Neptune – Gjøa – pålegg etter tilsyn med vedlikeholdsstyring

Informasjons- og kommunikasjonssystemer

Beskrivelse

Det var mangler ved informasjons- og kommunikasjonssystemer som skulle ivareta behovet for innhenting, bearbeiding og formidling av data og informasjon, til bruk i vedlikeholds-styringen.

Begrunnelse

I intervjuer og verifiseringer kom det frem at det ikke var en felles forståelse av hva som er policy, styrende dokument, prosedyre eller «guideline» i selskapet. Det kom også frem en manglende forståelse i organisasjonen av hvordan dokumenthierarkiet skal fungere eller hvor dokumentene skal finnes, og at det derfor var vanskelig å finne frem til rett prosedyre/doku­ment.

Vi fikk vite at flere av arbeidsprosessene er oppdatert, men at innholdet i styrende dokumenter ikke er oppdatert i like stor grad.

Dokumentgjennomganger og verifiseringer i styringssystemer og i anlegget viste at

1. det forelå en plan – Plan for ferdigstilling av styringssystemet – for når endringer i styringssystemer skulle være ferdig, men mye arbeid hadde status som ferdig i plandoku­mentet. Selskapet hadde ikke en oversikt over hvilke dokumenter som skulle revideres eller var revidert, jf avvik 5.1.1 bokstav d.
2. selskapet, for å unngå feiloperering som kan føre til en storulykke, benytter «lock tag» for kritiske aktuatorer. Dette systemet var ikke alltid i bruk. En nøkkel var signert ut i 2018, men ikke signert inn. Dette gjaldt en gjentagende jobb, og nøkkelen var perma­nent ute i anlegget. En annen nøkkel var i bruk, men ikke signert ut
3. det ikke kunne gjøres rede for hvordan selskapet følger opp løse og permanent instal­lerte slanger.

Hjemmel

• Styringsforskriften § 15 - Informasjon

  (sist endret: 01.01.2011)

  , jf rammeforskriften § 17 om plikt til å etablere, følge opp og videreutvikle styringssystem

Avviksbehandling

Beskrivelse

Selskapet hadde ikke registrert og fulgt opp alle avvik fra krav i helse-, miljø- og sikkerhets­lovgivningen, deriblant avvik fra interne krav som er av betydning for å oppfylle krav i den lovgivningen.

Korrigeringen av registrerte avvik var mangelfull.

Begrunnelse

I intervjuer ble vi fortalt at de som er ansvarlige for styrende dokumenter, skal vite om de er «innenfor eller utenfor konvolutten», og at kjente mangler skal avviksbehandles.

Tilsynet viste følgende:

1. Selskapet hadde registrert mangler ved både styrende dokumenter og styringssystemer (jf. synergisak 14572 og 7710 som nevnt i avvikene 5.1.1 og 5.1.2). I disse synergisakene var det ikke sagt hvordan manglene skulle korrigeres.
2. Bruken av avvikssystemet Synergi hadde følgende mangler:
   1. Selskapet hadde satt opp et risikobasert internverifikasjonsprogram for 2019. Flere av verifika­sjonene var ikke gjennomført uten at det var avviksbehandlet. I intervjuer med ledende personell kom det frem at den manglende gjennomføringen skulle vært avviksbehandlet.
   2. De som arbeider med undervannssystemene, kjente til at lekkasjedetektorer var ute av drift. Det var registret et avvik i Synergi. Det var ikke beskrevet hva de var i avvik mot og heller ikke hvilke aksjoner som var satt i verk for å korrigere eller kompensere for utstyr som var ute av drift.
   3. Under verifiseringen vår i anlegget fant vi utstyr som ikke var merket eller registrert i vedlikeholdssystemet. Til tross for at utstyret ikke var ansett som skikket til bruk (et løftebord og en slange) ble det ikke registret synergisak når dette ble kastet.
   4. Ifølge selskapets dokument «Technical document - Specification for pressure vessels» skal førstetrinnsseparatoren (serienummer 592-01) oppfylle kravene i Pressure Equip­ment Directive (PED). I etterkant av tilsynet fikk vi oversendt dokumentet «Review of separator documentation” av 7.1.2013, der Force Technologys rapport «Gjøa corrosion and metallurgy engineering review of separator documentation» konkluderer med at separatoren ikke oppfyller kravene i PED. Selskapet hadde ikke behandlet dette som et avvik.

Hjemmel

• Styringsforskriften § 22 - Avviksbehandling

  (sist endret: 01.01.2011)

Klassifisering

Beskrivelse

For noen systemer og noe utstyr var klassifiseringen mangelfull eller feil med hensyn til konsekvensene for helse-, miljø- og sikkerhet av potensielle funksjonsfeil.

