Manglende vurdering av forsvarlighet i etablert løsning for prosessikring av kompressortogene
Beskrivelse
Aker BP har ikke sørget for at vurderinger og analyser knyttet til overtrykkssikring av
kompressortogene er gjennomført slik at det nødvendige beslutningsgrunnlaget for å
ivareta helse, miljø og sikkerhet er etablert, og forsvarlig virksomhet sikret.
Begrunnelse
Bakgrunn:
Plan for utbygging og drift (PUD) for Alvheim ble godkjent i 2004. Prosessanlegget på
Alvheim er derfor utformet iht. datidens definerte krav, deriblant forskrift om
utforming og utrustning av innretninger med mer i petroleumsvirksomheten
(innretningsforskriften) fra 2001, med henviste standarder. For å imøtekomme
regelverkskravene for prosessikring har Aker BP blant annet lagt NORSOK P-100
versjon 2 fra 2001 til grunn.
I forbindelse med regelverksreformen i 2011 ble forskriftene revidert og publisert i
den formen de har i dag. Aktørene som omfattes av forskriftene har etter dette
anledning til å fortsette å legge de tekniske kravene som gjaldt ved tidspunktet for
godkjenning av PUD til grunn for de eksisterende delene av innretningen sin, jf.
veiledningen til innretningsforskriften av 2011 § 82 om ikrafttredelse. Dette
forutsetter imidlertid at kravet til forsvarlig virksomhet blir ivaretatt samtidig.
Hva som anses å være et akseptabelt forsvarlighetsnivå vil utvikle seg over tid, basert
på ny viten, endrede oppfatninger i bransjen og utøvd praksis. Ut ifra et rettslig
perspektiv vil den til enhver tid gjeldende versjonen av innretningsforskriften med
tilviste standarder anses å representere tekniske krav som utgjør et akseptabelt
forsvarlighetsnivå. Det funksjonelle regelverket utelukker imidlertid ikke bruken av
alternative løsninger, så lenge det kan dokumenteres at valgt løsning gir et
tilsvarende godt sikkerhetsnivå.
Avviket begrunnes med følgende:
Endret bransjepraksis har ledet til at prosessanlegget på Alvheim har forhold som
ikke lenger oppfyller dagens krav til prosessikring. Det er ikke foretatt vurderinger av
løsningen som kunne legges til grunn etter eldre regelverk, om denne i tilstrekkelig
grad sikrer en forsvarlig virksomhet av prosessanlegget i lys av ny viten og endret
bransjepraksis.
NORSOK P-100:2001 anbefalte å beregne maksimalt utløpstrykk fra kompressorer,
som dermed la grunnlaget for vurdering av behov for overtrykkssikring nedstrøms av
kompressorene, basert på kombinasjonen av kompressorens mekaniske
begrensninger, samt maksimalt oppnåelig trykk på innløpet til kompressoren. På
denne tiden var sistnevnte vurdert til å være lik høytrykkstrippen (PAHH) i PAS.
Basert på denne metoden var det ikke ansett som nødvendig å installere PSV-er på
utløpet fra 1. trinnet på kompressortogene. Argumentasjonen for dette er at, gitt
datidens praksis med å bruke høytrykkstrippen på sugesiden av kompressoren for å
bestemme maksimalt leveringstrykk, vil ikke overtrykking av utløpet kunne skje.
Prosessikringen er dermed utformet med en høytrykkstripp på utløpet av
kompressoren som primærbarriere, mens sekundærbarrieren i praksis vil være
høytrykkstrippen på innløpet til kompressoren. Begge disse er PAS-funksjoner.
I forbindelse med revideringen av NORSOK P-100 versjon 2 til 3 i 2010, ble det gjort
en endring i hvordan maksimalt utløpstrykk fra kompressorer beregnes. Endringen
innebar at man ikke lenger kunne kreditere høytrykkstrippen på sugesiden av
kompressoren, og at man i stedet skulle bruke designtrykk/PSV-settrykk oppstrøms
av kompressoren som utgangspunkt for beregningen. Denne nye viten og endrede
praksisen innebærer at overtrykking av utløpet nå anses som et reelt scenario.
