Mangelfull planlegging og prioritering
Beskrivelse
Equinors samlede plan for utføring av korrigerende vedlikehold på barrierefunksjonene mot storulykker hadde ikke resultert i utbedringer i takt med svekkelsene på barrierefunksjonene.
Begrunnelse
Flere svekkelser av barrierefunksjonene hadde eksistert i en årrekke. Selv om selskapet hadde uttalt ambisjon om utbedringer innen rimelig tid, og flere kompenserende tiltak var utført, hadde man endt opp med gjentakende forsinkelser på utbedringsplanene.
Vi forespurte hvor lenge svekkelsene av barrierefunksjonene mot storulykker som selskapet selv anså som betydelige eller alvorlige hadde vært kjent, men selskapet kunne ikke redegjøre for dette for alle svekkelsene, inkludert hva som var opprinnelig plan for korrigering.
Equinor fulgte opp tekniske og operasjonelle barrierer på Visund blant annet gjennom
- intern-revisjon «Teknisk Tilstand Sikkerhet» (TTS),
- oppfølgingsverktøyet «TTS-status»
- Technical Integrity Management Portal (TIMP), der man flere ganger i året gjør vurderinger av teknisk tilstand på barrierefunksjoner (PS’er), og
- Operational Barrier Elements (OBE) worksheets
Siste TTS-revisjon av Visund var utført i 2019, og de forrige revisjonene var i henholdsvis 2011, 2006 og 2003. Equinor hadde en egen oversikt over oppfølging av funnene i TTS for Visund. Her kom det fram at flere utbedringer hadde blitt utført. Men det kom også fram at en rekke funn ikke hadde blitt utbedret selv om det lenge hadde vært planlagt utbedring. Noen av disse er svekkelsene er beskrevet nedenfor, for de PS’ene som hadde karakter D (betydelige mangler) eller E (alvorlige mangler).
- For PS10 Passiv brannbeskyttelse var det ikke gjort en ny TTS-revisjon i 2019, men rapporten fra 2019 refererer til funn fra TTS-rapporten i 2011 om at mangelfull passiv brannbeskyttelse på rør fortsatt ikke var korrigert. TTS-rapporten fra 2011 beskrev at man i 2006 hadde utarbeidet en rapport for optimalisering av behovet for PBB på prosessrør, og i forbindelse med dette var det identifisert flere mangler. Disse var fremdeles ikke utbedret. I Equinor sin oversikt over TTS-funn for Visund, har man årlig skjøvet på utbedring av dette funnet. For eksempel i 2015, 2016, 2017 og 2018 ble fristen utsatt, kun med begrunnelse av at man trengte mer tid. Senere i 2018 ble det skjøvet enda et år fordi man ventet på en brannintegritetsstudie. I 2019 skrev selskapet at studien endelig var besluttet utført, og skjøv fristen for utbedring av dette TTS-funnet enda et år. Men i 2020 hadde selskapet igjen ombestemt seg, og skrev at brannintegritetsstudien ikke vil bli utført, og at fristen ble utsatt igjen. Arket med «TTS-status» viser at i 2021 ble fristen nok en gang utsatt. Vi observerte også svekkelser i passiv brannbeskyttelse som ikke hadde blitt identifisert av selskapet, se avvik 1.7.
- Flere eksempler kommer fra PS2 Naturlig ventilasjon og HVAC. TTS-rapporten fra 2019 beskriver manglende luke i sekkelager som en av de viktigste svekkelsene, med potensiale for manglende beskyttelse mot gassinntrenging og at gass dermed kan eksponere tennkilder. I våre intervjuer kom det fram at det har vært manglende luke i sekkelager minst siden 2009, og mest sannsynlig har det aldri vært noen luke der. Selskapet hadde midlertidig flyttet utstyr fra sekkelageret og benyttet utelukkende EX-sikkert utstyr der på grunn av den manglende beskyttelsen mot gassintrenging i området.
