Årsaksanalyse av prosesslekkasjer - ptil.no · i rf - rogalandsforsknings prosjekt ”kickrisk”...

FORSTUDIE

RAPPORT NR. DNV 2002-4019 OG RF-2002/117 REVISJON NR. 01

OLJEDIREKTORATET

ÅRSAKSANALYSE AV PROSESSLEKKASJER

DET NORSKE VERITAS OG

RF – ROGALANDSFORSKNING

DET NORSKE VERITAS RF - ROGALANDSFORSKNING

Dato for første utgivelse: Prosjekt nr.: 30. april 2002 DNV: 58101570 / RF: 7101453 Godkjent av:

Herman Steen Wiencke, Det Norske Veritas

Sigmund Stokka, RF – Rogalandsforskning

Oppdragsgiver: Oppdragsgiver ref.:

Oljedirektoratet Liv Nielsen, Sverre Øxnevad, Erling Habbestad, Odd Tjelta

Forord: Arbeidet beskrevet i denne rapporten ble initiert i forbindelse med utviklingen av Oljedirektoratets (ODs) nye HMS forskrifter, som trådte i kraft 1.januar, 2002. Formålet har vært å utvikle prinsipper for årsaksanalyse av prosesslekkasjer for å bedre nytten av kvantitative risikoanalyser som beslutningsstøtte i denne sammenhengen, og demonstrere hvordan slike analyser kan gjennomføres i praksis.

Prosjektet er utført i samarbeid mellom Det Norske Veritas (DNV) og RF – Rogalandsforskning (RF) på oppdrag for Oljedirektoratet i to økter i perioden 1999-2002, avbrutt av et lengre opphold fra høsten 1999 til høsten 2001.

Arbeidet har i hovedsak vært utført av Thomas Nilsen (RF) og Geir S. Jakobsen (DNV). Professor Terje Aven (Høgskolen i Stavanger (HiS)) har bidratt gjennom kommentarer og diskusjoner underveis og som verifikatør. John Edwards, Sture Angelsen og Erik Østby har bidratt med erfaringer fra fagområdet risikobasert inspeksjon (RBI) i DNV. Kontaktperson i OD var opprinnelig Liv Nielsen. Senere kontaktpersoner har vært Sverre Øxnevad, Erling Habbestad og Odd Tjelta.

Utover denne rapporten har prosjektet resultert i publisering av artikkelen ”Requirements and principles for cause analysis in QRA – with application”, publisert ved ESREL-konferansen i Edinburgh, mai, 2000 og som en av flere artikler i Thomas Nilsens doktorgradsavhandling, utgitt i april, 2002. Videre har hovedoppgavene til to sivilingeniør-studenter ved HiS hatt tilknytning til prosjektet.

Rapport nr.:

DNV 2002-4019 og RF-2002/117 Indekseringstermer

Rapporttittel:

Årsaksanalyse av prosesslekkasjer

Årsaksanalyse Risikoanalyse Lekkasjer Prosesslekkasjer

Utført av:

Thomas Nilsen (RF - Rogalandsforskning) Geir Stener Jakobsen (Det Norske Veritas)

Ingen distribusjon uten tillatelse fra oppdrags-giver eller ansvarlig organisasjonsenhet

Verifisert av:

Terje Aven (Høgskolen i Stavanger) Begrenset distribusjon innen

Det Norske Veritas og RF - Rogalandsforskning

Dato for denne revisjon: Rev. nr.: Antall sider:

30. april, 2002 01 46 Fri distribusjon


Side i

Innholdsfortegnelse Side

1 SAMMENDRAG..........................................................................................................1

2 INNLEDNING..............................................................................................................2

3 RISIKO KNYTTET TIL PROSESSLEKKASJER ......................................................4 3.1 Tekniske rammebetingelser 4 3.2 Omfang av prosesslekkasjer og bidrag til risiko 5 3.3 Håndtering av risiko 7

4 DAGENS PRAKSIS FOR ANALYSE AV LEKKASJESANNSYNLIGHET............9 4.1 Metodikk for fastsetting av lekkasjefrekvenser 9 4.2 Styrker og svakheter ved dagens praksis 10

5 TIDLIGERE ARBEID INNEN ÅRSAKSANALYSER ............................................12 5.1 Studier 12 5.2 Utviklingsprosjekter 15 5.3 Oppsummering 18

6 GRUNNLAG OG PRINSIPPER FOR ÅRSAKSANALYSE....................................20 6.1 Målsetning og grunnlag 20 6.2 Analyseprinsipper 20 6.3 Praktiske aspekter ved årsaksanalyser 21 6.4 Diskusjon 22

7 MODELLSTRUKTUR FOR ÅRSAKSANALYSE AV PROSESSLEKKASJER .............................................................................................24

7.1 Avgrensninger 24 7.1.1 Fysisk anlegg 24 7.1.2 Driftsfaser 24 7.1.3 Styringsprosesser 25 7.2 Overordnet årsaksnedbrytning 26 7.3 Utstyrsklasser 26 7.4 Fysiske årsaker 27 7.5 Bakenforliggende årsaker 28 7.5.1 Svikt i styringsprosesser 28 7.5.2 Innebygde feil 29 7.5.3 Utilsiktede hendelser 29 7.6 Oppsummering 29


Side ii

8 EKSEMPEL PÅ ANVENDELSE AV MODELLSTRUKTUREN FOR UTSTYRSKLASSEN ”RØR” ....................................................................................32

8.1 Inndeling i komponenter 32 8.2 Fysiske årsaker til lekkasje i Rørvegg 32 8.2.1 Feil operasjonsmodus 33 8.2.2 Ufullstendig oppbygning 33 8.2.3 Pakningsfeil 33 8.2.4 Ytre mekanisk påvirkning 33 8.2.5 Indre mekanisk overbelastning 33 8.2.6 Erosjon 33 8.2.7 Korrosjon 34 8.2.8 Utmatting 34 8.3 Bakenforliggende årsaker til lekkasje i Rørvegg 35 8.3.1 Ytre mekanisk påvirkning 35 8.3.2 Indre mekanisk overbelastning 36 8.3.3 Erosjon 36

9 MODELLEKSEMPEL – EROSJON ..........................................................................37

10 KVANTIFISERING AV LEKKASJESANNSYNLIGHETER .................................40 10.1 Inkludering av signifikante sannsynlighetsbidrag 40 10.2 Komplementære hendelser 40 10.3 Avhengighet 40

11 DISKUSJON OG KONKLUSJONER .......................................................................42 11.1 Diskusjon 42 11.2 Konklusjoner 43 11.3 Anbefalinger 44

12 REFERANSER ...........................................................................................................45


Side 1

1 SAMMENDRAG I analyser av risiko knyttet til hydrokarbonlekkasjer fra prossessanlegg på produksjoninnretninger på norsk kontinentalsokkel legges det stor vekt på vurderinger av mulige konsekvenser dersom en lekkasje oppstår. Det er utviklet avanserte modeller, og det legges store ressurser ned i analysene. Mindre sofistikerte modeller tas i bruk for å vurdere sannsynlighet for at lekkasjer oppstår. Etablert praksis på dette området bygger i stor grad på direkte bruk av generiske lekkasjefrekvenser, basert på historiske lekkasjedata. Årsakene til lekkasjer tas i liten grad i betraktning. En konsekvens av dette er at analysene har liten nytteverdi som beslutningsunderlag innen arbeid med forbygging av lekkasjer. Videre medfører bruk av generiske data begrensninger ved prediksjon av antall lekkasjer i fremtiden for en spesifikk installasjon. Dagens praksis står dermed i sterk kontrast til Oljedirektoratets regelverk /1/, som legger vekt på bruk av risikoanalyser som beslutningsstøtte og derunder, analyse av årsaker til uønskede hendelser og prioritering av sannsynlighetsreduserende tiltak.

Målsetningen i dette prosjektet har vært å utvikle prinsipper for årsaksanalyse av prosesslekkasjer som bedrer analysenes nytte som beslutningsstøtte, og å demonstrere hvordan slike analyser kan gjennomføres i praksis. I så måte er prosjektet å betrakte som en forstudie.

Krav og prinsipper for å sikre at årsaksanalysen støtter beslutninger knyttet til reduksjon av lekkasjesannsynlighet og samtidig gir gode prediksjoner av antall lekkasjer er etablert. På dette grunnlaget er det utviklet en overordnet modellstruktur som knytter detaljerte modeller av konkrete lekkasjemekanismer til definerte kategorier av fysiske og bakenforliggende årsaker. I et eksempel på anvendelse av modellstrukturen for utstyrsklassen ”Rør”, er det listet opp lekkasjemekanismer under de definerte fysiske årsakene til lekkasje gjennom selve rørveggen, og i tillegg bakenforliggende årsaker knyttet til hver mekanisme under tre av de fysiske årsakene. Et eksempel på detaljert modellering er utviklet for lekkasjemekanismen erosjon som følge av sandproduksjon. Noen utfordringer knyttet til kvantifisering av usikkerhet i store modeller, derunder håndtering av avhengighet diskuteres.

Arbeidet konkluderer med at den foreslåtte tilnærmingen for årsaksanalyse vil fange opp installasjonsspesifikke forhold i analysen av usikkerhet knyttet til antall lekkasjer i fremtiden. Hovedbidragsytere til lekkasjesannsynlighet og kritiske faktorer på et hensiktsmessig nivå identifiseres. Tilnærmingen har dermed potensiale til å øke risikoanalysens verdi som beslutningsstøtte sammenlignet med dagens praksis. Bruk av et fremtidig analyseverktøy basert på resultatene i denne rapporten, vil være basert på utnyttelse av kunnskapen til personer i drift. Dette vil bidra til at risikoanalysen i motsetning til i dag forankres i driftsmiljøet.

Videre utvikling av resultatene fra denne forstudien til et komplett analyseverktøy er et omfattende og ressurskrevende arbeid. Med hensyn til videre arbeid, anbefales derfor først utvikling av detaljmodeller for et utvalg av lekkasjemekanismer som testes ut i en case-studie. Dette vil forbedre grunnlaget for evaluering av metodikken, og eventuelt planlegging av en trinnvis videreutvikling av et analyseverktøy. På kort sikt anbefales også å vurdere hvordan den etablerte strukturen for lekkasjeårsaker kan komme til nytte i annet arbeid på dette området, slik som innsamling av lekkasjedata, etablering av risikoindikatorer og granskning av lekkasjehendelser.


Side 2

2 INNLEDNING I forbindelse med utviklingen av de fire nye forskriftene, for styring, teknologi, operasjon (drift) og dokumentasjon samt rammeforskriften /1/ i Oljedirektoratet (OD), ble flere forsknings- og utviklingsprosjekter initiert. Et viktig tema i forskriftene er risikobaserte analysemetoder, og hvordan slike analyser kan brukes effektivt, for å støtte beslutninger i prosjekterings- og drifts faser i prosjekter innen petroleumsvirksomheten.

Hovedmålsetningene ved bruk av risikobaserte analysemetoder er å dokumentere risikonivået for å kunne ta stilling til om dette er akseptabelt, og å identifisere hensiktsmessige risikoreduserende tiltak. I risikoanalyser tas ofte utgangspunkt i såkalte uønskede hendelser. Dette er hendelser som medfører at systemet går inn i en tilstand med økt fare for menneskers liv og helse, miljø eller økonomiske verdier. De uønskede hendelsene danner utgangspunktet for både årsaksanalysen og konsekvensanalysen.

I årsaksanalysen vurderes mulige årsaker til de uønskede hendelsene og tilhørende sannsynligheter beregnes. I konsekvensanalysen vurderes videre hendelsesforløp, dersom en uønsket hendelse har inntruffet, kvalitativt og kvantitativt.

Risikoanalyser utført i norsk petroleumsindustri viser at det vanligvis legges inn betydelig større innsats på konsekvenssiden av ana lysene enn på årsakssiden. Ofte legges relativt enkle modeller til grunn for beregning av sannsynligheter for de uønskede hendelsene. Vanlige argumenter for dette er mangel på relevante erfaringsdata og at komplekse årsaksforhold gjør det vanskelig å utvikle håndterbare modeller.

Analyser knyttet til ukontrollert utblåsning fra olje og gassbrønner er et eksempel på dette. Utblåsning bidrar til en betydelig andel av risikoen på norsk sokkel. Når utblåsningssannsynligheten skal beregnes for en operasjon under planlegging, er det allikevel overfladiske modeller som anvendes. I de fleste tilfeller er disse basert på antallet av slike hendelser som har inntruffet historisk. Årsaksforhold knyttet til havdyp, vær og geologiske forhold i området hvor brønnen skal bores, samt spesielle tekniske løsninger eller operasjonelle tiltak, reflekteres i svært liten grad. På konsekvenssiden eksisterer derimot en rekke modeller for beregning av sannsynlighet for antenning av utblåsningsmediet, konsekvenser av brann og eksplosjon samt følger av oljesøl for omliggende miljø.

Risikoanalysen gir dermed grunnlag for å identifisere og sammenligne løsninger rettet mot reduksjon av konsekvensene av en utblåsning. I forsøk på å redusere sannsynligheten for utblåsning, blir analysens nytteverdi derimot liten, siden årsakene ikke tas i betraktning. Dette står i sterk kontrast til ODs tidligere forskrifter /2/, som var gyldige til og med 2001, hvor det ble understreket at ved reduksjon av risiko, skulle sannsynlighetsreduserende tiltak prioriteres foran konsekvensreduserende. Krav om prioritering av sannsynlighetsreduserende tiltak føres også videre i det ny regelverket, se f.eks. Styringsforskriften /1/, § 1 om risikoreduksjon: ”Ved reduksjon av risiko som nevnt i rammeforskriften § 9 om prinsipper for risikoreduksjon, skal den ansvarlige velge tekniske, operasjonelle og organisatoriske løsninger som reduserer sannsynligheten for at det oppstår feil og fare- og ulykkessituasjoner. ....”.

I RF - Rogalandsforsknings prosjekt ”KickRisk” /3/, utført for Norsk Agip AS, OD, Hydro og Statoil, er det utviklet modeller for analyse av utblåsningsfenomenet, som har andre egenskaper enn de metodene som vanligvis anvendes. I disse modellene er årsaksmekanismene brutt ned til et nivå hvor en kan dra nytte av fagkunnskapen til personell involvert i planlegging av bore- og brønnoperasjoner. Dette gjør det mulig å anvende informasjon i form av ekspertvurderinger ved fastsetting av sannsynligheter, i motsetning til utelukkende bruk av generiske erfaringsdata. En slik nedbrytning av årsaksmekanismene gjør det også mulig å identifisere de faktorene i systemet


Side 3

som betyr mest for utblåsnigssannsynligheten. Denne egenskapen legger et godt grunnlag for identifisering av sannsynlighetsreduserende tiltak. Ved å justere input til analysen med hensyn til et gitt tiltak, kan effekten av tiltaket i form av endring i utblåsningssannsynlighet måles. Effekten av alternative tiltak blir videre utgangspunkt fo r kost-nytteanalyse og til slutt valg av løsning.

En tilsvarende situasjon ser man for lekkasjer fra prosessanlegg. Lekkasjer av prosessmedium kan føre til både brann og eksplosjoner, og utgjør en betydelig bidragsyter til totalrisikoen. I risikoanalyser rettet mot lekkasjer benyttes en rekke avanserte modeller, som tar systemets egenskaper i betraktning, for analyse av spredning av prosessmedium, antenningssannsynlighet, eksplosjonstrykk og varmebelastning, gitt at en lekkasje har oppstått. Modeller brukes imidlertid i liten grad ved analyse av sannsynligheten for at lekkasjen oppstår. En har derfor begrenset mulighet for å legge risikoanalyser til grunn for identifisering og valg av tiltak for å redusere lekkasjesannsynligheten.

Den langsiktige målsetningen i dette prosjektet er å utvikle et analyseverktøy basert på årsaksmodeller, som gjør det mulig å kvantifisere installasjonsspesifikk lekkasjesannsynlighet, identifisere kritiske faktorer og sammenligne sannsynlighetsreduserende tiltak.

I denne rapporten, som beskriver forprosjektet, diskuteres hvordan grundigere årsaksanalyse vil bedre underlaget for styring av risiko knyttet til prosesslekkasjer sammmenlignet med dagens praksis, hvordan slike analyser bør utføres samt praktisk gjennomførbarhet.

Det er gjort en generell gjennomgang av fenomenet prosesslekkasje, dagens praksis med hensyn til analyse av lekkasjesannsynlighet og behovet for årsaksanalyser i ulike beslutningsprosesser i prosjektering og drift. På dette grunnlaget diskuteres hvilke krav som må stilles til en modell for årsaksanalyse av lekkasjesannsynlighet, for at den skal kunne legges til grunn for valg av tekniske og operasjonelle løsninger, og hvilke modelleringsprinsipper som bør benyttes. Basert på disse prinsippene utvikles en modellstruk tur for analyse av lekkasjesannsynlighet og det gis et eksempel på detaljert modellering. Beregningsmetoder og utfordringer i denne sammenheng diskuteres.

Resultatene fra dette prosjektet, gir grunnlag for forbedringer av ulike sider av arbeidet med forebygging av lekkasjer, også utover den kvantitative analysen med sammenligning av løsninger og identifisering og valg av tiltak. De kvalitative resultatene fra forstudien kan benyttes som et felles grunnlag for systemer for innsamling av lekkasjedata, etablering og oppfølging av risikoindikatorer og granskning av hendelser.


Side 4

3 RISIKO KNYTTET TIL PROSESSLEKKASJER Funksjonen til et prosessanlegg på en petroleumsinstallasjon til havs er å separere brønnstrømmen til gass og olje eller kondensat. Dersom medium fra et prosessanlegg utilsiktet slippes ut til omgivelsene, representerer dette en trussel mot virksomheten. I beste fall resulterer en lekkasje i et uantent utslipp eller en lokal brann med begrenset skadeomfang. I verste fall oppstår en stor langvarig brann eller en kraftig eksplosjon og omfattende skader. De endelige konsekvensene kan innebære tap av menneskers liv og helse, skader på miljø og økonomisk tap. Ivaretakelse av disse verdiene inngår i virksomhetenes overordnede målsetninger, som blir lagt til grunn for alle beslutninger knyttet til et prosessanlegg, gjennom dets levetid.

