Revisjonsrapport Rapport Rapporttittel Aktivitetsnummer Tilsynet med Aasta Hansteen utbyggingsprosjekt barrierestyring 001218007 Gradering Offentlig Unntatt offentlighet Begrenset Fortrolig Strengt fortrolig Involverte Hovedgruppe Oppgaveleder T-1 Eivind Sande Deltakere i revisjonslaget Dato 26.2.2014 Harald Thv. Olstad, Kristi Wiger, Bjørnar Heide, Odd Tjelta, Espen Landro og Aina Eltervåg 1 Innledning Petroleumstilsynet (Ptil) førte i perioden 4.11.2013 og 14.-15.1.2014 tilsyn med Statoil sitt arbeid med å sikre etterlevelse av regelverkets krav til barrierestyring i utbyggingsprosjektet for Aasta Hansteen. Tilsynet ble gjennomført i Statoils lokaler på Fornebu og hos prosjekteringskontraktør CB&I i Den Haag, Nederland. Aasta Hansteen-feltet er lokalisert i Vøringområdet i den nordlige delen av Norskehavet, og ligger om lag 300 km vest for Bodø og 140 km nord for Nornefeltet. Havdypet i området er 1300 m. Feltinstallasjonene på Aasta Hansteen vil bestå av en flytende produksjonsinnretning av Spar-typen med kondensatlager og et dekk for prosessering, hjelpesystemer og boligkvarter. Produksjonen vil være fra havbunnsbrønner samlet i tre havbunnsrammer. Sparkonseptet er nytt i Norge, men kjent fra andre land. Aasta Hansteen vil være den største innretningen av denne typen som er bygget til nå. 2 Bakgrunn Ptil skal legge premisser for og følge opp at aktørene i petroleumsvirksomheten holder et høyt nivå for helse, miljø og sikkerhet og gjennom dette bidra til å skape størst mulig verdier for samfunnet. Oppfølgingen skal være systemorientert og risikobasert og komme i tillegg til næringens egen oppfølging. Vår tilsynsmetodikk er i hovedsak basert på verifikasjon av utvalgte anlegg, systemer og utstyr, og våre observasjoner kan av den grunn være like relevant for andre anlegg, systemer og utstyr. Barrierer er også i år en av Ptil sine fire hovedprioriteringer. Erfaring viser at aktørene i varierende grad har implementert regelverkets krav til barrierestyring. Arbeidsprosesser for etablering og robustgjøring av barrierer i de ulike faser i en innretnings livsløp har utviklet seg i forskjellig retning og har forskjellig modenhet. Svikt og svekkelser i et eller flere barriereelementers ytelse er en gjennomgående årsaksfaktor ved hendelser.
2 Dette krever større oppmerksomhet og tettere oppfølging både fra aktørene og myndighetene for å sikre kontinuerlig forbedring. Det primære hjemmelsgrunnlaget for aktiviteten var: Styringsforskriften 4 om risikoreduksjon, 5om barrierer, 11 om beslutningsgrunnlag og beslutningskriterier samt 21 om oppfølging Innretningsforskriften 8 om sikkerhetsfunksjoner samt utvalgte i kapittel V om fysiske barrierer og kapittel VI om beredskap 3 Mål Målet med oppgaven var å føre tilsyn med Statoil sin etablering og implementering av styringssystem som skal sikre etterlevelse av regelverkets krav til risiko- og barrierestyring i et livsløpsperspektiv. Det var spesielt viktig å få belyst hvordan selskapet har vurdert sammenhengen mellom risiko- og farevurderinger, behov for barrierer og barrierenes rolle spesifikt for Aasta Hansteen innretningen. Videre la vi vekt på hvordan selskapet planlegger å sikre en tidsriktig utarbeidelse og implementering av ytelseskrav til barrierefunksjoner og elementer under design, bygging og drift av innretningen. 4 Resultat Tilsynet omfattet utvalgte tema innenfor fagdisiplinene teknisk sikkerhet, beredskap, prosess sikkerhet og elektriske anlegg. Tilsynet ble gjennomført i form av presentasjoner, gruppesamtaler med nøkkelpersonell samt dokumentgjennomganger. Aktiviteten var godt planlagt og tilrettelagt fra Statoil og CB&I sin side. Presentasjonene var informative, godt dekkende og dialogen var åpen og konstruktiv. System for styring av barrierer på Aasta Hansteen er under utvikling og sentrale styrende dokumenter så som totalrisikoanalyse, sikkerhetsstrategi og ytelseskrav ble presentert og vurdert. Vårt hovedinntrykk er at selskapets intensjoner er gode og at det legges vekt på å identifisere og etablere robuste og effektive barrierer i samarbeid med sluttbruker (driftspersonell). Det ble imidlertid under tilsynet identifisert 5 avvik knyttet til: Mangelfull risikoanalyse Brannvannssystemet System for barrierestyring Brannskille Nødgeneratorenhetens kjølesystem Disse er ytterligere beskrevet i kapittel 5.1. Videre ble det identifisert 2 forbedringspunkt knyttet til: Mangelfull risikostyring Prinsipper for risikoreduksjon Disse er ytterligere omtalt i kapittel 5.2.
