R I S I K O PETROLEUMSTILSYNET 2004-2005
Innhold 4 5 7 10 12 14 16-17 19-20 22 Temperaturmåler for risikonivået Definerte fare- og ulykkessituasjoner Faktisk og opplevd risiko Risiko for storulykke Arbeidsulykker med alvorlig personskade Gasslekkasjer Brønnspark Helikoptertransport Støy
Temperaturmåler for risikonivået Det er vanskelig å måle risiko. Grensen for hva som er høy og lav risiko eller akseptabelt risikonivå, vil blant annet avhenge av ståsted, kunnskap og erfaring. Et pilotprosjekt som ble gjennomført i 2000 og som var forløper til prosjektet Utvikling i risikonivå - norsk sokkel (RNNS), synliggjorde at det innenfor området helse, miljø og sikkerhet (HMS) var svært ulike oppfatninger av risikobildet. Arbeidsgiversiden ga uttrykk for at sikkerheten aldri hadde vært så god på norsk sokkel, mens arbeidstakerorganisasjonene hevdet at utviklingen gikk i feil retning. Den sprikende oppfatningen av risiko og risikonivå var uakseptabel og understreket behovet for en omfattende kartlegging av risikonivået i petroleumsvirksomheten. Tre parter - ett fundament Piloten fra 2000 ble etterfulgt av fase to av RNNSprosjektet i 2001, og det er siden presentert en omfattende RNNS-rapport hver vår - senest i april 2004.* En viktig del av risikonivåprosjektet er registrering av data for en rekke definerte fare- og ulykkessituasjoner, såkalte DFU-er (se liste på side 5). Datainnsamlingen er knyttet til personrisiko og omfatter blant annet indikatorer som har betydning for storulykker og arbeidsulykker. I tillegg til å registrere uønskede hendelser og nestenulykker som inntreffer på norsk sokkel, har prosjektet som mål å finne indikatorer som identifiserer risiko for storulykker for en hel industrisektor. Dette gjør risikonivåprosjektet unikt - ikke bare i petroleumssektoren, men i generell betydning - både nasjonalt og internasjonalt. Metodene som er benyttet i RNNS-prosjektet, har bidratt til at myndighetene, arbeidstakerne og arbeidsgiverne nå har felles oppfatning både av HMS-tilstanden og utviklingen i risikonivået. Dermed kan ulykker forebygges ved at ressursene settes inn der de har mest effekt. Det må imidlertid understrekes at RNNS ikke beskriver risiko som sådan, men den relative risikoen - altså hvordan risikobildet utvikler seg fra år til år. Med andre ord: Man kan ikke definere hvilken risiko 50 gasslekkasjer utgjør. Men vi vet at 50 mellomstore gasslekkasjer relativt sett er mer alvorlig enn 25 av samme kategori. *Alle RNNS-rapportene er publisert på www.ptil.no/rnns 2 3 4 RISIKO
Definerte fare- og ulykkessituasjoner (DFU-er) Følgende DFU-er inngår i RNNS-prosjektet: 1 Ikke-antente hydrokarbonlekkasjer 2 Antente hydrokarbonlekkasjer 3 Brønnspark/tap av brønnkontroll 4 Brann/eksplosjon i andre områder, antennbar væske 5 Skip på kollisjonskurs 6 Drivende gjenstander 7 Kollisjon med feltrelatert fartøy/ innretning/skytteltanker 8 Skade på plattformkonstruksjon/ stabilitets-/forankrings-/posisjoneringsfeil 9 Lekkasje fra undervanns produksjonsanlegg/rørledning/stigerør/brønnstrømsrørledning/lastebøye/lasteslange 10 Skade på undervanns produksjonsutstyr/rørledningssystemer/dykkerutstyr forårsaket av fiskeredskaper 11 Evakuering (føre var/nødevakuering) på/ved innretning 12 Helikopterstyrt/nødlanding 13 Mann over bord 14 Personskader 15 Arbeidsbetinget sykdom 16 Full strømsvikt 17 Kontrollrom ute av drift 18 Dykkerulykke 19 H 2 S-utslipp (hydrogensulfid) 20 Mistet kontroll med radioaktiv kilde 21 Fallende gjenstander RNNS innhenter data fra: Alle produksjons- og flyttbare innretninger på norsk sokkel. All persontransport med helikopter, fra avgang/ankomst på helikopterterminaler til landing på innretningene. All bruk av fartøyer innenfor sikkerhetssonen rundt innretningene.
