Mangelfull barrierestyring
Beskrivelse
Mangelfull forståelse av svekket barriere og manglende nødvendige tiltak for å rette opp eller kompensere for denne.
Begrunnelse
Ved stikkprøver i vedlikeholdstyringssystemet fant vi notifikasjoner som omhandlet feil på strømningsmålere for brannvannsystemet. De korrigerende arbeidsordrene var gitt høy prioritet med bakgrunn i klassifisering. En av arbeidsordrene var likevel flyttet 90 dager åtte ganger, og det tok 21 måneder før det ble knyttet reservedeler til arbeidsordren.
I brannvannssystemet er det fire ventiler som regulerer vannmengden gjennom dumpelinjene. To strømningsmålere (en forut og en akter) styrer to ventiler hver. Ifølge Point blir ventilene stående åpne dersom målerne ikke fungerer, men under tilsynet kunne de ikke dokumentere hvor mye vann som vil strømme gjennom dumpelinjen med åpne ventiler. Organisasjonen til havs sin forståelse var at feil på strømningsmålerne ikke var en barrieresvekkelse fordi strupeskiver reduserer vannmengden gjennom dumpelinjene. I etterkant av oppfølgingsmøte på land har Point indikert at maksimalt 1400 m3/time vil gå over bord med to åpne ventiler. Jotun A har fire brannvannspumper med en kapasitet på 1450 m3/time for hver av dem. Dette betyr at en strømningsmåler ute av drift kan ha medført en reduksjon i brannvannskapasitet tilsvarende én pumpe. Det er uklart for oss om begge strømningsmålerne har vært ute av drift samtidig.
Korrigerende arbeidsordre for utbedring av strømningsmålere var utsatt på grunnlag av en risikovurdering der sannsynlighet var vurdert til å være «unlikely» og konsekvensen «minor».
Det er ikke dokumentert hvilke vurderinger som ligger til grunn for krysset i risikomatrisen i notifikasjonen til den korrigerende arbeidsordren. I etterkant av oppfølgingsmøtet på land har Point bekreftet at de ikke kan dokumentere at det er gjort en spesifikk risikovurdering av at ventilene har stått i åpen posisjon, og den kapasitetsreduksjonen dette innebærer.
I tillegg har vi observert i vedlikeholdsstyringssystemet og i møter at det i samme tidsrom har pågått vedlikeholdsarbeid på brannvannssystemet som har redusert kapasiteten ytterligere.
Hjemmel
Mangelfullt helhetlig grunnlag for beslutninger
Beskrivelse
Mangelfullt helhetlig grunnlag for beslutninger.
Begrunnelse
Point har dokumenterte prosesser for styring av risiko, barrierer og vedlikehold i styringssystemet Point Resources Management System (PRMS). Selskapet synes å legge stor vekt på å følge PRMS prosessene i det daglige arbeidet, element for element. Selskapet anvender imidlertid ikke resultatene fra de ulike styringsprosessene på en systematisk og helhetlig måte på tvers av organisasjonen.
Dette gjør det vanskeligere å sikre at problemstillinger som angår helse, miljø og sikkerhet, blir allsidig og tilstrekkelig belyst før det treffes beslutninger.
Eksempler:
- Mangelfull dokumentasjon av risikovurdering for å utsette arbeidsordre, ref. avvik 5.1.4 bokstav d).
- Manglende totaloversikt over korrigerende arbeidsordrer for HMS-kritisk utstyr i aktivitetsplanleggingen. Verifikasjonen vår i vedlikeholdsstyringssystemet viste 81 korrigerende arbeidsordrer for HMS-kritisk utstyr uten at oversikt over disse blir belyst i for eksempel arbeidstillatelsesmøte.
- Ikke aktiv bruk av resultater fra avviksbehandling (FINCer) og risikovurderinger i forbindelse med aktivitetsplanlegging og arbeidstillatelsemøter.
- Ikke aktiv bruk av verktøy for oversikt over pågående arbeid, isoleringer og utkoblinger i arbeidstillatelsemøter og kontrollrom.