I hver driftstilstand hvor hydrokarboner står under trykk, kan en rekke mekanismer føre til lekkasje. Gjennom design, vedlikehold og retningslinjer for operasjon av prosessanlegget, forsøker en å forhindre dette. Allikevel, et stort antall utstyrsenheter av ulike typer, grensesnittene mot drifts- og vedlikeholdsoperatører, ulike media, omliggende miljø samt forskjellige driftstilstander, gir et komplekst og uoversiktlig bilde. Selv med systematiske vurderinger og analyser av forholdene på et anlegg, kan man ikke utelukke med sikkerhet at lekkasjer kan finne sted.

Denne usikkerheten forbundet med hvorvidt, hvor og hvordan lekkasjer vil oppstå, sammen med de mulige konsekvensene av lekkasjer, utgjør en risiko knyttet til drift av prosessanlegget, og kompliserer en rekke beslutningsprosesser. Eksempler er hvorvidt risikobidraget fra mulige fremtidige lekkasjer i anlegget sett i sammenheng med andre bidragsytere kan aksepteres, valg av tekniske løsninger samt sammenligning av alternative tiltak for å forbedre sikkerheten.

I kapittel 3.1 gis en kort gjennomgang av tekniske egenskaper ved prosessanlegg som er viktige for hvordan ulike lekkasjetyper kan oppstå og hva konsekvensene kan bli. Omfanget av lekkasjer og alvorlige hendelser som følge av lekkasjer, samt bidraget til den totale risikoen på installasjoner til havs, diskuteres kort i kapittel 3.2. I kapittel 3.3 gis en introduksjon til hvordan risikoanalyser knyttet til prosesslekkasjer har vært utført og brukt for å støtte beslutninger på ulike nivåer.

3.1 Tekniske rammebetingelser I et offshore-prosessanlegg ledes strømmen fra produksjonsbrønner inn i tanker hvor trykket reduseres, ofte i flere steg, og gass, olje og kondensat separeres. Prosessmediet klargjøres for videre transport til land. Gassen tørkes, kjøles og komprimeres, mens olje og kondensat kjøles og pumpes videre. Transport i flerfaseform forekommer også.

Anleggene er tilpasset egenskapene til brønnstrømmen og krav knyttet til eksportproduktene og til utslipp. Noen viktige egenskaper ved brønnstrømmen er sammensetning av hydrokarbonkomponenter, innhold av vann, kjemikalier og faste partikler, trykk, temperatur, strømningsrate. Prosessen kan gå som et enkelt eller flere parallelle prosesstog. Valg av antall tog virker inn på antallet utstyrsenheter og størrelsen på enhetene.

Det er naturlig å skille mellom olje- og gassbehandlingsdelen av et prosessanlegg. Videre kan en dele prosessutstyr inn i kategoriene statisk utstyr, for eksempel rør og trykktanker som separatorer og scrubbere, og roterende utstyr, slik som ulike typer kompressorer og pumper. I tillegg inneholder et anlegg et stort antall ventiler og instrumenter for å styre og kontrollere prosessen.

Gjennom sin levetid vil et prosessanlegg gå gjennom ulike driftstilstander. Utover normal drift kan en skille mellom kontrollerte nedstengninger av hele eller deler av anlegget, ikke-planlagte nedstengninger, vedlikehold og modifikasjonsarbeid, tester og oppstart. Selv om anlegget det


Side 5

meste av tiden vil være i normal drift, vil de andre tilstandene ofte medføre store belastninger og situasjoner, som krever god oversikt og kommunikasjon for at uønskede hendelser skal unngås, selv om prosedyrer følges.

Prosesslekkasjer kan oppstå i alle driftstilstander i utstyr som inneholder hydrokarboner under trykk. Avhengig i hvilket trinn i prosessen lekkasjen oppstår, kan den ha form som gass-, olje- eller flerfase.

En lekkasje innebærer at en har fått et brudd på den barrieren som prosessanlegget rent fysisk utgjør mellom prosesstrømmen og omgivelsene. Barrierebrudd kan forårsakes av ubalanse i forholdet mellom laster som virker på barrieren og barrierens styrke. Store laster kan ha form av trykkoppbygning i systemet, vibrasjon eller ytre fysiske påkjenninger som fallende laster. Barrierens styrke kan være for lav som følge av design- og installasjonsfeil, eller over tid bli redusert på grunn av degraderingsmekanismer som korrosjon og erosjon. Barrierebrudd kan også oppstå som følge av operasjonsfeil som direkte gir en fysisk passasje. Et eksempel er at en i forbindelse med vedlikeholdsaktiviteter åpner et utstyr, uten at det først er trykkavlastet. Ulike prosesser, slik som utvikling av tekniske spesifikasjoner og prosedyrer, selve operasjonen av anlegget, vedlikehold og kvalitetssikring i alle ledd, skal forhindre at de ulike lekkasjemekanismene utvikler seg til lekkasjer.

En lekkasje kan karakteriseres ved strømningsrate og varighet. Initiell strømningsrate avhenger av mediets fysiske egenskaper, initielt trykk i utstyrsenheten som lekker, og hullstørrelse. Det videre forløpet til lekkasjeraten og lekkasjens varighet, er bestemt ved tilgjengelig volum av hydrokarboner og eventuelt andre forhold enn lekkasjen, som påvirker trykkutviklingen.

For å minimere omfanget av en lekkasje, bygges visse funksjoner inn i systemet. En kritisk funksjon er deteksjon av en oppstått lekkasje. Deteksjon kan skje ved signal fra gass- og branndetektorer, prosesskontrollsensorer eller ved direkte observasjon av en operatør. Ved deteksjon vil ulike tiltak iverksettes mer eller indre automatisk, avhengig av lekkasjens størrelse. Bortsett fra tilfeller med meget små og ukritiske lekkasjer vil nødavstengningssystemet (NAS) (emergency shut-down-systemet (ESD)) bli aktivert. Dette systemet deler prosessanlegget inn i fysisk adskilte volumer (ESD-segmenter) ved at nødavstengningsventilene lukkes. Dette begrenser mengden hydrokarboner som kan lekke ut. I tillegg kan en foreta en trykkavlastning (nedblåsning / blowdown), lokalt eller globalt. En slik avlastning vil redusere mengden hydrokarboner som kan lekke ut ytterligere, og dessuten medføre en raskere reduksjon av lekkasjeraten.

I tillegg kommer passive og aktive funksjoner som skal begrense omfanget av eventuelle skader, gitt et bestemt lekkasjeforløp. Noen viktige funksjoner er modul- layout, ventilasjon og drenering, utkobling av tennkilder, passiv og aktiv brann- og eksplosjonsbeskyttelse.

3.2 Omfang av prosesslekkasjer og bidrag til risiko Hensikten med dette delkapittelet er å gi et overordnet bilde av omfanget av lekkasjer på norsk kontinentalsokkel. Fremstillingen er i hovedsak basert på ODs database for varslede og rapporterte hydrokarbonlekkasjer på norsk sokkel /4/. For å gi et bilde av bidraget fra prosesslekkasjer til totalrisiko i typiske totalrisikoanalyser (TRA), presenteres i tillegg noen analyseresultater fra et utvalg installasjoner.

ODs lekkasjedatabase dekker tidsrommet 1988-2001. Data registrert i 2001 er ikke fullstendige, da dette er det siste året databasen opprettholdes1. Tabell 3-1 oppsummerer antall hydrokarbonlekkasjer registrert fra 1988 til 2000.

1 Fra og med 2001 registrerer samtlige operatører på norsk sokkel lekkasjer i databasen HCLIP /13/.


Side 6

Tabell 3-1 Varslede og rapporterte lekkasjer 1988 - 2000 År Antall lekkasjer

Liten Middels Stor Uklassifisert Total

1988 2 3 4 0 9 1989 30 14 3 0 47 1990 24 21 3 1 49 1991 36 18 1 0 55 1992 80 22 3 0 105 1993 67 21 5 0 93 1994 81 42 1 0 124 1995 98 33 0 0 131 1996 120 32 4 0 156 1997 156 27 3 0 186 1998 128 26 3 0 157 1999 142 21 2 0 165 2000 187 30 0 0 217

Totalt 1151 310 32 1 1494

Lekkasjene er kategorisert som ”liten”, ”medium” eller ”stor”. Det har imidlertid vært vanskelig å avklare definisjoner knyttet til disse kategoriene. I risikoanalyser for installasjoner på norsk sokkel er kategoriene vanligvis definert som lekkasjer med initiell lekkasjerate innenfor henholdsvis 0.1 –1.0 kg/s, 1.0-10 kg/s og over 10 kg/s. Disse definisjonene brukes også i OD-rapporten ”Utvikling i risikonivå – norsk sokkel” /5/. En sammenligning av tallene i Tabell 3-1 og fremstillinger i nevnte rapport tilsier at terskelen for ”Stor lekkasje” i ODs database muligens ligger noe lavere. En slik sammenligning tyder også på at den nedre grensen for ”Liten lekkasje” ligger lavere.

På tross av denne uklarheten gir Tabell 3-1 et overordnet inntrykk av omfanget av lekkasjer på norsk sokkel. Ta llene indikerer at omfanget av lekkasjer er relativt stort, og at det er behov for et systematisk arbeid for å redusere dette omfanget, se også /5/. Ifølge /5/ er det ”betydelige variasjoner mellom innretningene med hensyn til hyppighet av lekkasjer over 0,1 kg/s. Halvparten av alle innretninger har mindre enn 1 slik lekkasje hvert annet år, 12 % av innretningene har mer enn 1,5 lekkasje per år over 0,1 kg/s. Det er eksempler på tilsvarende innretninger med svært forskjellig hyppighet, i samme operatørselskap.”

Ifølge /5/ har ingen lekkasjer (større enn 0,1 kg/s) blitt antent siden 1995.

I ODs database er lekkasjene også kategorisert med hensyn til årsaker, under de overordnede kategoriene ”Operasjonell feil”, ”Teknisk feil” og ”Designfeil”. Det er imidlertid vanskelig å trekke slutninger ut av tallene. I følge /5/ er antall lekkasjer per installasjonsår på norsk og britisk sokkel sammenlignbare (innenfor samme størrelsesorden) i perioden 1996-2000. Health and Safety Executive (HSE) har gjennom ulike prosjekt samlet inn lekkasjedata fra britisk sektor, se for eksempel rapportene ”Offshore Hydrocarbon Releases Statisitics”, 1996 /6/ og ”OSD hydrocarbon release reduction campaign, 2001” /7/. I dette materialet finner man en mer nyansert kategorisering av lekkasjedata, se også Kapittel 5.1 i denne rapporten. Noen viktige funn fra /7/ er: • Hovedandelen av lekkasjene oppsto under normal produksjon • Lekkasjer fra rør er hovedbidragsyter. Her utgjør ”small bore piping” en betydelig andel • Mest hyppige direkte årsak er degradering av materialegenskaper, inkludert korrosjon,

erosjon, utmatting og vibrasjon (56 %) • For store lekkasjer skyldtes 50 % av lekkasjene operatørfeil og brudd på prosedyrer


Side 7

• Overordnet skyldtes 2/3 av alle lekkasjer ”hardwarefeil”, mens 1/3 skyldtes ”human factors” • Viktige bidragsytere til bakenforliggende årsaker: utilstrekkelig design (28 %) og

utilstrekkelig inspeksjon/tilstandsovervåking (27 %). I det videre ser vi på resultater fra et tilfeldig utvalg av TRAer av faste installasjoner på norsk sokkel. I Tabell 3-2 gjengis beregnede lekkasjefrekvenser. I Tabell 3-3 vises bidraget fra prosesslekkasjer til overordnet personellrisiko uttrykt i fatal accident rate (FAR). Tabell 3-2 Lekkasjefrekvenser fra totalrisikoanalyser

Installasjon Årlig Lekkasjefrekvens Small Medium Large Total

A 6 · 10-1 2 · 10-1 1 · 10-1 9 · 10-1 B 3 · 10-3 1 · 10-3 2 · 10-4 4 · 10-3 C 1 · 10-1 1 · 10-1 6 · 10-2 3 · 10-1 D 8 · 10-1 3 · 10-1 1 · 10-1 1 E 9 · 10-2 7 · 10-2 3 · 10-2 2 · 10-1

Tabell 3-3 Bidrag fra prosesslekkasjer til overordnet personellrisiko (FAR)

Installasjon Fatal Accident Rate (FAR) Prosesslekkasjer Andre hendelser Total FAR % FAR % FAR %

A 5.4 43 7.3 57 12.7 100 B 3.2 58 2.3 42 5.5 100 C 6.5 50 6.6 50 13.1 100 D 2.9 36 5.1 64 8 100 E 1,5 26 4.2 74 5.7 100

Som det fremgår av Tabell 3-3 er bidraget fra prosesslekkasjer til total risiko betydelig, ifølge TRAene. For de utvalgte installasjonene er bidraget innenfor intervallet 26-58 %. Risikobidraget fra prosesslekkasjer er proporsjonalt med lekkasjesannsynlighet. Har man tillit til tallene i tabellen, oppnås en stor gevinst i form av redusert totalrisiko, ved reduksjon av lekkasjesannsynlighet.

3.3 Håndtering av risiko Overordnet kan problemene knyttet til håndtering av risiko forbundet med prosesslekkasjer deles inn i: • Beslutninger knyttet til hvorvidt bidraget fra prosesslekkasjer til totalrisikoen på

installasjonen kan aksepteres for en gitt løsning • Identifisering av mulige tiltak for å redusere risikoen • Sammenligning og valg av de mest hensiktsmessige tiltakene. Gjennom ODs regelverk for petroleumsvirksomheten på norsk sokkel, først analyseforskriften /1/ og senere styringsforskriften /2/, har det blitt stilt krav til definisjon av kriterier for akseptabel risiko og bruk av analyser, både for å sikre at virksomheten tilfredsstiller disse kriteriene, og ellers som et aktivt virkemiddel i en kontinuerlig prosess for å forbedre sikkerheten.

Blant aktørene på norsk sokkel har det utviklet seg en etablert praksis for kvantitative risikoanalyser /8/. Utover det å kontrollere risikonivået mot de definerte akseptkriteriene, brukes analysene hovedsakelig som et verktøy for å vurdere overordnet design, innbyrdes plassering av hovedfunksjoner på installasjonen, fastsetting av dimensjonerende ulykkeslaster og som grunnlag for beredskapsanalyser.


Side 8

For all risiko forbundet med prosesslekkasjer, kan selve lekkasjehendelsen betraktes som den initierende hendelsen. Det totale risikobidraget er proporsjonalt med lekkasjesannsynligheten. I dagens etablerte analysepraksis fastsettes lekkasjesannsynlighet på grunnlag av lite differensierte gjennomsnittsfrekvenser for lekkasjer i internasjonal offshoreindustri. Årsakene til at lekkasjer oppstår reflekteres ikke. Nytten av en slik analyse i forbindelse med identifisering og rangering av sannsynlighetsreduserende tiltak, er derfor liten.

Lekkasjesannsynlighet er en viktig bidragsyter til total risiko, og det er i dag i stor grad enighet om at metoden for kvantifisering av lekkasjesannsynlighet er mangelfull, og at dette bidrar til at analysene langt på vei ikke fyller sin funksjon. En mer detaljert beskrivelse av denne analysemetoden og en nærmere diskusjon av dens svakheter er gitt i kapittel 4.

For å bøte på manglene ved dagens praksis for håndtering av årsaksiden av risikoen forbundet med prosesslekkasjer, har det gjennom årene blitt gjennomført flere studier. Kvantitative metoder med fokus på andre uønskede hendelser enn lekkasjer, basert på nedbrytning av årsaker, er utviklet i andre prosjekter. En kort gjennomgang av noen slike arbeider er foretatt i kapittel 5.

De delene av metodikken som tar for seg prosesslekkasjer, kan oppsummeres ved følgende elementer: • Innsamling og analyse av historiske lekkasjedata og etablering av generiske

lekkasjefrekvenser for ulike hullstørrelser i ulike utstyrstyper • Telling og kategorisering av utstyrsenheter innenfor ulike deler av anlegget som studeres, og

beregning av totalfrekvenser for ulike hullstørrelser og områder Konsekvensanalyser med modellering av barrierer og mulige forløp i hendelsestrær, basert på vurdering av deteksjon, antennelse, brann- og eksplosjonslaster og skadeomfang.


Side 9

4 DAGENS PRAKSIS FOR ANALYSE AV LEKKASJESANNSYNLIGHET I første del av dette kapittelet presenteres hovedprinsippene i den metodikken som anvendes ved beregning av lekkasjesannsynlighet i risikoanalysene som utføres for prosessanlegg på installasjonene på norsk sokkel i dag. I del 2 diskuteres styrker og svakheter ved denne metodikken.

4.1 Metodikk for fastsetting av lekkasjefrekvenser For å beregne bidraget fra lekkasjer til totalrisiko for en installasjon, analyseres et større eller mindre utvalg av lekkasjescenarier, definert med utgangspunkt i ESD-segmenter og skillene mellom de ulike fysiske områdene prosessanlegget løper gjennom. Frekvens for ulike lekkasjerater fra de utstyrsenhetene som inngår i hvert scenario er input til disse analysene.

