FORSTUDIE OLJEDIREKTORATET ÅRSAKSANALYSE AV PROSESSLEKKASJER DET NORSKE VERITAS RAPPORT NR. DNV 2002-4019 OG RF-2002/117 REVISJON NR.

FORSTUDIE OLJEDIREKTORATET ÅRSAKSANALYSE AV PROSESSLEKKASJER DET NORSKE VERITAS OG RF ROGALANDSFORSKNING RAPPORT NR. DNV 2002-4019 OG RF-2002/117 REVISJON NR. 01

Dato for første utgivelse: Prosjekt nr.: 30. april 2002 DNV: 58101570 / RF: 7101453 Godkjent av: Herman Steen Wiencke, Det Norske Veritas Sigmund Stokka, RF Rogalandsforskning Oppdragsgiver: Oljedirektoratet Forord: Oppdragsgiver ref.: Liv Nielsen, Sverre Øxnevad, Erling Habbestad, Odd Tjelta Arbeidet beskrevet i denne rapporten ble initiert i forbindelse med utviklingen av Oljedirektoratets (ODs) nye HMS forskrifter, som trådte i kraft 1.januar, 2002. Formålet har vært å utvikle prinsipper for årsaksanalyse av prosesslekkasjer for å bedre nytten av kvantitative risikoanalyser som beslutningsstøtte i denne sammenhengen, og demonstrere hvordan slike analyser kan gjennomføres i praksis. Prosjektet er utført i samarbeid mellom Det Norske Veritas (DNV) og RF Rogalandsforskning (RF) på oppdrag for Oljedirektoratet i to økter i perioden 1999-2002, avbrutt av et lengre opphold fra høsten 1999 til høsten 2001. Arbeidet har i hovedsak vært utført av Thomas Nilsen (RF) og Geir S. Jakobsen (DNV). Professor Terje Aven (Høgskolen i Stavanger (HiS)) har bidratt gjennom kommentarer og diskusjoner underveis og som verifikatør. John Edwards, Sture Angelsen og Erik Østby har bidratt med erfaringer fra fagområdet risikobasert inspeksjon (RBI) i DNV. Kontaktperson i OD var opprinnelig Liv Nielsen. Senere kontaktpersoner har vært Sverre Øxnevad, Erling Habbestad og Odd Tjelta. Utover denne rapporten har prosjektet resultert i publisering av artikkelen Requirements and principles for cause analysis in QRA with application, publisert ved ESREL-konferansen i Edinburgh, mai, 2000 og som en av flere artikler i Thomas Nilsens doktorgradsavhandling, utgitt i april, 2002. Videre har hovedoppgavene til to sivilingeniør-studenter ved HiS hatt tilknytning til prosjektet. Rapport nr.: DNV 2002-4019 og RF-2002/117 Rapporttittel: Årsaksanalyse av prosesslekkasjer Utført av: Thomas Nilsen (RF - Rogalandsforskning) Geir Stener Jakobsen (Det Norske Veritas) Verifisert av: Terje Aven (Høgskolen i Stavanger) Indekseringstermer Årsaksanalyse Risikoanalyse Lekkasjer Prosesslekkasjer Ingen distribusjon uten tillatelse fra oppdragsgiver eller ansvarlig organisasjonsenhet Begrenset distribusjon innen Det Norske Veritas og RF - Rogalandsforskning Dato for denne revisjon: Rev. nr.: Antall sider: 30. april, 2002 01 46 Fri distribusjon

Innholdsfortegnelse Side 1 SAMMENDRAG...1 2 INNLEDNING...2 3 RISIKO KNYTTET TIL PROSESSLEKKASJER...4 3.1 Tekniske rammebetingelser 4 3.2 Omfang av prosesslekkasjer og bidrag til risiko 5 3.3 Håndtering av risiko 7 4 DAGENS PRAKSIS FOR ANALYSE AV LEKKASJESANNSYNLIGHET...9 4.1 Metodikk for fastsetting av lekkasjefrekvenser 9 4.2 Styrker og svakheter ved dagens praksis 10 5 TIDLIGERE ARBEID INNEN ÅRSAKSANALYSER...12 5.1 Studier 12 5.2 Utviklingsprosjekter 15 5.3 Oppsummering 18 6 GRUNNLAG OG PRINSIPPER FOR ÅRSAKSANALYSE...20 6.1 Målsetning og grunnlag 20 6.2 Analyseprinsipper 20 6.3 Praktiske aspekter ved årsaksanalyser 21 6.4 Diskusjon 22 7 MODELLSTRUKTUR FOR ÅRSAKSANALYSE AV PROSESSLEKKASJER...24 7.1 Avgrensninger 24 7.1.1 Fysisk anlegg 24 7.1.2 Driftsfaser 24 7.1.3 Styringsprosesser 25 7.2 Overordnet årsaksnedbrytning 26 7.3 Utstyrsklasser 26 7.4 Fysiske årsaker 27 7.5 Bakenforliggende årsaker 28 7.5.1 Svikt i styringsprosesser 28 7.5.2 Innebygde feil 29 7.5.3 Utilsiktede hendelser 29 7.6 Oppsummering 29 Side i

8 EKSEMPEL PÅ ANVENDELSE AV MODELLSTRUKTUREN FOR UTSTYRSKLASSEN RØR...32 8.1 Inndeling i komponenter 32 8.2 Fysiske årsaker til lekkasje i Rørvegg 32 8.2.1 Feil operasjonsmodus 33 8.2.2 Ufullstendig oppbygning 33 8.2.3 Pakningsfeil 33 8.2.4 Ytre mekanisk påvirkning 33 8.2.5 Indre mekanisk overbelastning 33 8.2.6 Erosjon 33 8.2.7 Korrosjon 34 8.2.8 Utmatting 34 8.3 Bakenforliggende årsaker til lekkasje i Rørvegg 35 8.3.1 Ytre mekanisk påvirkning 35 8.3.2 Indre mekanisk overbelastning 36 8.3.3 Erosjon 36 9 MODELLEKSEMPEL EROSJON...37 10 KVANTIFISERING AV LEKKASJESANNSYNLIGHETER...40 10.1 Inkludering av signifikante sannsynlighetsbidrag 40 10.2 Komplementære hendelser 40 10.3 Avhengighet 40 11 DISKUSJON OG KONKLUSJONER...42 11.1 Diskusjon 42 11.2 Konklusjoner 43 11.3 Anbefalinger 44 12 REFERANSER...45 Side ii

