Alvorlig svekket barrierefunksjon
Beskrivelse
Det er avdekket en alvorlig svekkelse i nødavstengningssystemet som kan medføre at systemet ikke vil gå til eller forbli i en sikker tilstand dersom det oppstår en feil som kan hindre systemet i å virke.
Begrunnelse
Som beskrevet i kapittel 4.1, er det identifisert en alvorlig svekkelse i «fail-safe»–funksjonen for nødavstengningsventilene på rørledningene fra Ormen Lange. Svekkelsen kan hindre nødavstengningssystemet i å gå til, og forbli i, sikker tilstand ved feil, samt lede til at viktige forutsetninger i risikoanalyser ikke blir ivaretatt.
Vi er informert om at det er et pågående arbeid med å utvikle en løsning for å korrigere svekkelsen, og at det skal foretas en beslutning for modifikasjon i november 2025.
Hjemmel
Mangelfull dokumentasjon og oppfølging av ytelseskrav
Beskrivelse
Selskapet hadde ikke sikret at krav til ytelse var tydelig dokumentert, eller at ytelsen ble tilstrekkelig overvåket slik at sviktmodi under utvikling kunne bli oppdaget.
Begrunnelse
Dette avviket omfatter følgende forhold:
- I forbindelse med tilsynet mottok vi ytelsesstandarder for aktuelle barrierefunksjoner. To av tre av disse fremsto som svært generiske og hadde i tillegg ikke blitt oppdatert siden 2012. Videre, NAS og PAS dekkes av en felles ytelsesstandard, dog er beskrivelsene i denne primært dekkende for NAS.
- Overvåkning av utvikling av ytelse for individuelle komponenter, f.eks. gangtid for ventiler, blir ikke systematisk gjennomført, hvilket medfører at det ikke er mulig å oppdage sviktmodi under utvikling.
- Vi observerte også at ansvarsfordelingen i organisasjonen i stor grad var knyttet til utstyrskomponenter fremfor mot system, hvilket kan bidra til at systemets ytelse, altså ytelsen til den helhetlige funksjonen, ikke får tilstrekkelig oppmerksomhet.
- Mangelfull oppfølging av ytelse for sikkerhetskritiske tilbakeslagsventiler. Se avvik 5.1.3.
Vi har blitt informert om at en revidering av ytelsesstandardene er en pågående aktivitet på Nyhamna.
Hjemmel
Testing, klassifisering og oppfølging av sikkerhetskritiske funksjoner og forutsetninger
Beskrivelse
Den ansvarlige har ikke sikret planleggingen av aktivitetene i virksomheten i henhold til de fastsatte målene, strategiene og kravene slik at planene ivaretar hensynet til helse, miljø og sikkerhet.
Begrunnelse
I tilsynet mottok vi et teknisk unntak som stammer fra designfasen av Nyhamna Expansion-prosjektet. Avviket omhandler at dimensjonering av PSV-er på sugesiden av eksportkompressorene i tog 4 skal baseres på en tilbakestrømningsrate (lekkasje) gjennom tilbakeslagsventiler på utløpssiden tilsvarende potensiell strømning gjennom 1% av strømningsarealet istedenfor, 10%, som er Shells interne krav iht. DEP 80.45.10.11, versjon 34.
Ved gjennomgang i vedlikeholdsprogrammet, så vi at disse 4 tilbakeslagsventilene – doble tilbakeslagsventiler nedstrøms hvert kompresjonssteg – hadde blitt lekkasjetestet én gang siden de ble tatt i bruk, i 2022. Da var testintervallet 4 år. I denne testen feilet 1 av 4 tilbakeslagsventiler lekkasjetesten ved den valgte testmetoden (påtrykket N2 ved lavt trykk, ca. 10 barg). Vedlikeholdshistorikken viser imidlertid at denne senere ble friskmeldt på grunnlag av «litt gransking». Det fremgår ikke entydig hvordan denne konklusjonen er trukket, men trolig er det basert på trending av trykkendringer rundt ventilen i forbindelse med en tidligere stans av kompressoren.
Testmetoden som er definert på nåværende tidspunkt baseres på å stoppe kompressoren og trende trykkutviklingen opp- og nedstrøms av tilbakeslagsventilen. Økende diff. trykk over tid anses som vellykket test. Denne metoden gir imidlertid ingen indikasjon på en eventuell lekkasjerate som kan brukes til å faktisk verifisere at forutsetningen fra design er ivaretatt.
Til tross for dette, ble det besluttet at testintervallet skulle utvides ytterligere, til 8 år, for alle disse 4 ventilene. Denne endringen var ubegrunnet. Det fremgår heller ikke om unntaket fra designfasen var inkludert i vurderingene rundt det opprinnelige 4-årlige testintervallet for tilbakeslagsventilene. Ei heller er det redegjort for hva resultatene fra de forskjellene testene (lavt påtrykket N2 vs. trending ved realistiske betingelser) vil bety for vurderingen av tilbakeslagsventilenes evne til å fortsette å ivareta barrierefunksjonen.
Hjemmel
PAS-funksjoner realisert i NAS
Beskrivelse
Nødavstengningssystemet er ikke tilstrekkelig uavhengig av andre systemer.
Begrunnelse
For væskeutskillere i fakkelsystemet er prosessikringsfunksjoner (høytrykks tripp) tilhørende prosessikringssystemet lagt inn i nødavstengingssystemet. Formålet med dette er trolig å oppnå tilstrekkelig pålitelighet for definerte sikkerhetsfunksjoner uten krav til hyppig testing.
Kravet om uavhengighet i TOF § 33 om nødavstengningssystem innebærer at nødavstengningssystemet skal komme i tillegg til systemer for styring og kontroll og andre sikkerhetssystemer, jf. veiledning til bestemmelsen. Systemet skal ikke inneholde andre sikkerhetsfunksjoner enn selve nødavstengningsfunksjonene.
Hjemmel