Beregningen av lekkasjefrekvenser tar utgangspunkt i historiske lekkasjedata i form av generiske frekvenser for ulike hullstørrelser knyttet til etablerte utstyrskategorier. Ved å kombinere disse frekvensene med informasjon om prosessmediets tetthet og trykk i de aktuelle utstyrsenhetene, finnes frekvens for ulike lekkasjerater knyttet til hver enhet. Frekvenser for forskjellige lekkasjerater knyttet til de definerte scenariene etableres ved å summere lekkasjefrekvenser på utstyrsnivå.

Noen databaser som har vært sentrale ved etablering av generiske lekkasjefrekvenser i forbindelse med denne typen analyser for installasjoner på norsk sokkel er: • WOAD /9/ • E&P Forum /10/ • HSE /6/ • OREDA /11/ • VEREDA /12/.

Generelt om dette datamaterialet kan man si at det gir informasjon om antall lekkasjer fordelt over hullstørrelse for ulike utstyrskategorier, slik som: • Rør • Flenser • Pumper • Kompressor • Ventil • Trykktanker • Etc.

Dataene gir begrenset eller ingen informasjon om årsaker til lekkasje og nyanserer i liten eller ingen grad med hensyn til forhold slik som: • Alder på utstyret • Materiale • Fabrikater • Vedlikeholdsfilosofi • Prosessmedium • Etc. En database som er i ferd med å bli tatt i bruk blant alle norske offshore-operatører i dag er HCLIP-databasen /13/. Dette danner grunnlag for en standardisering av formatet lekkasjehendelser rapporteres på.


Side 10

For detaljer knyttet til databasene nevnt over og en oversikt over andre databaser vises det til /14/.

4.2 Styrker og svakheter ved dagens praksis Dagens analyser gir et visst grunnlag for videre konsekvensberegninger og kvantifisering av bidrag fra hendelser initiert av prosesslekkasjer til totalrisiko for installasjonen. Videre får analytikeren god oversikt over anlegget, med funksjoner, hvilke utstyrstyper som inngår, plassering og segmentering. Analyse av et anlegg er omfattende, men allikevel må metodikken sies å være både enkel og oversiktlig. Den kan gjennomføres av en risikoanalytiker alene, uten involvering av systemeksperter. Metodikken er godt innarbeidet i industrien og fungerer som en innarbeidet praksis med de fordeler det innebærer.

Den vanligste innvendingen i forbindelse med slike analyser er rettet mot bruken av generiske data som informasjonsgrunnlag. Dataene som brukes i analysene på norsk sokkel er samlet inn over lang tid, fra et stort antall installasjoner, drevet av ulike operatørselskap og med varierende driftsbetingelser. Lekkasjedata for en spesifikk type utstyr, for eksempel ventiler, dekker hendelser relatert til mange typer ventiler, som skiller seg fra hverandre med hensyn til egenskaper som utforming, virkemåte, materiale, prosessmedium, ytre miljø og vedlikeho ld. Et resultat av dette er at frekvensene som benyttes i en analyse er gjennomsnittstall, som sjelden vil gi gode prediksjoner eller kan anses som relevante for den spesifikke installasjonen. For at denne metodikken skal reflektere installasjonsspesifikke forhold, kreves et stort og langt mer nyansert datamateriale.

Vi ser på et eksempel med en ny installasjon hvor moderne teknologi tas i bruk i prosessanlegget, med blant annet rustfrie ståltyper med høy korrosjons- og erosjonsbestandighet, forbedrede ventiler og flensforbindelser og nøye planlagt vedlikehold med forbedrede inspeksjonsmetoder. Ved analyse av lekkasjerisiko for denne installasjonen basert på generiske data, vil en rekke forhold, som opplagt vil påvirke forekomsten av lekkasjer, ikke bli reflektert. Noen lekkasjetyper vil inntreffe sjeldnere, for eksempel vil forbedrede inspeksjonsrutiner og -metoder oftere kunne avdekke veggtynning på grunn av erosjon og korrosjon i tide. I tillegg vil ny teknologi kunne endre sammensetningen av relative bidrag fra ulike lekkasjemekanismer. Et eksempel på dette er bruk av rustfrie stål i rør og tanker, som i stor grad eliminerer jevnt fordelt korrosjon med potensiale for bruddtyper som gir store lekkasjer, mens pittingkorrosjon med uforutsigbart forløp og fare for små lekkasjer vil være en lekkasjemekanisme som får større betydning. I disse tilfellene vil lekkasjefrekvensene være konservative, dels med urealistisk høye frekvenser og dels med for stor vekt på høye lekkasjerater. Andre installasjonsspesifikke forhold ved den nye installasjonen, som ikke reflekteres i metodikken, kan virke i motsatt retning og gi urealistisk lave frekvenser. Eksempler er nye feilmodi og ”barnesykdommer”, nedbemanning og bruk av anlegg utover sin tiltenkte levetid.

Et annet eksempel på installasjonsspesifikke forhold som ikke blir ivaretatt i en analyse basert på generiske data, er kraftig akselerert erosjon forårsaket av sandproduksjon. Geologer og reservoaringeniører vil på forhånd kunne gi gode prediksjoner på hvorvidt sandproduksjon vil kunne skape problemer, og i designfasen vil det bli tatt beslutninger knyttet til forsterking av utsatte komponenter og innretninger for deteksjon og fjerning av partikler. Denne typen informasjon vil imidlertid ikke påvirke resultatene av risikoanalysen. I stedet vil hvert anlegg som analyseres, uavhengig av geologiske forhold og iverksatte tiltak, få et lite utvannet bidrag fra denne årsaksmekanismen.

En annen innvending kan rettes mot måten generiske lekkasjefrekvenser for enkeltutstyr kombineres, for å etablere overordnede frekvenser for lekkasjescenarier og installasjonen totalt. Som nevnt over er disse beregningene basert på summering av enkeltfrekvenser. Med denne fremgangsmåten ignoreres avhengighet mellom komponentene. For rør er dataformatet som


Side 11

regel frekvens per meter. Et 20 meter langt rør får dermed dobbelt så høy lekkasjefrekvens som et på 10 meter. Det samme gjelder hvis en betrakter antall flenser eller ventiler i et gitt prosessegment. Frekvensen blir proporsjonal med antall enheter. For noen lekkasjemekanismer, for eksempel menneskelige feilhandlinger under installasjon eller vedlikehold, eller produksjonsfeil på serieproduserte enheter, for eksempel pakninger, kan en slik tilnærming være rimelig. For andre mekanismer, slik som tidsavhengig degradering på grunn av korrosjon eller erosjon vil det i praksis ikke være noen slik lineær sammenheng. Det vil heller være et spørsmål om i hvilken grad slike fenomener har effekt. Hvis det har effekt, vil feil kunne oppstå nokså uavhengig av antall komponenter, men etter den første feilen vil normalt tiltak settes inn for å hindre tilsvarende feil i de andre komponentene. Antar vi samme eksponering for slike fenomener, får en urealistisk lave frekvenser for små anlegg med få komponenter og tilsvarende høye tall for store anlegg.

I denne metodikken, utgjør generiske frekvenser for lekkasjer fra ulike utstyrskategorier laveste detaljnivå og installasjonsspesifikke forhold utover mengden utstyr blir i liten grad blir tatt hensyn til. En konsekvens av dette er at analysen ikke inneholder systematiske vurderinger av årsaksmekanismene bak lekkasjehendelsene og informasjon som eksisterer om disse. Dette gir et dårlig grunnlag for identifisering av mulige tiltak for å redusere risiko og kvantitativ rangering av de mest effektive tiltakene. For å finne frem til gode tiltak i denne sammenhengen, må analysen gi informasjon om hovedbidragsyterne til de overordnede lekkasjefrekvensene, og mer detaljert, hvilke konkrete kritiske faktorer eventuelle tiltak kan rettes mot. Dagens analyser gir informasjon om hvilke av de definerte scenariene som bidrar mest, det vil si hvilke områder på installasjonen som er mest eksponert for lekkasjer av ulike størrelser, og hvilke ESD-segmenter som er involvert. Ser en nærmere på disse resultatene, vil man finne at de disse scenariene har ugunstige kombinasjoner av: • Mange utstyrsenheter • Utstyrsenheter med høy historisk lekkasjefrekvens • Høyt trykk • Store ESD-segmenter, med store tilgjengelige volumer av hydrokarboner. Få tiltak blir iverksatt utfra slike betraktninger. Antall utstyrsenheter innen de ulike kategoriene er allerede minimalisert i designfasen. Trykket er styrt av prosesstekniske forhold. I enkelte tilfeller vil det være aktuelt å endre prosessegmenteringen for å redusere frekvensen for lekkasje av store volum. For å finne frem til andre tiltak som kan redusere lekkasjefrekvensene, må en fokusere på årsakene til at lekkasjer oppstår, for eksempel korrosjon, utmatting, feilhandlinger, vedlikehold og operasjonsrutiner. Faktorer som påvirker årsaksmekanismer på dette detaljnivået, tas ikke i betraktning i analysene. For systematiske vurderinger av tiltak mot lekkasjer på dette nivået, kreves samarbeid på tvers av de involverte fagmiljøene. Dagens analyser åpner ikke for slikt samarbeid. De blir i sin helhet utført innenfor sikkerhetsmiljøene, og har liten nytteverdi for de disiplinene som planlegger, installerer, opererer og vedlikeholder prosessanleggene.


Side 12

5 TIDLIGERE ARBEID INNEN ÅRSAKSANALYSER I metoden for analyse av lekkasjesannsynlighet som ble beskrevet i forrige kapittel var nederste detaljnivå generiske lekkasjefrekvenser fordelt på hullstørrelser og definerte utstyrskategorier. I dette kapittelet gis det omtale av andre arbeider hvor mer detaljert informasjon om årsakene til at uønskede hendelser oppstår, er tatt i betraktning. Hovedfokus er på lekkasjer, men tre arbeider er også rettet mot brønnspark og utblåsning. I 5.1 beskrives hovedinnhold og –resultater fra fire studier basert på innsamlede lekkesjedata. Fire prosjekter hvor årsaksbetraktninger er tatt i bruk i verktøy for kvantitativ analyse og styring av risiko presenteres kort i kapittel 5.2. En oppsummering av elementer i de ulike arbeidene som er interessante i dette prosjektet, er gitt i kapittel 5.3.

5.1 Studier

HSE Technica Målsetningen i dette prosjektet /15/, som var et samarbeid mellom Health & Safety Executive (HSE) og Technica, var å undersøke i hvilken grad ulike menneskelige og sosiotekniske faktorer bidrar i de generiske lekkasjefrekvensene som brukes i kvantitative risikoanalyser. En kvalitativ årsaksmodell ble utviklet. 921 rapporterte lekkasjehendelser knyttet til rør i prosessanlegg ble deretter klassifisert i henhold til strukturen i modellen. Det øverste nivået i modellen er ”Direct/immediate causes”. Her skilles det mellom feiltypene: • Corrosion • Erosion • Vibration • Impact • External load • Temperature • Overpressure • Operating error • Wrong in- line equipment or location • Defect pipe or equipment • Unknown • Other. For en hendelse innenfor en av disse kategoriene skilles det videre mellom ulike ”Underlying causes” og ”Preventive mechanisms”. ”Underlying causes” er delt inn i: • Design • Manufacture • Construction • Operation • Maintenance • Natural causes • Domino • Sabotage. ”Preventive mechanisms” inneholder kategoriene: • Routine checking • Task checking • Hazard study


Side 13

• Human factors review.

I prosjektet ble det lagt vekt på å nyansere menneskelige og organisatoriske faktorer som årsaker til lekkasjer. Det skilles mellom menneskelig feil som direkte foranledning til lekkasje, og hendelser hvor den menneskelige/organisatoriske feilen har bidratt mer indirekte, gjennom svikt i, utelatelse av eller mangel på ledelsesmessige styringsfunksjoner. For litt over halvparten av hendelsene inneholdt rapportene tilstrekkelig informasjon til at de kunne klassifiseres i den etablerte årsaksstrukturen. Utover fordeling av lekkasjer på de definerte ”Direct/immediate causes” og ”Underlying causes” viser resultatene at over 90 % av lekkasjene kan spores tilbake til svikt i en av funksjonene definert under ”Preventive mechanisms”. Bare 7,6 % ble funnet å være ”uunngåelige”. Overordnet gir resultatene grunnlag for å diskutere bruk av reduksjonsfaktorer på generiske lekkasjefrekvenser basert på kvalitative vurderinger av egenskaper ved organisatoriske såvel som tekniske systemer knyttet til et gitt anlegg.

SpunsTett

Denne studien /16/ ble gjennomført av Statoil i 1993. Målsetningen var å dokumentere årsaker til gasslekkasjer, i den hensikt å identifisere hensiktsmessige innsatsområder for å redusere antallet lekkasjer i fremtiden. Analysen er basert på beskrivelser av 116 hendelser på Statfjordfeltet, samt intervjuer med 90 medarbeidere internt i Statoil og hos tilknyttede entreprenører. Årsakene til lekkasjene ble delt inn i følgende kategorier: • Manglende jobbsikkerhetsanalyse • Feiloperering • Manglende kommunikasjon og erfaringsoverføring • Design- og utstyrsfeil • Mangler ved inspeksjons- og vedlikeholdsprogram • Stor arbeidsbelastning / stress • Manglende kvalitetskontroll • Mangelfull dokumentasjon samt ikke-oppdaterte tegninger • Manglende kunnskap om trykkoppbygning • Prosedyre ikke fulgt • Uoversiktlige eierforhold og delt områdeansvar • Mangelfullt prosedyreverk. To viktige konklusjoner i prosjektet var at kun ca 10 % av lekkasjene kunne defineres som design- og utstyrsfeil, og at mange kan unngås med forbedrede rutiner for gjennomføring av sikker jobb-analyser.

HSE Offshore safety Division (OSD) hydrocarbon release reduction campaign

I denne studien /7/ analyseres rapporterte hydrokarbonlekkasjer på britisk sokkel i perioden april, 2000 – mars, 2001. Hovedformålet var å bedre informasjonsgrunnlaget for forebygging av lekkasjer i petroleumsindustrien. Lekkasjene ble kategorisert med hensyn til: • Operating mode • Release site • Release mechanism • Immediate cause • Underlying cause • Failed Safeguarding system • Potential new/additional safegaurds.


Side 14

Alle disse egenskapene har underpunkter. Den videre inndelingen av ”Release mechanism”, ”Immediate cause” og ”Underlying cause” er vist nedenfor.

Underpunkter av ”Release mechanism”: • Internal explosion • Overpressurisation • Underpressurisation • Open pathway • Degraded containment envelope.

Underkategorier av ”Immediate cause”: • Corrosion/internal • Corrosion/external • Erosion • Fatigue/vibration • Incorrect installation • Operator error • Degradation of material properties • Procedural violation • Inadequate isolation • Blockage • Inadequate procedures • Defective equipment

Underkategorier av ”Underlying cause”: • Inadequate compliance monitoring • Inadequate risk assessment • Inadequate design • Inadequate procedures • Inadequate competency • Inadequate supervision • Incorrect material specification/usage • Inadequate task specification • Excessive workload • Outdated information/data • Incorrrect installation • Inadequate maintenance • Inadequate communication • Inadequate inspection/condition monitoring

Resultatene fra studien er først og fremst statistikker over disse kategoriene for britisk sokkel sett under ett. I tillegg er det foretatt en bench-markingundersøkelse på tvers av operatørselskaper med hensyn til antall lekkasjer. Denne viste relativ store forskjeller mellom selskapene.

Kampanje for reduksjon av antall hydrokarbonlekkasjer i SHELL Expro

I 2000 fremsatte HSE et krav overfor offshore operatører i den britiske oljeindustrien om å halvere antall betydelige og store hydrokarbonlekkasjer innnen 2004. Som en konsekvens av dette satte Shell Exploration and Production (Expro) ned en arbeidsgruppe med formål å oppnå målsetningen innen 2002 /17/. Denne gruppens strategi kan oppsummeres ved følgende punkter:


Side 15

1. Analysér alle lekkasjedata 2. Etablér trender og forståelse for lekkasjeårsaker 3. Arbeid med forbedringer og utvikle en beste praksis for selskapet 4. Tilrettelegg for implementering i driftsorganisasjonene 5. Sørg for kommunikasjon, opplæring, økt bevissthet og kunnskap.

Gjennom dataanalysene er det etablert statistikk over relative bidrag til antall lekkasjer med forkjellige årsaksinndelinger. På overordnet nivå fokuseres det på bidrag fra årsakskategoriene: • Mechanical failure • Corrosjon/erosion • Human factors.

Videre er dataene sortert under ulike utstyrstyper og komponenter, og på spesifikke lekkasjemekanismer for hver av disse.

Det er etablert en egen lekkasjedatabase. Månedlige rapporter over hendelser utarbeides med bakgrunn i denne, og statistikkene oppdateres fra år til år.

Basert på funnene i dataanalysene, har arbeidsgruppen igangsatt en rekke ulike forbedringstiltak. Noen eksempler er: • Kurs for økt bevissthet på korrrosjon • Utvikling av retningslinjer for utvalgte vedlikeholdsaktiviteter • Utvikling av sandresistent gods for pumpehus • Etablering av ”best practice” for bruk av kjemiske inhibitorer • Nytt informasjonssystem for vedlikeho ld og utskifting av slanger.