1 SAMMENDRAG I analyser av risiko knyttet til hydrokarbonlekkasjer fra prossessanlegg på produksjoninnretninger på norsk kontinentalsokkel legges det stor vekt på vurderinger av mulige konsekvenser dersom en lekkasje oppstår. Det er utviklet avanserte modeller, og det legges store ressurser ned i analysene. Mindre sofistikerte modeller tas i bruk for å vurdere sannsynlighet for at lekkasjer oppstår. Etablert praksis på dette området bygger i stor grad på direkte bruk av generiske lekkasjefrekvenser, basert på historiske lekkasjedata. Årsakene til lekkasjer tas i liten grad i betraktning. En konsekvens av dette er at analysene har liten nytteverdi som beslutningsunderlag innen arbeid med forbygging av lekkasjer. Videre medfører bruk av generiske data begrensninger ved prediksjon av antall lekkasjer i fremtiden for en spesifikk installasjon. Dagens praksis står dermed i sterk kontrast til Oljedirektoratets regelverk /1/, som legger vekt på bruk av risikoanalyser som beslutningsstøtte og derunder, analyse av årsaker til uønskede hendelser og prioritering av sannsynlighetsreduserende tiltak. Målsetningen i dette prosjektet har vært å utvikle prinsipper for årsaksanalyse av prosesslekkasjer som bedrer analysenes nytte som beslutningsstøtte, og å demonstrere hvordan slike analyser kan gjennomføres i praksis. I så måte er prosjektet å betrakte som en forstudie. Krav og prinsipper for å sikre at årsaksanalysen støtter beslutninger knyttet til reduksjon av lekkasjesannsynlighet og samtidig gir gode prediksjoner av antall lekkasjer er etablert. På dette grunnlaget er det utviklet en overordnet modellstruktur som knytter detaljerte modeller av konkrete lekkasjemekanismer til definerte kategorier av fysiske og bakenforliggende årsaker. I et eksempel på anvendelse av modellstrukturen for utstyrsklassen Rør, er det listet opp lekkasjemekanismer under de definerte fysiske årsakene til lekkasje gjennom selve rørveggen, og i tillegg bakenforliggende årsaker knyttet til hver mekanisme under tre av de fysiske årsakene. Et eksempel på detaljert modellering er utviklet for lekkasjemekanismen erosjon som følge av sandproduksjon. Noen utfordringer knyttet til kvantifisering av usikkerhet i store modeller, derunder håndtering av avhengighet diskuteres. Arbeidet konkluderer med at den foreslåtte tilnærmingen for årsaksanalyse vil fange opp installasjonsspesifikke forhold i analysen av usikkerhet knyttet til antall lekkasjer i fremtiden. Hovedbidragsytere til lekkasjesannsynlighet og kritiske faktorer på et hensiktsmessig nivå identifiseres. Tilnærmingen har dermed potensiale til å øke risikoanalysens verdi som beslutningsstøtte sammenlignet med dagens praksis. Bruk av et fremtidig analyseverktøy basert på resultatene i denne rapporten, vil være basert på utnyttelse av kunnskapen til personer i drift. Dette vil bidra til at risikoanalysen i motsetning til i dag forankres i driftsmiljøet. Videre utvikling av resultatene fra denne forstudien til et komplett analyseverktøy er et omfattende og ressurskrevende arbeid. Med hensyn til videre arbeid, anbefales derfor først utvikling av detaljmodeller for et utvalg av lekkasjemekanismer som testes ut i en case-studie. Dette vil forbedre grunnlaget for evaluering av metodikken, og eventuelt planlegging av en trinnvis videreutvikling av et analyseverktøy. På kort sikt anbefales også å vurdere hvordan den etablerte strukturen for lekkasjeårsaker kan komme til nytte i annet arbeid på dette området, slik som innsamling av lekkasjedata, etablering av risikoindikatorer og granskning av lekkasjehendelser. Side 1

2 INNLEDNING I forbindelse med utviklingen av de fire nye forskriftene, for styring, teknologi, operasjon (drift) og dokumentasjon samt rammeforskriften /1/ i Oljedirektoratet (OD), ble flere forsknings- og utviklingsprosjekter initiert. Et viktig tema i forskriftene er risikobaserte analysemetoder, og hvordan slike analyser kan brukes effektivt, for å støtte beslutninger i prosjekterings- og drifts faser i prosjekter innen petroleumsvirksomheten. Hovedmålsetningene ved bruk av risikobaserte analysemetoder er å dokumentere risikonivået for å kunne ta stilling til om dette er akseptabelt, og å identifisere hensiktsmessige risikoreduserende tiltak. I risikoanalyser tas ofte utgangspunkt i såkalte uønskede hendelser. Dette er hendelser som medfører at systemet går inn i en tilstand med økt fare for menneskers liv og helse, miljø eller økonomiske verdier. De uønskede hendelsene danner utgangspunktet for både årsaksanalysen og konsekvensanalysen. I årsaksanalysen vurderes mulige årsaker til de uønskede hendelsene og tilhørende sannsynligheter beregnes. I konsekvensanalysen vurderes videre hendelsesforløp, dersom en uønsket hendelse har inntruffet, kvalitativt og kvantitativt. Risikoanalyser utført i norsk petroleumsindustri viser at det vanligvis legges inn betydelig større innsats på konsekvenssiden av analysene enn på årsakssiden. Ofte legges relativt enkle modeller til grunn for beregning av sannsynligheter for de uønskede hendelsene. Vanlige argumenter for dette er mangel på relevante erfaringsdata og at komplekse årsaksforhold gjør det vanskelig å utvikle håndterbare modeller. Analyser knyttet til ukontrollert utblåsning fra olje og gassbrønner er et eksempel på dette. Utblåsning bidrar til en betydelig andel av risikoen på norsk sokkel. Når utblåsningssannsynligheten skal beregnes for en operasjon under planlegging, er det allikevel overfladiske modeller som anvendes. I de fleste tilfeller er disse basert på antallet av slike hendelser som har inntruffet historisk. Årsaksforhold knyttet til havdyp, vær og geologiske forhold i området hvor brønnen skal bores, samt spesielle tekniske løsninger eller operasjonelle tiltak, reflekteres i svært liten grad. På konsekvenssiden eksisterer derimot en rekke modeller for beregning av sannsynlighet for antenning av utblåsningsmediet, konsekvenser av brann og eksplosjon samt følger av oljesøl for omliggende miljø. Risikoanalysen gir dermed grunnlag for å identifisere og sammenligne løsninger rettet mot reduksjon av konsekvensene av en utblåsning. I forsøk på å redusere sannsynligheten for utblåsning, blir analysens nytteverdi derimot liten, siden årsakene ikke tas i betraktning. Dette står i sterk kontrast til ODs tidligere forskrifter /2/, som var gyldige til og med 2001, hvor det ble understreket at ved reduksjon av risiko, skulle sannsynlighetsreduserende tiltak prioriteres foran konsekvensreduserende. Krav om prioritering av sannsynlighetsreduserende tiltak føres også videre i det ny regelverket, se f.eks. Styringsforskriften /1/, 1 om risikoreduksjon: Ved reduksjon av risiko som nevnt i rammeforskriften 9 om prinsipper for risikoreduksjon, skal den ansvarlige velge tekniske, operasjonelle og organisatoriske løsninger som reduserer sannsynligheten for at det oppstår feil og fare- og ulykkessituasjoner..... I RF - Rogalandsforsknings prosjekt KickRisk /3/, utført for Norsk Agip AS, OD, Hydro og Statoil, er det utviklet modeller for analyse av utblåsningsfenomenet, som har andre egenskaper enn de metodene som vanligvis anvendes. I disse modellene er årsaksmekanismene brutt ned til et nivå hvor en kan dra nytte av fagkunnskapen til personell involvert i planlegging av bore- og brønnoperasjoner. Dette gjør det mulig å anvende informasjon i form av ekspertvurderinger ved fastsetting av sannsynligheter, i motsetning til utelukkende bruk av generiske erfaringsdata. En slik nedbrytning av årsaksmekanismene gjør det også mulig å identifisere de faktorene i systemet Side 2