3 5 Observasjoner Ptils observasjoner deles generelt i to kategorier: Knyttes til de observasjonene hvor vi mener å påvise brudd på regelverket. Forbedringspunkt: Knyttes til observasjoner hvor vi ser mangler, men ikke har nok opplysninger til å kunne påvise brudd på regelverket. 5.1 Avvik 5.1.1 Mangelfull risikoanalyse Risikoanalysen inneholder ikke nødvendige vurderinger av følsomhet og usikkerhet. Regelverket har krav til risikostyring og risikovurdering. NORSOK Z-013 utgjør forskriftenes normative referanse og danner dermed et minimumsnivå. Z-013 setter blant annet i kapittel 5.6.2 føringer slik at analysene kan bidra til at beslutninger skal kunne tas på best mulig opplyst grunnlag, det vil si at kunnskapsstyrken i analysens forskjellige deler tydelig formidles til beslutningstakere og eksponert personell. Statoil informerte i møte 14. januar 2014 at Totalrisikoanalysene for øyeblikket ikke oppfyller alle kravene i kapittel 5.6.2, og at utkastet til Totalrisikoanalysen som fullføres 31. januar 2014 vil inkludere dette. Ptil understreker at Z-013 fordrer at endringene i det nye utkastet Statoil planlegger, vil måtte omfatte mer enn å oppsummere de spredte usikkerhetsvurderingene som var gjort i totalrisikoanalysene som ble framlagt til Ptil. For eksempel står det i avsnitt 5.6.2.a.5.i) og ii) at usikkerhetsdiskusjonen skal inkludere det valgte risikoperspektivet, og effekt og nivå av usikkerhet gitt dette perspektivet. Ettersom usikkerhet tolkes på forskjellige måter avhengig av hvilket risikoperspektiv man velger i avsnitt 5.6.2.a.5.i, kan man ikke ha en komplett usikkerhetsvurdering før et risikoperspektiv er valgt. Dette påviste avviket må ses i sammenheng med avviket i tilsynsrapportens delkapittel 5.1.3. Hvis beslutningene allerede er tatt, er det begrenset nytte i å følge Z-013 i etterkant. Vi minner også om at Z-013 gjelder for risikoanalyser generelt, og ikke bare gjelder for TRA. Når det gjelder analysens antakelser og forutsetninger, er det krav i delkapittel 5.6.2.f, som utdypes i delkapittel 5.6.3.4 for kvantitative analyser. Som en illustrasjon, delkapittel 5.6.3.4.b.1 spesifiserer at input-parametere som skal vurderes for sensitivitetsanalyser bør inkludere total bemanning og personellfordeling. Her kan det for eksempel stilles spørsmål til hvorvidt bemanningsanalysen tar inn over seg realitetene angående at noe personell ikke jobber 2/4-rotasjon på en enkelt installasjon. Slikt personell vil ofte forflytte seg med helikopter mellom installasjoner, slik at de får et helt annet risikobidrag fra helikoptertrafikk enn de som jobber 2/4-rotasjon på en enkelt installasjon. Petroleumstilsynets hovedprioritering Risikoutsatte Grupper har også illustrert at arbeidsoppgavene slike "nomader" utfører, gjerne fører til at de benevnes som risikoutsatte grupper.
