BP Norge - gransking etter hendelse på Valhall PCP

Manglende klassifisering og mangelfullt vedlikeholdsprogram for kranmotorens gnistfanger og lydpotte.

Description

Den kombinerte gnistfangeren og lydpotten var ikke klassifisert som sikkerhetskritisk utstyr, og det var heller ikke etablert et vedlikeholdsprogram for den.

Grounds

Tilstanden på kombinert gnistfanger og lydpotte var svært dårlig, den har vært brukt langt ut over forventet levetid og den var ikke i stand til å utføre sine tiltenkte funksjoner.

På oppdrag fra BP gjorde Universal Silencer Europa Limited tekniske undersøkelser av den kombinerte gnistfangeren og lydpotten for kranmotor A. Disse viser følgende:

1. Enheten var i stor utstrekning korrodert på utsiden. Korrosjonen var så framskreden at deler av sotoppsamlingsboksen hadde huller som tillot at oppsamlede partikler kunne slippe ut. Dette betyr at gnistfangeren har vært virkningsløs mens den har vært i bruk. Korrosjonen var framskreden, og skader på det perforerte røret er konsistent med lang tids bruk og viser at enheten har vært ineffektiv i lang tid som gnistfanger samt at det ikke var mulig å reparere den.
2. Reparasjon som var gjort på enheten, var en rustfri stålplate som var sveist uten-på enheten i den ene enden, 40,5 cm opp fra innløpet, pluss en rustfri sveising ved utløpsflensen. Fjerning av stålplaten avdekket at deler av det opprinnelige ytre røret som omslutter enheten, manglet helt. Da enheten har vært montert vertikalt, har korrosjonsutviklingen tatt lang tid. Rapporten konkluderer med at enheten har vært i drift langt ut over levetiden. Det betyr at sikkerhetsfunksjonen som gnistfangeren utgjør (barriereelementet, se observasjon 6.1.7) ikke har fungert på lang tid.
3. Det perforerte røret som skal holde fast det akustiske dempningsmaterialet i enheten, var ødelagt, et stort område av røret var borte, og store områder av det perforerte stålrøret var degradert og løsnet. Dette kan resultere i at varmt dempningsmateriale blir blåst ut av enheten.
4. Biter av det som antas å være det perforerte røret, ble funnet i sotoppsamlingsboksen.
5. Ifølge rapporten må inspeksjon som avdekker omfattende utvendig korrosjon på enheter, anta at enheten er mer skadet innvendig, da det innvendige perforerte røret normalt er det svakeste elementet. Det er ikke anbefalt å reparere korroderte enheter. De må skiftes ut.
6. Perforert stålgitter eller løse partikler fra det akustiske dempningsmateriale vil ha like høy temperatur som eksosgassen og kan utgjøre en antennelseskilde.
7. Lydpotten var ikke merket slik at produsent eller annen identifikasjon framgikk.

At gnistfangeren fungerer, er sikkerhetskritisk. Det fremgår ikke av dokumenter vi har fått framlagt, at den er klassifisert som sikkerhetskritisk utstyr, og det er ikke utarbeidet inspeksjons- og vedlikeholdsprogram for overvåking eller korrigering av feilmodi som er under utvikling.

Legal authority

Vedlikeholdsprogram for kranmotor er ikke oppdatert med hensyn til bruk utover forventet levetid

Description

Kranmotoren har vært i bruk i ca. 30 år og det forebyggende vedlikeholdsprogram har ikke blitt endret som følge av motorens alder og generelle tilstand. Kjølevannspumpen inngår ikke i det forebyggende vedlikeholdsprogrammet for kranmotor. Den blir dermed ikke regelmessig inspisert eller utskiftet.

Grounds

Kjølevannspumpen er ikke ansett som et kritisk utstyr, og filosofien har vært å kjøre pumpen til den bryter sammen (jf. BPs granskningsrapport).

Det periodisk forebyggende vedlikeholdet av kjølevannsystemet har bestått i å stramme til alle vannførende forbindelser og sjekke motoren for vannlekkasjer, sjekke kjølevannet for forurensing, rense systemet og om nødvendig toppe opp med glykol eller vann, måle pH og frysepunkt og tilsette inhibitor hvis pH er lavere enn 8. Det er videre krav til skifte av kjølevæske ved 2000 timers ettersyn (jf. vedlikeholdsinstruksjon PS.M-I-001). Det er i intervju opplyst at kjølemedium ikke blir skiftet hvis pH og renhet er i orden.