- Prosessteknikere førte svettelogg, men denne var ikke kjent blant relevant personell eller i kontrollrommet.
Hjemmel
Utilstrekkelige risikoanalyser
Beskrivelse
Totalrisikoanalysen (TRA) for Jotun A er ikke tilstrekkelig formålstjenlig slik at den gir beslutningstøtte for strategiene som ligger til grunn for barrierestyringen.
Begrunnelse
Det framkom av presentasjoner, samtaler og styrende dokumenter (ref. «Point Resources Barrier Management Framework, Rev.0, november 2017, kap. 2.3 Barrier Strategies») at Point legger stor vekt på TRA-en i etablering av barrierestrategiene (behovet for og rollen til barrierer). Point tar likevel lite eierskap til godheten og kunnskapsunderlaget som ligger til grunn for analysen.
Følgende eksempler underbygger avviket:
- Det er knyttet usikkerhet til flere av forutsetningene for analysen:
- Alle eskalerende branner er håndtert som store branner, jf. analysens appendiks A, A-11. Point vurderer denne antakelsen som konservativ uten at dette er videre dokumentert. Denne antakelsen er ikke nødvendigvis konservativ dersom brannvarighet tas med i betraktningene.
- Det er antatt 66 prosents sannsynlighet for eskalering til prosessdekk og øvre dekk ved en tankeksplosjon, men grunnlaget for antakelsen framkommer ikke, jf. appendiks A, A-02. Point stiller seg bak antakelsen uten at de kan redegjøre for eller dokumentere grunnlaget.
- Det er uklart hvordan brannvann er tatt hensyn til i beregninger, jf. appendiks A, A-15.
- I TRA-ens hovedrapport side 91 fremkommer det at det ikke er gjort responsberegninger for utstyrseskalering, men at det er valgt en tilnærming basert på generelle betraktninger. Det er ikke gjort beregninger av tid til brudd for hvert segment.
- Point har ikke tatt stilling til hva valgt tilnærming innebærer for analyseresultatene. TRA-en påpeker at en detaljert fakkelstudie vil redusere usikkerheten, men Point har ikke tatt stilling til om det er behov for en slik studie
- Vi kan ikke se at TRA-en dokumenterer at brannskiller og struktur kan motstå verste prosessbrann. Se forbedringspunkt 5.2.3.
- Point viser i hovedsak til utførende konsulent når det gjelder vurderinger av usikkerheter og konservatisme i forutsetningene som ligger til grunn for analysen. Det samme gjelder innhenting og vurdering av ny kunnskap. Det å benytte seg av eksterne konsulenter, som de fleste gjør i forbindelse med denne type analyser, fritar ikke Point fra sitt eget ansvar.
- Point evaluerer gjeldende risikoanalyse en gang per år i tråd med egne krav. Resultatene dokumenteres i dokumentet «Total Risk Analysis Annual Review, Jotun A». Vi kan ikke se at Points prosess for årlig gjennomgang inkluderer vurdering av ny viten, teknologisk utvikling og bransjepraksis. Med bakgrunn i de observasjonene som vi har belyst i punktene over kan vi ikke se at denne årlige gjennomgangen i særlig grad bidrar til å sikre analysens formålstjenlighet for de beslutninger som fattes på bakgrunn av analyseresultatene.
Hjemmel
Mangelfullt vedlikehold og mangelfull styring av vedlikehold
Beskrivelse
Mangelfullt vedlikehold og mangelfull styring av vedlikehold.
Begrunnelse
Vi fikk presentert måleparametre for styring av vedlikeholdet. Indikatorene for avslutning av arbeidsordrer viste at nesten alt arbeid var utført innen tidsfristen. Stikkprøver i vedlikeholdsstyringssystemet viste imidlertid at flere av disse arbeidsordrene var flyttet fram 90 dager opptil flere ganger. Dersom arbeidsordrer med utsatt frist lukkes innenfor ny frist vil en være innenfor måloppnåelse i alle tilfeller. Så lenge måleparametrene ikke tar høyde for opprinnelige tidsfrister, kan ikke vi se at indikatorene måler den faktiske gjennomføringen av vedlikeholdet.
