pilotrapportsfa12 apen versjon endelig - sintef...faktorene som påvirker risikoen,...

SINTEF RAPPORT

TITTEL

Organisatoriske risikoindikatorer Pilotstudie Statfjord A Omklassifisert 2002-06-19

FORFATTER(E)

Knut Øien og Snorre Sklet

OPPDRAGSGIVER(E)

SINTEF Teknologiledelse Sikkerhet og pålitelighet Postadresse: 7465 Trondheim Besøksadresse: S P Andersens veg 5 Telefon: 73 59 27 56 Telefaks: 73 59 28 96 Foretaksregisteret: NO 948 007 029 MVA

Oljedirektoratet

RAPPORTNR. GRADERING OPPDRAGSGIVERS REF.

STF38 A00421 Åpen Liv Nielsen / Odd Tjelta GRADER. DENNE SIDE ISBN PROSJEKTNR. ANTALL SIDER OG BILAG

Åpen 384184.40 125 ELEKTRONISK ARKIVKODE PROSJEKTLEDER (NAVN, SIGN.) VERIFISERT AV (NAVN, SIGN.)

PilotrapportSFA12 åpen versjon.doc Snorre Sklet Marvin Rausand ARKIVKODE DATO GODKJENT AV (NAVN, STILLING, SIGN.)

2001.02.01 Lars Bodsberg, forskningssjef SAMMENDRAG

Rapporten inneholder en beskrivelse av pilotstudien (Statfjord A) for å utarbeide organisatoriske risikoindikatorer, og inngår som en del av prosjektet "Risikoanalyser i driftsfasen" (også betegnet som "Indikator-prosjektet"). Hensikten med pilotstudien har vært å vurdere om, og i hvilken grad det lar seg gjøre å kvantifisere den risikomessige betydningen av endringer i organisatoriske forhold under drift av offshore installasjoner. Hovedkonklusjonen er at det er mulig å si noe kvantitativt om organisatoriske faktorers effekt på risikonivået, selv om dette er forbundet med usikkerhet.

De organisatoriske risikoindikatorene (som etableres basert på metodikken beskrevet i denne rapporten) kan benyttes til følgende formål: 1. Gi varsel om at lekkasjefrekvensen (og dermed risikoen) har endret seg 2. Indikere hvor mye lekkasjefrekvensen (og dermed risikoen) har endret seg 3. Identifisere hvilke organisatoriske faktorer og kombinasjoner av faktorer som har størst

forbedringspotensiale mht. lekkasjefrekvensen (og dermed risikoen) Sammen med de "tekniske" risikoindikatorene utviklet i fase I av "indikator-prosjektet", vil de organisatoriske risikoindikatorene kunne benyttes til å overvåke en forholdsvis stor andel av den totale risikoen.

STIKKORD NORSK ENGELSK

GRUPPE 1 Sikkerhet Safety GRUPPE 2 Risikoanalyse Risk Analysis EGENVALGTE Risikoindikator Risk Indicator Risikopåvirkende forhold Risk Influencing Factors Organisatoriske forhold Organisational Factors

3

FORORD Prosjektet "Risikoanalyser i driftsfasen" har blitt gjennomført av SINTEF Teknologiledelse, Sikkerhet og pålitelighet, i årene 1998-2000. Hensikten med prosjektet har vært å videreutvikle modeller som kan benyttes for å klargjøre sammenhengen mellom organisatoriske forhold og risikonivået på en offshore innretning. Disse modellene danner grunnlaget for utarbeidelsen av en metodikk som kan benyttes til å måle endringer i risikonivået på en innretning som skyldes endringer i organisatoriske forhold. Prosjektet bidrar derved til å øke bruken av resultatene fra kvantitative risikoanalyser i forbindelse med oppfølging av risikonivået på en plattform i driftsfasen. Prosjektet er utført på oppdrag fra Oljedirektoratet. Vi vil med dette benytte anledningen til å takke Liv Nielsen for hennes sterke engasjement og innsats i forbindelse med initiering og gjennomføring av prosjektet. Det har vært opprettet en referansegruppe for prosjektet med deltakere fra Oljedirektoratet, deltakende oljeselskaper og utvalgte konsulentselskaper. Det har vært avholdt totalt 8 møter i referansegruppen for prosjektet. Pga. "omstruktureringer" i næringen har antall deltakende oljeselskaper i prosjektperioden avtatt og selskapenes kontaktpersoner endret seg underveis. Nedenfor gis en oversikt over hvilke selskaper som har deltatt og hvilke personer som har vært kontaktpersoner for prosjektet og deltatt i referansegruppen i hele eller deler av prosjektperioden:

Selskap Navn Oljedirektoratet Liv Nielsen Oljedirektoratet Odd Tjelta Oljedirektoratet Sverre Øxnevad Statoil Gunhild Holtet Eie Statoil Frank Firing Norsk Hydro Håvard Bentsen Norsk Hydro John Monsen Phillips Petroleum Company Norway Harald Undheim Phillips Petroleum Company Norway Bjørn Saxvik Phillips Petroleum Company Norway Jan Arne Johansen Elf Petroleum Norge (nå TotalFinaElf) Jan Erik Vinnem Esso Norge Tormod Skåren Saga Petroleum Richard Heyerdahl BP Norge Leif Gunnar Hestholm BP Norge Asbjørn Hide Amoco Norway Oil Company Stig Aune Norske Shell Trond Winther Scandpower Jan K. Lund Det Norske Veritas Andreas Falck Safetec Jon Daniel Nesje

Vi vil takke alle deltakerne i referansegruppen for deres deltakelse i prosjektet. Vi vil videre takke Statoil for at personell fra Statfjord A organisasjonen har deltatt ved gjennomføring av pilotstudiene både for utvikling av tekniske og organisatoriske risiko-indikatorer. Det har vært av særlig stor betydning for resultatene fra prosjektet at vi har kunnet ha direktekontakt med driftspersonell og spesielt at vi fikk besøke Statfjord A plattformen i

4

forbindelse med utvikling og uttesting av lekkasjemodellen og diskutere arbeidsorganisering og inntrufne gasslekkasjer med driftspersonell på plattformen. Vi vil også takke Gudmund Engen, plattformsjef på Gullfaks A plattformen for hans bistand i arbeidet med utvikling og uttesting av lekkasjemodellen og mange andre nyttige innspill underveis i prosjektet. Til slutt vil vi takke vår kollega Helge Langseth for bistand til å utvikle den kvantitative modellen for beregning av hvor stor effekt endringer i organisatoriske forhold har på risikoen.

Trondheim, 1. februar 2001.

Snorre Sklet Prosjektleder

5

INNHOLDSFORTEGNELSE

FORORD ........................................................................................................................... 3

1 SAMMENDRAG ................................................................................................................... 7

2 INNLEDNING ..................................................................................................................... 13 2.1 Bakgrunn og problemstilling ......................................................................................... 13

2.1.1 Bakgrunn......................................................................................................... 13 2.1.2 Problemstilling................................................................................................ 14

2.2 Hensikt og målsetting..................................................................................................... 15 2.3 Avgrensninger ................................................................................................................ 16 2.4 Forutsetninger ................................................................................................................ 16 2.5 Noen begreper ................................................................................................................ 17 2.6 Rapportstruktur .............................................................................................................. 17

3 FREMGANGSMÅTE ......................................................................................................... 19 3.1 Analyse av eksisterende metoder ................................................................................... 19 3.2 Kopling til tekniske risikoindikatorer ............................................................................ 21 3.3 Opphold på Statfjord A .................................................................................................. 24

4 ÅRSAKSSAMMENHENGER - ÅRSAKSMODELL ...................................................... 25 4.1 Årsaksanalyse................................................................................................................. 25 4.2 RUH’er, befaring, diskusjoner mm................................................................................ 29 4.3 Kvalitativ lekkasjemodell .............................................................................................. 30 4.4 Bruken av lekkasjemodellen .......................................................................................... 33 4.5 Eksempler på anvendelse av den kvalitative lekkasjemodellen..................................... 35

4.5.1 Lekkasje under driftsoperasjon ....................................................................... 35 4.5.2 Lekkasje under korrektivt vedlikehold ........................................................... 36 4.5.3 Lekkasje som følge av mangelfullt forebyggende vedlikehold ...................... 37 4.5.4 Lekkasje under brønnoperasjon ...................................................................... 37

4.6 Annen utprøving ............................................................................................................ 38

5 ORGANISATORISKE FAKTORER................................................................................ 39 5.1 Utvelgelse av organisatoriske faktorer........................................................................... 39 5.2 Beskrivelser av de organisatoriske faktorene................................................................. 39

5.2.1 Opplæring/kompetanse ................................................................................... 40 5.2.2 Prosedyrer/SJA/retningslinjer/instrukser ........................................................ 40 5.2.3 Planlegging/koordinering/organisering/kontroll............................................. 40 5.2.4 Design ............................................................................................................. 41 5.2.5 PM-program/inspeksjon.................................................................................. 42

5.3 Kvalitativ vurdering ....................................................................................................... 43

6 ORGANISATORISKE RISIKOINDIKATORER........................................................... 45 6.1 Hensikt ......................................................................................................................... 45 6.2 Forslag til organisatoriske risikoindikatorer for Statfjord A.......................................... 45

6.2.1 Risikoindikatorer for opplæring/kompetanse ................................................. 46 6.2.2 Risikoindikatorer for prosedyrer, SJA, retningslinjer, instrukser ................... 50 6.2.3 Risikoindikatorer for planlegging, koordinering, organisering, kontroll........ 51 6.2.4 Risikoindikatorer for design ........................................................................... 52 6.2.5 Risikoindikatorer for PM-program/inspeksjon ............................................... 53

6.3 Begrensninger ................................................................................................................ 54

7 RISIKOMESSIG BETYDNING (for Statfjord A)........................................................... 55

6

7.1 Kvantitativ modellering med bruk av Bayesiansk nettverk ........................................... 56 7.1.1 Bayesiansk nettverk generelt .......................................................................... 56 7.1.2 Kvantitativ lekkasjemodell ............................................................................. 57

7.2 Tilstandsbedømming (rating) ......................................................................................... 60 7.2.1 Eksempel på tilstandsbedømming................................................................... 62

7.3 Påvirkning/effekt (vekting) ............................................................................................ 64 7.3.1 Innledning ....................................................................................................... 64 7.3.2 Vekting basert på ekspertvurderinger ............................................................. 67 7.3.3 Datadrevet vekting .......................................................................................... 76

7.4 Aggregering.................................................................................................................... 80 7.4.1 Eksempel på aggregering/propagering............................................................ 84

7.5 Effekt på risiko (relativ endring).................................................................................... 86 7.5.1 Eksempel på beregning av effekt på risiko ..................................................... 88

7.6 Følsomhetsanalyser ........................................................................................................ 88 7.6.1 Forbedrings- og forverringspotensial.............................................................. 89 7.6.2 Følsomhet av antakelser og vurderinger ......................................................... 92 7.6.3 Håndtering av mangelfull informasjon ........................................................... 97

8 DISKUSJON OG KONKLUSJON .................................................................................. 101 8.1 Implementering og bruk............................................................................................... 101 8.2 Nytteverdi..................................................................................................................... 102 8.3 Begrensninger .............................................................................................................. 104 8.4 Hovedkonklusjoner ...................................................................................................... 105 8.5 Behov for videre arbeid................................................................................................ 107

9 REFERANSER .................................................................................................................. 109

VEDLEGG 1: Lekkasjehendelser............................................................................................ 111

VEDLEGG 2: Forkortelser ...................................................................................................... 123

VEDLEGG 3: Notasjon ............................................................................................................ 125

7

1 SAMMENDRAG Mål og hensikt Hensikten med pilotprosjektet har vært å vurdere om og i hvilken grad det lar seg gjøre å kvantifisere den risikomessige betydningen av endringer i organisatoriske forhold under drift av offshore installasjoner. Dette forutsetter at man først er i stand til å identifisere de organisatoriske faktorene som påvirker risikoen, "måle" en eventuell endring i disse, samt etablere en kopling mellom de organisatoriske faktorene og risikoen. Statfjord A ble valgt som case for den organisatoriske fasen av prosjektet slik den også var under den første tekniske fasen av prosjektet. Vi har dermed kunnet bygge videre på det arbeid som ble utført i første fase av "indikator-prosjektet". Den primære målsettingen var å kunne si noe om hvordan risikonivået utvikler seg. Mange av endringene kan avdekkes/kontrolleres direkte gjennom de parametre som inngår i risikoanalysen, noe som ble behandlet i fase I av prosjektet (Øien & Sklet, 1999a og b). Kun der hvor direkte kontroll av parametrene er "problematisk" (enten pga. sjeldne registreringer eller vanskeligheter med å få etablert relevante måleparametre) ønsker vi å kontrollere risikoutviklingen ved å "måle" endringer i bakenforliggende/organisatoriske årsaksforhold. Med overvåking av risikoen som primær målsetting, og med direkte risikoindikatorer fra første fase av prosjektet til å dekke/kontrollere mange av de risikopåvirkende forholdene, har vi avgrenset etableringen av organisatoriske risikoindikatorer til å "komplettere" de direkte risikoindikatorene. Lekkasjefrekvensen viste seg ikke å være egnet som en direkte risikoindikator pga for få registreringer, samtidig som den har svært stor betydning for totalrisikoen. Etablering av organisatoriske risikoindikatorer har bl.a som følge av dette blitt rettet inn mot lekkasje-frekvensen. Fremgangsmåte Fremgangsmåten for etablering av organisatoriske risikoindikatorer for Statfjord A har bl.a bestått i å analysere eksisterende metoder som sier noe om påvirkningen av organisatoriske forhold på risikoen. Men, vår fokus på "risikokontroll" representerer en annen målsetting enn det som de eksisterende metodene har blitt utviklet for. Vi har derfor vært nødt til å analysere disse metodene i lys av hva som er våre krav og behov. Vi så det også som viktig å "observere" den aktuelle organisasjonen, dvs. Statfjord A, inngående. Så veldig "inngående" har nok ikke observasjonene blitt, men vi har iallefall hatt et kortere opphold på Statfjord A. Organisatorisk modell og faktorer For å kunne beregne den påvirkning organisatoriske faktorer har på risikoen (via lekkasje-frekvensen), har vi etablert en organisatorisk modell som viser sammenhengen mellom de (viktigste) organisatoriske faktorene og lekkasjefrekvensen. Denne organisatoriske modellen betegner vi lekkasjemodellen. Lekkasjemodellen er utviklet på grunnlag av årsaksanalyse av lekkasjedata, kjennskap til Statfjord A's organisasjon samt generell organisasjonsteori.

8

Vi har benyttet denne lekkasjemodellen til å svare på følgende spørsmål: 1. Hvilke organisatoriske faktorer påvirker lekkasjefrekvensen (de viktigste faktorene)? 2. Hvordan påvirker organisatoriske faktorer lekkasjefrekvensen (de viktigste sammenhengene)? 3. Hvor mye påvirker organisatoriske faktorer lekkasjefrekvensen (kvantitativt)? Den kvalitative lekkasjemodellen er vist i Figur 1. Modellen er delt i 3 nivå i tillegg til selve lekkasjefrekvensen. Første nivå består av lekkasjekilden, dvs det utstyr eller de komponenter som lekker. Andre nivå består av det frontlinjepersonell som kan forårsake, evt forhindre at lekkasjer inntreffer. Tredje nivå består av de organisatoriske forhold som utgjør tilretteleggingen for at frontlinjepersonell skal kunne utføre arbeidet på en slik måte at lekkasjer ikke inntreffer.

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet

Instrument/instr.rør

Korr.vedl.(mod.)

Drift

Opplæring/kompetanse

Prosedyrer,SJA, retn.linjer,

instrukser

Planl., koord.,org., kontroll

Design

PM-program/inspeksjon

Brønn-operasjoner

Forebyggendevedlikehold

Individfaktor(oppm./kons.)

Hva(svikter/lekker)

Hvem(utførende)

Hvem(styrende)

Front-linje personell/hovedfunksjoner

Lekkasje

Komponent/utstyr Parameter/feilmode

Hendelse

Ansvarlig/tilretteleggendepersonell

Figur 1 Den kvalitative lekkasjemodellen

• Individfaktoren er en "knagg" til å henge "tabber" på (når det er gjort en åpenbar tabbe, og er

egentlig ikke en "ordentlig" organisatorisk faktor). • Med "opplæring/kompetanse" mener vi den opplæring og erfaring som er nødvendig for at det

utførende personell skal kunne gjøre jobben sin uten å forårsake lekkasjer. • Med "prosedyrer, SJA, retningslinjer, instrukser" mener vi all skriftlig (og evt. muntlig)

informasjon som beskriver hvordan jobben skal utføres på en korrekt og sikker måte. • Med "planlegging, koordinering, organisering, kontroll" mener vi den "tilrettelegging" som

arbeidsledere/planleggere har ansvar for å påse blir ivaretatt slik at lekkasjer unngås. Kontroll-aspektet er spesielt viktig som barrierefunksjon.

• Med "design" mener vi den fysiske utformingen/sammenstillingen av utstyr (prosess- og annet utstyr). Designet må være slik at anlegget kan drives og vedlikeholdes uten at lekkasjer oppstår.

9

• Med "PM-program" mener vi programmene (aktiviteter og intervaller) for alt planlagt vedlikehold (inkl. inspeksjon) som utføres for å forhindre at feil (som igjen kan resultere i lekkasje) skal inntreffe.

Den kvalitative lekkasjemodellen utgjør et viktig delresultat i seg selv, fordi den kan benyttes som et hjelpemiddel for å avdekke de bakenforliggende årsaksfaktorene til en lekkasje, uavhengig av hvorvidt man ønsker å kvantifisere betydningen av de organisatoriske årsaksfaktorene. Den kan altså benyttes når lekkasjehendelsen skal registreres i en RUH. Organisatoriske risikoindikatorer Tilstanden til de organisatoriske årsaksfaktorene lengst til venstre i Figur 1 måler vi fortløpende (hvert kvartal) ved hjelp av indikatorer – organisatoriske risikoindikatorer. Forslag til slike indikatorer for hver av de organisatoriske faktorene er vist i Tabell 1.

Tabell 1 Forslag til organisatoriske risikoindikatorer

Organisatoriske faktorer Organisatoriske risikoindikatorer ORI11 Andel prosessteknikere med formell systemopplæring ORI12 Gjennomsnittlig antall områder prosessteknikerne har opplæring i ORI13 Andel instrumentteknikere med kurs i rørkopling/ventiler ORI14 Andel mekanikere med kurs i flenstrekking ORI15 Andel mekanikere med pakningskurs ORI16 Gjennomsnittlig antall år erfaring på denne installasjonen ORI17 Gjennomsnittlig antall år erfaring totalt

OF1 Opplæring/kompetanse

ORI18 Andel av relevant personell som har deltatt i faglig utvikling ORI21 Andel av relevant personell med formell opplæring i SJA ORI22 Andel av relevant personell som har gjennomført SJA siste år ORI23 Antall SJA gjennomført siste kvartal på installasjonen

OF2 Prosedyrer, SJA, retningslinjer, instrukser

ORI24 Hyppighet av kontroll med utarbeidelse/bruk av SJA ORI31 Andel kritiske jobber utført med kontroll

OF3 Planlegging, koordinering, organisering, kontroll ORI32 Andel inn- og utskrivinger av arbeidsordre i felt (på arbeidsstedet)

OF4 Design ORI41 Antall designrelaterte lekkasjer og tilløp til lekkasjer ORI51 Mengde inspeksjon av lekkasjepunkt-utstyr

OF5 PM-program/inspeksjon ORI52 Mengde korrigerende vedlikehold av lekkasjepunkt-utstyr

Betydningen av de organisatoriske faktorene for lekkasjefrekvens og risiko Gjennom å vekte den påvirkning som de organisatoriske faktorene har på lekkasjefrekvensen, er vi i stand til å beregne effekten av at en eller flere av de organisatoriske faktorene endrer tilstand (blir bedre eller dårlige ivaretatt av organisasjonen). Når den nye tilstanden er fastsatt/bedømt vha indikatorene, kan vi beregne hvor mye dette har endret lekkasjefrekvensen. Bedømming av tilstanden til hver enkelt organisatorisk faktor skjer altså vha risikoindikatorer. Hver organisatorisk faktor kan befinne seg i én av fem mulige tilstander (fra tilstand 1 – "svært dårlig", til tilstand 5 – "svært god"). Effekten av enkeltvis endring av tilstanden til de organisatoriske faktorene på forventningsverdien til lekkasjefrekvensen (E(lambda)) ut fra dagens verdi er vist i Figur 2. Utgangspunktet er tilstandskombinasjonen 3-4-2-3-2 som gir en forventningsverdi på 1,7 lekkasjer per kvartal. Hver enkelt faktor er endret mens de andre forblir i sin nåværende tilstand. Via risikomodellen kan vi så fastsette endringen i risikonivået.

10

Endring i lekkasjefrekvens

0,0

0,5

1,0

1,5

2,0

2,5

3,0

Faktortilstand

E(l

amb

da)

OF1 2,4 2,0 1,7 1,4 1,2

OF2 2,7 2,3 2,0 1,7 1,5

OF3 2,2 1,7 1,3 1,0 0,8

OF4 2,3 2,0 1,7 1,5 1,2

OF5 2,1 1,7 1,4 1,1 0,9

Tilst. 1 Tilst. 2 Tilst. 3 Tilst. 4 Tilst. 5

+61%

-55%

Figur 2 Endring i lekkasjefrekvensen (E(lambda)) ved enkeltvis endring av faktorene

Konklusjon Hovedkonklusjonen er at det er mulig å si noe om organisatoriske faktorers effekt på risikonivået kvantitativt, selv om dette er forbundet med usikkerhet. Grunnen til at vi kan trekke denne konklusjonen er at: • De antatt viktigste organisatoriske årsaksfaktorene er identifisert • Tilstanden til disse er mulig å måle vha indikatorer (alternativt med kompletterende subjektive

vurderinger) • Effekten de har på lekkasjefrekvensen er mulig å beregne vha. analyse av tidligere lekkasje-

hendelser og ekspertvurderinger (og kan dessuten oppdateres etterhvert som ny informasjon fremkommer)

• Endring i forventningsverdi til lekkasjefrekvensen kan beregnes (inklusive effekten av observerte lekkasjehendelser)

• Endring i risikonivået som følge av endring i lekkasjefrekvensen kan beregnes via følsomhets-analyser i risikoanalysen (TRA’en)

Videre arbeid Vi har utviklet en metodikk hvor det ikke gjenstår noen "uoverstigelige" metodiske problemer. Det som gjenstår for å prøve ut metoden er en krevende implementeringsjobb. Dette innebærer at man må 'verifisere' vurderingene som er gjort og foreta de nødvendige justeringer. I tillegg kreves det at de ansvarlige for innføring og oppfølging må være aktive pådrivere. Man må være klar over at å skaffe seg kunnskap om hvordan risikonivået utvikler seg over tid ('kontinuerlig' overvåking) etter denne metoden vil kreve tid, ressurser og hardt systematisk arbeid.

11

Nytteverdi Det ser ut til å være et stadig mer påtrengende problem å skulle si noe om hvordan sikkerheten/ risikoen utvikler seg i Nordsjøen både for den enkelte installasjon og for industrien som helhet. Vår påstand er at dersom man ikke systematisk følger opp risikoanalysen under drift (eksempelvis gjennom risikoindikatorer) så vet man ikke hvordan risikoen utvikler seg. Ikke vet man om den øker eller avtar, og slettes ikke om den øker/avtar mye eller lite. Ved å følge opp de viktigste risikopåvirkende forholdene vha. risikoindikatorer så er vi ikke bare i stand til å si noe om hvorvidt risikoen har økt eller avtatt, men vi er også i stand til å si noe om endringens størrelsesorden. Det vil kunne være av avgjørende betydning å vite om risikoen f.eks har endret seg med i størrelsesorden 3% eller om den har endret seg med i størrelsesorden 30%. Derfor er kvantifisering nyttig og nødvendig. Selv om tallet i seg selv er forbundet med usikkerhet, så representerer det en aggregering/sammenfatning av 'vår beste viten'. Den datamengden som er benyttet (hhv. 20 lekkasjer på Statfjord A og 92 lekkasjer på Statfjord-feltet) er forholdsvis liten, noe som gjør at det er relativt stor usikkerhet knyttet til de absolutte tallverdiene, men det er relativ endring i risikoen og endringens størrelsesorden vi fokuserer på. De organisatoriske risikoindikatorene (som etableres basert på metodikken beskrevet i denne rapporten) kan benyttes til følgende formål: 1. Gi varsel om at lekkasjefrekvensen (og dermed risikoen) har endret seg 2. Indikere hvor mye lekkasjefrekvensen (og dermed risikoen) har endret seg 3. Identifisere hvilke organisatoriske faktorer og kombinasjoner av faktorer som har størst

forbedringspotensiale mht. lekkasjefrekvensen (og dermed risikoreduksjon) Sammen med de "tekniske" risikoindikatorene utviklet i fase I av "indikator-prosjektet" så vil de organisatoriske risikoindikatorene kunne benyttes for å overvåke en forholdsvis stor andel av den totale risikoen.

13

2 INNLEDNING

2.1 Bakgrunn og problemstilling

2.1.1 Bakgrunn Oljedirektoratet (OD) har helt siden 1994 vært opptatt av hvordan oljeselskapene på en troverdig måte kan beskrive utviklingen i risikonivået for en gitt installasjon på regelmessig basis. Bakgrunnen for dette var en konkret installasjon, nemlig PPCoN’s Ekofisk 2/4-T (også kalt "tanken"). Som de fleste kjenner til så ble denne besluttet nedstengt i 1992 (og utfaset i 1998). På tross av denne nedstengningsbeslutningen i 1992 var OD opptatt av hvordan risikonivået ville utvikle seg på "tanken" i den såkalte interimsperioden frem til utfasing. SINTEF ble engasjert for å se på muligheten for å utvikle et "verktøy" som kunne si noe om utviklingen i risikonivået på Ekofisk 2/4-T. Prosjektet fikk navnet "indikator-prosjektet" som henspeiler på at det verktøy som ble utviklet bestod av et sett med risikoindikatorer. Etter en tids utviklingsarbeid, som resulterte i et første forslag til indikatorer, ble prosjektet presentert for PPCoN. Selskapet tok deretter over det videre arbeid og nødvendig tilpasning selv. Idéen med å benytte et sett med risikoindikatorer, som verktøy for å overvåke risikonivået på en offshore installasjon, ble ført videre av OD i 1996. Denne gang ble Statfjord A valgt ut som den installasjon man ønsket å etablere indikatorer for. Statoil som operatør for Statfjord A deltok i dette prosjektet fra starten av. Det ble gjennomført som et samarbeidsprosjekt mellom OD, Statoil og SINTEF. Etableringen av risikoindikatorer for både Ekofisk 2/4-T og Statfjord A baserte seg på den plattformspesifikke totalrisikoanalysen (TRA’en eller QRA’en) for installasjonene. Disse risikoanalysene dekker i hovedsak tekniske og tildels operasjonelle forhold, men i liten grad organisatoriske forhold. Risikoindikatorene ble derfor betegnet som "tekniske indikatorer" (eller "tekniske risikoindikatorer") fordi de baserte seg på ("den tekniske") risikoanalysen. De indikatorene som ble etablert utgjorde for en stor del direkte (eller mer eller mindre direkte) "mål" på risikoforhold som inngikk i risikoanalysen. De tekniske indikatorene betegnes derfor også som "direkte risikoindikatorer". Totalrisikoanalysene blir i hovedsak benyttet i forbindelse med designfasen, men de skal reflektere normal drift (altså driftsfasen). De inkluderer derfor antakelser om operasjonelle forhold under drift. Organisatoriske forhold derimot virker hovedsaklig indirekte gjennom parametrene (f.eks feilrater) i risikoanalysen. Imidlertid er det slik at også organisatoriske forhold kan endre seg under driftsfasen (og dermed påvirke risikonivået). Det er en kjent sak at organisatoriske forhold har vært medvirkende årsaker til store ulykker både innenfor offshore og annen industri. Risikokontroll under drift av offshore installasjoner bør derfor ikke utelukkende fokusere på tekniske og operasjonelle forhold, men også inkludere organisatoriske forhold. Hvordan kan man så inkludere den effekt endringer i organisatoriske forhold har på risikonivået? Dette var utfordringen OD gikk ut med til industrien i 1998, og som ble organisert gjennom prosjektet "Risikoanalyser i driftsfasen" hvor "alle" oljeselskapene på norsk sokkel har deltatt.

14

Prosjektnavnet henspeiler på at man ønsket en risikobasert tilnærming og dermed benytte risikoanalysen som basis, sålangt dette lot seg gjøre. Denne rapporten beskriver pilotstudien hvor Statfjord A ble benyttet som pilot/case. I Figur 3 har vi illustrert hvordan denne rapporten passer inn i den totale "indikatorprosjekt-sammenheng", med henvisning til andre rapporter1 utgitt som del av prosjektet.

Generellmetodikk

(tekn.)

Pilot-studie

(tekn.)

Generellmetodikk

(org.)

Pilot-studie

(org.)

Litteraturstudie

Fase I(teknisk)

Fase II(organisatorisk)

Risikostyring under drift

"Indikatorprosjektet"

J

/1/ /2/

/3/ /4/ /5/

Figur 3 Denne rapportens plass i "indikatorprosjektet"

Pilotstudien representerer en konkretisering av den generelle metodikken for utarbeidelse av organisatoriske risikoindikatorer. I pilotstudien "testes" metodikken ut, men de organisatoriske risikoindikatorene (som er et av resultatene fra prosjektet) testes ikke ut slik som det ble gjort med de tekniske risikoindikatorene i fase I. Pilotstudierapporten konkretiserer den generelle metodikken, men dersom man ønsker en utdyping av metodikken og utviklingen av denne så finner man dette i metoderapporten (Øien & Sklet, 2001a). Pilotstudien i fase II bygger videre på det arbeidet som ble gjort med etablering av tekniske risikoindikatorer i fase I, hvor også Statfjord A ble benyttet som pilot/case (Øien & Sklet, 1999b).

2.1.2 Problemstilling Risikonivået på Statfjord A er kvantifisert i totalrisikoanalysen (Statoil, 1996), og som andre TRA’er så inkluderer denne antakelser om bl.a operasjonelle forhold under drift og om "feiltilbøyeligheten" til teknisk utstyr. Dette er forhold som endrer seg over tid, og som resulterer i at relativt kort tid etter at TRA’en er ferdigstilt så vet man ikke lenger hva risikonivået er, hvis man ikke systematisk følger opp antakelsene i risikoanalysen.

1 /1/ Øien & Sklet, 1999a. Metode for å utarbeide tekniske risikoindikatorer /2/ Øien & Sklet, 1999b. Risikoindikatorer for overvåking av risikonivået på Statfjord A /3/ Øien & Sklet, 1999c. Bruk av risikoanalyser i driftsfasen, etablering av sikkerhetsindikatorer og modellering av

organisatoriske faktorers effekt på risikonivået. En "state-of-the-art" beskrivelse. /4/ Øien & Sklet, 2001a. Metodikk for utarbeidelse av organisatoriske risikoindikatorer /5/ Øien & Sklet, 2001b. Organisatoriske risikoindikatorer. Pilotstudie Statfjord A.

15

Det er ikke nødvendigvis det eksakte "risiko-tallet" man til enhver tid trenger å vite, men man bør ha kjennskap til i hvilken retning utviklingen går, og man bør dessuten kunne si noe om størrelsesorden på endringen. TRA’en skal ifølge Statoils interne krav oppdateres etter maksimalt 5 år, men dette er langt ifra tilstrekkelig for den type risikokontroll vi her snakker om. Et alternativ kunne kanskje vært å oppdatere TRA’en hyppigere? Det er forsåvidt ikke noe galt i det, men hvilke forhold ("parametre") skal oppdateres? Hvis man ikke vet hvilke forhold som virkelig bidrar til risiko-endring så må man kontrollere alle parametre, noe som fort blir "noen hundre", og arbeidet blir omfattende.2 Et annet problem er at noen av forholdene som påvirker risikoen (som f.eks gasslekkasjer) skjer nokså sjeldent (og "tilfeldig") slik at det kan være vanskelig å fastslå om forholdet har endret seg, med mindre man studerer forholdet noe nærmere. Et alternativ til å betrakte en forholdsvis sjelden hendelse direkte er å se om noen av de forhold som påvirker denne hendelsen har endret seg. I noen tilfeller vil disse årsaksforholdene være det vi betegner som organisatoriske årsaksfaktorer. I tillegg til å kontrollere enkelte av de forholdene som påvirker risikoen direkte så vil det også være behov for å følge opp organisatoriske årsaksfaktorer. Utfordringen er å finne ut hvilke organisatoriske faktorer som er viktigst å følge opp, samt å finne ut hvilken effekt de har på risikonivået. Hvilke organisatoriske faktorer er de viktigste å følge opp for Statfjord A, og hvor mye påvirker de risikonivået på Statfjord A?

2.2 Hensikt og målsetting Hensikten med pilotprosjektet er å vurdere om og i hvilken grad det lar seg gjøre å kvantifisere den risikomessige betydningen av endringer i organisatoriske forhold under drift av offshore installasjoner. Dette forutsetter at man først er i stand til å identifisere de organisatoriske faktorene, "måle" en eventuell endring i disse, samt etablere en kopling mellom de organisatoriske faktorene og risikoen. Statfjord A er valgt som case for den organisatoriske fasen av prosjektet slik den også var under den første tekniske fasen av prosjektet. Vi kan dermed bygge videre på det arbeid som ble utført i første fase. Målsettingen er at vi skal kunne være i stand til å "måle" en vesentlig del av den endring i risikonivået som skjer kontinuerlig under drift (på Statfjord A) gjennom hyppige (kvartalsvise) registreringer. "Måleverktøyet" vi benytter er risikoindikatorer. En regelmessig kontroll med risikoen representerer et kontinuerlig sikkerhetsarbeid og er ikke noen engangskampanje! Risikokontroll må innarbeides som en fast rutine og burde være like selvsagt som økonomisk kontroll (regnskapsførsel). Vi anvender det som betegnes som "risikobasert" sikkerhetstenkning, dvs at istedetfor å la sikkerhetsarbeidet styres av mer eller mindre tilfeldige hendelser retrospektivt (etter at hendelsene har inntruffet) så arbeides det proaktivt med de viktigste risikopåvirkende forholdene før alvorlige hendelser inntreffer. Disse forholdene representerer det største potensialet for fremtidige storulykker, og dermed også det største potensialet for å redusere muligheten for fremtidige storulykker. Før det kan treffes tiltak må man imidlertid finne ut hva som er situasjonen og eventuelt hvor problemet er størst.

2 I Statfjord A’s tilfelle kan man benytte seg av de tekniske risikoindikatorene fra fase I av prosjektet. Disse dekker imidlertid kun personsikkerhet ifm storulykker.

16

2.3 Avgrensninger Prosjektet er avgrenset til driftsfasen for én spesifikk installasjon, og for pilotstudien er dette Statfjord A. Det tas utgangspunkt i TRA’en fra 1995 (den sist oppdaterte risikoanalysen) for Statfjord A. Risikoen avgrenses til personellrisiko ved storulykker. Vi dekker derfor ikke miljørisiko eller risiko for materielle verdier. Heller ikke arbeidsulykker dekkes i og med at fokus er på muligheten for storulykker. Den primære målsettingen er å kunne si noe om hvordan risikonivået utvikler seg. Mange av endringene kan avdekkes/kontrolleres direkte gjennom de parametre som inngår i risikoanalysen, noe som ble behandlet i fase I av prosjektet (Øien & Sklet, 1999a og b). Kun der hvor direkte kontroll av parametrene er "problematisk" pga for få hendelser ønsker vi å kontrollere risikoutviklingen ved å "måle" endringer i bakenforliggende/organisatoriske årsaksforhold. Dette gjelder for Statfjord A først og fremst lekkasjefrekvensen. Risikoindikatorene er ment å være et hjelpemiddel til å vite hvordan risikonivået utvikler seg mellom oppdateringer av risikoanalysen. Dersom det er større endringer/modifikasjoner (både av teknisk og organisatorisk karakter), så skal dette iht. OD's regelverk føre til en oppdatering av risikoanalysen. Risikoindikatorene skal fange opp "de mange bekker små" som til sammen kan ha forholdsvis stor betydning for risikoen. Spesielt viktig er det å fange opp de endringer som man kanskje ikke er seg så bevisst, og som kan ha betydning for risikoen. Store organisatoriske endringer inkluderer også større bemanningsendringer. Heller ikke dette forutsettes dekket gjennom bruk av risikoindikatorer.

2.4 Forutsetninger Vi tar som nevnt utgangspunkt i den sist oppdaterte risikoanalysen for Statfjord A. Vi anvender den slik den er og forutsetter at den er "korrekt". Det vil alltid være svakheter og kanskje til og med direkte feil i en TRA, men det har ikke vært en del av arbeidet i dette prosjektet å vurdere selve risikoanalysen. Vi kan derfor si at våre resultater avhenger av TRA’en og at denne er "korrekt". Vi må også forholde oss til den grad av nedbryting som er benyttet i risikoanalysen. Dette innebærer bl.a at det vil være "et gap" mellom de forhold som er inkludert i risikoanalysen og de organisatoriske årsaksfaktorene, og som vi dermed må "fylle" gjennom årsaksanalyser. Vi forutsetter at de hendelser som rapporteres (f.eks gasslekkasjer) er fullstendig. Vi tar altså ikke høyde for at det kan eksistere underrapportering.

17

2.5 Noen begreper Et risikopåvirkende forhold (RPF) er "et forhold (hendelse/tilstand) i et system eller en aktivitet som påvirker risikonivået til dette systemet/aktiviteten". En organisatorisk risikopåvirkende faktor er "en bakenforliggende styringsmessig/ledelsesmessig faktor (forhold/hendelse/tilstand) i et system eller en aktivitet som påvirker risikonivået til dette systemet/aktiviteten". En indikator er "en målbar/operasjonell variabel som kan benyttes for å beskrive tilstanden til et større fenomen eller aspekt av virkeligheten". En risikoindikator er "en målbar/operasjonell variabel som kan benyttes til å beskrive tilstanden til et risikopåvirkende forhold (som er knyttet til risikoen gjennom en risikomodell)". En organisatorisk risikoindikator er "en målbar/operasjonell variabel som kan benyttes for å beskrive tilstanden til en organisatorisk risikopåvirkende faktor (som er knyttet til risikoen gjennom en risikomodell)". Se forøvrig metoderapporten (Øien & Sklet, 2001a, kap. 2.5) for flere definisjoner/begreper.