Det er i intervju opplyst at Caterpillar, i forbindelse med BPs gransking, har informert BP om at denne serien av kjølevannspumper har en metallurgisk feil. Dette ble oppdaget på 80-tallet, og Caterpillar har overfor BP opplyst at kunder ble informert om dette den gangen. BP kan ikke i dag verifisere om de har fått denne informasjonen og Caterpillar kan heller ikke dokumentere at dette er sendt.

Kranmotorens vedlikeholdshistorikk viser at det har vært benyttet ulike typer kjølevæske, og at disse har blitt blandet. Eksempler på at ulike kjølevæsker har blitt blandet, er nevnt i FAO-030407 den 18.4.2005: ” Kjølesystemet på motor var oppfylt med Pneumatic Tool Antifreeze Lubricant. Dette medfører for dårlig kjøling og beskyttelse mot tæring, grunnet at anlegget blir fullt av skum under gange, og kjøler dårlig, samt frostbeskyttelsen blir feil.”

Akslingen i kjølevannspumpen og kjølemediet er undersøkt av Exova på oppdrag fra BP. Laboratorieundersøkelsene viser at bruddet sannsynligvis har oppstått som følge av mekaniske skader på den ytre overflaten, som har utviklet seg på grunn av materialutmatting. Akslingen var generelt korrodert på indre og ytre overflater. Korrosjonsproduktet var typisk oksidasjon. Vann og klor i kjølemediet har bidratt til korrosjonen. Se vedlegg E for detaljer omkring bruddstedet.

Det er opplyst at det ved bruk av rett kvalitet på kjølevæske og rett blandingsforhold ikke vil opptå korrosjon på en motor selv etter 20 000 timers drift. Den kjølevæsken som ble analysert etter brannen, ble av laboratorieingeniøren beskrevet som ”brun av farge og luktet meget ille”. Dette kan ha sammenheng med at det har vært en forråtnelsesprosess i kjølevæsken. (jf. e-post fra BP datert 25.11.2011).

Legal authority

Mangelfullt brann- og gassdeteksjonssystem

Description

Deler av brann- og gassdeteksjonssystemet på PCP-innretningen sikrer ikke hurtig og pålitelig deteksjon av branntilløp, branner og gasslekkasjer. Brann- og gassdeteksjonssystemet i kranen er ikke sikret kontinuerlig nødkraftforsyning.

Grounds

Følgende observasjoner er gjort:

1. Det ble gjennomført en test av termisk detektor (FE-T-263) i kranmaskinrom. Ved denne testen ble det påvist at lampe og lydalarm (i panel PF-035) som skal varsle kranfører om brann i maskinrommet, ikke ble aktivert. Alarm ble aktivert i kommunikasjonspanelet (PC-010) som er plassert helt bak i krankabinen, men panelet gav en meget svak lydalarm som ikke vil kunne oppfattes av kranføreren når kranoperasjoner pågår.
2. Brann- og gassdeteksjonssystemet i kranen er ikke sikret kontinuerlig nødkraftforsyning. Ved et utfall av hovedkraft vil kontrollrommet få inn en melding om kommunikasjonsfeil med brann- og gassystemet i kranen. Dette vil dermed være en forventet alarm ved alle strømbrudd. Reelle alarmer fra brann- og gassystemet i kranen vil ikke nå frem til kontrollrommet ved utfall av hovedkraft.
3. Det fremkommer videre av vedlikeholdshistorikken (KAO-044177, datert 5.8.2005) at nødkraftforsyningen på et tidspunkt ble frakoblet kranførerens lokale brann- og gasspanel. Vi har ikke fått verifisert at dette har vært utkoblet siden, men testen gjennomført under bokstav a viste at det ikke ble aktivert alarm i kranførerens lokale brann- og gasspanel (PF-035).
4. I forbindelse med ferdigstillelse (”commissioning”) av prosjekt for etablering av brann- og gassradiolink mellom kranen og SKR, framkommer det at alarm og lys i kranførerens lokale brann- og gasspanel (PF-035) har blitt testet og har virket den 16.11.2003 (referanse nr. 32). I vedlikeholdsrutinen for årlig vedlikehold av kranens brann- og gasskommunikasjon står det ”Sjekk at lyd og lyssignal i lokal panel i kranen fungerer”. PF-035 er ikke nevnt i TAG-listen for rutinen, kun panel PC-010 hvor det også er lys og lydsignal (referanse nr. 17 e). Dette er som nevnt i avvik 6.1.6 ikke synlig eller hørbart for kranføreren. Heller ikke vedlikeholdsrutiner for varmedetektorer omfatter test av lokalt panel (referanse nr. 17 f).
5. Branndeteksjonen i kranmaskinrommet på PCP består av en termisk detektor som er montert over en felles dieseltank. Denne detektortypen egner seg best for mindre rom med liten ventilasjon og der det er mulig å montere detektoren i lav høyde over overvåkningsobjektet. Kranførerens brann- og gasspanel PF-035 (se bildet i Figur 9) viser at det tidligere sannsynligvis har vært flammedeteksjon i kranmaskinrommet, men dette har vi ikke klart å verifisere. En annen observasjon som sannsynliggjør at dette har vært tilfellet, er flammedeteksjon i kranmaskinrommet til søsterkranen på QP-innretningen. Det er regelverkskrav til at branndeteksjonsanlegg skal detektere en eventuell brann på et tidligst mulig stadium for hurtig å kunne iverksette tiltak som kan redusere omfanget av brannen. Vår vurdering er at dagens løsning med en termisk detektor som er plassert over felles dieseltank ikke dekker behovet for branndeteksjon i kranmaskinrommet på PCP. Dette begrunnes med at rommet har kraftig ventilasjon, og at et eventuelt branntilløp i kranmaskinrommet må forventes å starte i tilknytning til dieselmotorene.
6. Kranen er utstyrt med en enkelt gassdetektor som er montert i ventilasjonskanal for utluft fra kranmaskinrommet. En viktig rolle til denne detektoren er å unngå at en eventuell gassky blir antent av dieselmotorene eller andre tennkilder i kranen. Videre skal detektoren bidra til å sikre at dieselmotorene i maskinrommet ikke ruser ukontrollert dersom gass fra en lekkasje på innretningen når kranen. Normalt vil en detektor med denne rollen være plassert i luftinntaket til selve maskinrommet dersom forbrenningsluften tas direkte fra rommet. Begge de to dieselmotorene i kranmaskinrommet på PCP tar forbrenningsluft fra selve maskinrommet. Detektorplasseringen i utluftkanalen fra maskinrommet er således ikke i henhold til kravet om at gassdetektorer normalt skal anbringes i alle inntak for ventilasjons- og forbrenningsluft.
7. Det er ikke installert gassdetektorer på viftedekk over gasskjølerne på PCP. Begrunnelsen som er gitt for dette er at området er helsveist, og at det dermed ikke er lekkasjepunkter. Enkelte av kjølerørene har imidlertid hatt lekkasjer, og er deretter blitt sveist igjen. Den eneste detektoren som kan detektere en gasslekkasje rettet oppover fra gasskjølerne, er den som er plassert i ventilasjonsuttaket fra kranen på PCP. 
8. Branndeteksjonssystemet på PCP detekterte ikke at det var brann i flere av avluftingsrørene fra kompresjonsområdet på PCP. Ingen detektorer eller andre overvåkningssystemer var tiltenkt å kunne detektere en eventuell brann i dette området.

Legal authority

• nr 2, jf. forskrifter for produksjons- og hjelpesystemer på produksjonsanlegg m.v. for utvinning av petroleumsforekomster, fastsatt av Oljedirektoratet den 3. april 1978, kap. 11.1.1,11.2.1.1, 11.2.1.3 og 11.3.1.1 om gass- og brannvarslingsanlegg.

• nr 2, jf. forskrifter for produksjons- og hjelpesystemer på produksjonsanlegg m.v. for utvinning av petroleumsforekomster, fastsatt av Oljedirektoratet den 3. april 1978, kap. 13.2 og 13.3.2 om nødkraft og nødkraftforbrukere.

Mangelfull styring av arbeidsprosesser og mangelfull oppfølging av identifisert risiko

Description

Ansvar og myndighet er ikke entydig definert og samordnet for vedlikehold av kran.

Systemet for oppfølging og risikovurdering av notifikasjoner, og gjennomføring av tiltak er mangelfullt. Det blir ikke i tilstrekkelig grad gjennomført undersøkelser av bakenforliggende årsaker når det blir oppdaget feil og mangler.