som betyr mest for utblåsnigssannsynligheten. Denne egenskapen legger et godt grunnlag for identifisering av sannsynlighetsreduserende tiltak. Ved å justere input til analysen med hensyn til et gitt tiltak, kan effekten av tiltaket i form av endring i utblåsningssannsynlighet måles. Effekten av alternative tiltak blir videre utgangspunkt for kost-nytteanalyse og til slutt valg av løsning. En tilsvarende situasjon ser man for lekkasjer fra prosessanlegg. Lekkasjer av prosessmedium kan føre til både brann og eksplosjoner, og utgjør en betydelig bidragsyter til totalrisikoen. I risikoanalyser rettet mot lekkasjer benyttes en rekke avanserte modeller, som tar systemets egenskaper i betraktning, for analyse av spredning av prosessmedium, antenningssannsynlighet, eksplosjonstrykk og varmebelastning, gitt at en lekkasje har oppstått. Modeller brukes imidlertid i liten grad ved analyse av sannsynligheten for at lekkasjen oppstår. En har derfor begrenset mulighet for å legge risikoanalyser til grunn for identifisering og valg av tiltak for å redusere lekkasjesannsynligheten. Den langsiktige målsetningen i dette prosjektet er å utvikle et analyseverktøy basert på årsaksmodeller, som gjør det mulig å kvantifisere installasjonsspesifikk lekkasjesannsynlighet, identifisere kritiske faktorer og sammenligne sannsynlighetsreduserende tiltak. I denne rapporten, som beskriver forprosjektet, diskuteres hvordan grundigere årsaksanalyse vil bedre underlaget for styring av risiko knyttet til prosesslekkasjer sammmenlignet med dagens praksis, hvordan slike analyser bør utføres samt praktisk gjennomførbarhet. Det er gjort en generell gjennomgang av fenomenet prosesslekkasje, dagens praksis med hensyn til analyse av lekkasjesannsynlighet og behovet for årsaksanalyser i ulike beslutningsprosesser i prosjektering og drift. På dette grunnlaget diskuteres hvilke krav som må stilles til en modell for årsaksanalyse av lekkasjesannsynlighet, for at den skal kunne legges til grunn for valg av tekniske og operasjonelle løsninger, og hvilke modelleringsprinsipper som bør benyttes. Basert på disse prinsippene utvikles en modellstruktur for analyse av lekkasjesannsynlighet og det gis et eksempel på detaljert modellering. Beregningsmetoder og utfordringer i denne sammenheng diskuteres. Resultatene fra dette prosjektet, gir grunnlag for forbedringer av ulike sider av arbeidet med forebygging av lekkasjer, også utover den kvantitative analysen med sammenligning av løsninger og identifisering og valg av tiltak. De kvalitative resultatene fra forstudien kan benyttes som et felles grunnlag for systemer for innsamling av lekkasjedata, etablering og oppfølging av risikoindikatorer og granskning av hendelser. Side 3

3 RISIKO KNYTTET TIL PROSESSLEKKASJER Funksjonen til et prosessanlegg på en petroleumsinstallasjon til havs er å separere brønnstrømmen til gass og olje eller kondensat. Dersom medium fra et prosessanlegg utilsiktet slippes ut til omgivelsene, representerer dette en trussel mot virksomheten. I beste fall resulterer en lekkasje i et uantent utslipp eller en lokal brann med begrenset skadeomfang. I verste fall oppstår en stor langvarig brann eller en kraftig eksplosjon og omfattende skader. De endelige konsekvensene kan innebære tap av menneskers liv og helse, skader på miljø og økonomisk tap. Ivaretakelse av disse verdiene inngår i virksomhetenes overordnede målsetninger, som blir lagt til grunn for alle beslutninger knyttet til et prosessanlegg, gjennom dets levetid. I hver driftstilstand hvor hydrokarboner står under trykk, kan en rekke mekanismer føre til lekkasje. Gjennom design, vedlikehold og retningslinjer for operasjon av prosessanlegget, forsøker en å forhindre dette. Allikevel, et stort antall utstyrsenheter av ulike typer, grensesnittene mot drifts- og vedlikeholdsoperatører, ulike media, omliggende miljø samt forskjellige driftstilstander, gir et komplekst og uoversiktlig bilde. Selv med systematiske vurderinger og analyser av forholdene på et anlegg, kan man ikke utelukke med sikkerhet at lekkasjer kan finne sted. Denne usikkerheten forbundet med hvorvidt, hvor og hvordan lekkasjer vil oppstå, sammen med de mulige konsekvensene av lekkasjer, utgjør en risiko knyttet til drift av prosessanlegget, og kompliserer en rekke beslutningsprosesser. Eksempler er hvorvidt risikobidraget fra mulige fremtidige lekkasjer i anlegget sett i sammenheng med andre bidragsytere kan aksepteres, valg av tekniske løsninger samt sammenligning av alternative tiltak for å forbedre sikkerheten. I kapittel 3.1 gis en kort gjennomgang av tekniske egenskaper ved prosessanlegg som er viktige for hvordan ulike lekkasjetyper kan oppstå og hva konsekvensene kan bli. Omfanget av lekkasjer og alvorlige hendelser som følge av lekkasjer, samt bidraget til den totale risikoen på installasjoner til havs, diskuteres kort i kapittel 3.2. I kapittel 3.3 gis en introduksjon til hvordan risikoanalyser knyttet til prosesslekkasjer har vært utført og brukt for å støtte beslutninger på ulike nivåer. 3.1 Tekniske rammebetingelser I et offshore-prosessanlegg ledes strømmen fra produksjonsbrønner inn i tanker hvor trykket reduseres, ofte i flere steg, og gass, olje og kondensat separeres. Prosessmediet klargjøres for videre transport til land. Gassen tørkes, kjøles og komprimeres, mens olje og kondensat kjøles og pumpes videre. Transport i flerfaseform forekommer også. Anleggene er tilpasset egenskapene til brønnstrømmen og krav knyttet til eksportproduktene og til utslipp. Noen viktige egenskaper ved brønnstrømmen er sammensetning av hydrokarbonkomponenter, innhold av vann, kjemikalier og faste partikler, trykk, temperatur, strømningsrate. Prosessen kan gå som et enkelt eller flere parallelle prosesstog. Valg av antall tog virker inn på antallet utstyrsenheter og størrelsen på enhetene. Det er naturlig å skille mellom olje- og gassbehandlingsdelen av et prosessanlegg. Videre kan en dele prosessutstyr inn i kategoriene statisk utstyr, for eksempel rør og trykktanker som separatorer og scrubbere, og roterende utstyr, slik som ulike typer kompressorer og pumper. I tillegg inneholder et anlegg et stort antall ventiler og instrumenter for å styre og kontrollere prosessen. Gjennom sin levetid vil et prosessanlegg gå gjennom ulike driftstilstander. Utover normal drift kan en skille mellom kontrollerte nedstengninger av hele eller deler av anlegget, ikke-planlagte nedstengninger, vedlikehold og modifikasjonsarbeid, tester og oppstart. Selv om anlegget det Side 4