Begrunnelse

I vår gjennomgang av vedlikeholdssystemet kom det frem at hovedfunksjonene hadde mang­ler med hensyn til beskrivelse av tap av funksjon eller at funksjonen virker feil. Det var brukt generelle beskrivelser av dette, og mange plasser manglet det.

I våre stikkprøver i vedlikeholdssystemet fant vi følgende:

1. Det var uklart hvordan «containment» er klassifisert. Rør som inneholder hydrokar­boner, har «low» kritikalitet med hensyn til HMS ved utslipp eller tap av funksjon.
2. Noen barrierefunksjoner var ikke klassifisert som «high» med hensyn til HMS. For utstyr med EX-utførelse fremgikk det ikke av klassifiseringen hvordan sviktmodu­sen/sviktmekanismen ble håndtert.
3. En ventil for stenging av diesel til dieselmotor for brannpumpen (dieseldriveren for pumpen) hadde ikke beskrevet funksjonen ventilen skulle ivareta.
4. For tredjepartsutstyr som kontorkonteineren for Nova-prosjektet fant ikke selskapet høyttalere i Comos.
5. Nøddusj og øyeskyllestasjoner på innretningen ble fødet av service vann. Ved bortfall av servicevannet, gav dette ingen alarm i kontrollrommet. Pumpene for servicevannet hadde var kritikalitets klassifisert som medium og ble ikke fulgt opp som et sikkerhetssystem.
6. En nylig montert tilbakeslagsventil for ringromsavlufting i stigerøret for oljeeksport var tatt i bruk uten at den var klassifisert.
7. Ikke alle slanger (luft, vann, nitrogen og høytrykk, etc.) var merket eller klassifisert. Vi fikk se en liste fra tredjepart der ingen av slangene var klassifisert. Det var ingen komplett oversikt i vedlikeholdssystemet over hvilke slanger som var om bord, eller når de skulle vedlikeholdes.

Videre så vi at deler av utstyret om bord ikke var klassifisert. I Comos var det for noe utstyr beskrevet at det ikke var nødvendig å klassifisere det. I intervjuer kom det frem at dette ikke var i henhold til selskapets krav, og at utstyret skulle vært klassifisert.

Selskapet kunne ikke vise hvilke klassifiseringsvurderinger som er gjort for de enkelte hoved­funksjonene. Beslutningsgrunnlaget for analysene manglet

Hjemmel

• Aktivitetsforskriften § 46 - Klassifisering

  (sist endret: 01.01.2017)

  , jamfør styringsforskriften § 11 om beslutningsgrunnlag og beslutningskriterier

Vedlikeholdsprogram

Beskrivelse

Vedlikeholdsprogrammet, den systematiske forebyggingen av sviktmodi og svikt­mekanismer som kan føre til slike sviktmodi, var mangelfullt

Begrunnelse

Selskapet kunne ikke vise hvilke sviktmekanismer som skal vedlikeholdes med et program, hva de forskjellige vedlikeholdsaktivitetene skal forebygge, eller hvilke sviktmekanismer som skal gå til feil. I intervjuer ble vi fortalt at de nå arbeider med å knytte sviktmekanismer til aktivitetene.

Gjennom verifiseringer i anlegget, dokumentgjennomganger og intervjuer fremkom det at

1. selskapet hadde krav til at utstyr på tag-nivå skal knyttes til arbeidsordrer. Vi fant eksempler på at utstyr blir vedlikeholdt uten at det fremkommer av historikken til utstyrstaggen.
2. slanger (luft, vann, nitrogen og høytrykk, etc.) ikke var omfattet av vedlikeholdspro­grammet
3. for tredjepartsutstyr som kontorkonteineren for Nova-prosjektet, var det ikke tatt stilling til hvordan høyttalere skulle testes
4. et lokk over en utløserknapp var knekt og tapet på plass. Det var ingen registering i vedlikeholdssystemet
5. anoder på undervannsanleggene var identifisert som «oppbrukt». Disse ble oppdaget ved en tilfeldighet i forbindelse med annet arbeid. Selskapet har ingen inspek­sjonsplan eller planlagt vedlikehold for anoder som er krevende å inspisere
6. selskapet ikke kunne legge frem kriterier for rapportering eller kategorisering av in­speksjonsfunn som gjaldt statisk prosessutstyr, rør og beholdere. Vi fikk imidlertid dokumentert at det er gitt noen generelle kriterier for rapportering i selve arbeidsordre­teksten
7. etterspurt informasjon om oppfølging av beholdere med innvendig påleggssveiste stusser og pakningsflater ikke kunne legges frem. Vi ba om en fullstendig oversikt over hvor mange stusser med pakningsflater som er påleggssveist, og hva tilstanden for disse er i dag

