Beste praksis for isolering ved arbeid på hydrokarbonførende utstyr: Planlegging, isolering og tilbakestilling

Rapport Beste praksis for isolering ved arbeid på hydrokarbonførende utstyr: Planlegging, isolering og tilbakestilling 21. juni 2013 Godkjent av Norsk olje og gass: - HSE Managers Forum 23.5.2013 - Operations Committee 20.6.2013 1

Forord Denne rapporten gir anbefalinger om beste praksis i forbindelse med klargjøring, gjennomføring og tilbakestilling ved arbeid på hydrokarbonførende utstyr. Rapporten er utarbeidet som en del av Prosjekt Hydrokarbonlekkasjer (HC). Bakgrunnen er en årsaksanalyse som viser at en betydelig andel av hydrokarbonlekkasjene som skjer på norsk sokkel har tilknytning til ovennevnte arbeidsoperasjoner. Dokumentet er utarbeidet av en arbeidsgruppe bestående av representanter fra flere av operatørselskapene på norsk sokkel. Det har til sammen vært arrangert 11 heldagsmøter og 2 halvdagsmøter fra høsten 2011 til og med våren 2013. Til sammen har 42 ulike personer deltatt på arbeidsmøtene. Følgende personer har deltatt i arbeidsgruppen 1 : Vidar Bringsli, ExxonMobil Sveinung Enggrav, ConocoPhillips Jens Petter Gjærum, GdF Suez Tor Arne Grimsrud, Shell Anne Hilde Halleraker, ConocoPhillips Henrik Madsen, Marathon Oil Einar Møvik, Statoil John Olsen, BP Jan Petter Pettersen, Talisman Willy Røed, Norsk olje og gass Bjarte Skulstad, BP Arne Tøkje, Talisman Jan Erik Vinnem, Norsk olje og gass John Waage, BP Rapporten har vært på høring i hydrokarbonlekkasjenettverket der Norsk olje og gass, Ptil og fagforbundene SAFE og IndustriEnergi deltar. Norsk olje og gass sine medlemmer har gitt sin tilslutning til innholdet 2. Det er opp til hvert selskap på norsk sokkel å forsikre seg om eget styringssystem er i henhold til anbefalingene. Det er gjennom implementering i eget styringssystem at anbefalingene blir gjort om til «krav». Rapporten er delt inn i to deler: DEL 1 inneholder hoveddelen som presenterer anbefalingene fra arbeidsgruppen. DEL 2 inneholder informasjon om bakgrunnen for anbefalingene. 1 Deltakerne er satt opp i alfabetisk rekkefølge. Personer som kun har deltatt på ett eller to møter er ikke tatt med i oversikten. 2 Rapporten ble godkjent av HSE Managers Forum 23.5.2013 og av Operations Committee 20.6.2013. 2

DEL 1: Anbefalinger om beste praksis i forbindelse med klargjøring, gjennomføring og tilbakestilling ved arbeid på hydrokarbonførende utstyr 3

Innhold Del 1 Begreper og definisjoner... 4 Introduksjon... 5 Trinn 1 - Planlegge... 7 Beste praksis generelle prinsipper... 7 Krav til antall barrierer... 8 Trinn 2 - Isolere... 10 Beste praksis generelle prinsipper... 10 Anbefalt praksis for gjennomføring av avblødning... 12 Merking og sikring av utstyr som inngår i isoleringen... 14 Trinn 3 - Arbeide på HC-førende utstyr... 14 Beste praksis generelle prinsipper... 14 Rutiner i forbindelse med valg av pakninger, tiltrekking av bolter etc.... 15 Trinn 4 - Tilbakestille... 17 Beste praksis generelle prinsipper... 17 Lekkasjetesting... 18 Begreper og definisjoner Begrep Arbeid på hydrokarbonførende systemer Blinding Blindspade Dobbel barriere og avblødning Isolering Operasjonstrykk Positiv isolering Splitteliste Forklaring Arbeid på rørsystem, tanker, og tilknyttede komponenter som kan medføre fare for frigjøring av produsert olje/gass/kondensat. Begrepet brukes i utvidet forstand i denne rapporten og inkluderer både planlegging, isolering, inngrep i det hydrokarbonførende utstyret og tilbakestilling. Isolering ved hjelp av fullspesifikasjons-blindspade eller blindflens. En metallplate som monteres mellom to flenser. Dette begrepet brukes i stedet for «double block and bleed DBB» i dette dokumentet, da sistnevnte begrep kan misforstås. Med isolering menes separasjon av anlegg og utstyr fra enhver energikilde slik som trykk, elektrisk energi og mekanisk energi, på en slik måte at atskillelsen er sikker. Normalt driftstrykk. NB! Dette begrepet brukes ikke på samme måte i alle selskapene. Dette begrepet brukes ikke i rapporten da det kan misforstås. Se blinding. Et levende dokument som til enhver tid oppgir hvilke punkter som er splittet (både flenser og plugger). 4

Introduksjon Figur 6 viser trinnene som gjennomføres før, underveis og etter arbeid på hydrokarbonførende utstyr. Disse trinnene er brukt som et utgangspunkt ved beskrivelsen av beste praksis. Nevnte figur, og dermed anbefalingene om beste praksis, er utformet slik at de passer sammen med de felles retningslinjene for arbeidstillatelser (AT), jf. dokumentet «Anbefalte retningslinjer for felles modell for arbeidstillatelser», revidert i 2011, ref. /1/. Sammenhengen mellom anbefalingene og det generelle arbeidstillatelsessystemet er vist i Figur 6. Kort forklart er sammenhengen med AT-systemet slik: Figur 6 starter med «isoleringer påkrevd». Dette behovet vil fremkomme i planleggingen av en arbeidsoperasjon på HC-førende utstyr. For denne typen arbeidsoperasjoner er det krav til AT nivå 1, ref. /2/. Det er således AT-systemet som initierer behovet for isolering. Deretter gjennomføres planleggings- og isoleringsaktivitetene i henhold til figuren. I forbindelse med selve arbeidet på det hydrokarbonførende utstyret skjer en ny interaksjon med AT-systemet: AT-systemet stiller krav til aktiviteter som skal gjennomføres før jobben kan starte (SJA, godkjenningsrutiner etc.) og etter at jobben er fullført (at arbeidet er ferdig, at arbeidsstedet er ryddet etc.). Startpunktet for figuren er at det er identifisert et behov for isoleringer, det vil si at det skal gjennomføres arbeid på hydrokarbonførende utstyr. Venstre side av figuren viser aktivitetene som skal gjennomføres før arbeidet på det hydrokarbonførende utstyret kan starte, og deretter aktivitetene som skal gjennomføres for å sikre at isoleringene/barrierene blir korrekt tilbakestilt. Aktivitetene er delt inn i fire hovedtrinn: Planlegge, isolere, arbeide (på det hydrokarbonførende utstyret) og tilbakestille. Hvert av disse hovedtrinnene er igjen delt inn i undertrinn. Høyre side av figuren viser hvem som gjennomfører de ulike aktivitetene. Disse rollene samsvarer med rollene beskrevet i felles retningslinje for arbeidstillatelser, ref. /1/. Blå og rød skrift indikerer roller som skal fungere som uavhengige barrierer, det vil si at den første rollen (blå) skal gjennomføre aktiviteten, og deretter skal den andre rollen (rød) kontrollere at aktiviteten er gjennomført på riktig måte. I slike tilfeller er det avgjørende at det legges til rette for at de to rollene kan utøves uavhengig av hverandre. I resten av Del 1 gjennomgås trinnene i ovennevnte figur. For hvert trinn forklares det først hva trinnet går ut på. Deretter presenteres arbeidsgruppens anbefalinger om beste praksis. 5