meste av tiden vil være i normal drift, vil de andre tilstandene ofte medføre store belastninger og situasjoner, som krever god oversikt og kommunikasjon for at uønskede hendelser skal unngås, selv om prosedyrer følges. Prosesslekkasjer kan oppstå i alle driftstilstander i utstyr som inneholder hydrokarboner under trykk. Avhengig i hvilket trinn i prosessen lekkasjen oppstår, kan den ha form som gass-, oljeeller flerfase. En lekkasje innebærer at en har fått et brudd på den barrieren som prosessanlegget rent fysisk utgjør mellom prosesstrømmen og omgivelsene. Barrierebrudd kan forårsakes av ubalanse i forholdet mellom laster som virker på barrieren og barrierens styrke. Store laster kan ha form av trykkoppbygning i systemet, vibrasjon eller ytre fysiske påkjenninger som fallende laster. Barrierens styrke kan være for lav som følge av design- og installasjonsfeil, eller over tid bli redusert på grunn av degraderingsmekanismer som korrosjon og erosjon. Barrierebrudd kan også oppstå som følge av operasjonsfeil som direkte gir en fysisk passasje. Et eksempel er at en i forbindelse med vedlikeholdsaktiviteter åpner et utstyr, uten at det først er trykkavlastet. Ulike prosesser, slik som utvikling av tekniske spesifikasjoner og prosedyrer, selve operasjonen av anlegget, vedlikehold og kvalitetssikring i alle ledd, skal forhindre at de ulike lekkasjemekanismene utvikler seg til lekkasjer. En lekkasje kan karakteriseres ved strømningsrate og varighet. Initiell strømningsrate avhenger av mediets fysiske egenskaper, initielt trykk i utstyrsenheten som lekker, og hullstørrelse. Det videre forløpet til lekkasjeraten og lekkasjens varighet, er bestemt ved tilgjengelig volum av hydrokarboner og eventuelt andre forhold enn lekkasjen, som påvirker trykkutviklingen. For å minimere omfanget av en lekkasje, bygges visse funksjoner inn i systemet. En kritisk funksjon er deteksjon av en oppstått lekkasje. Deteksjon kan skje ved signal fra gass- og branndetektorer, prosesskontrollsensorer eller ved direkte observasjon av en operatør. Ved deteksjon vil ulike tiltak iverksettes mer eller indre automatisk, avhengig av lekkasjens størrelse. Bortsett fra tilfeller med meget små og ukritiske lekkasjer vil nødavstengningssystemet (NAS) (emergency shut-down-systemet (ESD)) bli aktivert. Dette systemet deler prosessanlegget inn i fysisk adskilte volumer (ESD-segmenter) ved at nødavstengningsventilene lukkes. Dette begrenser mengden hydrokarboner som kan lekke ut. I tillegg kan en foreta en trykkavlastning (nedblåsning / blowdown), lokalt eller globalt. En slik avlastning vil redusere mengden hydrokarboner som kan lekke ut ytterligere, og dessuten medføre en raskere reduksjon av lekkasjeraten. I tillegg kommer passive og aktive funksjoner som skal begrense omfanget av eventuelle skader, gitt et bestemt lekkasjeforløp. Noen viktige funksjoner er modul-layout, ventilasjon og drenering, utkobling av tennkilder, passiv og aktiv brann- og eksplosjonsbeskyttelse. 3.2 Omfang av prosesslekkasjer og bidrag til risiko Hensikten med dette delkapittelet er å gi et overordnet bilde av omfanget av lekkasjer på norsk kontinentalsokkel. Fremstillingen er i hovedsak basert på ODs database for varslede og rapporterte hydrokarbonlekkasjer på norsk sokkel /4/. For å gi et bilde av bidraget fra prosesslekkasjer til totalrisiko i typiske totalrisikoanalyser (TRA), presenteres i tillegg noen analyseresultater fra et utvalg installasjoner. ODs lekkasjedatabase dekker tidsrommet 1988-2001. Data registrert i 2001 er ikke fullstendige, da dette er det siste året databasen opprettholdes 1. Tabell 3-1 oppsummerer antall hydrokarbonlekkasjer registrert fra 1988 til 2000. 1 Fra og med 2001 registrerer samtlige operatører på norsk sokkel lekkasjer i databasen HCLIP /13/. Side 5

Tabell 3-1 Varslede og rapporterte lekkasjer 1988-2000 År Antall lekkasjer Liten Middels Stor Uklassifisert Total 1988 2 3 4 0 9 1989 30 14 3 0 47 1990 24 21 3 1 49 1991 36 18 1 0 55 1992 80 22 3 0 105 1993 67 21 5 0 93 1994 81 42 1 0 124 1995 98 33 0 0 131 1996 120 32 4 0 156 1997 156 27 3 0 186 1998 128 26 3 0 157 1999 142 21 2 0 165 2000 187 30 0 0 217 Totalt 1151 310 32 1 1494 Lekkasjene er kategorisert som liten, medium eller stor. Det har imidlertid vært vanskelig å avklare definisjoner knyttet til disse kategoriene. I risikoanalyser for installasjoner på norsk sokkel er kategoriene vanligvis definert som lekkasjer med initiell lekkasjerate innenfor henholdsvis 0.1 1.0 kg/s, 1.0-10 kg/s og over 10 kg/s. Disse definisjonene brukes også i ODrapporten Utvikling i risikonivå norsk sokkel /5/. En sammenligning av tallene i Tabell 3-1 og fremstillinger i nevnte rapport tilsier at terskelen for Stor lekkasje i ODs database muligens ligger noe lavere. En slik sammenligning tyder også på at den nedre grensen for Liten lekkasje ligger lavere. På tross av denne uklarheten gir Tabell 3-1 et overordnet inntrykk av omfanget av lekkasjer på norsk sokkel. Tallene indikerer at omfanget av lekkasjer er relativt stort, og at det er behov for et systematisk arbeid for å redusere dette omfanget, se også /5/. Ifølge /5/ er det betydelige variasjoner mellom innretningene med hensyn til hyppighet av lekkasjer over 0,1 kg/s. Halvparten av alle innretninger har mindre enn 1 slik lekkasje hvert annet år, 12 % av innretningene har mer enn 1,5 lekkasje per år over 0,1 kg/s. Det er eksempler på tilsvarende innretninger med svært forskjellig hyppighet, i samme operatørselskap. Ifølge /5/ har ingen lekkasjer (større enn 0,1 kg/s) blitt antent siden 1995. I ODs database er lekkasjene også kategorisert med hensyn til årsaker, under de overordnede kategoriene Operasjonell feil, Teknisk feil og Designfeil. Det er imidlertid vanskelig å trekke slutninger ut av tallene. I følge /5/ er antall lekkasjer per installasjonsår på norsk og britisk sokkel sammenlignbare (innenfor samme størrelsesorden) i perioden 1996-2000. Health and Safety Executive (HSE) har gjennom ulike prosjekt samlet inn lekkasjedata fra britisk sektor, se for eksempel rapportene Offshore Hydrocarbon Releases Statisitics, 1996 /6/ og OSD hydrocarbon release reduction campaign, 2001 /7/. I dette materialet finner man en mer nyansert kategorisering av lekkasjedata, se også Kapittel 5.1 i denne rapporten. Noen viktige funn fra /7/ er: Hovedandelen av lekkasjene oppsto under normal produksjon Lekkasjer fra rør er hovedbidragsyter. Her utgjør small bore piping en betydelig andel Mest hyppige direkte årsak er degradering av materialegenskaper, inkludert korrosjon, erosjon, utmatting og vibrasjon (56 %) For store lekkasjer skyldtes 50 % av lekkasjene operatørfeil og brudd på prosedyrer Side 6