5.2 Utviklingsprosjekter

KickRisk

KickRisk-prosjektet er basert på en doktorgradsavhandling ved Høgskolen i Stavanger / Robert Gordon University (UK) fra 1995 /18/. Det kommersielle prosjektet har gått kontinuerlig ved RF – Rogalandsforskning siden 1995 /3/. Prosjektet tar sikte på å utvikle et komplett verktøy for analyse av brønnspesifikk brønnspark- (kick) og utblåsningsrisiko forbundet med bore- og brønnoperasjoner til bruk i brønnplanlegging, TRAer og miljørisikoanalyser. Verktøyet, slik det fremstår i dag, dekker boring av vertikale brønner, og består av to moduler: Én for analyse av sannsynlighet for at kick inntreffer og én for analyse av sannsynlighet for at en kick resulterer i tap av brønnkontroll og utblåsning. Begge moduler er bygget opp rundt fysiske grensetilstander som definerer de to hendelsene. Kick inntreffer dersom brønntrykket faller til et nivå som er lavere enn poretrykket i en porøs og permeabel, hydrokarbonførende formasjon etter at denne er penetrert. Utblåsning inntreffer som følge av at brønntrykket etter en kick overskrider trykkapasiteten i en av delene i brønnsystemet. Sannsynlighetsanalysene er basert på uttrykk for usikkerhet knyttet til størrelsene som inngår i grensetilstandene i form av sannsynlighetsfordelinger. Fordelingene for poretrykk og brønnkapasiteter angis i stor grad direkte på bakgrunn av vurderinger fra geologer, mens fordelingene for opptredende brønntrykk i ulike faser av operasjonene etableres gjennom en omfattende modell. Basis for modellen er at brønntrykket er sammensatt av tre komponenter: Hydrostatisk trykk fra boreslammet, friksjonstrykk fra sirkulasjon av slammet og trykkeffekter som oppstår ved vertikale bevegelser av borestrengen. I modellen sammenfattes varige og midlertidige bidrag til disse tre komponentene fra nedihullseffekter, utstyrsfeil og operatørenes regulering av boreprosessen, inklusive betraktninger knyttet til tolkning av informasjon om styringsparametere, kommunikasjon og feilhandlinger. Input til analyseverktøyet er deterministiske og probabilistiske beskrivelser av fysiske størrelser og hendelser som inngår i modellene.


Side 16

Resultatene fra en analyse dekker overordnede kick- og utblåsningssannsynligheter, bidrag fra forskjellige faser og årsaksmekanismer, samt relativt bidrag fra de ulike usikre størrelsene på detaljert nivå. Monte Carlo-simulering brukes som beregningsmetode. Dette er en forutsetning for å fange opp avhengigheter på en konsistent måte og for systematisk å fange opp de relative bidrag fra ulike faser, årsakmekanismer og størrelser. Kick-modulen har vært brukt i fire pilotprosjekter mot reelle brønnplanleggingsprosesser med gode resultater. En viktig suksessfaktor er at verktøyet tar input på størrelser som av brønnplanleggerne anerkjennes som viktige bidragsytere til risiko og rapporterer de relative bidragene tilbake på et format som egner seg for identifisering risikoreduserende tiltak. Verktøyet kan videre brukes for å vurdere effekten av de identifiserte tiltakene og slik gi grunnlag for rangering av disse med kost-nytte vurderinger.

BlowFAM

Dette er også et verktøy for analyse av utblåsingsrisiko. Det er utviklet av Scandpower AS, og har vært i utstrakt bruk som grunnlag for TRAer og miljørisikoanalyser siden 1995 /19/. Hensikten med verktøyet er å trekke vurderinger av operasjonsspesifikke forhold inn i analyse av utblåsningsrisiko. 278 såkalte risikoelementer er identifisert og vektet med hensyn til hvor stor relativ påvirkning de har på risikonivået. Disse elementene relaterer seg til tekniske, menneskelige, organsiatoriske og geologiske forhold. I en analyse vurderes graden av eksponering for de ulike risikoelementene i den aktuelle operasjonen i forhold til en gjennomsnittsoperasjon. Historiske utblåsingsfrekvenser fra Sintefs utblåsningsdatabase /20/ blir så justert med hensyn til disse vurderingene. Verktøyet dekker lete- og produksjonsboring, komplettering, produksjon, workover og wireline-intervensjon.

Risikobasert inspeksjon

Riskobasert inspeksjon (RBI) er et begrep som dekker ulike tilnærminger til inspeksjonsplanlegging, hvor vurderinger av usikkerhet og risiko inngår. I denne beskrivelsen tar vi utgangspunkt i RBI-teknlogi utviklet i Det Norske Veritas, se f.eks. /21/ eller /22/, som er basert på probabilistisk analyse av definerte feilmodi knyttet til utstyret som inspiseres, for eksempel prosessutstyr, som rør og tanker. Teknologien bygger på grunnleggende forståelse av de ulike degraderingsmekansimene, som en forsøker å kontrollere gjennom systematisk inspeksjon. Sannsynlighet for en bestemt feil beregnes med bruk av en modell som representerer den aktuelle degraderingsmekanismen, last- og styrkemodeller for den aktuelle utstyrskomponenten og analyseprinsipper fra konstruksjonspålitelighet /23/. Denne sannsynlighetsberegningen betinger på en gitt inspeksjonspraksis og tar kunnskap om materialer, operasjonsforhold og miljø i betraktning. Feilsannsynligheten sammen med resultatene fra en mer eller mindre omfattende konsekvensanalyse holdes opp mot operatørens akseptkriterier for risiko og danner grunnlaget for kost-nyttebetraktninger, identifisering av tiltak og valg av inspeksjonsløsning. RBI er benyttet i en rekke prosjekter for flere operatører i inn- og utland.

Risikoindikatorer

Oljedirektoratet har initiert flere prosjekt for utvikling og etablering av risikoindikatorer. Disse prosjektene har gått under fellesbetegnelsen "Ind ikatorprosjektet" /24/ og har blitt utført av SINTEF. Hovedideen bak risikoindikatorer er å finne fram til et sett av målbare størrelser som dersom de overvåkes, vil avsløre endringer i risikonivået knyttet til definerte hendelser i forbindelse med operasjon av offshoreinstallesjoner. Videre er det tenkt at endringer i størrelsene skal kunne gi grunnlag for identifisering av hensiktsmessige tiltak for å redusere risiko. Det er utviklet en metodikk for etablering av tekniske risikoindikatorer og et rammeverk for etablering av organisatoriske risikoindikatorer.


Side 17

Etablering av tekniske indikatorer /25/ tar utgangspunkt i TRA. For de ulykkestyper som er funnet å gi et signifikant bidrag til risiko for storulykker, identifiseres størrelser i TRA som har innvirkning på det totale risikonivået, og som vil kunne variere i en driftsfase. Tabell 5-1 viser noen eksempler på foreslåtte tekniske indikatorer for en fast installasjon i Nordsjøen. Tabell 5-1: Forslag til tekniske risikoindikatorer for en fast installasjon (fra /25/) RPF nr. Risikopåvirkende forhold Forslag til indikator

Prosessulykker 1 Lekkasjefrekvens Totalt antall olje - og gasslekkasje r 2 Antennelse pga. feil på elektrisk utstyr Totalt antall feil på elektrisk utstyr 3 Utkopling av tennkilder ved 20% LEL Ingen indikator funnet 4 Varmt arbeid Antall varmt arbeidstillatelser kl. A og B

5 Eksponeringsfaktor, gitt lekkasje og varmt arbeid Upåvirkelig, ingen indikator funnet

6 Antennelse pga. Pumper, kompressorer Antall timer utestående vedlikehold (backlog)

7 Antennelse pga. Drivenheter (turbiner, elektriske motorer) Totalt antall feil på elektriske drivenheter

8 Selvantennelse Upåvirkelig, ingen indikator funnet 9 Antennelse i nabomodul Andel av tiden dørene mellom modulene er åpne

Utblåsning 10 Boring og komplettering Antall dager med boring og komplettering 11 Brønnoverhaling Antall dager med brønnoverhaling 12 Utblåsningssannsynlighet Antall trekkinger av borestreng

Utvikling av organisatoriske faktorer /24/ retter seg foreløpig først og fremst mot prosesslekkasjer. For å kunne beregne den påvirkning organisatoriske faktorer har på antall lekkasjer, er det etablert en modell som viser sammenheng mellom de viktigste faktorene og hvorvidt lekkasjer inntreffer. Modellen er utviklet på grunnlag av studier av lekkasjedata, kjennskap til en gitt driftsorganisasjon og organisasjonsteori. Modellen har tre nivåer, se Fig. 5-1: (1) utstyr som lekker, (2) personell involvert i aktiveter som har direkte påvirkning på hvorvidt lekkasjer inntreffer, for eksempel drifts- og vedlikeholdspersonell og personell involvert i brønnoperasjoner, (3) organisatoriske forhold som påvirker handlingene til personellet på nivå 2.


Side 18

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet

Instrument/instr.rør

Korr.vedl.(mod.)

Drift

Opplæring/kompetanse

Prosedyrer,SJA, retn.linjer,

instrukser

Planl., koord.,org., kontroll

Design

PM-program/inspeksjon

Brønn-operasjoner

Forebyggendevedlikehold

Individfaktor(oppm./kons.)

Hva(svikter/lekker)

Hvem(utførende)

Hvem(styrende)

Front-linje personell/hovedfunksjoner

Lekkasje

Komponent/utstyr Parameter/feilmode

Hendelse

Ansvarlig/tilretteleggendepersonell

Figur 5-1 Organisatorisk lekkasjemodell (fra /24/)

Risikoindikatorer knyttet til nivå 3 er foreslått, se Tabell 5-2.

Tabell 5-2 Forslag til organisatoriske risikoindikatorer for en fast installasjon (fra /24/)

Organisatoriske faktorer Organisatoriske risikoindikatorer ORI11 Andel prosessteknikere med formell systemopplæring ORI12 Gjennomsnittlig antall områder prosessteknikerne har opplæring i ORI13 Andel instrumentteknikere med kurs i rørkopling/ventiler ORI14 Andel mekanikere med kurs i flenstrekking ORI15 Andel mekanikere med pakningskurs ORI16 Gjennomsnittlig antall år erfaring på denne installasjonen ORI17 Gjennomsnittlig antall år erfaring totalt

OF1 Opplæring/kompetanse

ORI18 Andel av relevant personell som har deltatt i faglig utvikling ORI21 Andel av relevant personell med formell opplæring i SJA ORI22 Andel av relevant personell som har gjennomført SJA siste år ORI23 Antall SJA gjennomført siste kvartal på installasjonen

OF2 Prosedyrer, SJA, Retningslinjer, instrukser

ORI24 Hyppighet av kontroll med utarbeidelse/bruk av SJA ORI31 Andel kritiske jobber utført med kontroll OF3 Planlegging, koordinering,

organisering, kontroll ORI32 Andel inn- og utskrivinger av arbeidsordre i felt (på arbeidsstedet) OF4 Design ORI41 Antall designrelaterte lekkasjer og tilløp til lekkasjer

ORI51 Mengde inspeksjon av lekkasjepunkt-utstyr OF5 PM-program/inspeksjon ORI52 Mengde korrigerende vedlikehold av lekkasjepunkt-utstyr

Metodikken for etablering av risikoindikatorer har blitt utviklet gjennom case-studier knyttet til to installasjoner på norsk sokkel.

5.3 Oppsummering Studiene i 5.1 gir et godt og nyansert innblikk i og oversikt over feilmodi og årsaksforhold knyttet til prosesslekkasjer. I alle de fire studiene er det brukt et system for kategorisering av årsaker med flere nivå, f.eks. direkte årsak, bakenforliggende årsak, etc. En slik inndeling kan


Side 19

fange opp sammenhengen mellom konkrete forhold som påvirker hvorvidt lekkasjer oppstår og organisatoriske prosesser som påvirker anlegget fra design til drift. I samtlige studier ser vi imidlertid lite presis definisjon av årsakskategorier og overlapping mellom disse.

Utviklingsprosjektene i kapittel 5.2 bygger på ulike analyseprinsipper. Dette relaterer seg både til detaljnivået i de årsakssammenhenger som tas i betraktning, og til underlagsmaterialet for kvantifisering av usikkerhet i analysene. I KickRisk- og i RBI-prosjektene er det utviklet modeller av årsaksmekanismer for de uønskede hendelsene. Som input til probabilistisk analyse av modellene brukes både erfaringsdata og ekspertvurderinger for å tallfeste sannsynligheter knyttet til størrelser på et lavt årsaksnivå. Fra disse sannsynlighetene beregnes sannsynlighet for den aktuelle uønskede hendelsen ved å kombinere modellstrukturen med regler fra sannsynlighetsregning.

Hovedgrunnlaget for kvantifisering av risiko med BlowFam er generiske frekvenser for den uønskede hendelsen, basert på historiske data. Ekspertkunnskap trekkes inn ved vurdering av en rekke justeringsfaktorer, for å tilpasse de generiske frekvensene med hensyn til rammebetingelsene for en spesifikk operasjon, og ved innbyrdes vekting av faktorene. Detaljnivået på faktorene er ofte høyere enn hva tilfellet er for KickRisk og RBI. En annen forskjell er at den logiske sammenhengen mellom justeringsfaktorene og den uønskede hendelsen ikke alltid foreligger.

I risikoindikatorprosjektet ser vi to ulike tilnærminger for henholdsvis tekniske og organisatoriske indikatorer. Hovedprinsippet for de tekniske indikatorene er at endringer i risikonivå kan avdekkes ved å observere endringer i størrelser som har betydelig innvirkning på resultatet av en TRA. I kapittel 2 ble det argumentert for at TRAen ikke reflekterer årsaksforhold i tilstrekkelig grad til å støtte beslutninger med henblikk på å forebygge lekkasjer. På denne bakgrunn ser vi ikke at metodikken knyttet til tekniske risikoindikatorer kan benyttes videre i dette prosjektet. Prinsippene for de organisatoriske risikoindikatorene er annerledes, og ikke ulike prinsippene knyttet til justeringsfaktorene i BlowFam. Ekspertkunnskap trekkes inn ved innbyrdes vekting av indikatorene for et gitt anlegg og ved vurdering av tilstanden til de definerte indikatorene, for å justere de generiske lekkasjefrekvensene med hensyn til rammebetingelsene på et gitt tidspunkt.

En rekke andre studier og utviklingsprosjekter er beskrevet i /14/.


Side 20

6 GRUNNLAG OG PRINSIPPER FOR ÅRSAKSANALYSE Hensikten med dette kapittelet er å etablere målsetninger med årsaksanalyser, teoretisk grunnlag og prinsipper for selve analysen samt bruk av resultatene i forbindelse med beslutninger.

Kvantitative risikoanalyser tas i bruk i forbindelse med valg mellom alternative løsninger og tiltak. Når det er usikkert i hvilken grad en virksomhet kan nå sine målsetninger gjennom de ulike alternativene, kan risikoanalyser bidra til systematisering av informasjon, økt innsikt og forbedret underlag for beslutninger.

Begrepet årsaksanalyse, slik det benyttes i denne rapporten, må betraktes som en delaktivitet av kvantitative risikoanalyser, for eksempel TRAene som utføres for installasjonene på norsk sokkel. Som beskrevet i Kapittel 2, tar slike analyser utgangspunkt i et sett av såkalte uønskede hendelser. Prosesslekkasje er et eksempel på en uønsket hendelse. Andre eksempler er utblåsning, helikopterstyrt, fallende last og skipskollisjon. En årsaksanalyse retter seg mot en spesifikk uønsket hendelse. Årsaksanalysens funksjon er å vurdere mulige årsaker til at den uønskede hendelsen kan oppstå og kvantifisere usikkerhet knyttet til hvorvidt den uønskede hendelsen vil inntreffe og bidrag fra ulike årsaksfaktorer.

6.1 Målsetning og grunnlag Generelt er formålet med risikoanalyser å bedre grunnlaget for beslutninger. Formålet med en årsaksanalyse er dermed å bedre grunnlaget for beslutninger relatert til en gitt uønsket hendelse. I praksis betyr dette å støtte beslutninger som inngår i de styringsprosesser i en virksomhet som påvirker hvorvidt den uønskede hendelsen vil inntreffe. Årsaksanalyse kan gi slik beslutningsstøtte ved å kvantifisere usikkerheten forbundet med evnen ulike løsninger og tiltak har til å forhindre den uønskede hendelsen.

For at beslutningstakeren skal ha tillit til resultatene slik at de har reell nytte i en beslutningssituasjon, må analysen være basert på informasjon som reflekterer den spesifikke løsning, og som er relevant for den målsetning som vurderes. Informasjonen må videre representere et detaljnivå som tilsvarer de vurderinger som ligger til grunn for utforming av løsningen. Disse kravene om relevans og detaljnivå krever at analysen må reflektere årsakssammenhenger mellom oppnåelse av målsetningene og de påvirkende faktorer i virksomheten. Et eksempel på dette er hvordan oppnåelse av en målsetning om ”ingen lekkasjer” avhenger av årsaksfaktorer som valg av design, drifts- og vedlikeholdsfilosofi, menneske-maskin-grensesnitt og faktorer som spiller inn på arbeidsmiljø. Når årsakssammenhengene er etablert, kan usikkerheten knyttet til oppnåelse av målsetningen for en løsning beregnes utfra beskrivelser av usikkerhet rundt årsaksfaktorene.

6.2 Analyseprinsipper Beskrivelse av årsakssammenhenger mellom oppnåelse av målsetninger og årsaksfaktorene, innebærer etablering av modeller. Ved hjelp av lover fra fysikk eller andre logiske sammenhenger, gir modellene en forenklet representasjon av hvordan hendelser og fysiske størrelser knyttet til målsetningene avhenger av størrelser på et lavere årsaksnivå. Vanlige verktøy for å beskrive slike deterministiske sammenhenger er feil- og hendelsestrær, last-styrkemodeller, kjente fysiske sammenhenger samt empiriske og mer intuitive betraktninger.

Hensikten med modellene er å fange opp beskrivelser av usikkerhet knyttet til størrelser som påvirker den uønskede hendelsen. Slike årsaksfaktorer befinner seg på et nivå hvor informasjon er tilgjengelig og som påvirkes av beslutninger. I årsaksanalyser beskrives usikkerhet ved hjelp av sannsynligheter og sannsynlighetsfordelinger knyttet til observerbare utfall. Ved analyse av


Side 21

prosesslekkasjer kan derfor sannsynlighet brukes til å beskrive usikkerhet rundt årsaksfaktorer i systemet som:

• Trykk og temperatur i en tank

• Korrosjonshastighet

• Grad av erosjon i rørbend

• Oppdagelse av materialfeil med ulike inspeksjonsteknikker

• Installasjon av feil materialkvalitet

• Åpning av trykksatt utstyr under vedlikeholdsaktiviteter.

