Equinor – Sleipner A – gransking av hendelse med kortslutning av transformator og havari av brannpumpe

Mangelfullt system for erfaringskunnskap og informasjon

Beskrivelse

Det var ikke lagt til rette for at erfaringskunnskap fra egen virksomhet ble brukt i forbedringsarbeidet. Behovet for innhenting, bearbeiding og formidling av informasjon knyttet til vedlikehold var ikke ivaretatt av informasjonssystemet.

Begrunnelse

Informasjon fra «Plant Integrity prosjektet i perioden 2012-2016 har ikke blitt brukt til å planlegge vedlikeholdsaktivitetene på Sleipner A. Konsernkonseptene for forebyggende vedlikehold som ble etablert i «Plant integrity» prosjektet har ikke blitt implementert i program for forebyggende vedlikehold av brannpumpepakkene på Sleipner jf. avvik 11.1.1

Systemet for deling av erfaringsmeldinger formidler ikke informasjon slik at erfaringer fra hendelser enkelt kan følges opp og bli brukt i forbedringsarbeid.

I intervjuer kom det fram at selskapets system for erfaringsmeldinger ikke legger tilstrekkelig til rette for nødvendig oppfølging på tvers av anleggene. Systemet ivaretar heller ikke tilstrekkelig sporbarhet knyttet til status på aksjoner, tiltak, læring og lukking. 

I granskingen kom det frem at en fleksibel kobling knyttet til en dieselhydraulisk brannvannspumpe hadde havarert på Snorre A i 2018. Verken fagområdet med ansvar for teknisk integritet av roterende utstyr eller Sleipnerorganisasjonen kunne dokumentere hvordan denne erfaringsmeldingen var fulgt opp, men meldingen var kjent og enkelte initiativ for å sjekke ut tilsvarende fleksible koblinger var iverksatt.

Den nevnte erfaringsmeldingen var i tillegg utformet på en slik måte at den ikke la til rette for tilstrekkelig bred læring. Den var ikke tydelig på at tilsvarende fleksible koblinger fra andre leverandører også burde sjekkes. I granskingen framgår det at organisasjonen er kjent med at utfordringene knyttet til fleksible koblinger med gummielement er generell og ikke knyttet til en spesifikk leverandør.

Hjemmel

• Styringsforskriften § 15 - Informasjon

  (sist endret: 01.01.2011)

  tredje ledd

• Styringsforskriften § 23 - Kontinuerlig forbedring

  (sist endret: 01.01.2011)

  tredje ledd

Mangler ved barriereforståelse og kompetanse

Beskrivelse

Equinor har ikke sikret at involvert personell har den nødvendige kompetansen slik at de til enhver tid er i stand til å håndtere feil-, fare- og ulykkessituasjoner på en effektiv måte.

Begrunnelse

I granskingen kom det frem noen mangler ved barriereforståelse og kompetanse relatert til hendelsen som skapte usikkerhet underveis i hendelsesforløpet.

I intervjuer med offshorepersonell kom det fram at det i hendelsesforløpet var uklarheter knyttet til hvordan vanntåkesekvensen var tiltenkt å fungere, blant annet for kontrollromspersonell.  

Underveis i hendelsesforløpet kommuniserte SKR til skadestedsleder at brannpumpe B var stoppet. Dette ble tolket ut fra signal på matrise i SKR. Det er vår vurdering at både kontrollrommet og beredskapsorganisasjonen mistolket dette signalet til at selve dieselmotoren også var stoppet.

Ved to tilfeller ble det tilført luft til brannpumperommet før dieseltilførselen til brannpumperommet og dieselmotoren var stoppet:

• S&R-laget gløttet på døren og oppdaget at dieselmaskinen til brannpumpen fremdeles gikk. Tilførsel av luft kunne medført reantenning i rommet.
• Hele brannområdet ble tilbakestilt og, dermed brannspjeld til brannpumperommet åpnet, basert på at flammedetektorene ikke gav nye utslag. Dette uten at S&R-lag ble benyttet til å bekrefte fysisk tilstand i rommet i forkant.