Vår vurdering er at Alvheim er i en avvikssituasjon mot gjeldende regelverk siden
anlegget ikke er utrustet med to uavhengige barrierer for beskyttelse mot dette
scenarioet, samt fordi det er ikke utført vurderinger knyttet til hvorvidt dagens
løsning har nødvendig robusthet og funksjonalitet som allikevel imøtekommer
regelverkets krav. Vi anser dette som et særlig aktuelt forhold på Alvheim, tatt i
betraktning den store forskjellen mellom PAHH og designtrykk på sugesiden av 1.
trinns rekompressorer, som kan føre til at potensielt utløpstrykk ved beregninger iht.
dagens standard når området for brudd, som altså da vil kunne gi alvorlige
konsekvenser.
Henvisning til annet regelverk
Innretningsforskriften §82 om ikrafttredelse, jf. forskrift om utforming og utrustning av
innretninger med mer i petroleumsvirksomheten (innretningsforskriften) fra 2001; § 33
om prosessikringssystem
Styringsforskriften § 6 om styring av helse, miljø og sikkerhet
Styringsforskriften § 16 om generelle krav til analyser
Mangler ved overtrykkssikring av 1. trinnet på rekompresjonstogene
Beskrivelse
Det er mangler ved dagens løsning i prosessikringssystemet ved overtrykkssikring av
utløpet fra 1. trinnet på rekompressorene, da denne ikke gir tilstrekkelig beskyttelse
mot overtrykk
Begrunnelse
I forlengelsen av avvik 5.1.1, hvor det ble påpekt mangler ved vurderinger av
forsvarlighet ved å legge «gamle» forskrifter med standardhenvisninger til grunn for
designet sitt, har vi også identifisert at Alvheim – for noen av de samme forholdene;
overtrykksikring av utløpet fra 1. trinnet på rekompressorene – heller ikke oppfyller
datidens krav til overtrykkssikring.
På sugesiden av 1. trinns rekompressorer er det stor forskjell mellom PAHH og
designtrykk, samt liten margin mellom normalt driftstrykk og PAHH. Ifølge «process
safety time»-rapporten, vil 1. trinns rekompressor kunne generere et trykk som
overstiger maks tillatt akkumulert trykk, selv ved bruk av den «gamle» metoden som
benytter PAHH som referanse for maksimalt sugetrykk. Designløsningen er drøftet i
den fremlagte SAT-tabellen (ref. API RP 14C). Gapet mot dagens NORSOK er
beskrevet, men det er eksplisitt skrevet at PAHH-en på sugesiden av kompressoren
forhindrer trykk over designtrykk på utløpet. Dette står dermed i direkte motstrid til
«process safety time»-rapporten, uten at dette er diskutert.
For 1. trinnet på eksportkompressortoget, har det tidligere vært avdekket at
kompressoren som følge av en rebundling ville kunne overtrykke utløpssegmentet.
Dette forholdet ble risikovurdert, og da ble det besluttet å håndtere forholdet
gjennom å redusere PAHH-en på sugesiden av eksportkompressoren til et nivå hvor
kompressoren ikke kan overtrykke utløpet. Denne endringen førte altså til at
prosessikringen for dette scenarioet igjen var i tråd med datidens NORSOK P-100.
Dette forholdet var, før endring i PAHH, nøyaktig den samme situasjonen som 1.
trinns rekompressor opereres med i dag, ref. avsnittet over. Aker BP har ikke kunnet
redegjøre for hvorfor disse forholdene er behandlet forskjellig, og har heller ikke
fremlagt tilsvarende dokumentasjon på vurderinger for rekompressorene som for
eksportkompressorene. På bakgrunn av disse forholdene kan vi ikke se at det er
dokumentert at forskriftskravene til prosessikring er ivaretatt for rekompressorene.