Isoleringer påkrevd Se AT-prosess Evaluere isoleringsbehov/ krav Driftsansvarlig leder/ Områdetekniker i samarbeid med utførende fagperson 1 PLANLEGGE 2 ISOLERE 3 ARBEIDE 4 TILBAKESTILLE Utarbeide isoleringsplan Verifisere og godkjenne isoleringsplan Etablere og lekkasjeteste isoleringer + gassfrie Verifisere isoleringer Godkjenne isoleringer Demonstrere null energi kontrollere klargjøring (samhandling) Arbeid på HC-førende utstyr Godkjenne iverksettelse av tilbakestilling Inertisering og lekkasjetest Tilbakestille isoleringer Verifisere tilbakestilling av isoleringer og splittpunkter Tilbakestilling og verifikasjon foregår parallelt Områdetekniker Annen kompetent person (områdetekniker/ driftsansvarlig leder) Områdetekniker. Egen koordinator hvis isoleringen utføres av flere fagområder. Annen kompetent person (normalt en annen områdetekniker) Driftsansvarlig leder Samhandling mellom flere roller: Områdetekniker demonstrerer for utførende fagperson Se AT-prosess Utførende fagperson Område/ driftsansvarlig leder Områdetekniker Områdetekniker Annen kompetent person (normalt en annen områdetekniker) Isoleringer tilbakestilt Figur 1 Trinnene som gjennomføres ved isolering og tilbakestilling ved arbeid på hydrokarbonførende utstyr. 6

Trinn 1 - Planlegge Beste praksis generelle prinsipper Deltrinn Evaluere isoleringsbehov/krav Utarbeide isoleringsplan Forslag beste praksis Optimal planlegging er at jobben er planlagt i god tid, eventuelt fra land, og at dokumentene er mottatt/kvalitetssikret før jobben starter offshore. Det må være veldefinerte grenser for hva som er «vanlige» arbeidsoperasjoner, slik at ikke grensene tøyes for hva produksjonsteknikerne kan gjøre uten isoleringsplan. Det må stilles krav til hvordan isoleringsplaner skal utarbeides. Riktig merking (tagging av utstyr) er kritisk, da det er en mulig fellesfeil for ellers uavhengige barrierer. Det må være rutiner for at man alltid skal ta utgangspunkt i master P&ID, og det må ikke være tvil om hva som til enhver tid er master P&ID. Dersom det er påført endringer på master P&ID for hånd (i kontrollrom), og det kommer ny master P&ID fra land, skal to personer sjekke at den som legges i permen inkluderer alle endringene. Den som utformer isoleringsplanen må forsikre seg om at anlegg og P&ID stemmer overens, og ikke stole fullt og helt på master P&ID. På komplekse anlegg bør dette gjøres ved å gå ut i felt og sjekke/ «gå opp» anlegget. Selskapene skal ha klare retningslinjer for når enkle og doble barrierer skal brukes. På dette området er det i dag stor variasjon mellom selskapene. Se info under. Isoleringsplanen skal være utformet som en sjekkliste, slik at den er lett å følge. Det er viktig at det stilles krav om at isoleringsplanen skal være spesifikk i alle detaljer som skal gjennomføres (alle plugger, venter etc.). Dette er viktig for å sikre riktig tilbakestilling. Isoleringsplanen skal være utformet slik at man signerer for hvert punkt etter hvert som barrierene settes. Dermed reduseres sjansen for å hoppe over et punkt på planen. Isoleringsplanen skal ha en rubrikk for hvilken faggruppe som skal gjennomføre hvert punkt av isoleringen. Det må også fremkomme om det er behov for støtte fra personell med spesiell kompetanse. Det skal stilles krav om at alle barrierer som inngår i isoleringen skal kunne testes i den strømningsretningen som barrieren skal beskytte mot. Det skal også være en spesifikk beskrivelse av hvordan testen skal gjennomføres. Dersom det er trykkløst på den ene siden av ventilen, bør det stilles krav om at segmentet trykkes opp, slik at det er mulig å gjennomføre testen. Det kan åpnes for visse unntak mot systemer som normalt ikke er trykksatt og som det ikke er 7

praktisk mulig å trykksette. Konkrete retningslinjer for slike unntak må i så tilfelle utarbeides. På isoleringsplanen må det fremkomme hvilke barrierer som skal testes, og det må være en rubrikk for å krysse av når hver test er gjennomført. Det skal også være en oversikt over hvilke flenser som har vært brutt (åpnet) ved lekkasjetesting. Dette ivaretas ved å oppdatere splittelisten. Dersom en isoleringsplan skal gjenbrukes på en senere jobb må den på nytt verifiseres. Krav til å vurdere om en spesiell rekkefølge skal følges ved etablering av barrierer og tilbakestilling. Verifisere og godkjenne isoleringsplan Verifikasjonen må inneholde kontroll av at isoleringsplanen er tilstrekkelig detaljert, og for eksempel inneholder alle avblødningspunkter og alle flenser som må brekkes ved lekkasjetesting. Isoleringsplanen må underkjennes dersom dette ikke er oppfylt. All relevant dokumentasjon må inngå i verifikasjonen, for eksempel P&ID. Den som verifiserer isoleringsplanen må ha felttilknytning. Det kan ikke være en som vanligvis sitter på kontor. Uavhengig verifikasjon av isoleringsplanen må gjøres av en kompetent person. Dette skal ikke være samme person som har utarbeidet isoleringsplanen. Det må stilles konkrete krav til kompetanse for personell som skal verifisere og godkjenne isoleringsplaner. Generelt Det skal med jevne mellomrom gjennomføres audit på prosessystemet for å avdekke feil på P&ID. Det skal være instrukser om hva som skal gjøres dersom en finner tag-nummer som har falt av. Rutinen skal inkludere uavhengig kontroll av plassering, slik at ikke en enkeltfeil kan føre til at tag-nummeret plasseres på feil utstyr. Krav til antall barrierer Det er ulik praksis mellom operatørselskapene hva angår krav til antall barrierer ved isolering i forbindelse med arbeid på hydrokarbonførende utstyr. Tabell 1 og Tabell 2 viser eksempler på krav hos fem av operatørene på norsk sokkel. Den første av de to tabellene gjelder i tilfeller der arbeidsstedet i perioder blir forlatt, mens den andre tabellen gjelder tilfeller med kortvarig eksponering med personell til stede hele tiden. Merk at de tre selskapene som har operasjonstrykk som trykkreferanse i Tabell 1 og Tabell 2 definerer begrepet ulikt. Selskap A: «PSV-trykk. Utstyrets designtrykk eller høyeste trykk som kan oppstå». Selskap B: «Trykket som systemet vanligvis opereres i». Selskap C: The maximum pressure that can occur in the pipe system. Normally confined by PSHH and/or PSV. 8