4 Det kan argumenteres for at det er vanskelig å finne en eksakt beregningsmetode for denne problemstillingen rundt "nomadene", men poenget er ikke å gjøre detaljerte beregninger. Poenget er at risikobildet i liten grad er komplett uten at man i det minste har diskutert og illustrert "nomade"-utfordringen slik at risikoforholdene er godt kjente. Små endringer i input til risikoanalysen kan gi et annerledes risikobilde, og dette bør ikke skjules. Eksemplene ovenfor angående sensitivitetsanalyser må ikke forstås løsrevet, men må være en del av en helhetsvurdering i forhold til hvordan risikoen presenteres. Dermed kan man lettere oppfylle regelverkets krav om nyansert og helhetlig framstilling av analyse og resultat, og referansen i Z-013 delkapittel 5.6.2.d om et balansert, mange-fasettert og helhetlig risikobilde. Andre eksempler på mangelfull risikoanalyse er: a) Kapittel 5.6.2 i Z-013 omhandler flere forhold knyttet til sensitivitetsanalyser enn det som er oppfylt i totalrisikoanalysen. Se ellers kapittel 5.6.3.4 i Z-013. Totalrisikoanalysen anbefaler flere sensitivitetsanalyser, blant annet høyaktivitetsperioder og framtidig utstyr. Dette vil kunne bidra til innspill til barrierestyringen i et livsløpsperspektiv. Det anses at slike sensitivitetsanalyser ikke nødvendigvis skal være veldig "eksakte", men formålet bør være å få en oversikt over mulige utfordringer slik at det allerede i prosjektfasen kan legges opp til at disse kan håndteres på en robust måte. b) Beregninger av risiko knyttet til stigerørscenarioer er basert på en antakelse om lave sannsynligheter for lekkasjer. Usikkerheten her kan være betydelig, men analysen og videre beslutningstaking ser ikke ut til å ta hensyn til dette. Styringsforskriften 16 om generelle krav til analyser og 17 om risikoanalyser og beredskapsanalyser 5.1.2 Brannvannssystemet Manglende redundans i brannvannstilførselen fra ringledningen (hovedbrannledningen) til prosessområdet. Hovedbrannledningen skal bidra til å sikre tilstrekkelig tilførsel av brannvann til alle områder på innretningen hvor brann kan oppstå. Av kravet om sikker brannvannsforsyning til hvilket som helst område følger normalt at hovedbrannledningen er utformet som en ringledning og at områdene har tilførsel fra minst to godt atskilte grenrør på hovedbrannledningen. Vi ble informert om at det er planlagt å installere hovedbrannledning i uklassifisert område rundt hjelpeutstyrsmodulen og at prosessområdet er planlagt forsynt med brannvann fra kun ett grenrør fra hovedbrannledningen. Innretningsforskriften 36 om brannvannsforsyning Styringsforskriften 5 om barrierer 5.1.3 System for barrierestyring
5 Mangelfullt system for styring av barrierer. Prosjekteringsarbeidet ble oppgitt å være 46 % ferdig. Nødvendige dokumenter for barrierestyring var enda ikke utarbeidet eller var svært mangelfulle. Krav til slike dokumenter har Statoil selv beskrevet i TR1055 fig.1. Noen «foreløpige» dokumenter ble funnet å ha betydelige feil eller mangler. Eksempler på dette er: TRA (se kap.5.1.1) Safety Strategy for Topside Areas Performance Standard Report Design Accidental Report var enda ikke utarbeidet. I noen dokumenter var det inkonsistent bruk av begrepet DAL. Styringsforskriften 5 om barrierer 5.1.4 Brannskiller Brannskille kan ikke motstå de dimensjonerende brannlastene. Risikoanalysen har identifisert scenarioer der hendelser i prosessområdet eskalerer forbi brannvegg. Innretningsforskriften 30 om brannskiller 5.1.5 Nødgeneratorenhetens kjølesystem Vi etterlyser dokumentasjon som sikrer etterlevelse av krav til uavhengighet og sårbarhet knyttet til valgt løsning for nødgeneratorenheten. Innretninger skal ha et pålitelig, robust og enkelt nødkraftsystem som sikrer tilstrekkelig krafttilførsel til utstyr og systemer som skal fungere dersom hovedkraften faller ut. Nødkraftsystemene skal i tillegg være uavhengige av andre systemer. Det er uklart for oss om nødgeneratorenheten med tilhørende utrustning møter krav til uavhengighet («selfcontained») og sårbarhet, jamfør eksempelvis dieselgenerator enhetens kjølevannsystem. Innretningsforskriften 8 om sikkerhetsfunksjoner Innretningsforskriften 38 om nødkraft og nødbelysning