Ved gjennomgang av dokumentasjon, stikkprøver i vedlikeholdsstyringssystemet og verifikasjon i anlegget observerte vi følgende eksempler på mangelfull oppfølging av arbeidsordrer:
a) Arbeidsordre for ventil for dieseloverføring var lukket uten at arbeidet var utført. Dette var ikke fanget opp av ledelsen ombord eller på land. Arbeidsordren var lukket med kommentar om at arbeidet burde utsettes uten at det var opprettet ny arbeidsordre. Under tilsynet ble den lukkede arbeidsorden gjenåpnet.
b) Forebyggende tolvmånedlige arbeidsordre for luftkompressor ble lukket uten at alle aktivitetene i arbeidsorden var utført. Lukkingen var basert på en feilaktig konklusjon om at arbeidet i en tidligere korrigerende arbeidsordre overlappet den tolvmånedlige forebyggende arbeidsordren.
c) Arbeidsordrer var utsatt som følge av manglende reservedeler. I intervjuer fikk vi vite at det kunne være en utfordring å få tak i reservedeler.
d) Flere arbeidsordre var utsatt på bakgrunn av risikovurdering. Risiko er kun dokumentert gjennom «et kryss i en matrise». Det er ikke dokumentert hvilke vurderinger som ligger til grunn, for eksempel:
- Hva svekkelsen/feilen betyr når det gjelder ivaretakelse av barrierefunksjonen.
- Beskrivelse av ulike faremomenter.
- Vurdering av potensielle konsekvenser.
- Kompenserende tiltak.
e) Arbeidsordrer med lik kritikalitet var gitt forskjellig prioritet uten at dette fikk innvirkning på frist for gjennomføring. Det settes generelt sju til 90 dager eller 90 dager som frist.
f) Point har hatt problemer med skumleveranse etter bytte av skumtype og har derfor økt testfrekvensen. Først til hver fjortende dag og så til ukentlig. Testingen loggføres som korrigerende og ikke som forebyggende arbeid. Dette kan medføre feil i analysegrunnlaget for vedlikeholdsstyringen.
g) I dokumentet «System for styring av arbeid» beskriver Point hvordan de skal oppbevare, lagre og preservere midlertidige/løse slanger. Her står det blant annet:
- «Slanger skal ha støvhetter eller blindplugger ute i anlegget når de ikke er i bruk»
- «Det skal foretas en før og etterkontroll av slangene før en henger de tilbake på oppbevaringsplassen»
- «Løse midlertidige slanger må inspiseres grundig hver 12.måned»
- «Høytrykkslanger skal trykktestes årlig, eller skiftes ut»
- «Alle midlertidige slanger skal være merket med testdato, enhetsnummer, arbeidstrykk, leverandørens referansenummer, slangelengde, referansenummer til testsertifikat»
Ombord ble det observert:
- Slanger uten støvhetter eller blindplugger.
- Høytrykkslanger (400bar) som var morkne/i dårlig forfatning. Ifølge påført tag var slangen inspisert i februar 2014.
- Slanger uten merking/tag.
- Løse/gjenglemte slanger i felt, der bruksområdet framsto som ukjent.
- Slanger merket med dato der det var uklart om dette var testdato.
h) Ifølge arbeidsordre for tolvmånedlig sjekk av PA sentralutstyr skal det rapporteres «tilbake til vedlikeholdsstyringssystemet alle relevante tekniske data fra vedlikeholdsarbeidet og eventuelt før og etter kalibrering». Arbeidsordren inneholdt kun følgende historikk: «Testet. Utført testing og laget oppfølgings wo på tag som feilet».
i) For tolvmånedlig funksjonstest av nødavstengingsventil for lossing av olje (21EV2042) står det «Ok, viser til perm» i vedlikeholdsstyringssystemet. Point var ikke i stand til å finne testresultatet i permen som det var vist til.
j) For delugetester var det ikke registrert historikk som responstid, skuminnblanding, trykk og mengde.
k) Flere andre arbeidsordrer var helt uten historikk.
l) I intervjuer og i oppfølgingsmøte ble vi fortalt at korrigerende arbeid som hastet, kunne gå foran etablerte arbeidsprosesser og få arbeidstillatelse og SJA for å utbedre / korrigere feilen. Deretter skulle det lages notifikasjon og arbeidsordre. Vi fant eksempler på at dette ikke blir gjort, jf. bokstav u under.