Tabell 1 Krav til antall barrierer ved isolering dersom arbeidsstedet i perioder blir forlatt. (Enkelte av kravene er forenklet). Siste kolonne i tabellen angir hvilket trykk det er snakk om (jf. første rad). Operatør <10 bar 10-50 bar 50-100 bar >100 bar Trykkreferanse Selskap A Enkel barriere. Dobbel barriere/ blinding dersom mannskapsbytte Dobbel barriere/ blinding Barg operasjontrykk Selskap B Enkel barriere Dobbel barriere Bar operasjonstrykk Selskap C Enkel barriere Dobbel barriere/blinding Barg operasjontrykk Selskap D (<20 bar) Enkel barriere Dobbel barriere/blinding. Enkel barriere kan godkjennes under visse forutsetninger (>20 bar) Gass: enkel barriere, væske: Dobbel barriere Dobbel barriere Trykklasse (omgjort til operasjonstrykk) Enkel eller dobbel barriere/blinding avhengig av substance type, Selskap E Dobbel barriere Designtrykk situation, effect matrix, release matrix, time factor og hazard factor Tabell 2 Krav til antall barrierer ved isolering ved kortvarig eksponering der personell alltid er tilstede. (Enkelte av kravene er forenklet). Siste kolonne i tabellen angir hvilket trykk det er snakk om (jf. første rad). Operatør <10 bar 10-50 bar 50-100 bar >100 bar Trykkreferanse Selskap A Enkel barriere Dobbel barriere Barg operasjontrykk Selskap B Enkel barriere Enkel barriere (inntil 16 timer) Enkel barriere (inntil 3 timer) Bar operasjonstrykk Selskap C Enkel barriere Dobbel barriere Barg operasjontrykk Selskap D (<20 bar) Enkel barriere (>20 bar) Gass: Enkel barriere, væske: Dobbel barriere Dobbel barriere Trykklasse (omgjort til operasjonstrykk) Enkel eller dobbel barriere/blinding avhengig av substance type, Selskap E Dobbel barriere Designtrykk situation, effect matrix, release matrix, time factor og hazard factor Beste praksis antall barrierer Selskapene må vurdere om egne krav er tilstrekkelig strenge i lys av Tabell 1 og Tabell 2 over. Det anbefales å bruke begrepet «dobbel barriere og avblødning» fremfor «double block and bleed», da sistnevnte begrep kan misforstås. Unngå begrepet «positiv isolering», da dette kan misforstås. Heller bruke begrepet blinding. I praksis er det vanskelig for personell offshore å avgjøre hvilke ventiler som har tobarriere-funksjon. For hver enkelt plattform/innretning bør det derfor være tilgjengelig en kvalitetssikret (av ventilekspert) oversikt med tag-nummer over hvilke ventiler som har denne funksjonen. Oversikten legges til grunn ved utarbeidelse av isoleringsplaner. Merk: Det er ikke tilstrekkelig å sjekke at ventilen er omtalt som DBB. For nye ventiler bør det stilles krav til ventilleverandøren om hensiktsmessig merking av ventilens funksjon. For at det skal være to «tellende» barrierer, må begge barrierene kunne testes uavhengig av hverandre. Jf. Styringsforskriftens 5, ref. /9/. 9

Trinn 2 - Isolere Beste praksis generelle prinsipper Deltrinn Etablere og lekkasjeteste isoleringer + gassfrie Forslag beste praksis Igangsetting: Det må stilles krav til hvordan disse aktivitetene skal gjennomføres, for eksempel i arbeidsinstruks/ metodebeskrivelse. Det er viktig at noen har ansvar for prosessen isolering, og at denne personen godkjenner at isolering kan starte. Personen koordinerer også rekkefølgen dersom det er flere isoleringsansvarlige. De som skal gjennomføre isoleringen skal diskutere og forstå isoleringsfilosofien som ligger i isoleringsplanen før isoleringene settes. Dette kan for eksempel gjennomføres ved at driftsansvarlig leder gjennomgår og forklarer isoleringsplanen med de som skal isolere. Gjennomføring: Det må alltid være en fysisk barriere for å hindre at aktuatorstyrte ventiler endrer stilling. Isoleringsmetoden må være så sikker at bortfall av kraft/luft etc. med sikkerhet ikke fører til at ventilen endrer stilling. På grunn av ovennevnte bør det for hver enkelt plattform/innretning være tilgjengelig en kvalitetssikret oversikt med tag-nummer der det fremkommer hvordan hver enkelt ventil skal isoleres. Oversikten legges til grunn ved gjennomføringen av isoleringene. Merkekampanjer: Det er avgjørende at alt utstyr er merket, ikke bare ventiler, men også tilkoblinger og annet relevant utstyr. Derfor bør det gjennomføres merkekampanjer. Arbeidet kan eventuelt settes ut til kontraktører. Konsekvenser av manglende tag skilt: Manglende merking skal utløse krav til at man skal gå opp anlegget fysisk. Dette skal gjøres av minst to personer. Det er viktig at det stilles konkrete krav til kompetanse for den som skal gjennomføre isoleringen. (Tilsvarende krav må gjelde for den som skal verifisere isoleringene.) Dersom isolering og lekkasjetesting gjøres parallelt, må aktivitetene gjennomføres på en systematisk måte (gjøre seg ferdig med én barriere/komponent før en fortsetter til neste). Det skal være et system for merking og sikring av at isoleringen er utført og at denne ikke endres av andre. o Merking: Merkelapper henges opp på utstyret etter hvert som isoleringen gjennomføres. Det skal være et system som sikrer at antall lapper og nummeret på hver lapp stemmer overens med 10

