B ARRIERER FOR Å HINDRE ANTENNING

Det vanlige er at det automatiske systemet gir signal til kontrollrommet ved gitte kriterier og sørger for direkte signal til nødavstengningssystemet dersom hendelsen er alvorlig. Det er normalt å ha voteringslogikk på slike systemer, slik at signal fra 1 detektor gir alarm mens signal fra flere gir automatisk nedstengning. Det er vanlig at det sitter en rekke detektorer på en instrument-sløyfe, slik at man ofte vil ha en 2-av-N (2ooN) votering for sløyfen (der N er antall detektorer på sløyfen). Siden detektorene på sløyfen er spredd ut i modulen vil det være et begrenset antall, f.eks. M, som oppdager en gasslekkasje i et punkt. Reelt sett vil det derfor være en 2-av-M votering i dette punktet.

Manuell gassdeteksjon er avhengig av at personell er tilstede i modulen der lekkasjen oppstår.

Bemanningen varierer mye fra dag til natt, fra modul til modul, og fra innretning til innretning.

Generelt så har det vært en effektivisering på sokkelen de siste år, som gir seg utslag i mindre økning av arbeidstimer i forhold til økning av produksjons- og leteaktivitet (delkapittel 3.1 i årets rapport). I praksis betyr det i snitt færre personer tilstede. Manuell deteksjon består av barriereelementene prosess operatører, F&G logikk og manuelle trykknapper. For at manuell deteksjon skal være effektiv må prosessoperatørene være kjent med og trent i prosedyrer knyttet til uønsket utslipp av hydrokarboner.

Figur 74 viser systemgrenser for datainnsamling for automatisk gassdeteksjon.

Figur 74 Systemgrenser for gassdeteksjon

Systemet automatisk gassdeteksjon består av barriereelementene detektorer og F&G logikk. I pilot- studien er det bare samlet testdata for detektorene. Alle detektorene er testet fram til og med inngan- gen på gassfunksjonen av F&G logikk. En har videre lagt til grunn følgende feildefinisjon:

• F&G logikk mottar ikke signal/feil signal fra detektor i henhold til funksjonskrav

• Indikatoren telles per detektor

Punktdetektor har feil signal når F&G-logikk ikke mottar signal tilsvarende øvre alarmgrense ved bruk av foreskrevet testgass. Linjedetektor har feil signal når F&G-logikken ikke mottar signal tilsvarende øvre alarmgrense ved bruk av foreskrevet testfilter.

Det har i alt blitt utført 12562 tester på 39 innretninger, noe som tilsvarer ca. 320 tester i snitt per innretning. Figur 75 viser andelen feil per innretning. Antall tester er i figuren presentert over hver innretning (for eksempel T 334, betyr 334 tester for innretning T). Det må bemerkes at antall tester per innretning ikke forventes å være likt da det er stor variasjon i antall detektorer per innretning. Noen av de innretningene som er presentert i figuren er små ubemannede innretninger, mens andre er store integrerte innretninger.

Gassdeteksjon F&G logikk

Systemgrense

A 894 B 755 C 0 D260 E 28 F 1438 G 409 H 977 I 61 J 267 K 160 L 38 M 108 N 35 O 164 P 486 Q 352 R 32 S 236 T 334 U 389 V 192 W 213 X 73 Y 269 Z 162 Æ 92 Ø 75 Å 4 AA 448 AB 539 AC 198 AD 179 AE 390 AF 202 AG 850 AH 82 AI 0 AJ 736 AK 0 AL 0 AM 205 AN 228 AO 0 0

0,05 0,1 0,15 0,2 0,25

Andel feil

Innretning A - AO Gjennomsnittlig andel feil

Figur 75 Andelen feil for gassdetektorer

Gjennomsnittlig andel feil for en gassdetektor er 0,02 (0,018). Dette er på nivå med ’industristandar- der’ slik som SSS kravene til Hydro og Statoil sine krav til sikkerhetskritiske feil, som indikerer et nivå rundt 0,01 til 0,02 avhengig av detektortype.

Basert på testene som er gjennomført har en funnet data for påliteligheten til ett av barriereelementene til det automatiske deteksjonssystemet. Ytelsen til systemet er avhengig av påliteligheten til de andre barriereelementene samt hvor robust og effektivt systemet er. Det vil si at i tillegg til at deteksjons- systemet må fungere tilfredsstillende teknisk, er det vesentlig at systemet er dimensjonert og plassert slik at det er sannsynlig at systemet vil fange opp en lekkasje. Generelt kan man si at funksjonaliteten til systemet øker med økende tetthet av detektorer og skystørrelse over en hvis minimusverdi. I tillegg må detektorene være innstilt på den aktuelle gasstypen.

Når det gjelder robusthet så er ikke dette en relevant parameter for gassdeteksjonssystemet. Hvis en har fått en brann eller eksplosjon har ikke gassdeteksjonssystemet noen vesentlig funksjon lenger.

Deteksjon og nedstenging henger forholdsvis nært sammen. Når deteksjon av gasslekkasje skjer automatisk, vil det som regel skje en automatisk nedstenging. Data fra HCLIP for perioden 1996-2000 tilsier at andelen automatiske nedstenginger er på litt over 70 % (OD Pilotstudien 2000, s104-105).

Hvis en antar at alle automatiske nedstenginger ble initiert ved automatisk deteksjon, mens de øvrige blir oppdaget av personell i det aktuelle området, får en deteksjonssannsynlighet på 70 % for det auto- matiske systemet. Det er for det meste små lekkasjer fra ventiler og koblinger hvor mengden er for liten til at den blir registrert av gassdetektorene, som detekteres manuelt.