2.6 Rapportstruktur I kap. 3 er fremgangsmåten for etablering av organisatoriske risikoindikatorer for Statfjord A beskrevet. Årsaksanalyser er viktige for å avdekke de bakenforliggende organisatoriske årsaks-faktorene. Årsaksanalyser og etablering av en organisatorisk modell er presentert i kap. 4. I kap. 5 er de viktigste organisatoriske faktorene beskrevet, og i kap. 6 er forslagene til organisatoriske risikoindikatorer presentert. Kap. 7 behandler kvantifiseringen, dvs hvordan man kan måle tilstanden til de organisatoriske faktorene ved bruk av risikoindikatorene, samt beregne den effekt disse har på risikonivået. I kap. 8 trekkes så konklusjonene etter pilotprosjektet. Kap. 7 inneholder den kvantitative delen av rapporten og kan være litt vanskelig tilgjengelig for noen. (Man kan da lese innledningen i kap. 7 før man eventuelt går over til kap. 8.) Det kan også være en god idé å starte med kap. 8, for deretter å lese resten av rapporten. Vedlegg 1 inneholder en analyse av de 20 lekkasjehendelsene på Statfjord A i perioden 1997-99, med bruk av den kvalitative lekkasjemodellen. Vedlegg 2 inneholder forkortelsene som er brukt i rapporten, og vedlegg 3 inneholder notasjon.

19

3 FREMGANGSMÅTE Vi vil i dette kapittelet beskrive den fremgangsmåte som er benyttet for å etablere organisatoriske risikoindikatorer for Statfjord A. Den generelle metodikken er beskrevet i metoderapporten (Øien & Sklet, 2001a) og kun hovedtrekkene vil bli gjengitt her (kap. 3.1). Som illustrert i Figur 3, bygger fremgangsmåten for etablering av organisatoriske faktorer på det arbeidet som tidligere er utført ved etableringen av tekniske risikoindikatorer (Øien & Sklet, 1999a og b). Denne koplingen er beskrevet i kap. 3.2. I tillegg til at fremgangsmåten for etablering av organisatoriske risikoindikatorer for Statfjord A bygger på en analyse av eksisterende metoder som sier noe om påvirkningen av organisatoriske forhold på risikoen, og på det tidligere arbeidet i dette prosjektet, så har vi også sett det som viktig å "observere" den aktuelle organisasjonen, dvs. Statfjord A. Vi har derfor som en del av prosjektet hatt et kortere opphold på Statfjord A (uke 35/2000). Dette er beskrevet i kap. 3.3.

3.1 Analyse av eksisterende metoder De organisatoriske faktorene skal "sørge for" at det arbeidet som utføres på en installasjon skal skje på en sikker måte. Organisasjonen skal "tilrettelegge" forholdene slik at ikke ulykker skal inntreffe. Likevel vet vi fra store ulykker både innenfor offshore og annen industri at svikt i organisatoriske forhold har vært medvirkende årsaker til ulykkene. Innenfor ulykkesgransking har man derfor i de senere år flyttet fokus fra teknisk og menneskelig svikt til bakenforliggende årsaksforhold. Dette gjelder altså etter at en ulykke eller hendelse har inntruffet. Hva så med å forutsi påvirkningen fra organisatoriske forhold før ulykker inntreffer? Hvordan påvirker disse forholdene "de mulige fremtidige ulykkene og tapene" (altså risikoen)? Her har man ikke på langt nær kommet like langt som innenfor ulykkesgransking. Noe forskning er gjort, og en "håndfull" metoder er utviklet som forsøker å si noe om hvordan organisatoriske faktorer påvirker risikoen, se Øien & Sklet, 1999c. Det er naturlig at vi tar utgangspunkt i den forskningen som er gjort og analyserer den metodikken som eksisterer. En analyse av de eksisterende metodene er beskrevet i kap. 3 i metoderapporten (Øien & Sklet, 2001a). De eksisterende metodene er imidlertid utviklet med ulike målsettinger og er også i noen tilfeller skreddersydd for én bestemt industri (f.eks kjernekraft). De er derfor ikke uten videre egnet for vårt formål. Det er faktisk ingen av metodene som er utviklet for å etablere risikoindikatorer og som har et risikokontroll-perspektiv på sitt arbeid. Vi har derfor vært nødt til å analysere de eksisterende metodene i lys av hva som er våre krav og behov. Vi har sett at alle metodene har visse likhetstrekk og at det går an å analysere dem etter en felles "mal". Alle metodene kan (mer eller mindre) brytes ned i 8 felles elementer, selv om enkelte av elementene håndteres tildels svært ulikt. Også for vår bruk vil det være aktuelt å utvikle en metodikk (eller iallefall et "rammeverk") som følger den samme "malen". Vi bygger derfor opp vårt eget rammeverk basert på denne analysen av hvordan de eksisterende metodene håndterer hvert av elementene. Gjennom vurdering av de ulike alternative måter å håndtere et gitt element på, sammenholdt med våre krav/behov, har vi valgt ut én måte å gå frem på for håndtering av hvert enkelt element. Vi kan si det slik at vi ut fra våre behov har bygd på "det beste" fra hver av de eksisterende metodene. (For noen element har vi som følge av vår "særegne" målsetting ikke

20

basert oss på noen av de eksisterende metodene. Istedet bygger vi på det arbeid vi har gjort tidligere under etableringen av tekniske risikoindikatorer.) Figur 4 viser "malen" (de 8 elementene) som både de eksisterende rammeverkene og vårt rammeverk er bygd opp etter.

Sosio-teknisksystem

Risikomodell Risiko

2

43 5

6

78

1

Organisatorisk modell/organisatoriske faktorer

Bedømming av tilstanden til faktorene ("rating")

Bedømming av effekten til faktorene ("vekting")

Aggregeringsmetode (algoritme)

Modelleringsteknikk

Kopling til risikomodellen

Tilpasning av risikomodellen

Rekvantifisering av risikoen

1

2

3

4

5

6

7

8

Spesifikk modell basert på årsaksanalyse

Fåtall indikatorer, 5-10 forankrede tilstander

Data-drevet vekting og ekspertvurdering

Håndtering av samspillseffekter iht. BN

Bayesiansk nettverk - BN

Viktigste parameter uten kontroll via tekn. ind.

Viktigste parametre mht. potensiell endring i risiko

Relativ endring i risiko

ORIM - Organisatorisk Risiko-Influens Modell

Figur 4 Rammeverk for etablering av organisatoriske risikoindikatorer

Den høyre kolonnen i tabellen beskriver vår fremgangsmåte for håndtering av de enkelte elementene (trinnene) i rammeverket. Vi har betegnet dette nye rammeverket (for etablering av organisatoriske risikoindikatorer) for ORIM – Organisatorisk Risiko-Influens Modell. Den øverste delen av figuren (over tabellen) illustrerer at vi har risikoanalysen "i bunnen" hvor en risikomodell (7) er etablert for et eller annet sosio-teknisk system (f.eks en offshore-installasjon), og hvor man kvantitativt kommer frem til et risikotall (8). Risikomodellen inkluderer de tekniske svikt som kan lede til ulykker, og som igjen forårsakes/utløses av feil eller mangelfull arbeids-utførelse av "front-linje" personellet (6). "Front-linje" personellets arbeidsoppgaver og arbeids-utførelse fastsettes og tilrettelegges av "organisasjonen" gjennom en del sentrale funksjoner/ forhold/faktorer betegnet som organisatoriske faktorer (1). Tilstanden (2) til disse organisatoriske faktorene påvirker (3) "front-linje" personellets arbeidsutførelse. Den totale effekten (4) av denne påvirkningen kan kvantifiseres gjennom en modelleringsteknikk (5), som i vårt tilfelle er et influensdiagram (Bayesiansk nettverk, ref. kap. 7). For mer detaljer om analysen av de eksisterende rammeverkene/metodene henviser vi til metode-rapporten (Øien & Sklet, 2001a). Dette gjelder spesielt de 5 første elementene i rammeverket. De 3 siste elementene i rammeverket (element 6, 7 og 8) er i stor grad fastlagt ut i fra det arbeid vi har gjort tidligere ifm. etablering av tekniske risikoindikatorer. Dette er beskrevet i neste kapittel.

21

3.2 Kopling til tekniske risikoindikatorer Vi har tidligere i "indikatorprosjektet" utviklet en generell metodikk for etablering av tekniske risikoindikatorer (Øien & Sklet, 1999a) og anvendt denne metodikken for etablering av spesifikke risikoindikatorer for Statfjord A (Øien & Sklet, 1999b). Statfjord A ble altså benyttet som case også under den tekniske fasen av prosjektet. Figur 5 illustrerer at vi som et av trinnene i den generelle metodikken identifiserte de viktigste risikopåvirkende faktorene mht. potensiell endring i risiko.

RisikomodellFysisk system Risiko

Risikopåvirkendefaktorer (RPF'er)

Kritisketekniskeforhold

Steg 1. Velg ulykkestyper

Steg 8. Etabler rutiner for bruk av indikatorer

Steg 7. Velg et sett med indikatorer

Steg 6. Etabler indikatorer

Steg 5. Velg forhold med størst innvirkning på risiko

Steg 4. Analyser effekt på risiko

Steg 3. Vurder hvilke forhold som kan endres og hvor mye

Steg 2. Identifiser forhold som inngår i risikoanalysen

Figur 5 Identifisering av de viktigste risikopåvirkende faktorene

Det er disse risikopåvirkende faktorene, med størst potensiale for å forårsake endringer i risikonivået, som det er behov for å kontrollere gjennom etablering av risikoindikatorer. Neste trinn bestod da i å etablere indikatorer for disse faktorene. For de fleste faktorene var vi i stand til å etablere mer eller mindre "direkte" indikatorer. Med direkte indikatorer mener vi et direkte mål på den tilhørende risikofaktoren (f.eks "antall varmt arbeidstillatelser klasse A og B" som mål på faktoren "varmt arbeid"). I noen tilfeller ble vi nødt til å anvende noe mer indirekte indikatorer (f.eks "antall feil på elektrisk utstyr" istedenfor "antall kritiske feil på elektrisk utstyr" som mål på faktoren "antennelse pga. feil på elektrisk utstyr"). Dette er illustrert i Figur 6. Figuren er kun en illustrasjon. I pilotstudien for Statfjord A (Øien & Sklet, 1999b) etablerte vi 9 risikoindikatorer hvorav 4 var direkte og 5 var indirekte indikatorer.

22



Indirekte risikoindikatorer

Direkte risikoindikatorer

Figur 6 Direkte og indirekte ("tekniske") risikoindikatorer

Forslagene til risikoindikatorer baserte seg bl.a på at forventet antall registreringer i løpet av et kvartal måtte være "tilstrekkelig", men hvorvidt disse forventningsverdiene holdt stikk måtte verifiseres gjennom uttesting av risikoindikatorene. Uttestingen viste at antall gasslekkasjer var vesentlig lavere enn antatt, og at en direkte indikator for faktoren "gasslekkasjer" (og parameteren "lekkasjefrekvens") ikke ga tilstrekkelig grad av kontroll med denne faktoren. For de øvrige "tekniske" risikoindikatorene viste uttestingen at antall registreringer var tilstrekkelig (imidlertid avdekket uttestingen enkelte andre problemer bl.a knyttet til hvordan registreringene foretas og at noen tilpasninger må gjøres. Man kan også diskutere hvor godt egnet enkelte av de andre foreslåtte indikatorene er). Lekkasjefrekvensen var ikke bare den parameteren i risikomodellen som vi ikke kunne anvende en direkte indikator for. Det er også den parameteren som har størst betydning mht. potensiell endring i risiko. Det er derfor av avgjørende betydning at vi kan kontrollere også denne parameteren vha. indikatorer. Uten å inkludere lekkasjefrekvensen vil det settet med risikoindikatorer vi har etablert dekke en for liten andel av det totale "risikobildet" (mht. potensiell relativ endring). Vi anbefalte derfor å forsøke å etablere organisatoriske risikoindikatorer for lekkasjefrekvensen gjennom årsaksanalyser av bakenforliggende årsaker til lekkasjer (ref. kap. 8.2.1 siste avsnitt i Øien & Sklet, 1999b). Vi må altså gå "lenger bakover" i årsakskjeden til lekkasjehendelsene for å kunne etablere organisatoriske risikoindikatorer. Dette er illustrert i Figur 7.





Organisatoriskerisikoindikatorer

Gasslekkasjer

Figur 7 Organisatoriske risikoindikatorer versus "tekniske" risikoindikatorer

Før vi kan etablere organisatoriske risikoindikatorer må vi finne ut hvilke organisatoriske årsaks-faktorer som medvirker til lekkasjehendelser og hvordan de påvirker muligheten for lekkasjer

23

(dvs. hvordan sammenhengene er mellom de organisatoriske faktorene og lekkasjene). Dette kan sammenfattes i en modell – en organisatorisk modell. Modellen inneholder altså både faktorer og sammenhenger og er en hendelsesårsaksmodell. I vårt tilfelle avgrenser vi den organisatoriske modellen til én parameter som er lekkasje-frekvensen og velger derfor å betegne den som "lekkasjemodell". En fiktiv illustrasjon av en slik modell, koplet til risikomodellen via lekkasjefrekvensen, er vist i Figur 8.





Lekkasjemodell (fiktiv)

Organisatoriskefaktorer

Org

anis

ator

iske

risik

oind

ikat

orer

Design

Prosed.

Planl.

Opplær.

Vedl.

Drift

Ventilfeil

Ventilåpen

Flensfeil

Flensåpen

LekkFÅ

LekkFF

LekkVÅ

LekkVF

Lekkasje

Figur 8 Kopling av den organisatoriske modellen (lekkasjemodellen) til risikomodellen

I tillegg til at lekkasjemodellen skal inneholde (de viktigste) organisatoriske årsaksfaktorene og (de viktigste) sammenhengene, så ønsker vi å vite hvor mye (kvantitativt!) de organisatoriske faktorene påvirker risikoen (via lekkasjefrekvensen). Først da er vi i stand til å si noe om hvor mye en gitt endring i en organisatorisk faktor endrer risikoen. Dette er illustrert i Figur 9.





Lekkasjemodell (fiktiv)

Organisatoriskefaktorer

)( ORIfR ∆=∆

Design

Prosed.

Planl.

Opplær.

Vedl.

Drift

Ventilfeil

Ventilåpen

Flensfeil

Flensåpen

LekkFÅ

LekkFF

LekkVÅ

LekkVF

Lekkasje

Figur 9 Endring i risiko som følge av endring i en organisatorisk faktor (via lekkasjer)

Endringen i tilstanden til en organisatorisk faktor "måles" vha. risikoindikatorer, slik at endringen i risiko er en "funksjon av" endringer i de organisatoriske risikoindikatorene (ORI).

24

NB! Vi er kun ute etter å "kontrollere" den påvirkning som de organisatoriske faktorene har på risikoen via lekkasjefrekvensen. Endringer i de øvrige faktorene (også det som skyldes organisatoriske årsaksforhold) "kontrolleres" gjennom de "tekniske" risikoindikatorene. Vi har et risikokontroll-perspektiv på vårt arbeid og er derfor først og fremst opptatt av å kontrollere effekten av de organisatoriske faktorene. (Vi er ikke opptatt av å fastsette den totale effekten som en endring i én gitt organisatorisk faktor har på risikoen. Da måtte vi også hatt kjennskap til hvordan de organisatoriske faktorene påvirker de øvrige parametrene i risikomodellen.) Det som vi ønsker at lekkasjemodellen skal gi svar på er: 1. Hvilke organisatoriske faktorer påvirker lekkasjefrekvensen (de viktigste faktorene)? 2. Hvordan påvirker de lekkasjefrekvensen (de viktigste sammenhengene)? 3. Hvor mye påvirker de lekkasjefrekvensen (kvantitativt)? Dette representerer utgangspunktet for etablering av lekkasjemodellen.

3.3 Opphold på Statfjord A I uke 35 besøkte vi Statfjord A. Hensikten med besøket var bl.a å gjøre oss bedre kjent med plattformen, organisasjonen og arbeidsrutiner ombord. En annen viktig hensikt var å få gått igjennom alle de 20 lekkasjehendelsene for Statfjord A i perioden 1997-99 med driftspersonell for å få bedre innsikt i hva som hadde skjedd (hendelsesforløp) og hva som hadde forårsaket hendelsene. Dette for å videreutvikle og kvalitetssikre lekkasjemodellen. Vi hadde på forhånd gjennomført en "første analyse" basert på RUH'ene (Rapportering av Uønsket Hendelse) og en tidlig versjon av den organisasjonsmodellen (lekkasjemodellen) som blir presentert i neste kapittel. Samtlige 20 lekkasjehendelser gikk vi igjennom sammen med relevant driftspersonell, inkludert befaring på de stedene hvor lekkasjene hadde oppstått. Hver lekkasje ble diskutert med den personellkategori/disiplin som hadde best kjennskap til hendelsen. Utgangspunktet for diskusjonen med driftspersonellet var utskrift av lang saksrapport fra Synergi for hver enkelt RUH. For noen av hendelsene ble tegningsunderlag gjennomgått og diskutert med prosessteknikere/ kontrollromsoperatører. Når det gjaldt organisering og arbeidsrutiner mer generelt diskuterte vi bl.a følgende: • Arbeidsplaner • Koordinering (handover mellom skift og plattformledelsesmøter) • SJA (Sikker Jobb Analyse) • AO (Arbeidsordre) • Sikkerhetsklarering • RUH (rapportering av uønskede hendelser) med plattformsjef, sikkerhetsleder, driftsleder, mekanisk leder og planlegger, strukturleder, TEA-leder, kontrollromsoperatører, prosessteknikere og brønnoperatør.

25

4 ÅRSAKSSAMMENHENGER - ÅRSAKSMODELL

4.1 Årsaksanalyse Den organisatoriske modellen kan etableres med basis i ulykkes-/hendelsesdata, generell organisasjonsteori og/eller spesifikk kunnskap om den aktuelle organisasjonen. Alle de eksisterende rammeverkene, for kvantifisering av effekten av organisatoriske faktorer på risikoen, har basert sine organisatoriske modeller på en eller flere av de ovenfor nevnte utgangspunktene. (Eventuelt så anvender de en tidligere etablert organisatorisk modell som igjen baserer seg på de samme nevnte utgangspunktene.) Vi har på basis av en analyse av de eksisterende rammeverkene og de behov/krav vi har til den organisatoriske modellen kommet til at vi fortrinnsvis vil forsøke å etablere en spesifikk organisatorisk modell basert på årsaksanalyse av lekkasjedata, samt noe kunnskap om den spesifikke organisasjonen og generell organisasjonsteori. (Se metoderapporten kap. 3 for en detaljert evaluering – spesielt kap. 3.3.1.) Med en spesifikk organisatorisk modell sikter vi først og fremst til det at den er avgrenset i omfang, kun knyttet til lekkasjefrekvensen, og dermed kan gjøres spesifikk (for lekkasje-frekvensen) sammenliknet med modeller som forsøker å dekke alle parametre i en risikomodell. Modellen bør også, av hensyn til troverdighet, være "spesifikk" for den aktuelle organisasjonen, men det betyr ikke nødvendigvis at modellen er uegnet for andre organisasjoner (og i så måte også kan benyttes som en generell modell – generell i betydningen "egnet for alle organisasjoner"). Årsaker til lekkasjer kan angis på ulike nivå, og vi kan betrakte en lekkasjemodell bestående av en "struktur" (et antall nivå) og klassifiseringer på hvert nivå. De ulike nivåene i modellen representerer til en viss grad en årsakskjede og dermed en slags ulykkes- eller hendelsesmodell. Denne er illustrert i Figur 10.

Hva(svikter/ lekker)

Hvem(utførende)

Hvem(styrende)

Lekkasje

Parameter/feilmodeFront-linje personellAnsvarlig/tilretteleggendepersonell

Komponent/utstyr

Hendelse

Analyse-retning

Figur 10 Utgangspunkt for etablering av lekkasjemodell ("struktur")

Figur 10 representerer "ryggraden" i lekkasjemodellen og består av tre trinn foruten selve lekkasjehendelsen. ("Ekstern lekkasje" er en av feilmodene til det utstyr som kan lekke, mens "lekkasjefrekvensen" er parameteren i risikomodellen.) Påvirkningen går fra venstre mot høyre, men analyseretningen er som ved ulykkesgranskinger fra høyre mot venstre. Det er også denne analyseretningen som anvendes ved nyere forskning

26

innenfor organisatoriske faktorers påvirkning på sikkerheten/risikoen. Tidligere – og særlig ved etablering av sikkerhetsindikatorer – benyttet man seg av motsatt analyseretning. (Se forøvrig kap. 5.5.6 i litteraturstudierapporten, Øien & Sklet, 1999c). Første trinn består av de komponenter eller det utstyr hvor lekkasjer kan oppstå. Andre trinn består av det front-linje personell som kan forårsake (evt. ikke forhindre) at lekkasjer i komponenter og utstyr inntreffer. Tredje, og for oss viktigste, nivå er de organisatoriske forhold/ faktorer som utgjør "tilretteleggingen" slik at front-linje personellet skal kunne utføre det nødvendige arbeidet på en korrekt og sikker måte slik at lekkasjer ikke oppstår. Denne tilretteleggingen er det "ledelsen" som er ansvarlig for. For oss er det sentrale spørsmålet hvilke organisatoriske faktorer som har medvirket til lekkasjer, inklusive kombinasjoner av 2 eller flere faktorer ("samspill"). De mellomliggende trinnene (første og andre trinn) benytter vi først og fremst som hjelpemiddel til å avdekke de bakenforliggende organisatoriske årsaksfaktorene. Det er derfor ikke veldig kritisk (for oss) om disse trinnene ikke er "helt optimale". Det finnes en hel rekke alternativ til de 2 trinnene vi har valgt som mellomliggende trinn, men det finnes ingen fasit for hvilke og hvor mange trinn som er det optimale. Målet er å få etablert en "brukbar" modell ift. hva vi skal bruke den til. For en mer detaljert diskusjon om dette, se metoderapporten kap. 4.3. Hvilken klassifisering/modellering vi har anvendt for de ulike trinnene er angitt i Figur 11.

Hva(svikter/ lekker)

Hvem(utførende)

Hvem(styrende)

Lekkasje

Parameter/feilmodeFront-linje personellAnsvarlig/tilretteleggendepersonell

Komponent/utstyr

Hendelse

Analyse-retning

Aktuelt lekkasje-punkt utstyr

(iht. OLF)

De disipliner somforårsaker lekkasjer(“hovedfunksjoner”)

Basert på årsaks-analyser med basisi RUH’er (Synergi)

Figur 11 Klassifisering av de enkelte nivå i lekkasjemodellen

For det utstyr som kan lekke har vi benyttet en klassifisering som ligger nært opp til den klassifisering som OLF (Oljeindustriens Landsforening) benytter i sine 3-årlige lekkasjerapporter (Petcon, 1999). Vi benytter fem kategorier. Disse er: • Ventiler • Flenser og rørskjøter • Rør • Instrument og instrumentrør • Annet Front-linje personellet har vi først delt inn i de disipliner som har vist seg å forårsake lekkasjer under drift på Statfjord A. Deretter har vi samlet disiplinene i "hovedfunksjoner" for operasjon av

27

en installasjon som Statfjord A, og som er viktig mht. prosesslekkasjer. Disse hovedfunksjonene (og tilhørende disipliner) er: • Drift (driftsoperatører/prosessteknikere) • Brønnoperasjon (brønnoperatører) • Korrigerende vedlikehold (mekanikere, TEA3 (tele, elektro og automasjon), V&M4) • Forebyggende vedlikehold (mekanikere, TEA, V&M, driftsoperatører/prosessteknikere) For vedlikehold har vi valgt å skille mellom korrigerende vedlikehold (KV) og forebyggende vedlikehold (FV)5, fordi det ofte er helt forskjellige årsaksforklaringer til hvorvidt lekkasjer har oppstått under korrigerende vedlikehold eller som følge av mangelfullt forebyggende vedlikehold. Når det gjelder årsaksklassifisering av det siste nivået (de organisatoriske faktorene), så er det svært få lekkasjedatakilder som inkluderer organisatoriske årsaksfaktorer. De går normalt ikke så langt bak i årsakskjeden. (Se kap. 4.6 i metoderapporten for nærmere detaljer om dette.) Et alternativ kunne være å analysere hendelser med basis i de granskingsrapporter som foreligger for lekkasjehendelsene. Også dette alternativet er prøvd og beskrevet i metoderapporten (kap. 4.5), men konklusjonen er at det er svært vanskelig å fastslå hvilke organisatoriske årsaksfaktorer som har medvirket til hendelsene, selv med granskingsrapporter av hendelsene tilgjengelig. For Statfjord A er imidlertid ikke situasjonen "helsvart". For lekkasjehendelser, som for alle øvrige hendelser, så rapporterer man disse i RUH’er som videre registreres i hendelses-rapporteringssystemet Synergi. Synergi benytter ILCI-modellen (International Loss Control Institute – modellen), også kjent som "tapsårsaksmodellen", som en underliggende modell. Denne krever årsaksangivelse på flere nivå inklusive bakenforliggende årsaksfaktorer av typen "organisatoriske faktorer". I Synergi/ILCI betegnes dette nivået "mangelfulle styringselement". Når lekkasjehendelser rapporteres på Statfjord A (som ellers i Statoil og også enkelte andre selskap), må man altså fylle ut en RUH, og man er "tvunget" til å ta stilling til bakenforliggende årsaksfaktorer gjennom avkryssingen av "mangelfulle styringselement" (samt de øvrige mer direkte årsaksfaktorer). I og med at vi har valgt å basere etableringen av lekkasjemodellen på årsaksanalyser, så er RUH’ene et naturlig utgangspunkt, og vi blir "nødt" til å forholde oss til den modell rapporteringssystemet bygger på, nemlig ILCI-modellen. Samtidig som det er en styrke (også for oss) at man gjennom Synergi er "tvunget" til å ta stilling til bakenforliggende årsaksfaktorer, er det samtidig et potensielt problem for oss at vi dermed er "tvunget" til å forholde oss til en underliggende modell. Hvorvidt det faktisk er et problem, avhenger av flere forhold, bl.a.: 1. Om modellen er godt egnet for lekkasjehendelser 2. Om årsaksfaktorene er godt definert (bl.a at de ikke påvirker hverandre på samme nivå) 3. Om avkryssingen er "korrekt" og godt kvalitetssikret Uten å gå i detalj her må vi (dessverre) konkludere med at vi har et faktisk problem. Dette skyldes bl.a at ILCI-modellen ikke er laget spesielt for lekkasjehendelser. Den er tvertimot svært generell. Årsaksfaktorene er generelt sett (og de bakenforliggende årsaksforholdene i særdeleshet) lite

3 For TEA er det primært instrumentteknikere som er involvert i prosesslekkasjer. 4 For V&M (vedlikehold og modifikasjon) er det primært mekanikere som er involvert i prosesslekkasjer. 5 Begrepene 'Forebyggende Vedlikehold' og 'Preventive Maintenance' og de tilhørende forkortelsene FV og PM brukes om hverandre i denne rapporten.

28

presist definert, noe som også bidrar til at avkryssingen ikke blir "tilfredsstillende" (iallefall ikke til vår bruk). Dette er utdypet i metoderapporten kap. 3.3.1. På bakgrunn av dette har vi valgt å etablere en klassifisering av de organisatoriske faktorene som delvis baserer seg på avkryssingen av de 2 siste nivåene i ILCI-modellen, samtidig som vi har forsøkt å kvalitetssikre avkryssingen ("reanalysere" hendelsene) i RUH’ene. Dette er bl.a gjort gjennom befaringer og diskusjoner med personell ombord på Statfjord A (ref. kap.4.2). Vi har også benyttet en plattformsjef fra Gullfaks A til å hjelpe til med tolkingen av hendelsene. Vi har derfor basert årsaksanalysen vår på et antall tidligere hendelser og det granskingsarbeid som forelå for disse, men samtidig forsøkt å kvalitetssikre den delen av granskingen som har omhandlet de organisatoriske faktorene. Vi har i disse analysene også basert oss på de tiltak som er foreslått gjennomført etter hendelsene, fordi tiltakene også er relatert til hva som har vært årsakene. Årsaksanalysen med basis i hendelser fra Statfjordfeltet og Gullfaksfeltet resulterte i et foreløpig utkast til lekkasjemodell. Utkastet er senere modifisert noe basert på uttesting. Utviklingen av modellen har skjedd i flere trinn, og vi anser det som lite hensiktsmessig å referere de ulike versjonene som har foreligget før den endelige versjonen. (I kap. 4.5 og 4.6 vil vi forsøke å synliggjøre at modellen "passer" for de fleste lekkasjehendelser som har inntruffet på Statfjord A. Noen av hendelsene er de samme som lå til grunn for utviklingen av modellen, men de fleste gjorde ikke det.) Når det gjelder betegnelsene vi benytter for de organisatoriske faktorene så har vi bevisst valgt å benytte vår egen avgrensede definisjon/fortolkning av de ulike faktorene. Disse er derfor ikke overensstemmende med ILCI-elementene, men de er fortsatt noe "farget" av ILCI-betegnelsene. Årsaksanalysen viste at de organisatoriske faktorene som er sentrale ifm. lekkasjehendelser er: • Individfaktor (oppmerksomhet/konsentrasjon) • Opplæring/kompetanse • Prosedyrer, SJA, retningslinjer, instrukser • Planlegging, koordinering, organisering, kontroll • Design • PM-program/inspeksjon En kort-versjon av fortolkningen til hver av faktorene er som følger: - Individfaktoren er en "knagg" til å henge "tabber" på (når det er gjort en åpenbar tabbe, og

er egentlig ikke en "ordentlig" organisatorisk faktor). - Med "opplæring/kompetanse" mener vi den opplæring og erfaring som er nødvendig for at

det utførende personell skal kunne gjøre jobben sin uten å forårsake lekkasjer. - Med "prosedyrer, SJA, retningslinjer, instrukser" mener vi all skriftlig (og evt. muntlig)

informasjon som beskriver hvordan jobben skal utføres på en korrekt og sikker måte. - Med "planlegging, koordinering, organisering, kontroll" mener vi den "tilrettelegging"

som arbeidsledere/planleggere har ansvar for å påse blir ivaretatt slik at lekkasjer unngås. Kontrollaspektet er spesielt viktig som barrierefunksjon.

29

- Med "design" mener vi den fysiske utformingen/sammenstillingen av utstyr (prosess- og annet utstyr). Designet må være slik at anlegget kan drives og vedlikeholdes uten at lekkasjer oppstår.

- Med "PM-program" mener vi programmene (aktiviteter og intervaller) for alt planlagt

vedlikehold (inkl. inspeksjon) som utføres for å forhindre at feil (som igjen kan resultere i lekkasje) skal inntreffe.

Modellen blir da som vist i Figur 12.

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



Hva(svikter/lekker)

Hvem(utførende)

Hvem(styrende)

Front-linje personell/hovedfunksjoner

Lekkasje

Komponent/utstyr Parameter/feilmode

Hendelse

Ansvarlig/tilretteleggendepersonell

Figur 12 Etablering av lekkasjemodell

En nærmere forklaring av modellen, spesielt de organisatoriske faktorene (venstre del), er gitt i kap. 4.3.

4.2 RUH’er, befaring, diskusjoner mm. Før oppholdet på Statfjord A hadde vi utarbeidet en av de siste versjonene av lekkasjemodellen (ikke veldig ulik den i Figur 12), og benyttet denne for de 20 lekkasjehendelsene på Statfjord A som inntraff i perioden 1997-99. Disse er angitt i Tabell 2.

30

Tabell 2 Lekkasjehendelser Statfjord A 1997-99.

Nr Dato RUH Modul Beskrivelse 1 09.01.97 129385 CD17M Lekkasje fra flotasjonscelle pga overtrykk 2 04.03.97 132028 CD17M Lekkasje fra flotasjonscelle pga trykkoppbygging 3 16.05.97 136144 CD2 Lekkasje ifm drenering av prøve-loop ved skifte av ball 4 25.06.97 138091 M3 Lekkasje fra blokkventil ifm testing av DHSV 5 27.06.97 138466 CD3A Lekkasje i ventilhus til blokkventil pga defekt O-ring 6 23.10.97 146056 M8 Lekkasje i pakkboks for SWAB-ventil 7 04.12.97 148557 M7 Lekkasje gjennom åpen drainventil fra prøveskap 8 09.01.98 150637 CD12 Lekkasje fra kuleventil pga lekk O-ring 9 07.03.98 154115 M8 Lekkasje fra slange fra brønnoverhalingsutstyr 10 31.05.98 160621 CD17M Lekkasje fra flotasjonscelle pga. trykkoppbygging 11 20.06.98 162184 CD8 Lekkasje i Graylock-kopling pga defekt/tæret tetningsring 12 27.06.98 162388 M8 Lekkasje gjennom wireline lubrikator 13 20.08.98 167151 M11 Lekkasje i spindel på bypass-ventil 14 15.11.98 28161 CD3A Lekkasje gjennom grease-nippel på ventil 15 26.11.98 29482 CD8 Lekkasje pga at man løsnet en blinding 16 12.01.99 31591 US7-68m Lekkasje fra skjøt (strobe-kopling) mellom to rør 17 13.06.99 44316 M8 Lekkasje i kopling til avblødningsslange til fakkelsystemet 18 11.07.99 46475 CD3B Lekkasje gjennom smørenippel til blokkventil 19 10.09.99 50165 CD18 Lekkasje i pakning i endelokk på gasskjøler 20 01.12.99 56210 M4A Lekkasje fra pakkboks til kompressorventil

Vi forsøkte altså å innpasse eller illustrere hver av de 20 lekkasjehendelsene i lekkasjemodellen. Forståelsen/fortolkningen av hendelsene baserte seg på RUH’ene (lang saksrapport i Synergi), samt diskusjoner med plattformsjef på Gullfaks A. Et av formålene med oppholdet på Statfjord A var å kontrollere om hendelsene var rimelig korrekt gjengitt i lekkasjemodellen, og eventuelt korrigere beskrivelsen og/eller modellen. For hver enkelt av de 20 lekkasjehendelsene foretok vi en befaring på det stedet der lekkasjen hadde inntruffet, sammen med en fra den personellgruppen (disiplinen) som hadde forårsaket/ medvirket til lekkasjen. Enkelte av hendelsene ble i tillegg diskutert med kontrollroms-operatørene. Basert på befaringen/diskusjonene på Statfjord A, nye diskusjoner med plattformsjef Gullfaks A, møter med OD og innspill fra referansegruppen har vi kommet frem til den foreliggende lekkasjemodellen.

4.3 Kvalitativ lekkasjemodell Etableringen av den kvalitative lekkasjemodellen er beskrevet tidligere, og resultatet er som vist i Figur 13. Her vil vi komme litt nærmere inn på de organisatoriske faktorene i modellen (venstre del).

31

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



Figur 13 Den kvalitative lekkasjemodellen

Med "individfaktor" mener vi feilhandlinger av type "enkel tabbe". Feilen (tabben) skyldes ikke mangelfull opplæring, forståelse eller jobbeskrivelser (prosedyrer, instrukser, etc.). Denne faktoren er litt "diffus" og vi har valgt å stiple den av flere grunner. For det første kan det være vanskelig å avgjøre om det er gjort en glipp/tabbe av f.eks en prosesstekniker eller om det er "gode grunner for dette", dvs andre årsaksforklaringer. For det andre så inneholder denne et utall av varianter som det er svært vanskelig å avdekke (uoppmerksom, ukonsentrert, umotivert, etc.), og det er dermed også vanskelig både å måle samt forebygge. Grunnen til at den allikevel er tatt med skyldes en fundamental misoppfatning av ILCI-modellen som årsaks-modell. Dersom det er begått en tabbe som følge av f.eks konsentrasjonssvikt/forglemmelse, så blir det galt å si at årsaken til tabben var f.eks mangelfull kontroll av arbeidsleder. Det er ikke arbeidsleder som har forårsaket tabben, men han kunne derimot ha forhindret at tabben "fikk lov til" å resultere i en lekkasje dersom han hadde sørget for at arbeidet ble kontrollert. I dette tilfellet, og i svært mange andre tilfeller er ikke de organisatoriske faktorene å betrakte som årsaker, men heller som barrierer. Tabber vil alltid komme til å inntreffe, men det kan ikke aksepteres at en enkelt tabbe skal resultere i en alvorlig hendelse som en gasslekkasje. I noen tilfeller vil derfor "individ-faktoren" være eneste "virkelige" årsak til tabben, mens det kan være flere barrierer som har sviktet. Det ser imidlertid litt merkelig ut dersom det kun angis sviktende barrierer som årsak til hendelsen. Vi vil derfor benytte "individ-faktoren" som en "knagg" til å henge tabber på, men vi vil ikke trekke med oss denne faktoren i kvantifiseringen6. 6 Dette har ikke konsekvenser for kvantifiseringen fordi slik vi betrakter denne faktoren så vil det alltid være minst én annen faktor som også må ha sviktet. Det går selvsagt an å følge utviklingen av denne faktoren ved en direkte registrering av antall gang denne har medvirket til lekkasjer (datagrunnlaget er imidlertid nokså lite).

32

De øvrige 5 faktorene har vi skilt i 2 "grupper". De 3 øverste er sidestilt, mens de 2 nederste betraktes å ligge på et annet nivå. Dette kan lettest illustreres ut i fra Figur 14.

Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



Arbeids-ledelse

Hvem(utførende)

Hvem(styrende)

PLS

Rapp. oganalyse avlekkasjer

Driftsstøtte land

- Teknisk ansvar- PM ansvar

OS-SFA

Anmodn.