Disse sannsynlighetene utgjør inngangsdata til analyse av modellen, og angis spesifikt for hver løsning som skal analyseres. Sannsynligheten for hendelsen som analyseres, for eksempel ”Prosesslekkasje”, beregnes med utgangspunkt i strukturen i modellen og regler for sannsynlighetsregning. Denne sannsynligheten er å betrakte som et endelig uttrykk for usikkerhet forbundet med hvorvidt fenomenet vil inntreffe.

Den beregnede sannsynligheten danner utgangspunkt for sammenligning av alternative løsninger. Hovedbidragsytere og kritiske faktorer kan identifiseres gjennom delresultater fra analyse av modellen, følsomhets- og viktighetsanalyser. Dette gir indikasjoner på hvor forbedrende tiltak kan settes inn. Ved å endre inngangsdataene til analysen i henhold til identifiserte tiltak, kan effekten av tiltakene analyseres. Dette gir et godt utgangspunkt for kost-nyttevurderinger og beslutninger.

Prinsippene for årsaksanalyse kan summeres opp slik:

• Modeller for årsaksmekanismer som knytter hendelsen opp mot styringsprosesser i virksomheten, etableres

• Usikkerhet rundt observerbare årsaksfaktorer uttrykkes ved hjelp av sannsynligheter

• Usikkerheten oppsummeres i sannsynligheten for hendelsen som studeres ved hjelp av sannsynlighetsregning

• Kritiske faktorer identifiseres ved hjelp av delresultater, følsomhets- og viktighetsanalyser.

Med bruk av årsaksanalyse oppnås:

• Systematisering av relevant informasjon

• Kvantifisering av løsningsspesifikk usikkerhet

• Konsistent behandling av usikkerhet

• Beslutninger som fattes av de ulike fagdisipliner reflekteres. Slik kan analysen integreres i virksomhetens styringsprosesser.

6.3 Praktiske aspekter ved årsaksanalyser En årsaksanalyse går inn i det omfattende og kompliserte samspillet mellom tekniske systemer, organisasjon, prosedyrer og menneskelige faktorer, som avgjør om en hendelse inntreffer. Dette medfører et stort og vanskelig modelleringsarbeid. Når modeller for analyse av et fenomen først er etablert, vil disse imidlertid kunne brukes på nytt i senere analyser, og det vil være gode muligheter for standardisering. Ved endringer i organisasjon eller tekniske systemer, som


Side 22

påvirker årsaksmekanismene vil relativt begrensede oppdateringer av modellen i form av endringer eller utbygginger, som regel være tilstrekkelige.

Omfattende modeller krever store mengder inngangsdata. Dette påvirker både tids- og ressursforbruk ved gjennomføring av analyser. En stor andel av arbeidet med spesifisering av inngangsdata vil være fastsetting av sannsynligheter. Både erfaringsdata og ekspertvurderinger legges da til grunn. Sannsynlighetene som kreves i årsaksanalyse vil være på et detaljnivå hvor få eller ingen erfaringsdata er tilgjengelige. Arbeidet med innhenting av ekspertvurderinger i form av sannsynligheter vil derfor vil derfor være betydelig.

Innhenting av sannsynligheter ved hjelp av ekspertvurderinger er et tema som har vært viet liten oppmerksomhet i tradisjonelle risikoanalyser. I praksis gjøres dette imidlertid i stor utstrekning, men uten at et formalisert rammeverk er lagt til grunn. I de senere år har det vært utført flere studier på hvordan innhenting av slike ekspertvurderinger bør utføres, og man har fått praktisk erfaring, se for eksempel /26/, /27/ og referanser i disse. Arbeidene diskuterer ulike fallgruver som kan påvirke en eksperts evne til å fastsette sannsynligheter som reflekterer hans usikkerhet. Metoder for å motvirke disse fallgruvene samt å sikre konsistens og sporbarhet foreslås. Viktige resultater er:

• Eksperten har vanskeligere for å fastsette sannsynligheter desto lavere disse er

• Nivået for hvor lave sannsynligheter eksperten er komfortabel med kan senkes med trening

• Eventuelle erfaringsdata bør legges fram for eksperten som en del av fastsettingsprosessen

• Ved gjenbruk av modeller vil arbeidet med fastsetting av inputsannsynlighetene være mer effektivt dersom et sett av default-sannsynligheter med tilhørende forutsetninger eksisterer.

Årsaksmodeller som blir akseptert i risikoanalysemiljøene så vel som i fagdisiplinene, danner et godt utgangspunkt for diskusjon av standardiserte default-sannsynligheter knyttet til ulike driftsbetingelser, og for innsamling av relevante erfaringsdata. Slik vil modellene også bidra til at fokus rettes mot kritiske faktorer både i oppfølging av eksisterende systemer og planlegging av nye.

I tillegg til sannsynligheter vil årsaksanalysen kreve store mengder informasjon om systemets oppbygning. Eksempler på dette ved analyse av prosesslekkasjer er:

• Antall enheter innen forskjellige utstyrsklasser

• Materialkvaliteter for de ulike enhetene

• Dimensjoner

• Drifts og vedlikeholdsfilosofi for de ulike delene av anlegget.

For å håndtere de store mengdene informasjon dette vil innebære for mange systemer, vil en formalisert utnyttelse av data i operatørens egne informasjonssystemer være en betingelse for praktisk gjennomføring. Dette vil si at det må være mulig å overføre data fra operatørens elektroniske datasystemer til programvaren for årsaksmodellen. Typiske informasjonskilder hos operatøren er utstyrshierarkier i form av TAG-nummerering, line lists og lignende.

6.4 Diskusjon På områder hvor det er aktuelt å benytte årsaksanalyser, har risikoanalysene, slik de tradisjonelt har vært utført, vært prege t av utstrakt bruk av generisk frekvensanalyse. Slike analyser


Side 23

innebærer direkte tallfesting av frekvensen for den uønskede hendelsen, basert på industrihistorikk for den aktuell hendelsen, gjerne over lange tidsrom og med stor geografisk spredning. Når risikoanalysen baseres på generiske data på et slikt overordnet nivå, utelates viktig kunnskap om årsakssammenhengene som leder til den uønskede hendelsen i et gitt system. Spesielle tiltak innen vedlikehold, komponent- og materialvalg og driftsrutiner blir ikke reflektert i resultatet. Dette er en hovedårsak til at risikoanalysen i stor grad har vært en aktivitet som har foregått utenfor virksomhetens styringsprosesser, uten særlig involvering av personell som har detaljkunnskap til systemene, og at risikoanalysen sjelden skaper tillit i fagdisiplinene og slik ikke tas i nevneverdig betraktning når beslutninger fattes. I tillegg hersker det stor uklarhet rundt hvordan resultatene fra denne typen analyser skal oppfattes. Bakgrunnen for dette er at det velges en tilnærming til analysene hvor en forsøker å gi en objektiv beskrivelse av den ”sanne” risikoen knyttet til en aktivitet. Blant annet hevdes det at statistisk usikkerhet i de anvendte dataene gir usikkerhet i det endelige resultatet. Andre kilder til usikkerhet som diskuteres er forutsetninger og forenklinger i modellene og subjektive elementer i analysene. Det fremheves derfor ofte at resultatene er høyst usikre, og det gjøres forsøk på å kvantifisere denne usikkerheten, uten at det eksisterer noen konsensus for hvordan dette skal gjøres. Konsekvensen er at det er stor forvirring, selv i analysemiljøene, knyttet til hva resultatene uttrykker. Dette gjør det vanskelig å kommunisere resultatene, slik at en står igjen uten noe klart budskap eller konkrete anbefalinger.

I årsaksanalysen er involvering av personell fra de ulike fagdisiplinene en forutsetning, både ved utforming av modellene og ved innhenting av inngangsdata. Sannsynlighetene uttrykker den endelige usikkerheten knyttet til observerbare størrelser. Resultatet uttrykker analysegruppens usikkerhet knyttet til hendelsen som studeres, for eksempel ”lekkasje”. Siden dette i deg selv er en oppsummering av relevant usikkerhet i systemet, er det meningsløst å snakke om usikkerhet i resultatet.

Sammenlignet med årsaksanalyser, utelater de generiske analysene viktig systemkunnskap i form av ekspertvurderinger fra personell i fagdisiplinene og kunnskap om det aktuelle fenomenet, som bygges inn i modeller. Ved å modellere ned til et passende detaljnivå, åpner derimot årsaksanalysene for bruk av denne informasjonen, og oppnår større grad av integrasjon med virksomhetens styringsprosesser. Til gjengjeld vil denne siden ved årsaksanalysene gjøre disse mer ressurskrevende enn de tradisjonelle generiske analysene.


Side 24

7 MODELLSTRUKTUR FOR ÅRSAKSANALYSE AV PROSESSLEKKASJER

Å etablere en entydig nedbrytning av årsaker til hendelser er som kjent vanskelig. Det kan argumenteres for å begynne oppnøstingen av årsakskjeder med fokus på ulike aspekter og på flere nivåer. For eksempel kan en ved studie av feilhendelser, dersom årsakssammenhengene følges langt nok tilbake, hevde at enhver feil skyldes menneskelig svikt. Samtidig vil enhver lekkasje kunne knyttes til utstyrs- eller systemsvikt. Det finnes ingen ”korrekt” nedbrytning. Likevel kan man diskutere godheten av en systematikk for årsaksnedbrytning ut i fra den sammenheng hvor den anvendes. Med utgangspunkt i kapittel 6 bør en systematikk for nedbrytning av årsaker til lekkasjer i prosessanlegg tilfredsstille følgende krav: 1. Årsaksnedbrytningen må knytte prosesslekkasjer opp mot relevante styringsprosesser, slik at

beslutninger som fattes av de relaterte fagdisipliner reflekteres. 2. Nedbrytningen må være detaljert nok til at modellen tillater analyse av løsningsspesifikk

lekkasjesannsynlighet. 3. Nedbrytningen må i størst mulig grad være kompatibel med og kunne utnytte opplysninger i

operatørens egne informasjonssystemer som omhandler prosessanlegget 4. Nedbrytningen må ikke være mer detaljert enn at modellen kan håndteres innenfor rammene

av rimelig ressursforbruk. 5. Bryte ned årsaker etter en systematikk og med begreper som intuitivt kan forstås av både

ingeniører knyttet til prosessdesign og drift- og vedlikehold, såvel som av risikoanalytikere. 6. Laveste nivå i årsaksrekken må være observerbare størrelser, og usikkerheten knyttet til disse

må kunne beskrives med sannsynligheter og sannsynlighetsfordelinger. 7. Årsaksnedbrytningen må resultere i et sett av komplementære og entydige årsaksmekanismer

til lekkasje slik at sannsynligheten for prosesslekkasje kan bestemmes ved hjelp av sannsynlighetsregning.

8. Nedbrytningen bør gjøre det mulig å identifisere kritiske faktorer ved hjelp av analyse av delresultater.

De påfølgende delkapitlene beskriver avgrensninger for en modellstruktur for årsaksanalyse av hydrokarbonlekkasjer under drift av prosessanlegg på offshoreinstallasjoner, overordnet årsaksnedbrytning og de ulike nivåene i nedbrytningen. Et eksempel på anvendelse av modellstrukturen for en klasse prosessutstyr er beskrevet i Kapittel 8.

7.1 Avgrensninger Modellstrukturen utvikles for gasslekkasjer på produksjonsinstallasjoner offshore. I det videre avgrenses analyseobjektet med hensyn til fysisk anlegg, driftsfaser og berørte styringsprosesser.

7.1.1 Fysisk anlegg Modellen avgrenses til å ta for seg hydrokarbonførende utstyr, begrenset oppstrøms mot vingeventil på juletre og nedstrøms mot isoleringsventilen mot eksportstigerøret, som kan gi gasslekkasjer ved brudd på trykkbarrierer.

7.1.2 Driftsfaser En første betingelse for at en lekkasje skal kunne inntreffe er at prosessanlegget inneholder hydrokarboner under trykk. Modellen må derfor dekke følgende faser: 1. Oppstart 2. Normal drift 3. Nedkjøring 4. Testing


Side 25

5. Vedlikeholdsaktiviteter 6. Uplanlagte produksjonsavbrudd 7. Nødsituasjoner.

7.1.3 Styringsprosesser Hvorvidt lekkasjer inntreffer i driftsfasene over, vil være påvirket av følgende styringsprosesser: 1. Design 2. Installasjon 3. Overholdelse av operasjonsbetingelser 4. Vedlikeholdsstyring. Sammenhengen mellom disse styringsprosessene og hvordan de avhenger av ytre rammebetingelser er vist i Figur 7-1.

Ytre rammebetingelser

Reservoar, brønner, miljøbetingelser, bemanningskrav, etc.

Installasjon

Overholdelse avdriftsbetingelser

Følge prosedyre Overvåke

Behandle avvik

Vedlikeholdsstyring

Utførevedlikehold

Utføreinspeksjon

Planlegging

Endringer irammebetingelser

Påviste mangler vedanlegg og prosedyrer

Modifikasjoner

Design

Fysisk anlegg

Driftsplanlegging

Prosedyrer

Figur 7-1 Sammenhenger mellom styringsprosesser som påvirker prosesslekkasjer og ytre rammebetingelser


Side 26

Som det fremgår av figuren, er det kun styringsprosessene overholdelse av operasjonsbetingelser og vedlikeholdsstyring, som er aktive i driftsfasen. Beslutninger som fattes i design og installasjon vil ikke kunne påvirkes i drift. Modellen vil derfor knytte hendelsen prosesslekkasje opp i mot dynamikken i styringsprosessene overholdelse av operasjonssbetingelser og vedlikeholdsstyring, mens den kun vil fange opp de mulige konsekvensene av de allerede fattede beslutningene i design og installasjon.

Dette betyr ikke at modellen ikke vil kunne brukes til å sammenligne ulike løsningsforslag for utforming av prosessanlegg i en planleggingsfase eller analyse av effekten av mulige modifikasjoner, med hensyn til lekkasjesannsynlighet. Snarere vil modellen fremheve de forhold som er påvirkelige i drift, den fasen da lekkasjer kan inntreffe, og hvor organisasjonens kjennskap til systemets egenskaper tiltar med tiden.

7.2 Overordnet årsaksnedbrytning Prosessanlegget mellom brønnhode og eksportstigerør kan som en helhet betraktes som en barriere mot lekkasje av prosessmedium (gass) til atmosfæren. Brudd på denne barrieren i et hvilket som helst utstyr i anlegget vil gi lekkasje, og en kan derfor betrakte anlegget som en seriestruktur av kritiske utstyrsenheter. Hvert utstyr kan igjen brytes ned i komponenter, som kan defineres slik at en utstyrsenhet kan modelleres som et seriesystem av kritiske komponenter. Slik blir prosessanlegget en seriestruktur av definerte utstyrskomponenter, som ved å svikte gir hendelsen lekkasje. Dersom det defineres en entydig nedbrytning i utstyrskomponenter som dekker alle hydrokarbonførende utstyrsklasser i prosessanlegg, vil dette seriesystemet være gitt ved en oversikt over utstyret i et spesifikt prosessanlegg. Et forslag til nedbrytning i klasser av utstyrsenheter med eksempel på videre nedbrytning i komponenter er beskrevet i kapittel 7.3.

Med denne nedbrytningen kan hver utstyrskomponent betraktes som en kritisk fysisk barriere. Brudd på en slik barriere må skyldes et konkret fysisk fenomen som gir fri passasje for prosessmediet mot atmosfæren. Slike fysiske fenomener benevnes fysiske årsaker. Følgende fysiske årsaker til hendelsen prosesslekkasje er definert: 1. Feil operasjonsmodus 2. Ufullstendig oppbygning 3. Pakningsfeil 4. Fysiske nedbrytningsmekanismer De definerte fysiske årsakene er beskrevet nærmere i kapittel 7.4.

På neste årsaksnivå deles de fysiske årsakene inn i tre grupper bakenforliggende årsaker: 1. Svikt i styringsprosesser 2. Innebygde feil 3. Utilsiktede hendelser Se kapittel 7.5 for nærmere beskrivelse av de bakenforliggende årsakene.

Med en slik overordnet nedbrytningen av fysisk system og årsaker oppnås:

• Identifisering av utstyrskomponenter som utgjør barrierer mot lekkasje

• Isolering av fysiske feilmekanismer som kan føre til brudd på hver barriere

• At fysiske feilmekanismer knyttes til svikt i pågående styringsprosesser, konsekvenser beslutninger fattet i tidligere prosjektfaser eller utilsiktede hendelser.

7.3 Utstyrsklasser Følgende utstyrsklasser foreslås for gassdelen av et prosessanlegg:


Side 27

1. Rør 2. Ventiler 3. Trykktanker 4. Kompressorer Hver utstyrsklasse deles videre inn i komponenter, med utgangspunkt i hvordan ulike deler av utstyret, uavhengig av hverandre, kan gi lekkasje. Under hver utstyrsklasse vil en finne ulike kategorier. Med kategori menes at en utstyrsklasse kan være representert ved forskjellige funksjonsprinsipper, fabrikater, materialer, dimensjoner, etc. Inndelingen i komponenter kan derfor være forskjellig for ulike kategorier innenfor samme utstyrsklasse.