Faktisk og opplevd risiko Sannsynlighet x konsekvens er den matematiske definisjonen på risiko. Sannsynligheten innebærer at man baserer seg på erfaring - og på en erkjennelse av at en uønsket hendelse, eller ulykke, like gjerne kan skje i framtiden som at den skjedde i fortiden. En storulykke kan ramme i dag - eller først om 100 år. Konsekvensen av en hendelse kan imidlertid variere sterkt - fra en helt ødelagt plattform til en mindre, uantent gasslekkasje. Når vi skal vurdere om virksomhet er forsvarlig, bruker vi derfor såkalt risikobasert tilnærming. Kort sagt betyr dette at høy risiko skal møtes med kompenserende tiltak - slik at det totale risikobildet ikke overstiger det aksepterte nivået. Opplevd risiko Opplevd risiko er vanskeligere å definere. Her handler det blant annet om egne erfaringer og opplevelser, i kombinasjon med konkrete faresituasjoner. Farefylte opplevelser vi personlig har vært borti og har nær kjennskap til, oppleves for de fleste som større og mer skremmende enn farer vi aldri er eksponert for eller har vært i nærheten av geografisk. Mange sier at opplevd risiko er knyttet til manglende mulighet for å kontrollere en situasjon - som når man er passasjer i et helikopter. Opplevd risiko formes også til en viss grad av utenforliggende omstendigheter. Når et farescenario settes på dagsorden av politikere eller media, kan debatten, spekulasjonene og overskriftene medføre økt frykt. I forprosjektet til RNNS hevdet arbeidsgiversiden at det aldri hadde vært så sikkert å operere på norsk sokkel - som omtalt i innledningen. De ansatte mente derimot at utviklingen gikk i feil retning, delvis basert på enkeltobservasjoner og den vanskelig definerbare "magefølelsen". Arbeidstakernes opplevde risiko viste seg den gangen å stemme - og ble dokumentert da RNNS-prosjektet ble lagt fram i 2001. I spørreskjemaundersøkelsene fra RNNSprosjektet viser det seg at tap av innretning (som Alexander L. Kielland-havariet) ikke oppfattes som en overhengende fare, selv om Kielland-ulykken alene har ført til tap av langt flere liv enn alle andre ulykker til sammen i norsk oljehistorie. 123 mennesker omkom i storulykken i mars 1980. 5 6 7
Risiko for storulykke Det finnes flere definisjoner på storulykkesbegrepet. De to mest anvendte er: En storulykke er en ulykke der minst 3-5 personer rammes. En storulykke er en ulykke forårsaket av feil på én eller flere av systemets innebygde sikkerhets- og beredskapsbarrierer. Siste storulykke innen petroleumsvirksomhet på norsk sokkel var helikopterulykken utenfor Brønnøysund i 1997, der 12 mennesker omkom. På en innretning skjedde siste storulykke i 1986, i forbindelse med grunn gassutblåsing på den flyttbare innretningen West Vanguard. I storulykkesvurderingen tas det utgangspunkt i data som omhandler - ukontrollert utslipp av hydrokarboner (prosesslekkasjer, brønnspark/grunn gass, stigerørslekkasjer, branner) - konstruksjonsrelaterte hendelser (konstruksjonsskader, kollisjoner, kollisjonstrussel) Også helikoptertransport har storulykkespotensial, men inngår ikke som en del av storulykkesindikatoren som brukes i RNNS. Denne indikatoren behandles for seg (se side 19). Indikatoren for storulykke sammenfatter antall hendelser med storulykkespotensial