Styrende dokumentasjon
Beskrivelse
Mangelfull dokumentasjon knyttet til systemer for lekkasjedeteksjon.
Begrunnelse
I forkant av tilsynet ba vi om relevante styrende dokumenter for lekkasjedeteksjonssystemer. I oversendelsen ble det blant annet vist til dokumenter som ikke var oppdatert, det ble også oversendt og vist dokumenter i en ikke ferdigstilt (draft) versjon som ikke var et godkjent dokument i Statoil.
Gjeldende styrende dokumentasjon for deteksjon av akutt forurensning og fjernmåling er blant annet WR 1151 Fjernmålingsplan Drift Nord og Drift Midt-Norge. Planen omtaler kun systemene for Norne FPSO og ikke lekkasjedetektorene for tilknyttede undervannsanlegg.
Risikovurderingen for de installerte lekkasjedeteksjonssystemer på havbunnen er ikke omtalt i oversendte dokumenter. Ytelseskravene til de ulike systemene ble ikke definert i møter eller vist til i oversendte dokumenter.
Basert på oversendt og presentert dokumentasjon kan vi ikke se at Statoil har etablert og implementert tilstrekkelig dokumentasjon som stiller krav til deteksjon av lekkasjer for hele Nornefeltet. Dette gjelder hvordan Statoil har vurdert behov for system for deteksjon av lekkasjer, krav til hva som skal detekteres (type lekkasje, mengde osv.), hvordan det skal detekteres og hvordan det er planlagt å teste / vedlikeholde disse systemene.
Hjemmel
Risiko- og kritikalitetsvurderinger for å forebygge og oppdage lekkasjer
Beskrivelse
Manglende risiko- og kritikalitetsvurderinger for å forebygge og oppdage lekkasjer på Nornefeltet med tilhørende undervannsinnretninger.
Begrunnelse
Da vi varslet tilsynsaktiviteten etterspurte vi selskapets ytelsesindikatorer knyttet til system for lekkasjedeteksjon generelt og system for lokal deteksjon av lekkasje på havbunnen spesielt. Dette var ikke oversendt i forkant av aktiviteten og vi fikk heller ikke gjennom presentasjoner, samtaler og verifikasjon av dokumentasjon klare svar på disse ytelsesindikatorene.
Det ble i gjennomføringen etterspurt hvordan Statoil vurderer risiko for lekkasje fra de ulike produsentene (fra brønn til topside på Norneskipet), hvordan konsekvensen av eventuelle lekkasjer vil være, og hvordan selskapet har etablert og implementert barrierer som kan forebygge lekkasjer og detektere og redusere konsekvensene av eventuelle lekkasjer. Det ble spurt om dette for å få en forståelse av hvordan Statoil setter krav til hva man skal oppdage av lekkasjer med hensyn til mengde og tid, og dermed være i stand til å vurdere hvilke metoder man skal benytte, hvilke krav som skal settes til disse metodene og hvordan et totalsystem for deteksjon skal være utformet.
Hjemmel
Barrierer
Beskrivelse
Mangelfull identifisering av barrierer og hvilken funksjon de skal ivareta. I tillegg mangelfulle krav til ytelse som er satt til de konkrete tekniske, operasjonelle eller organisatoriske barriereelementene som er nødvendige for at den enkelte barrieren skal være effektiv.
Begrunnelse
Gjennom intervjuer, dokumentasjon og stikkprøver i vedlikeholdssystemet ble det ikke gjort rede for en systematisk måte å følge opp lekkasjedeteksjonssystemene. Det vises til følgende mangler ved lekkasjedeteksjonssystemet:
- Identifisering av barriereelementer inn mot ytelsesindikatorer (PS) for å hindre utslipp
- Funksjonsbeskrivelse
- Ytelseskrav
- Verifikasjon av ytelse
- Oppfølging av barrierer
Hjemmel
Alarmhåndtering i sentralt kontrollrom
Beskrivelse
Mangelfull håndtering og iverksetting av tiltak knyttet til alarmer i sentralt kontrollrom
Begrunnelse
I tilsynsaktiviteten spurte vi om alarmer knyttet til system for lekkasjedeteksjon og alarmer generelt i kontrollrom. Gjennom informasjon i samtaler og verifikasjon i dokumentasjon som blant annet oversikt over alarmanalyser i 2017, observerte vi at det er et høyt antall alarmer (alarmer per tidsenhet) og et høyt antall stående alarmer. Analysene viser at en er langt over de kravene som selskapet selv har satt. I tilsyn med integritetsstyring av fleksible stigerør og undervanninnretninger i 2014 (aktivitet 001128011, deres referanse: AU-DPN ON NOR-00140, vår referanse: 2014/1072) ble det observert tilsvarende utfordringer og det ble gitt et forbedringspunkt. Vi ble i 2015 informert om aktiviteter som var planlagt i forbindelse med revisjonsstans 2016 for å bedre situasjonen. Våre observasjoner i denne tilsynsaktiviteten viser at man fortsatt ikke tilfredsstiller kravene som er satt til alarmrater og stående alarmer.
