Pålegg til Vår Energi – Goliat

Nødavstengningssystem (ESD)

Beskrivelse

Mangelfull robusthet i deler av ESD-systemet.

Begrunnelse

Under befaringen i kontrollrommet, ble det identifisert en alarm knyttet til ESD systemet på Critical Action Panel (CAP). Vi ble informert om at denne alarmen skyldes utfall av en ESD-node (kontrollenhet). Selskapet opplyste at de tidvis opplever perioder med utfall av denne ESD-noden. Dette medfører tidvis manglende redundans i systemet.

Det var uklart om bord hvordan den aktuelle barrieresvekkelsen var fulgt opp av selskapet i form av rapportering av sikkerhetskritiske feil, avviksbehandling og hvordan dette blir synliggjort i barrierepanelet.

Hjemmel

• Innretningsforskriften § 10 - Anlegg, systemer og utstyr

  (sist endret: 01.01.2013)

• Innretningsforskriften § 33 - Nødavstengningssystem

  (sist endret: 01.01.2018)

• Styringsforskriften § 5 - Barrierer

  (sist endret: 01.01.2015)

Nødkraft – Avbruddsfri strømforsyning (UPS)

Beskrivelse

Mangelfull pålitelighet og robusthet for innretningens UPS anlegg.

Begrunnelse

Dokumentasjon mottatt for innretningens sentrale UPS anlegg viser at dette systemet ikke har selektiv utkobling ved feil (selektivitet). Det kunne videre ikke dokumenteres at innretningens UPS anlegg for forsyning av telekommunikasjonssystemene har ivaretatt selektivitet.

Hjemmel

• Innretningsforskriften § 38 - Nødkraft og nødbelysning

  (sist endret: 01.01.2020)

• Innretningsforskriften § 47 - Elektriske anlegg

  (sist endret: 01.01.2020)

Nødbelysning

Beskrivelse

Innretningen var ikke utstyrt med tilstrekkelig nødbelysning som sikrer nødvendig belysning på innretningen dersom hovedbelysningen faller ut.

Begrunnelse

Eni kunne ikke dokumentere at ytelseskrav for nødbelysning i kritiske områder ved nødsituasjoner gjenspeiler faktiske behov for ytelse i områdene. Ytelseskravet for kritiske områder er generisk (15 lux), og kan ikke ses å være basert på vurderinger av faktiske behov knyttet til de enkelte områdene. Dette gjelder eksempelvis for hospital, beredskapsrom og kontrollrom hvor det er behov for en høyere belysningsstyrke enn 15 lux også i nødsituasjoner for å utføre nødvendige oppgaver.

Vi verifiserte nødbelysningen i to definerte kritiske områder med følgende resultat:

1. I alternativ brannstasjon finnes det ikke nødlysarmaturer med integrert batteri. I nødsituasjoner med utfall av hovedbelysningen blir rommet mørklagt.
2. I nødhospital viste belysningsmålinger at nødbelysningen ikke møter det generiske ytelseskravet på 15 lux.

I Eni sitt svar på vår rapport etter tilsynet i 2017, «tilsyn med Eni Norge om elsikkerhet og ansvarshavende for de elektriske anleggene Goliat FPSO» og i mottatt «Utdrag Technical Note – Task lighting requirement» fremkommer det at ytelseskravet for nødlysarmaturer med integrert batteri er på 60 minutter. Selskapet har siden endret dette ytelseskravet til 30 minutter. Det fremkom ikke hva som var bakgrunnen for endringen, og i hvilken grad denne var vurdert mot normative krav i EN 1838. 