isoleringsplanen. Dette vil bidra til at ikke punkter på isoleringsplanen blir utelatt. Eksempel: En dedikert skriver koblet opp mot AT-systemet. o Låsing: Noen selskaper har rutiner for låsing av ventiler slik at ikke posisjonen endres uforvarende av andre (se under). Det anbefales at isoleringen gjennomføres på et tidspunkt der det er tilstrekkelig fred og ro til å gjøre jobben grundig. Dersom splitting av flenser eller fjerning av plugger inngår i isoleringen må splittelisten oppdateres. Splittelisten skal være et levende dokument som til enhver tid oppgir hvilke punkter som er splittet (både flenser og plugger). Gassfriing: Det bør alltid gjennomføres gassfriing før arbeid på hydrokarbonførende utstyr. Dette gjelder også i forbindelse med arbeid på sikkerhetsventiler. Avblødning: Det bør være felles spesifikasjoner på alt av slanger, slik at bruk av «feil» slanger ikke får vesentlige konsekvenser. Det skal stilles krav til hvordan enden på slangene skal festes så de ikke «danser rundt» ved lekkasje. Det er utarbeidet forslag til beste praksis for avblødning (se under). Kriterier for hva som anses å være sikkert område for avblødning skal utarbeides for hver enkelt innretning. Verifisere isoleringer Det må stilles krav til hvordan verifikasjonen skal gjennomføres Det må alltid stilles krav til verifikasjon, også dersom få ventiler inngår i isoleringen. Det anbefales å gjennomføre tiltak for å sikre at verifiserende er bevisst på rollen han har. En må tilstrebe å oppnå en så reell verifikasjon som mulig. (Hvordan dette kan oppnås er belyst i Del 2.) Godkjenne isoleringer Det er viktig at driftsansvarlig leder har kompetanse om systemene som er involvert i isoleringen. Eksempel på sjekkpunkter som driftsansvarlig leder gjennom samtale skal forsikre seg om er gjennomført er vist i vedlegg til dette dokumentet. Demonstrere null energi kontrollere klargjøring (samhandling) Det skal være rutiner for å demonstrere null energi for den personen som skal gjennomføre jobben. Dette innebærer for eksempel å demonstrere at systemet er trykkløst ved å åpne og lukke en ventil, å prøve å starte pumper som er frakoblet og inngår i isoleringen etc. 11

Anbefalt praksis for gjennomføring av avblødning Anbefalt praksis for gjennomføring av avblødning er vist i Figur 2 under: Identifisert behov for avblødning Er det tilgjengelig et teknisk system designet og klarert for tilkobling av avblødningsslanger? JA NEI Som utgangspunkt anbefales lukket avblødning med manometer. Vurderes dette som hensiktsmessig? JA NEI Gjennomfør risikovurdering: Kan slanger aksepteres? Hvor skal de føres? JA Akseptabelt med slanger NEI Ikke akseptabelt med slanger (eller uavklart) Nærmere vurdering er nødvendig før jobben kan starte Bruk slanger iht. gjeldende retningslinjer Bruk lukket avblødning med manometer. Kontroller trykkoppbygging jevnlig Bruk det tekniske systemet iht. gjeldende retningslinjer Figur 2 Flytskjema for gjennomføring av avblødning, beste praksis. Første vurdering: Er det tilgjengelig et teknisk system designet for tilkobling av avblødningsslanger? Hvert selskap må gjøre en vurdering av hvilke systemer dette kan være. Hvis ja, bruk dette systemet. Andre vurdering: Bruk av manometer til å detektere trykkoppbygging: Enten kontinuerlig teknisk trykkovervåkning med alarm eller operatør som kontrollerer manometer periodisk, for eksempel hver 4. eller 6. time. Det presiseres imidlertid at det finnes teknisk utstyr for å detektere trykkoppbygging automatisk og at dette er i bruk i noen selskaper. Automatisk deteksjon av trykkoppbygging med alarm anses som en mer robust løsning enn manuell 12

avlesing av et manometer med jevne mellomrom. Eksempel på automatisk utstyr er vist i ref. /11/ 3. Ved eventuell bruk av manuelt manometer må det ha samme trykklasse som røropplegget, men samtidig må det være mulig å oppdage små trykkoppbygginger. Det henvises for øvrig til dokumentet «The safe isolation of plant and equipment» side 37, ref. /10/. Bruk av stengt avblødning med manometer betinger at: Ventilene er testet. At det er en plan for hva som skal sjekkes, hvordan, av hvem og når. At det er en plan for hva som skal gjøres dersom det oppdages trykkoppbygging. Tredje vurdering: Slange til friluft kan benyttes i enkelte tilfeller, men kun dersom dette er vurdert å være akseptabelt i en risikovurdering. Følgende må som et minimum ivaretas: Slangen er av en type som tåler høyeste trykklasse på innretningen (slik at den dekker alle formål, og forveksling ikke får alvorlige konsekvenser). Slangekuplingene er av riktig type og er godt festet. Slangens frie ende er sikret. Slangen er fri for skader (sprekker, blærer, rifter). Slangen er rengjort og klar til bruk. Merking er korrekt med sertifikatnummer/referansenummer. Den nevnte risikovurderingen skal være en del av utarbeidelsen av isoleringsplanen. Det vil si at man skal gå gjennom hvert enkelt punkt på planen og risikovurdere hvordan avblødning skal gjennomføres, herunder hva som anses som sikkert område for utlegg av slange til friluft. Hva er sikkert område for utlegg av slange til friluft Hva som regnes som sikkert område må vurderes i hvert enkelt tilfelle i en risikovurdering. Følgende bør ivaretas: Begrepet «sikkert område» er ikke det samme som «uklassifisert område». Med sikkert område menes et område hvor det ikke finnes tennkilder og hvor personell ikke blir eksponert for avdampning og uønsket medium. Sikkert område skal defineres i hvert enkelt tilfelle. Ved plassering av vent må det tas hensyn til luftinntak, utløp for HVAC, forbrenningsluft og personelleksponering. Ved avblødning av væsker skal dette primært skje til lukket drenering eller annet lukket system egnet til formålet. Det må tas hensyn til vindforhold ved plassering av vent slik at gass ikke blir blåst inn mot bemannede områder, mulige tennkilder og ventilasjonsinntak. Fortrinnsvis skal det velges en løsning som er robust for alle vindforhold. 3 Her er det rom for teknologiutvikling. Forslag: Manometer som måler trykkoppbygging, og som gir alarm med lyd og blinkende lys ved trykkoppbygging til for eksempel 2 bar. Eventuelt et trådløst manometer. Det er viktig at denne typen utstyr tåler høye trykk, men likevel er i stand til å oppdage små trykkendringer. 13

Merking og sikring av utstyr som inngår i isoleringen Innarbeidede farger beholdes 4. Men i tillegg til farge må det fremkomme tydelig med skrift på merkingen hva fargen betyr. Eksempler: «Stengt ventil», «Åpen ventil», «Do not operate!». Merkingen må også inneholde annen relevant informasjon, for eksempel ventil- og blindingsnummer og tag-nummer. Det skal være et system for identifisering av riktig arbeidssted (splitt- eller kuttpunkt). Ref. «grønn lapp» brukt i ett selskap. Dette henger sammen med punktet «demonstrere null energi» i flytskjemaet, jf. trinnet «isolere». Eksempel på god praksis låsing av ventiler som inngår i isoleringen Enkelte selskap har innført et system der drift og utførende har separate nøkler til en nøkkelboks, som inneholder nøklene til isoleringene. Begge må låse opp før tilbakestilling er mulig. De aktuelle selskapene rapporterer om positive erfaringer med systemet. Trinn 3 - Arbeide på HC-førende utstyr Beste praksis generelle prinsipper Deltrinn Arbeid på HC-førende utstyr Forslag beste praksis Relatert til utførelse: Det er viktig å ha gode rutiner for å sikre at riktig moment benyttes (riktig trekketabell). Det må stilles krav til verifikasjon av at riktig moment benyttes. Det må være rutiner for å sikre at riktig pakning monteres. Det må stilles krav til verifikasjon av at riktig pakning benyttes (kameratsjekk for valg av pakninger). For hver flens som splittes og hver plugg som fjernes må splittelisten oppdateres. Splittelisten skal være et levende dokument som til enhver tid oppgir hvilke punkter som er splittet (både flenser og plugger). Andre momenter relatert til planlegging/generelt: Det må være rutiner for å sikre at ikke annet arbeid som involverer tennkilder gjennomføres parallelt. Det bør etableres en oversikt over avblødningspunkter per modul. Denne bør sjekkes opp mot potensielle tennkilder. Det bør stilles krav til at det demonstreres null energi ved mannskapsbytte, for eksempel mellom dagskift og nattskift. 4 Det er ulik praksis i selskapene vedrørende hvordan utstyr som inngår i isoleringen merkes. Se del 2 for eksempler. 14