DVT

(Kjernegrupper)

PD-SF

Plattformledelse

(HMS)

Vurd. av taps-foreb. arbeid

Figur 14 De organisatoriske faktorene påvirkes av ulike nivå i organisasjonen

De 3 øverste faktorene ("opplæring/kompetanse", "prosedyrer, SJA, retningslinjer, instrukser", og "planlegging, koordinering, organisering, kontroll") er faktorer som plattformledelsen generelt og arbeidslederne (driftsleder, mekanisk leder, brønnleder, strukturleder, etc.) i særdeleshet har ansvaret for. De 2 nederste faktorene ("design" og "PM-program/inspeksjon") er i større grad styrt fra landorganisasjonen. I Figur 13 (og Figur 14) er derfor de 2 nederste faktorene forskjøvet noe ift. de 3 øverste. Med "opplæring/kompetanse" mener vi den opplæring som er nødvendig for at det utførende personell skal kunne gjøre jobben sin uten å forårsake lekkasjer (altså ikke opplæring i sin alminnelighet). Med bakgrunn i de lekkasjehendelsene som har inntruffet og hvor mangelfull opplæring/kompetanse har vært medvirkende årsak, så vil dette ofte dreie seg om systemforståelse, kunnskap om det utstyr (de system) man har ansvaret for å operere/ vedlikeholde. Dette er spesifikk kunnskap som i stor grad må gis på arbeidsstedet av arbeidsleder og/eller arbeidskollegaer eller opparbeides i form av erfaring. Et hovedansvar for at tilstrekkelig opplæring blir gitt er det arbeidsleder som har. Med "prosedyrer, SJA, retningslinjer, instrukser" mener vi all skriftlig (og evt. muntlig) informasjon som beskriver hvordan jobben skal utføres på en korrekt og sikker måte. For en konkret jobb vil det variere hvorvidt det eksisterer spesifikke prosedyrer, om det må utføres en SJA (med eller uten prosedyrer for deler av jobben), om det kun er gitt generelle retningslinjer,

33

eller om det er gitt instrukser. Også her har vi hovedfokus på den jobbinformasjon som skal forhindre at lekkasjer kan oppstå. Med "planlegging, koordinering, organisering, kontroll" mener vi den 'tilrettelegging' som arbeidsledere/planleggere har ansvar for å påse blir ivaretatt slik at lekkasjer unngås. Det er ikke gitt at arbeidsleder selv skal foreta kontrollen, men han har ansvaret for å "planlegge inn"/"organisere for" kontroll. Det kan planlegges for bruk av sjekklister/egenkontroll og/eller jobben kan organiseres slik at 2 kollegaer utfører jobben sammen (og dermed kontrollerer hverandre). Kontrollaspektet av denne faktoren er spesielt viktig som barrierefunksjon, fordi det er det eneste forholdet som i tid kommer etter (feil-) utførelsen, og dermed kan rette opp en feil. Med "design" mener vi den fysiske utformingen/sammenstillingen av utstyr (prosess- og annet utstyr). "Dårlig" design kan være medvirkende årsak til at lekkasjer inntreffer. I utgangspunktet skal en installasjon være designet for å oppnå den ønskede pålitelighet ("reliability"), driftsdyktighet ("operability") og vedlikeholdsvennlighet ("maintainability"). Det betyr at PM-program, driftsprosedyrer og vedlikeholdsprosedyrer må være tilpasset den eksisterende designløsningen. Men, det er ikke alle design-svakheter som avdekkes før en installasjon settes i drift, og dersom et tiltak (etter en lekkasjehendelse) går ut på å endre design (utføre en modifikasjon), så betrakter vi dette som at designet har vært "dårlig" og er medvirkende årsak til hendelsen. Dette tyder på for dårlige analyser i designfasen, for dårlig uttesting før idriftsettelse og/eller "uheldige" modifikasjoner gjort etter idriftsettelse. Spesielt kritikkverdig vil gjentakende lekkasjehendelser som skyldes samme design-svakhet være. Med "PM-program/inspeksjon" mener vi programmene (aktiviteter og intervaller) for alt planlagt vedlikehold (inkl. inspeksjon) som utføres for å forhindre at feil (som igjen kan resultere i lekkasje) skal inntreffe. Mange lekkasjer skyldes at ventiler og flenser "bare begynner å lekke" pga. bl.a dårlige pakninger fordi det ikke foretas noe PM, dvs de får gå til de feiler/lekker.

4.4 Bruken av lekkasjemodellen Vi har i kap. 3.2 sagt at vi ønsker at lekkasjemodellen skal gi svar på: 1. Hvilke organisatoriske faktorer påvirker lekkasjefrekvensen (de viktigste faktorene)? 2. Hvordan påvirker de lekkasjefrekvensen (de viktigste sammenhengene)? 3. Hvor mye påvirker de lekkasjefrekvensen (kvantitativt)? Dette representerte utgangspunktet for etableringen av lekkasjemodellen. Når nå den kvalitative lekkasjemodellen foreligger så gir den svar på de 2 første spørsmålene ovenfor, men det gjenstår ennå å gi svar på hvor mye de organisatoriske faktorene påvirker lekkasjefrekvensen kvantitativt. Det er dette vi nå ønsker at lekkasjemodellen skal hjelpe oss til å gi svar på. Mer konkret så ønsker vi svar på hvor mye en endring i tilstanden til de organisatoriske faktorene påvirker/endrer lekkasjefrekvensen og derigjennom risikoen. Lekkasjemodellen ("den organisatoriske modellen") utgjør kun 1. trinn i rammeverket vårt, ref. Figur 4. Vi gjentar her trinnene/elementene i rammeverket i Tabell 3 nedenfor.

34

Tabell 3 De 8 trinnene/elementene i rammeverket

Organisatorisk modell/organisatoriske faktorer

Bedømming av tilstanden til faktorene ("rating")

Bedømming av effekten til faktorene ("vekting")

Aggregeringsmetode (algoritme)

Modelleringsteknikk

Kopling til risikomodellen

Tilpasning av risikomodellen

Rekvantifisering av risikoen

1

2

3

4

5

6

7

8

Spesifikk modell basert på årsaksanalyse

Fåtall indikatorer, 5-10 forankrede tilstander

Data-drevet vekting og ekspertvurdering

Håndtering av samspillseffekter iht. BN

Bayesiansk nettverk - BN

Viktigste parameter uten kontroll via tekn. ind.

Viktigste parametre mht. potensiell endring i risiko

Relativ endring i risiko

ORIM - Organisatorisk Risiko-Influens Modell

De neste trinnene i rammeverket har med kvantifiseringen å gjøre. Trinn 6-8 omhandler koplingen av den organisatoriske modellen til risikomodellen via lekkasjefrekvensen og er beskrevet i kap. 3.2. Trinn 5 har med valg av modelleringsteknikk å gjøre. Uten at vi har utdypet dette tidligere, så er Figur 12 (og Figur 13 og Figur 14) laget som et Bayesiansk nettverk og som er den modellerings-teknikken vi har valgt å benytte. For en diskusjon rundt valg av modelleringsteknikk, se kap. 3.3.5 i metode-rapporten. Den kvalitative lekkasjemodellen er imidlertid ikke et "egentlig" Bayesiansk nettverk før man inkluderer kvantifiseringen. For å kunne kvantifisere effekten av endringer i de organisatoriske faktorene må vi først være i stand til å måle endringen i tilstandene til faktorene (trinn 2). Dette skal skje med bruk av indikatorer. Dernest må vi vite effekten/styrken av en gitt endring i faktortilstander på lekkasjefrekvensen (trinn 3). Til slutt trenger vi "en regel" for hvordan vi skal aggregere effekten av samtidig endring i tilstand til flere organisatoriske faktorer (trinn 4). Som vi skal komme tilbake til i kap. 7, så vil den kvalitative lekkasjemodellen forenkles noe før vi benytter den i kvantifiseringen. Dvs. at den kvantitative lekkasjemodellen er en forenklet versjon av den kvalitative modellen. Den kvalitative modellen danner utgangspunktet for den kvantitative modellen, men når vi først går i gang med selve kvantifiseringen så kan vi oppfatte lekkasjemodellen som en "død" modell (en statisk modell), og vi trenger strengt tatt ikke benytte den noe mere (annet enn at den altså ligger til grunn for kvantifiseringen). Vi kunne valgt å basere trinn 3 ("vekte-prosessen") på rene ekspertvurderinger, men vi ønsker også å forsøke å anvende "data" til vektingen. Til denne data-drevne vektingen så trenger vi å anvende den kvalitative lekkasjemodellen, og det har vi gjort for 92 lekkasjehendelser på Statfjordfeltet (perioden 1997-99). Ved å se på hvilke kombinasjoner av organisatoriske faktorer som har medvirket til de 92 lekkasjehendelsene kan vi (via statistiske analyser) si noe om "styrken" (vekten) til hver av de organisatoriske faktorene og kombinasjoner av disse. Det er altså kun for trinn 3 (vektingen) at vi har et behov for den kvalitative lekkasjemodellen, og vi fastsetter vektene "en gang for alle". Det er også mulig å anvende den kvantitative modellen som en dynamisk modell, hvor vi lar nye lekkasjehendelser som inntreffer få lov til å påvirke de vektene som ble fastsatt i utgangspunktet. Vektene endres dermed etterhvert som vi får inn ny informasjon, og til dette behøver vi også den kvalitative modellen! Hver ny lekkasjehendelse må årsaksanalyseres med bruk av den kvalitative lekkasjemodellen. Hvilke organisatoriske faktorer som avdekkes å ha medvirket til lekkasjen vil da påvirke/endre vektene. Dette vil komplisere kvantifiseringen noe, men vil over tid være mer korrekt.

35

Det å analysere enkelthendelser vha. lekkasjemodellen kvalitativt trenger vi altså til: A. Databasert vekting B. Fortløpende oppdatering av vektene (dynamisk modell) (For punkt A kunne vi som nevnt klart oss med ekspertvurderinger, og dermed ikke behøvd å anvende den kvalitative modellen, og for punkt B kunne vi valgt å benytte en statisk modell, og heller ikke da behøvd å anvende den kvalitative modellen.) Bruken av den kvalitative modellen til å analysere/beskrive enkelthendelser har vi gitt eksempler på i neste kapittel. Den kvalitative lekkasjemodellen kan også benyttes som et hjelpemiddel under førstegangs utfylling av en RUH for en lekkasjehendelse. Vedkommende ansvarlige arbeidsleder, sikkerhetsleder eller plattformsjef kan før møtet hvor RUH’en gjennomgås første gang ha skissert hendelsen ved bruk av lekkasjemodellen. Dette vil sikkerhetsleder i neste omgang kunne ha som underlag ved avkryssingen av ILCI-elementene for "mangelfull styring". En slik anvendelse av lekkasjemodellen vil oppfylle punkt B ovenfor, men vil også kunne ses på som en anvendelse helt separat fra en eventuell kvantifisering. Lekkasjemodellen kan på denne måten betraktes som et delresultat i seg selv helt uavhengig av om man går videre med en kvantifisering eller ikke.

4.5 Eksempler på anvendelse av den kvalitative lekkasjemodellen Alle de 20 lekkasjehendelsene på Statfjord A i perioden 1997-99 er beskrevet/analysert vha. lekkasjemodellen. Vi vil her vise 4 eksempler, som hver dekker svikt i én av "hovedfunksjonene" drift, korrigerende vedlikehold, forebyggende vedlikehold og brønnoperasjon. En analyse av alle 20 hendelsene er gitt i Vedlegg 1.

4.5.1 Lekkasje under driftsoperasjon Figur 15 viser en lekkasjehendelse i prøve-loopen i modul CD2 som skyldtes at driftsoperatør/ prosesstekniker ikke lot vannet renne lenge nok ut over toppen av loopen til closed drain under gassfriing av loopen. Dermed kom det noe gass ut til open drain når den siste resten skulle tømmes. SJA er utarbeidet for jobben, men det står ikke angitt hvor lenge dreneringen til closed drain skal/bør pågå. Normalt burde dette allikevel unngås, men vi vet ikke hvor erfaren/uerfaren vedkommende operatør/prosesstekniker var (erfaring fra denne modulen), evt. om dette skyldtes utålmodighet, "glipp", dårlig konsentrasjon etc. Uansett årsak så ville en bedre kontroll kunne avdekket feilen og forhindret lekkasjen. Figuren (den kvalitative lekkasjemodellen) illustrerer at en mangelfull SJA samt manglende kontroll tilsammen medvirket til at en feil ble begått (og heller ikke oppdaget umiddelbart) av en driftsoperatør/prosesstekniker under gassfriing av prøve-loopen. Dette resulterte da i en gasslekkasje i modul CD2 hvor prøve-loopen er plassert. Hadde SJA’en vært bedre eller kontrollen vært bedre så kunne lekkasjen vært unngått. Men det er ikke gitt at lekkasjen hadde vært unngått. (Modellen er ingen deterministisk modell.)

36

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 16.05.97

Lar ikke vannet rennelenge nok til closed drain

under gassfriing av loopen

Bedre kontroll;arb.led. eller 2

operatører

(Kan kanskjeskje lettere for

en som eruerfaren)

Står ikke i SJAhvor lenge

dreneringenbør pågå

Prøve-loop

CD2

Figur 15 Eksempel på lekkasje under driftsoperasjon

4.5.2 Lekkasje under korrektivt vedlikehold Den 26.11.98 oppstod det en lekkasje i modul CD8 fordi en mekaniker åpnet en trykksatt blindflens på et 2"-rør til vent fra tanken i CD8. Dette gjorde han uten at han hadde fått klarsignal fra prosesstekniker, noe som skyldtes mangelfull koordinering/kommunikasjon ifm. handover samt at han ikke fulgte SJA’en. De medvirkende årsakene til lekkasjehendelsen er illustrert i Figur 16.

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 26.11.98

Åpnet flens før han haddefått OK

SJA ikke fulgt

Mangelfullkoord./komm.

(ved handover)

Blindflens på 2"-rør til vent fra tanken i CD8

CD8

Figur 16 Eksempel på lekkasje under korrektivt vedlikehold

37

4.5.3 Lekkasje som følge av mangelfullt forebyggende vedlikehold Den 25.06.97 begynte blokkventil til brønn A-40 i modul M3 å lekke under testing av DHSV. Lekkasjen oppsto i pakkboksen til ventilen. Det foretas ikke noe for å forebygge denne type feil (ikke noe PM-program). Det eneste som kan forhindre denne type lekkasje er PM (FV). Hendelsen er illustrert i Figur 17.

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 25.06.97

Under testing av DHSV bleblokkventilen stengt. Fikkda lekkasje i pakkboks.

Ikke noe PM pådenne type

ventil

Blokkventil til brønn A-40

M3

(Pakkboks ikketilstrekkeligettertrekt?)

Figur 17 Eksempel på lekkasje som følge av mangelfullt forebyggende vedlikehold

4.5.4 Lekkasje under brønnoperasjon Den 07.03.98 strømmet det gass ut gjennom avblødningsslange fra brønnoverhalingsutstyr til fakkelsystem i modul M8 (gass i retur). Dette skyldtes at brønnoperatør hadde glemt å stenge av ventilene inn til fakkelsystemet. Ved samtidig avblødning til fakkel et annet sted kom gassen ut gjennom avblødningsslangen som lå på dekket ved siden av brønnoverhalingsutstyret. Check-ventilen i enden av slangen (som ikke skal betraktes som tilstrekkelig barriere) holdt heller ikke tett. At ventilene ikke ble avstengt skyldes mest sannsynlig en ren forglemmelse, muligens også en mangelfull forståelse av fakkelsystemet. Også i dette tilfellet ville bedre kontroll kunne forhindret at denne enkle forglemmelsen resulterte i en lekkasje. Hendelsen er illustrert i Figur 18.

38

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 07.03.98

Glemt å stenge av ventilerinn til fakkelsystem (etter

brønnoverhaling)

Stengeventiler til fakkelsystem. (Check-ventil for slange holdt ikke tett).

M8

Mangelfull forståelse forat samtidig avblødningkan finne sted, samt atcheck-ventilen ikke er

god nok barriere.

Manglendekontroll

Figur 18 Eksempel på lekkasje under brønnoperasjon

4.6 Annen utprøving OD har benyttet lekkasjemodellen i forbindelse med planlegging og gjennomføring av tilsyn med rapportering av hydrokarbonlekkasjer på Statfjord B og Statfjord C. Lekkasjemodellen ble benyttet som grunnlag for gjennomgang av 4 rapporteringspliktige lekkasjer fra hver av plattformene, altså totalt 8 lekkasjer. For 5 av disse lekkasjene forelå det egen granskingsrapport. Modellen ble benyttet som grunnlag for å vurdere Statoils utfylling av RUH'er og granskings-rapporter mht til i hvor stor grad bakenforliggende årsaksforhold var identifisert og relevante tiltak foreslått. OD fant modellen godt egnet som grunnlag for gjennomgang av hendelsene for å finne de bakenforliggende årsakene til at lekkasjene oppsto og diskusjon av hendelsene med driftspersonell. Plattformsjef på Gullfaks A har benyttet lekkasjemodellen ved gjennomgang av alle gasslekkasjer på Gullfaks A, B og C som fant sted i årene 1997, 1998, 1999 og første halvår 2000. Totalt dreide dette seg om 39 lekkasjer. Erfaringene fra denne gjennomgangen tilsier at lekkasjemodellen er enkel å bruke og godt egnet for vurdering av årsakene til gasslekkasjer. For enkelte hendelser kan det imidlertid være vanskelig å skille de organisatoriske faktorene "prosedyrer, SJA, retningslinjer, instrukser" og "planlegging, koordinering, organisering, kontroll", fordi de delvis kan betraktes som redundante. Gode prosedyrer minsker behovet for planlegging og omvendt. Skal lekkasjemodellen benyttes ifm gjennomgang av tidligere hendelser, forutsetter det imidlertid at det finnes en god beskrivelse av hendelsesforløpet, dvs en godt utfylt RUH med tilstrekkelig informasjon om hva som har skjedd og hva som har forårsaket hendelsen. Både OD og plattformsjef Gullfaks A opplevde at flere av RUH'ene inneholdt for lite informasjon til at man med stor grad av sikkerhet kunne fylle inn informasjon i lekkasjemodellen. Dette gjaldt både mht omfang av hendelsesbeskrivelsen og avkryssing av årsaker i RUH'en. De foreslåtte tiltakene var heller ikke alltid i samsvar med de årsakene som var identifisert.

39

5 ORGANISATORISKE FAKTORER

5.1 Utvelgelse av organisatoriske faktorer De organisatoriske faktorene som er valgt ut er de som har vist seg å medvirke enten som "årsak" eller som sviktende barriere, dvs at den kunne forhindret lekkasjen. Vi har også valgt å begrense faktorene til de viktigste. De faktorene som er valgt ut medvirker minimum til én lekkasje per år (basert på de 20 lekkasjehendelsene på Statfjord A i perioden 1997-99). Organisatoriske faktorer som har medvirket til lekkasje, men ikke er valgt ut, er slike som har medvirket til lekkasje kun 1 gang i løpet av 3-årsperioden. Nå kan det tenkes at det er forhold/faktorer som ivaretas godt idag og som derfor ikke har medvirket til lekkasjer, men som over tid kan vise seg å bli viktig. Dersom vi bruker "utvelgelses-kriteriet" ovenfor så kan vi som en tommelfingerregel si at dersom samme organisatoriske årsaksfaktor, som per idag ikke er inkludert i lekkasjemodellen, skulle vise seg å medvirke til lekkasjer mer enn 1 gang per år, så bør denne inkluderes som en faktor i lekkasjemodellen. Det er ikke gitt at lekkasjemodellen slik den nå er bør forbli slik "for evig og alltid", men samtidig så tyder den uttestingen vi har foretatt med denne modellen at den er nokså dekkende. (Likeledes kan det tenkes at organisatoriske faktorer som etterhvert blir godt ivaretatt og svært sjelden medvirker til lekkasjer bør tas ut av modellen. Det må fortrinnsvis da være faktorer hvor man har innarbeidet gode rutiner, og hvor redusert fokus ikke resulterer i en forverring igjen. Skulle det skje må man igjen ta faktoren inn i modellen.) Vi har altså konsentrert oss om den type organisatoriske faktorer hvor vi uten alt for store ressurser klarer å knytte disse til konkrete hendelser. Hadde vi brukt ressurser tilsvarende det Lord Cullen brukte på granskingen av Piper Alpha så er det selvsagt mulig å knytte mer "diffuse"/ "perifere" organisatoriske faktorer til en konkret hendelse. Slike ressurser har vi ikke (de blir kun lagt på bordet "den dagen det er for sent") og vi fanger dermed heller ikke opp påvirkningen disse "perifere" organisatoriske faktorene har på lekkasjefrekvensen direkte. Men vi er av den oppfatning at disse organisatoriske faktorene (f.eks "ledelsesengasjement", "sikkerhets-målsetting", etc.) ikke virker direkte på lekkasjefrekvensen, men at de virker gjennom de organisatoriske faktorene som er inkludert i lekkasjemodellen. I såfall fanger vi opp effekten av dem indirekte.

5.2 Beskrivelser av de organisatoriske faktorene De organisatoriske faktorene er gitt en generell beskrivelse i kap. 4.3. Her vil vi beskrive faktorene først og fremst ut ifra hva som har sviktet ved de erfarte lekkasjehendelsene og hva som dermed oppleves å være de viktigste aspekter ved de enkelte faktorene for Statfjord A. Det er disse aspektene vi i neste omgang vil forsøke å "måle" gjennom etablering av organisatoriske risikoindikatorer for Statfjord A. Selve risikoindikatorene kommer vi tilbake til i kap. 6.2.

40

5.2.1 Opplæring/kompetanse Denne faktoren inkluderer den opplæring som er spesielt viktig med tanke på å unngå at lekkasjer skal inntreffe. Den vil være forskjellig for de ulike disiplinene som kan (og har vist seg å) forårsake lekkasjer. Vi har derfor foreslått å måle denne faktoren gjennom 8 indikatorer hvorav 5 er rettet mot spesifikke disipliner. De 3 siste er "generelle" men gjelder fortsatt kun for det personell som erfaringsmessig har vist seg å kunne forårsake lekkasjer. Mangelfull opplæring/kompetanse har medvirket i 4 av 20 lekkasjer på Statfjord A. I 2 tilfeller var brønnoperatører involvert og i 2 tilfeller mekanikere. (I ytterligere et par tilfeller kan mangelfull opplæring/kompetanse ha vært medvirkende årsaker til lekkasje hvor prosessteknikere har vært involvert.) De aspekter av opplæring/kompetanse som vi måler er alle av typen "mengde" opplæring/ kunnskap. "Kvaliteten" er imidlertid vanskeligere å måle. Personell gjennomfører kurs, men hvor mye lærer de? Skulle man forsøkt å måle dette, måtte man f.eks eksaminere personellet. Dette gjøres ikke offshore, og dermed er det få muligheter for direkte måling av "kvaliteten". Innenfor kjernekraft eksamineres operatører (og de re-eksamineres jevnlig), men ved forsøk på å etablere korrelasjon mellom eksamensresultater og sikkerhet (via f.eks sikkerhetskritiske hendelser) har man ikke klart å påvise noen sammenheng (NRC, 1988).

5.2.2 Prosedyrer/SJA/retningslinjer/instrukser Denne faktoren inkluderer den skriftlige (og evt. muntlige) informasjon som er spesielt viktig med tanke på å utføre jobbene på en korrekt og sikker måte slik at lekkasjer unngås. For Statfjord A benyttes SJA "i stor stil" og er viktig for å hindre at lekkasjer skal inntreffe. Manglende utfylt SJA og/eller at SJA ikke følges er det aspektet av denne faktoren som for Statfjord A er i særklasse viktigst. Både "godheten" av de gjennomførte SJA’ene, omfanget av bruken av SJA og kontroll med kvaliteten på SJA’ene vil kunne påvirke dette aspektet av faktoren. Vi har konsentrert oss om SJA (for Statfjord A) og foreslått å måle dette aspektet (og forsåvidt denne faktoren) gjennom 4 indikatorer som alle er rettet mot SJA. Mangler med SJA har medvirket til 5 av 20 lekkasjer på Statfjord A. I 2 tilfeller burde mest sannsynlig SJA vært utført, i 1 tilfelle var ikke SJA’en god nok og i 2 tilfeller ble ikke SJA’en fulgt. I et tilfelle (utenom de 5 nevnte) hvor en lekkasje ble gransket fant man svært mange mangler ved SJA’en, men uten at dette hadde resultert i feil i selve arbeidsutførelsen. Ikke i noen tilfeller har lekkasjene skyldtes mangler ved prosedyrer, retningslinjer eller instrukser. Men som allerede nevnt er det en del "redundans" mellom disse slik at f.eks en god prosedyre kunne i et gitt tilfelle erstattet en SJA og dermed muligens forhindret at en for dårlig utført SJA resulterte i lekkasje.

5.2.3 Planlegging/koordinering/organisering/kontroll Denne faktoren inkluderer den "tilrettelegging" (inklusive tilrettelegging for kontroll) som er viktig å påse blir gjort slik at lekkasjer kan unngås. Denne "påse-plikten" eller ansvaret er det i særlig grad arbeidslederne som har. Det betyr ikke at det er de selv som eksempelvis skal forestå

41

planleggingen eller kontrollen, men de har ansvaret for å påse at dette blir gjort. Kontroll kan f.eks skje gjennom egenkontroll ved bruk av sjekklister. Kontrollbegrepet dekker i denne sammenheng altså både "prosesskontroll" (dvs. at arbeid utføres iht. arbeidsbeskrivelse) og "produktkontroll" (dvs. sluttkontroll). For Statfjord A er kontroll i særdeleshet det viktigste aspektet av denne faktoren. Mangler ved denne faktoren totalt sett har "medvirket" til (ikke forhindret) 12 av 20 lekkasjer, men av disse 12 har kontroll utgjort 10 alene! Det er faktisk grunn til å spørre seg om vi i vår kultur har "kontroll-vegring". Halvparten av alle lekkasjene på Statfjord A kunne vært unngått med bedre kontroll (egenkontroll, kontroll utført av kollega eller kontroll utført av arbeidsleder). Foruten de 10 tilfellene hvor mangelfull kontroll var medvirkende årsak til lekkasjer, så var det i ett tilfelle mangelfull koordinering gjennom manglende kommunikasjon ved handover og ett tilfelle mangelfull planlegging som forårsaket lekkasje. Måten arbeidet organiseres på vil indirekte kunne påvirke mulighetene for lekkasje bl.a gjennom kontrollaspektet. Dersom man organiserer arbeidet slik at 2 og 2 kollegaer utfører jobbene i sekvens istedenfor at hver enkelt utfører jobbene i parallell, så ivaretas samtidig en bedre kontroll med arbeidsutførelsen. (Man vil imidlertid neppe finne at en gransking av en lekkasjehendelse peker på dårlig organisering av arbeidet direkte.)

5.2.4 Design Denne faktoren dekker den fysiske utformingen/sammenstillingen av utstyr (prosess- og annet utstyr). Designet må være slik at anlegget kan drives og vedlikeholdes uten at lekkasjer oppstår. Dersom anlegget drives og vedlikeholdes på "normalt" vis og det likevel oppstår en lekkasje, og tiltaket etter hendelsen er en modifikasjon av anlegget, så oppfattes designet å ha vært for dårlig og dermed medvirket til lekkasjehendelsen. I 4 av 20 lekkasjer på Statfjord A har dårlig design vært medvirkende årsak. 3 av disse tilfellene er knyttet til samme system (overtrykk i closed drain og lekkasje ut gjennom lukene i flotasjonscellene). Ingen av lekkasjene har ene og alene skyldtes dårlig design. De har alle skjedd ifm. en tabbe eller forglemmelse begått av det aktuelle personellet, men de kunne vært unngått med et bedre design. Alle tilfellene skyldtes dårlig operérbarhet. Ingen skyldtes dårlig pålitelighet (f.eks underdimensjonering) eller dårlig vedlikeholdsvennlighet (f.eks vanskelig adkomst under vedlikehold). Det er en nær sammenheng mellom design og vedlikehold, og det kan i noen tilfeller være vanskelig å avgjøre hvorvidt den medvirkende årsaken var en for dårlig design i utgangspunktet eller et for dårlig forebyggende vedlikehold. Vi velger her å betrakte design som de "konstruksjonsmessige løsninger" som er valgt og som ikke kompenseres for gjennom økt mengde vedlikehold. Dersom en gjennom "uendelig mye mer" vedlikehold fortsatt ikke ville ha kunnet forhindre lekkasjen, så tilskrives dette dårlig design. Eksempelvis så vil underdimensjonering som fører til brekkasje tilskrives dårlig design, mens lekkasje som følge av korrosjon (selv om dette skyldes dårlig materialkvalitet) tilskrives mangelfullt forebyggende vedlikehold (fordi materialkvaliteten er gitt, og vedlikeholdet skal tilpasses dette). "Teknisk tilstand" er et begrep som er beslektet med "designtilstand", men teknisk tilstand påvirkes også av det vedlikehold som foretas, mens designtilstanden er upåvirket av vedlikeholdet. Kun modifikasjoner kan påvirke designtilstanden.

42

Dersom driften av anlegget er eksakt det samme over tid, så skulle designsvakhetene lukes ut etterhvert og designtilstanden i så måte forbedres kontinuerlig, men måten å "utnytte" det opprinnelige designet på endres over tid og spørsmålet er hva som skal være "referansepunkt". Vi betrakter det slik at designet må være egnet til den til enhver tid aktuelle/valgte bruk. Dette innebærer at en noe endret bruksmåte kan "fremtvinge" til nå ukjente designsvakheter. Designtilstanden relativt til aktuell bruksmåte av anlegget vil derfor kunne endre seg i både positiv og negativ retning. Vi er ute etter å måle designtilstanden i den grad dette påvirker muligheten for lekkasje. Dette kan imidlertid gi begrensninger i datatilfanget.

5.2.5 PM-program/inspeksjon Denne faktoren utgjør de aktiviteter som skal forhindre at feil (som igjen kan resultere i lekkasje) skal inntreffe. Dette dekker forebyggende vedlikehold inklusive inspeksjon. Også for inspeksjon gjelder at feil skal kunne avdekkes før en lekkasje inntreffer. Her definerer vi lekkasje som "så stor" at den resulterer i en RUH. Eksempelvis så vil svært små utslipp gjennom pakkbokser være "naturlig"/"tillatelig", men disse skal oppdages gjennom inspeksjon og ettertrekkes før utslippet blir så stort at det rapporteres i en RUH. Ialt 9 av 20 lekkasjer er knyttet til PM (manglende eller mangelfullt). I 6 av de 9 tilfellene var manglende (ikke utført) PM eneste årsak til lekkasjen, noe som gjør denne faktoren unik sammenliknet med de øvrige faktorene. Den representerer en "enkeltbarriere" i dette henseende. I de 3 øvrige tilfellene var mangelfull PM medvirkende årsak (hvorav 2 tilfeller skyldtes feil utførelse av PM). 7 av tilfellene kunne vært unngått med hyppigere forebyggende vedlikehold (utskifting eller inspeksjon). Av disse 7 skyldtes 4 dårlig inspeksjon (3 av disse var lekkasje i pakkbokser). Vi ønsker å måle tilstanden til denne faktoren i den grad dette påvirker muligheten for lekkasje. Vi har derfor fokus på det utstyr hvor lekkasje kan oppstå, og det forebyggende vedlikehold som utføres på dette utstyret. Vi skiller mellom det forebyggende vedlikehold hvor man endrer på tilstanden (ved f.eks utskifting av en pakning) og det forebyggende vedlikehold hvor man kun følger opp tilstanden (tilstandsbasert vedlikehold og inspeksjon) inntil tilstanden avdekkes å være slik at en korreksjon må foretas. Mengde tilstandskontroll (forutsatt at dette ikke krever demontering) kan økes "uendelig" uten at dette får negative konsekvenser. Dette gjelder 4 av de 9 lekkasjetilfellene hvor hyppigere inspeksjon kunne forhindret en utvikling til lekkasjetilstand. ("Godheten" av dette aspektet av PM kan derfor måles direkte som mengde utført vedlikehold). For forebyggende vedlikehold hvor det må gjøres et "inngrep" (f.eks utskifting av en pakning) så er situasjonen en annen. Her kan økt mengde vedlikehold også føre til økt mengde vedlikeholdsinduserte feil, og det er ikke ønskelig med en "uendelig" mengde forebyggende vedlikehold, heller ikke ut fra at sikkerhetssynspunkt. Vi kan derfor ikke måle godheten av dette aspektet av vedlikehold direkte som mengde forebyggende vedlikehold. Istedet kunne vi målt relativ mengde forebyggende vedlikehold (FV) i forhold til korrigerende vedlikehold (KV). Økt mengde FV må resultere i en relativt sett større reduksjon i KV. Men vi kan like gjerne måle mengde KV direkte fordi det er denne vi ønsker å minimalisere. At det har vært nødvendig å foreta KV betyr at feil (som igjen kan føre til lekkasje) "har fått lov til" å inntreffe, og det er dette vi ønsker å forhindre gjennom FV. Det er imidlertid for oss i denne sammenheng "uinteressant"

43

hvor mye FV man må investere i for å minimalisere KV. Dette er relevant for 3 av de 9 lekkasjetilfellene hvor økt mengde FV kunne forhindret lekkasje og dermed forhindret behov for KV. (Vi måler altså godheten av FV indirekte gjennom redusert mengde/"behov" for KV. NB! Vi snakker her om den type sikkerhetskritiske feil – lekkasjepotensiale – som "det aldri vil lønne seg å la gå til feil oppstår".)

5.3 Kvalitativ vurdering Uten at det er nødvendig med noen kvantifisering viser lekkasjehendelsene på Statfjord A i perioden 1997-99 at de 2 klart viktigste organisatoriske faktorene mht. medvirkning til lekkasjer er "kontroll-aspektet" av "planlegging, koordinering, organisering, kontroll", og mangelfullt "PM-program/inspeksjon". Eventuelle risikoreduserende tiltak bør derfor først og fremst rettes inn mot disse faktorene. Bedre kontroll kunne potensielt forhindret 10 av de 20 lekkasjene på Statfjord A, altså halvparten av alle lekkasjene! Som vi har vært inne på tidligere så dreier dette seg ikke primært om kontroll utført av arbeidsleder selv, men at han/hun "organiserer for kontroll". Dette kan eksempelvis skje gjennom at hver enkelt "kritisk" jobb utføres av mer enn én person alene, eller med bruk av sjekklister (som bl.a innenfor luftfart). Ansvaret for at arbeidet gjennomføres med tilstrekkelig grad av kontroll er det imidlertid arbeidsleder som har. Dette innebærer også at arbeidsledere i større utstrekning enn i dag bør gjennomføre stikkprøver av at den kontroll som allerede er "organisert inn" blir utført som tiltenkt, bl.a gjelder dette signering i SJA før, under og etter arbeidet. Arbeidsledere bør altså til en viss grad føre "kontroll med kontrollen", noe som igjen plattformsjef bør holdes orientert om. Ordet kontroll gir lett negative assosiasjoner, noe som delvis kan tilskrives "Taylorismen" hvor kontrollører skulle sjekke at jobbene ble utført "raskt nok" og "godt nok" osv. Vi har derfor en viss grad av "kontrollvegring". (Vi liker ikke å bli kikket over skulderen). Faren er imidlertid at vi "skyller ut babyen med badevannet", dvs vi kvitter oss med all form for kontroll, eller iallefall for mye ift. det vi av sikkerhetsmessige grunner bør ha. Den kontroll vi sikter til her er for å avdekke enkle misforståelser og glipp, som (i de fleste tilfeller) ikke har noe å gjøre med at vedkommende person ikke kan jobben sin. Det er rett og slett en erkjennelse av at det er menneskelig å feile, men at dette ikke bør få (lov til å) resultere i fatale konsekvenser (jfr. Åsta- og Sleipnerulykkene). Manglende eller mangelfullt forebyggende vedlikehold (inkl. inspeksjon) har medvirket til 9 av 20 lekkasjer. I 7 av tilfellene kunne lekkasje vært unngått med "bedre" forebyggende vedlikehold, men for 3 av disse 7 tilfellene måtte en økning i FV mest sannsynlig skjedd gjennom hyppigere inngrep/demontering som igjen gir potensiale for å introdusere feil under vedlikeholdet. Det er derfor ikke gitt at man ved å øke FV hadde unngått alle 3 lekkasjene samtidig som ingen "nye" hadde blitt introdusert. Sammenhengen mellom økt innsats og antall lekkasjer er derfor noe mer nyansert for "PM-program/inspeksjon" enn det er for "kontroll (med arbeidsutførelse)". Men hvis vi kun betrakter inspeksjonsdelen av det forebyggende vedlikeholdet, så er det (i likhet med kontroll med arbeidsutførelse) "utelukkende" en positiv sikkerhetsmessig sammenheng mellom innsats og potensialet for lekkasjer. Sett under ett så ville en bedre kontroll med både det tekniske systemet og "det menneskelige element" (front-linje personellet) potensielt kunne forhindret 13 av 20 lekkasjer. Det som er spesielt kritisk når det gjelder "PM-program/inspeksjon" er at man kan betrakte det fysiske systemet (rør, tanker, ventiler, etc. som omslutter gassen – "containment") som den eneste barrieren dersom PM-programmet er mangelfullt (evt. helt fraværende). Det kan nærmest

44

sammenliknes med sprekker i hjulakslingene på togmateriell dersom man ikke foretar ultralyd-kontroll. Ekstra tankevekkende er det at det som forårsaker lekkasjene ofte er utenfor plattformens direkte kontroll (man er delvis "prisgitt" den eksisterende design og det design-ansvar som ligger på land), samtidig som at PM-program/inspeksjon også i stor grad styres fra land. Som en arbeidsleder på Statfjord A sa det, så er det ikke den arbeidsutførelse de selv har kontroll med som bekymrer mest, derimot så er "skrekkscenariet" at det bare plutselig oppstår en lekkasje i et rør (f.eks som følge av korrosjon på et sted man ikke hadde tenkt seg, eksempelvis i isolerte gjennomføringer i gulv og vegger). Selv om disse kvalitative betraktningene gjelder Statfjord A, så er det ingenting som skulle tilsi at dette er unikt for Statfjord A. Det vil tvertimot være overraskende om ikke denne situasjonen er nokså generell for oljeinstallasjonene i Nordsjøen.

45

6 ORGANISATORISKE RISIKOINDIKATORER

6.1 Hensikt De organisatoriske risikoindikatorene benytter vi som et hjelpemiddel for å kunne si noe om hvordan lekkasjefrekvensen utvikler seg, både hvorvidt den øker eller avtar, og hvor mye den eventuelt øker/avtar. Dermed kan vi også si noe om hvordan risikonivået utvikler seg, dvs lekkasjefrekvensens bidrag til risikoendring. Utviklingen av lekkasjefrekvensen (og dermed også risikoen) fastsettes av både tilstanden til de organisatoriske årsaksfaktorene og den effekt/påvirkning disse har på lekkasjefrekvensen. Det er imidlertid kun det første forholdet (dvs. tilstanden til de organisatoriske faktorene) som vi anvender risikoindikatorer for å bedømme. De organisatoriske risikoindikatorene benytter vi altså som et redskap for tilstandsbedømming av de organisatoriske faktorene. Denne tilstandsbedømmingen skal skje regelmessig (kvartalsvis) og bør fortrinnsvis være lagt slik til rette at selve målingen ikke tar for mye tid og ressurser. Vi har derfor basert oss på observasjoner/registreringer, og ikke intervju, spørreskjema, etc. Samtidig er det viktig at indikatorene er troverdige (og "valide"), dvs at de faktisk måler de aspekter av den tilhørende faktoren som har vist seg å være medvirkende årsaker til lekkasjer. De bør være troverdige/valide hver for seg, og i sum bør de kunne dekke "alle" de viktigste aspektene til den tilhørende organisatoriske faktoren.

