Mangler ved brannvannssystemet
Beskrivelse
Det var mangler ved brannvannssystemet som hindret hurtig og effektiv brannbekjempelse til enhver tid.
Begrunnelse
Deler av vanntåkeanlegget har enten ikke fungert eller har fungert mangelfullt på alle tester siden oppstart av Valemon. Under tilsynet var det fremdeles feil på vanntåkeventil som går til sveiseverksted, og som medførte at det ikke var tilfredsstillende brannbekjempelse i dette rommet.
Det har vært problemer med skuminnblandingen til monitorer på helidekk siden 2017. Det har blitt satt inn tiltak med at skumventil skal beveges ved hver tur, samt at de annenhver tur åpnes for å sjekke at det kommer skum. Det ble også nevnt at det har vært problemer med oscilleringsfunksjon til 3 av 4 brannmonitorer i prosessområdet. Vi fikk imidlertid opplyst at monitorene dekker aktuelle områder uten hjelp av oscilleringen.
DIFFS-systemet (Deck integrated Fire Fighting System for Helideck) når ikke funksjonskrav for aktiviseringstid. Det blir kompensert med et operasjonelt tiltak som består i å løse ut brannmonitor på helidekk for å få brannpumpestart før DIFFS løses ut.
Det ble oppdaget negativ utvikling i testresultat etter fullskala delugetest i 2017, og det ble derfor gjort videoinspeksjon som bekreftet groe i systemet. Systemene ble rengjort i 2018. Den samme negative tendensen var til stede igjen i fullskalatesten i 2019 og det ble derfor planlagt videoinspeksjon våren 2020. På grunn av restriksjoner på helikopterseter har denne jobben blitt nedprioritert, og det ble opplyst at inspeksjonen ikke planlegges å utføres før fullskalatest som skal utføres til høsten.
Hjemmel
Mangler med barrierestyring
Beskrivelse
Det var flere mangler med strategier og oppfølging av barrierefunksjoner.
Begrunnelse
a. Mangler med beskrivelser/vurderinger i Sikkerhetsstrategi
Kravet i regelverket er at operatøren skal fastsette de strategiene og prinsippene som skal legges til grunn for utforming, bruk og vedlikehold av barrierer, slik at barrierenes funksjon blir ivaretatt gjennom hele innretningens levetid. Barrierestrategien (sikkerhetsstrategien) skal beskrive resultat av analysene, vurderinger og de påfølgende beslutninger som er tatt med hensyn til behov for risikoreduserende tiltak. Sikkerhetsstrategien på Valemon har nylig blitt oppdatert med blant annet krav til operasjonelle barrierer.
I intervjuer og i dokumentgjennomgang har vi sett at Lilleaker har utarbeidet beskrivelse av krav til overlevelsesvurderinger (sårbarhetsvurderinger) som det er vist til som referanse i Sikkerhetsstrategien. For brannvannsystemet ble det i byggeperioden også fulgt opp at brannvannsrør ble beskyttet mot de brannlaster de kunne bli utsatt for. Equinor kunne likevel ikke bekrefte at de systematisk hadde verifisert, i forbindelse med forberedelse til drift, at barrierene kunne motstå de lastene de kunne bli utsatt for. I tilsynet ble det også informert om at det foreløpig ikke var gjort vurderinger av overlevelse ved vurdering av systemene (TIMP).
b. Mangler med beskrivelse av ytelseskrav til barrierene
Under verifikasjon i vedlikeholdsystemet SAP observerte vi at ytelseskrav i flere tilfeller kun delvis var beskrevet:
- Krav til gangtid er inkludert i prosedyrer for test av brønnsikringsventilene (BSV/DHSV), men ikke ytelseskrav for intern lekkasje.
- Ytelseskrav til vannmengde var ikke inkludert for test avbrannmonitorer i 12-månedlig FV: «Fullskala test - dimensjonerende scenario» - C122-STL-S-CA-00005
c. Oppfølging av barrierer (TIMP)
TIMP (Technical Integrity Management Program) er et system som benyttes for å gi en oversikt over tilstanden (for eksempel godhet og svekkelser) til de ulike sikkerhetssystemene på innretningen. Systemet blir benyttet som beslutningsstøtte for prioritering av utbedringer av systemene.
TIMP blir normalt utført hvert kvartal, mens på Valemon er det ikke utført i første og fjerde kvartal 2019. Dette til tross av at det har vært mange systemer med karakter D. I andre kvartal 2019 var det 8 D'er og ingen E'er. Det var da gitt en ny D (PS2) som følge av høy feilrate på testing av brannspjeld. I tredje kvartal var det økt med to til 10 D'er og ingen E'er. Det ble gitt nye D’er som følge av skitten optikk/feil på gassdetektorer (PS3) og som følge av høy feilrate på nødavsteningsventiler til brønner samt utestående nødavsteningtesting (PS4).
d. Lang tid på utbedring av svekkelser på sikkerhetsystemer/barrierer
I dokumentgjennomgang og i intervjuer observerte vi at det kan ta lang tid på utbedring av svekkelser, og feil fra byggeperioden er fremdeles ikke utbedret. Eksempel på dette er:
- Vanntåke med vanntåkeventil til sveiseverkstedet har ikke fungert eller har fungert mangelfullt på alle tester siden oppstart. Ref. kap. 5.1.1 og 5.1.3.