Hjemmel

• Aktivitetsforskriften § 47 - Vedlikeholdsprogram

  (sist endret: 01.01.2017)

Planlegging og prioritering

Beskrivelse

Selskapet manglet kriterier for setting av prioritet for utføring av de forebyggende vedlike­holdsaktivitetene. Kriteriene for det forebyggende vedlikeholdet tok ikke hensyn til klassifi­seringen.

Begrunnelse

I henhold til styrende dokumenter, og som bekreftet i intervjuer, er alle forebyggende arbeids­ordrer gitt medium prioritet. Dette omfatter blant annet funksjonsstesting av sikkerhetskritisk utstyr, der sikkerhetskritisk vedlikehold ikke er identifisert og gitt en prioritet over annet vedlikehold.

I henhold til selskapets tekniske tilstandsrapport for 2018 («Maintenance and Integrity») ble et stort antall jobber, «ca 62 %» av 250 jobber, utført etter egne frister (arbeidsordrens prioritet ble endret «without justification» ifølge rapporten), og flere arbeidsordrer har fått forlenget frist.

Hjemmel

• Aktivitetsforskriften § 48 - Planlegging og prioritering

  (sist endret: 01.01.2011)

Vedlikeholdseffektivitet

Beskrivelse

Selskapet har ikke evaluert effektiviteten av vedlikeholdet systematisk på grunnlag av regi­strerte data for ytelse og teknisk tilstand for innretningen eller deler av den.

Begrunnelse

I selskapets vedlikeholdsstrategi «Gjøa Maintenance Strategy» var det ingen formelle krav til måloppnåelse med hensyn til effektivitet.

Gjennom intervju og verifiseringer i styringssystemet kom det frem at

1. selskapet ikke evaluerer effektiviteten av vedlikeholdet utover etterslep, slik det er be­skrevet i vedlikeholdstrategien.
2. selskapet ikke analyserer vedlikeholdet regelmessig slik det er beskrevet i eget styr­ende dokument
3. kontinuerlig forbedring ikke var prioritert innenfor vedlikeholds­styring

Hjemmel

• Aktivitetsforskriften § 49 - Vedlikeholdseffektivitet

  (sist endret: 01.01.2011)

Barrierer

Beskrivelse

Det var mangler ved de strategiene og prinsippene som legges til grunn for utforming, bruk og vedlikehold av barrierer, og det var mangelfull identifisering av barrierefunksjoner og krav til barriereelementenes ytelse. Kjennskapen til hvilke barrierer og barriereelementer som var ute av funksjon eller svekket, var begrenset.

Begrunnelse

Tilsynet viste at det var mangelfull identifisering av utstyr som har barrierefunksjoner. Ved stikkprøver i styringssystemet fant vi

• Få utstyrskomponenter under vann som var barriereklassifisert
• at nødspjeld for stenging av luftinntaket til dieselmotoren på brannvannspumpen ikke var identifisert som barriere
• at høyttalere på tredjepartskonteinere, eller annet utstyr som skal ivareta funksjonen til høyttaleren, ikke var indentifisert som barrierefunksjon
• at flere ytelsesstandarder ikke har referanse til utstyr/utstyrstyper

Når det ikke var identifisert barrierefunksjoner, var det heller ikke satt ytelseskrav til utstyr eller funksjon, eller gjort ytelsesmålinger av utstyr og systemer på innretningen, inkludert havbunnsinnretningene.

Videre viste tilsynet følgende:

• I intervjuer fikk vi vite at selskapet ikke hadde en strategi for detektering av lekkasjer fra innretnin­gene på havbunnen.
• Det var ikke satt ytelseskrav til avstengningsventilen for dieseltilførselen til dieselmotoren på brannpumpen. På forespørsel kunne ikke selskapet legge frem krav til funksjons­testing.
• Barrierepanelet henter status fra vedlikeholdssystemet for å vise barriere-svikter og svekkelser, men det kom frem i verifiseringer og intervjuer at kun én barriere er knyttet til et objekt i vedlike­holdssystemet, selv om utstyr kan ha mer enn én funksjon som ivaretar de forskjellige barrierefunksjonene. Dette ble sagt å gi en begrenset oversikt over svekkelser og svikter av barrierene på innretningen.
• Det var ulik forståelse av hva som skal være i barrierepanelet, hva som er i det og hvilke begrensinger det har.