6.2 Forslag til organisatoriske risikoindikatorer for Statfjord A Vi er først og fremst interesserte i å "måle" de aspekter av de organisatoriske faktorene som har vist seg å ha innvirkning på lekkasjehendelsene. Én grunn til dette er selvsagt at det er enklere å avdekke hva som har gått galt, enn å vite hva som har fungert slik det skal og dermed ikke bidratt til lekkasjer. Dette innebærer imidlertid at det over tid kan "dukke opp" andre faktorer og/eller andre aspekter av de allerede inkluderte faktorene som medvirker til lekkasjer. Vi fokuserer imidlertid kun på de faktorer/aspekter som "per dato" utgjør "hovedproblemene". Dette innebærer også at de organisatoriske risikoindikatorene for Statfjord A er "spesifikke" for Statfjord A i den forstand at de dekker Statfjord A’s nåværende "hovedproblemer" hva angår lekkasjer. De er derfor på sett og vis "skreddersydd" for Statfjord A og ikke uten videre anvendbar for andre installasjoner. Enkelte faktorer inneholder flere aspekter som er delvis "redundant" på det vis at det kan være tilstrekkelig å håndtere ett aspekt på en god måte for at faktoren totalt sett ikke skal bidra til lekkasjer. Et eksempel på dette er prosedyrer versus SJA. Noen installasjoner benytter i stor grad prosedyrer og i mindre grad SJA, mens for andre er dette motsatt. For Statfjord A benyttes SJA i stor utstrekning, og er også det aspekt av den tilhørende faktoren som i det alt vesentlige har bidratt til lekkasjer på Statfjord A. Det er derfor viktigst å etablere indikatorer for SJA og mindre viktig å måle "godheten" av prosedyrene. For andre installasjoner kan dette være motsatt.

46

I og med at mange av aspektene i en og samme faktor kan ha slike overlappende funksjoner, så velger vi bevisst ikke å splitte opp en faktor i sine ulike aspekter. Dessuten kan man velge å tillegge en faktor aspekter som ikke nødvendigvis entydig fremgår av tittelen til faktoren, men som allikevel kan anses som naturlig tilhørende denne faktoren. Hver indikator er beskrevet etter samme oppsett som dekker følgende punkter: • Definisjon • Måling • Vurdering • Antakelser • Referanse Tabell 4 viser en opplisting av de foreslåtte organisatoriske risikoindikatorene for Statfjord A. Forslagene er utarbeidet i samarbeid med en plattformsjef fra Gullfaks A, men representerer kun forslag. Det er tilfeldig hvor mange forslag vi har kommet fram til per faktor.

Tabell 4 Organisatoriske risikoindikatorer

Organisatoriske faktorer Organisatoriske risikoindikatorer

ORI11 Andel prosessteknikere med formell systemopplæring ORI12 Gjennomsnittlig antall områder prosessteknikerne har opplæring i ORI13 Andel instrumentteknikere med kurs i rørkopling/ventiler ORI14 Andel mekanikere med kurs i flenstrekking ORI15 Andel mekanikere med pakningskurs ORI16 Gjennomsnittlig antall år erfaring på denne installasjonen ORI17 Gjennomsnittlig antall år erfaring totalt








6.2.1 Risikoindikatorer for opplæring/kompetanse ORI11 Andel prosessteknikere med formell systemopplæring Definisjon: Andel operatører (prosessteknikere) som har gjennomført formell systemopplæring

(iht. kompetanse- og opplæringsnorm for Statfjord) for det aktuelle området som de nå har ansvaret for.

Måling: Målingen finner sted blant de prosessteknikere som er offshore mot slutten av det

aktuelle kvartalet som målingen skal gjelde for. (Evt. blant alle fordi dette muligens også vil være det enkleste. Alle har 2-3 turer/kvartal og påvirker denne indikatoren.)

47

Vurdering: De lekkasjer som har funnet sted på Statfjord A (1997-99) og som kan tilskrives

mangelfull forståelse/kompetanse blant prosessteknikerne har skyldtes en mangelfull systemforståelse. Denne indikatoren er derfor rettet mot systemopplæring.

Antakelser: En måling på ett bestemt tidspunkt mot slutten av kvartalet er foreslått for å

forenkle registreringen. Det antas derfor at denne andelen er representativ for alle de prosessteknikerne som har vært offshore i løpet av kvartalet. (Dersom målingen gjelder alle prosessteknikerne er ikke dette noe problem.)

Referanse: Denne indikatoren er en omformulering av et tiltak foreslått i Spuns Tett, 1994. ORI12 Gjennomsnittlig antall områder prosessteknikerne har opplæring i Definisjon: Gjennomsnittlig antall områder hver operatør (prosesstekniker) har gjennomført

formell systemopplæring (iht. kompetanse- og opplæringsnorm for Statfjord). Måling: Målingen finner sted blant de prosessteknikere som er offshore mot slutten av det

aktuelle kvartalet som målingen skal gjelde for. (Evt. blant alle.) Vurdering: I likhet med forrige indikator er også denne indikatoren rettet mot system-

opplæring. Antakelser: En måling på ett bestemt tidspunkt mot slutten av kvartalet er foreslått for å

forenkle registreringen. Det antas derfor at denne andelen er representativ for alle de prosessteknikerne som har vært offshore i løpet av kvartalet. (Dersom målingen gjelder alle prosessteknikerne er ikke dette noe problem.)

Referanse: Denne indikatoren er foreslått i dette prosjektet. ORI13 Andel instrumentteknikere med kurs i rørkopling/ventiler Definisjon: Andel instrumentteknikere som har gjennomført kurs i rørkopling/ventiler.

(Alternativt de som har eksternt fagbrev som dekker dette, dersom kurset ennå ikke er igangsatt.)

Måling: Målingen finner sted blant de instrumentteknikere som er offshore mot slutten av

det aktuelle kvartalet som målingen skal gjelde for. (Evt. blant alle.) Vurdering: Ingen av de lekkasjer som har funnet sted på Statfjord A (1997-99) kan tilskrives

mangelfull opplæring i rørkopling/ventiler blant instrumentteknikere, men dette er foreslått som tiltak i SpunsTett.


forenkle registreringen. Det antas derfor at denne andelen er representativ for alle de instrumentteknikere som har vært offshore i løpet av kvartalet. (Dersom målingen gjelder alle er ikke dette noe problem.)

Referanse: Denne indikatoren er en omformulering av et tiltak foreslått i Spuns Tett, 1994.

48

ORI14 Andel mekanikere med kurs i flenstrekking Definisjon: Andel mekanikere som har gjennomført kurs i flenstrekking. Måling: Målingen finner sted blant de mekanikere som er offshore mot slutten av det

aktuelle kvartalet som målingen skal gjelde for. (Evt. blant alle.) Vurdering: I allefall én av de lekkasjene som har funnet sted på Statfjord A (1997-99) kan

tilskrives mangler ved flenstrekkingen. Hvorvidt vedkommende mekaniker hadde eller ikke hadde kurs i flenstrekking vet vi ikke. Vi kan derfor ikke direkte tilskrive lekkasjehendelser til manglende opplæring i flenstrekking. Dette er imidlertid også et tiltak som er foreslått i SpunsTett. (En mekanisk leder på en installasjon oppfattet både kurs i flenstrekking og pakningskurs til å være viktige mhp. å unngå lekkasjer, og at det er en sammenheng mellom denne opplæringen og mulighetene for å få lekkasjer.)


forenkle registreringen. Det antas derfor at denne andelen er representativ for alle de mekanikere som har vært offshore i løpet av kvartalet. (Dersom målingen gjelder alle er ikke dette noe problem.)

Referanse: Denne indikatoren er en omformulering av et tiltak foreslått i Spuns Tett, 1994. ORI15 Andel mekanikere med pakningskurs Definisjon: Andel mekanikere som har gjennomført pakningskurs. Måling: Målingen finner sted blant de mekanikere som er offshore mot slutten av det

aktuelle kvartalet som målingen skal gjelde for. (Evt. blant alle.) Vurdering: Det er flere av de lekkasjer som har funnet sted på Statfjord A (1997-99) som er

knyttet til pakninger (3 x O-ring/pakningsring), men disse kan ikke direkte tilskrives manglende gjennomføring av pakningskurs blant mekanikere og V&M-personell.


forenkle registreringen. Det antas derfor at denne andelen er representativ for alle de mekanikere som har vært offshore i løpet av kvartalet. (Dersom målingen gjelder alle er ikke dette noe problem.)

Referanse: Denne indikatoren er foreslått i dette prosjektet. ORI16 Gjennomsnittlig antall år erfaring på denne installasjonen Definisjon: Gjennomsnittlig antall år erfaring blant relevant personell (dvs. prosessteknikere,

mekanikere, instrumentteknikere og brønnoperatører) på den aktuelle installasjonen, i den aktuelle jobben og/eller i det aktuelle området.

49

Måling: Målingen finner sted blant det relevante personellet som er offshore mot slutten av det aktuelle kvartalet som målingen skal gjelde for. (Evt. blant alle.)

Vurdering: Dette er et aspekt som vi ikke har kunnet knytte direkte til noen av hendelsene,

men det er også slik at vi ikke kjenner til hvor lang erfaring den/de involverte i en lekkasjehendelse har hatt i den aktuelle jobben på det tidspunkt som heldelsen fant sted. Det er derfor kun en antatt sammenheng mellom erfaringen og muligheten for å forårsake lekkasjer. (Hvor sterk vekt man legger på denne sammenhengen styres gjennom fastsettelsen av indikatorvektingen.)


forenkle registreringen. Det antas derfor at dette gjennomsnittet er representativt for gjennomsnittet for alt det relevante personellet som har vært offshore i løpet av kvartalet. (Dersom målingen gjelder alle er ikke dette noe problem.)

Referanse: Denne indikatoren er foreslått i NUREG/CR-5241 (NRC, 1988). ORI17 Gjennomsnittlig antall år erfaring totalt Definisjon: Gjennomsnittlig antall år erfaring blant relevant personell (dvs. prosessteknikere,

mekanikere, instrumentteknikere og brønnoperatører) totalt, uansett installasjon, jobb og område.

Måling: Målingen finner sted blant det relevante personellet som er offshore mot slutten av

det aktuelle kvartalet som målingen skal gjelde for. (Evt. blant alle.) Vurdering: Dette er et aspekt som vi ikke har kunnet knytte direkte til noen av hendelsene,

men det er også slik at vi ikke kjenner til hvor lang erfaring den/de involverte i en lekkasjehendelse har hatt totalt sett på det tidspunkt som heldelsen fant sted. Det er derfor kun en antatt sammenheng mellom den totale erfaringen og muligheten for å forårsake lekkasjer. (Hvor sterk vekt man legger på denne sammenhengen styres gjennom fastsettelsen av indikatorvektingen.)


forenkle registreringen. Det antas derfor at dette gjennomsnittet er representativt for gjennomsnittet for alt det relevante personellet som har vært offshore i løpet av kvartalet. (Dersom målingen gjelder alle er ikke dette noe problem.)

Referanse: Denne indikatoren er en tilpasning av et forslag i NUREG/CR-5241 (NRC, 1988). ORI18 Andel av relevant personell som har deltatt i faglig utvikling Definisjon: Andel av relevant personell (dvs. prosessteknikere, mekanikere,

instrumentteknikere og brønnoperatører) som har deltatt i faglig utvikling, eksempelvis deltatt i faglige "workshops" eller satt seg inn i "Beste Praksis".

Måling: Målingen finner sted blant det relevante personellet som er offshore mot slutten av

det aktuelle kvartalet som målingen skal gjelde for. (Evt. blant alle som har vært offshore i løpet av kvartalet.)

50

Vurdering: Dette er et aspekt som vi ikke har kunnet knytte direkte til noen av hendelsene. Det er derfor kun en antatt sammenheng mellom faglig oppdatering/utvikling og muligheten for å forårsake lekkasjer. (Hvor sterk vekt man legger på denne sammenhengen styres gjennom fastsettelsen av indikatorvektingen.) Denne indikatoren skal dekke kontinuerlig faglig "påfyll", og må derfor kun gjelde siste kvartal. (Den kan derfor ikke sammenliknes med kurs som man tar én gang, evt. repeterer etter noen år.)


forenkle registreringen. Det antas derfor at denne andelen er representativ for alt relevant personell som har vært offshore i løpet av kvartalet.

Referanse: Denne indikatoren er foreslått i dette prosjektet.

6.2.2 Risikoindikatorer for prosedyrer, SJA, retningslinjer, instrukser ORI21 Andel av relevant personell med formell opplæring i SJA Definisjon: Andel av relevant personell (dvs. prosessteknikere, mekanikere,

instrumentteknikere og brønnoperatører) som har formell opplæring i SJA. Måling: Målingen finner sted blant det relevante personellet som er offshore mot slutten av


Vurdering: Manglende opplæring i gjennomføring og bruk av SJA vil kunne påvirke både

kvaliteten i gjennomføring/utfylling, grad av bruk og hvorvidt man følger SJA’en under arbeidsutførelsen, altså alle de ulike "manglene" ved SJA som har medvirket til lekkasjer. (Mer opplæring gir mindre fremmedgjøring.)


forenkle registreringen. Det antas derfor at denne andelen er representativ for alt det relevante personellet som har vært offshore i løpet av kvartalet.

Referanse: Denne indikatoren er en omformulering av et tiltak foreslått i Spuns Tett, 1994. ORI22 Andel av relevant personell som har gjennomført SJA siste år Definisjon: Andel av relevant personell (dvs. prosessteknikere, mekanikere,

instrumentteknikere og brønnoperatører) som har gjennomført SJA siste år. Måling: Målingen finner sted blant det relevante personellet som er offshore mot slutten av


Vurdering: Manglende erfaring i gjennomføring og bruk av SJA vil kunne påvirke både

kvaliteten i gjennomføring/utfylling, grad av bruk og hvorvidt man følger SJA’en under arbeidsutførelsen, altså alle de ulike "manglene" ved SJA som har medvirket til lekkasjer.

51


forenkle registreringen. Det antas derfor at denne andelen er representativ for alt det relevante personellet som har vært offshore i løpet av kvartalet.

Referanse: Denne indikatoren er en omformulering av et tiltak foreslått i Spuns Tett, 1994. ORI23 Antall SJA gjennomført siste kvartal på installasjonen Definisjon: Antallet SJA som er gjennomført siste kvartal på installasjonen. Måling: Målingen gjelder alle SJA som er utført siste kvartal. Vurdering: Antallet SJA som gjennomføres sier direkte noe om grad av bruk (og påvirker

dermed muligheten for at ikke-utført SJA skal medvirke til lekkasje). I tillegg kan antallet SJA som gjennomføres indirekte påvirke hvorvidt man utfører en SJA godt nok, samt hvorvidt man følger SJA’en under arbeidsutførelsen.

Antakelser: Ideelt sett er det andelen SJA ift. "behovet" som skulle vært målt. Dette "behovet"

kan vi definere som den kritiske andelen av arbeidsordrene. Som en forenkling antar vi at denne kritiske andelen av arbeidsordrene er konstant over tid. Vi teller derfor kun antall SJA direkte uten å holde dette opp mot et vurdert "behov".

Referanse: Denne indikatoren er foreslått i dette prosjektet. ORI24 Hyppighet av kontroll med utarbeidelse/bruk av SJA) Definisjon: Hyppighet av kontroll med utarbeidelse og etterlevelse av SJA for de aktuelle

disiplinene. Måling: Gjennomsnittlig antall kontroller per kvartal for de aktuelle disiplinene (dvs.

prosessteknikere, mekanikere, instrumentteknikere og brønnoperatører). Vurdering: Kontroll med kvaliteten av utfyllingen av SJA samt at de etterleves gjennom

fortløpende kvittering for utførte deloppgaver påvirker 3 av de 5 forhold som medvirket til lekkasje på Statfjord A. Kontroll med at SJA blir gjennomført når det burde gjennomføres er vanskeligere å få til direkte, men dette forholdet ivaretas indirekte gjennom den foregående indikatoren (ORI23).

Antakelser: En gjennomsnittsbetraktning på tvers av de aktuelle disiplinene innebærer at vi

antar at alle disiplinene er like viktige mht. muligheten for å forårsake lekkasjer. Referanse: Denne indikatoren er en omformulering av et tiltak foreslått i Spuns Tett, 1994.

6.2.3 Risikoindikatorer for planlegging, koordinering, organisering, kontroll ORI31 Andel kritiske jobber utført med kontroll

52

Definisjon: Andel kritiske jobber (dvs. arbeid på hydrokarbonførende utstyr) utført av relevant personell (dvs. prosessteknikere, mekanikere, instrumentteknikere og brønnoperatører) med kontroll (egenkontroll/sjekkliste, arbeidskollega eller arbeidsleder).

Måling: Målingen finner sted blant det relevante personellet som en stikkprøve hvor en

tilfeldig valgt uke i løpet av kvartalet plukkes ut for hver disiplin (om nødvendig benyttes flere uker).

Vurdering: Grad av kontroll med kritiske jobber er et særdeles viktig forhold på Statfjord A for

å unngå lekkasjer. Antakelser: At stikkprøvene er representative for hele kvartalet. Referanse: Denne indikatoren er foreslått i dette prosjektet. ORI32 Andel inn- og utskrivinger av arbeidsordre i felt (på arbeidsstedet) Definisjon: Andel inn- og utskrivinger av arbeidsordre for kritiske jobber (dvs. arbeid på

hydrokarbonførende utstyr) utført av relevant personell (dvs. prosessteknikere, mekanikere, instrumentteknikere og brønnoperatører) som skjer i felt (på arbeidsstedet).

Måling: Målingen finner sted blant det relevante personellet som en stikkprøve hvor en

tilfeldig valgt uke i løpet av kvartalet plukkes ut for hver disiplin (om nødvendig benyttes flere uker).

Vurdering: Svikt i koordinering gjennom sviktende kommunikasjon ved handover har resultert

i én lekkasje (av 20) på Statfjord A. Inn- og utskrivinger av arbeidsordre i tidsrommet rundt handover kan føre til at dette ikke skjer på arbeidsstedet slik det skal. Generelt skal alle inn- og utskrivinger skje på arbeidsstedet.

Antakelser: At stikkprøvene er representative for hele kvartalet. Referanse: Denne indikatoren er foreslått i dette prosjektet.

6.2.4 Risikoindikatorer for design ORI41 Antall designrelaterte lekkasjer og tilløp til lekkasjer Definisjon: Antall lekkasjer og tilløp til lekkasjer i løpet av et kvartal hvor dårlig design har

vært medvirkende årsak. Måling: Alle lekkasjer og tilløp for hele kvartalet. Vurdering: Dårlig design har medvirket til lekkasjer, men dette inntreffer forholdsvis sjelden.

Ved å utvide datagrunnlaget til også å gjelde tilløp kan vi muligens få et "tilstrekkelig" datamateriale per kvartal. Vi må imidlertid operere med et (konstant) forholdstall mellom antall lekkasjer og antall tilløp. Sammenhengen er "rimelig

53

akseptabel", men dersom heller ikke tilløp er tilstrekkelig og vi eksempelvis må se på alle designfeil, så kan det være at sammenhengene begynner å bli "lite troverdige".

Antakelser: At forholdstallet mellom antall lekkasjer og antall tilløp forblir konstant. Referanse: Denne indikatoren er foreslått i dette prosjektet.

6.2.5 Risikoindikatorer for PM-program/inspeksjon ORI51 Mengde inspeksjon av lekkasjepunkt-utstyr7 Definisjon: Mengde inspeksjon foretatt på det utstyr som erfaringsmessig har vist seg å kunne

lekke ("lekkasjepunkt-utstyr"). Måling: Antall timer (evt. mann-uker eller tilsvarende) inspeksjon av lekkasjepunkt –utstyr

i løpet av kvartalet. Vurdering: Mengde inspeksjon påvirker muligheten for å avdekke feil (begynnende lekkasjer)

før de oppstår (blir "reell"). Mangelfull inspeksjon gjorde at 4 av 20 lekkasjer på Statfjord A ikke ble oppdaget/korrigert før lekkasjene fikk oppstå.

Antakelser: - Referanse: Denne indikatoren er foreslått i dette prosjektet. ORI52 Mengde korrigerende vedlikehold av lekkasjepunkt-utstyr Definisjon: Mengde korrigerende vedlikehold foretatt på det utstyr som erfaringsmessig har

vist seg å kunne lekke ("lekkasjepunkt-utstyr"). Dette gjelder KV etter lekkasje eller etter feil som kunne gitt lekkasje (tilløp).

Måling: Antall korrigerende vedlikeholdsinngrep på lekkasjepunkt-utstyr i løpet av

kvartalet. (Antall AO.) Vurdering: Få korrigerende vedlikeholdsinngrep indikerer et "optimalt" forebyggende

vedlikehold, altså et indirekte mål på "godheten" av (tilstanden til) det forebyggende vedlikeholdet. Et "ikke-optimalt" forebyggende vedlikehold (eksklusive inspeksjon) har forårsaket 3 av 20 lekkasjer på Statfjord A. Det er imidlertid ikke gitt at et "optimalt" FV ville resultert i en reduksjon fra 3 til 0 lekkasjer.

7 Statoil påpeker i en kommentar at normalt så er inspeksjons- og vedlikeholdsaktivitetene tilnærmet konstante år for år. Dette innebærer at denne indikatoren ikke er så spesielt godt egnet. Muligens kan man se på i hvilken grad man evner å gjennomføre den planlagte inspeksjonen (eller kanskje riktigere FV siden det er den visuelle inspeksjonen som del av FV som er mest interessant) i henhold til plan. (Dvs. den andel av 'årsprogrammet' som er planlagt gjennomført i det aktuelle kvartalet.) Problemet er at man godt kan holde planen, men allikevel kan dette vise seg 'utilstrekkelig' ved at lekkasjer oppstår. Det må nok arbeides mere for å finne en eller flere gode indikatorer som dekker inspeksjon.

54

Antakelser: - Referanse: Denne indikatoren er foreslått i dette prosjektet. Som en oppsummering har vi illustrert de organisatoriske risikoindikatorene i Figur 19.

Lekkasje



instrukser

Planl.,koord., org.,

kontroll

Design


Andel prosessteknikere med formell systemopplæring

Andel instrumentteknikere med kurs i rørkopling/ventilerAndel mekanikere med kurs i flenstrekkingAndel mekanikere med pakningskursGjennomsnittlig antall år erfaring på denne installasjonen

Andel av relevant personell som har deltatt i faglig utvikling

Andel av relevant personell med formell opplæring i SJAAndel av relevant personell som har gjennomført SJA siste årAntall SJA gjennomført siste kvartal på installasjonenHyppighet av kontroll med utarbeidelse/bruk av SJA

Andel kritiske jobber utført med kontrollAndel inn- og utskrivinger av arbeidsordre i felt (på arbeidsstedet)

Antall designrelaterte lekkasjer og tilløp til lekkasjer

Mengde inspeksjon av lekkasjepunkt-utstyrMengde korrigerende vedlikehold av lekkasjepunkt-utstyr

Gjennomsnittlig antall områder prosessteknikerne har opplæring i

Gjennomsnittlig antall år erfaring totalt

Figur 19 Organisatoriske risikoindikatorer for Statfjord A

6.3 Begrensninger De organisatoriske risikoindikatorene som er foreslått er avgrenset til de delaspekter av de organisatoriske faktorene som har vist seg å være et problem for Statfjord A. Men, selv om vi avgrenser oss til de viktigste aspektene til de organisatoriske faktorene, så er det en utfordring å skulle måle tilstandene på en troverdig/valid og dekkende måte. De foreslåtte risikoindikatorene kan ses på som et første forslag, og er på ingen måte en "uttømmende" analyse av mulige indikatorer. Ved en implementering må personell/ledelse på Statfjord A aktivt bidra i vurderingen av potensielle indikatorer. Om vi nå tenker oss at vi har fått frem alle tenkelige "kreative og gode" forslag til indikatorer gjennom aktivt bidrag fra personell/ledelse på Statfjord A, og vi fortsatt vurderer en eller flere av de organisatoriske faktorene til ikke å være godt nok dekket av indikatorer. At vi fortsatt har problemer med troverdighet/validitet og dekningsgrad. Hva gjør vi da? Vel, da kan vi (med den metodikk vi anvender) komplettere tilstandsbedømmingen av en organisatorisk faktor, som gjøres med indikatorer, med subjektive vurderinger utført av f.eks plattformledelsen. Dette vil bli beskrevet nærmere i kap. 7.6.3.

55

7 RISIKOMESSIG BETYDNING (for Statfjord A) Kvantifiseringsmetodikken ("prosessen") vil grovt sett bestå av følgende trinn:

1. Etablere kvantitativ modell (kap. 7.1) 2. Bedømme tilstanden til de organisatoriske faktorene (ratingen), (kap. 7.2) 3. Bedømme effekten/påvirkningen av de organisatoriske faktorene (vektingen), (kap. 7.3) 4. Beregne den aggregerte effekten på lekkasjefrekvensen (kap. 7.4) 5. Beregne effekten på risikoen (kap.7.5) 6. Diskutere resultatet (inkl. følsomhet av antagelser), (kap.7.6)

Først må vi imidlertid si noen ord om hva det er vi skal kvantifisere. Det vi ønsker å kvantifisere er hvordan lekkasjefrekvensen8 (som er en parameter i risikomodellen) utvikler seg fra kvartal til kvartal, noe som igjen gjør at vi kan si noe om hvordan risikoen utvikler seg fra kvartal til kvartal (relativ endring). I risikoanalysen bruker vi gjennomsnittlig antall observerte lekkasjer over en tidsperiode som estimat for lekkasjefrekvensen, og det er forsåvidt endring i denne vi er interessert i. Men, lekkasjefrekvensen er en variabel som vi ikke kjenner verdien til. Vi har informasjon om lekkasjer som gjør at vi kan "ha en tro om" hva denne verdien er. Hvis vi f.eks betrakter de 20 lekkasjene på Statfjord A over en 12 kvartals-periode, så er et vanlig estimat av lekkasjefrekvensen 20/12 dvs. 1.7 lekkasjer per kvartal. Dette er et estimat for den gjennomsnittlige "sanne" lekkasjefrekvensen (over 12 kvartals-perioden), som vi så kunne benyttet i risikoanalysen. Men, selv med såvidt mange lekkasjer over såvidt lang periode, så er det likevel bare 95% sikkert at vi har hatt en gjennomsnittlig lekkasjefrekvens på et sted mellom ca. 1.0 og ca. 2.6. Verdien 1.7 er bare et estimat, den "sanne" gjennomsnittlige lekkasjefrekvensen kan være et eller annet sted mellom 1.0 og 2.6 ("mest" sannsynlig). Dessuten vil lekkasjefrekvensen variere over tid. Hvis vi snur det hele "på hodet" og vi antar at vi kjenner den sanne lekkasjefrekvensen, hva skal vi da forvente å observere? Hva er det sannsynlige antallet lekkasjer? Vel, det er mange ulike antall (f.eks 0 eller 1 eller 2 eller 3, osv.) som alle har forholdsvis stor sannsynlighet for å inntreffe. Det er derfor nokså "tilfeldig" hva vi faktisk observerer. Vi kan derfor heller ikke trekke alt for "bastante" slutninger om hva den sanne lekkasjefrekvensen er, basert på at vi f.eks i forrige kvartal observerte 2 lekkasjer. Dette antallet kunne vi observert med svært så mange ulike "sanne" lekkasjefrekvenser. Vi velger istedet å legge mer vekt på hvordan de forhold som påvirker lekkasjefrekvensen endrer seg, dvs de organisatoriske årsaksfaktorene, enn på de faktisk observerte lekkasjene. Lekkasjefrekvensen påvirkes av hvor god "tilstanden" til de organisatoriske faktorene er, dvs. hvor godt organisasjonen ivaretar disse. Når disse endrer seg så vil også lekkasjefrekvensen endre seg. Når "sann" lekkasjefrekvens endrer seg over tid (kvartal til kvartal) kan den også oppfattes som en variabel. I prinsippet er den en kontinuerlig variabel (kan anta alle mulige verdier innenfor et

8 Noen vil foretrekke å benytte begrepet rate el. lekkasjerate, mens lekkasjefrekvens for mange relateres til noe som er et observert antall per tidsenhet (og som kan sammenfalle med forventningsverdien). Grunnen til at vi allikevel velger å bruke begrepet lekkasjefrekvens er at lekkasjerate også benyttes om 'utstrømmet mengde' målt i kg/s.

56

naturlig intervall på tallinjen). Vi kommer imidlertid til å forenkle dette noe ved å betrakte lekkasjefrekvensen som en diskret variabel med 5 verdier. Vi velger 5 ulike områder som er: 0-0.2, 0.2-2, 2-4, 4-6 og 6-8 [lekkasjer/kvartal]. (Over 8 vil vi ikke komme i forventningsverdi, noe vi skal se senere.) Selv om vi opererer med 5 intervall for lekkasjefrekvensen, så vil det være ulik sannsynlighet for hvilket intervall den befinner seg i, og denne sannsynligheten skal summere seg til 1. Vi vil derfor allikevel kunne få forventningsverdier som er "kontinuerlige", f.eks 1.67. Det er denne forventningsverdien vi nå oppfatter som den "sanne" verdien. I kvantifiseringen har vi dessuten gjort den "forenkling" eller tilpasning at vi gir hvert diskrete område én gitt verdi, som er hhv. 0.1, 1, 3, 5 og 7. Alle verdier innenfor et slikt intervall anses like sannsynlige og vi bruker midtpunktet som "verdi". Disse 5 verdiene kaller vi for lekkasjefrekvensens "tilstander". Vi kan betrakte tilstanden som "god" dersom lekkasjefrekvensen er "lav", eksempelvis tilstandsverdi 0.1, og "dårlig" dersom lekkasjefrekvensen er "høy", eksempelvis tilstandsverdi 7. Noe som kan virke litt forvirrende er at vi også har nummerert tilstandene fortløpende fra 1 til 5, hvor f.eks tilstand 1 da har tilstandsverdi 0.1, mens tilstand 2 har tilstandsverdi 1 (lekkasje per kvartal), osv. Det vi kommer til å beskrive i dette kapittelet er hvordan vi kan anslå en ny forventningsverdi for (sann) lekkasjefrekvens for hvert kvartal basert på informasjon om tilstandene til de organisatoriske faktorene og det observerte antall lekkasjer i kvartalet. Ut fra estimert "basisverdi" ("dagens verdi") for sann lekkasjefrekvens kan vi finne ut hvor mye den har endret seg, og ut fra dette kan vi finne hvor mye risikoen har endret seg (basert på følsomhetsanalyser med bruk av risikoanalysen). Tilstanden til de organisatoriske faktorene "måler" vi vha indikatorer og påvirkningen finner vi vha data-analyse eller ekspertvurdering. Beskrivelsen må nødvendigvis inneholde en del "tallbehandling", og for enkelte kan nok dette fortone seg noe uvant. En mulighet er da å hoppe direkte til bruk, nytteverdi og konklusjoner i kapittel 8.

7.1 Kvantitativ modellering med bruk av Bayesiansk nettverk

7.1.1 Bayesiansk nettverk generelt Et Bayesiansk Nettverk (BN) er et grafisk nettverk som representerer "probabilistiske" sammenhenger mellom variabler. (Dvs. at sammenhengene uttrykkes vha. sannsynligheter. De er ikke deterministiske ("fastsatte") slik som f.eks i et feiltre.) Navnet skyldes at den underliggende teorien er Bayesiansk sannsynlighetsteori (etter Thomas Bayes 1702-1761). Den nødvendige sannsynlighetsteorien har altså eksistert nokså lenge, men det er kun i løpet av de senere årene at de nødvendige algoritmene og programvare-verktøy har blitt utviklet slik at det er mulig å bygge realistiske modeller og utføre beregninger vha. disse. Bayesianske nettverk muliggjør resonnering under usikkerhet og kombinerer fordelene av en intuitiv visuell representasjon med en sunn matematisk basis i Bayesiansk sannsynlighetsteori.

57

Et BN er en spesiell type diagram (en graf) sammen med et tilhørende sett sannsynlighetstabeller. Grafen består av noder og piler hvor nodene representerer variabler og pilene årsaks-/relevans-sammenhenger mellom variablene. Den viktigste fordelen med BN er evnen til å representere og utføre beregninger i komplekse modeller som kanskje aldri hadde blitt gjennomført med konvensjonelle metoder. En annen fordel er at BN kan predikere hendelser basert på ufullstendige eller usikre data (som f.eks ekspert-vurderinger). For nærmere beskrivelse av Bayesianske nettverk, se metoderapporten (Øien & Sklet, 2001a).

7.1.2 Kvantitativ lekkasjemodell Utgangspunktet vårt er den kvalitative lekkasjemodellen beskrevet i kap. 4.3. Vi kunne benyttet denne også som vår kvantitative modell, men den største utfordringen med kvantifiseringen består i det å skulle etablere en sannsynlighetstabell for hver node i modellen, og det viser seg at dette er slett ikke helt enkelt (bl.a med tanke på troverdighet). Et annet navn som benyttes om BN er BBN (Bayesian Belief Network) hvor "Belief" (eller tiltro) henspeiler på at man kan legge inn eksperters "belief" i sannsynlighetstabellene (subjektive sannsynligheter), men det er minst 2 utfordringer knyttet til dette. Det første er at de fleste eksperter har vanskeligheter med å uttrykke sin kunnskap i sannsynligheter direkte. Deres kunnskap må "lokkes frem" ("elicitation") indirekte, hvoretter analytikerne omsetter dette til sannsynligheter. Den andre utfordringen er at uansett om ekspertene anslår sannsynlighetene direkte eller dette etableres indirekte (eller sågar vha. data), så må ikke-eksperter (eksempelvis beslutningstakere) ha tiltro til sannsynlighetstabellene. (Iallefall så må ekspertene selv ha tiltro til de sannsynlighetstabellene som er generert basert på deres kunnskap.) Mulighetene for å etablere rimelig troverdige sannsynlighetstabeller for de enkelte nodene har gjort at vi har funnet det hensiktsmessig å forenkle modellen slik at den kvantitative modellen utgjør en forenkling av den kvalitative modellen. Vi er først og fremst interessert i de organisatoriske årsaksfaktorene og velger å sløyfe de mellomliggende nivåene i modellen for kvantifisering. Den kvantitative modellen blir da som illustrert i Figur 20.

λ

OF1

OF2

OF3

OF4

OF5

Figur 20 Kvantitativ lekkasjemodell for Statfjord A

58

Vi går altså direkte fra de 5 organisatoriske årsaksfaktorene og til lekkasjefrekvensen λ. Lekkasje-frekvensen (eller "raten") er en ikke-observerbar ukjent størrelse som påvirkes av de 5 organisatoriske faktorene. De organisatoriske faktorene har "innflytelse" over λ, som igjen har innflytelse over det antall lekkasjer man faktisk observerer (per kvartal). Den kvantitative modellen kan vi derfor utvide til også å inkludere det faktiske antall observerte lekkasjer. Dette er illustrert i Figur 21.

λ

OF1

# Obs.

OF2

OF3

OF4

OF5

Figur 21 Det totale Bayesianske nettverket for lekkasjefrekvensen

Lekkasjefrekvensen er en stokastisk variabel som er en funksjon av de organisatoriske faktorene, dvs. λ=λ(OF1, OF2, OF3, OF4, OF5). Dersom vi har kunnskap om tilstanden til de organisatoriske faktorene, vil det gi oss en sannsynlighetsfordeling over de "tilstandene" λ kan innta. Selv om det er λ’en (ROCOFen – Rate of Occurrence of Failures/Leakages) som er "lekkasjeprosessens" underliggende "intensitet" og som påvirker det antall lekkasjer vi observerer i et kvartal, så vil også den informasjon vi har om antall observerte lekkasjer for den aktuelle perioden kunne påvirke vår tiltro til hvilken tilstand λ har hatt i gjennomsnitt i perioden. Antall observerte lekkasjer (som rapporteres i en RUH) vil være forholdsvis lavt per kvartal. Forventet antall er i størrelsesorden 1-2 per kvartal. Dette gjør at vi per kvartal vi oppleve at det er 0, 1, 2, 3 eller 4 lekkasjer (med ca. 97% sannsynlighet). At vi vil erfare 5 eller flere lekkasjer på Statfjord A per kvartal er lite sannsynlig (p=0.028 antatt en Poisson-fordeling). Dette baserer seg på en basisverdi for λ beregnet ut ifra antall lekkasjer på Statfjord A i perioden 1997-99. Antallet observerte lekkasjer per kvartal vil variere noe "tilfeldig" (for 1997 ble det observert hhv. 2, 3, 0 og 2 lekkasjer i de 4 kvartalene), og egner seg derfor ikke som en direkte risikoindikator. Vi velger istedet å betrakte den "underliggende" λ som noe som "forårsakes"/"fastsettes" av tilstanden til de organisatoriske faktorene, og vi "måler" λ indirekte via tilstanden til de organisatoriske årsaksfaktorene (vha risikoindikatorene). Det antall lekkasjer vi faktisk observerer vil være et resultat av den underliggende λ, men vi har ingen garanti for at den kvantitative modellen (inklusive styrken i sammenhengene) er "perfekt" og vi lar derfor også vår informasjon om antall observerte lekkasjer i siste kvartal påvirke λ. Ut fra sannsynlighetsfordelingen til lekkasjefrekvensen (som da fastsettes basert både på tilstanden til de organisatoriske faktorene og antall observerte lekkasjer) kan vi så finne forventningsverdien E(λ), som er den verdien vi benytter i risikomodellen.

