Risikoreduksjon
Beskrivelse
Mangelfulle tiltak for å sikre innretningsspesifikk kompetanse og redusere risiko for utvikling og eskalering av hydrokarbonhendelser.
Begrunnelse
Svakheter knyttet til designløsningene på Alvheim er i hovedsak kjent i landorganisasjonen, blant annet gjennom totalrisikoanalysen og barrierekartlegginger. Gjennom intervjuer av ledende personell i offshoreorganisasjonen ble det uttrykt en klar forventning om at designmessige svakheter og forhold som kan påvirke utvikling og eskalering av hendelser forventes kommunisert gjennom eksisterende styringsverktøy.
Vi registrerer imidlertid flere eksempler på at slike forhold ikke er tilstrekkelig synliggjort verken i PIMS eller Synergi, eksempelvis:
- Mangelfulle brannskiller mellom hovedområder (ref. avvik 1.2).
- Mangelfull passiv brannbeskyttelse (ref. avvik 1.3).
- 2019 barrierekartlegging av tre ytelsesstandarder:
- Fire funn knyttet til PS9 «Passive Fire Protection» brannbeskyttelse var vurdert til samlet å kunne medføre utvikling og eskalering av et «worst case» hydrokarbonscenario.
- To funn fra PS15 «Containment» var vurdert til samlet å kunne medføre utvikling og eskalering av et «worst case» hydrokarbonscenario.
Aker BP har etablert et system for synliggjøring av statisk (iboende) storulykkerisiko i PIMS, «Major Accident Risks» (MAR-risker). MAR-riskene er knyttet til DFUene og gjenspeiler slik vi oppfatter det overordnede resultater fra totalrisikoanalysen. MAR-riskene er veldig generelle og belyser etter vår vurdering ikke tilstrekkelig konsekvensene av konkrete designmessige svakheter.
Områderisikokart utdyper enkelte problemstillinger knyttet til designløsningene, men vårt inntrykk er at områderisikokartene ikke er særlig kjent eller brukt offshore. De er i tillegg eldre enn gjeldende totalrisikoanalyse.
Beredskapsplanverket på Alvheim gir etter vår vurdering heller ikke tilstrekkelig informasjon om innretningsspesifikke forhold, beredskapsutfordringer, eskalerende faktorer og konkrete aksjoner. Eksempel på innretningsspesifikke forhold som ikke er tydeliggjort i planverk og aksjonsplaner:
- Ikke automatiske ventiler mellom VOC-manifold og lastetanker.
- Hele gassvolumet fra lastetankene vil kunne lekke ut ved en lekkasje fra VOC-manifolden, det er ingen mulighet for isolering via automatiske ventiler.
- Mangelfulle brannskiller mellom hovedområder.
- Ubeskytta flenser i fakkelsystemet, med mulige integritetsutfordringer i en brannsituasjon.
- Segmenter som ikke trykkavlastes automatisk.
Ingen av disse eksemplene er omhandlet under scenariospesifikk informasjon, beredskapsutfordringer eller eskalerende faktorer i planverket.
Aker BP prosedyren «Management of Major Accident Risk» (80-000626) stiller krav til at alle driftsområdene skal definere en kommunikasjons- og treningsplan for barrierestyring. Alvheim har ikke etablert en slik plan. Vi er informert om at det skal etableres en plan i 2020.
Hjemmel
Brannskiller
Beskrivelse
Mangelfulle brannskiller mellom hovedområder.
Begrunnelse
Hovedområder skal atskilles med brannskiller som minimum oppfyller brannklasse H-0 dersom de kan bli eksponert for hydrokarbonbranner.
Vi observerte følgende mangelfulle brannskiller:
- Aktre vertikale brannskille er for lavt for å hindre at aktre hjelpeutstyrsområde (TU10) kan bli eksponert for jetbrannscenario fra lekkasjekilder over væskeutskiller for fakkel.
- Det vertikale skillet forut for STP er åpent ned mot «vessel upper deck».
- Det er flere åpninger i det horisontale skillet mellom «vessel upper deck» og «forward utility area».
Hjemmel
Passiv brannbeskyttelse
Beskrivelse
Mangelfull passiv brannbeskyttelse.
Begrunnelse
Flere flenser oppstrøms stigerørsventiler var ikke tilstrekkelig dekket av installert passiv brannbeskyttelse.