veid opp mot de enkelte hendelsenes sannsynlighet for å medføre tap av liv. Storulykkesindikatoren gir ingen absolutte svar på risikonivået, men kan brukes for å indikere utviklingen over tid. De enkelte indikatorene (hydrokarbonlekkasjer, brønnspark etc.) gir et mer detaljert bilde av utviklingen, og kan benyttes til å identifisere spesifikke tiltak som bedrer sikkerheten. (Se sidene 14 til 22.) I perioden 2000-2002 bekreftet RNNS-rapporten en tendens myndighetene hadde observert: Risikoen for storulykker var økende. Selv om endringene ikke var dramatiske, viste rapportene at det var store utfordringer på norsk sokkel i forhold til å bedre sikkerheten. I henhold til fase fire-rapporten, som omhandler 2003 og ble publisert i april 2004, har den negative utviklingen som ble observert i årene før, tilsynelatende stoppet opp. Kun én indikator viste en tydelig negativ utvikling: Brønnspark på produksjonsinnretninger. 8 9 10
Arbeidsulykker med alvorlig personskade Når det gjelder arbeidsulykker, bruker RNNS kun indikatorer relatert til faktiske ulykker med medisinsk aspekt - som dødsfall eller alvorlig personskade. Det fins ikke kriterier for å måle tilløp til arbeidsulykker. Årsaken er at forholdet mellom registrerte avvik, tilløp til hendelser og faktiske hendelser er forskjellig for storulykker og arbeidsulykker. For storulykker blir et stort antall avvik og tilløp til ulykker registrert som følge av at det er etablert et sett av tekniske, operasjonelle og orga-nisatoriske tiltak - barrierer - som forhindrer at hendelsene utvikler seg til storulykker. Hendelser som fører til alvorlige arbeidsulykker, har ofte færre slike barrierer - og disse kan være knyttet til arbeidstakeren selv i form av erfaring, årvåkenhet eller personlig verneutstyr. Det er derfor mer komplekst å måle effekten av barrierer for arbeidsulykker, og dermed vanskeligere å bruke dette som risikoindikator. Mot slutten av 1990-tallet ble det registrert en klar økning i antall alvorlige personskader på både faste og flyttbare innretninger. Etter en topp i 2000-2001, har det vært en reduksjon i skadefrekvensen. I 2003 ble det registrert 45 alvorlige personskader på faste og flyttbare innretninger. I perioden 1993 til 2002 hadde flyttbare innretninger nesten dobbelt så høy gjennomsnittlig frekvens av alvorlige personskader som de faste innretningene. I 2003 var forskjellen minket til sju prosent. Den markante nedgangen for flyttbare innretninger er spesielt tydelig innen drift og vedlikehold, hvor det ikke inntraff noen alvorlige personskader i 2003. Det skjedde åtte alvorlige personskader på flyttbare innretninger i 2003, mot 14 i 2002. Aktivitetsnivået ble imidlertid også kraftig redusert fra 2002 til 2003 - fra 7,1 til 5,4 millioner arbeidstimer. Det relativt lave antallet personskader gjør at man vanskelig kan utelukke at reduksjonen skyldes tilfeldige variasjoner fra år til år. Det blir derfor spennende å se om trenden fortsetter de neste årene, slik at det kan dokumenteres om innsatsen for å bedre sikkerheten har hatt positiv effekt. 11 12
RNNS-presentasjonen fra 2004 definerer noen sentrale satsingsområder innen HMS/risiko på norsk sokkel: Gasslekkasjer, brønnspark, helikoptertransport og støy.