I tillegg presenterte selskapet selv utfordringer med teknisk integritet for nødlysarmaturer. Det fremkom ikke i hvilken grad selskapet har iverksatt tiltak som følge av disse utfordringene. Forholdene knyttet til batterikapasitet og utfordringer med teknisk integritet var ikke med i mottatt oversikt over aktive avvik for innretningen

Hjemmel

• Innretningsforskriften § 38 - Nødkraft og nødbelysning

  (sist endret: 01.01.2020)

  fjerde ledd, med veiledning som viser til EN 1838

• Styringsforskriften § 5 - Barrierer

  (sist endret: 01.01.2015)

Status for sikkerhetssystemer og overvåkning og kontroll av pågående aktiviteter

Beskrivelse

System for å angi status for overbroinger og utkoplinger var mangelfullt, og det var ikke tilrettelagt for at kontrollromsfunksjonen kan innhente informasjon om pågående arbeid i de forskjellige områdene på en effektiv måte.

Begrunnelse

Ved verifikasjoner i kontrollrommet ble det vist en oversikt med over 90 blokkeringer og inhibiteringer i sikkerhets- og automasjonssystemet (SAS). Det ble informert om at mange av disse blokkeringene var på grunn av utstyr som ikke var i drift eller hvor det pågikk arbeid. I flere tilfeller var det ikke referanser til arbeidsordre eller notifikasjoner i Synergi for å ha kontroll med status til enhver tid.  

Risikovurdering av 11 blokkeringer i prosessikringssystemet (PSD) som alle ga bidrag i barrierepanelet var utført. For flere andre blokkeringer i PSD viser mottatt oversikt at risikovurdering ikke var gjennomført selv om blokkeringen var iverksatt for flere måneder siden.  Det var uklart om det var foretatt en samlet vurdering av alle inhibiteringer og blokkeringer i SAS og hvilken effekt dette hadde på kontrollromoperatørens arbeidssituasjon.

I samtaler ble det gitt uttrykk for at systemet i kontrollrommet for å fremskaffe samlet oversikt over pågående arbeid var mangelfullt. Eget skjermbilde, eller annen oversikt som på en enkel måte viste alle aktiverte arbeidsordre, var ikke lett tilgjengelig.

Hjemmel

• Aktivitetsforskriften § 26 - Sikkerhetssystemer

  (sist endret: 01.01.2014)

• Aktivitetsforskriften § 31 - Overvåking og kontroll

  (sist endret: 01.01.2020)

• Styringsforskriften § 5 - Barrierer

  (sist endret: 01.01.2015)

Elektriske installasjoner

Beskrivelse

Mangler ved teknisk tilstand/integritet til elektriske installasjoner.

Begrunnelse

Begrunnelse:

Det ble registrert følgende eksempler på forhold som underbygger avviket:

1. Permanent installert elektrisk utstyr uten ATEX-sertifisering/Ex-beskyttelse i eksplosjonsfarlig område (klassifisert område).
2. Mangelfull beskyttelse av varmekabelinstallasjon.
3. Skader i ytterkappe på kabelinstallasjon.
4. Selskapet arbeider fortsatt med å identifisere og fjerne «forlatte kabler», samt sørge for forskriftsmessig kabelinstallasjon. Selskapet identifiserer enda nye «forlatte kabler». Samtidig er det mangelfull festing av kabelinstallasjon flere steder på innretningen. Vi observerte kabelinstallasjon som ikke var festet på vertikale kabelgater, også i værutsatte områder. Installasjonen blir som en følge av dette utsatt for mekanisk slitasje, og har flere steder ligget slik gjennom flere år.
5. Det var mangler ved utførelse av midlertidige elektriske installasjoner. Selskapet kunne ikke dokumentere at de har rutiner for kontroll av utførelsen av slike installasjoner.

Hjemmel

• Innretningsforskriften § 10a - Tennkildekontroll

  (sist endret: 01.01.2021)

• Innretningsforskriften § 47 - Elektriske anlegg

  (sist endret: 01.01.2020)

Opplæring, organisering og driftsprosedyrer

Beskrivelse

Manglende utarbeidelse og implementering av systemer for opplæring, organisering og driftsprosedyrer

Begrunnelse

Det ble gjennom samtaler registrert mangler ved opplæring av enkelte funksjoner, organisering og utarbeidelse av driftsprosedyrer.