Ved verifikasjon i anlegget observerte vi følgende eksempler på mangelfull teknisk tilstand:
m) Trykkindikator med varmekabel hadde åpning i isoleringen. Isolasjonen var våt og vi observerte svetting og korrosjon. Verifikasjon i vedlikeholdsstyringssystemet viste at utstyret ikke hadde forebyggende eller korrigerende arbeidsordrer.
n) Isolasjon med varmekabel hadde skade/inntrykket kapsling, uten at det ble funnet arbeidsordre for å utbedre eller verifisere skaden.
o) Isoleringsventil på ringledning for brannvann hadde korroderte bolter og korrodert gir/aktuator. Det ble ikke funnet korrigerende arbeidsordre i vedlikeholdsstyringssystemet.
p) Korroderte bolter på flenser i «delugeskid» for brannskum. Boltene har sekstimåneders intervall for inspeksjon, men det var ikke registrert funn i inspeksjonsverktøyet.
q) Flenser på dreneringssystemet var teipet. Det var ukjent hvorfor flensene var teipet og det ble ikke funnet korrigerende arbeidsordre i vedlikeholdsstyringssystemet.
r) Degraderte gjennomføringer i brannskiller, jf. forbedringspunkt 5.2.2.
s) Manglende rengjøring/opprydning under dieselgenerator. Drypplekkasje fra dieselgenerator som var forsøkt reparert og gjenglemte/forlagte filler på varmt maskineri.
t) Kjølevannsslanger på dieselgenerator for brannvannspumpene var morkne/hadde sprekkdannelser.
u) Ex-boks som var reparert med teip. Nærmere undersøkelser viste at teipen dekket et hull. Vedlikeholdsstyringssystemet hadde ingen opplysninger om reparasjonen.
Hjemmel
Mangelfull klassifisering
Beskrivelse
Mangelfull klassifisering av systemer og utstyr.
Begrunnelse
Point legger standarden NORSOK Z-008 til grunn i sitt styringssystem, og har gjennomført en gapanalyse mot denne basert på revisjon 2 av 2001. Denne standarden er revidert i 2011 og 2017 uten at gapanalysen er oppdatert. Det er dermed ikke dokumentert hvordan Point ivaretar forskriftens krav. I tillegg følger ikke Point sitt eget krav i «Integrity and Reliability Manual» om at gapanalysen skal oppdateres jevnlig.
I «Integrity and Reliability Manual» beskriver Point hvordan de klassifiserer utstyr og systemer. Utstyr klassifisert som A, B eller C skal ha vedlikeholdsprogram. Klassifiseringskategori A er høyest og brukes for HMS-kritisk utstyr og barriereelementer.
Ved stikkprøver i vedlikeholdsstyringssystemet fant vi følgende eksempler på HMS-kritisk utstyr som var klassifisert som C:
- Nivåbrytere for lekkasjedeteksjon.
- Ex-utstyr.
I oppstartsmøtet og intervjuer ble vi forklart at propellkraft (thrustere) ikke er en sikkerhetskritisk funksjon. Verifisering i vedlikeholdsstyringssystemet viste at propellkraft var klassifisert som C. Selskapet forklarte imidlertid i oppfølgingsmøte at ved et gitt brannscenario vil en benytte propellkraft til å redusere/kontrollere branneskalering ved å endre vinkel på innretningen i forhold til vinden. Det er derfor uklart om klassifiseringen er riktig.
I «Integrity and Reliability Manual» beskriver Point at dersom utstyr er redundant, kan «hoved / duty» utstyret bli gitt lavere kritikalitet. «Standby / Back up» utstyret er gitt høyere kritikalitet for å ivareta funksjonen. Identisk utstyr med samme funksjon og kapasitet kan da få forskjellig kritikalitet, basert på om det er definert som «duty» eller «standby». Reduksjon i kritikalitet vil medføre redusert vedlikehold og oppfølging. Denne praksisen kan svekke den iboende robustheten som blir bygd inn i funksjoner ved hjelp av redundans.