- Innenfor PS2 hadde selskapet også identifisert degradert HVAC-aggregat, med fare for å suge gass inn i HVAC-systemet nedstrøms gassdetektorer/spjeld, med mulighet for å eksponere tennkilder. «TTS-status» viste at utbedring hadde blitt anbefalt i 2017, men intervjuene viste at svekkelsen var kjent tidligere enn dette også. Ett HVAC-aggregat var planlagt ferdig byttet ut i løpet av 2022, mens to var planlagt ferdigstilt i 2023.
- Før tilsynet mottok vi Equinor sin «MiS Risk» oversikt over risikoer på Visund, med tilhørende frister for utbedring. For PS12 Prosessikring var det beskrevet at «utbedring av sekundær tetningsgass- vent» hadde frist 28. oktober 2021, men i oppstartsmøtet 4. november ble det presentert at bytte av tetninger og økt dimensjon på ventrør var planlagt ferdigstilt innen utgangen av året. Som kompenserende tiltak var 6. trinnkompressor stengt ned fram til det var ferdig utbedret.
- PS6 Tennkildekontroll hadde flere svekkelser, blant annet at det var manglende oversikt over ikke-elektriske tennkilder, se delkapittel 1.5.
- Videre var det manglende overtrykk i mudloggecontainer. TTS i 2011 viste samme svekkelse, og var påpekt i interne eltilsyn.
- Innen PS 7 Branndeteksjon var det ved TTS-gjennomgang i 2003 identifisert mangel knyttet til dokumentasjon av valg av detektortype, antall og lokasjon. Deler av scope har blitt gjennomført, men det manglet fremdeles risikovurdering for detektor i svikt. Dato for ferdigstilling har blitt flyttet årlig på grunn av manglende prioritering og mangel på ressurser. Funnet var fremdeles ikke lukket på tidspunktet for tilsynet, og det ble oppgitt at gjeldende frist for lukking var Q4 2021.
- Innen PS18 Marine systemer og posisjonskontroll hadde selskapet i sin TIMP-oversikt i år endret karakter på de eksisterende svekkelsene, til nivå E («Alvorlige mangler»). Flere av disse svekkelsene hadde vært identifisert i organisasjonen for flere år siden. Samtidig hadde den operasjonelle delen av barriere-elementene i PS18 fått karakteren D (betydelige mangler) i OBE-oversikten. Totalrisikoanalysen fra 2014 inneholdt flere anbefalinger angående ballastering. Blant annet ble det anbefalt installasjon av et mer effektivt menneske-maskin-grensesnitt for styring av ballastering. TTS fra 2019 identifiserte også «uakseptabelt avvik mellom data fra online og kalkulert i lastkalkulator», som høyest rangerte funn. TTS 2019 anbefalte oppgradering av forankringssystem, lastekalkulator og Rig Management System, og beskrev dette som kjente svekkelser. Equinor har beskrevet at ankervinsjer i 2017/2018 ikke var i god stand, og at Rig Management System og Posisjoneringssystem ble gitt TIMP-karakter D i 2014. Likevel var tilstanden ved vårt revisjonstidspunkt i 2021 slik at selskapet i mars 2021 ga TIMP-karakteren E på PS18 fordi «Ankervinsjer er betydelig degradert, bremsekraft svekket og usikkerhet om man kan utført kontrollert nødforhaling».
Videre var planeffektivitet og 12-månedlig snitt for sikkerhetskritisk vedlikehold og overskridelse av frist for å gjennomføre vedlikehold («required end date overdue») ikke innen selskapets mål. Det ble på land beskrevet en positiv trend, mens man på Visund beskrev at grunnbemanningen i prosjektet «Driftsbemanning 2016-2019» hadde bidratt til at kapasiteten hadde blitt redusert under forutsetning om mer skrutid, men at administrasjon av utsettelser var så tidkrevende at den førte til mindre skrutid. Det ble sagt at skrutid for fagansvarlige var gått ned. For eksempel hadde Fagansvarlige Automasjon og Fagansvarlige Mekanisk redusert skrutid fra 70% til nær null, mens ambisjonen i «Driftsbemanning 2016-2019» var å øke skrutiden. Behovet for mer administrasjon var på grunn av at arbeidsmengden offshore var større enn tilgjengelige skrutimer. Derfor måtte man omdisponere skrutid til administrasjonstid for å analysere hvordan utsettelsene burde prioriteres.