For utstyrsklassen Rør vil inndeling i kategorier først og fremst være styrt av materiale. Typiske materialer brukt i prosessrør er: Rustfritt og svart stål, aluminium og titan. Uansett kategori er en naturlig inndeling i komponenter for rør: 1. Rørveggen med sveiser 2. Flenser 3. Instrumenttilkoplinger Utstyrsklassen ventiler kan enten kategoriseres med utgangspunkt i funksjon, det vil si strupeventil, tilbakeslagsventil, ESD-ventil, etc. Alternativt kan en ta utgangspunkt i funksjonsprinsipper og skille mellom kuleventiler, nåleventiler, etc. i tillegg til at en tar hensyn til fabrikat, materialer og dimensjon. Hvilke egenskaper som velges å bli lagt til grunn for inndeling i kategorier må bygge på en videre studie av årsaker til lekkasje i ventiler.

Eksempler på kategorier av trykktanker er: Separatorer, scrubbere, glykolkontaktorer, gas suction drums og kjølere. Videre kan det være aktuelt å skille mellom høytrykks og lavtrykksutstyr, fabrikater, materialer.

Kriterier for en kategorisering av kompressorer kan være: Dieseldrevne/elektriske, HP/LP, rotasjon/resiprokasjon og fabrikat.

På grunn av kompleksiteten av de tre siste utstyrsklassene har vi ikke gått nærmere inn på inndeling av disse i komponenter i denne studien.

7.4 Fysiske årsaker I dette avsnittet gis en nærmere forklaring på de fysiske årsakene definert over.

Feil operasjonsmodus innebærer at et utstyr som kan ha forskjellige innstillinger, for eksempel: Posisjon 1, 2, 3, åpen/lukket, av/på, etc, står i feil posisjon. Et eksempel er at en ventil mot atmosfæren står åpen når et utstyr trykksettes.

Ufullstendig oppbygning dekker feil på grunn av manglende eller feil monterte komponenter. For eksempel kan en kritisk komponent i en ventil være utelatt ved montering etter utført vedlikehold.

Pakningsfeil er definert som en egen fysisk årsak siden det er pakninger som sikrer tetting i alle ikke-sveiste sammenføyninger i prosessanlegget. Pakningsfeil omfatter valg av feil type pakning, feil ved installasjon eller vedlikehold. Eksempel er dårlig teiting av skruer i en flens, eller at det i designfasen ikke er tatt tilstrekkelig hensyn til vibrasjoner. Pakningsfeil inkluderer ikke fysiske nebrytningsmekanismer som virker på pakninger, det vil si feil som utvikler seg under drift.

Fysiske nedbrytningsmekanismer omfatter: • Ytre mekanisk påvirkning - for eksempel støt fra fallende last • Erosjon • Korrosjon • Indre mekanisk overbelastning – trykkoppbygning overstiger prosessutstyrets kapasitet


Side 28

• Utmatting.

7.5 Bakenforliggende årsaker De bakenforliggende årsakene er kategorisert ut i fra hvorvidt en lekkasje skyldes svikt i styringsprosesser knyttet til drift av prosessanlegget, innebygde feil fra tidligere faser eller utilsiktede hendelser i driftsfasen. Disse tre gruppene av bakenforliggende årsakene beskrives i de påfølgende tre avsnittene.

7.5.1 Svikt i styringsprosesser Styringsprosessene omfatter alle systemer, rutiner, prosesser og tiltak knyttet til drift og vedlikehold av prosessanlegget, som skal forhindre at lekkasjer kan oppstå. I tråd med avsnitt 7.1.3 kan en i driftsfasen skille mellom styringsprosessene:

1. Overholdelse av operasjonsbetingelser innebærer operasjon av anlegget i henhold til definerte prosessparametere og prosedyrer med hensyn til hvilke laster anlegget utsettes for.

2. Vedlikeholdsstyring skal sikre at feil under utvikling blir oppdaget ved hjelp av inspeksjon og/eller forhindret ved hjelp av korrektive eller preventive tiltak. Et typisk eksempel er at intervallene mellom inspeksjoner planlegges så lange at kritiske utmattingssprekker rekker å utvikle seg til brudd.

De to styringsprosessene er illustrert i Figur 7-2 og Figur 7-3.

Normal prosess

Avvik i system Avvik iprosessparametre

Korreksjon -prosess

Korreksjon - system

- avvik iprosedyrer

- utstyrsfeil- kjemikalier- etc.

- reservoar

- nedihulls-utstyr- brønnkomp- etc.

- trening- prosedyrer- beredskap- etc.

- trening

- prosess-overvåking

- beredskap- etc.

Lekkasje

Figur 7-2 Styringsprosessen ”Overholdelse av operasjonsbetingelser”

Som det fremgår av Figur 7-2, innebærer ”overholdelse av operasjonsbetingelser” at avvik i system eller prosessparametre som oppstår under operasjon av prosessanlegget oppdages og korrigeres. Svikt i en av disse funksjonene disse vil kunne føre til lekkasje, for eksempel som følge av overtrykking av utstyr.


Side 29

Vedlikeholdsstyring

Inspeksjonsprogram

(frekvens, metode, dekning)

Inspeksjonsplan↓

Utføre inspeksjon ogtesting

↓Rapportering / evaluering

av data

Vedlikeholdsprogram

(frekvens, metode, dekning)

Vedlikeholdsprogram

↓Utføre vedlikehold

↓

Rapportering / evalueringav data

Figur 7-3 Styringsprosessen ”Vedlikeholdsstyring” Figur 7-3 viser at ”Vedlikeholdsstyring” betyr å overholde inspeksjons- og vedlikeholdsprogrammene med underliggende funksjoner. Svikt i disse kan medføre at lekkasje oppstår som følge av at utstyr ikke blir reparert eller skiftet ut i tide.

7.5.2 Innebygde feil Innebygde feil skyldes beslutninger fattet i tidligere styringsprosesser, som ikke kan påvirkes under drift. Med referanse til avsnitt 7.1.3 kategoriseres disse hendelsene i:

1. Designfeil – for eksempel underdimensjonering eller manglende komponenter

2. Installasjonsfeil – som at utstyr er montert med feil spesifikasjoner, materialkvalitet eller med dårlig utførte sammenføyninger

7.5.3 Utilsiktede hendelser Utilsiktede hendelser er følge av forhold som kan inntreffe i driftsfasen, men som ikke kan relateres til drift av prosessanlegget. Eksempler er fallende last fra kraner eller andre sammenstøt forårsaket av ytre forhold.

7.6 Oppsummering I de foregående delkapitlene er det etablert en modellstruktur for årsaksanalyse av prosesslekkasjer, med nedbrytning av utstyr og årsaker. Hensikten med utstyrsnedbrytningen er å knytte hendelsen ”Lekkasje i prosessanlegget” til utstyrsklasser, delsystemer og komponenter. Den forslåtte utstyrsnedbrytningen med komponenter for utstyrsklassen ”Rør” er illustrert i Figur 7-4.


Side 30

Utstyrsklasser:

Delsystemer:

Komponenter:

Lekkasje

Ventiler Trykk-tankerKompres-

sorerRør

Rørsystem 1 Rørsystem 2 Rørsystem 3 Rørsystem n

Rørlinje FlensInstrument-tilkobling

Figur 7-4 Utstyrsnedbrytning

Årsaksnedbrytningen, via fysiske årsaker og bakenforliggende årsaker, tar utgangspunkt i en spesifikk utstyrskomponent. Se illustrasjon i Figur 7-5.

Fysiske årsaker

Bakenforliggende årsaker

Lekkasjemekanismer 1 2 3 4 5

Lekkasje i komponent

Ufull-stendig oppbygn.

Paknings-feilFysiske

nedbrytn.-mekanismer

Feil operasjons-

modus

KorrosjonIndre

mekanisk påvirkning

Ytre mekanisk påvirkning Erosjon Utmatting

Svikt i styrings-

prosesserInnebygde feil

Utilsiktede hendelser

DesignfeilOverh. av operasj.-

betingelser

Vedlike-holds-styring

Instal-lasjonsfeil

Figur 7-5 Årsaksnedbrytning

Den endelige spesifiseringen av strukturen for prosesslekkasjer innebærer: • Definisjon av hensiktsmessige komponenter for utstyrsklassene ”Ventiler”, ”Trykktanker” og

”Kompressorer” • Identifikasjon og definisjon av spesifikke lekkasjemekanismer for alle komponenter, i form

av fysisk og bakenforliggende årsaker.


Side 31

Modellstrukturen over vil utgjøre en basis for utarbeiding av detaljerte modeller av konkrete lekkasjemekanismer som knyttes til nederste nivå i strukturen, som vist i Figur 7-5.


Side 32

8 EKSEMPEL PÅ ANVENDELSE AV MODELLSTRUKTUREN FOR UTSTYRSKLASSEN ”RØR”

Nedenfor er utstyrs- og årsaksnedbrytning basert på modellstrukturen beskrevet i kapittel 7, presentert for utstyrsklassen ”Rør”.

Først deles utstyrsklassen rør inn i komponenter. For en utvalgt komponent beskrives så aktuelle fysiske årsaker. For de tre første hovedkategoriene av fysiske årsaker er det så gitt eksempler på relevante bakenforliggende årsaker. Med dette er utstyrs- og årsaksinndeling beskrevet, mens detaljmodellering av fenomener og metodikk for kvantifisering av lekkasjesannsynlighet på ulike nivåer i modellen gjenstår. Et eksempel på modell knyttet til den fysiske årsakene erosjon er presentert i Kapittel 9. Ulike aspekter knyttet til beregning av lekkasjesannsynlighet totalt, og på forskjellige utstyrs- og årsaksnivåer er diskutert i Kapittel 10.

8.1 Inndeling i komponenter Fra delkapittel 7.3 har vi at utstyrsklassen Rør deles inn i tre komponenter:

1. Rørvegg

2. Flenser

3. Instrumenttilkoblinger

For hver komponent må årsaksmekanismer til lekkasje, basert på nedbrytningsprinsippene i strukturen, identifiseres. Hensikten med dette kapittelet er først og fremst å konkretisere bruk av modellstrukturen. Videre i denne rapporten fokuseres det derfor kun på komponenten Rørvegg. I avsnitt 8.2 beskrives fysiske årsaker til lekkasje i Rørvegg.

8.2 Fysiske årsaker til lekkasje i Rørvegg Som en bakgrunn for definisjon av fysiske årsaker til lekkasje, gis det først en overordnet beskrivelse av de materialer som benyttes i røranlegg i offshore prosessanlegg.

Tradisjonelt har vanlig karbonstål (svart stål) vært det dominerende materialet brukt i rørsystemer. I nyere tid er ulike typer rustfritt stål og titan også blitt vanlige i bruk.

Viktige egenskaper ved karbonstål er høy fasthet og relativt lav pris. Når det gjelder korrosjon, er er forløpet forutsigbart både med hensyn til utbredelse og hastighet, når miljøet som materialet skal plasseres i er kjent. Skaden er som regel uniformt fordelt på overflaten. I designfasen kan det derfor legges inn et visst korrosjonsmonn i rørveggen, og tæring på dette kan kontrolleres i ettertid ved hjelp av ulike inspeksjonsmetoder. Skulle en lekkasje allikevel oppstå som følge av korrosjon, skjer dette ofte ved at den fortynnede rørveggen ikke motstår innvendig trykk i røret, og man får eksplosjonsartede brudd, som gir store hull og høye lekkasjerater.

Vanlige rustfrie ståltyper er sprøere enn svart stål og har lavere fasthet. Duplex-typen er relativt sterk. Superaustenittisk rustfritt stål har de beste korrosjonsegenskapene men har lavest fasthet. Rustfrie stål er dyrere enn vanlig karbonstål. Typisk for disse ståltypene er at korrosjon forløper som punktkorrosjon (pittingkorrosjon, groptæring). Denne korrosjonstypen gir lokale skader med dype sår i materialet, ofte dypere enn radien på gropen. Pittingkorrosjon har ofte lang ”inkubasjonstid”, mens selve uttæringen av gropen forløper relativt hurtig. En konsekvens av dette er at lekkasjer som skyldes korrosjon i disse materialene som regel er karakterisert ved liten hullstørrelse. Lang inkubasjonstid, hurtig forløp og lokale skader bidrar til at inspeksjon for å kontrollere korrosjon er vanskeligere enn for karbonstål.


Side 33

Titan er et dyrt materiale, med høy fasthet og svært gode korrosjonsegenskaper, så lenge temperaturen er lavere enn 150°C. Siden titan er relativt nytt i bruk, finnes det få modeller som beskriver for eksempel korrosjonsforløp for bruk i dimensjonering og planlegging av inspeksjons- og vedlikeholdsaktiviteter. I denne rapporten behandles derfor ikke mekanismer som er spesielle for titan videre.

I de følgende avsnitt identifiseres konkrete årsaksmekanismer til lekkasje i Rørvegg under de definerte fysiske årsakene i modellstrukturen.

8.2.1 Feil operasjonsmodus N/A Rørveggen har kun én operasjonsmodus.

8.2.2 Ufullstendig oppbygning N/A Rørveggen er i seg selv laveste komponent.

8.2.3 Pakningsfeil N/A Rørveggen inneholder ikke pakninger.

8.2.4 Ytre mekanisk påvirkning F - 4.1 Kollisjoner – mellom personer, utstyr i transport, bevegelige innretninger, etc. og

rørveggen F - 4.2 Fallende last – fra kraner eller arbeid på høyere nivå F - 4.3 Mekanisk arbeid – boring, skjæring, sliping, fresing på rørveggen F - 4.4 Helikopterstyrt, skipskollisjon, jordskjelv, terrorhandlinger, ekstreme miljøpåkjenninger

8.2.5 Indre mekanisk overbelastning Indre mekanisk overbelastning innebærer at rørveggens trykkapasitet overskrides. Mulige årsaker er: F - 5.1 Høyt trykk på grunn av høy produksjonsrate F - 5.2 Høyt trykk på grunn av stengt ventil F - 5.3 Høyt trykk på grunn av rør plugget av voks F - 5.4 Høyt trykk på grunn av rør plugget av scale F - 5.5 Høyt trykk på grunn av rør plugget av hydrat F - 5.6 Høyt trykk på grunn av rør plugget av partikler F - 5.7 Høyt trykk på grunn av rør plugget av fremmedlegeme F - 5.8 Høyt trykk på grunn av temperaturutvidelse F - 5.9 Lav trykkapasitet på grunn av feil materialkvalitet F - 5.10 Lav trykkapasitet på grunn av lav godstykkelse

8.2.6 Erosjon Grad av nedbrytning på grunn av erosjon er tilnærmet lik for metalliske konstruksjonsmaterialer. For stål og titan, som er omtalt her, er erosjonshastigheten i hovedsak styrt av:

1. Mengden og type partikler i mediet 2. Strømningsform (turbulent eller laminær) og hastighet til mediet langs rørveggen 3. Vinkel mellom rørveggen og mediets strømning. Det er naturlig å skille mellom: F - 6.1 Erosjon nedstrøms sveiste skjøter F - 6.2 Erosjon ved rørinnsnevringer F - 6.3 Erosjon i standard rørbend F - 6.4 Erosjon i blindet T-bend


Side 34

8.2.7 Korrosjon Ved inndeling av korrosjonsmekanismer er det mange aspekter en kan ta utgangspunkt i. For rørveggen er det imidlertid naturlig å skille mellom utvendig korrosjon, som påvirkes av ytre miljø og overflatebehandling, og innvendig korrosjon, hvor korrosjonsforløpet avhenger av egenskaper ved prosessmediet. Andre aspekter som er lagt til grunn for kategoriseringen er:

• Uniformt fordelt kontra lokal korrosjon

• Korrosjonshastighet og - forløp

• Avhengighet av ytre hendelser

• Avhengighet av miljø- og materialfaktorer

• Vedlikeholds- og inspeksjonsvennlighet.

Følgende korrosjonskategorier er identifisert: F - 7.1 Utvendig overflatekorrosjon, uniformt fordelt F - 7.2 Utvendig overflatekorrosjon, pittingkorrosjon F - 7.3 Lokal korrosjon på grunn av fukt som trenger inn i isolasjonsmateriale under skadet

innkapsling, uniformt fordelt F - 7.4 Lokal utvendig korrosjon på grunn av fukt som trenger inn i isolasjonsmateriale under

skadet innkapsling, pittingkorrosjon F - 7.5 Utvendig spenningskorrosjon (ESCC - external stress corrosion cracking) på grunn av

fukt som trenger inn i isolasjonsmateriale under skadet innkapsling, sprekkvekst F - 7.6 Lokal utvendig korrosjon i spalter mellom rørveggen og rørstøtter etc., langsomt forløp F - 7.7 Lokal utvendig korrosjon i spalter mellom rørveggen og rørstøtter etc., raskt forløp F - 7.8 Lokal utvendig korrosjon under smuss, langsomt forløp F - 7.9 Lokal utvendig korrosjon under smuss, raskt forløp F - 7.10 Innvendig CO2 korrosjon, uniformt fordelt F - 7.11 Innvendig sulfidindusert spenningskorrosjon (SSC – stress corrosion cracking) F - 7.12 Innvendig hydrogentrykkindusert spenningskorrosjon (HPIC - hydrogen pressure

induced cracking) F - 7.13 Innvendig hydrogenindusert spenningskorrosjon (SOHIC - stress oriented hydrogen

induced cracking) F - 7.14 Innvendig mikrobiell korrosjon (MIC - Microbal Influenced Corrosion).

8.2.8 Utmatting Utmattingsbrudd er resultatet av tre etterfølgende stadier: 1. Initiell sprekk eller svakhet 2. Sprekkvekst på grunn av syklisk last 3. Kritisk last gir endelig brudd. Dannelse av initiell sprekk kan skyldes materialfeil eller svakheter, ujevnheter i overflaten, overflateskader på grunn av mekanisk påvirkning eller sveising, eller spenningskonsentrasjoner på grunn av uheldig utforming av skjøter og lignende.

En kan skille mellom to typer utmatting offshore: 1. Lavfrekvent utmatting på grunn av:

• Globale bevegelser som skyldes naturlaster • Væskestøt/gasspulser fra prosesstrømmen

2. Høyfrekvent utmatting, som typisk kan skyldes påvirkning fra annet utstyrsbevegelser, for eksempel ubalanse i roterende utstyr.