Henvisning til annet regelverk
Innretningsforskriften §82 om ikrafttredelse, jf. forskrift om utforming og utrustning av
innretninger med mer i petroleumsvirksomheten (innretningsforskriften) fra 2001 § 33
om prosessikringssystem
Avvikshåndtering av sikkerhetskritiske forhold
Beskrivelse
Aker BP har ikke dokumentert at nødvendige kompenserende tiltak er iverksatt for å
opprettholde et forsvarlig sikkerhetsnivå frem til at avvik er korrigert.
Begrunnelse
Aker BP har, hovedsakelig som følge av eget arbeid, vært kjent med flere avvik mot
regelverkskrav med tilviste standarder over lang tid uten at vi har fått fremlagt en
dokumentert risikovurdering eller kompenserende tiltak. Dette gjelder for følgende
forhold:
Hydratbeskyttelse
• Manglende hydratbeskyttelse av sikkerhetskritisk utstyr har vært et tema over
mange år; påpekt blant annet i Ptils tilsyn på Alvheim i 2019, og i
barrierekartleggingen gjennomført av operatøren i 2021. Forholdet ble også
aktualisert gjennom en hendelse i januar 2024 hvor det oppstod
trykkoppbygging i R100 systemet som kan ha vært forårsaket av
hydratoppbygging oppstrøms PSV. Risiko knyttet til dette forholdet er relatert
til mulighet for at ventiler eller rørføring blokkeres av hydrater slik at
nødvendige prosessikringsfunksjoner ikke blir tilgjengelige, jf. NORSOK P-002.
Operatøren har iverksatt arbeid for å kartlegge behov og definere nødvendige
utbedringer, inkludert Synergi #179767 fra 2019 og #226802 fra 2021.
Gjennom en studie gjort i 2023 er det anbefalt å installere heat tracing på en
omfattende mengde rørføring og utstyr i anlegget.
Under tilsynet vårt ble det beskrevet et arbeid gjort for å revurdere dette
anbefalte omfanget, inkludert en erfaringsoverføringsworkshop med Equinor i
Q1 2025.
Ifølge fremlagt rapport fra 2025 (A6303 – Alvheim HT Blowdown & PSV Lines)
er arbeidsomfanget per i dag definert til å være begrenset til installasjon av
varmekonservering oppstrøms 4 sett med PSV-er i 20 og 27-systemene,
planlagt installert i 2026.
Omfanget er med dette kraftig redusert i forhold til anbefalingen fra 2023.
Fremlagt resultat fra gjennomført workshop henviser til ikke definert videre
arbeid for å vurdere ytterligere korrigerende eller kompenserende tiltak for de
anbefalingene som ikke er prioritert.
• Det ble i 2021 bestemt at en årlig gjennomgang av hydratrisiko i
prosessanlegget skal gjennomføres (Synergi-sak #202279). Slike
gjennomganger er ikke gjennomført, med begrunnelsen at det ikke har vært
opplevd hendelser som dokumenterer behov.
Innestengte hydrokarbonførende segmenter
NORSOK S-001 kapittel 12, tilvist fra innretningsforskriften § 34 fra 2001, krever at rør
og utstyr som, når anlegget stenges ned, inneholder mer enn 1000 kg hydrokarboner
er utstyrt med et trykkavlastningssystem.
Under en barrierekartlegging av PS13 i 2021; identifiserte Aker BP segmenter som
mangler avlastningsmulighet, til tross for at de inneholder hydrokarboner som i
betydelig grad overstiger grensen på 1000 kg. Det er per i dag ikke planlagt å
installere slik trykkavlastning på noen av disse segmentene. Aker BP kunne ikke
redegjøre for hvordan en kompenserer for manglende avlastningsmulighet på disse i
mellomtiden, eller begrunnelse for å ikke gjennomføre dette for alle de identifiserte
seksjonene.
Operatøren redegjorde for denne mangelen under tilsynet, og for sitt pågående
arbeid med å finne en løsning. Vi ser imidlertid ikke at det er dokumentert at valgt
løsning gir et tilsvarende sikkerhetsnivå som løsningen beskrevet i tilvist standard.