Vi observerte også ulike oppfatninger i hav og land angående arbeidsomfanget. Noen forebyggende vedlikeholdsoppgaver hadde foreløpig et timeestimat på kun 0,1 timer som følge av forbedringsinitiativet «Ende til Ende vedlikehold». Vi fikk forklart at timeestimatet var ment å skulle oppdateres etter første gangs utførelse av vedlikehold. Dette kan føre til at det blir vanskelig for landorganisasjonen å ha et realistisk bilde på gjennomføringsevnen før programmene var justert etter første gangs utførelse.
Selskapet beskrev flere forhold som bidro til at de er i en situasjon der en rekke svekkelser på barrierefunksjoner har eksistert over flere år. Det var utfordrende å oppnå selskapets mål i vedlikeholdsstrategien om «rett vedlikehold til rett tid med rett innsats», blant annet fordi man ikke klarte å knytte til seg tilstrekkelig personell med rett kompetanse. Opplæring av nytt personell ville i en periode føre til at «fadder» fikk mindre skrutid, og noe personell forlot Visund kort tid etter å ha blitt opplært. En annen faktor var at man ikke klarte å skaffe utstyr til alle utbedringene, mens noen oppgaver ble beskrevet som avhengige av å få plass i oppgaveporteføljen i en revisjonsstans. En tredje faktor var at utbedringene skulle balanseres mot driftsoppgavene og å gi assistanse til prosjekter.
Man hadde heller ikke tilgjengelig personell til å fylle opp kapasiteten i boligkvarteret, og det var utfordrende å få personell via Equinors vikarpool - Offshore Fagsenter.
På Visund var det en oppfatning om at det kun var marginale forbedringer man kunne oppnå ved optimalisering av arbeidsmetoder og styring i havet, og at den åpenbare løsningen handlet om å skaffe flere ressurser.
Hjemmel
Mangelfull risikoreduksjon
Beskrivelse
Styring av vedlikehold var ikke basert på reduksjon av risiko så langt som mulig.
Begrunnelse
Sikkerhetskritisk vedlikehold ble prioritert. Men det ble likevel beskrevet at det til tider ikke var noe annet valg enn å utsette oppgaver basert på kapasitet framfor
- hva risikovurderingene opprinnelig tilsa, og
- usikkerhet om slike utsettelser ville holde.
I avvik 5.1.1 har vi beskrevet et eksempel der utbedringer av passiv brannbeskyttelse ble utsatt årlig uten andre begrunnelser enn kapasitet eller at man trengte mer tid fordi man på nytt hadde ombestemt seg.
Et annet eksempel på utsettelser basert på kapasitet leser vi av den interne granskningsrapporten etter hendelsen i juli 2021, med uønsket forhaling mot produserende brønn. Hendelsen resulterte i at hengende last kom innenfor minstekravet på 8 m horisontal avstand til produserende brønn. Der framstår det som at selv om den faglige vurderingen i juni var å stoppe all forhaling, ble det besluttet å fortsette forhaling i ytterligere en måned, og at svekkelsene på de marine systemene bidro til å utløse hendelsen.
Et tredje eksempel på utfordringene selskapet opplevde med å utsette vedlikehold basert på risikovurderinger, er usikkerheten de ansatte beskrev ved slike risikovurderinger. Når man gjør risikovurderinger av tilstander til korroderende bolter, under PS1, så vet man at korrosjonen går sin gang. Men selv med god faglig kompetanse var det vanskelig å si hvor lenge man kunne skyve på oppgavene.
Sentralt personell beskrev at re-planlegging med utsettelser av frister (flytting av required end date) for å møte mål om null utestående jobber ved månedsslutt skapte frustrasjon og ga betydelig merarbeid i hele organisasjonen.
Hjemmel
Manglende oversikt over avviksbehandling
Beskrivelse
Equinor har ikke hatt oversikt over status på avvik på Visund.
Begrunnelse
Equinor har registrert avvik, DISP 103427, om «overbroing for NAS-signal til nødgenerator gir ikke alarm eller indikasjon i SKR». Denne var godkjent som permanent avvik selv det ikke var søkt til Ptil om unntak fra regelverket. Nå viste det seg at det var implementert endringer på CAP panelet i kontrollrom som viser denne statusen. Det gjør at unntaket ikke er i tråd med status på innretningen og oversikt over status av unntak er feil.
