF comments to Lilleaker risk assessment report and BPT dynamic simulation - 2011-09-08 - ENINO_n1596620 Goliat - SINTEF comments to Billington Process Technology overpressure protection simulations - 2012-03-28 ENINO_n1596710 Goliat - SINTEF comments to Lilleaker Risk Assessment of overpressure protection system - 2011-07-11 Goliat FPSO SEAMS Action and Response Sheet, Action no. 3606, SEAMS ID 101-007 Vedlegg A Oversikt over intervjuet personell.