Mangler ved barrierestyring ved tap av stabilitet
Beskrivelse
For maritime hendelser er det ikke etablert tilstrekkelige barrierer som bidrar til å beskytte i feil-, fare- og ulykkessituasjoner som kan oppstå på Norne.
Begrunnelse
Under tilsynet gikk det frem at tap av stabilitet på grunn av andre årsaker enn skipskollisjon ikke er tilstrekkelig dekket i Nornes sikkerhetsstrategi. Ved gjennomgang av beredskapsplanen går det frem at DFU 09 – «tap av stabilitet» kun omhandler håndtering av hendelser som resultat av skipskollisjon. Andre initierende årsaker til tap av stabilitet, som for eksempel slakke tanker som var sentralt i tilsynet, var ikke en del av DFU 09.
Vi så svakheter ved barrierefunksjoner ved feil-, fare- og ulykkessituasjonen «tap av stabilitet», som for eksempel:
- Tiltakene etablert for å håndtere en situasjon med lav initialstabilitet er utilstrekkelige:
- Maritim operasjonsmanual, sikkerhetsstrategi og OBE-kartlegging inneholdt mange tiltak for å unngå at feil-, fare- og ulykkessituasjonen skulle inntreffe, men få konkrete tilhørende tiltak når hendelsen (uforutsett endring av flytetilstand) har inntruffet.
- Det fremkom riktignok i enkelte intervjuer at i en stabilitetshendelse på grunn av slakke tanker er avlesing av nivåmålere og operasjon av ballastpumper sentrale komponenter og aktiviteter for å håndtere situasjonen. Ved svikt i automatiske systemer vil manuell tankpeiling og lokal operasjon av ballastpumper og tilhørende ventiler kunne bidra til å hindre eskalering av situasjonen. Dette fremgår ikke i de nevnte styrende dokumentene, og relevant utstyr, involverte personer og deres aksjoner er ikke identifisert.
- De tiltak som er beskrevet er ikke identisk fremstilt i de ulike dokumentene; maritim operasjonsmanual, OBE-kartlegging, sikkerhetsstrategi og beredskapsplan.
- Kartlegging av tekniske, operasjonelle og organisatoriske barriereelement var ikke tilstrekkelig beskrevet, eksempelvis:
- «Detektere og håndtere utforutsett endring av flytestilstand» er identifisert som operasjonelt barriereelement i sikkerhetsstrategi og OBE-workshop, og det står at maritim leder (ML) skal kontaktes, men det beskrives ikke hva ML skal gjøre eller hvilke andre stillinger/funksjoner som skal involveres. Det vises videre til DFU 9 «tap av stabilitet» som ikke er dekkende for alle hendelser med «tap av stabilitet». Videre var det i intervjuer forskjellige svar om når maritim leder skulle kontaktes.
- Det er ikke eller kun i begrenset grad beskrevet hvilket utstyr som inngår ved håndtering av en hendelse.
- Sikkerhetsstrategi og OBE-kartlegging mangler i betydelig grad henvendelse til «hvem som skal gjøre hva med hvilket utstyr» som nevnt over. Klar oversikt over «hvem» er viktig for å sikre at riktig person får rett opplæring og trening, at vedkommende er kjent med rolle og ansvar for å sikre barrierefunksjon når en hendelse oppstår, og for å sikre at ikke samme person skal utføre uforenelige oppgaver i et hendelsesforløp.
- SKR er stedfortreder for ML, men det foreligger ikke tilstrekkelig trening for denne rollen, og SKR har heller ikke tilsvarende maritim kompetanse.
- Eskalering med krengning på 10-17 grader var i liten grad beskrevet og det var uklart for intervjuet personell på hvilket tidspunkt en stabilitetshendelse blir en beredskapshendelse.
Norne har hatt flere hendelser med negativ initialstabilitet og våre observasjoner, som nevnt over, viser at tiltakene for å håndtere slike situasjoner ikke er tilstrekkelige.
