Revisjonsrapport Rapport Rapporttittel Aktivitetsnummer Rapport etter tilsyn med Martin Linge utbyggingsprosjektet Elektriske anlegg 011040011 Gradering Offentlig Unntatt offentlighet Begrenset Fortrolig Strengt fortrolig Involverte Hovedgruppe Oppgaveleder T-3 Bård Johnsen Deltakere i revisjonslaget Dato Torleif Husebø og Eivind Sande 20.12.2013 1 Innledning Petroleumstilsynet (Ptil) førte i tidsrommet 12.-13.11.2013 tilsyn med elektriske anlegg i Total E&P Norge AS (Total) sitt utbyggingsprosjekt for Martin Linge produksjonsinnretning (PDQ). Martin Linge-utbyggingen innbefatter en bunnfast produksjonsenhet og et lagerskip (FSO) for lagring og utskiping av olje. Produksjonsinnretningen, som er en kombinert brønnhode-, prosess- og boliginnretning, prosjekteres av Technip i Paris og skal bygges og ferdigstilles av Samsung Heavy Industries i Sør-Korea. Oversikt over utbyggingsløsningen for Martin Linge feltet Kilde: Total E&P Norge AS I følge utbyggingsplanen skal produksjonsenheten installeres på feltet og starte produksjon i 2016.
2 Det ble den 15.8.2013 gjennomført et informasjonsmøte i Totals lokaler i Stavanger der selskapet presenterte Martin Linge-prosjektets organisasjon, prosjektstatus, system for barrierestyring og elektriske anlegg. I perioden 12.-13.11.2013 ble det gjennomført tilsyn hos Technip i Paris med deltakelse fra både Technip og Total. Tilsynet omfattet temaer innenfor fagområdet elektriske anlegg, herunder leveringssikkerhet, redundans, sårbarhet og elsikkerhet. 2 Bakgrunn Ptil skal legge premisser for og følge opp at aktørene i petroleumsvirksomheten holder et høyt nivå for helse, miljø og sikkerhet og gjennom dette bidra til å skape størst mulig verdier for samfunnet. Oppfølgingen skal være systemorientert og risikobasert og komme i tillegg til næringens egen oppfølging. Vår tilsynsmetodikk er i hovedsak basert på verifikasjon av utvalgte anlegg, systemer og utstyr og våre observasjoner kan av den grunn være like relevant for andre anlegg, systemer og utstyr. Barrierer er en av Ptil sine fire hovedprioriteringer. Erfaring viser at aktørene i varierende grad har implementert regelverkets krav til barrierer. Identifisering, klassifisering og robustgjøring av barrierer i de ulike faser i et anleggs livssyklus har utviklet seg i forskjellig retning og har forskjellig modenhet. Svikt og svekkelser i et eller flere barriereelementers ytelse er en gjennomgående årsaksfaktor ved hendelser. Dette krever større oppmerksomhet og tettere oppfølging både fra aktørene og myndighetene for å sikre kontinuerlig forbedring. Resultatene fra dette tilsynet vil også bidra til å danne grunnlag for vår kommende samtykkebehandling før innretningen kan tas i bruk. 3 Mål Målsettingen med tilsynet var å følge opp at Total i samarbeid med Technip og andre involverte etterlever forutsetningene i PUD, gjeldende forskrifter, standarder samt Totals egne krav. Tilsynet la spesiell vekt på utarbeidelse, implementering og synliggjøring av de elektriske anleggenes spesifikke barrierefunksjoner, barriereelementer, ytelseskrav og ytelsespåvirkende faktorer i et livsløpsperspektiv. 4 Resultat Tilsynet ble gjennomført i form av presentasjoner, samtaler med nøkkelpersonell samt dokumentgjennomganger. Aktiviteten var godt tilrettelagt fra Total og Technip sin side. Presentasjonene var informative, godt dekkende og dialogen var åpen og konstruktiv. Vårt hovedinntrykk er at prosjektet innenfor de områdene vi har gjennomgått, har oversikt over potensielle utfordringer i prosjektet og at det er fokus på identifisering og etablering av robuste og effektive barrierer.