Overordnet skyldtes 2/3 av alle lekkasjer hardwarefeil, mens 1/3 skyldtes human factors Viktige bidragsytere til bakenforliggende årsaker: utilstrekkelig design (28 %) og utilstrekkelig inspeksjon/tilstandsovervåking (27 %). I det videre ser vi på resultater fra et tilfeldig utvalg av TRAer av faste installasjoner på norsk sokkel. I Tabell 3-2 gjengis beregnede lekkasjefrekvenser. I Tabell 3-3 vises bidraget fra prosesslekkasjer til overordnet personellrisiko uttrykt i fatal accident rate (FAR). Tabell 3-2 Lekkasjefrekvenser fra totalrisikoanalyser Installasjon Årlig Lekkasjefrekvens Small Medium Large Total A 6 10-1 2 10-1 1 10-1 9 10-1 B 3 10-3 1 10-3 2 10-4 4 10-3 C 1 10-1 1 10-1 6 10-2 3 10-1 D 8 10-1 3 10-1 1 10-1 1 E 9 10-2 7 10-2 3 10-2 2 10-1 Tabell 3-3 Bidrag fra prosesslekkasjer til overordnet personellrisiko (FAR) Installasjon Fatal Accident Rate (FAR) Prosesslekkasjer Andre hendelser Total FAR % FAR % FAR % A 5.4 43 7.3 57 12.7 100 B 3.2 58 2.3 42 5.5 100 C 6.5 50 6.6 50 13.1 100 D 2.9 36 5.1 64 8 100 E 1,5 26 4.2 74 5.7 100 Som det fremgår av Tabell 3-3 er bidraget fra prosesslekkasjer til total risiko betydelig, ifølge TRAene. For de utvalgte installasjonene er bidraget innenfor intervallet 26-58 %. Risikobidraget fra prosesslekkasjer er proporsjonalt med lekkasjesannsynlighet. Har man tillit til tallene i tabellen, oppnås en stor gevinst i form av redusert totalrisiko, ved reduksjon av lekkasjesannsynlighet. 3.3 Håndtering av risiko Overordnet kan problemene knyttet til håndtering av risiko forbundet med prosesslekkasjer deles inn i: Beslutninger knyttet til hvorvidt bidraget fra prosesslekkasjer til totalrisikoen på installasjonen kan aksepteres for en gitt løsning Identifisering av mulige tiltak for å redusere risikoen Sammenligning og valg av de mest hensiktsmessige tiltakene. Gjennom ODs regelverk for petroleumsvirksomheten på norsk sokkel, først analyseforskriften /1/ og senere styringsforskriften /2/, har det blitt stilt krav til definisjon av kriterier for akseptabel risiko og bruk av analyser, både for å sikre at virksomheten tilfredsstiller disse kriteriene, og ellers som et aktivt virkemiddel i en kontinuerlig prosess for å forbedre sikkerheten. Blant aktørene på norsk sokkel har det utviklet seg en etablert praksis for kvantitative risikoanalyser /8/. Utover det å kontrollere risikonivået mot de definerte akseptkriteriene, brukes analysene hovedsakelig som et verktøy for å vurdere overordnet design, innbyrdes plassering av hovedfunksjoner på installasjonen, fastsetting av dimensjonerende ulykkeslaster og som grunnlag for beredskapsanalyser. Side 7

For all risiko forbundet med prosesslekkasjer, kan selve lekkasjehendelsen betraktes som den initierende hendelsen. Det totale risikobidraget er proporsjonalt med lekkasjesannsynligheten. I dagens etablerte analysepraksis fastsettes lekkasjesannsynlighet på grunnlag av lite differensierte gjennomsnittsfrekvenser for lekkasjer i internasjonal offshoreindustri. Årsakene til at lekkasjer oppstår reflekteres ikke. Nytten av en slik analyse i forbindelse med identifisering og rangering av sannsynlighetsreduserende tiltak, er derfor liten. Lekkasjesannsynlighet er en viktig bidragsyter til total risiko, og det er i dag i stor grad enighet om at metoden for kvantifisering av lekkasjesannsynlighet er mangelfull, og at dette bidrar til at analysene langt på vei ikke fyller sin funksjon. En mer detaljert beskrivelse av denne analysemetoden og en nærmere diskusjon av dens svakheter er gitt i kapittel 4. For å bøte på manglene ved dagens praksis for håndtering av årsaksiden av risikoen forbundet med prosesslekkasjer, har det gjennom årene blitt gjennomført flere studier. Kvantitative metoder med fokus på andre uønskede hendelser enn lekkasjer, basert på nedbrytning av årsaker, er utviklet i andre prosjekter. En kort gjennomgang av noen slike arbeider er foretatt i kapittel 5. De delene av metodikken som tar for seg prosesslekkasjer, kan oppsummeres ved følgende elementer: Innsamling og analyse av historiske lekkasjedata og etablering av generiske lekkasjefrekvenser for ulike hullstørrelser i ulike utstyrstyper Telling og kategorisering av utstyrsenheter innenfor ulike deler av anlegget som studeres, og beregning av totalfrekvenser for ulike hullstørrelser og områder Konsekvensanalyser med modellering av barrierer og mulige forløp i hendelsestrær, basert på vurdering av deteksjon, antennelse, brann- og eksplosjonslaster og skadeomfang. Side 8

4 DAGENS PRAKSIS FOR ANALYSE AV LEKKASJESANNSYNLIGHET I første del av dette kapittelet presenteres hovedprinsippene i den metodikken som anvendes ved beregning av lekkasjesannsynlighet i risikoanalysene som utføres for prosessanlegg på installasjonene på norsk sokkel i dag. I del 2 diskuteres styrker og svakheter ved denne metodikken. 4.1 Metodikk for fastsetting av lekkasjefrekvenser For å beregne bidraget fra lekkasjer til totalrisiko for en installasjon, analyseres et større eller mindre utvalg av lekkasjescenarier, definert med utgangspunkt i ESD-segmenter og skillene mellom de ulike fysiske områdene prosessanlegget løper gjennom. Frekvens for ulike lekkasjerater fra de utstyrsenhetene som inngår i hvert scenario er input til disse analysene. Beregningen av lekkasjefrekvenser tar utgangspunkt i historiske lekkasjedata i form av generiske frekvenser for ulike hullstørrelser knyttet til etablerte utstyrskategorier. Ved å kombinere disse frekvensene med informasjon om prosessmediets tetthet og trykk i de aktuelle utstyrsenhetene, finnes frekvens for ulike lekkasjerater knyttet til hver enhet. Frekvenser for forskjellige lekkasjerater knyttet til de definerte scenariene etableres ved å summere lekkasjefrekvenser på utstyrsnivå. Noen databaser som har vært sentrale ved etablering av generiske lekkasjefrekvenser i forbindelse med denne typen analyser for installasjoner på norsk sokkel er: WOAD /9/ E&P Forum /10/ HSE /6/ OREDA /11/ VEREDA /12/. Generelt om dette datamaterialet kan man si at det gir informasjon om antall lekkasjer fordelt over hullstørrelse for ulike utstyrskategorier, slik som: Rør Flenser Pumper Kompressor Ventil Trykktanker Etc. Dataene gir begrenset eller ingen informasjon om årsaker til lekkasje og nyanserer i liten eller ingen grad med hensyn til forhold slik som: Alder på utstyret Materiale Fabrikater Vedlikeholdsfilosofi Prosessmedium Etc. En database som er i ferd med å bli tatt i bruk blant alle norske offshore-operatører i dag er HCLIP-databasen /13/. Dette danner grunnlag for en standardisering av formatet lekkasjehendelser rapporteres på. Side 9