Hjemmel
Mangler ved etablering av operasjonelle og organisatoriske barriereelementer, ytelseskrav og tilhørende trening og øvelser
Beskrivelse
For maritime hendelser er det ikke etablert tilstrekkelige ytelseskrav og øvelser og treninger, for å håndtere relevante feil-, fare- og ulykkessituasjoner.
Begrunnelse
Som beskrevet i avvik 5.1.1, er det ikke tilstrekkelig klargjort hvilke barrierefunksjoner med tekniske, operasjonelle og organisatoriske barrierelementer som skal bidra til å beskytte ved tap av stabilitet på grunn av andre årsaker enn skipskollisjon. Som en konsekvens er det etablert få verifiserbare ytelseskrav eller relevante trening og øvelser med relevant personell som kan være involvert i en slik feil-, fare- og ulykkessituasjon.
Maritim operasjonsmanual, sikkerhetsstrategi og OBE-kartlegging inneholder få konkrete tiltak når hendelsen (uforutsett endring av flytetilstand) har inntruffet. Fra intervjuene fremgikk det at hvis man har en stabilitetshendelse på grunn av slakke tanker, er bruk/avlesing av nivåmålere og operasjon av ballastpumper sentrale komponenter og oppgaver. Ved svikt i automatiske systemer vil manuell tankpeiling og lokal operasjon av ballastpumper og tilhørende ventiler kunne bidra til å hindre eskalering av situasjonen. Det var ikke etablert systematisk trening eller øvelser for å forstå når man er i en hendelse med tap av stabilitet, og for å skape en god situasjonsforståelse for å kunne gjennomføre de rette tiltakene. En eskalerende hendelse vil kunne involvere ulikt personell med ansvar for ulike tiltak. Equinor har som del av sitt arbeid med barrierestyring på andre innretninger utarbeidet treningsscenarier som øver på samspill mellom alt relevant personell. Treningene gjennomføres som tabletop der de anvender resultater fra OBE-kartleggingen for å trene på innretningsspesifikke feil-, fare- og ulykkessituasjoner som kan oppstå der. Det er ikke etablert tilsvarende treningsscenarier for feil-, fare og ulykkessituasjoner på Norne. Det er i begrenset grad lagt til rette for trening av kommunikasjon og samspill mellom involvert personell. Eksempelvis kom det frem i intervju at SKR-operatører ikke lenger er en del av samtreningen mellom ulike beredskapsfunksjoner.
I kartleggingsdokumentet (OBE-dokumentet) er de tekniske og operasjonelle barriere elementer (OBE’er), som er beskrevet for maritime hendelser, ikke tydelig koblet til relevante feil-, fare- og ulykkessituasjoner. Og de er heller ikke koblet til hverandre, selv om de vil kunne være viktige i ulike faser av samme hendelsesscenario. Under verifikasjon i uteområdene møtte vi personell som har trent på å håndtere operasjonelle barrierelementer (f.eks. nødstart i HPU1), men det fremgikk at det ikke var en del av opplæringen at de skulle vite under hvilken feil-, fare- eller ulykkessituasjon det kunne være kritisk at de kan utføre nettopp disse oppgavene.
For beredskap kunne det ikke dokumenteres at det ble trent eller øvd på stedfortrederrollen for alle funksjoner med stedfortrederroller. I intervjuer og ved stikkprøver i DaWinci kom det frem at SKR ikke blir trent og øvd på stedfortrederrollen til maritim leder. Det ble opplyst om at det er vanskelig å få gjennomført trening for SKR også i de andre stedfortrederrollene de er satt opp med. Det finnes ingen plan for å få trent alle i stedfortreder rollene i løpet av et år. Det har vært utfordringer med alarmras og HMI siden 2011, dette er påpekt i tidligere tilsyn. Også her er det mangler med trening og øvelser, og man har heller ikke tilgang til simulator i SKR. Vi er orientert om at det skal installeres simulator i løpet av kort tid.