Hjemmel
Styring av vedlikehold
Beskrivelse
Norne sine undervannsanlegg har lekkasjedeteksjonsutstyr, utstyret manglet forebyggende vedlikeholdsaktiviteter og historikk.
Begrunnelse
Gjennom intervjuer og stikkprøver i vedlikeholdssystemet ble sentrale systemer og utstyr for lekkasjedeteksjon av undervannsanlegg definert og forklart. Utstyr som har som funksjon å detektere lekkasjer var klassifisert med som høy på konsekvens ved bortfall av funksjon. Stikkprøver i vedlikeholdssystemet viste at utstyret manglet forebyggende vedlikeholdsprogram og på forespørsel kunne det ikke fremlegges vedlikeholdsanalyser som understøttet manglede vedlikeholdsprogram.
I intervjuer ble vi fortalt at kontrollrommets funksjon inngikk som en viktig del av overvåkningen av lekkasjer fra undervannsanleggene. I verifikasjon av notifikasjoner i vedlikeholdssystemet kom det frem at en hydrokarbondetektor hadde vært ute av drift i mer enn 20 dager før det ble tilfeldig oppdaget av landorganisasjon. I intervjuer kom det også frem at sviktmodus og sviktårsak til detektoren var ukjent for kontrollsystemet og ga derfor ikke alarm i kontrollrom. I intervjuer ble vi også informert om at denne typen feil (kortslutning) ikke vil bli fanget opp av kontrollromsoperatørene på grunn av oppsett i kontrollsystemet for denne typen sensorer (5 brønnrammer med denne type sensorer er i drift på Nornefeltet).
I intervjuene kom det frem at ytelsene til undervannsdeteksjon ble fulgt opp i Statoils rapport for oppfølging av feil på utvalgt sikkerhetskritisk utstyr (A10-rapport) og i systemet for oppfølging av teknisk tilstand (TIMP). Ved stikkprøver i styringssystemet fremgikk det at undervannslekkasjedeteksjons systemer og utstyr ikke var definert som utvalgt sikkerhetskritisk utstyr og det kom derfor ikke med i overnevnte A10 rapport. I intervjuene ble det sagt at notifikasjoner på utstyret inngikk som en del av vurderingene av teknisk tilstand i TIMP.
Det kom frem under intervjuer at noen av lekkasjesensorene var byttet ut. Verifikasjon av vedlikeholdshistorikk (notifikasjoner) viste at utstyr tilknyttet lekkasjedeteksjon ikke var registrert vedlikeholdssystemet. Det ble byttet ut moduler ved bruk av IMR (Inspection, maintenance and repair) fartøyer og ikke alltid registret i vedlikeholdssystemet på reparert utstyr, men det ble rapportert i en egen rapport etter IMR-arbeid. Disse ble ikke gjenfunnet i vedlikeholdssystemet.
Det ble opplyst under verifikasjonen at det ikke er en entydig måte å skrive notifikasjoner mot undervannsutstyr, notifikasjoner ble skrevet mot utstyrsnummer (EqNo), Functional Location (Tag/FL) eller administrative tag (FL ADM).
Gjennom intervjuer fikk vi informasjon om at en brønnramme med fire brønnslotter tidligere hadde hatt problemer med en lekkasjesensor på en av brønnslottene. Det ble fortalt at det hadde vært korrigerende arbeid på lekkasjesensoren. Ved stikkprøver i vedlikeholdssystemet ble det ikke funnet noe historikk på utstyret eller nærliggende tagger.
Gjennom intervjuer og stikkprøver i vedlikeholdssystemet ble det fremlagt at brønnrammene hadde ROV inspeksjon hvert 4 år. Under siste ROV inspeksjon ble det oppdaget noe gass på en av sensorene, uten at det fremkom i vedlikeholdshistorikk etter ROV inspeksjonen om hvor mye gass som var observert. Ved verifikasjon i kontrollsystemet var det ikke registrert utslag for lekkasje på hydrokarbonsensoren i tidsrommet ROV-inspeksjonen ble gjennomført og det er derfor uklart for oss om sensoren virker som tiltenkt.
Det kunne ikke legges frem vedlikeholdsanalyser på undervannssystemene 18 og 19 som inneholder brønnrammer og undervannsutstyr for Norne feltet.
Hjemmel