Sikkerhetskritiske tilbakeslagsventiler
Barrierekartlegging utført av operatøren i 2022 (OPS-BM-14-PS14-T03-0004)
identifiserte mangler knyttet til tilbakeslagsventiler i anlegget på Alvheim.
Disse manglene inkluderte at det finnes kritiske sjekkventiler som ikke er identifisert
som barriereelement, at det mangler kriterier for å definere hvilke tilbakeslagsventiler
som har barrierefunksjon, og at identifiseringen av slike ventiler ikke er konsistent i
driftsdokumentasjonen. Forholdet ble da kategorisert som å være av Lav
sikkerhetsmessig konsekvens («Barrier impact: Low»), og aksjonen med å klarere ut
forholdet har frist i mars 2026.
Under tilsynet kunne det ikke legges frem en oversikt over tilbakeslagsventiler med
barrierefunksjon. Tilbakeslagsventiler har en svært sentral rolle knyttet
overtrykksbeskyttelsen i prosessanlegget (ref. tilviste standarder NORSOK S-001 og
P-002). Det å mangle oversikt over disse kan medføre at sentrale ventiler ikke får
tilstrekkelig vedlikehold og testing for å sikre at tilbakestrømming gjennom dem ikke
overskrider forutsatte rater. Det er vår vurdering at dette forholdet dermed kan ha
betydelige sikkerhetsmessige konsekvenser.
Verifikasjoner av noen utvalgte tilbakeslagsventiler i anlegget ble gjort under tilsynet.
Disse var ikke merket i felt, men de var imidlertid registrert i SAP som
barriereelementer og hadde dokumentert gjennomført vedlikehold.
Brannspjeld som ikke lukker fullstendig
Brannspjeld som under testing ikke lukker fullstendig håndteres i Synergi som et
«avvik». I Synergi-saken 288143 ble dette omtalt som et avvik mot kravet i NORSOK
S-001, men ikke krysset av som avvik mot regelverkskrav, mens forholdet i
operatørens granskingsrapport ble omtalt som et avvik mot § 5 om barrierer i
styringsforskriften. Vi ble vist Synergi-sak #287132 og møtereferat knyttet til Synergisak #287459 etter såkalt filtermøte. Fremvist referat hadde ingen vurdering /referanse til diskusjon av forholdet.
Henvisning til annet regelverk
Styringsforskriften § 22 om avviksbehandling 3. ledd, jf. rammeforskriften § 23 generelle
krav til materiale og opplysninger
Mangelfull overvåkning av ytelse
Beskrivelse
Aker BP har ikke sikret overvåking av ytelse for sikkerhetskritiske avstengingsventiler
som i tilstrekkelig grad ivaretar behov spesifisert i designløsningen.
Begrunnelse
I tilsynet ble vi gjort oppmerksom på at gangtidskrav for ventiler er implementert i
SAS og at hver gang ventilene blir aktuert, blir gangtiden automatisk målt,
sammenlignet med kravet – og dersom det inntrer et avvik, gis det en alarm.
Vi så på kravene til losseventil 21EV0153, som var gitt krav til både maksimal åpneog lukketid. Dokumentasjon viser at denne ventilen også skal oppfylle krav til minimum åpnetid for å forhindre trykkslag/vannhammereffekt som potensielt kan
forårsake overtrykking. Maksimal åpne- og lukketid var implementert i SAS, og
ytelsen med hensyn til disse kravene kan derfor bli fulgt opp i henhold til regelverkets
krav. Når det kommer til minimum åpnetid, var denne ikke tilgjengelig i SAS, og Aker
BP kunne heller ikke vise til at de har innført andre aktiviteter som kan verifisere at
dette kravet er ivaretatt.
I en avklaring etter tilsynet, kom det frem at dette ikke er et tilfelle av en enkeltglipp,
men at det er systematisk og gjelder generelt for sikkerhetskritiske
avstengningventiler som har disse ekstra gangtidskravene.
Henvisning til annet regelverk
Aktivitetsforskriften § 47 om vedlikeholdsprogram, 3. ledd