Mangler med barrierestyring
Beskrivelse
I enkelte tilfeller var ikke strategiene og prinsippene som skal legges til grunn for utforming, bruk og vedlikehold av barrierer beskrevet oppdatert eller i bruk hos aktuell målgruppe.
I enkelte tilfeller var det ikke registrert eller feil rapportering av sikkerhetskritiske feil. Barrierer og barriereelementer kunne dermed være ute av funksjon eller var svekket uten at dette var kjent.
Begrunnelse
Barrierestrategien (sikkerhetsstrategien) skal beskrive sammenhengen mellom et spesifikt risikobilde og de påfølgende beslutninger som er tatt med hensyn til behov for risikoreduserende tiltak. Sikkerhetsstrategien for Gudrun dekker i hovedsak de tekniske barriereelementer og i mindre grad operasjonelle og organisatoriske barriereelementer.
Strategien for Menneske Maskin Grensesnitt & Alarm Styring (PS22) er ikke beskrevet i sikkerhetsstrategien for Gudrun.
Vi fikk før tilsynet oversendt rapportering av sikkerhetskritiske feil (A10 rapport). Det fremkom i rapporten at det var utført to tester av oscilleringsfunksjon til to brannmonitoren på Gudrun. A10 rapporten inngår i flere rapporter/vurderinger som TIMP (Technical Integrity Management Programme) og RNNP (Risikonivå i norsk petroleumsvirksomhet). I intervjuer offshore på Gudrun har vi fått informasjon om at brannmonitoren er testet og er i orden mhp oscillering. Feilrapporteringen skyldtes sannsynligvis manglende kunnskap om bruk av brannmonitor.
I rapport fra Equinors eget tilsyn med det elektriske anlegget om bord på Gudrun i 2018 er det kommentert i observasjon 14 med: «Det kan med fordel gjennomføres en oppgang på rutiner for rapportering av sikkerhetskritiske feil»
En av brannmonitoren inngår som en aksjon/tiltak i DISP 142089 (TTS tak M10 – har A60 skille istedenfor H-skille), se også 5.1.2. Vi verifiserte den 3 månedlige forebyggede vedlikeholds (FV) beskrivelsen. Det var en god arbeidsbeskrivelse som også knyttet behov for FV med tiltak og beskrivelser i DISP 142089. Operasjonsprosedyren, system 71 - testing av brannkanoner på Weatherdeck, tilsendt før tilsynet (referanse 26) gir ikke en like god beskrivelse.
I sikkerhetsstrategien for passiv brannbeskyttelse (PS10) er det beskrevet at: «TRA-en viser at brann fra stigerør ikke er en dimensjonerende hendelse. Her er det ingen lekkasjekilde eller tennkilde og kun begrenset adgang til spider dekk under maindekk. Derfor er det ikke passiv brannbeskyttelse på undersiden av hoveddekk.» Vi har i etterkant av offshoreverifikasjonen fått informasjon om at stigerør er brannbeskyttet og hoveddekket har brannklasse H-0. Jacket konstruksjonen er vannfylt. Vi tolker at dere har gjort tiltak/vurderinger for å redusere risikoen fra stigerørsbranner (som ikke er en dimensjonerende hendelse) selv om det ikke er gjort en dokumentert ALARP gjennomgang.
I sikkerhetsstrategien for passiv brannbeskyttelse (PS 10) står det videre at for alle kritiske linjer så skal rørsupporter ha passiv brannbeskyttelse. Et annet sted i samme strategi står det at det ikke er behov for passiv brannbeskyttelse.
Vi har fått opplyst at sikkerhetsstrategien vil bli oppdatert.
Hjemmel
Passiv brannbeskyttelse
Beskrivelse
Mangelfull og degradert passiv brannbeskyttelse installert på prosessutstyr.
Begrunnelse
Ved verifikasjon i anlegget observerte vi:
- Sprekk i Benarx kasse som beskytter ventil 43-CW-170. Kassen var ikke tettet skikkelig.
- Manglende låsepinner ble observert på flere Benarx kasser, i tillegg til manglende låseklips på flere kasser, eksempel er brannkasse til EV150 (nødavstengningsventil ut fra 1. trinns separator).
- Benarx kasser installert i prosessområdet tilfredsstiller ikke designlast for brann gitt i design accidental load spesifikasjonen. Installerte brannkasser er merket med brannmotstand på 15 minutter jetbrann med etterfølgende 45 minutter pølbrann. Design lasten for brann for EV ventiler i prosessområdet er i design accidental load spesifikasjonen definert til å være 20 minutter for jetbrann. Eksempel er Benarx kasse rundt EV ventil med utstyrsnummer 20-EV-0123 som kan motstå jetbrann i 15 minutter, noe som ikke er i henhold til designlast.
Hjemmel
Mangler ved funksjonstesting av anlegg for brannbekjempelse
Beskrivelse
I enkelte tilfeller viste funksjonstester at anleggene for brannbekjempelse ikke var hurtig og effektiv.
Begrunnelse
Utført brannvannstest på helidekk 30.3.2016 (referanse 33) viste at skumslukkingsanlegg ikke leverte skum innen tidskravet på 15 sekunder etter at de var aktivert. Det ble registrert til 23 sekunder etter at anlegget var aktivert.
Vi har mottatt resultater fra en skumprøve etter utført test i brønnhode i 2017 som viser skuminnblanding på 0,6% (referanse 34). Dette er under anbefalt nivå som er 1%.
Hjemmel
Inspeksjonsprogram for rørgjennomføringer i brannskiller
Beskrivelse
Manglende program for inspeksjon av rørgjennomføringer i brannskiller.
Begrunnelse
Forebyggende vedlikeholdsprogram for inspeksjon av rørgjennomføringer er ikke etablert på Gudrun, men vi har fått opplyst at det vurderes å etablere et slikt program. Ved utførelse av visuell inspeksjon av rørsystemer, noe som gjøres med 48 måneders intervall, benyttes en standard tekst.
Hjemmel
Mangelfull merking av utstyr
Beskrivelse
Utstyr var ikke merket slik at det var lagt til rette for en sikker drift.
Begrunnelse
Stengeventiler, på utsiden av nødgeneratorrom og brannpumperom, for dieseltilførsel fra dieseltank til nødgenerator og brannpumper var ikke merket med hvilken funksjon ventilene har.
Hjemmel
Skade på kabler
Beskrivelse
Det ble observert gnagemerker på enkelte kabler.
Begrunnelse
I forbindelse med befaring i prosessanlegget ved «114 ventil», ble det observert to kabler hvor mangelfull innfesting i kombinasjon med vibrasjoner hadde medført gnagemerker og begynnende skade på kablenes ytterkappe.
Hjemmel
Mangelfull informasjon om oppfølging av fare- og ulykkessituasjoner
Beskrivelse
Tilsynsmyndighetene ble ikke orientert om ny kunnskap som viste at fare- og ulykkessituasjon var mer alvorlig enn tidligere informert om.
Begrunnelse
Under tilsynet ble vi gjort kjent med at det etter hendelse 29.3.2018 med utilsiktet utløsning av inergen slokkeanlegg i Traforom C, ble rommet tilført inergen gass fra 15 stk flasker, mens det normalt er 4 stk flasker som skal dekke rommet. Det fremgår av Synergi sak 1538359 at det høye antallet flasker som ble utløst vil redusere oksygennivået i rommet ut over anbefalt verdi.
I informasjonen som ble sendt inn i melding til Ptil i forbindels med hendelsen, fremgår det ikke at det var utløst flere flasker inergen en de som var satt opp til å dekke rommet.
Hjemmel