- Mangler med tennkildekontroll og overflødige kabler, se vår rapport datert 18.12.2015 (ref. [32], kapittel 5.2.2). Det ble etter tilsynet i 2015 opplyst at det var planlagt en grundig og systematisk gjennomgang av alle områder på plattformen, og at dette arbeidet skulle ferdigstilles sommeren 2016. Under tilsynet i år kom det imidlertid frem at dette arbeidet fremdeles var pågående. Vi har fått informasjon om at alle overflødige kabler nå er kartlagt og skal være fjernet i løpet av dette året.
- Feil registrert på gjennomføringer fra byggeperioden. Det er utført en gjennomgang på Valemon i perioden 2017-2018 og funnet feil på 22 kabelgjennomføringer og 188 rørgjennomføringer. De siste feilene ble rettet opp i 2020. Karakteren i TIMP for første kvartal 2020 var likevel «B» med begrunnelsen: ”Alle indikatorene er grønne". Det er heller ingen annen info som tilsier svekkelser på PS10”. Dette selv om gjennomføringene for MCT’ene ikke var rettet opp før i mai 2020.
e. Mangler med måling og oppfølgingssystemene for barrierer (TIMP og Technical Condition Report)
A10 ble tidligere benyttet for å få en oversikt over feilrate på sikkerhetskritisk utstyr. Denne erstattes nå av Technical Condition Report (TCR). Hovedforskjellen på TCR-rapporten og A10 er at TCR er en "live" rapport. Valemon var på tidspunktet for tilsynet i en overgangsperiode hvor begge rapporter benyttes.
A10/Technical Condition Report ga ikke et rett bilde av barrierefeil på utstyr, for eksempel når det gjaldt feil på prosessikringsventiler (feil på 39 av 64 tester var registrert). Feil mht. aktiveringstid for DIFFS var ikke registrert, kun for brannmonitorer.
Det var rapportert høye feilrater for kritiske nødavsteningsventiler (kode 49 i A10) med feil på 4 av 28 tester. Mye feil også på brønnsikringsventilene (BSV). I siste anleggsvurdering i TIMP var det anbefalt å endre testintervall.
I vårt oppsummeringsmøte 11.5.2020 ble vi informert om at det jobbes med å rette opp de feil som er mellom A10/Technical Condition Report.
f. Operasjonelle barrierer (OBE’er)
Strategien var oppdatert med OBE’er i desember 2019, men i tilsynet var det ikke satt opp plan for hvordan og når det skulle være trening på OBE’er. OBE treningscasene var ikke utviklet. Dette er ikke i henhold til den plan dere oversendte til oss 28.11.2018, ref. [31].
I intervjuer kom det frem at det var iverksatt et operasjonelt tiltak knyttet til DIFFS på bakgrunn av manglende aktiviseringstid, se kapittel 5.1.1. Denne OBE’en var ikke beskrevet i Sikkerhetsstrategien.
Hjemmel
Mangler med vedlikeholdsstyring
Beskrivelse
Mangler med styring og oppfølging, og mangelfullt vedlikehold
Begrunnelse
Vedlikeholdsjobber av stor sikkerhetsmessig betydning har blitt utsatt, over flere år, uten dokumenterte formelle beslutninger og avviksbehandling.
Dette gjelder spesielt for korrektive vedlikeholdsjobber (KV-jobber). Antall timer KV-etterslep har blitt redusert, men det ble opplyst at indikatorer fremdeles viser rødt på sikkerhetskritisk utstyr. Vi ble fortalt at man foretar en risikovurdering av forholdene, men ved stikkprøver i SAP observerte vi at KV-jobber har forsvunnet eller blitt utsatt uten å være formelt behandlet og at risikovurderingen ved å kansellere jobbene er sporbar. Det var også uklart hvem som skulle være involvert i disse prosessene. Vi observerte følgende eksempler:
- Vanntåkeanlegget ref. kap. 5.1.1: Vi fikk opplyst at intervall for testing aldri var justert og at ventilen som har sviktet ikke har blitt skiftet. Ved gjennomgang i SAP observerte vi at ventilens tilstand var rapportert feil.
- DIFFS ref. kap. 5.1.1: Det ble opprettet M6 notifikasjon allerede høsten 2017 for å se på problemet med for lang utløsingstid, og videre ble det laget M1-notifikasjon med høy prioritet i 2018 for å legge inn direktestart av brannpumpe ved utløsing av DIFFS fra helibu. Det ble opplyst at denne jobben fremdeles ligger i porteføljen for utførelse. Ved gjennomgang i SAP kunne vi ikke finne begrunnelse eller risikovurdering for utsettelsen, og jobben var ikke en av jobbene som lå inne i etterslep for sikkerhetskritiske jobber.
- Utbedring av hydraulikkslanger på kran har flere ganger blitt utsatt uten sporbar begrunnelse eller risikovurdering.
- NAS tester var planlagt utført i mai 2020, men er nå satt på plan til høsten uten sporbar begrunnelse eller risikovurdering.
Hjemmel
Henvisning til annet regelverk
Aktivitetsforskriften, kap. IX, §§ 45-49 om vedlikehold