Det er viktig med fokus på utforming og bruk av trekketabeller/ trekkelapper. Krav til merking. Det må stilles krav til kurs/opplæring. Det er viktig at kravene også innføres for personell på land som jobber på utstyr som skal leveres til offshoreinnretninger. Det anbefales å merke utstyr som skal fjernes, dersom fjerningen skjer på en levende plattform. Eventuelt å begrense kaldkutting på levende plattform. Det anbefales å innføre krav til klarering med områdetekniker hver gang man har forlatt arbeidsstedet, jf. trinnet «demonstrere null energi». Selskapene må sikre at anbefalingene i Norsok L004, ref. /12/, er ivaretatt. Det anbefales å vurdere å gjennomføre gransking av feil som blir oppdaget i lekkasjetest. På den måten kan forståelsen for hva som går galt i utførelsen og fører til lekkasje bedres. Rutiner i forbindelse med valg av pakninger, tiltrekking av bolter etc. Figur 3 viser ulike trinn som, dersom de ikke gjøres korrekt, kan ende opp i en hydrokarbonlekkasje ifm. flenser. I teksten under figuren er beste praksis for hvert av disse trinnene presentert. a) Utarbeide trekketabell og verifisere denne b) Velge riktig trekketabell og bruke/forstå denne c) Montere brutte flenser og trekke opp til riktig moment d) Verifisere at ovennevnte er riktig utført Figur 3 Trinn som gjennomføres for å sikre at brutte flenser monteres riktig sammen, og at det trekkes opp til riktig moment. a) Utarbeide trekketabell og verifisere denne Hvilken rørspesifikasjon som skal velges for hvert aktuelle bruksområde må avgjøres av et tverrfaglig team. Utarbeidelsen av trekketabellen må verifiseres av en uavhengig kompetent person. b) Velge riktig trekketabell og bruke/forstå denne Valg av trekketabell fremkommer av rørspesifikasjonen som står på P&ID. Det er viktig at rutinene for valg av trekketabell utformes på en slik måte at det er lett å velge riktig tabell, og at muligheten for misforståelser unngås. 15

Det er avgjørende at tabellene utformes slik at de er egnet for det verktøyet som skal brukes, og at avlesing kan skje direkte. Det må ikke være omregning fra tabell til verktøy. Da innføres en feilkilde som kan føre til feil moment på alle boltene. c) Montere brutte flenser og trekke opp til riktig moment Arbeidet må gjennomføres som beskrevet i «Håndbok i flensarbeid», ref. /13/. Det må være rutiner for periodisk kalibrering av trekkeverktøy (årlig). Dette gjelder både hydrauliske og manuelle momentnøkler. Som hovedregel skal det brukes nye bolter når utstyret settes sammen (ikke gjenbruke de gamle boltene). Dette er iht. kapittel 2.5 i ref. /13/. Se også anbefalinger i ASME PCC-1, Appendix N, ref. /14/. Galvaniserte bolter må alltid skiftes da galvaniseringen som regel vil være nedslitt på de gamle boltene. Dette påvirker friksjonsfaktoren og derav nødvendig moment. For edle bolter kan boltene brukes på nytt forutsatt at en kontrollerer at gjengene er uskadet. Se for øvrig ASME PCC-1, Appendix N, ref. /14/. Pakningstype skal alltid velges ut fra spek. Se på merkingen på pakning/emballasje. At riktig pakning velges skal verifiseres av en annen kompetent person. Hva som er beste praksis for pakningsmateriale kan over tid endres 5. Det er imidlertid viktig at mekaniker alltid setter tilbake den pakningstypen som er oppgitt i spesifikasjonen, og ikke på egenhånd endrer pakningstype. Grunnen er at dersom en skal bytte pakningstype, så må hele spesifikasjonen oppdateres, inkludert boltlengde, trekketabell og andre forhold. Alle flenser på hydrokarbonførende systemer, uansett størrelse, skal trekkes til med momentnøkkel/verktøy 6. Det skal aldri brukes skiftenøkler. Hvis saksing: Avviksbehandling iht. styringssystemet. Toleransegrenser er gitt i Norsok L004. d) Verifisere at ovennevnte er riktig utført Utførelsen av punktene over skal verifiseres av annen kompetent person (mekaniker) før utstyret settes sammen igjen. Verifikasjonen skal inkludere tetningsflater, rengjøring, valg av pakning, valg av bolter, valg av trekketabell og tiltrukket moment. Dette gjelder også på klargjøringsaktiviteter. Det må være en punktvis liste på alt som skal sjekkes. Verifikasjonen skal også innbefatte sjekk av at riktig plugg er brukt og at pluggen er trukket til med riktig moment. Verifikasjonen må gjennomføres rett før/samtidig med at flensene monteres sammen. Det vil ikke være mulig å verifisere ovennevnte etter at jobben er gjort. Problemstilling med ulike farger på pakninger I dag brukes ulike farger på pakninger uten at dette er satt i system fra leverandørenes side. Dersom dette (feilaktig) av mekaniker og den som verifiserer valget av pakningstype 5 For eksempel vurderes det å anbefale å gå bort fra bruk av grafittlaminatpakninger i HC service. 6 Fra Norsok L004, ref. /12/, kapittel 6.5: All bolted flange connections shall have controlled tightening by means of manual torque wrenches or hydraulic bolt tightening. Hydraulic bolt tightening (tension or torque) shall be used on all bolts greater than 25,4 mm (1 in) diameter. If required the bolts shall have extra overlength of 1 x bolt diameter in order to accommodate tensioning tool. 16