Side 35

For lavfrekvent utmatting kan tid til brudd predikeres ved bruk av bruddmekanikk, men denne mekanismen er lite relevant for prosessanlegg som er bygget opp av relativt små komponenter med høy egenfrekvens. Et annet moment er at vibrasjonsfrekvenser er vanskelige å fastsette utfra tegninger og annen dokumentasjon, og må i praksis måles fysisk på plassen for utstyr som er vurdert utsatt for utmattingsskader.

For høyfrekvent utmatting, vil sprekkvekstfasen gå over et kort tidsrom, slik at inspeksjon av sprekker og prediksjoner ved hjelp av bruddmekanikk er vanskelig å utnytte. For å beregne sannsynlighet for brudd, bør snarere evnen til å oppdage at vibrasjoner oppstår, som følge av varierende driftsbetingelser, legges til grunn.

I den senere tid har utviklingen gått mot økt bruk av rustfritt stål. En tar da ikke høyde for korrosjonsmonn under dimensjonering, slik at godstykkelsen i ulike konstruksjonsdeler generelt blir mindre. Dette gir større potensiale for at kritisk vibrasjon, med hensyn til utmatting oppstår i driftsfasen. Dette lasttilfellet, som ikke representerte noen trussel ved bruk av svart stål, er altså blitt mer aktuelt for nyere anlegg.

Er betingelsene for korrosjon til stede, kan dette føre til at sprekkveksthastigheten blir høyere. Korrosjonsutmatting skyldes at materialnedbrytningen i sprekkspissen i tillegg til påvirkningen fra syklisk last også får et tillegg i form av korrosjon.

Følgende fysiske årsaker defineres for Utmatting: F - 8.1 Lavfrekvent utmatting på grunn av globale bevegelser forårsaket av havbølger F - 8.2 Lavfrekvent utmatting på grunn av globale bevegelser forårsaket av vind F - 8.3 Lavfrekvent utmatting på grunn av globale bevegelser forårsaket av væskestøt/

gasspulser fra prosesstrømmen F - 8.4 Høyfrekvent utmatting på grunn av påvirkning fra annet utstyrs bevegelser

8.3 Bakenforliggende årsaker til lekkasje i Rørvegg I Kapittel 7 ble Bakenforliggende årsaker delt inn i Svikt i styringsprosesser (Overholdelse av driftsbetingelser eller Vedlikeholdsstyring), Innebygde feil og Utilsiktede hendelser. Nedenfor er det gitt eksempler på bakenforliggende årsaker som er vurdert relevante for de definerte fysiske årsakene under kategoriene ”Ytre mekanisk påvirkning”, ”Indre mekanisk overbelastning” og ”Erosjon”. De bakenforliggende årsakene som vist under representerer det nivået i modellstrukturen, hvor detaljmodeller for konkrete lekkasjemekanismer tilknyttes. I Kapittel 9 er det vist ett eksempel på en slik detaljmodell, under hendelsen B - 6.3.1 Erosjon i standard rørbend på grunn av svikt i Overholdelse av operasjonsbetingelser.

8.3.1 Ytre mekanisk påvi rkning F - 4.1 Kollisjoner – mellom personer, utstyr i transport, bevegelige innretninger, etc. og

rørveggen B - 4.2.1 Utilsiktede hendelser

F - 4.2 Fallende last – fra kraner eller arbeid på høyere nivå B - 4.2.1 Utilsiktede hendelser

F - 4.3 Mekanisk arbeid – boring, skjæring, sliping, fresing på rørveggen B - 4.3.1 Utilsiktede hendelser

F - 4.4 Helikopterstyrt, skipskollisjon, jordskjelv, terrorhandlinger, ekstreme miljøpåkjenninger B - 4.4.1 Utilsiktede hendelser


Side 36

8.3.2 Indre mekanisk overbelastning F - 5.1 Høyt trykk på grunn av høy produksjonsrate

B - 5.1.1 Svikt i styringsprosesser (Overholdelse av operasjonsbetingelser) F - 5.2 Høyt trykk på grunn av stengt ventil

B - 5.2.1 Svikt i styringsprosesser (Overholdelse av operasjonsbetingelser) B - 5.2.2 Svikt i styringsprosesser (Vedlikeholdsstyring)

F - 5.3 Høyt trykk på grunn av rør plugget av voks B - 5.3.1 Svikt i styringsprosesser (Overholdelse av operasjonsbetingelser) B - 5.3.2 Svikt i styringsprosesser (Vedlikeholdsstyring)

F - 5.4 Høyt trykk på grunn av rør plugget av scale B - 5.4.1 Svikt i styringsprosesser (Overholdelse av operasjonsbetingelser) B - 5.4.2 Svikt i styringsprosesser (Vedlikeholdsstyring)

F - 5.5 Høyt trykk på grunn av rør plugget av hydrat B - 5.5.1 Svikt i styringsprosesser (Overholdelse av operasjonsbetingelser) B - 5.5.2 Svikt i styringsprosesser (Vedlikeholdsstyring)

F - 5.6 Høyt trykk på grunn av rør plugget av partikler B - 5.6.1 Svikt i styringsprosesser (Overholdelse av operasjonsbetingelser)

F - 5.7 Høyt trykk på grunn av rør plugget av fremmedlegeme B - 5.7.1 Svikt i styringsprosesser (Overholdelse av operasjonsbetingelser) B - 5.7.2 Svikt i styringsprosesser (Vedlikeholdsstyring)

F - 5.8 Høyt trykk på grunn av temperaturutvidelse B - 5.8.1 Svikt i styringsprosesser (Overholdelse av operasjonsbetingelser) B - 5.8.2 Utilsiktede hendelser

F - 5.9 Lav trykkapasitet på grunn av feil materialkvalitet B - 5.9.1 Innebygde feil (Designfeil) B - 5.9.2 Innebygde feil (Installasjonsfeil)

F - 5.10 Lav trykkapasitet på grunn av lav godstykkelse B - 5.9.3 Innebygde feil (Designfeil) B - 5.10.1 Innebygde feil (Installasjonsfeil) B - 5.10.2 Svikt i styringsprosesser (Vedlikeholdsstyring)

8.3.3 Erosjon F - 6.1 Erosjon nedstrøms sveiste skjøter

B - 6.1.1 Svikt i styringsprosesser (Overholdelse av operasjonsbetingelser) B - 6.1.2 Svikt i styringsprosesser (Vedlikeholdsstyring)

F - 6.2 Erosjon ved rørinnsnevringer B - 6.2.1 Svikt i styringsprosesser (Overholdelse av operasjonsbetingelser) B - 6.2.2 Svikt i styringsprosesser (Vedlikeholdsstyring)

F - 6.3 Erosjon i standard rørbend B - 6.3.1 Svikt i styringsprosesser (Overholdelse av operasjonsbetingelser) B - 6.3.2 Svikt i styringsprosesser (Vedlikeholdsstyring)

F - 6.4 Erosjon i blindet T-bend B - 6.4.1 Svikt i styringsprosesser (Overholdelse av operasjonsbetingelser) B - 6.4.2 Svikt i styringsprosesser (Vedlikeholdsstyring)


Side 37

9 MODELLEKSEMPEL – EROSJON Som nevnt i avsnitt 8.2.6 er grad av nedbrytning på grunn av erosjon tilnærmet lik for metalliske konstruksjonsmaterialer, og i hovedsak styrt av forholdene: 1. Mengden og type partikler i mediet 2. Strømningsform (turbulent eller laminær) og hastighet til mediet langs rørveggen 3. Vinkel mellom rørveggen og mediets strømning For prosessanlegg er mengden og typen av partikler styrt av reservoarforhold og produksjonsfase, samt eventuelt utstyr for filtrering av partikler og effektiviteten av slikt utstyr.

Strømningsform og hastighet på mediet er styrt av produksjonstrykk, trykkfall over chokeventiler og oppstrøms utstyr, radius på røret, utforming av bend og fysiske egenskaper ved mediet som egenvekt og viskositet. Vinkelen som partiklene treffer rørveggen med, er bestemt av utforming av bend og innsnevringer. Før å redusere faren for lekkasje på grunn av erosjon kan ulike tiltak settes inn: • Øke godstykkelse • Forsterking med erosjonsresistente materialer på utsatte steder i rørsystemet • Gunstig utforming av bend og innsnevringer • Utfiltrering av partikler eller tiltak for å redusere sandproduksjon • Senke strømningshastigheten • Overvåking og inspeksjon Ved sandproduksjon, viser erfaring at erosjon skaper størst problemer ved innsnevringer og bend. Ved konstruksjon søker en derfor å unngå slike i størst mulig grad. I tillegg økes godstykkelsen på utsatte steder. Andre tiltak er å unngå små bendradier, benytte blindede T-bend, som gir mer gunstige strømningsmønster, eller belegge innsiden av utsatte rørdeler med keramer evntuelt med metalliske bindemidler som forsterkning.

Det antas at erosjon ikke utgjør noen trussel i forbindelse med flensede skjøter, siden godset er betydelig forsterket på hver side av flensen.

Ulike tiltak for å fjerne eller redusere innholdet av partikler i produksjonsstrømmen er bruk av sandfiltere, gruspakninger eller injeksjon av kjemikalier som binder sandpartikler til reservoaret.

Empiriske modeller for beregning av rate for materialdegradering på grunn av erosjon (erosjonsrate) for fem hovedtilfeller er beskrevet i DNVs anbefalte praksis for erosjon i rørsystemer /28/: 1. Glatte og rette rør 2. Sveiste skjøter 3. Rørinnsnevringer 4. Rørbend 5. Blindet T-bend Erfaringsmessig er de største erosjonsproblemene forbundet med innsnevringer og bend. Over tid, og spesielt dersom en har hovedfokus kun på disse vanligvis mest utsatte punktene, vil erosjon også kunne gi betydelige skader på rette rør, spesielt i forbindelse med sveiser.

I en modell for beregning av lekkasjesannsynlighet er det derfor rimelig å se bort fra hendelser i forbindelse med 1. Glatte og rette rør. Ellers bør lekkasjer på rørdelene 2.-5. tas høyde for i modellen, se definerte Fysiske årsaker i avsnitt 8.2.6. Under hver av disse fysiske årsakene er det


Side 38

definert to Bakenforliggende årsaker i avsnitt 8.3.3, svikt i de to styringsprosessene Overholdelse av operasjonsbetingelser og Vedlikeholdsstyring.

I resten av dette eksempelet sees det kun på lekkasje under hendelsen ”B - 6.3.1 Erosjon i standard rørbend” på grunn av svikt i Overholdelse av operasjonsbetingelser. Tilfellet som modelleres er at drift av prosessanlegget fortsetter som før, til tross for at sandproduksjon oppstår.

Følgende modell for erosjonsrate i rørbend er presentert i /28/:

( ) ( )unit

pipet

npp

L CCGA

UFKmE ⋅⋅⋅

⋅

⋅⋅⋅⋅=

••

1

sin

ρ

αα, ( 1 )

hvor •

LE = erosjonsrate [mm/år] •

pm = sandinnhold i produksjonsstrømmen [kg/s] K = materialkonstant [(m/s)-n] F(α) = funksjon som karakteriserer materialets duktilitet α = vinkelen mellom partikkelretningen og rørveggen [°] Up = partikkelhastighet [m/s] n = hastighetseksponent ρt = tettheten til rørmaterialet [kg/m3] Apipe = indre tverrsnittsareal av røret [m2] G = korreksjonsfaktor for partikkeldiameter C1 = geometrifaktor Cunit = enhetskonverteringsfaktor (m/s => mm/år)

I beregning av korreksjonsfaktor for partikkeldiameter, G, inngår blant annet tettheten til partikkelmaterialet, ρp og partikkeldiameter, dp. Det refereres til /28/ for nærmere beskrivelse av parametrene.

Flere av størrelsene i modellen er usikre, og kan beskrives med sannsynlighetsfordelinger. De viktigste usikkerhetene som bør fanges opp av modellen er knyttet til prosesstrømmen, og særlig egenskaper ved partiklene. For det første vil det være usikkerhet knyttet til innhold av sand i prosessmediet. Dessuten er tetthet og størrelse på partiklene parametre som vil være ukjente, spesielt før sandproduksjonen inntrer. Dersom disse parametrene beskrives ved hjelp av

sannsynlighetsfordelinger, kan sannsynlighetsfordelingen for erosjonsraten f(•

LE ) beregnes. Ved hjelp av styrkeberegning kan kritisk veggtykkelse for rørveggen, Tc, beregnes. Denne kan uttrykkes som et fast tall eller som en sannsynlighetsfordeling f(Tc), dersom man tar høyde for usikkerhet i maksimal last. I det videre ser vi kun på brudd på grunn av for overtrykking av et erodert rørbend, og ser bort fra andre årsaker til lekkasje kombinert med erosjon. Hvis man ser på en periode på et år, kan hendelsen lekkasje på grunn av erosjon uttrykkes slik:

T0 - •

LE < Tc, (2)

hvor T0 er tykkelsen på rørveggen ved årets begynnelse. T0 er i praksis en usikker størrelse. Bredden på sannsynlighetsfordelingen til T0 er avhengig av informasjon om tidligere nedbrytning, for eksempel fra forrige inspeksjon eller utskiftningsfilosofi. Sannsynligheten for lekkasje på grunn av erosjon tilsvarer da:


Side 39

P(T0 - •

LE < Tc), (3)

som kan bestemmes analytisk ved hjelp av sannsynlighetsregning, ved hjelp av tilnærmende metoder eller ved simulering.

I det videre diskuteres fastsetting av sannsynlighetsfordelinger for de usikre størrelsene som bør fanges opp av modellen.

Den største usikkerheten knyttet til innhold av sand i prosessmediet, •

pm , er hvorvidt brønnen overhodet vil produsere sand. Årsaker til at sandproduksjon oppstår kan være endringer i reservoarforholdene som følge av produksjon og injeksjon eller intervensjoner. Denne kan uttrykkes i sannsynligheten P(Sandproduksjon i kommende år), P(S). Denne sannsynligheten kan hentes inn fra geologer med kjennskap til produksjonshistorien til det spesifikke reservoaret. Videre, gitt at en får sandproduksjon er det av betydning hvor lang tid i løpet av året, f.eks målt i dager, sandproduksjonen vil gi sandpartikler i prosesstrømmen, Ts. Denne tiden er avhengig av produksjonshistorien til reservoaret, overvåking av sandproduksjon, tiltak som settes inn både i reservoaret, brønnen og i prosessanlegget. Forventet verdi av Ts bør derfor fastsettes i samarbeid mellom geologer og prosessingeniører. Gitt at en får sandproduksjon, er det til slutt usikkerhet

forbundet med gjennomsnittlig sandinnhold i produksjonsstrømmen i perioden Ts, •

spm , , målt i kg/s. Det er antagelig lettere å uttrykke usikkerhet om sandinnhold målt i kg/dm3. Fordelingen

for , •

spm , , målt i kg/s kan da finnes ved sammenhengen:

•

spm , [kg/s] = •

spm , [ kg/dm3] ⋅ Q [dm3/s], (4)

hvor Q er volumstrøm av prosessmedium gjennom rørbendet. For å bestemme den endelige

fordelingen for •

pm , finnes først fordelingen til gjennomsnittlig rate i løpet av et år, gitt at en får

sandproduksjon, ved å multiplisere alle kvantilene i f(•

spm , ) med Ts/365.

Ubetinget rate for et år, finnes til slutt ved å multiplisere de resulterende kvantilene med sannsynligheten for å få sand, P(S).

Sannsynlighetsfordelingene for både tettheten til partikkelmaterialet, f(ρp), og partikkeld iameter , dp, kan angis direkte av geologer.

Knyttet til rørbendet må usikkerheten med hensyn til T0 og TC bestemmes. T0 avhenger av nedbrytningsforløp fra rørbendet ble installert fram til begynnelsen av det året som betraktes. Sannsynlighetsfordelingen, f(T0), fastsettes av material- og inspeksjonspersonell, på bakgrunn av opprinnelig veggtykkelse, utskiftningsintervall, resultater fra tidligere inspeksjoner og kjennskap til tidligere sandproduksjon.

Sannsynlighetsfordelingen, f(TC), bestemmes i en last-styrkebetraktning for trykkbrudd i rør, hvor usikkerheten knyttet til maksimalt opptredende trykk i mediet transformeres til usikkerhten i krav til veggtykkelse. Maksimalt opptredende trykk er typisk knyttet til oppstart av anlegget eller prosesskontrollfeil.


Side 40

10 KVANTIFISERING AV LEKKASJESANNSYNLIGHETER En målsetning med modellen er å beregne overordnet lekkasjesannsynlighet for et prosessanlegg. Videre skal modellstrukturen reflektere bidrag til lekkasjesannsynligheten fra ulike • utstyrsklasser • årsaksmekanismer • geografiske områder eller ESD-segmenter • etc. Dette gjør sammenligning av bidragsytere og følsomhetsanalyser mulig, slik at potensielle tiltak kan identifiseres og rangeres ved hjelp av kost-nytteanalyser.

For å oppnå disse modellegenskapene kreves det at akkumulering av sannsynligheter oppover i modellen følger reglene for sannsynlighetsregning. Dette innebærer dette at alle signifikante sannsynlighetsbidrag fanges opp av modellen. Videre må disse ikke overlappe hverandre, det vil si at de må være komplementære. Et tredje aspekt i denne sammenhengen er at modellen må ta hensyn til avhengighet mellom hendelser. To hendelser A og B regnes som avhengige av hverandre dersom kjennskap til hvorvidt A vil inntreffe påvirker sannsynligheten for at B inntreffer, og motsatt.