3 Det ble imidlertid identifisert to avvik under tilsynet. Disse er knyttet til prinsipper for risikoreduksjon og barrierestyring. Det ble også identifisert to forhold med potensial for forbedringer. Disse er knyttet til organisering, roller og ansvar samt nødgenerator enheten. 5 Observasjoner Ptils observasjoner deles generelt i to kategorier: Avvik: Knyttes til de observasjonene hvor vi mener å påvise brudd på regelverket. Forbedringspunkt: Knyttes til observasjoner hvor vi ser mangler, men ikke har nok opplysninger til å kunne påvise brudd på regelverket. 5.1 Avvik 5.1.1 Prinsipper for risikoreduksjon Avvik: Mangelfull oppfølging av prinsippene for risikoreduksjon Risikoreduksjonsprinsippet innebærer at den ansvarlige skal velge løsninger som etter en enkeltvis og samlet vurdering reduserer risiko så sant kostnadene ikke står i et vesentlig misforhold til den risikoreduksjonen som oppnås. Videre skal den ansvarlige velge tekniske, operasjonelle og organisatoriske løsninger som reduserer sannsynligheten for at det oppstår skade, feil og fare- og ulykkessituasjoner. I tilsynet ble mangelfull oppfølging av prinsippene for risikoreduksjon belyst med noen spesifikke eksempler: Luftinntak til forbrenningsluft for dieselmaskiner Total har valgt å plassere luftinntak for forbrenningsluft i umiddelbar nærhet til et område som er sone klassifisert (sone 2). Det ble i tilsynet opplyst om at en har benyttet en avstand på 3 meter fra klassifisert område som en grense for plassering av luftinntak. Plassering av luftinntak til forbrenningsmaskiner må kritisk vurderes ut fra å redusere sannsynlighetene for antenning av gass så langt som praktisk mulig, samt å legge til rette for at maskiner med en funksjon i en hendelse (brannpumper, nødgenerator) muliggjør så lang driftstid som mulig. Basis for områdeklassifisering, som for eksempel beskrevet i IEC 61892-7 og IEC 60079-10, baseres på frekvens for- og varighet av utslipp av hydrokarboner i normal drift. En tradisjonell områdeklassifisering vil derfor ikke fange opp store utslipp av hydrokarboner. Dette er et velkjent fenomen. Vi fikk opplyst under tilsynet at luftinntak til HVAC for boligkvarteret og luftinntak for forbrenningsluft til dieselmaskiner for brannpumpene er plassert under boligkvarteret. Denne type plassering av luftinntak har en lavere sannsynlighet for å bli eksponert for gass, også ved store utslipp av hydrokarboner. En må derfor finne andre risikoreduserende tiltak som reduserer sannsynligheten for at gass trekkes inn i luftinntak til forbrenningsluft til dieselmaskiner for nød- og essensiell kraft. Slik det fremkom av presentasjonen under tilsynet hadde disse maskinene luftinntak plassert i umiddelbar nærhet av klassifisert område.
4 Plassering av lokalt utstyrsrom inn i prosessområdet. For å forenkle bygging og sammenstilling av innretningen har Total valgt en løsning der et lokalt utstyrsrom for elektrisk utstyr blir fysisk plassert i prosessmodulen, men brannveggen bygges slik at modulen områdemessig blir en del av tilstøtende område for hjelpeutstyr. Valgt plassering av utstyrsrommet vil resultere i et mindre naturlig ventilert volum i prosessområdet, noe som vil lede til høyere eksplosjonstrykk. Her finnes det åpenbare alternativer med tanke på plassering av utstyrsrommet som vil fjerne denne økningen. Plasseringen er heller ikke i tråd med Totals eget 'Safety concept for PDQ' blant annet i kapittel 3 hvor 'elimination or minimization of hazards by design' utgjør en sentral del av risikostyrings filosofien, og i kapittel 5.1, kulepunkt 3 'limiting explosion overpressure due to minimization of the degree of confinement, congestion and blockage of vent paths'. Rammeforskriften 11 om prinsipper for risikoreduksjon Styringsforskriften 4 om risikoreduksjon 5.1.2 Barrierestyring Avvik: Mangelfull oppfølging av barrierestrategier og ytelseskrav. Områdespesifikke barrierestrategi(er) er utformet på et generelt og overordnet nivå. Viktige innretningsspesifikke forhold er ikke i tilstrekkelig grad inkludert selv om viktige beslutninger, som avhenger av innholdet i områdespesifikk strategi, må fattes som en del av designfasen. Som eksempel kan nevnes plassering av luftinntak for forbrenningsluft til dieselmaskiner, jamfør 5.1.1 ovenfor. En områdespesifikk strategi skal blant annen vise en knytning mellom identifiserte farer og tiltak som er identifisert og implementert for å begrense faren. En stor hydrokarbonlekkasje er en fare som kan begrenses ved blant annet å plassere luftinntaket i et område der det er veldig lav sannsynlighet for at gassen sprer seg til. Vi fikk opplyst at det i forbindelse med bruk av Jack-up rigg i «cantilever» modus foregår diskusjoner med Mærsk om forsyning av elektrisk kraft fra Martin Linge innretningen til boreoperasjonen. Dette kan robustgjøre tennkildeutkoplingen for feltet ved hendelser på Martin Linge. Generelt fikk vi opplyst om at nedstengningssignaler fra Martin Linge til Jackup riggen kun vil være for informasjon på Jack-up riggen (dvs. ingen automatiske aksjoner). En vet av erfaring at manuell tennkildekontroll er mindre robust sammenlignet med automatiske systemer. Vi fikk videre opplyst at ytelseskrav er under utarbeidelse, og presentasjonene viste gode planer, men det synes ikke som om sluttbrukers behov er tatt tilstrekkelig med i prosessen, for eksempel med at sluttbrukere på relevant nivå er aktivt med i prosessen. Strategiene utformes av Total, mens ytelsesstandardene utvikles av Technip. Det er viktig å sikre tilstrekkelig eierskap fra drift i dette arbeidet. Erfaring viser at uten et slikt eierskap så reduseres sannsynligheten for at ytelseskravene følges opp i drift. Det er primært fokus på tekniske barriereelementer i prosessene rundt utforming av strategier og ytelsesstandarder. Det er viktig å sikre at operasjonelle og organisatoriske barriereelementer omfattes av arbeidet.