1. Eni hadde ikke etablert et fullstendig system for «On the Job Training» (OJT) knyttet til flere funksjoner på innretningen, der innretningsspesifikk opplæring systematisk følges opp. OJT var ikke på plass for eksempelvis kontrollromsoperatør, instrument tekniker og telekom tekniker. Etter vårt tilsyn i 2017 ble det etablert et OJT program for elektrikere, men dette var ikke utvidet til å omfatte andre funksjoner innenfor EIT-området.
2. Det fremkom av samtale eksempler på at innleid personell i faste funksjoner om bord ikke omfattes av Enis opplæringssystem og krav til opplæring.
3. Det fremkom av samtale og styrende dokumentasjon at rolle og ansvar for oppfølging av brann- og gassdeteksjon ikke var entydig definert og synliggjort.
4. Jobbeskrivelsene for enkelte stillinger var ikke kjent av stillingsinnehaver. Det ble ikke undersøkt ytterliggere hva som var årsaken til dette.
5. Det var svakheter ved bruken av veiledning («DEX-guide») for klassifisering av feil på Ex-utstyr
6. I samtaler kom det frem at sentrale stillinger hadde kompetansegap som ikke var registrert eller fulgt opp av selskapet.
7. Eni benyttet systemleverandører innenfor flere fagområder til teknisk støtte om bord. Selskapet opplyste selv om at oppgavene til systemleverandørene skal i fremtiden overføres til eget personell. Det forelå ingen planer eller pålagte aktiviteter som på sikt skal bidra til å sikre erfaringsoverføring og systematisk opplæring av egne ansatte på innretningsspesifikke systemer og utstyr.
8. Det fremkom av samtaler at enkelte driftsprosedyrer for kontrollrom ble oppfattet som lite dekkende og utdaterte.
9. Selskapet presenterte selv utfordringer med driftsprosedyrer knyttet til elektriske anlegg. Enkelte av disse var identifisert til å ikke være tilstrekkelig stedsspesifikke. Selskapet presenterte en plan for korrigering av forholdet. Dette var ikke identifisert i mottatt oversikt over aktive avvik for innretningen.

Hjemmel

• Aktivitetsforskriften § 20 - Oppstart og drift av innretninger

  (sist endret: 01.01.2011)

• Aktivitetsforskriften § 21 - Kompetanse

  (sist endret: 01.01.2023)

• Aktivitetsforskriften § 24 - Prosedyrer

  (sist endret: 01.01.2011)

• Styringsforskriften § 6 - Styring av helse, miljø og sikkerhet

  (sist endret: 01.01.2011)

Vedlikehold av sikkerhetskritisk utstyr og funksjoner

Beskrivelse

Mangelfull oppfølging av sikkerhetskritisk utstyr og funksjoner for å sikre at disse holdes ved like, slik at de er i stand til å utføre sine krevde funksjoner.

Begrunnelse

Det ble gjennom befaring i anlegget og gjennomgang i vedlikeholdssystemet registrert grunnleggende mangler ved selskapets vedlikeholdsprogram av sikkerhetskritisk utstyr og funksjoner. Vi viser til følgende observasjoner: 

