Personlig verneutstyr for arbeid på elektrotavler
Beskrivelse
Equinor har ikke sørget for at personlig verneutstyr som anvendes på Statfjord B for testing av nødgenerator og annet arbeid på elektrotavler til enhver tid gir fullt forsvarlig vern.
Begrunnelse
Under revisjonen om bord kom det frem at nødgenerator testes månedlig. Testingen består i betjening av elektrotavle på 440V der det kan oppstå lysbuer.
Denne kjøringen og testing utføres uten arbeidsordre og arbeidstillatelse. Testingen er ikke i henhold til Equinors styrende dokument SO00719, Final ver.2 gyldig fra 2017-03.22. System uavhengig – arbeid uten AT – Statfjord B.
Beregnet lysbueenergi på denne tavlen er 112,6, cal/cm2, mens flere tavler om bord har lysbueenergi over 50 cal/cm2. Lysbueenergi når tavlen forsynes fra nødgenerator er ikke kjent.
Ihht Equinors «Instruks for risikovurdering av betjening og arbeid på elektrotavler over 400V på Statfjord A, B og C» skal en ved risiko for lysbueenergier mellom 25 cal/cm2 og 40 cal/cm2 bruke verneutstyr i kategori PPE4 som er høyeste standardnivå for verneutstyr imot lysbueenergi.
Det ble fremlagt verneutstyr (PPE 4) for bruk ved betjening av tavler i denne operasjonen og eventuell annen betjening av elektrotavler ombord. Dette verneutstyret hadde ikke tilstrekkelig ytelse for mulige verdier av lysbueenergi, særlig i ansiktsregionen.
Hjemmel
Henvisning til annet regelverk
Forskrift om organisering, ledelse og medvirkning § 15-3 om krav til personlig verneutstyr annet ledd.
Barrierer
Beskrivelse
Equinor var ikke kjent med alle barrierer og barriereelementer som var ute av funksjon eller var svekket på Statfjord B og hadde ikke satt i verk nødvendige tiltak for å rette opp eller kompensere for disse.
Begrunnelse
Selskapet fremhever bruken av TIMP (Technical Integrity Management Program) for å vise svekkelser for sikkerhetssystemer. Det ble opplyst i oppstartsmøte at TIMP blir oppdatert hver annen måned eller ved behov. Vår revisjon viser at dette var mangelfullt ifht hyppighet og i omfang av registrerte barrieresvekkelser.
Elektro tavler:
Verifikasjon av TIMP for PS 11 (nødkraft og belysning) viste:
«For nødkraft var TIMP-karakter «C».
Fra beskrivelsen i PS 11 står det;
«Karakter «C» viser da at PS-en fungerer i hovedsak som tiltenkt og derfor karakter C.»
Videre beskrevet med:
«Svekkelse 1: Gamle vern i en del av 440V tavler,- Delkarakter C.
Svekkelse 2: mye feil på lys.»
Evalueringselementer;
«vedlikehold og tilstandskontroll: etterlevelse av krav knyttet til vedlikehold og testing er ivaretatt på en god måte.»
Etter gransking av hendelse med kortslutning og personskade på SF B i 18. august 2020 ble Equinor gitt følgende pålegg 12. januar 2021 (Vår sak. 2020/1643):
«Identifisere og iverksette tiltak som sikrer at man har tilstrekkelige tekniske, operasjonelle og organisatoriske løsninger som reduserer sannsynlighet for at det oppstår skade, feil- og fare- og ulykkessituasjoner i forbindelse med drift og vedlikehold av de elektriske anleggene»
Flere av 440 volts tavlene, herunder nødkraft, har svært høye lysbueenergier. Som følge av pålegget la Equinor frem en plan med sluttdato ‘’i løpet av 2022’’.
Det er opplyst at tekniske løsninger og forbedringer ikke er fullført ihht planen. Siste rapporterte status beskriver at utbedring, i form av installasjon av lysbuevern på Statfjordfeltet, er forventet ferdigstilt innen utgangen av 2024.
Equinor FLX har etablert en DISP for 440 volts tavlene. Et konkret tiltak som er beskrevet i DISP, er å ikke utføre (forebyggende og korrigerende) vedlikehold på tavler med åpne skinner som har høye lysbueverdier.
Det er også utarbeidet en «Instruks for risikovurdering av betjening og arbeid på elektrotavler over 400V på Statfjord A, B og C».
