STORULYKKER
I LYS AV ESTONIA
Av Arne Kvitrud, Sondre Nordheimsgate 9, 4021 Stavanger.
Dokumentet er laget i 1994 og publisert i ”Oss Direkte”, og lagt på internett 15.9.2002.
Katastrofen med Estonia setter mange tanker og følelser i sving i oss alle. Vi får også en anledning til å se vårt eget arbeid i en større sammenheng, men uten selv å være del i ulykken. Kunne det også ha skjedd med noe av de vi har ansvaret for ? En bauport sviktet; barrieren - en indre bauport sviktet også og så gikk det galt, så fryktelig galt. Hadde Estonia vært brukt til flotell og vært dimensjonert etter vårt regelverk, ville det da gått bra?
Vi har også hatt våre storulykker. Tapet av Sleipner var den foreløpig siste i rekken av totaltap av innretninger en har hatt på norsk sokkel. De andre er Frigg DP1, Alexander Kielland og West Gamma. Vi har altså mistet en jacket, en halvt nedsenkbar flytende innretning, en jackup og en condeep. Det er bare Alexander Kielland ulykken som har ført til direkte tap av menneskeliv. De øvrige har vi sluppet unna med "bare" betydelige økonomiske konsekvenser.
Jeg vil kort gjennomgå årsakene til de ulykkene vi har hatt i norsk petroleumsvirksomhet, og så vise hvilke tiltak som en etter vårt regelverk må gjøre for å hindre ulykker forårsaket av brudd, stabilitet og utmatting.
En kort repetisjon om årsakene til de fire
hendelsene.
1. Tapet av Frigg DP1 12.10.1974 skjedde da jacketen skulle installeres på Frigg. Flere ballasttanker som skulle holde jacketen flytende når den ble manøvrert på plass, var underdimensjonert. De som besøker Frigg kan fortsatt se deler av jacketen stikke opp av havet. Barrieren her var uavhengig verifikasjon.
2. Tapet av Alexander Kielland 27.3.1980 var direkte forårsaket av en sveisefeil. En liten sprekk fikk lov til å utvikle seg, til den til slutt rev av et stag. Uten staget var innretningen ustabil og veltet. Den bakenforliggende årsak til ulykken lå også i dimensjoneringen av innretningen som tillot at en liten feil kunne gi slike konsekvenser. Barrieren her var at både prosjektering og bygging var sertifisert.
3. Tapet av West Gamma 21.8.1989 var direkte forårsaket av dårlig sjømannsskap. Utstyret på dekk var ikke festet tilstrekkelig. Når det ble storm, forskjøv lasten seg, innretningen ble ustabil og havarerte. Det var her knapt noen barriere.
4. Tapet av Sleipner A-1 23.8.1991 var i hovedsak forårsaket av en feil gjort i en analyse. Celleveggene som var underdimensjonert sprakk opp, vannet strømmet inn og hele innretningen sank. Barrieren her var uavhengig verifikasjon, utført av et selskap innleid av Statoil.
I alle disse tilfellene kan en stille seg spørsmålet om en burde ha innretninger hvor feil får slike følger. I praksis kan en ikke hindre alle typer feil, en må leve med en risiko. Denne risikoen skal likevel være så lav at en kan leve med den. Tap av understell er en så alvorlig hendelse at vi har prøvd å sette strengere krav til sikkerhet mot sammenbrudd av konstruksjonene enn mot andre ulykker.
Hovedprinsippet må være at arbeid skal gjøres rett første gangen, men et annet hovedprinsipp må være at en skal legge inn barrierer. August Strindberg skrev engang at det er ikke våre dyder, men våre feil som gjør oss til mennesker. Folk gjør feil, men de skal fanges opp før det kan skje noe vesentlig skade. Boreforskriften krever ekstra barrierer i brønnene. I beregningene av bærende konstruksjoner legger vi inn barrierer ved at vi krever spesifiserte sikkerhetsfaktorer eller reservestabilitet. Vi legger også inn en barriere når vi krever at uavhengige gjør omfattende gjennomganger av beregninger og tegninger (verifikasjon).