Det var videre usikkerhet i S&R-laget om hvordan stengeventilen til dieseltilførselen skulle opereres, og om ventilen faktisk stengte ved første forsøk. Stenging av dieseltilførsel fra dagtank til motor ved brann i brannpumperom er identifisert som et operasjonelt barriereelement (OBE) i ytelsesstandarden «PS1 - hindre lekkasje». I OBEen er det beskrevet at kontrollromsoperatør kan stenge dieseltilførsel fra kontrollrommet eller prosessoperatør stenge dieselventil på utsiden av det aktuelle rommet. Det er imidlertid S&R-lag som skal operere denne ventilen i en beredskapssituasjon, og ventilen skal ikke kunne opereres fra kontrollrommet.

Etablert treningsprogram for S&R-lag inkluderer ikke manuell stenging av slike ventiler for dieseltilførsel. Dette viste seg i hendelsen da S&R var usikre på hvordan denne dieselventilen skulle stenges og de var usikre på om de hadde tatt ventilen langt nok ned. I tillegg til manglende trening, kan også noe av usikkerheten skyldes at det ved dieselventilen var det tre ulike informasjonsskilt om hvordan denne skulle stenges.

Hjemmel

• Aktivitetsforskriften § 21 - Kompetanse

  (sist endret: 01.01.2023)

  , jf. styringsforskriften § 5 om barrierer fjerde ledd

• Aktivitetsforskriften § 23 - Trening og øvelser

  (sist endret: 01.01.2016)

Mangelfull merking/skilting

Beskrivelse

Manuell stengeventil for dieseltilførsel til brannpumperom B er ikke merket slik at det legges til rette for sikker drift og forsvarlig vedlikehold.

Begrunnelse

Teksten på skiltene knyttet til manuell stengeventil for dieseltilførsel til brannpumpe B er ikke avklarende for hvordan ventilen skal opereres:

• Det er ikke samsvar mellom norsk og engelsk tekst. På norsk står det “trekk spaken helt ned» og på engelsk står det «Pull handle to stop». S&R laget fikk ikke trukket ventilspaken helt ned, og dette skapte usikkerhet knyttet til om ventilen faktisk hadde lukket.
• Et av skiltene omhandler ventilen som en «bryter»:
  • «Emergency Stop, Push Button for Fire Pump 71-XD01B”
  • “Nødstoppbryter for vannpumpe 71-XD01B”

Videre er det ulik praksis for merking (tag) av disse stengeventilene for drivstofftilførsel til brannpumpene. For brannpumpe 2 er ventil merket "71-XV 004 Drivstoff nødavstengning", mens dette mangler for de tre andre stengeventilene. 

Hjemmel

• Innretningsforskriften § 10 - Anlegg, systemer og utstyr

  (sist endret: 01.01.2013)

  andre ledd

Manglende selektiv utkobling ved kortslutning

Beskrivelse

Det var ikke sørget for selektiv utkobling ved kortslutning.

Begrunnelse

Ved kortslutningen i transformatoren på Sleipner A blir også Sleipner B og Gudrun utkoblet. Det oppnås dermed ikke selektiv utkobling av forbrukeren som forårsaket overstrømmen.

Følgende utkoblinger er logget i alarmlisten klokken 18:24:26:

• Bryter 80-EF05 kobler ut transformatoren med kortslutning
• Bryter 80-EF22 kobler ut forsyning til Sleipner B
• Bryter 80-EF30 kobler ut forsyning til Gudrun

Hjemmel

• Innretningsforskriften § 82 - Ikrafttredelse

  (sist endret: 01.01.2021)

  nr 2, jf. forskrift om elektriske anlegg i petroleumsvirksomheten (fastsatt 8.1.1991 § 14), jf. forskrift for elektriske anlegg - maritime installasjoner (FEA-M) avsnitt 16 fordelingsanlegg og tavler § 1615 om kortslutnings- og overstrømsvern