Punkt 1 i denne instruksen lyder:
«Verneutstyr som benyttes skal være merket med ATP-Verdi (Arc Thermal Performance Value ) i cal/cm2 som er minst like høy som hendelsesenergien som kan oppstå på arbeidsstedet»
Punkt 4 i instruksen
«Utvendig betjening av tavler utføres i henhold til tabell 1. Dette inkluderer betjening av skillebrytere på starterskuffer og kobling av tavlebrytere (innkommere, bus-tie).»
(Fig.)
På bakgrunn av informasjon i tilsynet om brudd på interne rutiner i form av månedlig test av nødgenerator jf «sikkerhetsmessig klarering av arbeid», uten godkjent AT og uten godkjent AO, jf avvik 5.1.5 samt uten tilstrekkelig beskyttelse, jf avvik 5.1.1., er det vår vurdering at den ansvarlige ikke har satt i verk nødvendige tiltak for å rette opp eller kompensere for disse barrierer og barriereelementer som var ute av funksjon eller var svekket på Statfjord B.
Ikke elektriske tennkilder
Vi fikk opplyst at det er gjennomført kartlegging av ikke elektriske tennkilder som varme overflater etc og at disse er synliggjort som en svekkelse i TIMP. De ikke-elektriske tennkildene, var på revisjonstidspunktet, imidlertid ikke en del av vedlikeholdsprogrammet. Det var ikke etablert DISP for forholdet og ikke kompensert for usikkerheten dette medfører. Equinor bekreftet under tilsynet at det skulle vært etablert DISP.
Brannpumpe
En brannpumpe har vært ute av drift siden sommeren 2023. Motor var sendt i land for reparasjon. Svekkelsen av brannvannskapasitet var ikke synliggjort som en svekkelse i TIMP. Dette tilsier at TIMP ikke har vært oppdatert i tråd med interne rutiner.
Tavlerom
Rom for høyspenningsanlegg hadde innadslående dør. Dette utgjør et hinder for effektiv evakuering. Dette var ikke identifisert som svekkelse i TIMP, eller kompensert for.
Internrapport – Tilsynsrapport 2022
Equinors interne «Tilsynsrapport av 2022 på det elektriske anlegget på Statfjord B» hadde 15 funn / avvik. I rapporten var 9 funn uten status «utført»på aksjon, til tross for at fristen som var satt hadde utløpt.
Rapportens forfatter, ansvarlig for utgivelse, fagansvarlig (organisasjonsenhet), utarbeidet (organisasjonsenhet), anbefalt (organisasjonsenhet), og godkjenner (organisasjonsenhet) er samme person. «Myndig person» for å godkjenne avvik er ikke navngitt. Internrapporten har ingen avvik innen verneutstyr, Vedlegg 1 i internrapporten beskriver aktuelle fokusområder i forbindelse med elektrotilsyn, der punkt 7 blant annet beskriver: «verneutstyr, beholdning og vedlikehold». Funn 11 i rapporten lister opp høyeste lysbuenivå som 196,9 cal/cm2 i tavle NN1901, mens verneutstyr som er tilgjengelig om bord på Stafjord B, kun er godkjent som PPE4 (dvs opp til 40 Cal/cm2). Rapporten nevner ikke dette.
Hjemmel
Planlegging
Beskrivelse
Equinor hadde ikke sikret at de ressursene som var nødvendige for å utføre de planlagte vedlikeholdsaktivitetene var stilt til rådighet for Statfjord B.
Begrunnelse
Oversikter på planoppnåelsen og planeffektiviteten som Equinor viste i oppstartsmøtet, var på det nivået selskapet selv ønsket.
Styrende dokument OM102.07 beskriver at notifikasjoner skal behandles innen 7 dager. Fra intervjuer kom det imidlertid frem at det ikke var tilstrekkelig bemanning til å behandle alle notifikasjoner i henhold til denne arbeidsprosessen. I intervjuer og i åpningsmøte beskrives det som tidkrevende å behandle notifikasjoner.
I tilsynet ble vi vist flere systemindikatorer for vedlikehold i "FLX/Status Vedlikehold Statfjord B». Den ene indikatoren viser innmeldte «M2» notifikasjoner hvor over 100 notifikasjoner ikke var ferdig behandlet. Flere notifikasjoner registrert i systemet SAP hadde meget lang behandlingstid. Dette illustreres av at gjennomsnittlig behandlingstid var over 20 dager, mens mediantiden var 4 dager. Dette viser riktignok at mer enn halvparten er behandlet innen fire dager, men også at behandlingen av den resterende halvpart tar lang tid.