1. Vedlikeholdsprogrammet sikrer ikke at ESD systemets funksjonsevne verifiseres ved helhetlig/fullskala funksjonstesting.
2. Vedlikeholdsprogrammet sikrer ikke at nødkraftsystemet med tilhørende nødgenerators funksjonsevne verifiseres ved funksjonstesting. Eksempelvis ivaretas ikke funksjonstest av automatisk startarrangement og overgangssystemer i oppfølgingen.
3. Vedlikeholdsprogram for nivåmålere i nedre pumperom ivaretar ikke funksjonstesting. Aktuelt utstyr har en sikkerhetskritisk funksjon i form av at disse skal starte nødlensepumpe ved lekkasje i skroget. Disse var, etter hva vi forstår, sist funksjonstestet i forbindelse med ferdigstillelsen av innretningen. Nivåmålerne hadde feil kritikalitet i vedlikeholdssystemet.
4. Vedlikeholdsprogram for navigasjonslys oppfylte ikke kriterier for rutinemessig isolasjonsmåling som forutsatt i ATEX sertifikatet. Utstyret, som skal utøve sin funksjon 96 timer etter bekreftet gass, oppfylte dermed ikke sin ATEX sertifisering. Forankoblet koblingsboks i Ex-utførelse kunne ikke identifiseres i vedlikeholdssystemet og det kunne derfor ikke dokumenteres vedlikeholdsprogram for disse.
5. Vi observerte flere branndører (A60) med ødelagte pakninger/ tetninger og lukkemekanismer som ikke fungerte. Eksempelvis hadde pneumatisk A60 dør 97-AD-097 ødelagt tetningslist. Årlig vedlikeholdsrutine i SAP var sist gjennomført i juli 2017. Sjekk av pakning/ tetning var ikke en del av den årlige rutinen eller andre inspeksjonsrutiner for denne døren. Pneumatiske og hydrauliske branndører hadde eget tag og var registrert i SAP. Andre branndører hadde ikke tag eller unikt identifikasjonsnummer og ble derfor heller ikke funnet i SAP.
6. PSV-er på paneler for operering av hydrauliske ventiler i «cargo pumperom» ble ikke identifisert i SAP. Ut fra merking på ventilene ble det funnet et eksempel på at siste test var gjennomført for over 3 år siden. For andre var testingen gjennomført for 12 – 16 måneder siden.
7. Vedlikeholdsprogrammet for elektrisk distribusjonsanlegg inneholder ikke testing av jordfeilvern knyttet til automatsikringer.
8. Rusningsvern for dieselmaskiner var ikke identifisert som et barriereelement og inngikk derfor ikke i regime for funksjonstesting av sikkerhetskritisk utstyr. Årlig testing av disse vernene for nødgenerator var derfor ikke blitt testet før sluttdato («required end»). På tidspunktet for tilsynet var dette ikke rapportert som sikkerhetskritisk vedlikeholdsetterslep.
9. Ved gjennomgang av selskapets vedlikeholdsanalyse over innrapporterte feil og mangler på Ex-beskyttelse av utstyr ble det observert et forholdsvis høyt antall rapporteringer. Analysen omfattet tidsrommet 1.1 – 12.6.2018, og de innrapporterte feil og mangler var av ulik kritikalitet. Ved stikkprøvekontroll i vedlikeholdssystemet ble det i samme periode også funnet innrapporterte relevante feil og mangler som ikke var tatt med i analysen. Det er utfra dette uklart om analysen i tilstrekkelig grad gjenspeiler faktiske forhold i felt.
10. Sikkerhetskritisk utstyr manglet identifikasjonsmerking i felt.
11. Akseptkriterier for feilrater ved testing av sikkerhetskritisk utstyr var ikke etablert og fulgt opp slik det fremgår av ytelsesstandardene. Dette ble bekreftet under samtaler når dette ble etterspurt.

Vi ble informert om at innretningen har et høyt antall timer vedlikeholdsetterslep både på sikkerhetskritisk utstyr og funksjoner. Det var også et høyt antall timer vedlikeholdsetterslep på annet utstyr. Det kunne, på tidspunktet for tilsynet, ikke ses å foreligge realistiske planer for å komme i mål med vedlikeholdsetterslepet. Ved spørsmål om mål og planer under samtaler var det knyttet stor usikkerhet til dette. Det fremkom også utfordringer med prioritering av utbedringer og vedlikehold. EIT-fagpersonell på land hadde liten påvirkning på prioriteringene.