Grounds

1. I intervju framkom det at ansvar for ulike systemer i kranen er fordelt på ulike disipliner og det er ingen som har total oversikt over systemene og kan samordne vedlikeholdet. Følgende disipliner er på ulike vis involvert i oppfølging og vedlikehold av kranen: Kranansvarlig, leder for kranvedlikehold og motorvedlikehold på land, kranfører, kranmekaniker, dieselmekaniker, elektro, automasjon/instrument, digital og tele.  
2. Det ble i intervju opplyst at grenseflater mellom instrument/automasjon og kranmekaniker og dieselmekaniker vedrørende forebyggende vedlikehold av motorbeskyttelse er noe uklart for de involverte. Det kom fram at ingen har den samlede oversikten over de ulike systemer med motorer, instrumentering og motorbeskyttelse. Tilsvarende var det for grenseflater mellom brann- og gassdeteksjon, strømforsyning og telekommunikasjon. Det er også uklarheter vedrørende grensene mellom utstyr som er forbundet med selve løftesystemet, og utstyr som følges opp av de andre disiplinene. I følge NORSOK R-003N, som er anerkjent norm, skal det utpekes en teknisk ansvarlig som blant annet skal ”ivareta teknisk tilstand for løfteutstyr og sørge for at nødvendig vedlikeholdsprogram blir etablert, implementert, utført og vedlikeholdt etter produsentens instruksjoner og erfaringer med denne typen utstyr”. Et punkt i vedlikeholdsinstruksen for mekanisk er relatert til instrumentering (pkt. 14): ” Utfør generell kontroll av instrumenter”. Dette er utdypet som ”Kontroller funksjon av alle instrumenter”.  I intervju ble det opplyst at hvis det skal omfatte test av motorbeskyttelse og alarmsystem knyttet til dette, faller det utenfor kompetanseområdet til mekanikere. Ansvaret for utføring av forebyggende vedlikehold på maskinbeskyttelsen lå tidligere (i 2001) under instrument. Av arbeidsordre (KAO-014784 datert 6/10-2001) framkommer det i en merknad at det kun er mekanisk drift som har kompetanse på dette utstyret.  På forespørsel har vi fått opplyst at mekanisk FV på maskinbeskyttelsen skal utføres med elektro-/instrumentstøtte. Det henvises til vedlikeholdsinstruksjoner automasjon (5.200.054) som skal beskrive sjekk av maskinbeskyttelsen i mer detalj. Denne var ikke vedlagt elektro FV, og i tillegg ligger den under instrument i BPs dokumentstyringssystem. Instruks er for øvrig en generell beskrivelse av instrumenterings FV for termostater av fabrikat BBC. Det er ikke mulig å dokumentere når ansvaret har blitt overført fra elektro/instrument til mekanisk. Basert på vedlikeholdshistorikk har overføringen tilsynelatende funnet sted i 2002.  Av BPs granskningsrapport framgår det at maskinbeskyttelsen ikke ble testet i henhold til vedlikeholdsrutinen fordi instrumentene var vanskelige å teste og var forventet å bli byttet ut snarlig. Dette har vært skrevet inn i vedlikeholdshistorikken siden 2004 (se også avvik 6.1.1 hvor det er nevnt at dette forholdet ble påpekt 18.4.2005). 
3. Som nevnt under avvik 6.1.1 har det ikke blitt gjennomført tiltak som følge av at beskyttelsen mot varmgang og lavt oljetrykk ikke fungerer eller kan testes på tilfredsstillende måte som beskrevet i det forebyggende vedlikeholdsprogrammet, og det er ikke dokumentert at det har blitt gjennomført en risikovurdering av forholdet. Feilen har vært kjent siden 2003 og har blitt meldt inn på nytt i 2005 (jf. utstyrshistorikk FAO-030407). 