Hvordan sikrer en at bauporten ikke ryker?
Det viktigste elementet i selve dimensjoneringen er å få en sikker og robust konstruksjon. Det styrer vi i hovedsak gjennom det tekniske regelverket vårt, men også ved det tilsynet vi utfører mot operatørene og mot de som gjør prosjektering, bygging og installering.
Forskrift om bærende konstruksjoner sier at vi skal dimensjonere konstruksjonene for å tåle det en populært kaller for hundreårsbølgen. I tillegg legger vi inn ekstra sikkerhetsfaktorer ved at en må dimensjonere for hundreårsbølgen pluss et fast påslag. Styrken på materialet beregnes ved at en må trekke fra en gitt %-del og at det legges på en ekstra sikkerhetsfaktor. Samlet skal dette dekke de naturlige usikkerheter i laster og styrke av konstruksjoner. Det skal gi en årlig sannsynlighet for brudd som er i størrelsesorden 10-4 til 10-5 per år.
I tillegg krever vi utført risikoanalyser. Ulykkeslaster som opptrer med en frekvens hyppigere enn 10-4 per år skal en så dimensjonere for. Det legges ikke inn noen ekstra sikkerhetsfaktorer på denne lasten.
Regelverket er også det som blir mest utfordret av oljeselskapene og de som dimensjonerer. Kravene til billigere og mer optimale løsninger krever at man stadig går løs på - og spiser opp alle ekstra marginer eller ekstra sikkerhet som man tidligere la inn når en var usikker. Det lages stadig prosjekter hvor oppgaven er å øke kunnskapen, og med det gi mer presise verdier. Det vil i de fleste tilfellene gi lavere faktisk sikkerhet enn før, fordi de tillater stadig mer optimalisering. Vi har en stor utfordring i å følge med faglig og i å virke som bremse for nye uprøvde eller udokumenterte løsninger. Et eksempel her er Heidrun og Draugen hvor en optimaliserte geometrien for å få de bølgelastene en kjente så lave som mulig. En endte da med en konstruksjon som pådro seg enorme andre ordens laster (ringing) som var ukjente da en optimaliserte.
Det har i avisene vært vist til at Estonia gikk med for stor fart i bølgene. Vår måte å hindre dette er å ha operasjonsbegrensninger. Vi er da igjen avhengig av godt sjømannsskap, men som det ble vist ved tapet av West Gamma er det en skjør forholdsregel. Vår nyeste forskrift krever likevel at ingen enkeltfeil under bruk skal føre fare- eller ulykkessituasjoner. Etterlevelsen av bestemmelsen er likevel i praksis vanskelig. På den Canadiske riggen Ocean Ranger sviktet det automatiske ballastsystemet under en storm for noen få år siden. Hadde alle gått og lagt seg til å sove, ville alt gått bra. I stedet foretok mannskapet en manuell og ukyndig operasjon av ballastsystemet som førte til at hele riggen veltet og gikk ned.
Utmattingsbrudd
Når en konstruksjonsdel blir utsatt for mange nok belastninger vil den kunne ryke, selv om lasten er lav. Det kaller man for et trøtthetsbrudd eller utmattingsbrudd. Alexander Kielland ulykken er den mest alvorlige eksempelet vi har på slike hendelser.
Vil vi så kunne hindre storulykkene? Etter Alexander Kielland kom det vesentlig strengere krav til utmatting. For konstruksjonsdeler hvor et brudd kan få betydelige konsekvenser, har vi etter Alexander Kielland øket sikkerhetsfaktoren fra 1 helt opp til 10 i visse tilfeller. Konstruksjonene skal da tåle 10 ganger så mange lastsvingninger som det ble krevd tidligere. Det er også en differensiering ut fra alvorlighetsgrad og muligheten for inspeksjon.
Utmattingssprekker har forekommet og forekommer jevnlig på de konstruksjonene vi har. Når sprekker blir oppdaget, blir de reparert eller fulgt opp med jevnlig inspeksjon.