I workshop om operasjonelle barriereelementer er det identifisert og beskrevet en del ekstra barriereelementer som skal inkluderes i treningsmodulene til innsatslagene. Flere av disse elementene er beskrevet i trening og øvelsesplan for Norne, men ikke inkludert i treningsmodulene for innsatslagene for beredskap. Det er uklart for oss hvordan disse blir inkludert i treningene.
Granskinger kan gi innsikt i hvem som gjør hva i ulike faser av et hendelsesforløp, og også hvordan identifiserte barriereoppgaver på Norne kan henge sammen og inngå i et hendelsesscenario. Basert på informasjon fra intervjuer var det i begrenset grad gjennomgang av granskinger brukt til læring av utløsende og bakenforliggende årsaker til maritime hendelser for å øke risikoforståelsen, forståelse av egen rolle og ansvar i en hendelse, f.eks. i forbindelse med ulike øvelser- og treningsaktiviteter som blir gjennomført.
Personell som hadde deltatt i OBE-workshop kjente ikke til at Equinor har utarbeidet veiledning om hva som kan være hensiktsmessige ytelseskrav til organisatoriske og operasjonelle barriereelementer, og vi vurderer at det har påvirket at det er utviklet få verifiserbare ytelseskrav.
Vi har fått oppgitt at ytelsespåvirkende forhold ute i anlegget ikke ble vurdert som del av OBE-kartleggingen. I henhold til Plattformintern verifikasjon (PIV 19) er «brukervennlighet på utstyr» et ytelsespåvirkende forhold som skal vurderes. PIV var under gjennomføring for noen PSer. Basert på informasjon i intervju og gjennomgang av dokumenter fra PIV så langt kan vi ikke se at menneske/maskingrensesnitt, tilkomst eller responstid til utstyr som må opereres i anlegget i forbindelse med gjennomgang av PIV 19. Eksempelvis observerte vi at tilkomst til enkelte manuelle ballastventiler kan være vanskelig. Svakheter knyttet til HMI og alarmrater er imidlertid godt kjent og dokumenter, men foreløpig ikke håndtert, som beskrevet i avvik 5.1.4. Manglende vurdering av ytelsespåvirkende forhold gir dårligere grunnlag til å etablere adekvate ytelseskrav.
Hjemmel
Mangler ved planlegging og prioritering av observasjoner i TIMP-verktøyet
Beskrivelse
Selskapet kunne ikke gjøre rede for en samlet plan for korrigerende vedlikeholds-aktiviteter relatert til barrierene som hadde fått karakter D eller dårligere i TIMP-verktøyet.
Begrunnelse
Selskapet presenterte et oversiktsbilde over teknisk integritet ved hjelp av deres TIMP-verktøy. TIMP-verktøyet benyttes av Equinor for vurdering av status på tekniske barrierer. I TIMP kom det fram at det er en rekke barrierefunksjoner som har totalkarakter D, blant annet PS15 Layout design principles and explosion barriers, PS20 Structural integrity, PS3 Gas Detection, PS4 Emergency Shut Down, PS7 Fire Detection, PS22 Human Machine Interface & Alarm Management og PS6 Ignition source control. I tillegg hadde PS18 Marine Systems and Position keeping karakteren E. PS er akronymet for «Performance Standard - ytelsesindikator».
Selskapet har under tilsynet ikke kunnet gjøre tilstrekkelig rede for hver PS som hadde karakter D eller dårligere i TIMP angående blant annet:
- hvor lenge svekkelsen som resulterte i denne karakteren hadde vært kjent,
- hva som var den opprinnelige plan for korrigering av disse svekkelsene, og
- hva som på revisjons-tidspunktet var plan for korrigering av disse svekkelsene.
Hjemmel
Mangelfull HMI og alarmhåndtering i kontrollrom
Beskrivelse
Alarmrater og antall stående alarmer oppfyller ikke selskapet krav, og det er mangler ved brukergrensesnittet i sentralt kontrollrom.
Begrunnelse
Intensjonen med sentralt kontrollrom er at det enkelt og hurtig skal kunne mottas nødvendig informasjon og utføres nødvendige aksjoner både under normal drift og feil-, fare- og ulykkessituasjoner.