oppfattes som fargekoder, kan det oppstå misforståelser som fører til at feil pakning installeres. Følgende tiltak anbefales: Informere om at farge ikke er gyldig som identifikasjon ved valg av pakning. Krav om at mekaniker skal lese hva som står på pakningen og forstå hva dette betyr. Deretter velges riktig type pakning ut fra rørspesifikasjonene. Valg av pakning skal verifiseres av en annen kompetent fagperson. Arbeide for at alle pakninger har samme farge, slik at ikke noen feilaktig tror det er snakk om fargekoding. Trinn 4 - Tilbakestille Beste praksis generelle prinsipper Deltrinn Forslag beste praksis Godkjenne iverksettelse av tilbakestilling Signatur for at arbeidet på det HC-førende utstyret er ferdig. Driftsansvarlig leder skal gi skriftlig tillatelse til å tilbakestille. Krav til å vurdere om en spesiell rekkefølge skal følges ved tilbakestilling. Inertisering og lekkasjetest Gassfriing/ inertisering Inertisere med N 2 og måle O 2 -innhold i det som blåses ut. Klart til oppstart når nivået av 0 2 er under 4 %. Totalsjekk av område-/ driftsansvarlig leder til slutt på at dette og andre trinn i klargjøringen er utført. Lekkasjetest Følge beste praksis (se teksten under). Vurdere å bruke Kamos-pakninger 7 eller andre tilsvarende løsninger mot ikke-trykksatte systemer. For eksempel mot fakkel. Tilbakestille isoleringer Viktig å ha rutiner for å følge ventil- og blindingslisten systematisk. Signere for hvert punkt som er tilbakestilt. Det er også viktig å sjekke at alle flenser og plugger som har vært splittet/fjernet er montert. Jf. punktene på splittelisten. Rutiner for å åpne grensene mot trykksatt system til slutt. Det må være rutiner for å telle lapper og kontrollere at alle er på plass. Verifisere tilbakestilling av isoleringer og Rutiner for verifikasjon av tilbakestilling utført av kompetent person. splittpunkter Sjekke hvert enkelt punkt på ventil- og blindingslisten. Det skal være signatur på hvert enkelt punkt for at verifikasjonen er utført. Verifikasjon og signatur på at alle splittpunkter på 7 Dette er en type pakning som kan lekkasjetestes uten å trykksette tilstøtende segment. Testen gjennomføres ved å sette trykk på selve pakningen. 17

splittelisten er tilbakestilt (jf. informasjon i vedlegg). Splittelisten skal være et levende dokument som til enhver tid oppgir hvilke punkter som er splittet (både flenser og plugger). Lekkasjetesting Fokuset i dette prosjektet er hydrokarbonlekkasjer i forbindelse med arbeid på hydrokarbonførende utstyr på offshore innretninger. Basert på dette velges det å fokusere på lekkasjetesting og ikke på trykktesting. Med utgangspunkt i dette er beste praksis diskutert for følgende testmetoder: Gross leak test Grov lekkasjetest ved relativt lavt trykk (vanligvis under 7-10 bar): «Bruker det du har». Testen utføres normalt med nitrogen. Såpetest av flensene. For noen flenser kan det være hensiktsmessig at flensen tapes. Deretter stikkes det hull på tapen og det søkes etter lekkasje i dette punktet. Ikke vanlig å overvåke trykket over tid i denne testen. Testen gjøres vanligvis med eget utstyr ombord. Sensitive leak test Bruker nitrogen innblandet med 1-2% helium. Flensene tapes, det stikkes hull på tapen, og et måleinstrument indikerer om utstyret lekker. Utstyret sniffer etter helium. Det er deteksjon av helium som er testkriteriet, og ikke trykkovervåkning over tid. Trykker systemet opp til testtrykk 8. Testen gjennomføres vanligvis av kontraktør. En variant: Noen steder gjennomføres høytrykkstest med nitrogen dersom det ikke er tilgang til helium. Kan i noen tilfeller være et alternativ til sensitive leak test. In-service leak test Gradvis opptrykking med prosessmediet, det vil si at prosessmediet brukes som testmedium. Eksempel: Trykke opp i trinn på 20% av operasjonstrykket, eventuelt 10 bar om gangen. Sjekke for lekkasjer underveis inntil anlegget/utstyret har oppnådd normale driftsforhold (trykk/temp). 8 I skrivende stund (oktober 2012) pågår det en samkjøring mellom selskapene i regi av Norsk olje og gass sitt nettverk HC-lekkasjer om hva som er å anse som et hensiktsmessig testtrykk. Anbefalingen som kommer ut av dette arbeidet vil bli implementert i fremtidige revisjoner av dokumentet når den er klar. 18

Flytskjemaet i Figur 4 under viser når de ulike testmetodene er aktuelle. Identifisert behov for lekkasjetest Større jobb/ Egne prosjekter Vurdering av hvilke(n) testmetode(r) som skal benyttes Eget personell/ Vedlikehold Enkle systemer med lite volum og få flenser Gross leak test Gross leak test Sensitive leak test (N 2/He) In-service leak test In-service leak test Figur 4 Flytskjema for valg av testmetode. Bruk av in-service leak test uten forutgående gross leak test bør begrenses til et minimum og kun brukes på enkle systemer med lite volum og få flenser. Dersom det er tilrettelagt for tilkobling av nitrogen, bør gross leak test gjennomføres. Hovedprinsipper ved testing Alle barrierer som inngår i isoleringen må testes i riktig rekkefølge. Ventiler bør ikke opereres etter at de er testet. Test må gjennomføres på en slik måte at man unngår innestengt trykk, for eksempel i ventilhus på store ventiler. Ved dobbel barriere må siste barriere også testes mot lavt trykk. Grunn: Enkelte ventiler kan tette godt ved høyt trykk, men likevel lekke ved lavt trykk. Mer detaljert informasjon om fremgangsmåter ved testing er presentert i dokumentets Del 2. 19

DEL 2: Bakgrunnen for anbefalingene gitt i del 1. 20

Innhold Del 2 Bakgrunn... 22 Hva er en storulykke?... 23 Hvorfor er det viktig å unngå storulykker?... 24 Hvordan kan storulykker unngås?... 26 Hva er de mest sentrale årsakene til hydrokarbonlekkasjer?... 28 Om trinn 1-4 presentert i Del 1... 31 Om Trinn 1 - Planlegge... 32 Hva innebærer dette?... 32 Hvorfor er det viktig?... 33 Om Trinn 2 - Isolere... 34 Hva innebærer dette?... 34 Hvorfor er det viktig?... 36 Om Trinn 3 - Arbeide på HC-førende utstyr... 39 Hva innebærer dette?... 39 Hvorfor er det viktig?... 40 Om Trinn 4 - Tilbakestille... 40 Hva innebærer dette?... 40 Hvorfor er det viktig?... 41 Referanser... 43 21