Hvordan sikrer en at innretningene ikke synker om
bauporten ryker?
Ulykken med Alexander Kielland ga ikke bare skjerpelser med hensyn til utmatting, men også til stabilitet i skadet tilstand. Sjøfartsdirektoratet ga da ut et skjerpet regelverk som i hovedsak er adoptert av oss etterpå. Vi har likevel ikke fullt så strenge krav som Sjøfartsdirektoratet for en innretninger, dersom en risikoanalyse viser at det ikke er behov for reserveoppdriften. I tillegg til stabilitetskravene for flytere, innførte vi etter Alexander Kielland ulykken også krav til alle konstruksjoner i skadet tilstand. I skadet tilstand etter en ulykkeslast skal konstruksjonene fortsatt tåle en hundreårsbølge, men vi krever ikke da at det skal legges inn ekstra sikkerhetsfaktorer.
Vi krever altså ikke alltid fysiske barrier om noe skulle gå galt. For eksempel vil hull i de nedre deler av skroget på Heidrun kunne føre til at hele innretningen kan synke. Våre barriere mot feil på Heidrun er :
- at en ulykkeshendelse som kan gi hull i nedre del av skroget er meget usannsynlig
- i at feil ved dimensjoneringen skal fanges opp av verifikasjonen.
Vi har likevel veldig strenge krav til styrke og stabilitet i skadet tilstand; strengere enn det en vil finne i de fleste andre lands regelverk.
Sluttord
Storulykker har hendt i norsk petroleumsvirksomhet. Vi har et regelverk og et kontrollsystem som forebygger ulykker, men vi må realistisk se i øyene at ikke noe system er perfekt. Vi har krav som er strengere og til dels mye strengere enn en del andre land. Dette er krav som i stor grad kom etter ulykken med Alexander Kielland. Etter Sleipner har vi skrudd kravene til betongkonstruksjoner opp et lite hakk. Men kan det skje igjen? Svaret må være ja. Vi øker kravene når det skjer noe galt - "alle" sjekker at det samme ikke skal skje igjen. Etter en stund er det meste likevel glemt. Det går jo så bra. "Herald of free Enterprice " havarerte, og Estonia havarerte trolig av en liknende årsak. Frigg DP1 sank, og Sleipner A-1 sank av en liknende feil. Lærekurvene er ikke alltid perfekte.
Ulykken med Alexander Kielland er den største tragedien som har rammet petroleumsvirksomheten i Norge. Bruken av halvt nedsenkbare innretninger (semier) har likevel fortsatt som før. Det samme gjelder jacketer og jackuper. Tapet av Sleipner har ført til en "tillitskrise" for hele betongindustrien. Operatører i Norge velger bort betongalternativet allerede i en tidlige fase. En sikker innretning er likevel like mye knyttet til gode rutiner, godt regelverk, god kompetanse både for den som gjør prosjektering, fabrikasjon og de som foretar operasjoner til havs, som av valg av materialer og utbyggingsløsning.
Vår oppgave er å være med på å sikre fullt forsvarlig sikkerhet og arbeidsmiljø. Det gjelder både for de som blir direkte og de som blir indirekte berørt. Tapet for de som mister noen av sine kjære er stort, men det er også lidelse hos andre som en gjerne ikke tenker så mye på. Tapet av Frigg DP1 skal ha ført til et selvmord blant de som sto sentralt i prosjekteringen. Tapet av Sleipner var også en enorm menneskelig påkjenning for de som hadde gjort feilene. Vi er mennesker og gjør derfor også feil. Vi er derfor i alles interesse nødt til å anstrenge oss for :
- å forebygge feil
- å fange opp feilene før de forplanter seg
- hindre at feil som opptrer ikke får alvorlige konsekvenser.
Konklusjonen må være at vi må gjøre vårt beste for å unngå en ny Alexander Kielland ulykke eller noe som likner på Estonia ulykken.