I tilsyn med Norne (Integritetsstyring av fleksible stigerør og tilhørende sikkerhetsutstyr, vår referanse 2014/1072) i 2015 påpekte vi for høy alarmrate og tall på stående alarmer. Der ble det også funnet et internt avvik for alarmer, som hadde blitt lukket uten at problemet var løst. Et HMI-prosjekt hadde blitt startet. Selskapet svarte etter tilsynet at «Det pågår flere konkrete initiativer for å bedre situasjonen med alarmhåndtering i kontrollrom. Implementering er avhengig av revisjonsstans, og neste mulighet er revisjonsstansen 2016».
Selskapet har tidligere informert oss om planlagte revisjonsstanser i 2016 (21 dager) og 2020 (20 dager). I tilsynet ble vi informert om at revisjonsstansen i 2020 hadde blitt gjort om til en sikkerhetsstans på grunn av smittevernhensyn.
I dette tilsynet observerte vi fortsatt for høy alarmrate og høyt antall stående alarmer. Nornes Alarmanalyse for 2020 viste at man fortsatt ikke tilfredsstilte selskapets egne krav. Selskapet hadde selv kategorisert dette som den største risikoen i sitt risikostyringsverktøy MiS Risk, og opprettet et nytt internt avvik «Disp 188119 Alarmrater overskrider krav, Norne FPSO». Det kommer ikke fram i oversendt Disp 188119 når avviket vil være kompensert for. Ptil har bedt om presisering av dette, men svar er ikke mottatt.
Selskapet har også observert at operatørene i sentralt kontrollrom i kritiske situasjoner kan miste oversikt over anlegget (senest 22/2-18).
Selskapet beskriver selv i deres utvidede TIMP-beskrivelse at situasjonen har vært slik siden 2011 og at problemet ikke har blitt håndtert på en tilfredsstillende måte. Selskapets vurdering er videre at «Det har hele tiden blitt referert til ukentlig alarmanalyse og kommende prosjekter. Den ukentlige alarmanalysen har ikke forbedret situasjonen vesentlig og prosjektene har ikke blitt prioritert. Det viser en systematisk svikt i vedlikeholdet over flere år hvor problemet har blitt oversett under påskudd av at noe er på gang.»
Hjemmel
Beredskapsanalyse ikke oppdatert
Beskrivelse
Beredskapsanalysen er ikke oppdatert.
Begrunnelse
I intervju ble det opplyst om at beredskapsanalysen skal oppdateres hvert femte år eller ved større endringer. I GAP analyse Beredskap 2018 står det at beredskapsanalysen skal oppdateres i 2018.
Beredskapsanalysen på Norne er fra 2013 og det har vært betydelige endringer uten at dette har medført oppdatering av beredskapsanalysen;
- Feltberedskapsfartøyet er fjernet
- Livbåtene har blitt byttet ut, kapasitet per livbåt er endret fra 36 til 50
- Aktre livbåt er fjernet
Det ble opplyst i intervju at beredskapsanalysen er viktig for å få oversikt over hvilke beredskapsmessige forhold som er viktig. For å få en oversikt over dette i dag må man inn i flere dokumenter; blant annet beredskapsanalysen, sikkerhetsstrategien og gapanalysene for fjerning av feltberedskapsfartøy og fjerning av aktre livbåt. I sikkerhetsstrategien for Norne vises det til definerte fare- og ulykkessituasjoner som ikke er detaljert behandlet i risikoanalysen, men som skal være dekket av beredskapsanalysen.
Hjemmel
Mangelfull kapasitet og kompetanse
Beskrivelse
Det var ikke samsvar mellom tilgjengelige ressurser, kompetanse og planlagte oppgaver.