Det har fra april 2023 og fremover vært en økning i Equinors Statfjord B «Overall CM Portfolio» som består av identifisert, men ikke utført korrigerende vedlikehold. Mengden har overskredet Equinors egendefinerte «grønn sone» for mange måneder siden og er økende.
Vi har også blitt vist det FLX kaller «fleksible pakker». Vi fikk opplyst i intervju at disse pakkene ikke er timesatt og at heller ikke er med i oversikten over identifisert korrigerende vedlikehold.
I åpningsmøtet ble vi vist en oversikt over notifikasjoner pr 06.11.23 fra Power BI som sammenfalt med vår verifisering. Antall notifikasjoner i uke 45 hadde følgende SAP statuser:
- Create: 52
- Qave: 45
- RIDO: 15
- RIVE: 24
Som indikerer notifikasjons-faser – før arbeidsordre-fasen (AO).
I oppstartsmøtet uke 45, opplyste Equinor om at det er noe sikkerhetskritisk vedlikehold utestående på Statfjord B.
I uke 47 verifiserte vi i SAP, og søkte på antall åpne «M2» notifikasjoner (innmeldt vedlikeholdsbehov) for Statfjord B. Søket viste 1536 stk «M2» notifikasjoner med arbeidsordre. Over 700 av disse hadde ABC indikator «3» dvs utstyr som er med klassifisert HØY på HMS, produksjon eller kostnader og som er uten redundans i klassifiseringen. (Vi viser til avvik pkt 5.1.6 der det fremkom at 15000 utstyr(tag) er klassifisert med «N» - ikke nødvendig å klassifisere. Noen av disse vil også kunne omfattes av klassifisering HØY.)
I verifiseringen ble vi vist en indikator som viste at Re-planlegging av notifikasjoner som går tilbake til «create» status var mellom 8% og 17%. Dvs at disse arbeidsordrene ikke blir utført innen tidsfrist og startes på nytt med ny «required end date.»
Vi ble under revisjonen oppmerksom på at det var 123 stk. «M2» notifikasjoner uten arbeidsordre. En notifikasjon telles ikke – om den ikke har blitt tildelt en arbeidsordre. Disse 123 stk «M2» notifikasjonene var dermed ikke tatt med i utestående mengde korrigerende vedlikehold (Overall CM Portfolio). Den eldste notifikasjonen uten arbeidsordre var fra 20.1.2021.
Videre har vi fått vite at ikke alle opplæringsaktiviteter er med i AO-planene. Det blir beskrevet i intervjuer at opplæring reduserer planoppnåelsen.
I intervjuer gav flere uttrykk for at korrigerende arbeidsordrer ikke kunne gjennomføres i henhold til de planer som var etablert. Dette skyldtes blant annet kvalitetsavvik i plan for de planlagte jobbene. Under revisjonen fikk vi som eksempel fremlagt en jobb med en ESV-ventil som ble stanset grunnet usikkerhet i metodevalg.
Equinors interne system «Synergi» viste fra 2022 at det er for høyt press på notifikasjonsgjennomgangen og mangelfull planlegging av arbeidsordre fra land.
I intervjuer kom det frem at det benyttes arbeidstid utover 12 timer og ut over 14 dager til arbeid på arbeidsordreplanen. Dette må sees i sammenheng med planoppnåelsen.
Equinor oppgav i åpningspresentasjonen i tilsynet at et offshore årsverk er 1460 timer ihht sokkelavtalen. Med utgangspunkt i (timer utover 12 timer, utover 14 dager og arbeid på land i friperioder for Equinors driftspersonell) / 1460 timer utgjør den benyttede tid ut over «offshore årsverk» en arbeidsmengde tilsvarende ca 22 stillinger offshore for ett år.
Hjemmel
Vedlikeholdsprogram
Beskrivelse
Equinor forebygget ikke systematisk sviktmodi som kan utgjøre en helse-, miljø- eller sikkerhetsrisiko, ved hjelp av vedlikeholdsprogrammet for Statfjord B.
Programmet omfattet ikke aktiviteter for overvåking av ytelse og teknisk tilstand, som sikret at sviktmodi som er under utvikling eller har inntrådt, blir identifisert og korrigert.
Programmet hadde også mangelfulle aktiviteter for overvåking og kontroll av sviktmekanismer som kan føre til slike sviktmodi.
Begrunnelse
RBI og inspeksjon
Den nyeste RBI analysen på SFB ble utført av DNV i 2015. Denne ble oversendt i forbindelse med tilsynet. Analysen har mange punkter til oppfølging (Kapittel 9). Disse er ikke dokumentert som fulgt opp eller håndtert.
