Applikasjonstesting
Beskrivelse
Aker BP synes ikke i tilstrekkelig grad å ha sikret at sviktmodi som kan ha blitt introdusert i sikkerhetskritiske applikasjoner, ble identifisert og korrigert gjennom vedlikeholdsprogrammet.
Begrunnelse
På Edvard Grieg er standarden IEC 61511 lagt til grunn for design og oppfølging av instrumenterte sikkerhetssystemer. Standardens krav forutsetter at verifikasjon av instrumenterte sikkerhetsfunksjoner gjennomføres ved ende‑til‑ende‑testing, eventuelt gjennom overlappende tester, for å avdekke feil og sviktmodi som kan ha betydning for funksjonens ytelse. Dette omfatter alle elementer som inngår i funksjonen, inkludert applikasjonen.
Ved testing av instrumenterte sikkerhetsfunksjoner om bord på Edvard Grieg har det ikke vært utført overlappende tester som omfatter hele funksjonen, inkludert all tilhørende logikk. Aker BP kunne heller ikke vise til at det var utført egne vurderinger for å fastslå om modifikasjoner gjennomført på instrumenterte sikkerhetsfunksjoner kunne ha introdusert sviktmodi som krevde slik testing.
Forbedringspunktet sees i sammenheng med at det nå er etablert et vedlikeholdsprogram for applikasjonstesting, ref. 5.1.1.
Hjemmel
Tennkildekontroll
Beskrivelse
Aker BP synes ikke i tilstrekkelig grad å ha sikret at ikke-kritisk utstyr som utgjør en tennkilde blir koblet ut ved gassdeteksjon eller manuelt fra sentralt sted.
Begrunnelse
Under tilsynet ble det avdekket at ved installasjon av nytt, permanent ikke‑kritisk utstyr på Edvard Grieg verifiseres det ikke at utstyret faktisk kobles ut som forutsatt.
Oppbyggingen av forsyningstavlene ble beskrevet slik at deler av tavlene forsynes fra ett skinne‑sett med fast spenningsforsyning, mens ikke‑kritisk utstyr forsynes fra ett separat skinne‑sett som kobles via en kontaktor. Ved behov kobles kontaktoren ut, slik at ikke‑kritisk utstyr i felt blir spenningsløst.
Ved en mindre feilkobling, for eksempel dersom en kurs legges på feil side av forsyningstavlen, kan ikke‑kritisk utstyr likevel forbli spenningssatt under en hendelse. Dette kan medføre at utstyret utgjør en potensiell tennkilde.
Hjemmel