4. Prosjekt for modifikasjon (AFA 3234) fra 2003 skulle omfatte en overhaling av eksisterende system for overvåking av dieselmotorer i PCP-kranen og modifikasjon av rusingsfunksjonen (”overspeed”). Etter en teknisk gjennomgang ble det besluttet å beholde eksisterende system for overvåking av temperatur og trykk, men modifisere system for overvåking av turtall, som følge av faren for gass fra gasskjølerne. Det er ikke dokumentert at eksisterende system for overvåking av temperatur og trykk har blitt overhalt. Det modifiserte systemet for overvåking av turtall (nytt rusingsvern) ble satt i drift 16.4.2006 og prosjektet ble avsluttet 21.11.2007. 
5. Etter en brann i nødgeneratoren på Valhall PCP den 20.4.2004 avdekket granskingen en svakhet ved designen av luftinntaket på motoren til nødgeneratoren (Synergirapport nr. 873768). Svakheten bestod i at ett av to luftspjeld på dieselmotoren kunne stenge uavhengig av det andre og dermed føre til at det ble ufullstendig forbrenning slik at diesel kom ut i eksossystemet. Dette hadde forårsaket brannen i nødgeneratorens eksosanlegg.  Denne svakheten var blitt identifisert flere ganger tidligere i samme motor og senest rapportert 28.1.2002 etter et tilfelle hvor det var mistanke om at ett av de to spjeldene hadde lukket seg.  I 2002 ble det skrevet en arbeidsordre for å utbedre den sikkerhetsrisikoen dette utgjorde, men denne arbeidsordren ble ikke utført fordi ingeniøren som skulle finne en løsning på svakheten, fikk andre oppgaver. Dette ble identifisert i granskningsrapporten i 2004. Likevel ble det i granskningsrapporten bare foreslått å gjennomføre arbeidsordren som var skrevet i 2002 som et forebyggende tiltak, samt å foreta en annen teknisk modifikasjon på den aktuelle nødgeneratoren.  Det ble ikke foreslått tiltak som kunne hindre at en arbeidsordre kan blir liggende uten at dette blir fulgt opp, og uten at det blir risikovurdert. Dette, at noe kan bli liggende uten at det blir fulgt opp og risikovurdert, er også observasjon i bokstav c ovenfor. 
6. Den 21.5.2011 ble det tatt en oljeprøve fra kranmotor A. Analyseresultatet forelå den 15.6 (referanse nr. 24) og viste at det var unormalt høye verdier for kobber (økt fra 2 mg/kg til 345 mg/kg, alarmgrense ca. 20 mg/kg), for bly (økt fra 1 mg/kg til 28 mg/kg alarmgrense ca. 12 mg/kg) og for natrium (økt fra under 5 mg/kg til 70 mg/kg alarmgrense ca. 17 mg/kg). I rapporten framkommer det at høye verdier for kobber og blyinnhold i motoroljen kan skyldes lagerslitasje. Det framkommer videre at det høye natrium innholdet kan tyde på vannlekkasje. Vanninnholdet er imidlertid bare på 0,04 vektprosent. I følge rapporten tyder dette på at vann har fordampet. Basert på det store spranget i måleverdier spekuleres det i om oljeprøven kan være forurenset, og det anbefales å ta en ny prøve ved neste mulighet, for å bekrefte verdiene. Også B-motoren viste høye verdier av kobber. Den 8.7.2011 (en uke før hendelsen) ble det skiftet motorolje og filter på begge kranmaskinene, som et resultat av de dårlige oljeprøvene den 21.5. Resultatet av analysen av oljeprøven den 8.7. forelå ikke før etter hendelsen. Prøvene viste imidlertid 90 mg/kg kobber, 6 mg/kg bly og 27 mg/kg natrium. Både kobber og natriuminnholdet var over alarmgrensen. Kranen var bare kjørt 38 timer siden siste oljeskift. Det har ellers vært ganske rutinemessige skift med 200 timers intervaller tilbake til 2007 (så langt vi har kjennskap til historikken).Det ble ikke undersøkt hva som forårsaket de dårlige oljeprøvene. Mye kan tyde på at resultatene av prøvene har en sammenheng med tilstanden på kjølevannspumpen, og en nærmere undersøkelse kunne ha avdekket dette. 