For detaljer knyttet til databasene nevnt over og en oversikt over andre databaser vises det til /14/. 4.2 Styrker og svakheter ved dagens praksis Dagens analyser gir et visst grunnlag for videre konsekvensberegninger og kvantifisering av bidrag fra hendelser initiert av prosesslekkasjer til totalrisiko for installasjonen. Videre får analytikeren god oversikt over anlegget, med funksjoner, hvilke utstyrstyper som inngår, plassering og segmentering. Analyse av et anlegg er omfattende, men allikevel må metodikken sies å være både enkel og oversiktlig. Den kan gjennomføres av en risikoanalytiker alene, uten involvering av systemeksperter. Metodikken er godt innarbeidet i industrien og fungerer som en innarbeidet praksis med de fordeler det innebærer. Den vanligste innvendingen i forbindelse med slike analyser er rettet mot bruken av generiske data som informasjonsgrunnlag. Dataene som brukes i analysene på norsk sokkel er samlet inn over lang tid, fra et stort antall installasjoner, drevet av ulike operatørselskap og med varierende driftsbetingelser. Lekkasjedata for en spesifikk type utstyr, for eksempel ventiler, dekker hendelser relatert til mange typer ventiler, som skiller seg fra hverandre med hensyn til egenskaper som utforming, virkemåte, materiale, prosessmedium, ytre miljø og vedlikehold. Et resultat av dette er at frekvensene som benyttes i en analyse er gjennomsnittstall, som sjelden vil gi gode prediksjoner eller kan anses som relevante for den spesifikke installasjonen. For at denne metodikken skal reflektere installasjonsspesifikke forhold, kreves et stort og langt mer nyansert datamateriale. Vi ser på et eksempel med en ny installasjon hvor moderne teknologi tas i bruk i prosessanlegget, med blant annet rustfrie ståltyper med høy korrosjons- og erosjonsbestandighet, forbedrede ventiler og flensforbindelser og nøye planlagt vedlikehold med forbedrede inspeksjonsmetoder. Ved analyse av lekkasjerisiko for denne installasjonen basert på generiske data, vil en rekke forhold, som opplagt vil påvirke forekomsten av lekkasjer, ikke bli reflektert. Noen lekkasjetyper vil inntreffe sjeldnere, for eksempel vil forbedrede inspeksjonsrutiner og - metoder oftere kunne avdekke veggtynning på grunn av erosjon og korrosjon i tide. I tillegg vil ny teknologi kunne endre sammensetningen av relative bidrag fra ulike lekkasjemekanismer. Et eksempel på dette er bruk av rustfrie stål i rør og tanker, som i stor grad eliminerer jevnt fordelt korrosjon med potensiale for bruddtyper som gir store lekkasjer, mens pittingkorrosjon med uforutsigbart forløp og fare for små lekkasjer vil være en lekkasjemekanisme som får større betydning. I disse tilfellene vil lekkasjefrekvensene være konservative, dels med urealistisk høye frekvenser og dels med for stor vekt på høye lekkasjerater. Andre installasjonsspesifikke forhold ved den nye installasjonen, som ikke reflekteres i metodikken, kan virke i motsatt retning og gi urealistisk lave frekvenser. Eksempler er nye feilmodi og barnesykdommer, nedbemanning og bruk av anlegg utover sin tiltenkte levetid. Et annet eksempel på installasjonsspesifikke forhold som ikke blir ivaretatt i en analyse basert på generiske data, er kraftig akselerert erosjon forårsaket av sandproduksjon. Geologer og reservoaringeniører vil på forhånd kunne gi gode prediksjoner på hvorvidt sandproduksjon vil kunne skape problemer, og i designfasen vil det bli tatt beslutninger knyttet til forsterking av utsatte komponenter og innretninger for deteksjon og fjerning av partikler. Denne typen informasjon vil imidlertid ikke påvirke resultatene av risikoanalysen. I stedet vil hvert anlegg som analyseres, uavhengig av geologiske forhold og iverksatte tiltak, få et lite utvannet bidrag fra denne årsaksmekanismen. En annen innvending kan rettes mot måten generiske lekkasjefrekvenser for enkeltutstyr kombineres, for å etablere overordnede frekvenser for lekkasjescenarier og installasjonen totalt. Som nevnt over er disse beregningene basert på summering av enkeltfrekvenser. Med denne fremgangsmåten ignoreres avhengighet mellom komponentene. For rør er dataformatet som Side 10

regel frekvens per meter. Et 20 meter langt rør får dermed dobbelt så høy lekkasjefrekvens som et på 10 meter. Det samme gjelder hvis en betrakter antall flenser eller ventiler i et gitt prosessegment. Frekvensen blir proporsjonal med antall enheter. For noen lekkasjemekanismer, for eksempel menneskelige feilhandlinger under installasjon eller vedlikehold, eller produksjonsfeil på serieproduserte enheter, for eksempel pakninger, kan en slik tilnærming være rimelig. For andre mekanismer, slik som tidsavhengig degradering på grunn av korrosjon eller erosjon vil det i praksis ikke være noen slik lineær sammenheng. Det vil heller være et spørsmål om i hvilken grad slike fenomener har effekt. Hvis det har effekt, vil feil kunne oppstå nokså uavhengig av antall komponenter, men etter den første feilen vil normalt tiltak settes inn for å hindre tilsvarende feil i de andre komponentene. Antar vi samme eksponering for slike fenomener, får en urealistisk lave frekvenser for små anlegg med få komponenter og tilsvarende høye tall for store anlegg. I denne metodikken, utgjør generiske frekvenser for lekkasjer fra ulike utstyrskategorier laveste detaljnivå og installasjonsspesifikke forhold utover mengden utstyr blir i liten grad blir tatt hensyn til. En konsekvens av dette er at analysen ikke inneholder systematiske vurderinger av årsaksmekanismene bak lekkasjehendelsene og informasjon som eksisterer om disse. Dette gir et dårlig grunnlag for identifisering av mulige tiltak for å redusere risiko og kvantitativ rangering av de mest effektive tiltakene. For å finne frem til gode tiltak i denne sammenhengen, må analysen gi informasjon om hovedbidragsyterne til de overordnede lekkasjefrekvensene, og mer detaljert, hvilke konkrete kritiske faktorer eventuelle tiltak kan rettes mot. Dagens analyser gir informasjon om hvilke av de definerte scenariene som bidrar mest, det vil si hvilke områder på installasjonen som er mest eksponert for lekkasjer av ulike størrelser, og hvilke ESD-segmenter som er involvert. Ser en nærmere på disse resultatene, vil man finne at de disse scenariene har ugunstige kombinasjoner av: Mange utstyrsenheter Utstyrsenheter med høy historisk lekkasjefrekvens Høyt trykk Store ESD-segmenter, med store tilgjengelige volumer av hydrokarboner. Få tiltak blir iverksatt utfra slike betraktninger. Antall utstyrsenheter innen de ulike kategoriene er allerede minimalisert i designfasen. Trykket er styrt av prosesstekniske forhold. I enkelte tilfeller vil det være aktuelt å endre prosessegmenteringen for å redusere frekvensen for lekkasje av store volum. For å finne frem til andre tiltak som kan redusere lekkasjefrekvensene, må en fokusere på årsakene til at lekkasjer oppstår, for eksempel korrosjon, utmatting, feilhandlinger, vedlikehold og operasjonsrutiner. Faktorer som påvirker årsaksmekanismer på dette detaljnivået, tas ikke i betraktning i analysene. For systematiske vurderinger av tiltak mot lekkasjer på dette nivået, kreves samarbeid på tvers av de involverte fagmiljøene. Dagens analyser åpner ikke for slikt samarbeid. De blir i sin helhet utført innenfor sikkerhetsmiljøene, og har liten nytteverdi for de disiplinene som planlegger, installerer, opererer og vedlikeholder prosessanleggene. Side 11