59

Før vi kommer så langt må vi imidlertid etablere sannsynlighetstabellene for nodene. For de organisatoriske faktorene så er sannsynlighetstabellene ubetingede sannsynligheter for at faktorene befinner seg i en av 5 valgte tilstander. Dette beskriver hvor godt hver enkelt faktor ivaretas, dvs. "godheten" av hver faktor. Dette fastsettes gjennom en tilstandsbedømming ("rating") av faktorene, og er det vi skal anvende risikoindikatorene til. Gjennom å måle tilstanden til faktorene vha. indikatorer kan vi skaffe oss den informasjon som vi trenger (de ubetingede sannsynlighetstabellene) i kvantifiseringen. Dette er nærmere beskrevet i neste kapittel (kap. 7.2). Det neste vi trenger er den betingede sannsynlighetstabellen (cpt-conditional probability table) som sier oss hvor viktig de organisatoriske faktorene er for lekkasjefrekvensen. Hvilken "vekt" har de organisatoriske faktorene på lekkasjefrekvensen? Dette kan basere seg på data og/eller ekspertvurderinger, og etableres gjennom det vi betegner som "vekte-prosessen". Dette er nærmere beskrevet i kap. 7.3. Sannsynlighetene er her betinget på hvilken tilstand de organisatoriske faktorene har. Til slutt trenger vi også en betinget sannsynlighetstabell for den effekt lekkasjefrekvensen har for det antall lekkasjer vi observerer. Dette er imidlertid en langt mindre og enklere tabell enn den foregående. Også dette dekkes i den såkalte "vekte-prosessen". I Figur 22 har vi forsøkt å illustrere "kvantifiserings-prosessen". Hvis vi starter fra venstre, vil vi vha. de organisatoriske risikoindikatorene kunne fastsette tilstanden til hver av de organisatoriske faktorene. Disse påvirker lekkasjefrekvensen som beskrevet i den første betingede sannsynlighetstabellen. I tillegg vil det faktiske antall observerte lekkasjer påvirke (mot pilretningen) lekkasjefrekvensen. Dette resulterer i en sannsynlighetsfordeling over de tilstandene lekkasjefrekvensen kan ha, og som igjen danner grunnlaget for å beregne forventningsverdien til lekkasjefrekvensen E(λ). Endringen av denne ift. "nåværende" forventningsverdi gir oss (via risikomodellen) endring i risiko. Dette dekker kun endringer som følge av parameteren lekkasjefrekvens. De øvrige parameterene/RPF’ene kontrolleres gjennom andre mer direkte risikoindikatorer.

Risikomodell Risiko

Risiko-påvirkendefaktorer - RPF'er

Direkte risikoindikatorer - DRIλ

OF1

.

.

.

.

.

5

4

3

2

1 0

1

# Obs.

2 ('=1')

3 ('=3')

4 ('=5')

Tilstand til faktor OFi

DRI

E(λ)OF2

OF3

OF4

OF5

Fordeling over tilstander til λ

cpt: p(#obs.| λ)

cpt: p(λ|OFi)

2

3

4

≥5

1 ('= 0.1')

5 ('=7')

Antall observertelekkasjer

Figur 22 Kvantifiseringsprosessen

60

7.2 Tilstandsbedømming (rating) Bedømming av hvilken tilstand hver enkelt organisatorisk faktor har hatt i foregående kvartal skjer gjennom bruk av de organisatoriske risikoindikatorene. Hver organisatorisk faktor kan befinne seg i én av 5 mulige tilstander. Disse kan vi kvalitativt beskrive som: Tilstand 1: "Svært dårlig" Tilstand 2: "Dårlig" Tilstand 3: "Middels" Tilstand 4: "God" Tilstand 5: "Svært god" Ved vår anvendelse av risikoindikatorer "fastsetter" vi hvilken tilstand hver faktor var i under foregående periode, dvs. at vi bedømmer ("med 100% sikkerhet") hvilken tilstand faktorene var i. For hver faktor har vi én eller flere indikatorer, hvor enten én enkelt eller et sett med indikatorer skal fastsette en faktortilstand. For å gjøre dette enkelt har vi latt hver enkelt indikator "indikere" hvilken tilstand den enkelte faktor er i gjennom en "rating", for deretter å vekte sammen de individuelle ratingene (dersom det er mer enn én indikator). Den totale ratingen for hver enkelt faktor i blir ganske enkelt:

∑ ⋅=j

ijiji rvr (1)

hvor vij og rij utgjør hhv. vektene og ratingene til de j-individuelle indikatorene for faktor i. Summen av vektene for hver faktor skal være lik 1. Hver risikoindikator må ha en forankringsverdi for ytterpunktene i ratingskalaen. Eksempel på dette er vist i Figur 23.

Andel prosessteknikere med formell systemopplæring for aktuelt område 0.5 1.01 2 3 4 5

Måling

Forankringsverdier

Figur 23 Eksempel på forankringsverdier til rating-skalaen

Figur 23 illustrerer at vi ikke krediterer organisasjonen dersom de har en andel med system-opplæring som er lavere enn 50%, og at en maksimal rating på 5 kan oppnås dersom mer enn 90% har systemopplæring. Endelig forankring må fastsettes av (eller i samarbeid med) operatør-selskapet, og "tunes" ift. den gjennomsnittsbedømming man har gitt hele den aktuelle faktoren. I Figur 23 er det også illustrert at en måling har vist at 65% av prosessteknikerne har formell system-opplæring, og at dette gir en rating på 2. Dersom dette hadde vært eneste indikator for faktoren opplæring/kompetanse, så hadde den totale ratingen også blitt 2, dvs vi hadde bedømt faktor 1 til å være i tilstand 2 (’dårlig’).

61

I Figur 24 har vi vist forslagene til forankringsverdier for alle de foreslåtte risikoindikatorene.

Andel prosessteknikere med formell systemopplæring for aktuelt område

Andel instr.teknikere (TEA) med kurs i rørkopling/ventiler

Andel mekanikere med kurs i flenstrekking

Andel mekanikere og V&M-personell med pakningskurs

Gjennomsnittlig antall år erfaring blant personell på aktuell inst./jobb/område

Andel av personell som har deltatt i faglig 'workshop', eller lest 'Beste Praksis'

Andel av personell med formell opplæring i SJA

Andel av personell som har gjennomført SJA siste år

Antall SJA gjennomført siste kvartal (krit. andel av AO antas konstant)

Hyppighet av kontroll med utarbeidelse/bruk av SJA (antall kontroller perkvartal i gjennomsnitt for de aktuelle disiplinene)

Andel kritiske jobber utført med kontroll (sjekkliste, arb.kollega eller arb.leder)

Andel inn- og utskrivinger av arbeidsordre i felt (på arbeidsstedet)

Antall designrelaterte lekkasjer og tilløp til lekkasjer

Antall mann-uker (evt. timer) inspeksjon av lekkasjepunkt-utstyr

Antall korrigerende vedlikeholdsinngrep på lekkasjepunkt-utstyr

0.5 1.01 2 3 4 5

0.5 1.01 2 3 4 5

0.5 1.01 2 3 4 5

0.5 1.01 2 3 4 5

2 121 2 3 4 5

0.5 1.01 2 3 4 5

0.5 1.01 2 3 4 5

0.5 1.01 2 3 4 5

5 301 2 3 4 5

1 61 2 3 4 5

0 1.01 2 3 4 5

0.75 1.01 2 3 4 5

5 01 2 3 4 5

40 1401 2 3 4 5

25 01 2 3 4 5

Gjennomsnittlig antall år erfaring blant personell totalt 2 121 2 3 4 5

Gjennomsnittlig antall områder prosessteknikerne har opplæring i 1 61 2 3 4 5

ORI11

ORI12

ORI13

ORI14

ORI15

ORI16

ORI17

ORI18

ORI21

ORI22

ORI23

ORI24

ORI31

ORI32

ORI41

ORI51

ORI52

Figur 24 Forankringsverdier for rating-skalaen

Disse er delvis tilpasset situasjonen på Gullfaks A gjennom først å vurdere/bedømme totaltilstanden for hver faktor (ref. kap. 7.3.2 – gjelder både Gullfaks A og Statfjord A), og deretter benytte indikatorene for å måle tilstanden til de enkelte aspektene av faktorene. Disse to vurderingsmåtene bør gi noenlunde samme resultat, og ved behov justeres måleskalaen (dvs. forankringsverdiene). Vi ønsker eksempelvis ikke en situasjon hvor la oss si OF1 er totalt sett bedømt til tilstand 4, for deretter å bedømmes til tilstand 2 vha indikatorene fordi måleskalaen er "skjev". I et slikt tilfelle "tunes" måleskalaen slik at resultatene stemmer overens. Forsøket med å bruke ("sjekke") indikatorene på Gullfaks A viste at det er behov for å justere måleskalaen for iallefall 3 av indikatorene. Indikator ORI16 bør endres fra 2-12 til f.eks 1-7, indikator ORI51 bør endres fra 40-140 til f.eks 0-50, eventuelt at man går over til timer og benytter f.eks 0-5000 (per kvartal). Indikator ORI41 viser for Gullfaks A at datagrunnlaget muligens blir lite, anslagsvis 1 per kvartal (inklusive tilløp), og dermed vil ligge opp mot øvre forankringsverdi. Dette er forsåvidt ikke

62

måleskalaens "feil" (det er lite vi kan gjøre med den), det har mere med at vi bør finne flere indikatorer for design. (Sammenliknet med totalvurderingen av design for Gullfaks A, som er beskrevet i kap. 7.3.2, så kan det også være slik at den bedømmingen var noe streng.) Måleskalaen bør for bruk på Statfjord A endelig fastsettes etter en uttesting på Statfjord A. Gjennom de individuelle vektene til indikatorene (NB! ikke den type vekting vi snakker om i neste kapittel), så kan vi velge å vektlegge enkelte indikatorer (innenfor hver faktor) mer eller mindre enn de øvrige. Også dette må fastsettes av (eller i samarbeid med) operatørselskapet. Et første forslag til vekter er som følger9: For OF1 (opplæring/kompetanse): Lik vekting, dvs alle vektene v1j=1/8=0.125 (j=1,…, 8) For OF2 (prosedyrer, SJA, retningslinjer, instrukser): For indikator ORI21: v21=0.30 For indikator ORI22: v22=0.25 For indikator ORI23: v23=0.25 For indikator ORI24: v24=0.20 For OF3 (planlegging, koordinering, organisering, kontroll): For indikator ORI31: v31=0.70 For indikator ORI32: v32=0.30 For OF4 (design): For indikator ORI41: v41=1.0 For OF5 (PM-program/inspeksjon): For indikator ORI51: v51=0.40 For indikator ORI52: v52=0.60 For OF1 er det vanskelig å skille mellom de enkelte indikatorene, og fordi det er såpass mange indikatorer som 8 for dette forholdet, så måtte én eller noen få av indikatorene gis svært stor vekt for at en differensiert vekting skal få noen særlig betydning. For OF2 er den formelle opplæringen vurdert å være den viktigste indikatoren, og kontroll av SJA tilsvarende mindre viktig ut fra at selv ved f.eks manglende underskrifter så er det sjelden at dette forårsaker lekkasjer. For OF3 er det kontroll-aspektet som anses å være det klart viktigste aspektet (bl.a ut fra antall kontroll-relaterte hendelser) og derfor er "kontroll-indikatoren" gitt størst vekt. For OF5 er mengde korrektivt vedlikehold gitt noe større vekt enn mengde inspeksjon ut fra at korrektivt vedlikehold også kan forårsake (indusere) lekkasjer, mens mangelfull inspeksjon ikke forårsaker, men forhindrer ikke at en lekkasje oppstår.

7.2.1 Eksempel på tilstandsbedømming Vi har ikke foretatt en uttesting av indikatorene. Dette eksempelet baserer seg derfor på fiktive verdier.

9 Dette er basert på diskusjoner med plattformsjef GFA.

63

Anta at vi har registrert indikatorverdiene (mij) som vist i Tabell 5 (kolonnen nest lengst til høyre). Ved å benytte forankringsskalaen jfr. Figur 24, så kan de enkeltvise ratingverdiene (rij) fastsettes (kolonnen lengst til høyre i tabellen).

Tabell 5 Eksempel på indikator-verdier (målinger)

Organisatoriske faktorer Organisatoriske risikoindikatorer mij rij

ORI11 Andel prosessteknikere med formell systemopplæring 0.65 2 ORI12 Gj.snittlig antall områder pros.teknikerne har opplæring i 2.5 2 ORI13 Andel instrumentteknikere med kurs i rørkopling/ventiler 0.85 4 ORI14 Andel mekanikere med kurs i flenstrekking 0.90 5 ORI15 Andel mekanikere med pakningskurs 0.70 3 ORI16 Gjennomsnittlig antall år erfaring på denne installasjonen 7 3 ORI17 Gjennomsnittlig antall år erfaring totalt 15 5

OF1 Opplæring/ kompetanse

ORI18 Andel av relevant pers. som har deltatt i faglig utvikling 0.60 2 ORI21 Andel av relevant pers. med formell opplæring i SJA 0.75 3 ORI22 Andel av relevant pers. som har gjennomført SJA siste år 0.60 2 ORI23 Antall SJA gjennomført siste kvartal på installasjonen 25 5


ORI24 Hyppighet av kontroll med utarbeidelse/bruk av SJA 1 1 ORI31 Andel kritiske jobber utført med kontroll 0.45 3 OF3 Planlegging, koord.,

organisering, kontroll ORI32 Andel inn- og utskrivinger av arbeidsordre i felt 0.90 4 OF4 Design ORI41 Antall designrelaterte lekkasjer og tilløp til lekkasjer 2 4

ORI51 Mengde inspeksjon av lekkasjepunkt-utstyr 50 1 OF5 PM-program/ inspeksjon ORI52 Mengde korrigerende vedlikehold av lekk.punkt-utstyr 10 4

Basert på likning 1 får vi:

25.3)25335422(125.08

1111 =+++++++⋅=⋅= ∑

=jjj rvr

I og med at vi opererer med heltallsverdier for tilstandene til de organisatoriske faktorene betyr det at OF1 nå er vurdert ("målt") til å ha tilstand 3.

85.212.0525.0225.033.04

1222 =⋅+⋅+⋅+⋅=⋅= ∑

=jjj rvr

OF2 er dermed målt til å være i tilstand 3.

3.343.037.02

1333 =⋅+⋅=⋅= ∑

=jjj rvr

OF3 er dermed målt til å være i tilstand 3. r4 = v41⋅r41 = 1.0⋅4 = 4, dvs OF4 er målt til å være i tilstand 4.

8.246.014.02

1555 =⋅+⋅=⋅= ∑

=jjj rvr

OF5 er dermed målt til å være i tilstand 3. Vi får dermed følgende kombinasjon av tilstander for de organisatoriske faktorene: 3-3-3-4-3.

64

I kap. 7.3 skal vi se på hvilken effekt/styrke som ulike kombinasjoner av tilstander til de organisatoriske faktorene har på lekkasjefrekvensen, og i kap. 7.4 skal vi se på den aggregerte effekten på lekkasjefrekvensen når vi også tar hensyn til det observerte antall lekkasjer i løpet av siste kvartal.

7.3 Påvirkning/effekt (vekting)

7.3.1 Innledning De betingede sannsynlighetstabellene utgjør den kanskje største utfordringen når det gjelder å anvende Bayesianske nettverk. Vi gjør ikke situasjonen enklere ved at vi "krever" at vi skal være i stand til å fange opp relativt små endringer i de organisatoriske faktorene, og dermed må ha "et minimum" antall tilstander. Vi har valgt 5 tilstander som en avveining mellom dette kravet og kravet til at vi gjennom indikatorene må være i stand til å skille mellom de ulike tilstandene, samt at mange tilstander gjør at den betingede sannsynlighetstabellen blir svært stor. Det andre forholdet som påvirker hvor stor den betingede sannsynlighetstabellen blir, er antall faktorer som påvirker den noden vi ser på, og hvor det for lekkasjefrekvensen er 5 faktorer som påvirker denne. Styrken til BN som ligger i at vi kan inkludere samspillseffekter mellom faktorene (dvs. at 2 "dårlige" faktorer samtidig er verre enn summen av at de er "dårlig" hver for seg) er også et problem, fordi det betyr at vi må angi betingede sannsynligheter ("vekter") for alle kombinasjoner av tilstander til de organisatoriske faktorene for hver av tilstandene til den noden vi ser på. Dette blir i vårt tilfelle svært mange "vekter". Det blir 55 = 3125 vekter for hver av de 5 tilstandene til lekkasjefrekvensen, dvs 15625 vekter. ("Tradisjonell" vekting ville gitt 5x5x5=125 vekter.) Vi vil forsøke å etablere denne betingede sannsynlighetstabellen på 2 ulike måter. Den ene med hovedsaklig bruk av data (lekkasjehendelser), og den andre med hovedsaklig bruk av ekspert-vurderinger. Men hovedsaklig så betyr det at selv en såkalt data-drevet vekting kan ikke gjennomføres uten noen form for antakelser eller forankringsverdier som best innhentes fra eksperter. En vekting basert på ekspertvurderinger er også vanskelig å gjøre troverdig uten noen form for enkle data-analyser. Det ligger dessuten nærmest i sakens natur at en vekting basert på ekspertvurderinger for en så omfattende tabell som vi her har må skje gjennom kraftig forenkling. Vi vil starte med den ekspertbaserte vektingen, før vi går over på den databaserte vektingen, men først vil vi si noe om vekting generelt og illustrere dette med et "ultra"enkelt eksempel. Anta at vi har 2 faktorer (f.eks "opplæring" og "prosedyrer") som påvirker et tredje forhold (f.eks "lekkasjefrekvensen") og at hver av disse har kun 2 tilstander hver. Opplæringen er enten ’god’ eller ’dårlig’ Prosedyrene er enten ’gode’ eller ’dårlige’ Lekkasjefrekvensen er enten ’høy’ eller ’lav’ De kan kun befinne seg i en av tilstandene ved et bestemt tidspunkt. Situasjonen er illustrert i Figur 25.

65

Opplæring

Prosedyrer

Lekkasjefrekvens

'God'

'Dårlig'

'Gode'

'Dårlige'

'Høy'

'Lav'

Figur 25 Enkelt eksempel med 2 faktorer som påvirker en tredje – hver med 2 tilstander

Påvirkningen som opplæring og prosedyrer har på lekkasjefrekvensen uttrykker vi som sannsynligheten for at lekkasjefrekvensen skal være ’høy’ eller ’lav’ dersom opplæring og prosedyrer er ’gode’ eller ’dårlige’. Ved vanlig "tradisjonell" vekting behandles opplæring og prosedyrer enkeltvis (og uavhengig). Vi trenger da kun 2 vekter (sannsynligheter), og det er: i) sannsynligheten for at lekkasjefrekvensen er ’høy’ dersom vi vet at opplæringen er ’dårlig’

(dette skrives P(lekkasjefrekvensen=’høy’|opplæringen=’dårlig’)) ii) sannsynligheten for at lekkasjefrekvensen er ’høy’ dersom vi vet at prosedyrene er

’dårlige’ (som skrives P(lekkasjefrekvensen=’høy’|prosedyrene=’dårlige’) Skilletegnet | i uttrykkene betyr "gitt" eller "betinget på", og vi kaller dette derfor betingede sannsynligheter. (For å forenkle uttrykkene benytter vi L for lekkasjefrekvensen, O for opplæring og P for prosedyrer.) Når vi kjenner P(L=’høy’|O=’dårlig’) så kjenner vi også P(L=’lav’|O=’dårlig’) fordi denne er 1-P(L=’høy’|O=’dårlig’). De skal altså summere seg til 1. Det samme gjelder for den andre faktoren. Ved tradisjonell vekting antar man ofte at det kun er når de påvirkende faktorene er ’dårlige’ at de har negativ innvirkning på det påvirkende forholdet. Dvs at man i dette tilfellet ikke vurderer sannsynligheten for at lekkasjefrekvensen er ’høy’ dersom f.eks opplæringen er ’god’. Den "totale" (ubetingede) sannsynligheten for at lekkasjefrekvensen er ’høy’ kan vi nå finne dersom vi også kjenner sannsynligheten for at hhv. opplæringen og prosedyrene er ’dårlige’. Vi finner denne på følgende måte. P(L=’høy’) = P(O=’dårlig’)⋅P(L=’høy’|O=’dårlig’) + P(P=’dårlige’)⋅P(L=’høy’|P=’dårlige’) Dette er da (den ubetingede) sannsynligheten for at lekkasjefrekvensen er ’høy’, når vi kjenner sansynlighetene for at opplæring og prosedyrer befinner seg i en dårlig tilstand (representerer "ratingen" som vi diskuterte i kap. 7.2). De betingede sannsynlighetene P(L=’høy’|O=’dårlig’) og P(L=’høy’|P=’dårlige’) er vektene vi snakker om. Dette er illustrert i Figur 26.

66

Opplæring

Prosedyrer

Lekkasjefrekvens

P(P='dårlige')

P(L='Høy')

P(O='dårlig')P(L='Høy'|O='dårlig')

P(L='Høy'|P='dårlig')

'Rating' 'Vekting'

Figur 26 Vektene som "styrken" av pilene ved "tradisjonell" vekting

Ved bruk av Bayesianske nettverk er vektingen slik at vi må kjenne effekten av kombinasjonene av tilstandene til faktorene. I vårt eksempel betyr det at vi også vil vite sannsynligheten for at lekkasjefrekvensen er ’høy’ gitt at både opplæringen er ’dårlig’ og prosedyrene er ’dårlige’ samtidig! Dette gir også muligheten for såkalte samspillseffekter, dvs at sannsynligheten for at lekkasjefrekvensen er ’høy’ når både opplæring og prosedyrer er dårlige, er større enn summen av at de hver for seg er dårlige. Dette er en effekt som er ønskelig å fange opp fordi vi oppfatter dette å være nærmere virkeligheten, men som vi skal se så vanskeliggjør dette vektingen. Vi må i dette (enkle) tilfellet fastsette 4 vekter (betingede sannsynligheter) dvs. tilstandskombinasjonene ’god’-’gode’, ’god’-’dårlige’, ’dårlig’-’gode’, og ’dårlig’-’dårlige’, istedetfor kun 2 vekter ved "tradisjonell" vekting. Den første av disse betingede sannsynlighetene kan vi skrive som P(L=’høy’|O=’god’, P=’gode’), dvs betinget på at både opplæringen er ’god’ og at prosedyrene er ’gode’. Vi kan ikke nå lenger se på en vekt som "tilhørende" én pil. Dette er illustrert i Figur 27.

Opplæring

Prosedyrer

Lekkasjefrekvens

God Dårlig

GDG D

P(L='Høy'|O='G',P='G')

P(L='Høy'|O='G',P='D') P(L='Høy'|O='D',P='G')

P(L='Høy'|O='D',P='D')

Figur 27 Vekting i Bayesianske nettverk

67

Den nederste raden i tabellen i figuren finner vi ved at sannsynlighetene skal summere seg til 1 i hver kolonne. Vektene er ikke lenger "representert" ved "piler", men består av tabeller med vekter (betingede sannsynligheter) for alle kombinasjoner av tilstander til de påvirkende faktorene. Tabellene kalles betingede sannsynlighetstabeller (conditional probability tables - cpt). Som vi allerede har vært inne på så vil disse tabellene fort bli svært store når antall faktorer øker og antall tilstander hver faktor kan ha øker. I et av de programvare-verktøy som finnes for Bayesianske nettverk kalt HUGIN (HUGIN, 2000) vil tabellen i dette enkle eksempelet (med fiktive verdier) se ut som vist i Figur 28.

Figur 28 Cpt for eksempelet med 2 faktorer og 2 tilstander hver (skjermdump fra HUGIN)

Vi går nå over til den reelle modellen for Statfjord A, hvor vi har 5 faktorer med 5 tilstander hver.

7.3.2 Vekting basert på ekspertvurderinger I dette kapittelet vil vi beskrive hvordan man kan etablere vekter vha. ekspertvurderinger. Dette betyr imidlertid ikke at vi utelukkende anvender ekspertvurderinger og overhodet ikke benytter oss av de data vi har, men vi gjør dette uten avanserte data-analyser. Resultatet blir imidlertid noe forenklet sammenliknet med en datadrevet vekting. Vi har 5 organisatoriske faktorer som hver kan ha 5 ulike tilstander, og som alle påvirker lekkasjefrekvensen (λ). For en gitt kombinasjon av organisatoriske faktortilstander (f.eks OF1=3, OF2=4, OF3=2, OF4=3 og OF5=2) så ønsker vi å si noe om hvordan dette påvirker lekkasje-frekvensen. Hva er forventningsverdien til λ (dvs. E(λ)) gitt en bestemt kombinasjon av faktor-tilstander (som igjen er fastsatt basert på risikoindikator-målinger)? For å gjøre det litt enklere velger vi å kun benytte 3 ulike λ tilstander: Tilstand 1 (λ=’1’) � λ=0.1 lekkasjer per kvartal Tilstand 2 (λ=’2’) � λ=1 lekkasje per kvartal Tilstand 3 (λ=’3’) � λ=10 lekkasjer per kvartal For hver kombinasjon av de organisatoriske faktortilstandene vil det måtte angis en "vekt" for hver av de 3 λ-tilstandene. Disse vektene er altså betingede sannsynligheter for at λ skal befinne seg i de respektive tilstandene. Det betyr at vi legger en sannsynlighetsfordeling over de 3 λ-tilstandene. Summen av disse sannsynlighetene skal da være lik 1. Dersom vi betegner vektene for w, så har vi altså w1+w2+w3=1. Forventningsverdien til lekkasjefrekvensen blir da:

68

E(λ) = 0.1w1+1w2+10w3 Vi må derfor sørge for at de betingede sannsynlighetene vi benytter for hver kombinasjon av organisatoriske faktortilstander både summerer seg til 1 og at vektene multiplisert ut (med λ-tilstandsverdiene) gir en forventningsverdi som er "fornuftig". Altså at:

∑=

=3

11

jijw (2)

’’)()(3

1fornuftigwE

jjiji =⋅= ∑

=λλ (3)

for alle kombinasjoner i. (λj er tilstandsverdien til λ, dvs. 0.1, 1 og 10). De mulige kombinasjonene av organisatoriske faktortilstander er gitt av antall faktorer og antall tilstander. Med 5 faktorer og 5 tilstander representerer dette 55-kombinasjoner, dvs. 3125 kombinasjoner. Dette er "uhåndterlig" (manuelt) dersom vi ikke foretar forenklinger. Vi velger som et utgangspunkt å betrakte alle kombinasjoner med samme "tverrsum" som like. Dvs. at f.eks kombinasjonen 1-2-3-4-5 (hvor OF1 er angitt først og OF5 sist) og kombinasjonen 5-4-3-2-1 får samme sannsynlighetsfordeling (og dermed også samme forventningsverdi) over λ. Dette gir kun 21 ulike "tverrsums"-kombinasjoner, fra 1-1-1-1-1 (=5) til 5-5-5-5-5 (=25). Disse er da verdiene fra 5 til 25. For å finne forventningsverdiene til hver av disse 21 "standard-kombinasjonene" så må vi benytte data og ekspertvurderinger til å etablere forankringsverdier. Vi benytter oss av de 20 lekkasjehendelsene som inntraff på Statfjord A i perioden 1997-99. De kombinasjonene av organisatoriske faktorer som medvirket til hver av disse lekkasjene er vist i Tabell 6.

Tabell 6 Oversikt over hvilke organisatoriske faktorer som har medvirket i de 20 lekkasjene

Lekkasje nr. Organisatoriske faktorer 1 OF2 OF4 2 OF3 OF4 3 OF2 OF3 4 OF5 5 OF5 6 OF5 7 OF3 OF4 8 OF5 9 OF1 OF3

10 OF2 OF3 OF4 11 OF2 OF5 12 OF1 OF3 13 OF5 14 OF3 15 OF2 OF3 16 OF3 17 OF3 18 OF1 OF3 OF5 19 OF1 OF3 OF5 20 OF5

Totalt 4 5 12 4 9

69

Vi "vet" altså at i løpet av 3-årsperioden fra 1997-99 så medvirket OF1 til 4 lekkasjer, OF2 til 5 lekkasjer, OF3 til 12 lekkasjer, OF4 til 4 lekkasjer og OF5 til 9 lekkasjer. Dette utgjorde tilsammen 20 lekkasjer i løpet av 3 år, dvs. 1.67 lekkasjer per kvartal. Forventningsverdien E(λ) er dermed lik 1.67. Men, vi vet ikke for hvilken kombinasjon av tilstander av de organisatoriske faktorene vi har denne forventningsverdien. Vi behøver derfor en bedømmelse av hvilken tilstand de ulike faktorene har hatt i gjennomsnitt over 3-årsperioden 1997-99. Denne bedømmelsen burde ideelt sett ha skjedd med bruk av "eksperter" fra Statfjord A. Bedømmingen er imidlertid utført som en "gruppeprosess" hvor verdiene for Gullfaks A ble bedømt først (av plattformsjef Gullfaks A) og deretter ble Statfjord A vurdert ut ifra en "sammenlikningsanalyse" med Gullfaks A (av plattformsjef Gullfaks A + analytikerne). Verdiene er dermed svært grove anslag, og det er ingen fra Statfjord A som har vært med i vurderingen. Resultatet er vist i Figur 29.

Verste1 2 3 4 5

1 2 3 4 5

1 2 3 4 5

1 2 3 4 5

1 2 3 4 5

Beste

Verste

Verste

Verste

Verste

Beste

Beste

Beste

Beste

OF1

OF2

OF3

OF4

OF5

GFA

SFA

Figur 29 Bedømming av gjennomsnittstilstand av de organisatoriske faktorene i perioden 1997-99

Bedømmingen for Statfjord A er (som vist i figuren): OF1=3, OF2=4, OF3=2, OF4=3, OF5=2. Dette er ut ifra en betraktning om at en gjennomsnittsplattform i snitt ligger rundt 3. For Gullfaks A er OF1 (opplæring/kompetanse) bedømt til å håndteres bra (over snittet) dvs. OF1=4. For Statfjord A har vi ingen spesielle holdepunkter til å anta at OF1 ligger over eller under snittet. Vi antar derfor (i mangel på bedre informasjon) at OF1 ligger på snittet, dvs. OF1=3. For Gullfaks A er OF2 (prosedyrer, SJA, retningslinjer, instrukser) bedømt til OF2=4 ut fra at SJA ble "oppfunnet" i sin nåværende Statoil-form på Gullfaks A. Gullfaks A var altså tidlig ute med å benytte SJA. Også for Statfjord A er SJA vurdert å håndteres bedre enn snittet, ut ifra bl.a en rapport for vurdering av lekkasjer på SF hvor Statfjord A ble vurdert til å håndtere SJA bedre enn Statfjord B og Statfjord C. Derfor antas OF2=4 for Statfjord A. For Gullfaks A er OF3 (planlegging, koordinering, organisering, kontroll) bedømt til OF3=2. Sjekklister som kontrollhjelpemiddel er lite "ettertraktet" og arbeidslederne har normalt sett et så stort kontrollspenn at kontroll med jobbutførelse i hovedsak må skje av andre kollegaer/sjekkliste. Også andelen av denne type kontroll har potensiale for forbedring. Det er ikke noe som tilsier at situasjonen på Statfjord A skulle være bedre, tvertimot tyder den store andelen "kontroll-relaterte" lekkasjer (12 av 20) på at tilstanden ikke er spesielt godAnm). Antar derfor OF3=2 også for Statfjord A.

70

For Gullfaks A er OF4 (design) bedømt til OF4=2 ut ifra at en god del designløsninger er dårlige rent tilgjengelighetsmessig (adkomstmessig). Også en del nye løsninger (nye prosjekt/ modifikasjoner) har i ettertid vist seg å ha "ikke-optimale" løsninger. Også for Statfjord A er tilgjengeligheten tildels vanskelig (f.eks i M4), samt at problemene rundt flotasjonscellene etter mange år ennå ikke er tilfredsstillende løst. Velger imidlertid å sette OF4=3 for Statfjord A, delvis pga de relativt få hendelseneAnm) hvor OF4 har vært involvert (4 av 20). For Gullfaks A er OF5 (PM-program/inspeksjon) bedømt til å ligge "midt på treet", dvs. OF5=3. Også Gullfaks A opplever hendelser av typen "ventiler som bare begynner å lekke" og hvor det eneste som evt kunne forhindret dette er PM (evt. hyppigere PM der hvor et PM-program eksisterer). For Statfjord A er situasjonen vurdert til å være noe verre enn på Gullfaks A ut ifra alle hendelseneAnm) hvor manglende PM er årsak til at man ikke har kunnet forhindre at utstyr lekker (9 av 20). Setter derfor OF5=2.

Anmerkning: Generelt bør man være forsiktig med å bedømme tilstanden til en faktor ut fra antall lekkasjer denne faktoren har medvirket til. Dette kan enklest forklares ut fra et eksempel. Vi antar nedenfor at OF3=5 gir 2 lekkasjer. Vi vet ikke hva tilstanden til OF3 er, men vi har erfart 12 lekkasjer hvor OF3 har medvirket. At OF3 har medvirket i så mange lekkasjer sier ikke nødvendigvis noe om tilstanden til OF3, fordi de 12 lekkasjene er et resultat av både tilstanden til OF3 og betydningen til OF3 mht. lekkasjer. Vi kunne antatt OF3=2 (og at OF3=4 f.eks ville gitt oss ca. 5 lekkasjer), eller vi kunne antatt OF3=4 (og at OF3=2 f.eks ville gitt oss ca. 30 lekkasjer). Antall lekkasjer alene er ikke nok til å fastsette tilstanden til OF3. Dersom vi derimot "vet" at gjennomsnittstilstanden for OF3 på Gullfaks A var OF3=2 og at antall lekkasjer hvor OF3 medvirket var f.eks 11, og samtidig antar at den betydningen OF3 har for lekkasjer er den samme på Statfjord A som på Gullfaks A, så kan vi benytte "kun" antall lekkasjer på Statfjord A til å bedømme tilstanden til OF3 ved at vi sammenholder antall lekkasjer på Statfjord A med Gullfaks A. Dvs at når Gullfaks A har 11 lekkasjer (med tilstand OF3=2) så "må" Statfjord A som har 12 lekkasjer (altså tilnærmet det samme) også ha OF3=2.10 Vi har altså bedømt gjennomsnittstilstanden i perioden 1997-99 til å være kombinasjonen 3-4-2-3-2, og ut ifra 20 lekkasjer i denne perioden kommet til at E(λ) = 20/12 = 1.67 lekkasjer per kvartal. Vi har dermed ett forankringspunkt. Det neste forankringspunktet vi vil etablere er for en tenkt perfekt tilstand, dvs. kombinasjonen 5-5-5-5-5. I første omgang betrakter vi faktorene uavhengig uten samspillseffekter. Ved å forbedre tilstanden til "perfekt" (tilstand 5) kunne lekkasjene med den aktuelle organisatoriske faktoren som medvirkende årsak vært forhindret. Det er imidlertid ingen garanti for at alle lekkasjene hadde vært unngått. Vi har derfor gjort følgende antagelse ved en endring fra gjennomsnittsverdi for tilstanden til beste verdi: OF1=3 har gitt 4 lekkasjer � vi antar at OF1=5 ville gitt 1 lekkasje OF2=4 har gitt 5 lekkasjer � vi antar at OF2=5 ville gitt 1 lekkasje OF3=2 har gitt 12 lekkasjer � vi antar at OF3=5 ville gitt 2 lekkasjer OF4=3 har gitt 4 lekkasjer � vi antar at OF4=5 ville gitt 1 lekkasje OF5=2 har gitt 9 lekkasjer � vi antar at OF5=5 ville gitt 3 lekkasjer For OF5 har vi inkludert en mulig effekt av vedlikeholdsinduserte feil gjennom økt mengde FV. Derfor er ikke antallet redusert til f.eks 1 eller 2. Med en antatt perfekt kombinasjon av tilstander (5-5-5-5-5) antar vi at vi ville fått 1+1+2+1+3=8 lekkasjer, uten å ta hensyn til samspillseffekter. Dette gir en forventningsverdi på 8/12 = 0.67 lekkasjer per kvartal.

10 GFA viste seg å ha 9 lekkasjer hvor OF3 medvirket i perioden 1997-99. Det betyr at for Statfjord A bør OF3 iallefall ikke ha noen bedre gjennomsnittstilstand enn GFA. Forskjellen er ikke større enn at vi antar tilstand '2' også for Statfjord A.

71

Nå ønsker vi å inkludere samspillseffekter mellom faktorene, dvs. ta hensyn til at de ikke alene bidrar til lekkasjer, men at de inntreffer sammen med andre. Det er også slik at når mer enn én faktor har medvirket til en lekkasje så hadde det vært nok at én av faktorene hadde fungert tilfredsstillende for at lekkasjen skulle vært forhindret. Hvis vi ser bort fra den siste faktoren (OF5), så har de øvrige i kun 3 av 11 tilfeller opptrådt alene. Vi antar da at de 5 lekkasjene fra de 4 første faktorene reduseres til 3/11 x 5 ≈ 1 lekkasje ved å ta hensyn til samspill, fordi det er lite trolig at en lekkasje ikke hadde blitt forhindret dersom f.eks begge faktorene som medvirket hadde fungert perfekt. For OF5 antar vi en reduksjon fra 3 til 1 lekkasje. Med hensyntagen av samspillseffekter ("positivt samspill") så antar vi at kombinasjonen 5-5-5-5-5 ville gitt 2 lekkasjer. Dette gir en forventningsverdi på E(λ)min = 2/12 = 0.17 lekkasjer per kvartal. Dette utgjør det andre forankringspunktet vårt. Det siste forankringspunktet vi vil etablere er for en tenkt verste tilstand, dvs. kombinasjonen 1-1-1-1-1. Også i dette tilfellet starter vi en betraktning uten samspillseffekter. Endring fra gjennomsnittsverdi til verste tilstand (tilstand 1) for hver enkelt faktor er gjort med utgangspunkt i de til nå 2 kjente verdiene (gjennomsnittstilstand for Statfjord A og beste tilstand). Vi legger dermed en fordeling for antall lekkasjer over de 5 tilstandene (1-5), og fastsetter antall lekkasjer for tilstand 1 ut fra dette. Vi har (i utgangspunktet) lagt inn en lineær fordeling for alle faktorene. Dette er vist i Figur 30.