10.1 Inkludering av signifikante sannsynlighetsbidrag Modeller er forenklede representasjoner av virkelige sammenhenger. Av praktiske hensyn både under utvikling av modeller og under analyse med modellene, er forenklinger helt nødvendig. For at modellene skal skape tillit og egne seg som underlag for beslutninger, er det derimot avgjørende at modellene fanger opp trekk ved det virkelige systemet, som regnes sin viktige.

For denne årsaksmodellen betyr dette at hendelser med neglisjerbare bidrag til total lekkasjesannsynlighet kan utelates. Også andre hendelser med små bidrag, som medfører uforholdsmessig stor innsats når det gjelder modellering og analyse må vurderes utelatt. Dette gjelder også for hendelser som i liten grad lar seg påvirke av beslutninger. Et alternativ til å utelate hendelser er å representere disse ved større grad av forenkling, sammenlignet med viktigere bidragsytere.

10.2 Komplementære hendelser For fenomener med sammensatte årsaksforhold, som prosesslekkasjer, er det vanskelig å definere enkeltårsaker som kan analyseres isolert. Et eksempel er at både korrosjon og erosjon bidrar til tynning av rørveggen. Lekkasje som følge av både korrosjon og erosjon, inntreffer som regel ved at trykket i røret overstiger rørveggens restkapasitet. Et slikt trykkbrudd kan derfor ikke vurderes isolert for noen av fenomenene, men som resultat av total veggtynning. Samtidig er det en utfordring at betydningen av usikkerhet med hensyn til henholdsvis erosjon, korrosjon og trykkvariasjoner reflekteres spesifikt i modellen, i tillegg til den samlede virkningen.

10.3 Avhengighet Ved utforming og analyse av modellene vil det være utfordringer knyttet til avhengighet på flere plan.

Først vil det være avhengighet mellom ulike fenomener som kan gi lekkasje, fordi disse avhenger av en eller flere felles parametre. Et eksempel på dette er produksjonsrate, som påvirker både indre trykk i rørene og erosjonsrate.


Side 41

I noen tilfeller vil et fenomen kunne være en initierende årsak til andre fenomener. For eksempel kan en utmattingssprekk initieres ved en overflateskade forårsaket av pittingkorrosjon.

Ved beregning av lekkasjesannsynlighet på ulike komponenter, for eksempel tilstøtende rørsystemer, må det tas hensyn til avhengighet imellom komponentene, fordi disse er utsatt for de samme fenomenene, ofte med tilnærmet like rammebetingelser.

Tilsvarende vil det også være avhengighet mellom ulike utstyrsklasser og utstyr i ulike områder av anlegget på grunn av fellestrekk med hensyn til materialkvaliteter, operasjonsmiljø, egenskaper ved prosessmediet og vedlikeholdsfilosofier.

Med Monte Carlo-simulering som beregningsmetode, kan mange av utfordringene knyttet til avhengighet håndteres eksplisitt i selve simuleringsrutinen. I eksempelet med avhengighet av produksjonsrate ovenfor, kan avhengigheten reflekteres i en slik rutine, ved først å trekke en verdi for produksjonsrate, for så å legge denne verdien til grunn for beregning av trykk i rørene og erosjonsrate.


Side 42

11 DISKUSJON OG KONKLUSJONER

11.1 Diskusjon Med bruk av risikobaserte analyseverktøy er hovedmålsetningen å skaffe til veie et bedre grunnlag for beslutninger i sikkerhetsspørsmål. Beslutningene kan relatere seg til om overordnet sikkerhetsnivå er tilfredsstillende, eller identifisering og sammenligning av alternative tiltak og løsninger.

Lekkasjesannsynlighet er en svært viktig bidragsyter til resultatene i TRAene som utføres for norsk offshoreindustri. I denne rapporten har vi pekt på flere svakheter ved dagens praksis for kvantifisering av denne sannsynligheten. Når det gjelder beslutninger knyttet til totalt risikonivå, trekkes det frem aspekter både ved informasjonsgrunnlaget, utelukkende generiske, historiske data, og håndtering av avhengighet ved beregning av total lekkasjefrekvens. Angående identifisering og sammenligning av løsninger og tiltak, støtter denne metodikken i praksis kun beslutninger knyttet til antall utstyrsenheter og innbyrdes plassering av disse.

Dette arbeidet beskriver en annerledes tilnærming, basert på årsaksanalyse. Teoretisk grunnlag og prinsipper for slik analyse er etablert etter en diskusjon av krav til analysen, og en overordnet modellstruktur er utviklet. Praktiske utfordringer er diskutert og et eksempel viser hvordan detaljerte modeller kan utformes.

Rapporten argumenterer for at en mer detaljert behandling av årsaker vil styrke risikoanalysens verdi som beslutningsunderlag betydelig. Ved kvantifisering av overordnet lekkasjesannsynlighet, styrkes informasjonsgrunnlaget sammenlignet med dagens praksis. Mengden informasjon som tas i betraktning øker og er i tillegg mer representativ for et spesifikt prosessanlegg. Informasjonsgrunnlaget styrkes både ved at fenomenkunnskap bygges inn i modellene, og ved at ekspertvurderinger tas i bruk i tillegg til erfaringsdata, ved fastsetting av sannsynligheter. Systematisk håndtering av avhengighet kan oppnås ved hensiktsmessig utforming av modellene og valg av beregningsmetode. En annen viktig gevinst ved prinsippene for årsaksanalyse er at de i langt større grad enn dagens praksis vil støtte beslutninger knyttet til valg av løsninger og tiltak for å redusere risiko. I tillegg til bidrag til lekkasjesannsynligheten fra delsystemer, vil også bidraget fra ulike lekkasjemekanismer fremgå. Resultatene vil dessuten peke på kritiske faktorer som påvirker mekanismene. Dette gir et godt grunnlag for å identifisere tiltak for å redusere lekkasjesannsynlighet. Ved å justere input og iterere analysen, kan effekten av alternative tiltak beregnes, og gi grunnlag for kost-nyttevurderinger, rangering av tiltak og beslutning.

Et resultat av en mer detaljert analyse på årsakssiden, slik som skissert i denne rapporten, er involvering av personell fra de disiplinene som påvirker design, installasjon, drift og vedlikehold av prosessanlegget. Ved en tettere integrasjon med de som sitter inne med systemkunnskap og fatter slike beslutninger vil risikoanalysen kunne fungere som et samlingspunkt for tverrfaglig kommunikasjon og arbeid. Dette vil representere en kvalitetshevning av arbeidet med kvantifisering lekkasjesannsynlighet. I dagens praksis, foregår denne aktiviteten i stor grad som en isolert prosess innenfor sikkerhetsmiljøet, hvor en tar utgangspunkt i antall historiske lekkasjehendelser på andre installasjoner, spredt over et stort geografisk område. En langsiktig virkning av dette kan være økt interesse for bruk av risikobaserte analysemetoder utenfor det tradisjonelle sikkerhetsmiljøet i offshoreindustrien og brobygging mot relatert arbeid, slik som risikobasert inspeksjon (RBI) og risk centered maintenance (RCM).

Forbedringspotensialet i forhold til dagens praksis slik denne er beskrevet over, er betydelig. Der dagens praksis feiler i å etterleve ODs intensjoner og krav forbundet med bruk av risikoanalyser,


Side 43

uttrykt i dagens /1/ og tidligere forskrifter /2/, vil en vellykket implementering av de foreslåtte prinsippene for årsaksanalyse langt på vei innfri.

En innvending kan være spørsmålet om hvorvidt slike analyser er praktisk og økonomisk gjennomførbare. Utvikling av et komplett analyseverktøy og gjennomføring av studier med dette vil kreve vesentlige ressurser i forhold til å fortsette i samme spor som i dag. Betrakter man derimot dagens praksis i et større perspektiv, vil man se et betydelig, kontinuerlig ressursforbruk i forbindelse med utførelse av analyser og innsamling av data. Med i sammenhengen hører også andre investeringer knyttet til forebygging av lekkasjer, slik som utstyret i seg selv med stadig forbedrede materialkvaliteter og tekniske egenskaper, satsing på inspeksjon, vedlikehold og prosesskontroll, og dessuten all analytisk og teknisk innsats på reduksjon av konsekvenser av en lekkasje. I dette perspektivet blir investeringen forbundet med utvikling av et forbedret analyseverktøy, som vil gi bedre beslutninger, økt sikkerhet og lavere kostnader forbundet med lekkasjer, liten.

Avslutningsvis vil vi peke på at resultatene fra denne forstudien også kan ha nytte på kort sikt. Strukturen for inndeling av årsaker kan være nyttig i forbindelse med rent kvalitative aktiviteter, også før omfattende detaljmodeller til bruk i kvantitative analyser, blir utviklet. Eksempler på dette er: • Rapportering av lekkasjehendelser og systematisering av lekkasjedata • Etablering av risikoindikatorer • Granskning av lekkasjehendelser. I dag brukes store ressurser på innsamling av lekkasjedata og systematisering og lagring i ulike databaser. Som diskutert tidligere i denne rapporten, foreligger dataene på ulike formater. De fleste har liten verdi i årsaksanalyser og er lite egnet for å beregne installasjonsspesifikk lekkasjesannsynlighet. De etablerte årsaksstrukturene gir et godt grunnlag for å finne frem til formater som kan reflektere årsaker til historiske lekkasjer bedre.

Ved etablering av risikoindikatorer, er det viktig å finne fram til størrelser på et hensiktsmessig detaljnivå. Skal en benytte slike indikatorer for å kontrollere risiko knyttet til lekkasjer, bør det også være indikatorer plassert i årsakskjeden før selve lekkasjehendelsen. Videre bør indikatorene være observerbare og ha klar årsakssammenheng med lekkasjehendelsen. En kartlegging av lekkasjeårsaker etter prinsippene utviklet i denne rapporten, vil danne et godt utgangspunkt for vurdering av egnede indikatorer.

På en lignende måte som for innsamling av data og etablering av risikoindikatorer, bør resultatene også kunne brukes i forbindelse med granskning av lekkasjehendelser.

11.2 Konklusjoner Konklusjonene fra denne forstudien kan oppsummeres i følgende punkter: • I dagens praksis for kvantifisering av lekkasjerisiko legger analysen betydelig mer vekt på å

vurdere konsekvensene av en lekkasjehendelse enn forhold som medvirker til at lekkasjer oppstår.

• Metodene som i dag brukes for å beregne lekkasjefrekvens er basert på gjennomsnittstall fra industrien og gir ikke nødvendigvis gode prediksjoner for en spesifikk installasjon. Manglende håndtering av avhengighet, blant annet mellom utstyrsenheter, svekker prediksjonene ytterligere. Metodene feiler dessuten i stor grad i å støtte beslutninger knyttet til forbygging av lekkasjer.

• Dette arbeidet utvikler nye analyseprinsipper basert på detaljert modellering av årsaker til lekkasjer og anvendelse av ekspertkunnskap, og viser at analyser basert på slike prinsipper har potensiale til å forbedre prediksjoner av antall lekkasjer for en spesifikk installasjon, samt


Side 44

å øke nytten av risikoanalysen som beslutningsunderlag i arbeid med forebygging av lekkasjer.

• Bruk av slike analyseprinsipper krever involvering av personell med inngående kunnskap om de systemer som inngår i et prosessanlegg i analyseprosessen. Analysen vil slik kunne danne enn platform for tverrfaglig kommunikasjon og arbeid knyttet til forebygging av lekkasjer.

• Utvikling av et analyseverktøy basert på den foreslåtte tilnærmingen innebærer flere faglige utfordringer, blant annet knyttet til effektiv håndtering av store mengder systeminformasjon, etablering av detaljmodeller og håndtering av avhengighet. Arbeidet skisserer mulige løsninger knyttet til disse utfordringene.

• Betydelige ressurser kreves for å utvikle et fullstendig analyseverktøy. Dette kan allikevel forsvares i en helhetsbetraktning av ressurser som legges ned i forbygging av lekkasjer, konsekvensanalyser og mulige tap forbundet med lekkasjer. Relevant i denne sammenheng er også at et analyseverktøy kan utvikles trinnvis i moduler. Etter hvert trinn vil nye resultater kunne tas i bruk og testes og danne grunnlag for beslutninger om videre utvikling.

• Resultatene fra denne forstudien kan også potensiale på kort sikt, for eksempel i arbeid med innsamling av lekkasjedata, etablering av risikoindikatorer og granskning av lekkasjehendelser.

11.3 Anbefalinger På bakgrunn av konklusjonene anbefales følgende for oppfølging av dette forprosjektet på kort sikt: • Utvikle flere detaljmodeller for lekkasjemekanismer knyttet til utstyrsklassen ”Rør”,

gjennomfør en case-studie relatert til et virkelig prosessanlegg og vurdere nytte, potensiale og praktiske gjennomførbarhet av videre utvikling av et komplett analyseverktøy.

• Vurdere nytten av resultatene i forbindelse med innsamling av lekkasjedata, etablering av risikoindikatorer og granskning av lekkasjehendelser.


Side 45

12 REFERANSER

/1/

Oljedirektoratet: Forskrift om helse, miljø og sikkerhet i petroleumsvirksomheten (Rammeforskriften med de fire utfyllende forskriftene Styrings-, opplysnings-, innretnings- og aktivitetsforskriften), www.npd.no, 31. august, 2001

/2/

Oljedirektoratet: Forskrift om gjennomføring og bruk av risikoanalyser i petroleumsvirksomheten, Fastsatt av Oljedirektoratet 4. desember, 1990

/3/

Nilsen, T., Arild, Ø., Hornstuen, E.S. og M. Sandøy: KickRisk – Kick Module Upgrade 2001, report no. RF-2001/180, RF – Rogalandsforskning, Stavanger, 2001

/4/ e-post fra Odd Tjelta med vedlagte OD lekkasjedata, 28. februar, 2002

/5/ Oljedirektoratet: Utvikling i risikonivå - norsk sokkel – Fase 2, http://npd.no/Webdesk/netblast/pages/index.html?id=47456, 2001

/6/

Health and Safety Executive (HSE): Offshore Hydrocarbon Releases Statistics, Offshore Technology Report – OTO 96 954, UK, 1996

/7/

Health and Safety Executive (HSE): OSD hydrocarbon release reduction campaign, Report on the hydrocarbon release incident investigation project – 1/4/2000 to 31/3/2001, Offshore Technology Report 2001/95, UK, 2001

/8/ NORSOK Z-013, Risk and emergency preparedness analysis, Rev. 2, Norsk Teknologisenter, Oslo, (http://www.nts.no/norsok/z/Z-013r2.pdf), 2001

/9/

Det Norske Veritas: World Offshore Accident Databank (WOAD) Statistical Report 1998, Det Norske Veritas AS, Høvik, 1998

/10/

E&P Forum: Quantitative Risk Assessment Datasheet Directory, Report 11.8/250, E&P Forum, London, 1996

/11/

OREDA Participants: Offshore Reliability Data, 2nd Edition, Det Norske Veritas Industri Norge as og DNV Technica, Høvik, 1992

/12/

Det Norske Veritas: Veritas Risk & Reliability Data Software, VEREDA 2.0 User Manual, Report No. 94-3418, Det Norske Veritas AS, Høvik, 1994

/13/

Det Norske Veritas: Hydrocarbon Leak and Ignition Database, Guidelines for Population Data Collection, Report No. 94-3296, Revision no. 02, Det Norske Veritas AS, Høvik, 1996

/14/

Det Norske Veritas: JIP – Appropriate Release Frequencies, Pre-project 1 – ”Review of Relevant Datasources”, Report No. 99-3556, Det Norske Veritas AS, Høvik, 1999

/15/

Wright, Bellamy, Brabazon og Berman: Audit Methods for the evaluation and managment of risk, Four Elements Ltd. Report 31.01.92, UK, 1992

/16/

Statoil: SpunsTett, Intern studie av prosesslekkasjer for Statfjordfeltet, Statoil, Stavanger, 1993

/17/ e-post fra Ron Boyd, Shell Expro, UK, 4. April, 2002

/18/ Berg Andersen, L.: Stochastic Modelling for the Analysis of Blowout Risk in Exploration Drilling, PhD thesis at Robert Gordon University, Aberdeen, Scotland, UK and Stavanger University College, Stavanger, 1995

/19/ BlowFam: http://www.scandpower.com/2/blowfam_new.html


Side 46

/20/

Sintef: Blowout Characteristics and Frequencies, Report no. STF38 F9797433, Sintef, Trondheim, 1997

/21/

Det Norske Veritas: Risk Based Inspection Offshore – JIP, RBI Offshore, Task 1: State of the Art Description, Report No. 98-3233, Revision no. 01, Det Norske Veritas AS, Høvik, 1998

/22/

Det Norske Veritas: Offshore Topsides SystemsRisk Based Inspection Manual, Det Norske Veritas AS, Houston, Texas, USA, udatert, mottatt 1999

/23/

Madsen, H.O., Krenk, S. and N.C. Lind: Methods of Structural Reliability, Prentice Hall, 1986

/24/

Øien, K., og S. Sklet: Risk Analyses during Operation (The Indicator Project), Executive Summary, Report no. STF38 A01405, Sintef, Trondheim,

/25/

Øien, K., og S. Sklet: Metode for å utarbeide tekniske risikoindikatorer, Report no. STF38 A98434, Sintef, Trondheim, 1999

/26/

Berg Andersen, L., Nilsen, T., Aven, T. og A. Guarneri: A practical case of assessing subjective probabilities – a discussion of concepts and evaluation of methods, Proceedings of ESREL-97, pp. 209-216, Lisbon, Portugal, 1997

/27/

Apeland, S., Aven, T. og T. Nilsen: Quantifying uncertainty under a predictiv, epistemic approach to risk analysis, Reliability Engineering and System Safety, 75, Elsevier, 2002

/28/

Det Norske Veritas: Erosive wear in piping systems, RPO 501, rev. 1999, DNV, Norge, 1999

- o0o –

Årsaksanalyse av prosesslekkasjer - ptil.no · i rf - rogalandsforsknings prosjekt ”kickrisk”...

Documents