For små gasslekkasjer fra ventiler og koblinger hvor mengden er for liten til at den blir registrert av gassdetektorene, har tilstedeværelse av personell stor betydning for å oppfylle funksjonen deteksjon.

Mens for store lekkasjer tar manuell initiering for lang tid i forhold til det automatiske systemet. Når det gjelder små oljelekkasjer er situasjonen den samme som for små gasslekkasjer. Avhengig av

avdampingsraten vil manuell deteksjon ha noe betydning også for større oljelekkasjer. Generelt kan en si at betydningen til det automatiske gassdeteksjonssystemet er økende med økende lekkasjemengde.

Betydningen barriereelementet detektor har for det automatiske deteksjonssystemet, som pilotstudien samler testdata for, er ikke like entydig. For et område med votering vil det som regel være barriere- elementet F&G logikk som gir størst bidrag til upåliteligheten til barrieren branndeteksjon. For et område uten votering vil det som regel være detektoren som gir det største bidraget.

Tidlig gassdeteksjon kan være et effektivt tiltak for å hindre at en får tennbar gass-sky, og bekreftet gassdeteksjon vil initiere isolering av tennkilder. Uten gassdeteksjon vil en ikke kunne iverksette tiltakene. Det vil si at gassdeteksjon er et svært viktig system for barrieren ”hindre antenning”.

6.4.2 Tennkildekontroll

Formålet med tennkildekontroll og -isolering er å redusere sannsynligheten for tenning gitt en lekkasje. Dette gjøres i utgangspunktet gjennom design ved å begrense antall tennnkilder så langt som mulig og å ha kontroll på plassering. Deretter er det viktig å få hurtig utkobling av tennkildene hvis det oppstår en lekkasje. Det tar for eksempel noe tid før varme flater ikke lenger er mulige tennkilder.

Antall og type av tennkilder til stede i en modul vil påvirke muligheten for at et hydrokarbonutslipp skal tenne. Mulige tennkilder er (DNV, 1998):

• Pumper, kompressorer og annet roterende utstyr

• Elektriske kilder (armaturer, nødlys etc.)

• Mennesker

• Varmt arbeid

• Andre kilder

For å ha kontroll på disse tennkildene har en følgende system:

• Inert gass

• Tennkildeisolering (F&G logikk, brytere)

• EX utstyr

• Prosedyrer (Varmtarbeidkontroll, rutiner knyttet til personaktivitet/arbeidsutførelse)

Historiske data fra HSE (HSE, 2002) viser at hvilket utstyr/system som er tennkilde, varier avhengig av hvilken aktivitet som foregår i området da hendelsen inntreffer. Dataene skiller ikke på hvilken mode innretningen var i da hendelsen inntraff (produksjon, nedstengt, under konstruksjon osv.), bare hvilken aktivitet som foregikk i området. Under vedlikehold og konstruksjonsaktivteter er det varmt arbeid som dominerer (90 %), mens ved normal produksjon, boring, oppstart, testing osv. er det utstyr, varme flater og flare som dominerer i tillegg til lynnedslag.

Det vil si at tennkildeisolering er svært viktig ved normal drift, mens oppfølging av prosedyrer knyttet til varmtarbeidskontroll er viktig under vedlikeholdsaktiviteter.

Tennsannsynligheten er avhengig av blant annet vedlikeholdet som utføres på utstyret (påvirkende forhold). Dersom en har godt forebyggende vedlikehold, vil sannsynligheten for at en skal få for eksempel varmgang i pumper eller feil på EX-utstyr som kan gi tenning, reduseres.

Ingen av de betydelige lekkasjene på norsk sokkel, dvs. lekkasjer over 0,1 kg/s, har i løpet av seksårs- perioden 1996-2001 blitt antent. Vurderinger som er gjort i delkapittel 5.2.2 i årets rapport, tilsier at

øvre grense på tennsannsynligheten er i området 0,1 % til 1 %. Dette tyder på at tennkilde kontrollen på norsk sokkel er god, men det tyder også generelt på at tennkildekontroll har svært stor betydning for barrieren ”hindre antenning”.

6.4.3 Hindre spredning av gass til uklassifiserte områder

I uklassifiserte områder har en ikke tennkildekontroll på samme måte som i klassifiserte områder.

Dette fordi det i utgangspunktet ikke skal forekomme hydrokarboner i slike områder. For å kunne hindre antenning må en da hindre spredning av gass til disse områdene. Dette gjøres ved å ha overtrykk i områder med høy tennsannsynlighet.

For små lekkasjer vil utstrekningen som regel være begrenset. Det vil si at muligheten for å entre uklassifiserte områder er begrenset. For store lekkasjer vil en måtte forvente at gass kan spre seg til uklassifiserte områder. Det vil si at betydningen av systemet er begrenset for små lekkasjer, mens for store lekkasjer vil det ha noe betydning.

6.4.4 Utforming/design

Som tidligere beskrevet er formålet med tennkildekontroll og -isolering å redusere sannsynligheten for tenning gitt en lekkasje. Dette gjøres i utgangspunktet gjennom design ved å begrense antall tennnkilder så langt som mulig og å ha kontroll på plassering. En minimerer sannsynligheten for tenning ved å skille hydrokarboner og tennkilder, dvs. gjennom stor nok avstand, eller ved skiller som vegger og tak.