Hjemmel

• Styringsforskriften § 5 - Barrierer

  (sist endret: 01.01.2015)

  , jamfør innretningsforskriften § 8 om sikkerhetsfunksjoner

Bemanning og kompetanse

Beskrivelse

Forutsetningene som er lagt til grunn for bemanning og kompetanse, var ikke tilstrekkelig fulgt opp. Mulige konsekvenser for helse, miljø og sikkerhet ved endringer i bemanningen var ikke utredet i stor nok grad.

Det var ikke satt minimumskrav til bemanning og kompetanse (eksempel kontrollrom) for å ivareta funksjoner der feilhandlinger (proaktive og reaktive) kan få store konsekvenser for helse, miljø eller sikkerhet.

Begrunnelse

Tilsynet viste at selskapet over tid ikke har hatt kapasitet til å gjennomføre aktiviteter knyttet til drift og vedlikehold.

Eksempler på dette er som følger:

1. Organisasjonen på land benytter innleie for å få gjort akti­viteter som ikke var utført som angitt i «Gjøa Maintenane Strategy». Selskapet hadde ikke vurdert konsekvensene for helse, miljø og sikkerhet ved at disse aktivitetene ikke var utført eller utredet.
2. I forkant av økt aktivitet på Gjøa, som en følge av tre nye prosjekter, foreligger det ikke en analyse av bemanningsbehovet. Det var ikke planlagt å utrede belastningen for personell i organisasjonen (på land og til havs) før etter prosjektene var ferdigstilt.
3. Det var ikke kjent for ledere til havs hvilke personer som mangler pålagte kurs. Etablerte systemer brukes ikke for å sikre at personell har tilstrekkelig kompetanse i å redusere potensialet for storulykker. Ledende personell til havs brukte ikke selskapets kursmatrise aktivt.
4. For personell i kontrollrommet var det ingen opplæringsplan som satte tydelige krav til kompetanse for den som skal sitte der alene. I forbindelse med at personell flyttes til prosjekt, er det blitt kompensert med nye personer uten nødvendig formell opplæring. Det ble vi fortalt i intervjuer.
5. Det kom fram i intervjuer at det var ulik forståelse av sikkerhetskritiske operasjoner (eks. lense- og ballastsystemet) Systemet hadde ikke en systembeskrivelse for hvordan det skulle opereres.
6. For gassdeteksjon i luftinntak til brannpumpene var det ulik og mangelfull forståelse av logikken («cause and effect») med påfølgende aksjoner. Systemet hadde ikke systembeskrivelse for hvordan det skulle opereres.
7. I intervju med ledende personell på land kom det frem at det var mangelfull kapasitet i noen avdelinger på land.
8. Avviket 5.1.1 viser at selskapet ikke har hatt nok kapasitet til å holde styringssystemet oppdatert.
9. Selskapet har ikke hatt nødvendig kapasitet til å holde styringssystemene for styrende dokumenter og selve dokumentene oppdatert. Vi viser her også til tilsynet vårt i 2012 – Tilsyn med styring av vedlikehold i GDF SUEZ E&P Norge AS – der avvik 5.1.1 var om manglende/man­gelfulle styrende dokumenter.

Hjemmel

• Styringsforskriften § 14 - Bemanning og kompetanse

  (sist endret: 01.01.2011)

Bruk av norsk språk

Beskrivelse

Selskapet kunne ikke dokumentere at bruken av engelsk i skriftlig materiale som prosedyrer og manualer ikke gikk på bekostning av sikkerheten.

Begrunnelse

Tilsynet viste at strategier og styrende dokumenter for vedlikeholdsstyring i all hovedsak var utarbeidet på engelsk og ikke fantes på norsk. Selskapet kunne ikke dokumentere at bruken av engelsk ikke gikk på bekostning av sikker­heten.

Intervjuer viste at bruken av engelsk var et problem for fagmiljøer på innretningen med tanke på deltagelse i forbedringsarbeid innenfor vedlikeholdsstyring. Det kom også frem at andre språk enn norsk kunne være utfordrende for fagarbeidere ved sikkerhetskritiske arbeids-operasjoner og ved sikkerhetsgjennomganger.

Selskapet fortalte oss at alle operasjonelle prosedyrer, retningslinjer og sjekklister som brukes til havs, skal være på norsk, men at dette ikke er beskrevet i styrende dokumenter i dag

Hjemmel

• Rammeforskriften § 14 - Bruk av norsk språk

  (sist endret: 01.01.2011)