Legal authority

• , jf NORSOK R-003 vedlegg A

Mangelfull informasjon om faresituasjoner

Description

Plassering av alarmpanel for brann og gass i kombinasjon med mangelfullt lydsignal eller andre tiltak var ikke slik at kranføreren hurtig kunne motta nødvendig informasjon og utføre nødvendige aksjoner.

Det var ikke fastsatt hvilke tiltak og begrensninger som var nødvendige ved manglende maskinbeskyttelse i kombinasjon med manglende lydvarsling eller annen varsling om unormale verdier på instrumenter for overvåking av motor.

Det var ikke gitt tilstrekkelig informasjon om de ulike alarmsystemenes funksjoner etter flere modifikasjoner.

Grounds

1. Instrumenter for overvåking av temperatur, oljetrykk og turtall på motorer er plassert til høyre, delvis bak kranføreren når kranen kjøres (Figur 10). Det er ikke lydsignal eller annen varsling av unormale verdier knyttet til dette panelet. Panelet er eneste informasjonskilde om motortilstand når maskinbeskyttelsen ikke er i drift (se avvik 6.1.1 om maskinbeskyttelse).
2. Brann- og gasspanel for lokal varsling av kranfører er plassert bak kranfører og høyt oppe slik at det ikke kan ses fra kranførerstolen med mindre kranfører snur seg og ser opp på det (Figur 11). Test under befaringen viste at lydsignalet som skal påkalle kranførerens oppmerksomhet hvis det går en alarm, er satt ut av funksjon. Det er registrert at lydsignalet ble koplet fra i 2005 (KAO-044177 datert 5.8.2005). Lyssignalet er også satt delvis ut av funksjon (se avvik 6.1.4). Når det virker, kan lydsignalet gi et lydnivå på mellom 79- og 107 dB (fabrikantens tekniske datablad).
3. Det nye brann- og gasskommunikasjonspanelet som skal varsle kontrollrommet i tilfelle brann- eller gassdeteksjon, er plassert helt bakerst i krankabinen. Test under befaringen viste at lydsignalet fra dette panel så vidt er hørbart i kabinen når det ikke er annen støy der. Under bruk av kranen er støynivået målt til 75 dB(A), og kranføreren har hørselsvern med radiokommunikasjon slik at det er umulig å oppfatte lydsignalet (jf. avvik 6.1.4).
4. Flere av de impliserte hadde mangelfull informasjon om status for de ulike alarmsystemene. Ingen vi snakket med under befaringen visste om at lydalarmen var koplet fra, og det var usikkerhet med hensyn til funksjonene på det nye og gamle brann- og gasspanelet.

Legal authority

Mangelfull barrierestyring og avviksbehandling

Description

Avvik fra etablerte interne krav til barriereelementer på Valhall var ikke korrigert eller kompensert for.

Det var mangelfull kjennskap til hvilke barrierer som var etablert og hvilken funksjon de skulle ivareta, samt hvilke krav til ytelse som var nødvendige for at den enkelte barrieren skulle være effektiv.  Det var ikke kjent hvilke barrierer som var ute av funksjon eller var svekket på annen måte, og det var ikke satt i verk nødvendige tiltak for å rette opp eller kompensere for manglende eller svekkede barrierer.

Grounds

BP har satt ytelseskrav til barriereelementene på Valhall. Følgende observasjoner er eksempler på at disse kravene ikke blir etterlevd.

1. BP har ytelseskrav (Valhall PS no. 5 Ignition Source Control) til at det skal være flammesperre på avluftingsrør som kan være en potensiell lekkasjekilde for eksplosiv gass eller damp. Begrunnelsen for kravet er å unngå at en eventuell brann i et avluftingsrør slår tilbake i tanken som inneholder det brennbare mediet. Avluftingsrørene fra kompressorene på PCP-innretningen er ikke utstyrt med flammesperre. Det er heller ikke kompensert for dette på annen måte. I 1998 og 2005 ble det vurdert å innføre inertgasspyling i avgassingstanker, men i intervju ble det opplyst at en i 2005 besluttet ikke å gjennomføre dette som følge av kort gjenværende levetid.
2. Varmebelastning fra antente gasser i avluftingsrør på PCP var ikke beregnet. Beslutningen om å ikke gjennomføre disse beregningene, var begrunnet i en studie som konkluderte med at det var lav sannsynlighet for antennelse. De generelle barrierekravene i BP sier at ”The Performance Requirement can normally be met by the following: … Flaring (including unintentional ignition of a cold vent) does not give unacceptable heat loads”. (Referanse: BPN Site Technical Practice- Integrity Management General Safety strategy and performance standard for barriers, Date: 04.10.2006.). I dokument som inneholder ytelseskrav (Valhall PS no. 13 Blowdown), fremkommer følgende: “No dispersion calculations have been retrieved for the compressor vents”. Regelverket krever at en må dokumentere at gassutslipp via kaldavlastningstårn ikke vil skape fare på produksjonsanlegget, og at det ved dimensjonering og plassering skal tas hensyn til at utslippet kan antennes.
3. I BPs granskingsrapport etter hendelsen fremkommer det at soneklassifiseringens utstrekning omkring avluftingsrørene, innbefatter eksosrørene fra turbinene. Det er videre argumentert for at turbineksosen ikke er varm nok til å kunne antenne gass fra avluftingsrørene. Det kan etter vår vurdering ikke utelukkes at varme partikler fra turbineksosen kan være en potensiell tennkilde for avluftingsrørene, den korte avstanden tatt i betraktning. Regelverket krever at eksosavløp skal ledes til ikke-eksplosjonsfarlig område, og at eksosavløp skal konstrueres slik at eventuelle gnister fra forbrenningen ikke blir en antennelseskilde.
4. Ytelseskravene for gnistfangere spesifiserer at disse initielt skal vedlikeholdes årlig, og at intervallet kan økes til maksimalt to år basert på god vedlikeholdshistorikk. Det fremkom av granskingen at gnistfangerene for eksos fra kranmotorene ikke var inkludert i vedlikeholdsprogrammet. Tilstanden på kombinert gnistfanger og lydpotte var svært dårlig, og den har vært brukt langt ut over forventet levetid. Det betyr at barriereelementet som gnistfangeren utgjør, ikke har vært i funksjon på lang tid. (se avvik 6.1.2).
5. Verneinnretninger knyttet til overtemperaturbeskyttelse på kranmmotor A, var ute av drift (se avvik 6.1.1).
6. Mangelfullt brann- og gassdeteksjonssystem (se avvik 6.1.4).