Gasslekkasjer Hydrokarbonlekkasjer kan deles i tre kategorier: Gasslekkasje, væskelekkasje eller flerfaselekkasje (olje/gass). Gasslekkasjene har størst potensial for å gjøre skade på grunn av eksplosjonsfaren ved spredning av gass-sky. En gasslekkasje innebærer at hydrokarboner i gassform lekker ut av prosessystemet. Dette kan skje som følge av brist, korrosjonsskade eller feilhandling - for eksempel i forbindelse med vedlikeholdsarbeid. I perioden 2001-2003 skyldtes cirka halvparten av alle registrerte lekkasjer manuelle operasjoner og manuell aktivitet. Rundt 30 prosent av lekkasjene var knyttet til normal drift da hendelsene inntraff. Store variasjoner I risikonivåprosjektet blir hydrokarbonlekkasjer kategorisert i tre grupper basert på lekkasjerate: Over 10 kg/s (kilo per sekund), 1-10 kg/s og 0,1-1 kg/s. Selv en gasslekkasje med den laveste registrerte lekkasjeraten (0,1 kg/s), har betydelig ulykkespotensial - tilsvarende utslippsmengden fra 2 000 gasskokeplater. Fra 1996 til 1999 ble det registrert stadig færre hydrokarbonlekkasjer på norsk sokkel. I årene etter har det vært betydelig variasjon fra år til år. Fra 2002 til 2003 var det imidlertid klar nedgang - fra 41 til 25 lekkasjer. Det er store variasjoner mellom innretninger og operatørselskaper i forhold til antall registrerte hydrokarbonlekkasjer. Dette viser et betydelig forbedringspotensial i næringen. Viktige barrierer I perioden 1996-2003 er det registrert totalt 251 lekkasjer over 0,1 kg/s på norsk sokkel. Ingen av disse har antent. Dette viser at barrierene som er etablert for å hindre eksplosjon, har vært effektive. Den første og viktigste barrieren er prosessintegritet, som betyr at anlegget er i god stand og holder tett. For å sikre at alt utstyr til enhver tid holder mål, stilles det høye krav til styrt vedlikehold og jevnlige inspeksjoner. Neste barriere er automatiske gassdeteksjonssystemer. Disse er installert for å sikre at gasslekkasjer oppdages i tidlig fase, slik at tiltak som nedstengning, trykkavlastning og liknende kan iverksettes i tidlig fase. Samtidig viser erfaringene at offshorepersonellet også er viktige "detektorer". Rundt halvparten av gasslekkasjene blir varslet som følge av at ansatte har sett, hørt og/eller luktet en gasslekkasje. Andre viktige barrierer er flamme- og røykdeteksjon som varsler brann, aktive brannbekjempelsessystemer som fjerning av tennkilder og konsekvensreduserende tiltak ved eventuell antenning - for eksempel eksplosjons- og brannvegger. Risiko knyttet til gasslekkasjer bekymrer både myndighetene og industrien. Blant annet som følge av forhold påvist i RNNS-prosjektet, har Oljeindustriens Landsforening (OLF) igangsatt et prosjekt som skal bidra til å redusere antall gasslekkasjer større enn 0,1 kg/s med 50 prosent innen utgangen av 2005 (målt mot gjennomsnittet i perioden 2000-2002). Et tilsvarende prosjekt på britisk sokkel har gitt gode resultater. 13 14
Brønnspark Antall brønnspark for produksjonsboring har økt jevnt fra 1996 til 2003. Dette kan forklares med at mange av feltene på norsk sokkel er modne, og at trykket i reservoarene har sunket så mye at boring av nye brønner gir nye utfordringer. Et brønnspark (kick) innebærer en ustabilitet i brønnen som følge av at den tar inn gass, olje eller vann. Dersom barrierene svikter, kan brønnspark føre til utblåsning (blow-out). En slik situasjon defineres som en plutselig, kraftig og ukontrollert frigjøring av gass, olje, boreslam og vann fra brønnen. Potensialet i en utblåsning vil variere, blant annet i forhold til brønnens oppbygging, type væske som strømmer og formasjonens egenskaper. I driftsfasen har det på norsk sokkel vært én alvorlig oljeutblåsning fra en innretning. Den skjedde da en bunnventil i en produksjonsbrønn sviktet i forbindelse med overhaling (Ekofisk Bravo-ulykken i 1977). Ingen personer omkom, men i løpet av en drøy uke havnet 9 000 tonn olje i sjøen før brønnen kom under kontroll. Tap av kontroll Kombinasjonen høyt trykk i deler av brønnen og lav styrke i formasjonen i andre deler - ofte sammen med høy temperatur - gir mulighet for tap av brønnkontroll ved boring. Det stilles derfor krav om at operasjonene skal gjennomføres med et sett barrierer. Under boring kan barrierene bestå av utblåsningssikring (BOP) og av en homogen borevæskesøyle. Utblåsningssikringen har ventiler som kan stenge rundt borestrengen, og i nødstilfeller kutte strengen og tette igjen mot brønnløpet. Under produksjon vil det være én eller flere ventiler i brønnen som kan stenges i tilfelle problemer. I tillegg fins det et sett ventiler på selve innretningen eller havbunnen som kan stenge produksjonsstrømmen - det såkalte juletreet. Bruk av RNNS-data Risikoanalyser utført i norsk petroleumsindustri har tradisjonelt vært mer fokusert på å analysere fare- 15 16