5 TIDLIGERE ARBEID INNEN ÅRSAKSANALYSER I metoden for analyse av lekkasjesannsynlighet som ble beskrevet i forrige kapittel var nederste detaljnivå generiske lekkasjefrekvenser fordelt på hullstørrelser og definerte utstyrskategorier. I dette kapittelet gis det omtale av andre arbeider hvor mer detaljert informasjon om årsakene til at uønskede hendelser oppstår, er tatt i betraktning. Hovedfokus er på lekkasjer, men tre arbeider er også rettet mot brønnspark og utblåsning. I 5.1 beskrives hovedinnhold og resultater fra fire studier basert på innsamlede lekkesjedata. Fire prosjekter hvor årsaksbetraktninger er tatt i bruk i verktøy for kvantitativ analyse og styring av risiko presenteres kort i kapittel 5.2. En oppsummering av elementer i de ulike arbeidene som er interessante i dette prosjektet, er gitt i kapittel 5.3. 5.1 Studier HSE Technica Målsetningen i dette prosjektet /15/, som var et samarbeid mellom Health & Safety Executive (HSE) og Technica, var å undersøke i hvilken grad ulike menneskelige og sosiotekniske faktorer bidrar i de generiske lekkasjefrekvensene som brukes i kvantitative risikoanalyser. En kvalitativ årsaksmodell ble utviklet. 921 rapporterte lekkasjehendelser knyttet til rør i prosessanlegg ble deretter klassifisert i henhold til strukturen i modellen. Det øverste nivået i modellen er Direct/immediate causes. Her skilles det mellom feiltypene: Corrosion Erosion Vibration Impact External load Temperature Overpressure Operating error Wrong in-line equipment or location Defect pipe or equipment Unknown Other. For en hendelse innenfor en av disse kategoriene skilles det videre mellom ulike Underlying causes og Preventive mechanisms. Underlying causes er delt inn i: Design Manufacture Construction Operation Maintenance Natural causes Domino Sabotage. Preventive mechanisms inneholder kategoriene: Routine checking Task checking Hazard study Side 12

Human factors review. I prosjektet ble det lagt vekt på å nyansere menneskelige og organisatoriske faktorer som årsaker til lekkasjer. Det skilles mellom menneskelig feil som direkte foranledning til lekkasje, og hendelser hvor den menneskelige/organisatoriske feilen har bidratt mer indirekte, gjennom svikt i, utelatelse av eller mangel på ledelsesmessige styringsfunksjoner. For litt over halvparten av hendelsene inneholdt rapportene tilstrekkelig informasjon til at de kunne klassifiseres i den etablerte årsaksstrukturen. Utover fordeling av lekkasjer på de definerte Direct/immediate causes og Underlying causes viser resultatene at over 90 % av lekkasjene kan spores tilbake til svikt i en av funksjonene definert under Preventive mechanisms. Bare 7,6 % ble funnet å være uunngåelige. Overordnet gir resultatene grunnlag for å diskutere bruk av reduksjonsfaktorer på generiske lekkasjefrekvenser basert på kvalitative vurderinger av egenskaper ved organisatoriske såvel som tekniske systemer knyttet til et gitt anlegg. SpunsTett Denne studien /16/ ble gjennomført av Statoil i 1993. Målsetningen var å dokumentere årsaker til gasslekkasjer, i den hensikt å identifisere hensiktsmessige innsatsområder for å redusere antallet lekkasjer i fremtiden. Analysen er basert på beskrivelser av 116 hendelser på Statfjordfeltet, samt intervjuer med 90 medarbeidere internt i Statoil og hos tilknyttede entreprenører. Årsakene til lekkasjene ble delt inn i følgende kategorier: Manglende jobbsikkerhetsanalyse Feiloperering Manglende kommunikasjon og erfaringsoverføring Design- og utstyrsfeil Mangler ved inspeksjons- og vedlikeholdsprogram Stor arbeidsbelastning / stress Manglende kvalitetskontroll Mangelfull dokumentasjon samt ikke-oppdaterte tegninger Manglende kunnskap om trykkoppbygning Prosedyre ikke fulgt Uoversiktlige eierforhold og delt områdeansvar Mangelfullt prosedyreverk. To viktige konklusjoner i prosjektet var at kun ca 10 % av lekkasjene kunne defineres som design- og utstyrsfeil, og at mange kan unngås med forbedrede rutiner for gjennomføring av sikker jobb-analyser. HSE Offshore safety Division (OSD) hydrocarbon release reduction campaign I denne studien /7/ analyseres rapporterte hydrokarbonlekkasjer på britisk sokkel i perioden april, 2000 mars, 2001. Hovedformålet var å bedre informasjonsgrunnlaget for forebygging av lekkasjer i petroleumsindustrien. Lekkasjene ble kategorisert med hensyn til: Operating mode Release site Release mechanism Immediate cause Underlying cause Failed Safeguarding system Potential new/additional safegaurds. Side 13

Alle disse egenskapene har underpunkter. Den videre inndelingen av Release mechanism, Immediate cause og Underlying cause er vist nedenfor. Underpunkter av Release mechanism : Internal explosion Overpressurisation Underpressurisation Open pathway Degraded containment envelope. Underkategorier av Immediate cause : Corrosion/internal Corrosion/external Erosion Fatigue/vibration Incorrect installation Operator error Degradation of material properties Procedural violation Inadequate isolation Blockage Inadequate procedures Defective equipment Underkategorier av Underlying cause : Inadequate compliance monitoring Inadequate risk assessment Inadequate design Inadequate procedures Inadequate competency Inadequate supervision Incorrect material specification/usage Inadequate task specification Excessive workload Outdated information/data Incorrrect installation Inadequate maintenance Inadequate communication Inadequate inspection/condition monitoring Resultatene fra studien er først og fremst statistikker over disse kategoriene for britisk sokkel sett under ett. I tillegg er det foretatt en bench-markingundersøkelse på tvers av operatørselskaper med hensyn til antall lekkasjer. Denne viste relativ store forskjeller mellom selskapene. Kampanje for reduksjon av antall hydrokarbonlekkasjer i SHELL Expro I 2000 fremsatte HSE et krav overfor offshore operatører i den britiske oljeindustrien om å halvere antall betydelige og store hydrokarbonlekkasjer innnen 2004. Som en konsekvens av dette satte Shell Exploration and Production (Expro) ned en arbeidsgruppe med formål å oppnå målsetningen innen 2002 /17/. Denne gruppens strategi kan oppsummeres ved følgende punkter: Side 14