Verste1 2 3 5

1 2 3 4 5

1 2 3 4 5

1 2 3 4 5

1 2 3 4 5

Beste

Verste

Verste

Verste

Verste

Beste

Beste

Beste

Beste

OF1

OF2

OF3

OF4

OF5

4

4 1

0-14-5 2-36-78 ->

0-26-8 3-59-1112 ->

5 1

12

4

9

2

1

3

0-38-11 4-712-1516 ->

0-14-5 2-36-78 ->

<36-7 4-58-910 ->

8

13

17

8

11

Figur 30 Vurdering av endring av antall lekkasjer for verste tilstand (tilstand 1)

Dette resulterer i følgende antagelse om antall lekkasjer ved verste tilstand: OF1=1 ville gitt 8 lekkasjer

72

OF2=1 ville gitt 13 lekkasjer OF3=1 ville gitt 17 lekkasjer OF4=1 ville gitt 8 lekkasjer OF5=1 ville gitt 11 lekkasjer Totalt gir dette potensielt 57 lekkasjer, men vi må også ta hensyn til at flere av disse hendelsene "er de samme hendelsene". I de 20 hendelsene på Statfjord A hadde de enkelte faktorene medvirket i tilsammen 4+5+12+4+9=34 tilfeller når de betraktes hver for seg. Men kun 20/34=0.59 av disse tilfellene var "unike" hendelser. Hvis vi antar samme forholdstall her, så kan vi regne med at en verste tilstand ville resultert i 57 x 0.59 ≈ 34 lekkasjer, uten at vi tar hensyn til den type "samspill" som er slik at samtidig dårlige tilstander er verre en summen av enkeltvis dårlige tilstander. (F.eks så kan ’dårlig’ opplæring og ’gode’ prosedyrer gi en betinget sannsynlighet for lekkasje på la oss si 0.2, det samme gjelder for ’god’ opplæring og ’dårlige’ prosedyrer, men samtidig ’dårlig’ opplæring og ’dårlige’ prosedyrer kan gi en betinget sannsynlighet på f.eks 0.60, altså mer enn 0.2 + 0.2.) En slik samspillseffekt kan vi ikke beregne ut fra data. Vi må benytte ekspertvurderinger eller gjøre en antagelse selv. (Dette gjelder forankringspunktet, ikke generelt.) Et alternativ til å bedømme samspillseffekten (som en faktor) er å direkte bedømme et største antall lekkasjer over en treårs-periode. Vi benytter oss av følgende resonnement for å fastsette dette største antall lekkasjer (for verste tilstand 1-1-1-1-1): Vi vet at det på Statfjord A i perioden 1991-93 var registrert 59 lekkasjer (Spuns Tett, 1994) og vi vet også at det på Statfjord C var registrert 21 lekkasjer i 1999 (tilsvarende 63 lekkasjer over en treårs-periode). Vi antar at dette ikke representerer en absolutt verst tenkelige tilstand (dvs. alle 5 årsaksfaktorene er "svært dårlig"), og at en verste tilstand derfor bør tilsvare et større antall lekkasjer over en treårs-periode enn 63 lekkasjer. Vi velger å benytte 80 lekkasjer som et utgangspunkt til å representere en verste situasjon.11 Med 80 lekkasjer på 3 år, så vil vi få følgende forventningsverdi for lekkasjefrekvensen: E(λ)max = 80/12 = 6.67 lekkasjer per kvartal. Vi har nå 3 forankringsverdier for forventningsverdien til lekkasjefrekvensen. Ut ifra disse kan vi beregne de øvrige forventningsverdiene. Forankringsverdiene er illustrert i Figur 31.

Verste 6 Beste5 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

1-1-1-1-1 3-4-2-3-2 5-5-5-5-5

E(λ)max = 80/12 = 6.67 E(λ)min = 2/12 = 0.17E(λ) = 20/12 = 1.67

Figur 31 Forankringsverdier for forventningsverdiene til lekkasjefrekvensen relatert til tverrsummene av de 3 aktuelle faktortilstands-kombinasjonene

11 Hvor følsom denne antakelsen er (ift. f.eks et valg på 100 eller 60 lekkasjer), er diskutert i kap. 7.6.2. Vi kunne også benyttet registrerte tilløp til lekkasjer for å anslå hvilket antall som representerer den verste situasjonen. Selv om forankringspunktet (yttergrensen) vil variere endel avhengig av det antall vi velger, så vil ikke forskjellen bli like stor for en 'realistisk' forverring. (Vi vil neppe oppleve en tilstand 1-1-1-1-1.)

73

Vi antar lineær sammenheng mellom E(λ)max og E(λ), samt mellom E(λ) og E(λ)min. For verdiene mellom E(λ)max og E(λ) får vi følgende inkrement regnet fra E(λ):

56.09

67.167.6

9

)()( max =−=− λλ EE

For E(λ)13 til E(λ)6 får vi da: E(λ)13 = 1⋅0.56 + 1.67 = 2.23 E(λ)12 = 2⋅0.56 + 1.67 = 2.79 E(λ)11 = 3⋅0.56 + 1.67 = 3.35 E(λ)10 = 4⋅0.56 + 1.67 = 3.91 E(λ)9 = 5⋅0.56 + 1.67 = 4.47 E(λ)8 = 6⋅0.56 + 1.67 = 5.03 E(λ)7 = 7⋅0.56 + 1.67 = 5.59 E(λ)6 = 8⋅0.56 + 1.67 = 6.15 For verdiene mellom E(λ) og E(λ)min får vi følgende inkrement regnet fra E(λ)min:

14.011

17.067.1

11

)()( min =−=− λλ EE

For E(λ)24 til E(λ)15 får vi da: E(λ)24 = 1⋅0.14 + 0.17 = 0.31 E(λ)23 = 2⋅0.14 + 0.17 = 0.45 E(λ)22 = 3⋅0.14 + 0.17 = 0.59 E(λ)21 = 4⋅0.14 + 0.17 = 0.73 E(λ)20 = 5⋅0.14 + 0.17 = 0.87 E(λ)19 = 6⋅0.14 + 0.17 = 1.01 E(λ)18 = 7⋅0.14 + 0.17 = 1.15 E(λ)17 = 8⋅0.14 + 0.17 = 1.29 E(λ)16 = 9⋅0.14 + 0.17 = 1.43 E(λ)15 = 10⋅0.14 + 0.17 = 1.57 Med de 21 forventningsverdiene vi nå har kan vi "bygge opp" en forenklet ("a priori") betinget sannsynlighetstabell – cpt (conditional probability table). Vi antar da at alle kombinasjoner av organisatoriske faktortilstander (’OF1’-’OF2’-’OF3’-’OF4’-’OF5’) med samme tverrsum har de samme betingede sannsynligheter (CP’s) og dermed samme fordeling og forventningsverdi. Dersom vi bruker de kvalitative betegnelsene ’svært dårlig’, ’dårlig’, ’middels’, ’god’ og ’svært god’ om henholdsvis tilstand 1, 2, 3, 4 og 5, så betyr den forenkling vi gjør at vi f.eks betrakter kombinasjonen (’dårlig’-’god’-’dårlig’-’god’-’svært god’) som eksakt lik kombinasjonen (’god’-’dårlig’-’god’-’dårlig’-’svært god’). Dette ser kanskje ikke så "urimelig" ut, men det blir ikke helt korrekt fordi det er ulikt samspill mellom de 5 aktuelle faktorene. Dessuten har de ulik vekt individuelt. (Det betyr f.eks at dersom kun én faktor har tilstand ’svært god’ så er det ikke likegyldig hvilken faktor det er.) For λ opererer vi som tidligere nevnt med 3 ulike tilstander:

74

Tilstand 1 (λ=’1’) � λ=0.1 lekkasjer per kvartal Tilstand 2 (λ=’2’) � λ=1 lekkasje per kvartal Tilstand 3 (λ=’3’) � λ=10 lekkasje per kvartal Forventningsverdien til lekkasjefrekvensen har vi også tidligere sagt er: E(λ) = 0.1w1+1w2+10w3 hvor wi utgjør vektene eller de betingede sannsynlighetene. Vi kjenner forventningsverdiene, men vi kjenner ikke de enkelte wi. Disse kan vi fastsette ved å legge en fordeling over de ulike λ-tilstandene (og disse skal summere seg til 1). Det er ikke noe rasjonale for å velge en bestemt fordeling. Vi må kun sørge for at vektene summerer seg til 1 og at de multiplisert med λ-verdiene og summert gir forventningsverdien. Vi har da følgende betingelser: 1) w1+w2+w3=1.0 2) 0.1w1+1w2+10w3=E(λ) Vi har altså 2 likninger med 3 ukjente. En tredje betingelse vi kan legge inn er at når E(λ) ligger mellom 0.1 og 1, så skal den tilstanden av 0.1 og 1 som er nærmest E(λ) vektes relativt sett så mye mer som avstanden til E(λ) tilsier, dvs. 3a) w2=[( E(λ)-0.1)/(1- E(λ))]⋅w1 og tilsvarende når E(λ) ligger mellom 1 og 10: 3b) w2=[(10- E(λ))/(E(λ)-1)]⋅w3 Dette betyr at når forventningsverdien ligger nær 1 så vektes λ=1 forholdsvis mye sammenliknet med de 2 øvrige (dvs. høy w2). F.eks så vil E(λ)=1.67 gi fordelingen (9E-5,0.926,0.074), og E(λ)=0.8 gir fordelingen (0.222, 0.777, 8.7E-5). Vi kan altså på denne måten bygge opp en cpt med utgangspunkt i forventningsverdiene. Men, dersom vi kun etablerer en forenklet cpt uten at vi vil gå inn i tabellen og korrigere nærmere for ulik samspillseffekt mellom faktorene, og/eller benytter modellen som en dynamisk modell for oppdatering av cpt’en som følge av nye lekkasjehendelser og tilstandsbedømmelser, så kan vi like gjerne benytte forventningsverdiene direkte. Det er da ikke behov for å etablere fordelingene. Dette er imidlertid en kraftig forenkling som også resulterer i at det er en rekke muligheter vi gir slipp på. Bl.a så kunne kvantifiseringen vært gjennomført med bruk av BN-modellen (og cpt’en som en del av denne) selv om ikke alle faktortilstandene har blitt fastsatt via risikoindikatorer. Uten noe kjennskap til én bestemt faktor kunne vi benyttet en uniform fordeling over de 5 tilstandene (0.2 på hver), eller "eksperter" kunne anslått en sannsynlighet (uten bruk av indikatorer) for hver mulig tilstand, f.eks 0.4 for tilstand 2 og 0.6 for tilstand 3. Vi kunne også benyttet modellen til å regne oss bakover i nettverket ("backward" inference), dvs vi kunne for en faktor vi ikke kjenner tilstanden til angitt en sannsynlighetsfordeling over de ulike tilstandsverdiene.

75

Ved å benytte de 21 forventningsverdiene direkte, så trenger vi kun å regne ut tverrsummen til tilstandsverdiene til de organisatoriske faktorene som er beregnet/målt vha. risikoindikatorene. F.eks så vil en måling som resulterer i OF1=2, OF2=3, OF3=1, OF4=4, OF5=2 (dvs. kombinasjonen 2-3-1-4-2) gi oss tverrsummen 2+3+1+4+2=12 og siden vi vet at E(λ)12=2.79 så har også denne kombinasjonen en forventningsverdi lik 2.79. Dette gir en økning i lekkasjefrekvensen (forventningsverdien) som er 2.79/1.67=1.67, dvs. 67%, i forhold til en antatt basistilstand på 3-4-2-3-2 for Statfjord A. (NB! Dette er kun basert på risiko-indikatorene og ikke tatt hensyn til det faktiske observerte antall lekkasjer i perioden.) Figur 32 viser hvordan forventningsverdien til lekkasjefrekvensen endres som funksjon av tverrsummen til faktortilstandene. (Kurven kunne evt. vært glattet for å unngå knekk.)

6

(’Tverrsum’)

5 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

1-1-1-1-1

3-4-2-3-2 nåværende tilstand

5-5-5-5-51.0

2.0

3.0

4.0

5.0

6.0

7.0

E(λ)

X

X

1.67

verste tilstand

beste tilstand

-90%

+20%0

∆E(λ)

0

X

+80%

+140%

+200%

+260%

+300%

-40%

Figur 32 Forventningsverdien til lekkasjefrekvensen som funksjon av faktortilstandene

Vi har i Figur 32 også vist hva den prosentvise endringen i lekkasjefrekvensen blir dersom denne utelukkende baseres på de organisatoriske faktorene (målt vha. risikoindikatorene) og ikke på det faktiske observerte antall lekkasjer i perioden.

7.3.2.1 Eksempel på vekt/styrke for ekspertbasert vekting Vi fortsetter med eksempelet fra kap. 7.2.1 hvor vi hadde registrert indikatorverdier som resulterte i en tilstand til de organisatoriske faktorene med følgende kombinasjon: 3-3-3-4-3.

76

Med den sterkt forenklede måten vi bedømmer vekter på basert på ekspertvurderinger så er det kun tverrsummen til kombinasjonen av tilstanden til de organisatoriske faktorene vi anvender. I dette tilfellet er tverrsummen 3+3+3+4+3=16, og fra beregningene i kap. 7.3.2 har vi at E(λ)16=1.43.

7.3.3 Datadrevet vekting12 Et av problemene med data-drevet vekting (og data-analyse generelt) er å ha en tilstrekkelig mengde data ift. det antall estimater (her: vekter) man trenger. Vi har derfor valgt å benytte lekkasjehendelser fra Statfjord B og Statfjord C i tillegg til Statfjord A. Dette ga oss 92 lekkasjehendelser i perioden 1997-99. For å øke datagrunnlaget på denne måten så må vi også gjøre den antagelsen at tilstanden til de organisatoriske faktorene er den samme for alle tre installasjoner til enhver tid (i løpet av 3-års perioden). Dette er nok en antagelse som ikke er helt korrekt. De 92 lekkasjehendelsene er analysert iht. den kvalitative modellen, og vi "vet" dermed (så godt som det lar seg gjøre uten bruk av alt for mye tid og ressurser) hvilke organisatoriske faktorer som har bidratt til de enkelte lekkasjehendelsene. Vi vet også når de enkelte lekkasjene har oppstått, men vi vet dessverre ikke hvilken tilstand de enkelte organisatoriske faktorene var i på de tidspunkt som lekkasjene inntraff. Dette trenger vi for å kunne estimere lekkasjefrekvensen som en funksjon av tilstandene til de organisatoriske faktorene. Vi anser det nærmest som umulig å finne ut av dette i ettertid ved å "spørre om" dette. Vi velger derfor å estimere ut fra dataene hvilken tilstand de enkelte faktorene har hatt i de 12 kvartalene i perioden 1997-99. Vi vet altså at f.eks "opplæring/kompetanse" har medvirket til en del hendelser, men vi vet ikke hva tilstanden til denne faktoren var når hendelsene inntraff. Vi vet heller ikke hvilken tilstand denne faktoren var i når den ikke medvirket til lekkasjer, og vi vet heller ikke hva som har vært gjennomsnittstilstanden for faktoren over perioden (forut for vurderingen i kap. 7.3.2). Vi vet strengt tatt heller ikke om tilstanden er "dårligere" når lekkasjene inntreffer enn når de ikke inntreffer. Vi har vært nødt til å konstruere en statistisk modell for å estimere den tilstanden de organisatoriske faktorene hadde i perioden 1997-99. Til dette må vi gjøre en del antagelser. Anta for eksempel at det er to lekkasjer der "opplæring/kompetanse" blir nevnt som medvirkende årsak i første kvartal –97, ingen i andre og tredje kvartal, men så en i fjerde kvartal –97, osv. Dette gir indikasjon på at i første kvartal var tilstanden til "opplæring/kompetanse" på et "dårlig" nivå (siden det ble registrert 2 lekkasjer i dette kvartalet hvor denne faktoren medvirket). I det neste kvartalet var det ingen lekkasjer relatert til "opplæring/kompetanse", så vi antar at tilstanden lå på et "bedre" nivå. Det samme gjelder for tredje kvartal, mens vi i fjerde kvartal igjen vil si at nivået var lavere, fordi vi hadde en lekkasje relatert til "opplæring/kompetanse". Selv om vi lar de organisatoriske faktorene variere over tid, så antar vi at de er rimelig konstante, slik at tilstanden i kvartal nummer i+1 med en viss sannsynlighet (som estimeres fra dataene) vil være den samme

12 Dette kapittelet kan være noe vanskelig, og det kan være greit for noen å gå direkte til kap. 7.4 eller kap. 7.5. Det som kanskje best synliggjør hva vi kommer frem til i dette kapittelet fremgår av Figur 40 og det "området" som lekkasjefrekvensen kan havne i. Det er ikke lenger tverrsummen som er avgjørende men hver enkelt unike tilstandskombinasjon (dvs. at f.eks 2-2-5-2-2 og 3-4-1-3-2 gir ulik forventningsverdi selv om tverrsummen er den samme).

77

som ved foregående kvartal i, eventuelt kan tilstanden forandre seg ett nivå, for eksempel fra nivå 3 til 4 (men altså ikke fra 3 til 5 i løpet av kun et kvartal). I tillegg så trenger vi noen forankringsverdier fastsatt av "eksperter". Dette gjelder to forhold. Det første er en bedømmelse av hvilken tilstand de organisatoriske faktorene har hatt i gjennomsnitt i perioden 1997-99, og det andre er hvilken effekt det ville hatt for antall observerte lekkasjer dersom tilstanden til én faktor endret seg fra verst tenkelige tilstand til best tenkelige tilstand (gjennomført for alle faktorene enkeltvis). Dette er "ekspertvurderinger" som vi også hadde behov for ved den ekspert-baserte vektingen. Disse vurderingene ble beskrevet i forrige kapittel (kap. 7.3.2). En nærmere beskrivelse av den statistiske modellen er gitt i metoderapporten. Her nøyer vi oss med å presentere resultatene. De estimerte verdiene av de organisatoriske faktorene er vist i Figur 33.

1

2

3

4

5

1 2 3 4 5 6 7 8 9 10 11 12

Tils

tan

d

OF1 OF2 OF3 OF4 OF5

Kvartal 97-99

Figur 33 Estimerte tilstander for de organisatoriske faktorene

Figuren viser hvordan tilstandene til de 5 organisatoriske faktorene har endret seg i løpet av de 12 kvartalene i perioden 1997-99. Dette dekker hele Statfjord-feltet (SF) og viser at det har vært en negativ utvikling for 3 av faktorene (OF1, OF3 og OF4), mens tilstanden har vært nokså stabil for de 2 øvrige faktorene (OF2 og OF5). Den negative trenden for 3 av faktorene skyldes spesielt Statfjord B og Statfjord C fordi totalt sett over perioden så viser ikke Statfjord A noen trend (ROCOF’en13 er tilnærmet konstant). Dette gjør at cpt’en ikke gjenspeiler situasjonen på Statfjord A helt korrekt (den reflekterer hele SF under ett). Når tilstandene til de organisatoriske faktorene i perioden 1997-99 nå er funnet så kan vi bruke en regresjonsmodell for å finne effekten av de organisatoriske faktorene på lekkasjefrekvensen. Dette inkluderer da samspillseffekter mellom faktorene. I de 20 lekkasjene på Statfjord A hadde vi kombinasjoner av 2 samtidige faktorer i 8 tilfeller og kombinasjoner av 3 samtidige faktorer i 3 tilfeller (i de øvrige 9 tilfellene var det kun en enkelt faktor som var "årsak", når vi ikke regner med individfaktoren). For å forenkle beregningene noe, så velger vi å estimere 2. ordens samspillseffekter (altså kombinasjoner av 2 faktorer) men ikke 3. ordens samspill (dvs. kombinasjoner av 3 faktorer). Det betyr at den betingede sannsynligheten for lekkasjefrekvensen gitt at 2 faktorer er "dårlig" samtidig er større enn summen av de 2 betingede sannsynlighetene

13 ROCOF – Rate of occurrence of failure (raten som lekkasjene oppstår med)

78

hvor hver av faktorene er "dårlig" hver for seg. (En eventuell tredje faktor vil kun summere seg til kombinasjonen av de 2 første, men fortsatt være større enn om alle tre ble summert uten samspillseffekt.) Den betingede sannsynlighetstabellen (cpt’en) kan nå etableres og hvor det da tas hensyn til samspillseffekter. En forenklet illustrasjon av tabellen er vist i Figur 34.

λ tilstand 2

λ tilstand 3

λ tilstand 4

λ tilstand 1

OF1 tilstand:

OF3 tilstand:

OF4 tilstand:

OF5 tilstand: 2 3 4 5

1

1 1 2

2

1

1

1

OF2 tilstand:

0.323

p(λ=’3’|OF1=’1’,OF2=’1’,OF3=’1’,OF4=’1’,OF5=’5’)

λ tilstand 5

Figur 34 Betinget sannsynlighetstabell ("vekter") for OF’enes effekt på λ

Kun den venstre delen av cpt’en er vist i Figur 34 (de 7 første av ialt 3125 kombinasjoner av tilstander til de organisatoriske faktorene). Vi har også gitt et eksempel på én "vekt" (en betinget sannsynlighet), dvs den vekt kombinasjonen 1-1-1-1-5 har på tilstand 3 til λ. Dette er altså sannsynligheten for at λ skal være i tilstand 3 (dvs. at lekkasjefrekvensen er 3 lekkasjer per kvartal) gitt at OF1, OF2, OF3 og OF4 er i tilstand 1 og OF5 er i tilstand 5. Summert nedover skal vektene (wij) for hver kombinasjon i være lik 1, og multiplisert med tilstands-verdiene for λ og summert over alle tilstandene får vi forventningsverdien til λ, dvs. E(λ) for denne kombinasjonen. Dvs at:

∑=

=5

11

jijw (4)

∑=

⋅=5

1)()(

jjiji wE λλ (5)

for alle kombinasjoner i. λj er tilstandsverdiene til λ, dvs. 0.1, 1, 3, 5 og 7. Disse tilstandsverdiene er valgt slik at laveste og høyeste verdi ligger utenfor forankringsverdiene (hhv. 0.17 og 6.67). Når det gjelder den betingede sannsynlighetstabellen som angir sammenhengen mellom lekkasje-frekvensen og antall observerte lekkasjer så er denne langt enklere. Antall observerte lekkasjer modelleres med en ("tilpasset") Poisson-fordeling med rate λ, og blir som vist i Figur 35.

79

Figur 35 Betingede sannsynligheter for antall observerte lekkasjer gitt λ (skjermdump fra HUGIN)

For nærmere detaljer se metoderapporten (Øien & Sklet, 2001a).

7.3.3.1 Eksempel på vekt/styrke for databasert vekting Vi fortsetter med eksempelet fra kap. 7.2.1 hvor vi hadde registrert indikatorverdier som resulterte i en tilstand til de organisatoriske faktorene med følgende kombinasjon: 3-3-3-4-3. Denne kombinasjonen (som alle andre kombinasjoner) gir én vekt (sannsynlighet) per tilstand som lekkasjefrekvensen kan ha. Vi har definert 5 ulike tilstander for lekkasjefrekvensen og dermed vil det være 5 vekter (sannsynlighetsfordeling) for denne kombinasjonen. Denne kan vi få frem enten direkte fra den betingede sannsynlighetstabellen (cpt’en) eller fra det Bayesianske nettverket ved å spesifisere tilstandsverdiene for de organisatoriske faktorene til å være 3-3-3-4-3. Vi har valgt det siste her, noe som er illustrert i Figur 36.

Figur 36 Eksempel på vekter (sannsynligheter) for kombinasjonen 3-3-3-4-3 (skjermdump fra HUGIN)

Av figuren ser vi at vektene for kombinasjon 3-3-3-4-3 er 0.10, 99.10, 0.60, 0.10 og 0.10 for de 5 tilstandene som lekkasjefrekvensen kan innta (dvs. tilstand 1 med verdi 0.1, tilstand 2 med verdi 1, tilstand 3 med verdi 3, tilstand 4 med verdi 5 og tilstand 5 med verdi 7 lekkasjer per kvartal). Vektene er angitt i prosent, og som vi ser så er nesten all vekt (sannsynlighet) lagt på tilstand 2

80

som representerer 1 lekkasje per kvartal. Grunnen til dette er som vi snart skal se at forventnings-verdien ligger svært nær 1. I figuren har vi kun synliggjort den "låste" (fastsatte) tilstandsverdien til OF5 som er 3. Tilsvarende for de øvrige er da en "låsing" (sannsynlighet 100%) på tilstandene 3-3-3-4. Forventningsverdien for lekkasjefrekvensen gitt tilstanden til de organisatoriske faktorene E(λ|OF) finner vi ut fra:

∑=

⋅=5

1)()(

jjjpOFE λλ (6)

hvor pj er sannsynligheten og λj er tilstandsverdien for lekkasjefrekvenstilstand j. For kombinasjonen 3-3-3-4-3 får vi da

021.17001.05001.03006.01991.01.0001.0)()(5

1=⋅+⋅+⋅+⋅+⋅=⋅= ∑

=jjjpOFE λλ

Forventningsverdien er altså svært nær 1 for denne kombinasjonen av tilstander til de organisatoriske faktorene (rating-verdier) med tilhørende vekter, før vi tar hensyn til hva vi har observert av lekkasjer i siste kvartal. Dersom vi regner gjennomsnittsverdien for Statfjord A i perioden 1997-99 som "nåværende" basisverdi, så har forventningsverdien for lekkasjefrekvensen endret seg fra 1.67 til 1.02, noe som tilsvarer en reduksjon på ca. 39%. (Dette har også stor betydning for den totale risikoen, som vi skal komme tilbake til.) Ved den ekspert-baserte vektingen fikk vi en forventningsverdi på 1.43, altså en del høyere enn ved den data-baserte vektingen. Fra Figur 32 ser vi imidlertid at dersom vi benytter den glattede (stiplede) kurven så vil vi for tverrsum lik 16 komme svært nær 1. Dette må imidlertid betraktes som noe tilfeldig, fordi som vi skal se i neste kapittel så vil vektene være "sensitive" for en gitt kombinasjon (også innenfor samme tverrsum) og kan derfor variere (ha verdier både over og under det som fremkommer ved ekspert-basert vekting).

7.4 Aggregering Med aggregering mener vi vanligvis den "totale" ubetingede sannsynligheten for at en variabel befinner seg i en gitt tilstand. I vårt tilfelle er det lekkasjefrekvensen vi ønsker å skaffe oss kunnskap om, og en aggregert effekt av de organisatoriske faktorene (og antall observerte lekkasjer) kunne vært den ubetingede sannsynlighetsfordelingen for lekkasjefrekvensen, dvs "uavhengig" av hvilke tilstander de organisatoriske faktorene måtte befinne seg i. Dette hadde vært aktuelt for oss dersom vi ikke hadde fastsatt (med sannsynlighet 1) hva tilstandene til de organisatoriske faktorene er, men istedet lagt en fordeling over de mulige tilstandene (f.eks at vi anslår tilstanden til design til å være ’middels’ (tilstand 3) med sannsynlighet 0.6 og ’god’ (tilstand 4) med sannsynlighet 0.4.

81

Men, sålenge vi "fastslår" med sannsynlighet 1 tilstandene til de organisatoriske faktorene, så er det den betingede sannsynlighetsfordelingen til lekkasjefrekvensen gitt de observerte tilstandene til de organisatoriske faktorene (og gitt det antall lekkasjer vi observerer) som vi er ute etter. Den generelle betegnelsen på oppdatering av sannsynlighetene i det Bayesianske nettverket, basert på ny informasjon (endret sannsynlighetsfordeling) om en eller flere av variablene i modellen, er propagering (forplantning). Alle sannsynlighetsverdiene i nettverket oppdateres enten dette gjelder med pilretningen ("forward" inferens) eller mot pilretningen ("backward" inferens). I det siste tilfellet må Bayes teorem benyttes, som illustrert i Figur 37.

obsλ

p(λ)

p(λ|obs) p(obs|λ)

p(obs)

)(

)()()(

obsp

pobspobsp

λλλ

⋅=

Bayes teorem:

cpt: p(obs|λ)

Figur 37 Bayes teorem

Når tilstandsverdiene til de organisatoriske faktorene er bedømt/fastsatt gjennom måling med bruk av de organisatoriske risikoindikatorene, og antall observerte lekkasjer for siste kvartal er kjent, så får vi en sannsynlighetsfordeling over de ulike tilstandene til lekkasjefrekvensen. Ut ifra denne kan vi så finne forventningsverdien til lekkasjefrekvensen, som er den verdien vi er interessert i. Et eksempel på dette er illustrert i Figur 38.

Figur 38 Eksempel på sannsynlighetsfordeling over lekkasjefrekvensen (skjermdump fra HUGIN)

De organisatoriske faktorene har i eksempelet som er benyttet i Figur 38 tilstandene 3-4-2-3-2 (dvs. gjennomsnittsverdien for Statfjord A i perioden 1997-99), og som det er vist til høyre i figuren så har vi observert 2 lekkasjer. Dette gir da sannsynlighetsfordelingen for lekkasjefrekvensen som vist midt på figuren. Forventningsverdien til lekkasjefrekvensen finner vi da som følger:

82

793.170001.050004.033953.016041.01.000.0)(),(5

1=⋅+⋅+⋅+⋅+⋅=⋅= ∑

=jjjpobsOFE λλ

hvor pj er sannsynligheten og λj er tilstandsverdien for lekkasjefrekvenstilstand j. Vi får altså i dette tilfellet en lekkasjefrekvens på ca. 1.8 lekkasjer per kvartal. (NB! Vi har nå benyttet oss av den data-baserte vektingen beskrevet i kap. 7.3.3, som vi også vil benytte i resten av kapittelet.) Tabell 7 viser hvilke forventningsverdier (E(λ)) vi får for enkelte kombinasjoner av tilstander til de organisatoriske faktorene. Vi har bl.a tatt med basistilstandskombinasjonen (3-4-2-3-2), den verste kombinasjonen (1-1-1-1-1) og den beste kombinasjonen (5-5-5-5-5), samt et par mellomliggende kombinasjoner (2-2-2-2-2 og 4-4-4-4-4).

Tabell 7 E(λ) for et utvalg tilstandskombinasjoner med og uten observasjoner

Kombinasjon Kun OF’er 0 1 2 3 4 5+1-1-1-1-1 6,981 5,161 6,627 6,911 6,971 6,988 6,9982-2-2-2-2 3,223 2,974 3,052 3,091 3,149 3,235 3,5633-4-2-3-2 1,707 1,138 1,362 1,793 2,319 2,686 2,9504-4-4-4-4 0,401 0,245 0,689 0,948 0,988 1,011 2,1615-5-5-5-5 0,135 0,108 0,181 0,538 0,779 0,822 2,302

Observasjoner

Tabellen inkluderer bl.a det eksempelet vi viste til ovenfor hvor vi hadde en tilstandskombinasjon 3-4-2-3-2 og observert 2 lekkasjer (forventningsverdi lik 1.793 lekkasjer per kvartal). Vi ser også at basiskombinasjonen 3-4-2-3-2 før observasjon gir en forventning på 1.707 lekkasjer per kvartal som er tilnærmet lik "basisforventningen" på 20/12 = 1.67 lekkasjer per kvartal basert på de 20 lekkasjene på Statfjord A i løpet av de 12 kvartalene i 1997-99. Mht. forankring så ser vi av tabellen at verste kombinasjon (1-1-1-1-1) gir E(λ)=6.981 som er nokså nær den forventningsverdien (E(λ)=6.67) vi kom frem til ved bedømmingen i kap. 7.3.2. Videre ser vi at den beste kombinasjonen (5-5-5-5-5) gir E(λ)=0.135 som også er nokså nær den forventningsverdien (E(λ)=0.17) vi kom frem til i kap. 7.3.2. "Forankringsverdiene" ("variasjons-bredden") baserer seg på en del av de samme bedømmelsene som ble gjort i kap. 7.3.2. Verdiene i Tabell 7 er også vist i Figur 39.

83

Lekkasjefrekvens (forventningsverdi)

012345678

KunOF’er

0 1 2 3 4 5+

Observerte lekkasjer

E(l

amb

da)

1-1-1-1-12-2-2-2-23-4-2-3-24-4-4-4-45-5-5-5-5

Tilstands-kombinasjoner:

Figur 39 Lekkasjefrekvensen som funksjon av tilstandene til de organisatoriske faktorene og antall observerte lekkasjer (for et lite utvalg tilstandskombinasjoner)

Figuren gir en viss illustrasjon (inntrykk) av i hvilken grad antall observerte lekkasjer påvirker lekkasjefrekvensen ift. tilstandsverdiene til de organisatoriske faktorene (OF’ene). Kun når det er stor grad av "uoverensstemmelse" får observasjonene relativt stor betydning. Vi ser at en tilstandsbedømming som tilsier en svært dårlig tilstand (1-1-1-1-1) basert kun på OF’ene gir ca. 7 lekkasjer per kvartal i forventning, mens en observasjon på 0 lekkasjer er så usannsynlig gitt en underliggende λ på ca. 7 at dette "trekker ned" forventningsverdien fra ca. 7 til ca. 5. Motsatt så vil en svært god situasjon med lav forventning basert kun på OF’ene gi en λ som tilsier at det er svært usannsynlig å observere mange lekkasjer. Skulle man derfor ("mot formodning") observere mange (f.eks 4 eller flere) lekkasjer så får dette relativt stor innvirkning på forventningsverdien (som da "trekkes oppover"). Det finnes ikke noe fasitsvar (eller "naturlov") for hvor mye observasjonene skal "få lov til" å influere på λ. Legger vi forholdsvis liten vekt på observasjonene så betyr det bare at vi har "god tro" på modellen som utgjør sammenhengen mellom OF’ene og λ. (Se forøvrig metoderapporten (Øien & Sklet, 2001a).) Når vi nå benytter den "fullstendige" betingede sannsynlighetstabellen (cpt’en) basert på den datadrevne vektingen (beskrevet i kap. 7.3.1) og ikke en forenkling som kun betrakter tverrsummene til tilstandskombinasjonene (beskrevet i kap. 7.3.2), så er forventningsverdien "sensitiv" for den enkelte kombinasjon. Dvs. at selv om flere kombinasjoner har samme tverrsum så vil lekkasjefrekvensen kunne være nokså forskjellig. Dette skyldes både at de enkelte organisatoriske faktorene har ulik betydning for lekkasjefrekvensen og at det er samspillseffekter ute og går som også er spesifikk for en spesifikk kombinasjon (av 2 og 2 faktorer). Dette er forsøkt illustrert i Figur 40.

84

6

(’Tverrsum’)

5 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

1-1-1-1-1

5-5-5-5-51.0

2.0

3.0

4.0

5.0

6.0

7.0

E(λ)

X

X

1.67

verste tilstand

beste tilstand

-90%

+20%0

∆E(λ)

0

X

+80%

+140%

+200%

+260%

+300%

-40% 2-2-5-2-2

3-4-1-3-2

Figur 40 E(λ) er sensitiv for kombinasjonene og ikke lik for samme tverrsum

I figuren er det indikert at forventningsverdien til lekkasjefrekvensen vil dekke et "større" område for hver tverrsum. Som eksempel er vist kombinasjonene 3-4-1-3-2 og 2-2-5-2-2 som begge har 13 som tverrsum, men hvor det er nokså stor forskjell mellom forventningsverdiene (hhv. 2.231 og 1.321), noe som skyldes at OF3 er den faktoren som har størst betydning for lekkasje-frekvensen. Vi kan også legge merke til at for den siste kombinasjonen så går faktisk forventningsverdien ned (ift. basiskombinasjonen 3-4-2-3-2) selv om tverrsummen skulle tilsi en forverring.

7.4.1 Eksempel på aggregering/propagering Vi fortsetter med eksempelet fra kap. 7.2.1 hvor vi hadde registrert indikatorverdier som resulterte i en tilstand til de organisatoriske faktorene med følgende kombinasjon: 3-3-3-4-3. I kap. 7.3.1.1 fant vi ut at forventningsverdien til lekkasjefrekvensen var lik 1.021 før informasjon om antall observerte lekkasjer siste kvartal. La oss anta at vi har hatt 3 lekkasjer i det siste kvartalet. Hvordan slår dette ut på forventningsverdien til lekkasjefrekvensen når vi antar samme tilstand til de organisatoriske faktorene (dvs. 3-3-3-4-3)? Her må vi anvende det Bayesianske nettverket, fordi propageringen innebærer både "forward" inferens fra tilstandene til OF’ene og "backward" inferens fra det observerte antall lekkasjer (med anvendelse av Bayes teorem). Sannsynlighetsfordelingen over tilstandene til lekkasjefrekvensen er vist i Figur 41.

85

Figur 41 "Sannsynlighetsforplantning" gitt tilstandene til OF’ene og antall observerte lekkasjer (skjermdump fra HUGIN)

Beregningen av forventningsverdien til lekkasjefrekvensen blir som følger (basert på sannsynlighetene som er angitt i den midterste boksen i figuren):

056.170008.050022.03021.019759.01.000.0)(),(5

1=⋅+⋅+⋅+⋅+⋅=⋅= ∑

=jjjpobsOFE λλ

hvor pj er sannsynligheten og λj er tilstandsverdien for lekkasjefrekvenstilstand j. Vi får altså svært liten endring i forventningsverdien sammenlignet med verdien vi hadde før vi kjente til de observerte lekkasjene. Selv om det ikke er så veldig sannsynlig å observere 3 lekkasjer når den underliggende λ er ca. 1, så kan det allikevel betraktes som at så mange som 3 kan inntreffe ved en "tilfeldighet". Det er nærmere 10% sannsynlighet for å observere 3 eller flere lekkasjer med en λ på ca. 1. Hvis vi derimot antar at vi observerte 5 lekkasjer, så er dette såvidt usannsynlig (ca. 0.4% for 5 eller flere) at forventningsverdien vil "trekkes oppover" fra ca. 1 til 2.098 lekkasjer per kvartal. (Ref. også diskusjonen ifm. Figur 39.) Dersom vi skulle oppleve at vi observerer et antall lekkasjer som er svært lite sannsynlig gitt den underliggende λ basert på tilstandene til de organisatoriske faktorene, så tyder det på at modellen (sammenhengen mellom OF’ene og λ) ikke er helt god. Dette kan f.eks være aktuelt dersom man observerer et antall lekkasjer (dette antallet eller flere)14 som har mindre enn 5% sannsynlighet for å inntreffe (gitt underliggende λ) i mer enn 1 av 20 tilfeller (evt. 10% i mer enn 1 av 10 tilfeller). Men, som allerede nevnt så finnes det ikke noe "fasitsvar" for hvor mye observasjonene skal "få lov til" å influere på λ. Måten vi har bestemt betydningen til antall observerte lekkasjer er beskrevet i metoderapporten.

14 Ved høy underliggende λ gjelder dette for 0, evt. 0 og 1, osv. observerte lekkasjer.

86

7.5 Effekt på risiko (relativ endring) Effekten på risikoen beregnes ut i fra endring i lekkasjefrekvensen som inngår som parameter i risikomodellen (i TRA’en). Effekten av en endring i lekkasjefrekvensen på den totale risikoen har vi beregnet vha. følsomhetsanalyser (med bruk av risikoanalysen) i fase I av indikatorprosjektet (Øien & Sklet, 1999b). Her fant vi at for Statfjord A så vil X% endring i lekkasjefrekvensen føre til 0.464⋅X% endring i det totale risikonivået for installasjonen. (Eksempelvis så vil 50% endring i lekkasjefrekvensen føre til ca. 23% endring i det totale risikonivået). Lekkasjefrekvensen er altså en svært viktig faktor for risikoen. Basert på sist oppdaterte risikoanalyse (Statoil, 1996) skulle antallet av "observérbare" lekkasjer (som selvsagt i hovedsak utgjøres av små og middels store lekkasjer fordi store og svært store lekkasjer inntreffer veldig sjelden) være tilstrekkelig til å anvende antallet av alle lekkasjer som en direkte indikator. Dette viste seg ikke å holde stikk. I likhet med de antakelser vi måtte gjøre for en eventuell anvendelse av en direkte indikator så må vi også for de indirekte organisatoriske risikoindikatorene gjøre de samme antakelser. Disse er: 1. Forholdet mellom de ulike lekkasjekategoriene (’små’, ’middels’, ’stor’ og ’svært stor’) forblir

konstant, dvs at de svært sjelden observerte lekkasjekategoriene ’stor’ og ’svært stor’ endres relativt sett like mye som de observerbare lekkasjekategoriene ’små’ og ’middels’. Den underliggende λ vi kommer frem til gjelder summen av ’små’ og ’middels’ lekkasjer.15

2. Vi antar en fordeling av lekkasjene mellom de ulike modulene som er slik at risikoen ikke endres som følge av en forskyvning av lekkasjene mot mer eller mindre "farlige" områder. Vi gjør en gjennomsnittsbetraktning for hele plattformen.