Beholdere, ventiler, flenseflater og overflatebelegg, var ikke omfattet av analysen slik at disse ikke har fått et program som følge av denne.
Vi fikk beskjed fra Equinor om at det ikke finnes en annen eller nyere RBI analyse for beholdere på Statfjord B.
Vi observerte flere ventiler om bord på SF B med materialutfordringer i flenseflater, der det er to forskjellige materialkvaliteter. Det er også observert flere plasser der bolter er korrodert.
Equinor har ikke en systematisk RBI analyse for blant annet tap av overflatebeskyttelse på SF B. Vi viser til HC lekkasjer rapportert til oss om mengder utover 0,1kg/s på SF B. I disse var utvendig korrosjon sviktmekanisme.
Aksjoner etter rapporten fra 2015 var ikke systematisk lukket. Vi etterspurte dette i intervju, men det kunne ikke vises til en arbeidsprosess, eller at arbeidet med utestående arbeid / «gap» var lukket. Vi har fått beskrevet at det er gjort noe, og at det er lagt noen linjer inn på gjeldene inspeksjonsprogrammer når man har funnet eller finner mangler.
Vi har i tillegg observert overflatekorrosjon på karbonstålrør i felt. Disse er håndtert gjennom bruk av ulike reparasjonsmetoder, herunder plastringer og straub-koblinger.
Straub-kobling ansees som en midlertidig reparasjon, også etter Equinors interne tekniske krav (TR3016). For noen systemer, har en straub-kobling 3 års levetid etter denne.
Noen av straub-koblingene vi observerte har stått i lang tid på en linje. Det var kun en aktiv arbeidsordre på denne linjen, selv om det er mange straub-koblinger på samme linje. På et kort strekk (ca to meter) så vi fire stykker. Det var ikke etablert DISP for bruk ut over 3 år, i strid med Equinors interne krav i TR3016. Det var heller ikke innrapportert «M2» notifikasjoner for hver enkelt straub-kobling på linjenummeret som var blitt midlertidig tettet.
Funn fra felt og verifiseringer
Vi har i vår verifisering i vedlikeholdssystemet og felt sett følgende:
a) Flere arbeidsordrer var lukket selv om det ikke var utført, markert med tilbakemelding «not done», på rapportering av sikkerhetskritisk forebyggende vedlikehold. Blant annet var manglende tilkomst brukt som begrunnelse for å ikke utføre testing av brannspjeld.
b) Vi ser at merking av ATEX utstyr generelt er mangelfull.
- Arbeidsordrebeskrivelsen tilsier at hvis det er like koblingsbokser så må ikke alle være merket. Samtidig skal de som ikke er merket registreres, noe som ikke var gjort.
- ATEX merking er ofte borte, eller skilt er uleselige.
- Generelt er koblingsbokser for egensikre kretser ikke merket med blått egensikker skilt.
c) Røykvarslere hadde beskrevet testmetode i arbeidsordren for funksjonstest. Ihht denne testmetoden skal røykvarsler undersøkes, med sjekk av partikkel og eventuell rengjøring, før test av funksjon. Metoden gir dermed ikke korrekt «failure on demand» testing, som er grunnlaget for å si noe om godheten av systemet og utstyret, samt intervallsetting av fremtidig testing.
d) Det manglet vedlikeholdsprogram for sjekk av merkeskilt og skiltet utstyr «ute av drift.»
- Flere kabler er ikke i bruk og var etterlatt i felt. Det er varierende om kabelendene er preservert, og ingen av de observerte kablene er merket som ubrukte. Det er ukjent om kablene er koblet til jord i forsyningsenden.
- Høyspentkabler er generelt ikke merket med høyspent skilt.
e) Motor for ballastpumpe (PB3101C) har ikke varselskilt for høyspenning.
f) En av hovedavtrekksviftene på system 3 gikk, mens den andre var i standby. Den som var i standby gikk sakte rundt. Dette skjer på grunn av utette spjeld, slik at aktiv vifte trekker falsk luft igjennom standby vifte. Dette reduserer avtrekk fra områder betjent av system 3 og påvirker balanseringen av HVAC system 3. Det var ikke merket med «M2» lapp i felt.
g) Kapsling rundt isolering på rør med heat trace er skadet flere plasser. Slike skader reduserer isoleringsevnen og åpner for vanninntrenging. Kapslingene var ikke merket med «M2» lapp i felt.