6 5.2 Forbedringspunkter 5.2.1 Mangelfull risikostyring Forbedringspunkt: Prosjektets tolkning av risikoakseptkriterier, og prosjektets ALARP-prosedyre er mangelfull. Dette forbedringspunktet må ses i sammenheng med tilsynsrapportens delkapittel 5.1.1. ALARP-prosedyren som ble benyttet i prosjektet, baserer seg på en for snever tolkning av regelverket. Ved usikkerhet skal beslutningskriteriene ta hensyn til dette, noe som ikke er tilfelle i ALARP-prosedyren i prosjektet. Vi refererer her særlig til rammeforskriften 11. Statoil nevnte at man ofte gjør slike vurderinger, og det har vi ingen grunn til å tvile på. Men på systemnivå må det allikevel påpekes at ALARP-prosedyren er basert på mangelfull tolkning av regelverket. Risikoakseptkriteriene, og tilhørende beslutninger, ble også presentert på en måte som indikerte en for snever tolkning av helheten av regelverket. Kravet til risikoakseptkriterier er kun én del av regelverket, og må forstås som en helhet der det tas hensyn til usikkerhet/kunnskapsstyrke, behovet/nytten av å se bredere enn kun på forventningsverdier, slik at overraskelser, forsiktighetsprinsippet og robuste løsninger vektlegges. Rammeforskriften 11 Prinsipper for risikoreduksjon Styringsforskriften 8 Interne krav Styringsforskriften 9 Akseptkriterier for storulykkesrisiko og miljørisiko Styringsforskriften 16 Generelle krav til analyser Styringsforskriften 17 Risikoanalyser og beredskapsanalyser 5.2.2 Prinsipper for risikoreduksjon Forbedringspunkt: Mangelfull oppfølging av prinsippene for risikoreduksjon. Risikoreduksjonsprinsippet innebærer at den ansvarlige skal velge løsninger som etter en enkeltvis og samlet vurdering reduserer risiko så sant kostnadene ikke står i et vesentlig misforhold til den risikoreduksjonen som oppnås. Videre skal den ansvarlige velge løsninger som reduserer sannsynligheten for at det oppstår skade, feil og fare- og ulykkessituasjoner. Lokaliseringen av luftinntaket til forbrenningsluft for nødgeneratoren synes ikke å være i tråd med prinsippene for risikoreduksjon. Det ble opplyst at inntaket er plassert 8,5 meter fra klassifisert område (sone 2). Gasspredningsanalyser som ble presentert i tilsynet viste en høy eksponering av dette luftinntaket. Rammeforskriften 11 om prinsipper for risikoreduksjon Styringsforskriften 4 om risikoreduksjon
7 6 Andre kommentarer I forbindelse med presentasjoner i tilsynet og gjennomgang av dokumenter ble det konstatert at et segment tilknyttet gasskompresjon må manuelt trykkavlastes dersom temperaturen i segmentet når 0 C. Minimum ambient temperatur for designet er -9 C. Det understrekes derfor viktigheten av å ivareta denne sikkerhetsfunksjonen knyttet til trykkavlastningssystemet og videreføre dette i driftsfasen av prosjektet. 7 Deltagere fra Petroleumstilsynet Aina Eltervåg beredskap (del 1 av tilsynet) Bjørnar Heide risikostyring Odd Tjelta teknisk sikkerhet Harald Thv. Olstad teknisk sikkerhet Kristi Wiger prosess Espen Landro prosess (del 1 av tilsynet) Eivind Sande elektriske anlegg (oppgaveleder)
8 8 Dokumenter Følgende dokumenter ble benyttet under planlegging og gjennomføringen av aktiviteten: 1. Organisasjonskart Aasta Hansteen prosjektet 2013 2. PM151-DD-024, Version 01: HSE Total Risk Analysis 3. Aasta Hansteen TRA TN-4: Study assumptions 4. C134-FS-S-RA-0016, Preliminary main report: Total risk analysis of Aasta Hansteen, Rev 01 5. C134-FS-S-RA-0089, Rev 01: Aasta Hansteen Topside EPC Project TN-4: Study assumptions 6. C134-FSQ-A-RA-0017-03: Beredskapsanalyse Aasta Hansteen 7. Aasta Hansteen TRA TN-11: Input to DAL spec. 8. C134-FS-S-RA-0017, Rev 01: Aasta Hansteen Topside EPC Project TN-11: Input to DAL 9. C134-FS-S-RA-0028, Rev 02: Aasta Hansteen Topside EPC Project, Safety Strategy for Topside Areas 10. C134-FC-S-SA-0003, Rev 04: Performance Standards Report 11. FR10 Safety management, Rev 1.12 12. SF700 Emergency preparedness and response 13. TR1055, Performance Standards for Safety Systems and Barriers offshore 14. PM151-PMS-012-003, Rev 03: Project Change Management 15. PM151-PMS-013, Rev 03: Project internal interface and query management 16. C134-AHA-Z-FD-00001, Rev 02: Aasta Hansteen Interface management, execution phase 17. PM151-PMS-020, Rev 03: Project specific HSE program, including HSE reporting and follow-up system 18. CB&I project organization chart 19. Asta Hansteen Topside, Process Block Flow Diagram 20. Presentasjoner fra møtet 4.11.2013 21. Presentasjoner datert 14.1.2014, Barrier Management PS-6, Ignition Source Control (ISC) Crane Vedlegg A Oversikt over deltakere i tilsynet.