potensialet enn på å vurdere årsaker. Analysene har i stor grad tatt utgangspunkt i erfaring fra operativt personell (kvalitative analyser) og i mindre grad datamateriale. Et eksempel på dette er risikoanalyser knyttet til ukontrollert utblåsning fra olje- og gassbrønner. På konsekvenssiden er det laget en rekke modeller for å beregne sannsynligheten for antenning, konsekvenser ved brann og eksplosjon og konsekvenser etter oljesøl. Det har imidlertid vært mindre fokus på å beregne sannsynlighet for utblåsning knyttet til faktorer som havdyp, vær og geologiske forhold i området der brønnen skal bores, samt spesielle tekniske løsninger eller operasjonelle tiltak. Dette skyldes blant annet mangel på relevante erfaringsdata og at komplekse årsaksforhold gjør det vanskelig å utvikle håndterbare modeller. Innsamling i regi av RNNS gir imidlertid mulighet til å gå videre inn i dataene og trekke ut relevant informasjon om årsakene til brønnspark og benytte disse i videre analyser. Blant annet viser erfaringsdataene at andelen brønnspark i konvensjonelle brønner er 20-30 prosent, mens tilsvarende er cirka 50 prosent i HTHT-brønner (høyt trykk, høy temperatur). Antallet HTHT-brønner som til nå er boret på norsk sokkel, er imidlertid så lavt som inntil seks per år. Erfaringene viser samtidig at det relativt sett er flere og mer alvorlige brønnspark i forbindelse med leteboring enn ved produksjonsboring. Siden antall HTHT produksjonsbrønner er økende per år i Norge, er dette en trend som må følges opp.
Helikoptertransport Det har ikke vært noen alvorlige luftfartsulykker på norsk sokkel siden Norne-ulykken utenfor Brønnøysund i 1997, da 12 mennesker omkom. Helikoptertransport er imidlertid en risikofylt aktivitet som personellet på innretningene utsettes for i større eller mindre grad. Risikoforholdet mellom helikopterulykke, storulykke og arbeidsulykke er av kilder anslått til 40-30-30. I spørreskjemaundersøkelsen som gjennomføres for å registrere opplevd risiko, svarer 10 prosent av de offshore-ansatte i 2003 at de vurderer faren for å bli rammet av en helikopterulykke som stor. RNNS-prosjektet inkluderer ikke helikopterhendelser i den totale storulykkesindikatoren, siden hendelsene ikke er sammenlignbare i forhold til eksponeringstid. Personell har potensial for å rammes av en uønsket helikopterhendelse i omkring to timer i løpet av en arbeidsperiode, mens man eksponeres for de andre storulykkes- DFU-ene (hydrokarbonlekkasje og brønnspark) i omkring 14 dager i løpet av samme periode. Samarbeid Tidligere ble bare helikopterhendelser innenfor innretningenes sikkerhetssoner inkludert i RNNS. Men siden målet for prosjektet er å vurdere aktiviteter som påvirker risikonivået i alle faser av petroleumsvirksomheten, ble det i 2002 innledet et samarbeid med Luftfartstilsynet og helikopteroperatørene for å utvikle et mer omfattende sett av risikoindikatorer. Datagrunnlaget omfatter nå hendelser og produksjonsdata relatert til all persontransport ved bruk av helikopter på norsk sokkel i perioden 1999-2003. Tre hendelsesindikatorer og to aktivitetsindikatorer er etablert. Målet er å trekke ut relevante data som er pålitelige og sammenlignbare fra de ulike selskapene - og deretter identifisere områder der 17 18 19
tiltak kan iverksettes. I tillegg til antall hendelser, blir alle data normalisert - det vil si at det inngår forholdstall mellom antall hendelser i forhold til aktivitetsnivå. Ingen klare trender Ifølge innrapporterte data varierer antall helikopterhendelser på norsk sokkel fra år til år. De mest alvorlige hendelsene viser en reduksjon fra 1999 til 2002, mens det i 2003 igjen var en svak økning. Det er langt flere hendelser knyttet til tilbringertjeneste sammenlignet med hendelser relatert til skytteltrafikk. Normalisert i forhold til aktivitetsnivået (antall flytimer), ser det imidlertid ut for risikoen er høyere ved skytteltrafikk enn ved transport til og fra land. Det er vanskelig å si noe om årsaken til utviklingen i perioden 1999-2003, siden datamaterialet er begrenset. Økt fokus fra helikopteroperatørene, kunder og media samt gjennomføring av ulike tiltak, bidrar til at det nå blir rapport flere hendelser grunnet større årvåkenhet og nye rutiner. Økning i antall rapporterte hendelser trenger derfor ikke å være indikasjon på negativ utvikling i risikonivået.
