Equinor – Johan Sverdrup – kontrollrom

Mangler ved menneske-maskin grensesnitt i sentralt kontrollrom (SKR)

Beskrivelse

Skjermbasert utstyr og kontroll- og overvåkingssystem i SKR var ikke utformet slik at faren for feilhandlinger av betydning for sikkerheten, ble redusert. Informasjonsgivere var ikke utformet slik at kontrollromsoperatørene enkelt og hurtig kunne motta nødvendig informasjon og utføre nødvendige aksjoner. Informasjonssystemene var ikke dimensjonert for både normale og kritiske situasjoner.

Begrunnelse

Gjennom intervjuer og befaring i kontrollrommet på Johan Sverdrup, observerte vi flere utfordringer knyttet til menneske–maskingrensesnittet med betydning for operatørenes arbeidsutførelse. Følgende forhold ble observert:

• I tilsynet fikk vi høre at One Button Startup (OBS) sparte tid, men at det var krevende å opprettholde oversikt ved oppstart av hovedsekvensene. Vi fikk informasjon om at hovedsekvensene fungerte dårlig, noe som medførte merarbeid knyttet til å identifisere hvilke sekvenser som hadde stoppet. OBS måtte overvåkes samtidig som operatørene håndterte andre oppgaver som krevde oppmerksomhet og aksjoner. Konsekvensene av dette kan medføre redusert situasjonsforståelse og påvirke evnen til å utføre andre kritiske oppgaver i kontrollrommet.
• Vi mottok informasjon om at enkelte skjermbilder ikke ble oppdatert tidsnok, noe som gjorde det utfordrende for operatørene å motta nødvendig informasjon raskt og presist, ref. Karakter D for PS22 (HMI og alarmsystemer).
• I verifikasjonen ble vi vist skjermbildene for vanninjeksjonssystemet. Disse fremstod som komplekse og lite brukervennlige, noe som kunne øke risikoen for feilhandlinger. Dette ble også tilbakemeldt fra operatørene. Eksempler på dette var:
  • fargevalg som gjorde det vanskelig å skille mellom produsertvann og sjøvann
  • skjermbilder for kontrollere var lite intuitive, og det kunne være vanskelig å forstå hvilke parametere de ulike kontrollerne regulerte
  • systemet var så vanskelig å forstå at en var avhengig av å kjøre operasjonene i simulator i forkant, for å unngå feil.
• Feil indikasjon fra faklingssystemet i HMI-skjermbildet medførte at operatørene ikke kunne stole på at fakkelen var tent. Dette forholdet var meldt inn flere ganger, men fortsatt ikke løst.
• I HMI var det en funksjon der man kunne legge på “Gule lapper” og konvolutter over skjermbildene. Disse ble brukt for å gi utfyllende informasjon om ulike formål som operatøren måtte være bevisst på. Selskapet hadde ingen etablert praksis for vedlikehold eller oppfølging av lappene. Det var heller ikke mulig å ta ut lister fra systemet som kunne gitt en oversikt. Dette førte til at en måtte søke manuelt gjennom skjermbilde for skjermbilde dersom en ville endre eller fjerne lappene. Lappene kunne ha ulike farger, men det manglet et tydelig og konsekvent system for hva fargevalget betydde.

Hjemmel

• Innretningsforskriften § 21 - Menneske-maskin-grensesnitt og informasjonspresentasjon

  (sist endret: 01.01.2014)

Mangelfulle analyser av arbeidsmiljøet i sentralt kontrollrom og borekabin

Beskrivelse

Equinor hadde ikke sikret at data som har betydning for helse, miljø og sikkerhet, blir samlet inn, bearbeidet og brukt til å overvåke og kontrollere tekniske, operasjonelle og organisatoriske forhold.

Equinor hadde ikke sikret at det ble utført analyser som gav det nødvendige beslutningsgrunnlaget for å ivareta helse, miljø og sikkerhet.

Begrunnelse

Equinor hadde implementert nye systemer og verktøy i kontrollrommene som kunne påvirke arbeidshverdagen uten at det ble gjennomført nye analyser, eller at det ble inkludert og oppdatert i de eksisterende analysene.

Sentralt kontrollrom

• Det var gjennomført en Human Factor (HF)-analyse i forbindelse med fase 1 som ble oppdatert i fase 2 på innretningen. Den høye alarmbelastningen i kontrollrommet hadde vært kjent over lang tid jf. avvik 5.1.1, allikevel var ikke reelle alarmdata benyttet ved oppdatering av HF-analysen i forbindelse med fase 2.
• One button start up (OBS) var installert i sentralt kontrollrom. Erfaringer fra bruken av OBS, og hvordan dette ville påvirke arbeidsoperasjonene i kontrollrommet, var ikke lagt til grunn ved gjennomføring av HF analysen for fase 2, selv om implementering av OBS var en del av denne fasen.  
• Under tilsynet kom det frem at hver SKR-operatør i snitt var medlem i 15 til 20 teams-chat-kanaler som det ble kommunisert i på daglig basis. Det var ikke gjort analyser knyttet til bruk av Teams. Innføring av nye kommunikasjonsformer, vil kunne påvirket situasjonsforståelsen til kontrollromsoperatørene.
• Equinor hadde gjennomførte werisk-vurderinger knyttet til kontrollrom. Vi har mottatt werisk #1628838 risiko for arbeidsmiljø (for SKR) hvor psykososiale forhold og ergonomi/human factor var vurdert til gul og grønn. Vi kunne derimot ikke se at Equinor sin egen tilgjengelige informasjon knyttet til mengder alarmer og gjeldende disp, utfordringer knyttet til HMI og innføring av nye systemer var synliggjort og tatt høyde for i tilsendt werisk (se avvik 5.1.1, 5.1.2 og 5.1.4.). Fra tilsendt disp. kom det frem at verken HAM- eller HF- kompetanse hadde signert på disp. (256067).