Hjemmel

• Aktivitetsforskriften § 45 - Vedlikehold

  (sist endret: 01.01.2017)

• Aktivitetsforskriften § 46 - Klassifisering

  (sist endret: 01.01.2017)

• Aktivitetsforskriften § 47 - Vedlikeholdsprogram

  (sist endret: 01.01.2017)

• Aktivitetsforskriften § 48 - Planlegging og prioritering

  (sist endret: 01.01.2011)

• Styringsforskriften § 5 - Barrierer

  (sist endret: 01.01.2015)

Evakuering fra rom med høyspenningsinstallasjoner

Beskrivelse

Mangelfull skilting og mangler ved anordning av dører for evakuering av rom med høyspenningsinstallasjoner

Begrunnelse

Det vises til følgende eksempler:

1. Dør var innadslående, og var heller ikke utstyrt med anordning (f.eks. panikkbeslag), som muliggjør åpning av døren innenfra ved hjelp av kne, albue eller annen kroppsdel av en person som kryper eller åler.
2. Et panikkbeslag fungerte ikke for en låst dør.
3. Et panikkbeslag var vanskelig å betjene for personell som kryper eller åler.
4. Rom med høyspenningsinstallasjoner som manglet advarselsskilting. Eksempelvis manglet skilt med «høyspenning livsfare» og advarselskilt på innganger til rom med SF6 anlegg.

Hjemmel

• Innretningsforskriften § 47 - Elektriske anlegg

  (sist endret: 01.01.2020)

  med veiledning som viser til forskrift om elektriske forsyningsanlegg, jf. § 2-12 Advarselskilt og merking og § 4-7 om bygninger, jf. aktivitetsforskriften § 91 om arbeid i og drift av elektriske anlegg

Avviksbehandling

Beskrivelse

Mangelfull oppfølging av avvik, særlig knyttet til avvikenes samlede betydning for sikkerhet.

Begrunnelse

1. Det ble registrert svakheter ved at avvik som håndteres ikke i nødvendig grad undersøkes for å kartlegge omfang. Observasjoner i dette tilsynet sammenfaller med observasjoner av tilsvarende karakter i tidligere tilsyn.
2. Det ble registrert et relativt høyt antall midlertidige avvik (23) innenfor EIT. Avvikene ble behandlet enkeltvis, men det fremkom ikke hvordan selskapet vurderer avvikenes betydning samlet. Det var mangelfull verifisering av at kompenserende tiltak er implementert.
3. Selskapet risikovurderer identifiserte mangler på utstyr og vedlikeholdsetterslep i vedlikeholdsstyringssystemet. Det ble registrert vurderinger som var mangelfulle, eksempelvis knyttet til tennkildekontroll. Det fremkom ikke hvordan selskapet ivaretar risikovurderingenes forutsetninger og betydning over tid, og ved eventuelle endrede omstendigheter. I tillegg fremkom det ikke hvordan selskapet vurderer risikoevalueringenes betydning samlet sett.

Hjemmel

• Styringsforskriften § 22 - Avviksbehandling

  (sist endret: 01.01.2011)

Risiko- og barrierestyring

Beskrivelse

Mangler ved sentrale elementer knyttet til styring av risiko og barrierer

Begrunnelse

Vårt inntrykk er at pålegg gitt i tidligere tilsyn har bidratt til forbedring av teknisk integritet og styring av barrierer på innretningen. Men, våre observasjoner fra dette tilsynet, jamfør punktene 5.1.1 til 5.1.10. viser at det fremdeles eksisterer feil og mangler som inntil de er korrigert representerer en usikkerhet som gir et negativt bidrag til risikobildet for Goliat FPSO. Det mangler i tillegg klare måltall for ferdigstillelse av utestående arbeid på sikkerhetskritisk utstyr og funksjoner. Basert på omfanget av feil og mangler samt vedlikeholdsetterslep, er det vår vurdering at dagens planer er for optimistiske.

Videre ble vi informert om observasjonene fra en nylig gjennomført internrevisjon som delvis sammenfaller med våre observasjoner. Se også rapportens punkt 6.1.

Hjemmel

• Styringsforskriften § 6 - Styring av helse, miljø og sikkerhet

  (sist endret: 01.01.2011)