Ved utforming av passiv brannbeskyttelse skal det ikke tas hensyn til kjøleeffekten fra brannbekjempelsesutstyr. Ifølge intervju og dokumentet «Alvheim Blowdown and Passive Fire Protection» er det tatt hensyn til kjøleeffekten fra brannvann ved utforming av passiv brannbeskyttelse på Alvheim. Dette er også identifisert i barrierekartlegging gjennomført av Aker BP i 2019.
På oljeutløpet fra separatorene er det installert nødavstengningsventil og passiv brannbeskyttelse. På vannutløpet er det imidlertid hverken installert nødavstengningsventil eller passiv brannbeskyttelse. Ved en eventuell lekkasje fra vannutløpet vil også oljen lekke ut etter vannet. Det er derfor uklart for oss hvorfor disse utløpene er behandlet ulikt.
Hjemmel
Overtrykkssikring av lagertanker for stabilisert olje
Beskrivelse
Den mekaniske sekundærbarrieren mot overtrykking av lagertanker for stabilisert olje har ikke kapasitet til å håndtere alle overtrykksenario.
Begrunnelse
Sikkerhetsventiler er installert som mekanisk sekundærbarriere mot overtrykking av lagertankene for stabilisert olje på Alvheim. Ventilene har imidlertid ikke kapasitet til å beskytte mot overtrykking i et senario med gassgjennombrudd i separatoren som leverer olje til lagertankene. Det er derfor installert en instrumentert løsning også som sekundærbarriere for dette tilfellet. Veiledningen til innretningsforskriften anbefaler standarden NORSOK P-002 for å oppnå forskriftskravet i § 34 om to uavhengige sikringsnivåer for beskyttelse av utstyr. Løsningen med bruk av instrumentert sekundærbarriere er ikke inkludert i de tilfellene der P-002 tillater bruk av instrumentert sekundærbarriere mot overtrykking.
Det instrumenterte systemet for sekundære barriere mot overtrykk er lagt inn i nødavstengningssystemet. ESD-systemet skal ikke ha prosessikringsfunksjoner, kun nødavstengningsfunksjoner.
Hjemmel
Identifisering og vedlikehold av barrierer
Beskrivelse
Manglende identifisering og vedlikehold av barrierer.
Begrunnelse
Ved befaring i anlegget registrerte vi eksempler på manglende vedlikehold av utstyr med barrierefunksjon. Stikkprøver i vedlikeholdsstyringssystemet avdekket eksempler på utstyr med feil barriereknytning, feil kritikalitetsvurdering, manglende og mangelfullt vedlikeholdsprogram og historikk:
a. Arbeidsordre knyttet til forebyggende vedlikehold av stigerørsventil (02EV9003) og trykkavlastningsventil (43EV0155) manglet beskrivelse av ytelseskrav. Det var heller ingen knytning til annen dokumentasjon for beskrivelse av gjeldende ytelseskrav. Historikken viste ikke rapportering av testresultater.
b. Luftsluse til dreieskiveområde (STP) manglet tag og vedlikeholdsprogram:
-
- Dørene manglet tag og vedlikeholdsprogram. Den ene døren og pakningen var i dårlig forfatning.
- Vedlikeholdsprogrammet manglet funksjonstest av sensoren
c. Branndør i aktre brannskille lokalisert på øvre prosessdekk hadde feil barriereknytning. Døren var knyttet til barrieren «stability and water integrity».
d. Branndør nederst i maskinrom lukket ikke. Døren hadde heller ikke korrekt sikkerhetskritikalitetsvurdering («moderate» istedenfor «serious»).
e. Det var ikke definert kritikalitet for trykktransmitter i teppegasssystemet.
f. Vedlikeholdsprogram for ballastpumpe mangler verifikasjon av ytelseskrav.
Hjemmel
Høyt antall stående alarmer i kontrollrommet
Beskrivelse
Antall stående alarmer i kontrollrommet er for høyt.
Begrunnelse
Oversikt over antall stående alarmer i kontrollrommet fra januar til september viser et gjennomsnitt på ca. 250 stående alarmer. Aker BPs mål er mindre enn 20 stående alarmer. Da tilsynet ble gjennomført var det 233 stående alarmer. Aker BP har prosesser for å følge opp antall alarmer og for å redusere disse. I perioden vi har fått oversikt over har ikke dette gitt vesentlig reduksjon av antall stående alarmer.
Hjemmel