Bakgrunn En offshoreinnretning inneholder store mengder hydrokarboner under trykk. Dersom det oppstår en lekkasje i prosessutstyr slik at hydrokarbonene blandes med luft, kan det oppstå en brann eller eksplosjon. Dette kan få alvorlige konsekvenser både for mennesker som befinner seg på innretningen, ytre miljø og for innretningen i seg selv, noe som i neste omgang kan få alvorlige konsekvenser for selskapet som er involvert. En hydrokarbonlekkasje har med andre ord et potensial i seg til å ende opp i en storulykke. Arbeid som bidrar til å redusere muligheten for at en hydrokarbonlekkasje skal oppstå, er et viktig bidrag til å redusere storulykkesrisiko. Figur 5 viser ulike barrierefunksjoner som bidrar til å hindre/redusere potensialet for storulykker relatert til utslipp i prosessområdet på offshoreinnretninger. Å hindre hydrokarbonlekkasjer er den første av disse barrierefunksjonene. Det er utelukkende denne barrierefunksjonen det fokuseres på i denne rapporten. Hindre HClekkasje Redusere mengde Hindre antennelse Hindre spredning Sikre evakuering Barriereelementer: Design Beste praksis Kontroll/overvåkning Kvalifikasjonskrav Kurs/kompetanse Arbeidstillatelsessystem Risikovurderinger Etc. Barriereelementer: Design Oppsamling Drenering Isolering Trykkavlastning/fakling Etc. Barriereelementer: Barriereelementer: Design Design Tennkildekontroll Passiv brannbesk. Ventilasjon Aktiv brannbeskyttelse Overrisling (deluge) Ventilasjon Nedstengning Eksplosjonsbarrierer Prosedyrer/kompetanse Etc. Etc. Barriereelementer: Design Evakueringsveier Passiv brannbeskyttelse Evakueringsmidler Prosedyrer/kompetanse Etc. Figur 5 Barrierefunksjoner for å unngå storulykker relatert til hydrokarbonlekkasjer fra prosessanlegget. Denne rapporten har kun fokus på den første av disse: Å hindre hydrokarbonlekkasjer. En typisk offshoreinnretning med prosessanlegg inneholder flere hundre tonn hydrokarboner og flere tusen mulige lekkasjepunkter i form av for eksempel flenser og ventiler. Antall hydrokarbonlekkasjer på norsk sokkel per år med lekkasjerate over 0,1 kg/s er vist i Figur 6. Siden midten av 1990-tallet har det vært en positiv utvikling i og med at antall lekkasjer har gått ned fra 42 lekkasjer i år 2000 til 10 lekkasjer i 2007, ref. /1/. I de påfølgende fire årene har imidlertid antall lekkasjer variert mellom 11 og 16 lekkasjer per år. For å redusere storulykkesrisiko har bransjen et ønske om at antall hydrokarbonlekkasjer skal gå ytterligere ned. Det ble derfor iverksatt et prosjekt våren 2011 med dette som målsetting: «Hydrokarbonlekkasjeprosjektet». Denne rapporten dokumenterer en av aktivitetene som har blitt gjennomført i dette prosjektet. 22

Figur 6 Antall hydrokarbonlekkasjer over 0,1 kg/s fra prosessanlegg på norske offshoreinnretninger i perioden 1996 2011. Hvorfor er det valgt å fokusere på hydrokarbonlekkasjer over 0,1 kg/s? Grunnen til dette er blant annet at slike lekkasjer har et potensial til å føre til en storulykke dersom hydrokarbonene antenner. Jo større utslippsrate lekkasjen har, jo mer alvorlige kan konsekvensene bli. Eksempel på hva en lekkasje på 1 kg/s kan føre til: Uantent lekkasje: Utslipp av giftig gass som fyller mesteparten av en offshoremodul i løpet av sekunder. Å puste inn 2-3 åndedrag av denne gassen kan føre til at en besvimer på grunn av gassens narkotiske effekt. Ved umiddelbar antenning: 12-15 meter jetbrann. Mulighet for eskalering dersom flammen treffer annet prosessutstyr eller struktur uten passiv brannbeskyttelse. Ved antenning etter en stund: Eksplosjon med dødelig overtrykk i hele modulen. Stor sjanse for en påfølgende brann, og mulighet for eskalering til annet utstyr/område. En lekkasje på 1 kg/s svarer til at en full gassbeholder av den typen som brukes på gassgriller etc. (se bildet til venstre) tømmes i løpet av 10 sekunder. En lekkasje på 0,1 kg/s svarer til at den samme beholderen tømmes i løpet av 100 sekunder, det vil si på litt mer enn 1 ½ minutt. En årsaksanalyse for perioden 2008-2011, ref. /3/, har vist at en vesentlig andel av hydrokarbonlekkasjene har sammenheng med menneskelige og operasjonelle feilhandlinger ved planlegging av arbeid på prosessutstyr, gjennomføring av dette arbeidet og tilbakestilling av prosessutstyret for oppstart av prosessanlegget. Gode rutiner/arbeidsprosesser og forståelsen for nødvendigheten av planlegging, gjennomføring og tilbakestilling ved arbeid på HC-førende utstyr er en viktig forutsetning for å lykkes i arbeidet med å redusere antall HClekkasjer 9. Denne erkjennelsen er bakgrunnen for arbeidet som er dokumentert i denne rapporten. Hva er en storulykke? Det finnes flere definisjoner på hva som menes med storulykke. På petroleumstilsynets hjemmesider, ref. /4/, er følgende definisjon brukt: 9 Også andre forhold er viktige for å redusere antall HC-lekkasjer, for eksempel design, ledelsesaspekter, opplæring/kompetanse og vedlikehold. Det henvises i den sammenheng til andre aktiviteter i «prosjekt HClekkasjer», samt til interne prosjekter hos hver enkelt operatør. 23