1. Analysér alle lekkasjedata 2. Etablér trender og forståelse for lekkasjeårsaker 3. Arbeid med forbedringer og utvikle en beste praksis for selskapet 4. Tilrettelegg for implementering i driftsorganisasjonene 5. Sørg for kommunikasjon, opplæring, økt bevissthet og kunnskap. Gjennom dataanalysene er det etablert statistikk over relative bidrag til antall lekkasjer med forkjellige årsaksinndelinger. På overordnet nivå fokuseres det på bidrag fra årsakskategoriene: Mechanical failure Corrosjon/erosion Human factors. Videre er dataene sortert under ulike utstyrstyper og komponenter, og på spesifikke lekkasjemekanismer for hver av disse. Det er etablert en egen lekkasjedatabase. Månedlige rapporter over hendelser utarbeides med bakgrunn i denne, og statistikkene oppdateres fra år til år. Basert på funnene i dataanalysene, har arbeidsgruppen igangsatt en rekke ulike forbedringstiltak. Noen eksempler er: Kurs for økt bevissthet på korrrosjon Utvikling av retningslinjer for utvalgte vedlikeholdsaktiviteter Utvikling av sandresistent gods for pumpehus Etablering av best practice for bruk av kjemiske inhibitorer Nytt informasjonssystem for vedlikehold og utskifting av slanger. 5.2 Utviklingsprosjekter KickRisk KickRisk-prosjektet er basert på en doktorgradsavhandling ved Høgskolen i Stavanger / Robert Gordon University (UK) fra 1995 /18/. Det kommersielle prosjektet har gått kontinuerlig ved RF Rogalandsforskning siden 1995 /3/. Prosjektet tar sikte på å utvikle et komplett verktøy for analyse av brønnspesifikk brønnspark- (kick) og utblåsningsrisiko forbundet med bore- og brønnoperasjoner til bruk i brønnplanlegging, TRAer og miljørisikoanalyser. Verktøyet, slik det fremstår i dag, dekker boring av vertikale brønner, og består av to moduler: Én for analyse av sannsynlighet for at kick inntreffer og én for analyse av sannsynlighet for at en kick resulterer i tap av brønnkontroll og utblåsning. Begge moduler er bygget opp rundt fysiske grensetilstander som definerer de to hendelsene. Kick inntreffer dersom brønntrykket faller til et nivå som er lavere enn poretrykket i en porøs og permeabel, hydrokarbonførende formasjon etter at denne er penetrert. Utblåsning inntreffer som følge av at brønntrykket etter en kick overskrider trykkapasiteten i en av delene i brønnsystemet. Sannsynlighetsanalysene er basert på uttrykk for usikkerhet knyttet til størrelsene som inngår i grensetilstandene i form av sannsynlighetsfordelinger. Fordelingene for poretrykk og brønnkapasiteter angis i stor grad direkte på bakgrunn av vurderinger fra geologer, mens fordelingene for opptredende brønntrykk i ulike faser av operasjonene etableres gjennom en omfattende modell. Basis for modellen er at brønntrykket er sammensatt av tre komponenter: Hydrostatisk trykk fra boreslammet, friksjonstrykk fra sirkulasjon av slammet og trykkeffekter som oppstår ved vertikale bevegelser av borestrengen. I modellen sammenfattes varige og midlertidige bidrag til disse tre komponentene fra nedihullseffekter, utstyrsfeil og operatørenes regulering av boreprosessen, inklusive betraktninger knyttet til tolkning av informasjon om styringsparametere, kommunikasjon og feilhandlinger. Input til analyseverktøyet er deterministiske og probabilistiske beskrivelser av fysiske størrelser og hendelser som inngår i modellene. Side 15

Resultatene fra en analyse dekker overordnede kick- og utblåsningssannsynligheter, bidrag fra forskjellige faser og årsaksmekanismer, samt relativt bidrag fra de ulike usikre størrelsene på detaljert nivå. Monte Carlo-simulering brukes som beregningsmetode. Dette er en forutsetning for å fange opp avhengigheter på en konsistent måte og for systematisk å fange opp de relative bidrag fra ulike faser, årsakmekanismer og størrelser. Kick-modulen har vært brukt i fire pilotprosjekter mot reelle brønnplanleggingsprosesser med gode resultater. En viktig suksessfaktor er at verktøyet tar input på størrelser som av brønnplanleggerne anerkjennes som viktige bidragsytere til risiko og rapporterer de relative bidragene tilbake på et format som egner seg for identifisering risikoreduserende tiltak. Verktøyet kan videre brukes for å vurdere effekten av de identifiserte tiltakene og slik gi grunnlag for rangering av disse med kost-nytte vurderinger. BlowFAM Dette er også et verktøy for analyse av utblåsingsrisiko. Det er utviklet av Scandpower AS, og har vært i utstrakt bruk som grunnlag for TRAer og miljørisikoanalyser siden 1995 /19/. Hensikten med verktøyet er å trekke vurderinger av operasjonsspesifikke forhold inn i analyse av utblåsningsrisiko. 278 såkalte risikoelementer er identifisert og vektet med hensyn til hvor stor relativ påvirkning de har på risikonivået. Disse elementene relaterer seg til tekniske, menneskelige, organsiatoriske og geologiske forhold. I en analyse vurderes graden av eksponering for de ulike risikoelementene i den aktuelle operasjonen i forhold til en gjennomsnittsoperasjon. Historiske utblåsingsfrekvenser fra Sintefs utblåsningsdatabase /20/ blir så justert med hensyn til disse vurderingene. Verktøyet dekker lete- og produksjonsboring, komplettering, produksjon, workover og wireline-intervensjon. Risikobasert inspeksjon Riskobasert inspeksjon (RBI) er et begrep som dekker ulike tilnærminger til inspeksjonsplanlegging, hvor vurderinger av usikkerhet og risiko inngår. I denne beskrivelsen tar vi utgangspunkt i RBI-teknlogi utviklet i Det Norske Veritas, se f.eks. /21/ eller /22/, som er basert på probabilistisk analyse av definerte feilmodi knyttet til utstyret som inspiseres, for eksempel prosessutstyr, som rør og tanker. Teknologien bygger på grunnleggende forståelse av de ulike degraderingsmekansimene, som en forsøker å kontrollere gjennom systematisk inspeksjon. Sannsynlighet for en bestemt feil beregnes med bruk av en modell som representerer den aktuelle degraderingsmekanismen, last- og styrkemodeller for den aktuelle utstyrskomponenten og analyseprinsipper fra konstruksjonspålitelighet /23/. Denne sannsynlighetsberegningen betinger på en gitt inspeksjonspraksis og tar kunnskap om materialer, operasjonsforhold og miljø i betraktning. Feilsannsynligheten sammen med resultatene fra en mer eller mindre omfattende konsekvensanalyse holdes opp mot operatørens akseptkriterier for risiko og danner grunnlaget for kost-nyttebetraktninger, identifisering av tiltak og valg av inspeksjonsløsning. RBI er benyttet i en rekke prosjekter for flere operatører i inn- og utland. Risikoindikatorer Oljedirektoratet har initiert flere prosjekt for utvikling og etablering av risikoindikatorer. Disse prosjektene har gått under fellesbetegnelsen "Indikatorprosjektet" /24/ og har blitt utført av SINTEF. Hovedideen bak risikoindikatorer er å finne fram til et sett av målbare størrelser som dersom de overvåkes, vil avsløre endringer i risikonivået knyttet til definerte hendelser i forbindelse med operasjon av offshoreinstallesjoner. Videre er det tenkt at endringer i størrelsene skal kunne gi grunnlag for identifisering av hensiktsmessige tiltak for å redusere risiko. Det er utviklet en metodikk for etablering av tekniske risikoindikatorer og et rammeverk for etablering av organisatoriske risikoindikatorer. Side 16