Legal authority

• nr 2, jf. forskrifter for produksjons- og hjelpesystemer på produksjonsanlegg m.v. for utvinning av petroleumsforekomster, fastsatt av Oljedirektoratet den 3. april 1978, kap. 4.2.2 om eksosavløp.

• nr 2, jf. forskrifter for produksjons- og hjelpesystemer på produksjonsanlegg m.v. for utvinning av petroleumsforekomster, fastsatt av Oljedirektoratet den 3. april 1978, kap. 9.3.7 om gassutslippssystem

• , jf § 8 om interne krav

Mangelfull risikovurdering av antennelse i avluftingsrør

Description

Anlegget var ikke utstyrt med fastmonterte brannslokkingssystemer, slik at brann kunne bekjempes i området ved avluftingsrørene, og det var ikke gjort vurderinger av hvordan en brann skulle bekjempes. Det var videre ikke beregnet hvilken varmebelastning antente gasser i avluftingsrørene ville utgjøre.

Grounds

Det var ingen automatiske slokkesystemer som dekket det området avluftingsrørene står i, og det ble vurdert for risikabelt å sende personell inn med brannslanger for å bekjempe brannen manuelt. Etter hvert ble det besluttet at brannkanoner fra fartøy (FiFi) var den beste måten å slokke brannen på, og beredskapsfartøyet fikk beskjed om å gjøre seg klar. I tillegg ble det tilkalt et større beredskapsfartøy med FiFi-kapasitet fra Ekofiskfeltet. Beredskapsfartøyet slokket brannen ved hjelp av FiFi kl. 18.14, og forsatte med å spyle for å kjøle ned avluftingsrørene. FiFi-innsatsen ble avsluttet kl. 18.30, etter at en hadde målt at temperaturen på avluftingsrørene kun var tre grader høyere enn omkringliggende strukturer.

Beredskapsfartøy med FiFi-kapasitet inngår ikke i beredskapsplanen for Valhallfeltet. Det innebærer at det ikke nødvendigvis alltid vil være beredskapsfartøy med FiFi tilgjengelig.

Varmebelastningen ved en antennelse av gasser i avluftingsrørene på PCP var ikke beregnet. Dette innebærer at en ikke var kjent med hvilken varmebelastning de antente gassene i avluftingsrørene påførte omkringliggende utstyr og rømningsveier. Det var ikke branndetektorer som dekket avluftingsrørene, og en var dermed avhengig av at personell oppdaget og varslet om brannen. Det var heller ikke automatiske eller fjernbetjente slokkesystemer som dekket det området avluftingsrørene er plassert i, og det ble vurdert for risikabelt å sende personell inn med brannslanger for å bekjempe brannen manuelt. Ingen av avluftingsrørene var utstyrt med flammesperre, og en var bekymret for at flammene skulle slå tilbake i tankene som er tilkoblet. En eventuell spredning av brannen via avluftingsrørene til tilkoblete tanker kunne utviklet seg til en større brann.

Legal authority

• nr 2, jf. forskrifter for produksjons- og hjelpesystemer på produksjonsanlegg m.v. for utvinning av petroleumsforekomster, fastsatt av Oljedirektoratet den 3. april 1978, kap. 12.1.1 om brannslokking

Turbineksosen er ledet til eksplosjonsfarlig område

Description

Turbineksosen er ledet til eksplosjonsfarlig område.