«Med storulykke menes en akutt hendelse som for eksempel et større utslipp, brann eller en eksplosjon som umiddelbart eller senere medfører flere alvorlige personskader og/eller tap av menneskeliv, alvorlig skade på miljøet og/eller tap av større økonomiske verdier.» Det er like viktig å følge rutinene ved arbeid på tubing som ved arbeid på linjer med stor diameter. En lekkasje på noen få millimeter gir nok gass til å kunne forårsake en storulykke (brann/eksplosjon). Hvorfor er det viktig å unngå storulykker? En storulykke kan få svært alvorlige konsekvenser. Flere ulykker på verdensbasis de siste år har demonstrert det tydelig, ikke minst Macondo-ulykken i Mexicogulfen i 2010. Derfor er det viktig å arbeide målrettet for å unngå storulykker. For å vise hvor alvorlige konsekvenser en hydrokarbonlekkasje kan medføre brukes en lekkasje på 1 kg/s som eksempel. Denne lekkasjestørrelsen har vært på norsk sokkel hvert eneste år 10 så lenge vi har hatt pålitelige data (ref. Figur 6). For å unngå antenning er det EX-sikkert utstyr i prosessområdet. Det er også automatisk utkobling av potensielle tennkilder (roterende utstyr etc.) ved gassdeteksjon. Dette reduserer sjansen for antenning. Det er imidlertid en kjensgjerning at en hydrokarbonlekkasje også kan antennes av statisk elektrisitet, energien i selve bruddet eller som en følge av andre ting som en ikke har kontroll på. Den beste måten å sikre seg mot at lekkasjen skal føre til en storulykke, er derfor å unngå at lekkasjen skjer i det hele tatt. Hva er den viktigste forskjellen på arbeidsulykker og hydrokarbonlekkasjer med tanke på risiko? De potensielle konsekvensene er vidt forskjellige. En arbeidsulykke kan føre til at du selv og/eller en kollega blir skadet eller i verste fall drept. En antent hydrokarbonlekkasje kan imidlertid føre til betydelig mer alvorlige konsekvenser; at mange av de som er tilstede på innretningen blir skadet eller drept. For arbeidsulykker er det ofte lett å forstå risikoen en utsetter seg for: Du kan falle ned fra en stige, du kan miste en gjenstand ned på en kollega, du kan falle ned fra et stillas. Feil som gjøres ved arbeid på hydrokarbonførende utstyr kan få mye større konsekvenser enn arbeidsulykker, men dette er ikke alltid så lett å forstå. Eksempler på feil som kan føre til en storulykke: Du sjekker ikke pakningsspesifikasjonen, og setter derfor inn feil pakning etter å ha byttet en ventil. Verifikasjon (kameratsjekk) av at riktig pakning er valgt hoppes over. Resultatet kan bli en storulykke. Du leser feil i trekketabellen, og trekker en flens til feil moment. Verifikasjon (kameratsjekk) av tiltrekking hoppes over. Resultatet kan bli en storulykke. Du følger ikke ventil- og blindingslisten til punkt og prikke når du isolerer eller tilbakestiller prosessutstyr, og din kollega, som har fått i oppgave å dobbeltsjekke at du har gjort alt riktig, gjør ikke kontrollen slik han skal. Resultatet kan bli en storulykke. Som driftsansvarlig leder signerer du for at tilbakestilling og verifikasjon er utført, uten at du har forsikret deg om at dette faktisk er gjort og hvordan. Resultatet kan bli en storulykke. 10 Det har imidlertid ikke vært antente hydrokarbonlekkasjer på norsk sokkel siden 1992. 24

Den mest alvorlige ulykken så langt i Nordsjøen skjedde på innretningen Piper Alpha på britisk sokkel i 1988, ref. /5/. I denne ulykken omkom 167 personer, det vil si mer enn 2/3 av de som var tilstede på plattformen. Deler av hendelsesforløpet er vist i Tabell 3 under. Tabell 3: Hendelsesforløpet i ulykken med Piper Alpha der 167 personer omkom som følge av en hydrokarbonlekkasje, ref. /5/. Tidspunkt. Beskrivelse 12:00 Plattformen hadde to kondensateksportpumper, A og B. Om morgenen den 6. juli 1988 ble en sikkerhetsventil (PSV # 504) på pumpe A fjernet for rutinemessig vedlikehold, og erstattet med en blindflens. På arbeidstillatelsen ble det av «on duty engineer» påført at pumpe A var tatt ut for vedlikehold, og at den derfor ikke måtte startes. Det var også planlagt en overhaling av pumpen men dette arbeidet var ennå ikke startet. 18:00 Dagskiftet ble avsluttet, og nattskiftet overtok. I og med at en av de påtroppende var opptatt, ble det under vaktskiftet ikke informert om tilstanden til pumpe A. Arbeidstillatelsen der det sto påført at pumpen ikke måtte startes ble lagt i kontrollrommet. Denne tillatelsen forsvant og ble ikke funnet av operatøren på nattskiftet. I kontrollrommet var det imidlertid også en annen arbeidstillatelse som gjaldt pumpe A, i og med at det var planlagt en generell overhaling som ennå ikke hadde startet. 19:00 Som mange andre plattformer, hadde Piper Alpha automatisk brannvann (deluge), drevet av både dieselpumper og elektriske pumper (sistnevnte ble slått ut av de første eksplosjonene). De dieseldrevne pumpene var konstruert slik at de skulle starte automatisk ved branndeteksjon. Pumpene var imidlertid satt i manuell modus på kvelden den 6. juli på grunn av at det var dykkere i vannet, som i teorien kunne blitt sugd inn i sjøvannsinntaket dersom brannpumpene hadde startet. 21:45 Kondensatpumpe B stoppet plutselig og kunne ikke startes igjen. Arbeiderne hadde da kun noen få minutter på seg til å få i gang igjen en av pumpene. Hvis ikke ville strømforsyningen svikte. De tilgjengelige arbeidstillatelsene i kontrollrommet ble undersøkt for å se om pumpe A (som var tatt ut for vedlikehold) kunne startes i stedet. 21:52 Arbeidstillatelsen for overhaling av pumpe A ble funnet, men ikke den andre tillatelsen (for bytte av PSV) som sa at pumpen ikke under noen omstendigheter måtte startes. PSVen var plassert i et annet område enn pumpen, og siden tillatelsene ble oppbevart i ulike bokser avhengig av lokasjon, var ingen av de involverte på nattskiftet klar over at det var gjort inngrep på det hydrokarbonførende utstyret. Basert på arbeidstillatelsen om den generelle overhalingen, antok personellet at det ville være trygt å starte pumpe A. Den manglende ventilen, midlertidig erstattet med en blindflens, ble ikke lagt merke til av noen, i og med at denne befant seg flere meter over bakkenivå, skjult av annet utstyr. 21:55 Kondensatpumpe A ble startet. Dette førte til at den midlertidige påsatte blindflensen ble blåst av. Kort tid etter oppstart kunne personellet høre en gasslekkasje, og seks gassdetektorer ble aktivert. Men før noen rakk å reagere ble hydrokarbonene antent. En eksplosjon førte til en ny lekkasje i et annet kondensatrør og en større etterfølgende brann. Den initielle lekkasjen har i etterkant av ulykken blitt anslått til ca. 2 kg/s med et totalt utslipp på ca. 70 kg. 22:04 Kontrollrommet ble evakuert uten at mønstringsalarm ble gitt. Personellet ombord prøvde å nå livbåtene, men dette var ikke mulig på grunn av brannen. I stedet valgte mange å mønstre i boligkvarteret, og avvente beskjed om hvordan de skulle forholde seg. Vind, brann og røyk gjorde det umulig å lande med helikopter, og ingen flere instruksjoner ble gitt. Etter en stund begynte røyk å trenge inn i boligkvarteret. To personer ikledde seg røykdykkerutstyr og prøvde å nå kontrollpanelet for brannpumpene under dekk for å aktivere brannvannet, men disse ble aldri sett igjen. Hydrokarbonene ville kanskje ha brent ut av seg selv, hvis det ikke var for at to av naboplattformene (Tartan og Claymore) fortsatte å pumpe hydrokarboner inn i den felles rørledningen. At de ikke stengte ned produksjonen hadde sammenheng med at lederne på disse plattformene ikke hadde tillatelse til å stenge ned uten tillatelse fra land, samt at de ikke hadde var klar over situasjonen på Piper Alpha. 22:20 Brannen spredte seg til det ene stigerøret (mot Tartan), noe som resulterte i en gasslekkasje med en rate tilsvarende 1/3 av Storbritannias samlede gassforbruk til husholdningsformål. Dette resulterte i 25