Begrunnelse
Basert på rapportert overtid så langt i år (1.1.-1.10.2020) er det et gjennomsnittsbruk av 266 timer overtid for driftspersonell, noe som utgjør 8,14 stillinger. 30% av de ansatte har 4 uker eller mer med ekstrautkall. Vi fikk skriftlig dokumentert at det var en gjennomsnittlig overtidsbruk blant driftspersonell på 224 timer i 2019, 298 timer i 2018 og 227 timer i 2017, som viser at overtidsbruk har vært vedvarende.
Kompetansestyringssystemet CAMS viser at det er utstående 20 % opplæring, trening og øvelser for Equinors personell på Norne (forpleiningspersonell er ikke innregnet). Se også avvik 5.1.2. som omhandler få etablerte treninger og øvelser for personell med ansvar for oppgaver som skal sikre barrierefunksjon.
Norne har hatt varierende sykefravær de tre siste årene, var over 11 prosent i en periode i fjor, men var sist måned på 8,3 %. Overtidsbruk, i betydelig grad i form av utvidede oppholdsperioder, er blant annet for å dekke opp for sykefravær.
Under tilsynet ble det gitt uttrykk for frustrasjon og bekymring på Norne, både fra ledere og medarbeidere, knyttet til utestående vedlikehold, høy arbeidsbelastning særlig blant elektro, men også andre stillinger, samt stadig utsettelser av «required end» (frist for å gjennomføre vedlikeholdet). Ansatte og ledelse ga uttrykk for at det også har vært et høyt aktivitetsnivå de siste årene i landorganisasjonen. På land var det utfordrende å få ansatt alle stillinger i Harstad. Fra offshoreorganisasjonen ble det sagt at kapasitetsutfordringer på land var kjent, at de hadde mindre fagstøtte fra landorganisasjonen og at det bidro til mer arbeid som måtte utføres ute på Norne. Høy arbeidsbelastning fremkom også i intervju på land.
Det er uttalt i intervjuer at mangelfull kapasitet har betydning for utestående vedlikehold på ikke-sikkerhetskritisk utstyr. Det ble både av ledelse og utførende personell gitt uttrykk for bekymring om at land ikke hadde samme risikobilde som dem, og at vedlikeholdsjobber som nådde «required end», ble risikovurdert på nytt og utsatt gjentatte ganger. Det ble påpekt at oversiktsbildet i SAP (rød søyle) som landorganisasjonen så ikke ga innsikt i hvor mange ganger jobbene var usatt, bare utestående jobber. Det ble gitt uttrykk for at vurdering av viktighet av oppgaver ikke alltid var lik på land og i havet.
Nedbemanning etter Driftsbemanning 2016-19 (DB16-19) forutsetter at man i tillegg til redusert grunn/driftsbemanning skal anvende personell fra Offshore Fagsentersenter (OFS) ved behov (aktivitetsstyrt bemanning). Nedbemanning etter DB 16-19 og til dels høyt sykefravær påvirker kapasiteten i offshoreorganisasjonene negativt. Vi har funnet tilsvarende avvik knyttet til kapasitet og kompetanse i Equinors driftspersonell blant annet på Sleipner, Troll og Åsgard i 2019, og Oseberg, Troll og Grane i 2020. Tilsynsobservasjoner og erfaringer viser at det ikke er nok personell i OFS til å dekke reelle behov for driftspersonell på innretningene.
Hjemmel
Hindringer i nødutganger
Beskrivelse
Det var obstruksjoner i rømningsveier som var til hinder for rask og effektiv evakuering.
Begrunnelse
Under verifikasjonsrunde om bord ble det observert at to værtette dører merket nødutgang på dekk 7 i forskipet var stroppet fast på innsiden med lastestropper. Det var hengt opp en kniv for å kunne kutte lastestropp, for å komme seg ut.
Hjemmel
Manglende vurdering av konsekvens av verste prosessbrann
Beskrivelse
Mangelfull verifisering av om eksisterende design tilfredsstiller krav i forhold til verste brann - WCPF (Worst Credible Process Fire).
Begrunnelse
Equinor hadde ikke utført beregninger av verste prosessbrann. De hadde heller ikke satt seg en tidsfrist for en slik utførelse.
Hjemmel