Hjemmel
Manglende vedlikehold av gamle kontrollsystemer
Beskrivelse
Equinor har ikke sikret at Visunds kontrollsystemer holdes ved like, slik at de er i stand til å utføre sine krevde funksjoner i alle faser av levetiden.
Begrunnelse
På Visund er det flere eldre kontrollsystemer som er utdatert. Det gjelder spesielt mooringsystemet og ballastsystemet levert av Kongsberg, i tillegg til flere systemer som er basert på Siemens Step 5-teknologi. Systemene bruker operativsystemer som var utdatert for nesten 20 år siden, og det vil være vanskelig å få disse systemene til å operere hvis kritiske deler feiler.
HPR systemet, som er et hydroakustisk posisjoneringssystem og blir brukt av mooringsystemet, er gammelt og gir konstant alarm på mooringsystemet. Det gjør at operatørene velger å ikke bruke HPR’en som et valgt referansesystem. Det gjør at mooringsystemet bare baserer seg på ett referansesystem (GPS) og mangler redundans. Ved tap av GPS’en vil mooringsystemet mangle posisjonsinformasjon.
Det finnes ikke mulighet for alarmlogg på disse gamle systemene lenger. Da systemene ble levert, var denne funksjonaliteten ivaretatt med tilkoblet alarmprinter (nåleprinter) som skrev ut alarmer etter hvert. Disse printerne er fjernet for lenge siden på grunn av at det ikke er mulig å få tak i nye eller å reparere de. Det gjør at denne funksjonaliteten som systemene ble levert med ikke er blitt erstattet.
Det var utfordringer med å vedlikeholde kompetanse på disse systemene og det var vanskelig å få support fra leverandørene av disse systemene.
Hjemmel
Mangelfull kontroll med tennkilder
Beskrivelse
Det var ikke gjort en systematisk kartlegging av potensielle ikke-elektriske tennkilder. Det var derfor heller ikke satt i verk nødvendige tiltak for å redusere faren for antennelse så langt som mulig. EX-utstyr som manglet merking og ikke-terminert kabel ble observert i felt.
Begrunnelse
TIMP-evalueringen viste at det ikke var utført kartlegging av ikke-elektriske tennkilder. Vi har blitt informert om at Equinor holder på med å utarbeide en felles metode for kartlegging av ikke-elektriske tennkilder. Vi er likevel gjennom andre tilsyn gjort kjent med at noen Equinor-innretninger har utført en slik kartlegging på egen hånd. Eksempelvis ble det utført en kartlegging på Draupner i 2018. TIMP-evalueringen viste også utfordringer med varme overflater på eksoskanaler.
Under befaring i felt ble det observert flere høyttalere i klassifisert område som manglet lesbar EX-merking. Det ble videre observert en kappet kabel uten merking hengende løst i klassifisert område.
Hjemmel
Mangelfull passiv brannbeskyttelse
Beskrivelse
Passiv brannbeskyttelse var ikke utformet slik at den gir utstyr tilstrekkelig brannmotstand med hensyn til integritet og isolasjonsevne.
Begrunnelse
Der passiv brannbeskyttelse benyttes skal denne utformes slik at den gir aktuelle konstruksjoner og utstyr tilstrekkelig brannmotstand. Beskyttelsen må være riktig installert, dekke hele utstyret og være intakt.
Under verifikasjon i anlegget observerte vi flere mangler ved montering/re-montering av isolasjonsputer og isolasjonskasser som hadde merking som brannisolasjon i felt (klasse 5). Flere isolasjonsjakker/puter omsluttet ikke utstyret de skulle beskytte ordentlig og hadde åpninger som medførte at deler av utstyret var helt eller delvis eksponert for omgivelsene. Flere steder var metallbånd som holder isolasjonsjakker på plass og sikrer integritet ikke montert/re-montert i henhold til minimum krav om avstand mellom slike bånd. Videre observerte vi flere tilfeller der inspeksjonsluker i isolasjonskasser med stålmantling ikke var satt på plass.
Hjemmel