Støy Risikonivårapporten viser at støy er et betydelig arbeidsmiljøproblem på norsk sokkel, og at tiltakene som er planlagt ikke er mange og gode nok til å hindre et betydelig antall nye hørselskader i framtiden. Dette er et tankekors i en næring som i andre sammenhenger framhever nullfilosofi på HMS-området. Årlig får Petroleumstilsynet rapport om cirka 300 offshore-ansatte som har fått hørselsskader. Erfaringsmessig antas det at rundt halvparten av disse plagene er resultat av påvirkning fra arbeidsmiljøet på innretningene, mens resten kan være knyttet til fritid, tidligere arbeidsforhold etc. I samarbeid med næringen er det utviklet nye risikoindikatorer for støy, der målet er å synliggjøre risikoen for hørselsskader. Indikatoren viser støyeksponering for utvalgte stillingskategorier og inkluderer i denne omgang 17 faste og 12 flyttbare innretninger - totalt 920 personer. Resultatene viser at store arbeidsgrupper i petroleumsvirksomheten til havs utsettes for høyt støynivå og at de har betydelig risiko for å utvikle skader. Riktig bruk av hørselsvern bidrar til å redusere risikoen for skade, men er i de fleste tilfeller ikke tilstrekkelig. Hemming og øresus Risikoindikatoren for støy samsvarer ganske godt med resultater i spørreskjemaundersøkelsen. Hele 31 prosent av arbeidstakerne oppgir at de er misfornøyd eller svært misfornøyd med støyforholdene på innretningen. Om lag hver femte arbeidstaker oppgir at han/hun har svekket hørsel - og like mange lider av øresus. Selv om deler av næringen jobber seriøst med støyproblematikken, er det bare etablert forpliktende planer for risikoreduksjon på mindre enn halvparten av innretningene. Problemet er generelt størst på eldre innretninger. På nyere innretninger inngår støyreduserende tiltak som del av designen. Jevnt over er det mer støyeksponering på flyttbare enn på faste innretninger. Imidlertid har flyttbare boreinnretninger i større grad etablert og fulgt opp tiltaksplaner. Dette skyldes trolig forbedringsarbeid som blir gjennomført for å få samsvarsuttalelse (SUT), en ordning som ble obligatorisk på norsk sokkel fra 1. januar 2004. 20 21 22
Ansvarlig utgiver: Petroleumstilsynet Postboks 599 N-4003 Stavanger Telefon: 51 87 60 50 Telefaks: 51 87 60 80 E-post: postboks@ptil.no Faglige støttespillere: Øyvind Lauridsen Torleif Husebø Elisabeth Lootz Sigvart Zachariassen Stein A. Tonning Johnny Gundersen Mona Haugstøyl Redaksjon: Inger Anda Ole-Johan Faret Lay-out og design: Janne-Beth Carlsen N'Jai Fotos: Emile Ashley Opplag norsk: 3000 Opplag engelsk: 1500 Trykk: Spesialtrykk Papir: Arctic Volume 200 g og Zanders kalkerpapir 160 g RNNS på nettet: www.ptil.no/rnns 25
ISBN 82-7257-651-1