Grounds

I BPs granskingsrapport etter hendelsen fremkommer det at eksosrørene fra turbinene er plassert i eksplosjonsfarlig område omkring avluftingsrørene. BP konkluderer i rapporten med at turbineksosen ikke er varm nok til å kunne antenne gass fra avluftingsrørene. Det kan etter vår vurdering ikke utelukkes at varme partikler eller flammer fra turbineksosen kan være en potensiell tennkilde for avluftingsrørene, den korte avstanden tatt i betraktning. Regelverket krever at eksosavløp skal ledes til ikke-eksplosjonsfarlig område, og at eksosavløp skal konstrueres slik at eventuelle gnister fra forbrenningen ikke blir en antennelseskilde.

Legal authority

• nr 2, jf. forskrifter for produksjons- og hjelpesystemer på produksjonsanlegg m.v. for utvinning av petroleumsforekomster, fastsatt av Oljedirektoratet den 3. april 1978, kap. 4.2.2 om eksosavløp

Mangelfull håndtering av fare- og ulykkessituasjonen

Description

Det ble ikke iverksatt nødvendige tiltak så raskt som mulig ved den oppståtte fare- og ulykkessituasjonen og ytelseskravene som er satt i aksjonsplanen for DFU 1 Antent/uantent HC-lekkasje, ble ikke etterlevd.

Grounds

1. Generell alarm ble ikke iverksatt umiddelbart etter at melding om brann ble gitt til sentralt kontrollrom (SKR) på PCP-innretningen. Etter at melding om brann på PCP ble gitt til SKR, ble det gitt ordre om ”sjekk og rapporter” til alarmreaksjonslaget. Ved en klar melding til SKR om brann om bord bør generell alarm (GA) utløses umiddelbart. Generell alarm ble først utløst ca. to minutter etter at brannen var blitt varslet til SKR. Det første eksakte tidspunktet i alarmloggen er GA som ble iverksatt på hele feltet kl. 16.41.17.
2. ESD skal iverksettes ved hydrokarbonbrann (HC-brann) på PCP i henhold til ytelseskravene. Det ble først iverksatt normal stoppsekvens for kompressor K303/4B kl. 16.42.28. ca. ett minutt senere iverksettes nødstopp for kompressor K303/4B. Dette medfører en oppflamming som blir detektert av flammedetektor på WP, og nødavstengning (ESD2) blir automatisk iverksatt kl. 16.43.35. Som følge av at flammedeteksjonen skjer fra naboinnretningen, medfører denne ikke automatisk trykkavlastning på PCP. Ved flammedeteksjon på PCP ville det ha medført ESD2 og automatisk trykkavlastning. Deluge utløses i modul D fra SKR kl. 16.52.23. Trykkavlastning blir iverksatt manuelt fra PCP kontrollrom i perioden fra 16.52.43 til 16.54.18. Deluge på mellomdekk sørvest og sørøst utløses også fra SKR etter beskjed fra beredskapsledelsen kl. 16.56.04. Deretter forlates PCP kontrollrom, nærmere 17 minutter etter at brannen ble varslet. I henhold til ytelseskravene skal evakuering av SKR skje innen tre minutter ved HC-brann på PCP.
3. Personellkontroll for personell om bord (626 personer) ble ikke etablert i henhold til krav. Opptellingen av personell om bord (POB) viste at en manglet tre personer og at dette blir redusert til to personer etter ca. 30 minutter. De siste to blir først gjort rede for kl. 17.51 (etter ca. 70 minutter). Valhall har et elektronisk system for registrering av personell som har mønstret. Dette systemet omfatter ikke de personene som har beredskapsoppgaver (ca. 70 personer), og når disse har mønstret i henhold til egen instruks, meldes dette manuelt til radiorommet. Under hendelsen stemte ikke totalantallet på feltet ved første opptelling. Det manuelle arbeidet med å finne ut hvem som manglet, var tidkrevende, og det viste seg også at det elektroniske systemet ikke stemte med hensyn til hvor mange som var på henholdsvis Regalia og PH. Systemet viste at to av de savnede var på PH og én på Regalia, mens alle faktisk var på Regalia. I tillegg var det svikt i kommunikasjonen mellom broen på Regalia og radiorommet på QP. Ytelseskravet sier at alt personell skal være mønstret, telt opp og klar til evakuering innen 20 minutter.
4. Oversikt over mønstringsøvelser i 2011 viser at en kun ni ganger har klart å gjennomføre personellkontrollen for personell om bord innenfor den gitte tidsrammen. Hele 16 øvelser oppfylte ikke kravet på 20 minutter (referanse 31). I intervju ble det opplyst at dette har vært tatt opp av offshoreorganisasjonen flere ganger, men uten at problemet har blitt løst.

Legal authority