Hjemmel
Mangler i vedlikeholdsprogrammet
Beskrivelse
Mangler i vedlikeholdsprogrammet.
Begrunnelse
Ved stikkprøver i vedlikeholdsstyringssystemet fant vi følgende eksempler på mangler i vedlikeholdsprogrammet:
a) Lekkasjedeteksjon i pumperom forut har ikke vedlikeholdsprogram.
b) Strømningsmålere for brannvann er vist på tegninger (JT01-KV-HC80-S-XC-7101-01 og 7102-01), men er ikke registrert i vedlikeholdsstyringssystemet og har dermed ikke definert vedlikeholdsprogram.
c) Arbeidsordre for blant annet tolvmånedlig sjekk av PA-sentralutstyr hadde arbeidsbeskrivelser som inneholdt arbeidstekst fra andre innretninger enn Jotun A. Vi ble forklart i oppfølgingsmøte på land at det var vurdert som enklere å lage en generell arbeidsbeskrivelse (standardtekst) for alle innretningene enn å lage egne arbeidsbeskrivelser for hver innretning. I den generelle arbeidsbeskrivelsen er det også lagt inn innretningsspesifikke aktiviteter, men det kommer ikke klart fram av arbeidsbeskrivelsen hvilken innretning de forskjellige delene av teksten gjelder for.
d) Det hadde nylig vært et slangebrudd på kjølevann på dieselgenerator for brannvannspumpene. Ifølge utstyrsstrategien til dieselgeratoren skal slanger sjekkes hver tolvte måned, men ved sjekk i vedlikeholdsstyringssystemet av den angitte arbeidsordren var ikke dette inkludert i beskrivelsen for arbeidsordren. I tillegg var det i arbeidsbeskrivelse for tolvmånedersrutinen vist til at tremåneders og seksmåneders rutinene skal utføres samtidig med tolvmåneders, uten at tremåneders og seksmåneders arbeidsbeskrivelse var inkludert i tolvmåneders arbeidsordre.
e) Tredjepart foreslår intervaller for PSV-vedlikehold basert på testresultater. På grunnlag av dette setter Point intervallene.
- Dokumentasjon som vi mottok under tilsynet, viser at 17 av 20 PSV-er hadde feilet på én eller flere av de tre siste funksjonstestene. Intervallene for vedlikeholdet ble ikke endret.
- Under tilsynet kunne ikke Point vise til klare kriterier for utvidelse eller opprettholdelse av intervaller.
f) I «Integrity and Reliability Manual» står det at utstyr som skal ha vedlikeholdsprogram har klassifisering A, B eller C. Ved stikkprøver i vedlikeholdsstyringssystemet så vi at nivåbrytere for lekkasjedeteksjon var klassifisert som C uten at utstyret hadde vedlikeholdsprogram.
g) Arbeidsordrene for gassdeteksjon har 24 måneders intervall, men ifølge planteksten
Hjemmel
Mangelfullt vedlikehold av Ex-utstyr
Beskrivelse
Manglende systematikk i oppfølging og vedlikehold av utstyr i Ex-utførelse.
Begrunnelse
Point gjennomførte i 2014 større endringer av sin systematikk for oppfølging og vedlikehold av utstyr i Ex-utførelse. Ved gjennomgang av selskapets vedlikeholdsfilosofi for aktuelt utstyr observerte vi følgende:
a) Intervallet mellom periodiske inspeksjoner overskrider tre år uten at det synes å foreligge et dokumentert underlag som understøtter dette. Da Point endret systematikken for oppfølging utarbeidet de et notat. Ved gjennomgang av dette finner vi det ikke tilstrekkelig dokumentert at utstyr i Ex-utførelse på Jotun A kan ha intervall på 72 måneder for periodisk inspeksjon. Notatet tar heller ikke tar hensyn til relevante punkter som er beskrevet nærmere i bokstav c nedenfor. Notatet ivaretar ikke grunnlaget for endring (for eksempel inspeksjonsresultater) og skiller ikke mellom ulike type utstyr eller mulige feilmodi. Fremlagt dokumentasjon synes å være overordnet. I tillegg framgår det ikke av notatet hvordan Point sikrer å søke ekspertråd for det ulike utstyret ved endring.