5 Styringsforskriften 5 om barrierer 5.2 Forbedringspunkt 5.2.1 Organisering, roller og ansvar Forbedringspunkt: Det er vårt inntrykk at det er rom for forbedring knyttet til Total sin egen involvering og oppfølging av prosjektet for å sikre tilstrekkelig eierskap til og etterlevelse av egne krav og føringer. Det fremkom under samtaler og presentasjoner at Total har få personer fra driftsorganisasjonen integrert i Martin Linge prosjektet noe som erfaringsmessig kan bidra til utfordringer med hensyn til å møte regelverkets krav til operasjonelle forutsetninger for oppstart og bruk. Det vises også til 5.1.2 om barrierestyring ovenfor. Styringsforskriften 21 om oppfølging Aktivitetsforskriften kapittel VI om operasjonelle forutsetninger for oppstart og bruk 5.2.2 Nødgeneratorenheten Forbedringspunkt: Vi etterlyser dokumentasjon som sikrer etterlevelse av krav til uavhengighet og sårbarhet knyttet til valgt løsning for nødgeneratorenheten. Det er ikke klart for oss om nødgeneratorenheten med tilhørende utrustning møter krav til uavhengighet («selfcontained») og sårbarhet, jamfør eksempelvis dieselgenerator enhetens kjølevannsystem. Innretningsforskriften 8 om sikkerhetsfunksjoner Innretningsforskriften 38 om nødkraft og nødbelysning 6 Deltakere fra Petroleumstilsynet Torleif Husebø, fagleder prosessintegritet Eivind Sande, prosessintegritet Bård Johnsen, prosessintegritet (oppgaveleder) 7 Dokumenter Følgende dokumenter ble benyttet under planlegging og gjennomføringen av aktiviteten: Presentasjon fra informasjonsmøte om elektriske anlegg for Martin Linge 15.8.2013 Oversikt over relevante styrende dokumenter for Martin Linge utbyggingsprosjekt GS EP ELE 001, rev. 06 Electrical design criteria NO-HLD-10-TPSH-000617, rev. 01 Project approved vendor list Martin Linge
6 NO-HLD-10-TPSH-410005, rev. 00 NO-HLD-10-TPSH-431652, rev. 01 NO-HLD-10-TPSH-431654, rev. 00 NO-HLD-10-TPSH-431661, rev. 01 NO-HLD-10-TPSH-410001, rev. 02 NO-HLD-10-TPSH-410006, rev. 00 NO-HLD-10-TPSH-410010, rev. 02 NO-HLD-10-TPSH-410011, rev. 02 NO-HLD-10-TPSH-434681, rev. 00 NO-HLD-10-TPSH-434682, rev. 00 NO-HLD-10-TPSH-151020, rev. 01 NO-HLD-10-TPSH-000253, rev. 00 Black start philosophy Topside single line diagram Electrical interface block diagrams ECS architecture drawing Basis of electrical system design protection and control philosophy Electrical engineering studies Package equipment electrical design criteria Electrical Apparatus for potentially explosive gas atmospheres Grounding system design standard Power system design standard Topsides overall equipment layout lower deck plan view ATEX Execution Plan Vedlegg A Oversikt personell som deltok i tilsynet fra Technip og Total