Det fremstod som at informasjon som var tilgjengelig for å ivareta helse, miljø og sikkerhet ikke systematisk ble brukt i de ulike analysene, men at analysene ble gjennomført som adskilte prosesser.

Borekabin

Equinor er eier av borekabin og har ansvar for risiko knyttet til utforming av borekabin. Odfjell drifter borekabinen og har arbeidsgiveransvar for sine ansatte i borekabinen. CRIOP-analyse ble gjennomført av Odfjell på oppdrag fra Equinor i egenskap av eier.

• Det var gjennomført en CRIOP analyse for borekabin, men det manglet oppgaveanalyse og arbeidsbelastningsanalyse, som er viktig input for å kunne vurdere systemer, utforming og arbeidssituasjon i borekabin. I henhold til synergisak #43433667 skulle Odfjelll sin BHT utføre analyser. Disse var ikke gjennomført på tilsynstidspunktet og frist var utsatt.  
• I borekabin var det innført nye automatiserte systemer, som NOVOS og Drilltronics, allerede i 2019. CRIOP ble gjennomført i 2025, men inneholdt allikevel i liten grad vurderinger av slike systemer. Dette gjaldt også de to scenarioene som var gjennomført i CRIOPen.
• Det var ikke gjennomført analyser i forbindelse med innføring av nye systemer som NOVOS og Drilltonics i 2019.
• I CRIOP var det enkelte sjekkpunkter som ikke var gjennomført på grunn av manglende kartleggingsdata. Dette gjaldt vurdering av ventilasjon og luftkvalitet og oppgave/arbeidsbelastningsanalyse som ikke var gjennomført.
• I forbindelse med CRIOP var det ikke brukt data om alarmbelastning ettersom denne dataen ikke forelå på tidspunktet for analysen.

Hjemmel

• Styringsforskriften § 16 - Generelle krav til analyser

  (sist endret: 01.01.2021)

  første ledd

• Styringsforskriften § 19 - Innsamling, bearbeiding og bruk av data

  (sist endret: 01.01.2011)

  første ledd bokstav a

Mangelfull avviksbehandling

Beskrivelse

Equinor hadde ikke registrert avvik om oppkallingstid og fulgt opp avvik fra interne krav om alarmrate i SKR på Johan Sverdrup som var av betydning for å oppfylle krav i helse-, miljø- og sikkerhetslovgivningen. Equinor hadde ikke satt i verk kompenserende tiltak for å opprettholde et forsvarlig helse-, miljø- og sikkerhetsnivå inntil avviket var korrigert.

Begrunnelse

• Flere HMI skjermbilder i SKR overskred kravet til oppkallingstid. Det interne kravet til Equinor var at skjermbildene skulle være oppdatert i løpet av 1 sekund. Under tilsynet kom det frem at det var varierende hvor lang tid det tok for at skjermbildene kom opp, og at det kunne ta opptil flere sekunder. Equinor hadde selv identifisert problemet, og sammen med alarmmengden medførte dette at PS22 var satt til karakter D i TIMP. Problemet hadde eksistert siden anlegget kom i drift i 2019, men var fortsatt ikke løst under tilsynet. Dette var ikke avviksbehandlet, og det var ikke etablert kompenserende tiltak for avviket.
• Equinor hadde hatt en intern dispensasjon på alarmsystemet siden 2020. Det var ikke innført kompenserende tiltak for å avlaste operatørene med å håndtere mange alarmer, til tross for at denne problemstillingen hadde eksistert over flere år.

Hjemmel

• Styringsforskriften § 22 - Avviksbehandling

  (sist endret: 01.01.2011)

  første og tredje ledd

Oppfølging og evaluering av One Button Startup (OBS)

Beskrivelse

Equinor hadde ikke sikret at data som har betydning for helse miljø og sikkerhet blir samlet inn bearbeidet og brukt til å sette i verk korrigerende og forebyggende tiltak, deriblant forbedring av systemer og utstyr.

Begrunnelse

• Vi fikk tilsendt et Excel-ark som i OBS-prosjektet ble brukt til å melde inn utfordringer og forslag til forbedringer i OBS-systemet. Equinor kunne ikke redegjøre for hvordan disse innmeldte forholdene hadde blitt fulgt opp. Videre ble vi informert om at OBS-prosjektet var avsluttet, og at ansvar for vedlikehold og forbedringer av systemet var overført til fagpersonell om bord på innretningen. Det ble opplyst at fagpersonellet som nå skulle ivaretar denne oppgaven, brukte SAP for å logge og følge opp identifiserte utfordringer og forbedringsforslag. Disse utfordringene og forbedringspunktene var derimot ikke overført til SAP, og selskapet hadde dermed ikke sikret at identifiserte svakheter, feil og mangler i OBS-systemet hadde blitt fulgt opp.
• Under tilsynet kom det frem at OBS-systemet ikke var evaluert. Selskapet kunne ikke redegjøre for hvordan man systematisk hadde sikret erfaringsoverføring fra bruk av eksisterende OBS-sekvenser, til utforming og design av nye sekvenser. Vi ble informert om at Equinor på tidspunkt for tilsynet arbeidet med å etablere nye brønnbarrieresekvenser. Personell på Johan Sverdrup var derimot ikke kjent med dette arbeidet. Selskapet hadde ikke sikret at erfaringskunnskap fra egen virksomhet ble brukt i forbedringsarbeidet med eksisterende OBS-er, eller i etableringen av nye brønnbarrieresekvenser.

Hjemmel

• Styringsforskriften § 19 - Innsamling, bearbeiding og bruk av data

  (sist endret: 01.01.2011)

  første ledd bokstav e