3. Vi antar en lineær sammenheng mellom endringen i lekkasjefrekvens og risiko. (Dette går an å kontrollere gjennom å foreta flere følsomhetsanalyser vha. OHRAT16.)

Når det gjelder den første antakelsen så er det nå en endring ift. anvendelse av en direkte indikator i form av "antallet av alle lekkasjer" (som nå er vårt antall observerte lekkasjer per kvartal) ved at vi nå ser på de bakenforliggende årsaksfaktorene. Antakelsen betyr da at en forbedring av årsaks-faktorene som resulterer i en lavere sannsynlighet for små/middels lekkasjer også gir en lavere sannsynlighet for store/svært store lekkasjer (relativt sett like mye). Antakelsen går altså ikke lenger direkte fra små/middels lekkasjer til store/svært store lekkasjer, men fra de baken-forliggende årsaksfaktorene og til de store/svært store lekkasjene, som er de som bidrar med størsteparten av risikoen. Det skulle være rimelig å anta at det er de samme typer bakenforliggende årsaksforhold som innvirker på de store lekkasjene som de små. Ved Piper Alpha katastrofen i 1988 var det bl.a svikt i handover mellom skift, samt at arbeidsordresystemet delvis hadde brutt sammen (ref. f.eks Reason, 1997). Svikt i handover (som også har forårsaket lekkasje på Statfjord A) fører til kommunikasjons-/koordineringssvikt, mens sammenbrudd av arbeidsordresystemet fører til svikt i både koordinering og kontroll. (Mangelfull kontroll har som kjent medvirket til mange lekkasjer på Statfjord A, selv om det ikke har skyldtes sammenbrudd i arbeidsordresystemet.) Det er altså grunn til å anta at det er de samme bakenforliggende årsaksforholdene som innvirker både ved små og store lekkasjer (og ulykker for den del)17. Forbedrer man de bakenforliggende organisatoriske årsaksfaktorene, så reduserer man sannsynligheten for såvel store som små

15 Den dekker forsåvidt også ‘store’ og ‘svært store’ lekkasjer fordi de bidrar lite til λ totalt sett. 16 OHRAT – Offshore Hazard and Risk Analysis Toolkit (dataverktøy benyttet i TRA'en) 17 Nå kan det tenkes at dette kan variere noe mellom de ulike organisatoriske faktorene, men vi har her valgt å se alle under ett, dvs. gjøre en gjennomsnittsbetraktning.

87

lekkasjer, og vise versa! Vi "vet" nå (har redusert vår usikkerhet om) hvilke organisatoriske årsaksfaktorer som er de viktigste for lekkasjefrekvensen og hvor mye de påvirker lekkasjefrekvensen. Det som nå gjenstår er å omsette dette til påvirkning på det totale risikonivået. Med de antakelser vi har gjort benytter vi oss av samme sammenheng som vi kom frem til i fase I av indikatorprosjektet, dvs. at X% endring i lekkasjefrekvensen gir 0.464⋅X% endring i den totale risikoen. Det vi har fokus på er relativ endring i risiko, ikke absolutt endring. Det er derfor ikke så kritisk hvilket utgangspunkt vi tar, dvs. basisår. For lekkasjefrekvensen (og dermed også de organisatoriske risikoindikatorene knyttet til denne) har vi valgt å benytte perioden 1997-99 som basis. Dette gir som kjent en lekkasjefrekvens på 20/12=1.67 per kvartal (og som ved anvendelsen av den data-baserte vektingen i BN er "forsiktig" tilpasset til 1.707). Utviklingen i perioden 1997-99 har vært stabil (tilnærmet konstant ROCOF/"lekkasjerate") og vi antar derfor at dette nivået er representativt for den nåværende situasjonen. Dvs. vi setter E(λ)basis=1.67 lekkasjer per kvartal. Nå viser det seg at nivået på lekkasjefrekvensen har endret seg "radikalt" siden den sist oppdaterte risikoanalysen forelå (i 1995). Den baserte seg på lekkasjedata fra 1989-93 som representerte et antall observerbare lekkasjer (små og middels) tilsvarende 8.4 lekkasjer per kvartal. Lekkasjefrekvens-reduksjonen har da over en knapp tiårs-periode vært ca. 80%, noe som skulle med de antakelser vi har gjort føre til 80x46.4=37% risikoreduksjon. Vår antakelse nummer 3 om lineær sammenheng mellom endring i lekkasjefrekvensen og risikoen blir mer tvilsom jo større endringene er. Med den store endringen som har vært mht. lekkasjefrekvens, så kan en fortsatt benyttelse av en endringsfaktor på 0.464 være tvilsom. Dette avhenger også av hvordan utviklingen har vært for andre ulykkestyper enn prosessulykker18. Som vi nevnte under antakelse 3 så kan dette sjekkes gjennom flere følsomhetsanalyser i nåværende risikoanalyse evt. oppdatere denne og få en ny basisrisiko19. Inntil videre benytter vi endringsfaktoren k=0.464, men vi tar forbehold om at denne kan være endret. I Figur 42 har vi illustrert sammenhengen mellom endring i lekkasjefrekvens (ut fra tilstandene til de organisatoriske faktorene) og endring i risiko. Vi benytter samme figur som er benyttet tidligere (Figur 40). Som vi har diskutert tidligere og som illustrert i figuren så er forventningsverdien til lekkasje-frekvensen sensitiv til den eksakte kombinasjonen av tilstandene til de organisatoriske faktorene (når vi anvender den data-baserte vektingen). Vi vet derfor ikke hva forventningsverdien er bare basert på tverrsummene, men må kjenne kombinasjonen til OF-tilstandene. Når denne er kjent kan risikoendringen avleses på aksen helt til venstre i figuren. (Eksempelvis vil en lekkasjefrekvens på 3.0 representere en 37% økning i den totale risikoen for installasjonen.) Endringen i risiko kan vi også beregne ut fra:

464.0)(278.0167.1

)(464.01

)(

)( −⋅=

−⋅=

−⋅=∆ λλ

λλ

EE

E

EkR

basis

(7)

18 Dersom risikoen for andre ulykkestyper enn prosessulykker tilsammen har endret seg tilsvarende som prosessulykker så er endringsfaktoren den samme, men dersom risikoen for prosessulykker har endret seg relativt sett mer enn de øvrige ulykkestypene, så er endringsfaktoren redusert. 19 Med såvidt store endringer bare innenfor prosesslekkasjer og den tiden som har gått siden forrige oppdatering burde TRA’en strengt tatt vært igjennom en ny oppdatering.

88

6

(’Tverrsum’)

5 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

1-1-1-1-1

5-5-5-5-51.0

2.0

3.0

4.0

5.0

6.0

7.0

E(λ)

X

X

1.67

verste tilstand

beste tilstand

-42%

+9%0

0

X

+37%

+65%

+93%

+121%

+148%

-19% 2-2-5-2-2

3-4-1-3-2

∆R

Figur 42 Risikoendring som funksjon av lekkasjefrekvensen

7.5.1 Eksempel på beregning av effekt på risiko Vi fortsetter her på eksempelet fra kap. 7.4.1 hvor en tilstandskombinasjon for OF’ene på 3-3-3-4-3 samt 3 observerte lekkasjer ga en forventningsverdi for lekkasjefrekvensen E(λ)=1.056. Endringen i risiko finner vi da med bruk av likning 7:

170.0464.0056.1278.0464.0)(278.0 −=−⋅=−⋅=∆ λER Altså en risikoreduksjon på 17%. Dette er resultatet av de (fiktive) målinger vi gjorde med de organisatoriske risikoindikatorene som resulterte i tilstandsverdiene til de 5 organisatoriske faktorene på hhv. 3, 3, 3, 4 og 3, samt et observert antall lekkasjer i siste kvartal lik 3.

7.6 Følsomhetsanalyser Vi vil benytte følsomhetsanalyser for å belyse 3 ulike perspektiver. Disse er: • Hvor bør tiltak settes inn? (Hvor er forbedrings- og forverringspotensialet størst?) • Hvor følsomme er de antakelser og vurderinger vi har gjort? • Hvordan kan vi anvende metodikken dersom vi mangler informasjon?

89

7.6.1 Forbedrings- og forverringspotensial Selv om vi først og fremst ønsker å overvåke/kontrollere risikoutviklingen gjennom oppfølgingen av tilstanden til de 5 organisatoriske faktorene, så vil resultatene kunne benyttes til å si noe om hvilke faktorer som har størst potensiale for forbedring evt. forverring. Dette gjelder også for kombinasjoner av faktorer. I Figur 43 har vi betraktet faktorene enkeltvis og sett på hvordan forventningsverdien til lekkasjefrekvensen (E(lambda)) endrer seg dersom tilstanden endrer seg fra nåværende verdi.

Endring i lekkasjefrekvens

0,0

0,5

1,0

1,5

2,0

2,5

3,0

Faktortilstand

E(l

amb

da)

OF1 2,4 2,0 1,7 1,4 1,2

OF2 2,7 2,3 2,0 1,7 1,5

OF3 2,2 1,7 1,3 1,0 0,8

OF4 2,3 2,0 1,7 1,5 1,2

OF5 2,1 1,7 1,4 1,1 0,9

Tilst. 1 Tilst. 2 Tilst. 3 Tilst. 4 Tilst. 5

+61%

-55%

Figur 43 Endring i lekkasjefrekvens ved enkeltvis endring av OF’ene

Hver enkelt faktor er endret mens alle andre er fastholdt på sin nåværende tilstand. Utgangspunktet er tilstandskombinasjonen 3-4-2-3-2 som gir en forventningsverdi på 1.707 lekkasjer per kvartal. Vi ser av figuren at forbedringspotensialet er størst for OF3 ("…, kontroll") og OF5 ("PM-program/inspeksjon"). For OF3 er forbedringspotensialet på 55%. Forverringspotensialet er størst for OF2 ("prosedyrer, SJA, …") og kan i verste fall resultere i en 61% økning i lekkasje-frekvensen. I figuren har vi med stiplet linje vist hva som er nåværende tilstand og som representerer forventningsverdien på 1.707 lekkasjer per kvartal. Her ser vi da at potensialet for forbedring eller forverring avhenger av utgangspunktet, og at dette varierer. Dersom vi er interessert i å sammenlikne faktorene med hverandre for en gitt lik endring av tilstand må vi benytte felles nullpunkt. Dette er gjort i Figur 44.

90

Endringspotensial for lekkasjefrekvensen

0

0,5

1

1,5

2

2,5

3

Minus 3 Minus 2 Minus 1 Null Pluss 1 Pluss 2 Pluss 3

Tilstandsendring

E(l

amb

da)

OF1OF2OF3OF4OF5

Figur 44 Enkeltvis (relativt) endringspotensial

Størst relativt forbedrings- og forverringspotensial er det OF3 som har, deretter følger OF5, så OF1, og til slutt OF2 og OF4 (som er helt lik). Når det gjelder absolutt forverringspotensial så ser vi at dette er det OF2 som har etterfulgt av OF1 og OF4. Når det gjelder forbedring så ser vi at det er nesten like stor effekt av å forbedre OF 3 med én tilstandsverdi (fra 2 til 3) som det er å forbedre OF1 eller OF4 med to tilstandsverdier (fra 3 til 5). Det vil altså være mest effekt av å sette inn tiltakene mot faktorene OF3 og OF5, men samtidig skal man være på vakt mot å forverre de forholdene hvor man idag er forholdsvis god. Selv om faktorene OF3 og OF5 er de faktorene som gir størst relativ forbedring (og også absolutt forbedring) så er det ikke sikkert at disse er de mest "lønnsomme" i den forstand at man får "mest sikkerhet igjen for hver krone investert". Her har vi kun sett på potensialet uten å vurdere kostnadene ved en forbedring med én tilstandsverdi. Dette vil mest sannsynlig variere nokså mye mellom faktorene. Det kunne jo f.eks tenkes at en forbedring av OF1 med to tilstandsverdier ikke koster mer enn en forbedring av OF3 med én tilstandsverdi. Nå er nok situasjonen for OF3 og OF5 gunstig mht. forbedringspotensiale i og med at disse er vurdert til å ha et dårligere utgangspunkt (tilstandsverdi 2) og at det generelt kan være mindre "krevende" med en forbedring fra tilstand 2 til 3 enn fra f.eks 4 til 5. Hva så med endring av 2 og 2 faktorer? Hvilke kombinasjoner av faktorer gir størst forbedrings- og forverringspotensial? Vi betrakter forbedring og forverring hver for seg. I Figur 45 har vi illustrert forbedringspotensialet ved å la 2 og 2 faktorer forbedres maksimalt (dvs. begge forbedres fra nåværende antatte tilstandsverdi til tilstand 5), mens de øvrige faktorene holdes på den nåværende tilstanden.

91

Reduksjon i lekkasjefrekvensen

0

0,2

0,4

0,6

0,8

1

1,2

1,4

1,6

1,8

Null Pluss 1 Pluss 2 Pluss 3 Pluss 4 Pluss 5 Pluss 6

Tilstandsforbedring

E(l

amb

da)

OF1+OF2

OF1+OF3

OF1+OF4

OF1+OF5

OF2+OF3

OF2+OF4

OF2+OF5

OF3+OF4

OF3+OF5

OF4+OF5

Linear (OF3+OF5)

Figur 45 Parvis forbedringspotensial til de organisatoriske faktorene

Ikke overraskende er det kombinasjonen OF3+OF5 som har det største absolutte forbedrings-potensialet (fra 1.707 til 0.313 lekkasjer per kvartal, dvs 82% reduksjon i lekkasjefrekvensen). Dette skyldes at det kun er denne kombinasjonen som har mulighet for en samlet forbedring tilsvarende 6 tilstandsverdier. Men, vi har i figuren også lagt inn linjen (kalt "Linear (OF3+OF5)") fra utgangspunktet (som er likt for alle) til punktet for maksimalendring for OF3+OF5. Her ser vi at relativt til antall tilstandsverdier som må forbedres så er det "gunstigere" å forbedre kombinasjonen OF1+OF3 og OF2+OF3. Dette kan imidlertid bli noe misvisende fordi vi kun betrakter en maksimal endring. En mindre endring trenger ikke å følge den lineære kurven i figuren, og dessuten vil det for en endring som er mindre enn maksimal være flere mulige kombinasjoner hver med sin unike absolutte forbedring. I Figur 46 har vi vist forverringspotensialet dersom 2 og 2 faktorer endres til verste tilstand (dvs tilstandsverdi 1) samtidig som de øvrige 3 faktorene holdes på sitt nåværende nivå.

Økning i lekkasjefrekvensen

0

0,5

1

1,5

2

2,5

3

3,5

4

4,5

Minus 5 Minus 4 Minus 3 Minus 2 Minus 1 Null

Tilstandsforverring

E(l

amb

da)

OF1+OF2

OF1+OF3

OF1+OF4

OF1+OF5

OF2+OF3

OF2+OF4

OF2+OF5

OF3+OF4

OF3+OF5

OF4+OF5

Linear (OF1+OF2)

Figur 46 Parvis forverringspotensial til de organisatoriske faktorene

92

Det største absolutte forverringspotensialet er det kombinasjonen OF1+OF2 som har (endring fra 1.707 til 3.935 lekkasjer per kvartal, dvs 131% økning i lekkasjefrekvensen). Men også her ser vi at f.eks OF2+OF3 relativt sett er "verre".

7.6.2 Følsomhet av antakelser og vurderinger Vi gjør en rekke antakelser og vurderinger underveis i forsøket på å si noe om hvor mye endringer i organisatoriske faktorer påvirker risikonivået kvantitativt. Noen er mer kritiske enn andre, noen lar seg lettere kontrollere enn andre, og noen lar seg lettere vurdere vha. følsomhetsanalyser enn andre. Nedenfor har vi listet hvilke forhold som påvirker resultatet. 1. Viktigste organisatoriske faktorer er inkludert i modellen 2. Indikatorene måler de viktigste aspektene av de organisatoriske faktorene 3. Selve indikatormålingen er korrekt 4. Måleskalaen er korrekt (korrekt forankring) 5. Korrekt vekting mellom indikatorene (innenfor hver faktor) 6. Korrekt tilstandsverdi for de organisatoriske faktorene 7. Korrekte forankringsverdier for vektingen (nåværende, verste og beste tilstand) 8. Korrekt estimering av tilstandsverdier for bruk av tidligere lekkasjehendelser (data) 9. Korrekt data-basert vekting 10. Korrekt medvirkning/effekt av antall observerte lekkasjer 11. Korrekt effekt på risikoen Vi vil kommentere på alle disse forholdene, men det er kun forhold 4, 5, 6, 7 og 11 som vi kan gjennomføre følsomhetsanalyser for som kan belyse hvor følsomme disse forholdene er for en "ukorrekt" håndtering. 1. Viktigste organisatoriske faktorer er inkludert i modellen Dette kontrollerer vi gjennom å benytte den kvalitative lekkasjemodellen når lekkasjen årsaks-vurderes (helst samtidig med at RUH’en fylles ut og diskuteres av plattformledelsen). Skulle man få flere hendelser som ikke passer inn i modellen, så må det vurderes å endre modellen (legge til og/eller fjerne faktorer). At det sporadisk kan oppstå lekkasjer som ikke passer inn i modellen er mulig da denne ikke er tenkt å skulle dekke absolutt alle tenkelige (og utenkelige) lekkasje-tilfeller. Vi har en målsetting om at modellen skal dekke det viktigste. Dette gjør at modellen kan holdes på et håndterbart kompleksitetsnivå. 2. Indikatorene måler de viktigste aspektene av de organisatoriske faktorene Dette er et svært sentralt forhold og har med validitet å gjøre, dvs om vi måler det vi faktisk ønsker å måle. Det finnes mange former for validitet, men vi skal ikke foreta en uttømmende diskusjon omkring dette. Én type validitet vil vi imidlertid ta med og det er det som kalles "face validity", og som i praksis innebærer at dersom plattformpersonell og plattformledelsen på Statfjord A oppfatter indikatorene til å måle viktige aspekter ved de tilhørende organisatoriske faktorene så er indikatorene "gode" ("valide"). De har såkalt høy "face validity". Dette er den eneste form for validitet vi har lagt vekt på sålangt. Det er også viktig at den operatør som tar i bruk slike organisatoriske risikoindikatorer er med på å utarbeide/vurdere disse. Dette skyldes bl.a at man kan bli nødt til å "kompromisse" mellom validitet og registrerbarhet. Krav til enkel registrering kan gå ut over validiteten.

93

Med den metodikk vi benytter så går det også an å "bøte på" eventuell dårlig validitet. Dette skal vi komme tilbake til under diskusjonen omkring hvordan vi kan håndtere mangelfull informasjon. Dersom vi mangler indikatormålinger eller at indikatorene for en bestemt faktor (eller flere faktorer) anses for å ha "utilstrekkelig" validitet kan vi foreta en subjektiv vurdering av faktoren og legge en sannsynlighetsfordeling over tilstandene. Dette kan gjøres uten eller i tillegg til indikatormålinger. 3. Selve indikatormålingen er korrekt Dette har med såkalt "reliabilitet" å gjøre, dvs hvorvidt ulike personer kommer frem til samme resultat av målingen (evt. om samme person ved repeterte målinger kommer frem til samme måleresultat). Basert på den type indikatorer vi benytter hvor målingene baserer seg i stor grad på registrerte forhold, så vil det være likegyldig hvem som foretar "målingen". De vil komme frem til samme måleresultat. Indikatorene har i så måte høy reliabilitet. En forutsetning vi her gjør er at all rapportering og registrering er korrekt, dvs at man ikke over- eller underrapporterer. Dersom man bevisst går inn for å "jukse" (jfr. f.eks AETATs jobbformidling) så blir selvsagt målingene feil. Dersom det imidlertid er problemer med validiteten slik at vi må anvende subjektive vurderinger av en hel faktor, så kan det oppstå problemer ift. reliabilitet. Da kan det godt tenkes at ulike personer vil bedømme samme faktor ulikt. 4. Måleskalaen er korrekt (korrekt forankring) Når vi måler en eller annen verdi vha en indikator (f.eks et antall eller en andel) så kan denne forsåvidt være grei å måle med høy reliabilitet, men vi må kunne si hvorvidt målingen betyr at den tilhørende faktoren er "godt" eller "dårlig" ivaretatt. (Vi kan på en måte si at vi har forskjøvet problemet fra forrige punkt over til måleskalaen.) Vi benytter som kjent 5 ulike verdier fra ’svært dårlig’ til ’svært god’ og vi må bestemme hvilken indikatorverdi som skal tilsvare disse 5 ulike tilstandene til den organisatoriske faktoren. Vi kan til en viss grad "tune" måleskalaen ift. hva som vi oppfatter å være nåværende gjennomsnittsverdi for faktoren (slik at vi totalt for alle indikatorene havner ut på gjennomsnittet), men yttergrensene (verdi 1 og 5), spesielt dårligste verdi (1), kan være vanskeligere å fastsette. I mange tilfeller vil beste verdi gi seg ut fra hva som er "maksimalt oppnåelig", mens dårligste verdi utgjør den største utfordringen. I noen tilfeller hvor andel benyttes som indikator har vi satt 0.5 som dårligste verdi, dvs at dersom andelen er mindre enn 50% så oppnår man ikke mer enn en "score" på 1. Dette er selvsagt også et forhold som plattformpersonell/ledelse som skal anvende indikatorene må ta stilling til. Men la oss anta at en andel på 0.5 er "feil". Hvor mye betyr dette? La oss anta at det korrekte skulle vært 0.2 for indikator ORI21, og så anvender vi det eksempelet vi startet med i kap. 7.2.1. Den nye "scoren" eller ratingverdien (r21) ville da blitt 4 istedetfor 3 for denne indikatoren. (Det samme ville en forankringsverdi/ytterpunkt på 0 istedetfor 0.2 gitt.) Den totale ratingverdien for faktoren (OF2) vil nå bli (se kap. 7.2):

15.312.0525.0225.043.04

1222 =⋅+⋅+⋅+⋅=⋅= ∑

=jjj rvr

94

OF2 er dermed fortsatt målt til en tilstand 3. (Ligger imellom 2.5 og 3.5.) Selv om vi både for indikator ORI21 og indikator ORI22 (dvs 2 av 4 indikatorer) forandret nedre grense fra 0.5 til 0.2, så vil vi fortsatt havne innenfor 2.5 og 3.5 slik at tilstandsverdien blir 3 for faktoren som helhet. Det at vi har såpass få tilstandsverdier som 5 for de organisatoriske faktorene gjør at vi blir rimelig robust mot "feil" i måleskalaen. Situasjonen hadde vært verre dersom vi hadde forsøkt å benytte en 10-delt skala. 5. Korrekt vekting mellom indikatorene (innenfor hver faktor) Ulik vekting av indikatorer for et og samme forhold betyr mindre jo flere indikatorer vi benytter. Dersom en faktor måles med noen få indikatorer vil vektingen få større betydning, og vi velger derfor de faktorene som kun har 2 indikatorer, for en følsomhetsvurdering. Dette gjelder OF3 og OF5. For OF3 er indikatorene ORI31 og ORI32 vektet hhv. 70% og 30%. Dette ga i eksempelet i kap. 7.2.1 tilstand 3 for faktor OF3. Anta en vekt på 50%/50%. Da får vi følgende rating:

5.345.035.02

1333 =⋅+⋅=⋅= ∑

=jjj rvr

Dette endrer altså ratingen fra 3.3 til 3.5. Nå ligger 3.5 akkurat på grensen mellom tilstand 3 og 4, og runder vi oppover tipper vi dermed over til en tilstand 4. Dette vil gi utslag på lekkasjefrekvensen ved at vi nå får tilstandskombinasjonen 3-3-4-4-3 istedefor 3-3-3-4-3 (i eksempelet vårt). Uten å ta hensyn til antall observerte lekkasjer siste kvartal så vil forventningsverdien til lekkasjefrekvensen endre seg fra E(λ)=1.021 til E(λ)=0.776. Istedetfor en 40% reduksjon i lekkasjefrekvensen kommer vi frem til en 54% reduksjon. Nå vil vi selv om vi varierer vektingen fra det ene ytterpunktet (100%/0%) til det andre (0%/100%) befinne oss mellom rating 3 og 4 og dermed tilstand 3 eller 4. Tilstanden vil være den samme (verdi 3) dersom den endres mellom 100%/0% og 51%/49%. Dette uttrykker følsomheten i de anslåtte vektene 70%/30%. Dersom vi "bikker over" til et sted mellom 50%/50% og 0%/100% så endres tilstandsverdien til 4 og dermed lekkasjefrekvensen med 14% større reduksjon enn ved tilstand 3. For OF5 er indikatorene ORI51 og ORI52 vektet hhv. 40% og 60%. Dette ga i eksempelet i kap. 7.2.1 tilstand 3 for faktor OF5. Anta en vekt på 50%/50%. Da får vi følgende rating:

5.245.015.02

1555 =⋅+⋅=⋅= ∑

=jjj rvr

Dette endrer ratingen fra 2.8 til 2.5 og vi befinner oss fortsatt innenfor området for tilstand 3. I og med at indikatorene gir såvidt forskjellige verdier som 1 og 4 vil faktoren bli mer følsom for vektene enn tilfellet var for faktor OF3. Dersom vi antar at den "korrekte" vektingen er et sted mellom 50%/50% og 20%/80% så vil resultatet bli det samme som ved en vekting 40%/60%. Havner vi utenfor dette området vil tilstandsverdien endre seg. Ved f.eks 60%/40% istedetfor 40%/60% så får vi en tilstand 2 istedetfor 3 og dermed tilstandskombinasjonen 3-3-3-4-2. Denne har (uten informasjon om observerte lekkasjer) en forventningsverdi til lekkasjefrekvensen på E(λ)=1.347, dvs en reduksjon på 21% istedetfor 40% ift. nåværende tilstand/lekkasjefrekvens på 1.707 lekkasjer per kvartal.

95

Også når det gjelder fastsettelse av individuelle vekter for indikatorene er det viktig at plattformpersonell/ledelse er med å vurderer/fastsetter disse. 6. Korrekt tilstandsverdi for de organisatoriske faktorene Denne blir en funksjon av de 4 foregående forholdene. Korrekt tilstandsverdi for en organisatorisk faktor avhenger av at vi måler de riktige aspektene, at selve målingen er korrekt, at måleskalaen er korrekt (forankret) og at vekting/sammenveiing av flere indikatorer er korrekt. Generelt kan vi si at forutsatt at vi måler de riktige aspektene ("valide" indikatorer) så er resultatet rimelig robust for avvik i måleskala og individuell vekting av indikatorene. Dersom avviket er såvidt stort at vi får "feil" tilstandsverdi, så slår dette ut endel. I eksempelet ovenfor så vi at vi istedetfor en 40% endring i lekkasjefrekvensen kan få en 21% eller 54% endring (altså fra –19% til +14% absolutt avvik). Forutsetningen om valide indikatorer kommer vi tilbake til. 7. Korrekte forankringsverdier for vektingen (nåværende, verste og beste tilstand) Tilsvarende som for forankringen av måleskalaen til indikatorene så er ikke nåværende og beste tilstand det som skaper de største utfordringene. Nåværende tilstandskombinasjon (3-4-2-3-2) tilpasses lekkasjedataene mht. forventningsverdi til lekkasjefrekvensen (20 lekkasjer på 12 kvartal, dvs ca. 1.7 lekkasjer per kvartal). For en etablering/utforsking av metodikk som vi har gjort i dette prosjektet er det ikke kritisk hvilke verdier vi har valgt for nåværende tilstand, men hvis metodikken skal tas i bruk må selvsagt Statfjord A-personell verifisere/korrigere bedømmelsene. Om et forhold er gitt en for høy eller lav tilstandsbedømming, så slår dette først og fremst ut på det absolutte forbedrings-/forverringspotensialet for denne faktoren. For beste tilstand så har vi bedømt dette til å tilsvare 2 lekkasjer per 12 kvartal (dvs. E(λ)beste=0.17). For en følsomhetsvurdering av dette må vi anvende oss av resultatene fra den ekspert-baserte vektingen (endring av forankringsverdier i den data-baserte vektingen og dermed cpt’en i det Bayesianske nettverket er en svært omfattende sak). La oss anta at vi istedetfor 2 lekkasjer benytter 0 eller 5 lekkasjer. Hvordan slår dette ut på lekkasjefrekvensen? Vi velger her å gjøre en "realistisk" antakelse om at den beste tilstanden vi i praksis vil forvente å oppnå i løpet av forholdsvis lang tid er en endring fra 3-4-2-3-2 (med tverrsum 14) til en eller annen kombinasjon med tverrsum 20 (f.eks 4-4-4-4-4). Hvis vi benytter den rette linjen mellom nåværende tilstand og beste tilstand (ref. Figur 32), så betyr dette at vi med et minimum på 2 lekkasjer per 12 kvartal (som nå) har E(λ)20(2)=0.87, mens vi med 0 lekkasjer ville fått E(λ)20(0)=0.76, og med 5 lekkasjer ville fått E(λ)20(5)=0.99, dvs en forbedring på hhv. 54% og 41% istedetfor 48% (relativt til nåværende verdi på 1.67 lekkasjer per kvartal). Et minste antall lekkasjer i området 0-5 (istedetfor 2) gir dermed et absolutt avvik på fra –7% til +6%, som må sies å være relativt beskjedent. Beste tilstand er ikke det som representerer det største problemet. For verste tilstand har vi relatert antallet lekkasjer over en 12-kvartals-periode (80 lekkasjer) til det som tidligere har vært erfart under perioder med mange lekkasjer. Hva om tallet istedet burde vært 100 eller 60? Hvordan slår dette ut på lekkasjefrekvensen? Også her er vi nødt til å benytte den ekspert-baserte vektingen og den lineære kurven mellom nåværende og verste tilstand. Anta analogt med vurderingen av beste tilstand at en "realistisk"

96

forverring settes til en kombinasjon med tverrsum 10 (f.eks 2-2-2-2-2). Denne gir en E(λ)10(80)=3.91, dvs med den nåværende antakelsen om 80 lekkasjer. Med 100 lekkasjer ville vi fått E(λ)10(100)=4.63 lekkasjer per kvartal og med 60 lekkasjer ville vi fått E(λ)10(60)=3.15 lekkasjer per kvartal. Forskjellene er her betydelig større enn det var for avvik fra beste tilstand, men allikevel ikke større enn en faktor på ca. 1.5. 8. Korrekt estimering av tilstandsverdier for bruk av tidligere lekkasjehendelser (data) For at vi skal kunne benytte lekkasjedataene til å foreta en data-basert vekting så har vi behov for å kjenne tilstanden til de organisatoriske faktorene på det tidspunkt lekkasjene inntraff. Dette kan vi få til i fremtiden (hvis vi ønsker det) men å finne ut dette i ettertid er vanskelig. Vi har måttet estimere dette gjennom å benytte lekkasjedata (fra hele Statfjord feltet) og ved å etablere en statistisk modell. Denne estimeringen er rimelig robust. Resultatet (ref. Figur 33) blir stort sett det samme selv om antall hendelser som benyttes halveres. De antakelser vi har gjort som kan gi noe "feil" er at vi benytter data fra hele feltet (SF) og dermed indirekte antar at situasjonen på Statfjord A, Statfjord B og Statfjord C er forholdsvis lik. Dette er nok ikke helt korrekt, spesielt utviklingen i 1999 og begynnelsen av 2000 på Statfjord B og Statfjord C har vært dårligere enn på Statfjord A. Hvor mye dette slår ut på estimeringen er imidlertid vanskelig å si. Nå er det slik at disse estimatene benyttes som underlag for å etablere vektene (de betingede sannsynlighetene) i cpt’en, slik at feil ved estimeringen i seg selv er ikke problemet. Problemet er hvordan dette slår ut på vektingen, ref. neste punkt. 9. Korrekt data-basert vekting En korrekt data-basert vekting er en funksjon av de 2 foregående punktene. For at vektingen skal være korrekt så må forankringsverdiene være korrekt og estimeringen av tilstandsverdiene (bakover i tid) være korrekt. Dersom cpt’en skal benyttes som en statisk tabell (etablert en gang for alle) så er vi sårbare for at de 2 foregående punktene er rimelig "korrekte", men dersom vi velger å benytte dette som et første utgangspunkt og deretter lar cpt’en "lære" etterhvert som vi får informasjon om nye lekkasjer og tilstanden til de organisatoriske faktorene hvert kvartal, så vil vektingen selv om den ikke er helt korrekt fra starten bli mer og mer korrekt etterhvert som vi får inn ny informasjon. Vi blir dermed ikke så sårbare for at punkt 7 og 8 gir de "korrekte" resultat. 10. Korrekt medvirkning/effekt av antall observerte lekkasjer Her finnes som tidligere nevnt ikke noe "fasitsvar". Dette har med betraktningmåte å gjøre, og vi kan ikke påstå at vår betraktningsmåte er den "korrekte". Vi har en betraktningsmåte som nærmest kan beskrives som at vi stoler på modellen/sammenhengen mellom de organisatoriske faktorene og lekkasjefrekvensen (nær sagt inntil det motsatte er bevist) og betrakter i utgangspunktet denne lekkasjefrekvensen å representere den underliggende "fanskap". Den sier da noe om hva vi kan forvente oss av lekkasjer i løpet av et kvartal, men det faktiske antallet som "åpenbarer seg" er tilfeldig. Det kan være 0 eller 1 eller 2 eller 3 osv., men dersom vi f.eks forventer 1 lekkasje og erfarer noe som er svært lite sannsynlig (f.eks 4 eller flere lekkasjer) så vil dette for det første påvirke lekkasjefrekvensen (den"dras opp" i dette tilfellet), og for det andre bør vi bli skeptisk til modellen dersom vi "flere ganger" observerer et antall lekkasjer som "matcher" dårlig med modellen. Antall observerte lekkasjer vil dermed også kunne fungere som en slags verifisering av modellen.

97

Andre ville kanskje valgt å legge større vekt på det observerte antall lekkasjer enn det vi gjør, og argumentere for det. 11. Korrekt effekt på risikoen Dette avhenger av "gyldigheten" av den såkalte k-faktoren (ref. kap. 7.5), som basert på TRA’en fra 1995 er beregnet til å være 0.464. For å verifisere denne må man enten kjøre følsomhetsanalyser i den eksisterende TRA’en eller aller helst oppdatere denne da det er mye som tyder på at endringene siden 1995 er forholdsvis store. Ikke minst gjelder dette for lekkasjefrekvensen. Når det gjelder følsomheten av k-faktoren så er den direkte proporsjonal med effekten på risikoen. Dersom f.eks faktoren ikke er 0.464 men bare det halve (0.232) så halveres effekten på risikoen. Dette betyr i såfall at den relative betydningen til prosessulykker har blitt redusert (halvert) ift. summen av de øvrige ulykkestypene. (Noe som kanskje ikke er utenkelig.) Selv om det nå skulle være slik (og hvorfor skulle det ikke det) at vi har gjort antakelser og foretatt vurderinger som ikke er helt "korrekt", så er de "feil" vi gjør å betrakte som systematiske, fordi vi ønsker å følge opp endring i risiko over tid og dermed så vil de samme eventuelle feilene ligge til grunn hver gang (hvert kvartal) vi regner ut endring i lekkasjefrekvens og dermed endring i risiko. Ved en slik relativ betraktning blir ikke "feilene" så kritiske.

7.6.3 Håndtering av mangelfull informasjon Hva gjør vi dersom vi mangler indikatormålinger for en eller flere av de organisatoriske faktorene, eller at vi ikke oppfatter indikatorene til å være tilstrekkelig valide for en eller flere faktorer, eller at "dekningsgraden" av settet med indikatorer er for liten for en eller flere av faktorene? Da utnytter vi den fleksibiliteten som ligger i det Bayesianske nettverket til å angi tilstandene subjektivt eller som en kombinasjon av indikatormålinger og subjektive vurderinger. Vi behøver heller ikke "bli enig om" én tilstandsverdi (med "100% sikkerhet"), vi kan fordele vår tiltro til hvilken tilstand en faktor befinner seg i ved å legge en sannsynlighetsfordeling over de aktuelle tilstandene. La oss anta følgende for å illustrere dette. i) For faktor OF3 har vi ikke vært i stand til å få noen indikatormålinger ii) For faktor OF4 har vi måleresultatet for indikatoren (ORI41) men vi synes denne ikke er

dekkende nok for hele faktoren ("design") La oss også ta utgangspunkt i det eksempelet vi startet med i kap. 7.2.1, og hvor vi kom frem til en tilstandskombinasjon 3-3-3-4-3. Vi har nå følgende situasjon; 3-3-?-?-3, dvs vi har ikke klart å fastsette tilstanden til faktor OF3 og OF4, (og slettes ikke med "100% sikkerhet"). For OF3 må vi klare oss helt uten indikatormålinger og kun benytte subjektive vurderinger ("ekspertvurderinger"). Det finnes en rekke teknikker og metoder for "å trekke kunnskapen" ut av ekspertene på "en best mulig måte". Vi skal ikke diskutere det her. Istedet antar vi at eksempelvis plattformledelsen har kommet frem til at de med 50% sikkerhet mener at tilstanden til faktor OF3 er ’3’, at den med 30% sikkerhet er ’4’ og at den med 20% sikkerhet er ’2’. De er altså ikke 100%

98

sikker på at tilstanden er ’3’, istedet legger de en fordeling (sannsynlighetstetthetsfunksjon) over tilstandene. Denne er altså for OF3 vurdert til å være: Tilstand 1: 0 Tilstand 2: 0.2 Tilstand 3: 0.5 Tilstand 4: 0.3 Tilstand 5: 0 For faktor OF4 har vi indikatormåling som tilsier en tilstand lik ’4’, men vi antar at plattform-ledelsen ikke synes denne er dekkende for faktoren og vil ikke benytte denne alene. Anta at de betrakter denne som "40% dekkende", og dermed i utgangspunktet vurderer at faktoren er i tilstand ’4’ med 40% sikkerhet. De øvrige 60% fordeler de "subjektivt" gjennom diskusjon/ vurderinger i ledelsen til følgende; 20% sikkerhet for tilstand ’2’, 20% for tilstand ’3’ og 20% for tilstand ’4’. Vi får da følgende sannsynlighetsfordeling ("tiltro-fordeling") for faktor OF4: Tilstand 1: 0 Tilstand 2: 0.2 Tilstand 3: 0.2 Tilstand 4: 0.6 Tilstand 5: 0 Vi kan nå legge disse vurderingene inn i det Bayesianske nettverket og se hvilken sannsynlighets-fordeling vi nå får for lekkasjefrekvensen. Dette er illustrert i Figur 47.