h) En ATEX sertifisert lampe på M10-14 hadde hull i skjerm og vanninntrenging
i) Flere tilfeller av korrosjon av MCTer er observert ute i felt. Disse var ikke merket med «M2» lapp i felt
j) Flere manometre som ikke fungerer, er observert. Disse er ikke merket med «M2» lapp i felt
k) Flere ventiler manglet ratt, enten grunnet korrosjon eller at de er knekt av. Disse er ikke merket med «M2» lapp.
l) I modul C08 er en loddrett kabelbane falt ned på grunn av korrosjon. Kablene henger løse etter og var ikke merket med «M2» lapp
m) Det fantes ikke vedlikeholdsprogram for prøvetakningsstasjoner om bord. Den ene vi så på i felt hadde ikke tag nummer.
n) Test av brannspjeld stod beskrevet i arbeidsordreteksten som «testes fra SKR (sentralt kontrollrom)», men ble i praksis testet fra lokalt panel. Det var ikke mulig å teste de tre spjeldene vi var med å teste fra SKR.
o) En nøddusj med ventilhendel hadde for høyt plassert håndtak.
p) Flere drainpotter på værdekk, var fulle i vann og har da ikke intakt sin funksjon for å lede bort væske.
q) Mangelfullt program for å se etter “carseal” – som anviser / holder ventiler i riktig posisjon.
r) Det var områder med svak gulmerking for rømningsvei på SFB som ikke var fanget opp av vedlikeholdsprogrammet.
s) Det var mangelfull rengjøring i flere områder – bl.a. i områder der kaks fra skip har blåst ned på etasjen under.
Hjemmel
Sikkerhetsklarering av arbeid
Beskrivelse
Equinor hadde ikke klarert alle planlagte aktiviteter sikkerhetsmessig før arbeidet ble utført på Statfjord B. Det var ikke alltid identifisert hvilke tiltak som skulle settes i verk før, under og etter arbeidet slik at de som deltar i eller kan bli berørt av aktiviteten, ikke skades, og slik at sannsynligheten for feilhandlinger som kan føre til fare- og ulykkessituasjoner ble redusert.
Begrunnelse
Equinor har interne styrende dokumenter som blant annet setter krav eller retningslinjer for klarering av arbeid; Drift og vedlikehold (OM), System- og operasjonsdokument, SO00719, Final Ver. 2, gyldig fra 2017-03-22.Dokumentet beskriver hvilken type arbeid som kan foregå uten arbeidstillatelse.
Vi har i tilsynet funnet flere tilfeller som ikke er dekket av SO00719, men hvor arbeid har forekommet uten arbeidstillatelse, og som viser at SO00719 ikke følges:
- Test av nød generator, ble utført på månedlig basis uten arbeidsordre og arbeidstillatelse.
- Det var utført sertifiseringsarbeid på en mindre PSV (sikkerhetsventil) uten AT, selv om dette er et internt krav på trykksatte system.
- For utkoblinger i 6 kV tavle var arbeidsordre ikke registrert (ICC).
- En utkobling utført 26. August 2023 ble koblet på uten at innkoblingen ble loggført. Systemet ble dermed energisatt uten arbeidstillatelse.
- Et kutteverktøy hadde ikke utkobling på luft, selv om det var plassert i sone II.
- Det var plassert stillas i flere evakueringsveier, noe som vil hindre en enkel og hurtig evakuering. Det manglet også skilting til alternative rømningsveier. Det var festet grønt stillas-skilt som «godkjent» på stillaset.
Hjemmel
Klassifisering av systemer og utstyr
Beskrivelse
Equinor hadde ikke klassifisert alle systemer og utstyr på Statfjord B med hensyn til konsekvensene av potensielle funksjonsfeil for helse, miljø og sikkerhet.
Begrunnelse
Det er ikke samsvar mellom utstyr som er beskrevet i konsekvensanalysens hovedfunksjoner som eksempelvis (nødkraft) sin kategori hoved (main) og kontrollering (controlling), og utstyr som er identifisert som barriereelement for nødkraft. For barrierer var ett utstyr merket med SCE for nødkraft.
Vi har under verifiseringen sett at utstyr ikke var klassifisert «høy» på HMS eller merket som barriereutstyr, selv om det var beskrevet brukt i brønnkontroll-hendelser.
I vår verifisering på land i uke 45 i styringssystemet SAP og Kamfer var flere utstyr merket med ABC indikator «N» som beskriver «ikke nødvendig å klassifisere». Blant annet ventiler og boreutstyr som skal klassifiseres. Det var over 15000 utstyr definert med ABC indikator N.
Hjemmel