b) Ut fra mottatt dokumentasjon kan ikke vi se at selskapet har foretatt mellomliggende stikkprøveinspeksjoner for å kunne vurdere den innførte endringen av intervaller og graden av inspeksjoner.
c) Graden av inspeksjon og intervallet mellom periodiske inspeksjoner for utstyr i Ex-utførelse varierer ikke med utgangspunkt i utstyrstype, fabrikantenes veiledning, områdeklassifiseringen, utstyrsbeskyttelsesnivået eller faktorer som påvirker slitasjen på utstyret. Utfra mottatt dokumentasjon kan vi heller ikke se at dette ble vurdert ved endringen i 2014, jf. bokstav a.
d) Inspeksjon ivaretar ikke at alt utstyr som et minimum blir utsatt for jevnlig visuell inspeksjon.
e) Det var uklart hvordan selskapet ivaretar løpende kontroll av inspeksjonsresultatene. Vi ble forklart at inspeksjonen måtte avdekke minst ti prosent feil i et område for at resultatene skulle underlegges analyse. Det var uklart hvordan Point behandler feilrater under ti prosent i et område. Videre var det også uklart hvordan selskapet helhetlig vurderer utstyrets tilstand.
Hjemmel
Mangelfull oppfølging av vedlikeholdseffektivitet
Beskrivelse
Mangelfull oppfølging av vedlikeholdseffektivitet.
Begrunnelse
Tilsynet har påvist en rekke avvik som samlet skaper usikkerhet om Point sitt vedlikehold gir nødvendig oversikt og kontroll på teknisk tilstand, og om det ivaretar ytelseskrav til barrierer. Følgende eksempler underbygger Points manglende oppfølging av vedlikeholdseffektiviteten:
a) Stikkprøver viser at korrektivt arbeid på sikkerhetskritisk utstyr kan bli utsatt over lengre tid uten tilstrekkelige risikovurderinger. Dette til tross for at arbeidet var gitt høy prioritet med bakgrunn i klassifiseringen. (Ref. 5.1.1).
b) Stikkprøver viser mangelfull oppfølging av arbeidsordrer som kan forringe kvaliteten av data for videreutvikling av vedlikehold. (Ref. 5.1.4).
c) Kravgrunnlaget for klassifisering er ikke oppdatert og stikkprøver viser at feil klassifisering forekommer. (Ref. 5.1.5).
d) Stikkprøver viser mangler i vedlikeholdsprogrammet. (Ref. 5.1.6).
e) Stikkprøver viser at manglende systematikk i inspeksjons- og vedlikeholdsprogram for utstyr i Ex utførelse. (Ref. 5.1.8).
Hjemmel
Dokumentasjon av effekten av automatisk brannvannsutløsning ved bekreftet gassdeteksjon
Beskrivelse
Effekten automatisk brannvannsutløsning ved bekreftet gassdeteksjon kan ha for å redusere eksplosjonstrykk er ikke dokumentert.
Begrunnelse
Jotun A har ikke automatisk utløsning av brannvann ved bekreftet gassdeteksjon. Point kunne ikke legge fram dokumentasjon som viser effekten brannvann kan ha for å redusere eksplosjonstrykk på Jotun A, men vi fikk opplyst at de er i ferd med å innhente tilbud for å få utført en studie som kan dokumentere effekten.
Tilsvarende observasjon ble påpekt i tilsyn med Balder i 2015 og Ringhorne i 2017.
Når det gjelder eventuell manuell utløsning står det i beredskapslanen for Jotun A (kap. 5.11) under DFU «Uantent HC-lekkasjer» at det skal «vurdere ekstra bruk av brannvann og overrisling». I samtaler fikk vi inntrykk av at relevant personell ikke var kjent med dette.
Hjemmel