Figur 47 Beregning av lekkasjefrekvensen ved "ikke-eksakt" angivelse av tilstandsverdiene

For de 3 øvrige organisatoriske faktorene (OF1, OF2 og OF5) har vi en "eksakt" bedømmelse av tilstanden, dvs tilstanden er fastsatt med "100% sikkerhet/tiltro". I eksempelet har alle verdien ’3’. Med den sannsynlighetsfordelingen for lekkasjefrekvensen som angitt i Figur 47 får vi følgende forventningsverdi:

99

109.17001.05001.030767.018604.01.00609.0)()(5

1=⋅+⋅+⋅+⋅+⋅=⋅= ∑

=jjjpOFE λλ

Dette er før vi vet hvor mange lekkasjer som har blitt observert i løpet av siste kvartal. Denne forventningsverdien er nokså nær den verdien vi fikk med eksakt tilstand 3 for faktor OF3 og tilstand 4 for faktor OF4 (E(λ|3-3-3-4-3)=1.021). Vi er altså ikke avhengig av eksakt angivelse av tilstandene til de organisatoriske faktorene. Vi kan uttrykke vår usikkerhet om disse tilstandene gjennom sannsynlighetsfordelinger. Dette er faktisk en mer vanlig anvendelse av Bayesianske nettverk, enn at vi kjenner tilstanden til inngangs-nodene med "100% sikkerhet".

101

8 DISKUSJON OG KONKLUSJON

8.1 Implementering og bruk Den effekt som endringer i organisatoriske faktorer har på risikonivået har blitt avgrenset til lekkasjefrekvensen bl.a fordi lekkasjefrekvensen har svært stor betydning for risikonivået. Vi dekker dermed ikke all effekt av endringer i organisatoriske faktorer eksplisitt, men vi dekker en forholdsvis stor del, (samtidig som øvrig effekt fanges opp implisitt gjennom de direkte risiko-indikatorene). Den kunnskap/metodikk/verktøy vi har utviklet/benyttet for å kvantifisere effekten av endringer i de organisatoriske faktorene er kort oppsummert som følger: • Vi har identifisert de antatt viktigste organisatoriske faktorene som påvirker lekkasje-

frekvensen • Vi har "verktøy" for å bedømme tilstanden til de organisatoriske faktorene

- Risikoindikatorer - Alternativt; subjektive vurderinger (eller en kombinasjon)

• Vi kan beregne hvor mye de organisatoriske faktorene påvirker lekkasjefrekvensen - Data-analyse (kombinert med ekspertvurderinger) - Kontinuerlig oppdatering/læring (dynamisk modell)

• Vi kan utføre beregninger med bruk av BN-verktøy (inkl. effekt av observerte lekkasjer) • Vi kan beregne forventet endring i lekkasjefrekvens og dermed også bidraget til endring i

risiko Organisatoriske faktorers effekt på risikoen er komplisert og vanskelig å forstå, men det er viktig å få mer innsikt og forståelse for dette. Det vil aldri kunne utvikles en "trylleformel" for fastsettelse av organisatoriske faktorers effekt på risikoen. Det som kreves er hardt, systematisk og kontinuerlig arbeid! Mer kunnskap og innsikt vil kunne fremskaffes etterhvert som man jobber med dette, men like sikkert er det også at dersom man ikke gjør en "anstrengelse" så vil man heller ikke oppnå noe. Det er ingen uoverstigelige problemer som gjenstår å løse før dette kan tas i bruk, men det er heller ikke bare "å trykke på knappen". Kunnskapen og verktøyene finnes til å gjøre metodikken klar til bruk. Det er en implementeringsjobb som gjenstår, men som sagt så krever dette hardt og systematisk arbeid. Det kreves innsats, fordi dette er ikke noe "sesam-sesam". Et inntrykk av hva som kreves kan man bl.a få ved se på kap. 7.6.2. En rekke forhold må verifiseres av personell/ ledelse på aktuell installasjon. Hensikten med dette prosjektet har vært "å vurdere om og i hvilken grad det lar seg gjøre å kvantifisere den risikomessige betydningen av endringer i organisatoriske forhold under drift av offshore installasjoner". Statfjord A har vært benyttet som case for denne vurderingen, og resultatet er metodikk og forslag til løsninger, ikke én komplett "nøkkelferdig" løsning.

102

8.2 Nytteverdi En stadig mer påtrengende problemstilling er å kunne si noe om hvordan sikkerheten/risikoen utvikler seg i Nordsjøen både for den enkelte installasjon og for industrien som helhet. Vår påstand er at dersom man ikke systematisk følger opp risikoanalysen under drift (eksempelvis gjennom risikoindikatorer) så vet man ikke hvordan risikoen utvikler seg. (Som en analogi til temperaturmåling så kan vi si at man ikke vet om det er "kaldt" eller "varmt", og slettes ikke om det er "-3°C" eller "–30°C".) Ved å følge opp de viktigste risikopåvirkende forholdene vha. risikoindikatorer så er vi ikke bare i stand til å si noe om hvorvidt risikoen har økt eller avtatt (om det er "kaldere" eller "varmere"), men vi er også i stand til å si noe om endringens størrelsesorden (altså om det er ca. -3°C eller ca. -30°C). Det vil kunne være av avgjørende betydning å vite om risikoen har endret seg med f.eks ca. 3% eller om den har endret seg med ca. 30%. Derfor er kvantifisering nyttig og nødvendig! Vi påstår ikke (og har heller ikke behov for å vite) at risikoen har endret seg med eksakt 30.2%. Den ligger i størrelsesorden 30% og kan for den del gjerne være 25% eller 35%. Like lite som vi har behov for å vite at det er –27.6°C eller –33.4°C for "å kle oss tilstrekkelig", trenger vi å vite eksakt hva endringen i risiko er. Men det er en forskjell på ca. -3°C og ca. -30°C, slik det er mellom ca. 3% og ca. 30% risikoendring. Uten systematikk, metodikk og kvantifisering er vi tilbake til at vi knapt vet om det er "kaldt" eller "varmt". Vi kan selvsagt "mene" og "synse", men synsing burde ikke anses tilstrekkelig som beslutnings-underlag. Vi snakker her om "risikoen"20 som "mulige fremtidige tap", ikke sikkerheten som kan ses på som faktisk erfarte tap. Utviklingen i sikkerheten kan vi måle direkte som faktiske tap frem til dags dato, dersom vi har "tilstrekkelig" med tap å måle på. Alternativet som ofte benyttes i Nordsjøen er å telle antall nestenulykker. Dette er ikke uten videre et "valid" mål på sikkerheten, men ennå viktigere er at antall nesten-ulykker ikke nødvendigvis sier noe om muligheten for å få en fremtidig storulykke (eller rettere sagt hvor mye nærmere vi er en storulykke)21. For å gjøre "sikkerhetsbetraktninger" om fremtiden benytter vi risikoanalyser, vi benytter en såkalt "risikobasert" sikkerhetstenkning, istedenfor en "hendelsesbasert" sikkerhetstenkning. Dvs at istedenfor å la sikkerhetsarbeidet styres av mer eller mindre tilfeldige hendelser retrospektivt (etter at hendelsene har inntruffet) så arbeides det proaktivt med de viktigste risikopåvirkende forholdene før alvorlige hendelser inntreffer. Disse forholdene representerer det største potensialet for fremtidige storulykker, og dermed også det største potensialet for å redusere muligheten for fremtidige storulykker. Før det kan treffes tiltak må man imidlertid finne ut hva som er situasjonen og eventuelt hvor problemet er størst. Til dette kan risikoindikatorene benyttes. De vil kunne fungere som en "varsel/alarmklokke", samtidig som de viser hvor stort problemet er (hva som er situasjonen), samt hvor problemet er størst (hvilke faktorer som bidrar mest). Sikkerhetsindikatorer eller prestasjonsindikatorer kan også benyttes for å gi varsel/indikasjoner på endringer, men de sier ikke noe om hvor stort problemet er, og de kan heller ikke benyttes til å si noe om hvor mye bedre sikkerheten/risikoen blir dersom tiltak settes inn. De kan ikke gi svar på spørsmålet: Hvor er det viktigst å fokusere begrensede ressurser? Dette er kjernen i risikobasert sikkerhetstenkning: "Hvordan best forhindre fremtidige ulykker med begrensede ressurser".

20 Se også kap. 2.3 for vår avgrensning av risiko og definisjon av begrepet ‘risiko’, samt definisjon av sikkerhet i metoderapporten (Øien & Sklet, 2001a). 21 F.eks så vil endringer i mengde varmt arbeid (en viktig risikofaktor) aldri fanges opp via 'nesten-ulykker'.

103

De organisatoriske risikoindikatorene (som etableres basert på metodikken beskrevet i denne rapporten) kan benyttes til følgende formål: 1. Gi varsel om at lekkasjefrekvensen (og dermed risikoen) har endret seg 2. Indikere hvor mye lekkasjefrekvensen (og dermed risikoen) har endret seg 3. Identifisere hvilke organisatoriske faktorer og kombinasjoner av faktorer som har størst

forbedringspotensiale mht. lekkasjefrekvensen (og dermed risikoen) For Statfjord A kan vi si at det er "kontroll med kritisk arbeidsutførelse" og "PM-program/ inspeksjon" som representerer det største forbedringspotensialet (formål 3), selv om den nåværende situasjonen for begge disse forholdene er det som representerer "nåsituasjonen" totalt sett (og det dermed ikke nødvendigvis er et behov for tiltak). Vi har ennå ikke avdekket en potensiell risikoøkning, fordi vi har ennå ikke begynt å bruke risikoindikatorene for formål 1 og 2, og det er dette som er vårt primære mål i første omgang, nemlig overvåking av risikoen ("risikokontroll"). Vi vil derfor advare mot et "engangs-skippertak" rettet mot "kontroll" og "inspeksjon". Uten en systematisk oppfølging av risikoen fremover vil man heller ikke kunne måle effekten av de tiltak man setter inn mot "kontroll" og "inspeksjon". Dessuten er det en fare for at man ved å ha all fokus på et par forhold, forverrer andre forhold som også er viktige for å holde risikoen under kontroll. Sammen med de "tekniske" risikoindikatorene utviklet i fase I av "indikator-prosjektet" så vil de organisatoriske risikoindikatorene kunne benyttes for å overvåke en forholdsvis stor andel av den totale risikoen. (Vi fokuserer imidlertid på de viktigste risikopåvirkende forholdene og vil dermed ikke dekke "hele" risikobildet.) En positiv "bi-effekt" (nytteverdi) av de organisatoriske risikoindikatorene er at de kan gi et "forvarsel" ("early warning"). De fleste organisatoriske faktorenes tilstand er målt ut ifra hva som er tilstanden nå (f.eks hvor mange som har nødvendig opplæring) og ikke hva "aktiviteten" på dette området er (f.eks hvor mange kurs som har blitt gitt i løpet av siste kvartal), og hvor effekten kanskje først kommer noe senere. Men, når det oppstår en endring til det verre, så kan også effekten av en slik forverring "åpenbare seg" noe forsinket. Dvs at vi "beregner" lekkasje-frekvensen til å ha blitt høyere enn den ennå har rukket å bli. Vi får dermed et forvarsel og kan kanskje rekke å iverksette tiltak før forverringen "åpenbarer seg". Motsatt, så resulterer en forbedring i at vi til en viss grad innkasserer kreditten noe for tidlig. Dersom vi også velger å vurdere nytteverdien av delresultatene av prosjektet, så bør den kvalitative lekkasjemodellen nevnes. Den kan anvendes som et hjelpemiddel ved utfyllingen av en RUH etter en lekkasjehendelse, uavhengig av hvorvidt man har tenkt å anvende den metodikken som er beskrevet i denne rapporten for etablering av organisatoriske risikoindikatorer. Lekkasjemodellen vil lette arbeidet med å forstå hvilke bakenforliggende årsaksforhold som har medvirket til lekkasjene, og vil også fungere som en kvalitetssikring av de avkrysninger som gjøres i ILCI-modellen i Synergi. Også forslagene til organisatoriske risikoindikatorer kan tas i bruk selv om man ikke "ønsker" å kvantifisere effekten av de endringer man måler gjennom indikatorene. Når man da ikke er i stand til å si noe om effekten av en endring i måleresultatene for en indikator mht. risiko, men at det kun er en "antatt" sammenheng mellom disse og sikkerheten/risikoen, så velger vi å betegne dem som "sikkerhetsindikatorer" hvor det er vanlig at det kun er en "antatt" sammenheng mellom indikator og sikkerheten. Begrepet "risikoindikator" forbeholder vi til de indikatorer hvor vi ikke bare har en "antatt" sammenheng, men hvor vi kan måle/beregne effekten på risikoen.

104

8.3 Begrensninger Prosjektet har vært avgrenset til driftsfasen for én spesifikk installasjon (med Statfjord A som pilot), til risiko for personell og med fokus på storulykkespotensialet. Videre tar vi utgangspunkt i den eksisterende risikoanalysen (TRA’en), vi fokuserer på de viktigste forholdene/parametrene og vi ser på bakenforliggende organisatoriske årsaksfaktorer for etablering av organisatoriske risikoindikatorer kun for lekkasjefrekvensen. Enkelte av avgrensningene er gjort for å forenkle arbeidet med etableringen av "metodikken", og er ikke nødvendigvis "absolutte". Det er ikke noe metodemessig som forhindrer at vi også inkluderer risiko for miljø og materielle verdier, at den anvendes for andre installasjoner en Statfjord A selv om den er "konkretisert" for denne og at den også kan anvendes for andre industrier. En spesifikk begrensning knyttet til Statfjord A (og som også kan være aktuelt for andre installasjoner) er at vi ikke "dekker" det som skjer under den to-årlige revisjonsstansen med indikatorene. Forholdene ombord er helt annerledes som vil gi helt andre verdier på indikatorene enn under "normal drift". Bl.a er det en stor del personell som utfører arbeid under revisjonsstans som ikke har den opplæring og kunnskap som indikatorene "etterspør". Mengde vedlikehold er av naturlige årsaker svært stor under denne perioden, noe som indikatorene for PM-program/inspeksjon ikke er tilpasset for. Men, samtidig er plattformen "kald", slik at primært vil lekkasjer kunne oppstå i ettertid som følge av arbeidet som er utført under revisjonsstansen. En del av disse vil være lekkasjer som vi har registrert som mangelfullt PM-program/inspeksjon (f.eks defekt/tæret pakning) fordi disse lekkasjene kunne vært unngått dersom et forebyggende vedlikehold hadde blitt utført under revisjonsstansen. Normalt sett vil det være noe problemastisk å tilbakeføre lekkasjer til mangelfullt arbeid utført under revisjonsstansen, men det er heller ikke sikkert at man fokuserer spesielt på dette ved utfylling av RUH'ene. Ingen av de 20 lekkasjehendelsene på Statfjord A i perioden 1997-99 peker på at "feilen" har vært gjort under revisjonsstansen, men vi kan ikke dermed utelukke at så kan være tilfelle. Dersom man ønsker å etablere organisatoriske typer indikatorer også for andre parametre enn lekkasjefrekvensen (eller sågar for alle de parametre vi har etablert mer eller mindre direkte indikatorer for i fase I) så kan man benytte en tilsvarende fremgangsmåte som for lekkasje-frekvensen. Selv om noen av de organisatoriske faktorene vil kunne være de samme som for lekkasjefrekvensen så vil det høyst sannsynlig være andre aspekter av disse faktorene som påvirker disse andre parametrene. Dersom vi f.eks ser på feil på elektrisk utstyr (potensiell tennkilde) så kan opplæring ha betydning også her, men det er ikke lenger kurs i flenstrekking som er viktig. Det vil derfor være et betydelig stykke arbeid som må gjennomføres før man har årsaksanalysert alle viktige parametre og etablert organisatoriske risikoindikatorer for disse. Og som vi har påpekt flere ganger så er vi ute etter å overvåke risikoen og anvender oss av organisatoriske årsaksfaktorer og organisatoriske risikoindikatorer som et middel, ikke som et mål i seg selv. En viktig begrensning som ligger i den metodikken vi har utviklet er at bakenforliggende organisatoriske faktorer som ikke lar seg knytte til konkrete hendelser, heller ikke er avdekket som medvirkende årsaksfaktorer og dermed heller ikke inkludert i den organisatoriske modellen (lekkasjemodellen). Denne type "perifere" organisatoriske faktorer, hvor påvirkningen på lekkasjefrekvensen/risikoen kun er "spekulativ", anser vi for å virke gjennom de organisatoriske faktorene som kan knyttes til hendelser, og dermed fanger vi opp effekten av dem.

105

Det at vi skal kunne måle alle aspekter av de organisatoriske årsaksfaktorene ved hjelp av organisatoriske risikoindikatorer er utopisk. Selv det å skulle måle de viktigste aspektene mhp. lekkasjefrekvensen er svært krevende, og vi har ingen garanti for at indikatorene alene er tilstrekkelig dekkende. Vi må i så tilfelle "komplettere" med subjektive vurderinger av tilstandene til de organisatoriske faktorene, men dette gir da også kvantifiseringsmetodikken muligheter for. "Dekningsgraden" (validiteten) til de organisatoriske risikoindikatorene påvirkes også av den avveining selskapene gjør mellom "troverdige" indikatorer og "lett registrerbare" indikatorer. For sterk fokus på at indikatorene skal være "enkle" mht å fremskaffe nødvendige informasjonen (eksempelvis eksisterende registreringer), kan lett få negative konsekvenser for troverdigheten/ validiteten til indikatorene. Det er til syvende og sist selskapet/installasjonen selv som må ha den nødvendige "tiltro" til indikatorene. Til slutt vil vi nok en gang understreke at de tallene vi kommer frem til i kvantifiseringen må "anvendes med forsiktighet", slik man bør gjøre med alle "risikotall" (også de i TRA’en). Vi er ikke ute etter, og påstår heller ikke at vi er i stand til, å fastsette noen eksakt endring i risikonivået, men vi kan si noe om retning og størrelsesorden.

8.4 Hovedkonklusjoner Hovedkonklusjonen er at det er mulig å si noe kvantitativt om organisatoriske faktorers effekt på risikonivået, selv om dette er forbundet med usikkerhet. Vi har riktignok avgrenset dette til å gjelde lekkasjefrekvensens bidrag til risikoen, fordi øvrige endringer i risikonivået fanges opp av mer direkte risikoindikatorer. Grunnen til at vi kan trekke denne konklusjonen er at: • De antatt viktigste organisatoriske årsaksfaktorene er identifisert • Tilstanden til disse er mulig å måle vha indikatorer (alternativt med kompletterende subjektive

vurderinger) • Effekten de har på lekkasjefrekvensen er mulig å beregne vha. analyse av tidligere lekkasje-

hendelser (og kan dessuten oppdateres etterhvert som ny informasjon fremkommer) • Endring i forventningsverdi til lekkasjefrekvensen kan beregnes vha et BN-verktøy (inklusive

effekten av observerte lekkasjehendelser) • Endring i risikonivået som følge av endring i lekkasjefrekvensen kan beregnes via

følsomhetsanalyser i risikoanalysen (TRA’en) Vi har utviklet en metodikk hvor det ikke gjenstår noen "uoverstigelige" problemer. Det som gjenstår er en implementeringsjobb som krever tid og ressurser. For å skaffe seg kunnskap om hvordan risikonivået utvikler seg over tid for én bestemt installasjon (som Statfjord A) kan man ikke anskaffe "nøkkelferdige løsninger". Organisasjonen er selv nødt til å "anstrenge seg" og 'verifisere' de vurderingene som er gjort. Dessuten krever det langsiktighet og et ønske (målsetting) om kontinuerlig kontroll (og forhåpentligvis også forbedring – ikke bare "status quo"). Oversikt og kontroll over risikoen skaffer man seg ikke gjennom "skippertak". De øvrige konklusjonene vil vi presentere som spørsmål og svar.

106

A. Hvilke organisatoriske faktorer er viktige for lekkasjefrekvensen (og dermed risikoen)?

Viktige organisatoriske faktorer for lekkasjefrekvensen/risikoen er: 1. Opplæring/kompetanse 2. Prosedyrer, SJA, retningslinjer, instrukser 3. Planlegging, koordinering, organisering, kontroll 4. Design 5. PM-program/inspeksjon

B. Hvilke organisatoriske faktorer er de viktigste for Statfjord A?

De viktigste organisatoriske faktorene (bl.a mht. forbedringspotensiale) for Statfjord A er: OF3 – planlegging, koordinering, organisering, kontroll (spesielt kontrollaspektet) OF5 – PM-program/inspeksjon C. Hvilke organisatoriske risikoindikatorer kan benyttes for Statfjord A?

Et første forslag til organisatoriske risikoindikatorer for Statfjord A er gitt i Tabell 4, og gjengitt her:

Organisatoriske faktorer Organisatoriske risikoindikatorer

ORI11 Andel prosessteknikere med formell systemopplæring ORI12 Gjennomsnittlig antall områder prosessteknikerne har opplæring i ORI13 Andel instrumentteknikere med kurs i rørkopling/ventiler ORI14 Andel mekanikere med kurs i flenstrekking ORI15 Andel mekanikere med pakningskurs ORI16 Gjennomsnittlig antall år erfaring på denne installasjonen ORI17 Gjennomsnittlig antall år erfaring totalt








D. Hvilken betydning har det dersom den organisatoriske faktoren med størst forbedrings-

potensial forbedres til beste tilstand (og som fastsettes gjennom indikatormålinger)?

OF3 – "planlegging, koordinering, organisering, kontroll" er den faktor som har det største absolutte forbedringspotensiale mht. lekkasjefrekvens og risiko. Ved å forbedre denne faktoren alene til "beste tilstand" så vil lekkasjefrekvensen kunne reduseres med ca. 55% (altså mer enn halveres) og den totale risikoen med ca. 26% (forutsatt at den relative betydningen av prosessulykker er som beregnet i TRA’en fra 1995).

E. Hvilken betydning har det dersom den organisatoriske faktoren med størst forverrings-

potensiale forverres til dårligste tilstand (og som fastsettes gjennom indikatormålinger)?

OF2 – "prosedyrer, SJA, retningslinjer, instrukser" er den faktor som har det største absolutte forverringspotensial mht. lekkasjefrekvens og risiko. Ved å forverre denne faktoren alene til

107

"verste tilstand", vil lekkasjefrekvensen kunne øke med ca. 61% og den totale risikoen med ca. 28% (under samme forutsetning som ovenfor).

F. Hvilken betydning har det dersom alle de 5 organisatoriske faktorene forbedres med én

tilstandsverdi fra nåværende tilstand, når faktorene er definert til å befinne seg i en av fem tilstander fra ’verste’ (tilstand 1) til ’beste’ (tilstand 5)?

Effekten kan (med de antakelser vi har gjort) beregnes til å resultere i en reduksjon i lekkasje-frekvensen på ca. 63% og reduksjon i total risiko på ca. 29% (under samme forutsetning som ovenfor).

De 3 siste spørsmålene og svarene er gitt som eksempler for å belyse hva den kvantitative delen av metodikken kan benyttes til. Enten vi bevisst påvirker tilstanden til de organisatoriske faktorene, eller dette skjer "ukontrollert", så er vi i stand til å si noe om hvilken størrelsesordenen effekten av endringene har på risikoen, utover det å "anta" at risikoen enten er redusert eller økt.

8.5 Behov for videre arbeid Vi har utviklet en metodikk hvor det ikke gjenstår noen "uoverstigelige" metodiske problemer. Det som gjenstår for å prøve ut metoden er en krevende implementeringsjobb. Dette innebærer at man må 'verifisere' vurderingene som er gjort og foreta de nødvendige justeringer. I tillegg kreves det at de ansvarlige for innføring og oppfølging må være aktive pådrivere. Man må være klar over at å skaffe seg kunnskap om hvordan risikonivået utvikler seg over tid ('kontinuerlig' overvåking) etter denne metoden vil kreve tid, ressurser og hardt systematisk arbeid.

109

9 REFERANSER HUGIN, 2000. http://www.hugin.dk NRC, 1988. US Nuclear Regulatory Commission: Development of Programmatic Performance

Indicators, report NUREG/CR-5241, 1988. Petcon, 1999. Rapport – Analyse av gasslekkasjer på norsk sokkel 1994-1998, etter oppdrag fra

Oljeindustriens landsforening, P. nr.: 5905, Petcon A/S, 08.09.99. Reason, J., 1997. Managing the Risks of Organizational Accidents, ISBN 1 84014 104 2, Ashgate

Publishing Limited, England. Spuns Tett, 1994. Gasslekkasjer på Statfjordfeltet – Spuns tett. Spuns tett programkomite, Statoil,

31.05.94. Statoil, 1996. Totalrisikoanalyse Statfjord A, Rev. nr. 01, mars 1996. Øien & Sklet, 1999a. Metode for å utarbeide tekniske risikoindikatorer, SINTEF-rapport STF38

A98434, Trondheim, Januar 1999. Øien & Sklet, 1999b. Risikoindikatorer for overvåking av risikonivået på Statfjord A, SINTEF-

rapport STF38 F98435, Trondheim, Februar 1999. Øien & Sklet, 1999c. Bruk av risikoanalyser i driftsfasen, etablering av sikkerhetsindikatorer og

modellering av organisatoriske faktorers effekt på risikonivået. En "state-of-the-art" beskrivelse. SINTEF-rapport STF38 A99416, Trondheim, Oktober 1999.

Øien & Sklet, 2001a. Metodikk for utarbeidelse av organisatoriske risikoindikatorer, SINTEF-rapport STF38 A00422, Trondheim, Februar 2001.

111

VEDLEGG 1: Lekkasjehendelser Lekkasjehendelsene for Statfjord A i perioden 1997-99 er beskrevet med bruk av den kvalitative lekkasjemodellen. Tabell 2 som viser oversikten over lekkasjehendelsene er gjengitt her.

Nr Dato RUH Modul Beskrivelse 1 09.01.97 129385 CD17M Lekkasje fra flotasjonscelle pga overtrykk 2 04.03.97 132028 CD17M Lekkasje fra flotasjonscelle pga trykkoppbygging 3 16.05.97 136144 CD2 Lekkasje ifm drenering av prøve-loop ved skifte av ball 4 25.06.97 138091 M3 Lekkasje fra blokkventil ifm testing av DHSV 5 27.06.97 138466 CD3A Lekkasje i ventilhus til blokkventil pga defekt O-ring 6 23.10.97 146056 M8 Lekkasje i pakkboks for SWAB-ventil 7 04.12.97 148557 M7 Lekkasje gjennom åpen drainventil fra prøveskap 8 09.01.98 150637 CD12 Lekkasje fra kuleventil pga lekk O-ring 9 07.03.98 154115 M8 Lekkasje fra slange fra brønnoverhalingsutstyr 10 31.05.98 160621 CD17M Lekkasje fra flotasjonscelle pga. trykkoppbygging 11 20.06.98 162184 CD8 Lekkasje i Graylock-kopling pga defekt/tæret tetningsring 12 27.06.98 162388 M8 Lekkasje gjennom wireline lubrikator 13 20.08.98 167151 M11 Lekkasje i spindel på bypass-ventil 14 15.11.98 28161 CD3A Lekkasje gjennom grease-nippel på ventil 15 26.11.98 29482 CD8 Lekkasje pga at man løsnet en blinding 16 12.01.99 31591 US7-68m Lekkasje fra skjøt (strobe-kopling) mellom to rør 17 13.06.99 44316 M8 Lekkasje i kopling til avblødningsslange til fakkelsystemet 18 11.07.99 46475 CD3B Lekkasje gjennom smørenippel til blokkventil 19 10.09.99 50165 CD18 Lekkasje i pakning i endelokk på gasskjøler 20 01.12.99 56210 M4A Lekkasje fra pakkboks til kompressorventil

112

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 09.01.97

CD17

Operatør kjørte for stormengde purge-gass (vedbruk av by-pass) inn påreclaimed oil tank CD

5486B

By-pass linjaer nå fjernet

Uklart hvorvidtSJA burde vært

gjennomført

(Kunne vært 2uteoperatører)

Flotasjonscelle FW 5009B

Figur 48 Lekkasje fra flotasjonscelle pga overtrykk

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 04.03.97

Glemte å stenge fra LT2003 til closed drain etterkalibrering av transmittere

CD-4003 erliten og går fort

full


operatører

Flotasjonscelle FW 5009A/B

CD17

Figur 49 Lekkasje fra flotasjonscelle pga. trykkoppbygging

113

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 16.05.97

Lar ikke vannet rennelenge nok til closed drain

under gassfriing av loopen


operatører

(Kan kanskjeskje lettere for

en som eruerfaren)

Står ikke i SJAhvor lenge

dreneringenbør pågå

Prøve-loop

CD2

Figur 50 Lekkasje ifm. drenering av prøve-loop ved skifte av ball

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 25.06.97

Under testing av DHSV bleblokkventilen stengt. Fikkda lekkasje i pakkboks.


ventil

Blokkventil til brønn A-40

M3

(Pakkboks ikketilstrekkeligettertrekt?)

Figur 51 Lekkasje fra blokkventil ifm testing av DHSV

114

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 27.06.97

Defekt O-ring. Lekkasjeoppdaget av mekaniker

under annet arbeid.


ventil

Blokkventil til CD2208

CD3A

Figur 52 Lekkasje i ventilhus til blokkventil pga defekt O-ring

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 23.10.97

Lekkasje i pakkboks underopptrykking av brønn

Swab-ventil til brønn A-42

Ikke noe PM (utskifting av pakkboks ellerventil), men jevnlig inspeksjon/testing av

om ventilene på hele krysset er tett.

M8

Pakkboks ikketilstrekkeligettertrekt

Figur 53 Lekkasje i pakkboks for SWAB-ventil

115

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 04.12.97

CD17

Laborant hadde glemt åstenge igjen drain-ventil.Avblødning fra pig-sluse

førte til overtrykk oglekkasje ut av prøveskap.

Drain-ventil fra prøveskap

(Har nå blittbygget om)

(Manglendekontroll)

Figur 54 Lekkasje gjennom åpen drainventil fra prøveskap

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 09.01.98

Lekkasje i O-ring.Oppdaget av operatør

under inspeksjonsrunde.

Kuleventil nedstrøms til FT2006

Ikke PM pådenne type

ventil

CD12

Figur 55 Lekkasje fra kuleventil pga lekk O-ring

116

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 07.03.98

Glemt å stenge av ventilerinn til fakkelsystem (etter

brønnoverhaling)

Stengeventiler til fakkelsystem. (Check-ventil for slange holdt ikke tett).

M8

Mangelfull forståelse forat samtidig avblødningkan finne sted, samt atcheck-ventilen ikke er

god nok barriere.

Manglendekontroll

Figur 56 Lekkasje fra slange fra brønnoverhalingsutstyr

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 31.05.98

Øvre overløp glemt stengtetter rengjøring avreclaimed oil tank

CD5486A

Flotasjonscelle B

CD17

(Kunne evt.vært 2 uteop.om jobben)

SJA ikke fulgt

Uhensikts-messig design

av CD4003

Figur 57 Lekkasje fra flotasjonscelle pga trykkoppbygging

117

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 20.06.98

CD8

Lekkasje under opptrykkingav gasslinje til A-38.

Defekt/tæret tetningsring.

Graylock-kobling etter FE til A-38

(SJA ikkeutført?)

Ikke PMMangelfulle rutiner for utsjekk av

gamle rørsystem før oppstart

Figur 58 Lekkasje i Graylock-kopling pga defekt/tæret tetningsring

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 27.06.98

M8

Mest sannsynligoperatørfeil. (Muligens feil

på grease-pumpe, men deter 2 uavhengige pumper +

1 manuell)

Lekkasje i wireline lubrikator(ut gjennom wiper line)

Manglende kunnskap/erfaring og/eller ikke

påpasselig nok

(Manglendekontroll med

utførelse)

Figur 59 Lekkasje gjennom wireline lubrikator

118

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 20.08.98

Ikke ettertrukketpakkbokstidsnok

M11

Lekkasje i spindel(pakkboks)

By-pass ventil til A-39 linje Gr. 1035 inj.

Figur 60 Lekkasje i spindel på bypass-ventil

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 15.11.98

CD3A

Glemt å sette på cap pågrease-nippel

(under rev.stans)

MV-22091 på gasslinje fra CD2209 til CD2253

Mangelfullkontroll

(Oppmerksomhet,konsentrasjon,motivasjon?)

Figur 61 Lekkasje gjennom grease-nippel på ventil

119

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 26.11.98

Åpnet flens før han haddefått OK

SJA ikke fulgt

Mangelfullkoord./komm.

(ved handover)

Blindflens på 2"-rør til vent fra tanken i CD8

CD8

Figur 62 Lekkasje pga at man løsnet en blinding

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 12.01.99

Nedre skjøt mellom nytt oggammelt rør åpnet seg

(noen timer etter uttesting)

Strobe-kobling på oily-water linje celle 6

US7-68m

(Ikke feil i utførelseav jobb, selv om

SJA var mangelfullog dårlig fulgt)

Feil valg av kobling(av planlegger)

Figur 63 Lekkasje fra skjøt (strobe-kopling) mellom to rør

120

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 13.06.99

M8

(Antakelig) glemt å "banke til"koplingen på avblødnings-

slange (fra riser)

Koplingshode på avblødningsslange tilfakkelsystem

(Ingen kontroll)

(Oppmerksomhet,konsentrasjon,motivasjon?)

Figur 64 Lekkasje i kopling til avblødningsslange til fakkelsystemet

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 11.07.99

CD3B

Lekkasje ut gjennom smøre-nippel (mulig koksing pga tykk

grease i gass-ventiler)

Blokkventil ut av CD-2210

(Feil bruk av greasepå gass-ventiler)

(Feil bruk av greasepå gass-ventiler)

Ikke PM(lenger)

(Heller ikke modulbasertsmøreprogram)

Figur 65 Lekkasje gjennom smørenippel til blokkventil

121

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 10.09.99

CD1B

Ikke PM

Lekkasje ut gjennom pakning(pga feil i boltetiltrekking, pga

feil i boltegjenge)

Pakning i endelokk på gasskjøler EA2105A

(Ut fra VMS; ikke skiftet siden 1992."Hydra-tight" skaffet på samme

tidspunkt.)

Mangelfull kontroll avboltetiltrekking (men

vanskelig å oppdage?)

Feil boltetiltrekking (menvanskelig å unngå?)

Figur 66 Lekkasje i pakning i endelokk på gasskjøler

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet


Korr.vedl.(mod.)

Drift



instrukser


Design


Brønn-operasjoner



SFA 01.12.99

M4

Lekkasje i pakkboks

FV 24428 -recycleventil 4. steg B kompressor

Åpner og skifter slitte delerunder revisjonsstans (?)

Ikke ettertrukketpakkboks tidsnok

Figur 67 Lekkasje i pakkboks til kompressorventil

123

VEDLEGG 2: Forkortelser AO Arbeidsordre BN Bayesiansk Nettverk CD(nr) Celler Deck (nr) CPT Conditional Probability Table (betinget sannsynlighetstabell) DHSV Down Hole Safety Valve DRI Direkte risikoindikator DVT Drift, vedlikehold og teknikk FAR Fatal Accident Rate FV Forebyggende vedlikehold (=PM) GFA Gullfaks A HMS Helse, miljø og sikkerhet HUGIN Leverandør av BN-teknologi (inkl. programvare) ILCI International Loss Control Institute ISRS International Safety Rating System KV Korrigerende vedlikehold M(nr) Module (nr) NRC Nuclear Regulatory Commission NUREG/CR Nuclear Regulatory Commission/Consultancy Report OD Oljedirektoratet OF Organisatorisk faktor OHRAT Offshore Hazard and Risk Analysis Toolkit OLF Oljeindustriens landsforening ORI Organisatoriske risikoindikatorer ORIM Organisatorisk risikoinfluens modell OS-SFA Operasjonssjef Statfjord A PD-SF Produksjonsdirektør Statfjordfeltet PLS Plattformsjef PM Preventive Maintenance (=FV) ROCOF Rate of occurrence of failure (feilrate for reparerbart system) RPF Risikopåvirkende faktor/forhold RUH Rapportering av uønsket hendelse SF Statfjordfeltet SFA Statfjord A SFB Statfjord B SFC Statfjord C SJA Sikker jobbanalyse SWAB Serviceventil (på ventiltre) TEA Tele, elektro og automasjon TRA Totalrisikoanalyse (=QRA) US(nr) Utility Shaft (nr) VMS Vedlikehold- og materialstyring V&M Vedlikehold og modifikasjon QRA Quantitative Risk Analysis (=TRA)

125

VEDLEGG 3: Notasjon ∆E(λ) Endring i forventningsverdien til lekkasjefrekvensen ∆ORI Endring i organisatorisk risikoindikator ∆R Endring i risiko E(⋅) Forventningsverdi E(lambda) Forventningsverdi til lekkasjefrekvensen ("lekkasjeraten") E(λ) Forventningsverdi til lekkasjefrekvensen E(λ)i Forventningsverdi til lekkasjefrekvensen for tilstandskombinasjon i E(λ)basis Basis forventningsverdi ("nåsituasjon") til lekkasjefrekvensen E(λ)max Maksimal forventningsverdi til lekkasjefrekvensen E(λ)min Minimal forventningsverdi til lekkasjefrekvensen k Faktor som angir forholdet mellom ∆E(λ) og ∆R λ Lekkasjefrekvensen λj Tilstandsverdi j for lekkasjefrekvensen mij Måleverdi for indikator j til faktor i obs Observerte lekkasjer p(⋅) Sannsynlighet (probability) p(A) Ubetinget sannsynlighet for hendelse A p(A|B) Betinget sannsynlighet for hendelse A gitt B pj Sannsynlighet for lekkasjetilstand j ri Rating av faktor i rij Rating/score av indikator j til faktor i Σ Sum vij Individuell vekt av indikator j tilhørende faktor i wi Total vekt for faktor i tilstand i wij Vekt for faktor i tilstand j for tilstandskombinasjon i

pilotrapportsfa12 apen versjon endelig - sintef...faktorene som påvirker risikoen,...

Documents