Equinors storulykke 2020

 

28.07.2020 brøt det ut brann (NRK) i luftinntaket til en gassturbin som ikke var i drift. Brannen ble kraftig fordi brannen ble matet med brennbar hetolje. Slokkearbeidet ble omfattende og de store økonomiske ødeleggelser gir status som storulykke.

Selskapet har gode systemer og prosesser på papir, men i praksis innfrier de ikke kravene i samme utstrekning som de sier eller selv tror. Se evt. tilsynsrapport fra Petroleumstilsynet fra anlegget i 2019 som gir et hint om dette: Tilsynsrapport drift og vedlikehold 2019 . Bellona har offentligjort egen rapport 18.11.2020 hvor organisasjons vedlikeholdsevne framstår som grunnleggende utilstrekkelig.

Equinors egne vurderinger

Direktør for landandlegg, Grete Haaland og anleggsdirektør Andeas Sandvik melder at gamle avvik nå vil bli lukket og at prosesser og systemer vil bli forbedret (E24.no). Desverre er hovedårsaken neppe mangelfulle systemer og prosesser. Mer sannsynlig skal hovedårsaken finnes i direktørenes egne beslutninger og prioriteringer. Direktørenes beslutninger og prioriteringer har sannsynligvis ikke gitt folkene i anleggene mulighet til å følge eksisterende styrings- og ledelsessystemer.

Rapporter tyder på at strategiske beslutninger og overordnede prioriteringer har medført en organisasjon uten tilstrekkelig kompetanse og ressurser til å overholde både egne- og myndighetskrav. Direktørene har helt sikkert sagt og ment at krav skulle overholdes. Men i møte med budsjett og andre kortsiktige føringer har kompetansen til direktørene på risiko og drift vært for lav. Om øverste ledelse har misforstått LEAN, ikke forstått den virkelige tilstanden på bakken eller hva årsaken nå måtte være, så framstår det tydelig at den ikke har vært i stand til å ta de ansvarlige og langsiktige valgene.

Uttalelser fra ledelsen i etterkant av granskningsrapporten

Konserndirektør for norsk sokkel, Kjetil Hove, uttaler etter møte med Ptil (E24 04.04.2021) seg i en retning som kan oppfattes som en vedkjennelse av at Equinor ikke følger regelverket. Det er en endring fra tidligere hvor selskapet konsekvent har avvist denne typen kritikk. Dessverre uttaler konserndirektøren i samme intervju at “I løpet av 40–50 år har vi etablert veldig mange gode arbeidsprosesser og krav i selskapet. Nå må vi dyrke at alle jobber ut fra det som er forventet av dem.” – Altså at problemet består i at ansatte nedover i organisasjonen ikke gjør som ledelsen har bestemt. Og indikerer at konserndirektøren ikke har forstått de viktigste årsakene til brannen som er beskrevet i granskningsrapporten fra Petroleumstilsynet (Ptil) 22.04.2021. Dette er en klassisk bortforklaring hvor toppledelsen raskt genererer en teori om kausalitet og “manglende etterlevelse av prosedyrer” er uten tvil en av de mest populære av slagsen. 

Øverste sjef, konsernsjef Anders Opedal, beskrives å ha hatt en nøkkelrolle i utformingen av drifts- og vedlikeholdsstrategien før han avanserte til konsernsjef. På grunn av krav til kostnadsreduksjoner skal bemanning ha blitt redusert i denne perioden og rammebetingelsene svekket ute i driftsorganisasjonene. Det er nærliggende å spekulere i at den sterke kostnadskontrollen tidligere har fått ham til å framstå som en sterk leder overfor styret. Spørsmålet er om styret vil være i stand til å koble dagens tilstand med konsernsjefens tidligere strategivalg.

Credit Ole Jørgen Bratland Copyright Equinor

Direktøren for markedsføring, midtstrøm og prosessering, Irene Rummelhoff kommenterer granskningsrapporten i E24 (24.04.21) og uttaler: “Det er ingenting i denne rapporten som tyder på at det er en direkte sammenheng mellom kutt i vedlikehold og brannårsaken”. Her er direktøren på kollisjonskurs med egne ansatte, Ptil, arbeidstakerorganisasjoner og miljøorganisasjonen Bellona. I granskningsrapporten er det nettopp manglende ressurser på Melkøya som står sentralt i forhold til forklaringen på hvorfor operatørene feilbetjente anlegget og hvorfor filtrene tok fyr. Konserndirektøren misforstår her hva som menes med “direkte årsaker” i granskningsrapporten. Direkte årsak har i rapportene kun betydningen utløsende årsak og er ikke et mål for årsakens viktighet. Konserndirektøren har da ikke tatt inn over seg at viktigste årsaker i denne hendelsen er de bakenforliggende. Uttalelsene er på mange måter alarmerende fordi de utrykker at øverste ledelse ikke forstår avgjørende sammenhenger i hendelsen.

En ulykke kommer sjelden alene, og kort tid etter ulykken på Melkøya er det framkommet at Equinor over tid har ignorert betydelige utslipp ved renseanlegget på Mongstad: Miljødirektoratet hardt ut mot Equinor. Samme direktør (Irene Rummelhoff) sier at “Alle har ikke hatt full kontroll på reglene“, inkludert henne selv. Det blir en litt mystisk kommentar fordi “alle” med ansvar for drift utmerket vet hva som er lov og ikke lov. På Tjeldbergodden 02.12.2020 løp en dampturbin løpsk og eksploderte i et område med eksplosjonsfarlig stoff. Ingen kom til skade, men ulykken var en hårsbredde fra å bli en katastrofe med tap av liv.

Uttalelsene fra toppledelsen indikerer en manglende forståelse for hvilke effekter ulike strategivalg og krav har på driften og sikkerheten ute i produksjonsenhetene. Driverne bak sikkerhet og produktivitet i industrielle selskaper består av et komplekst samspill mellom ulike avdelinger, fagområder og, ikke minst, mål og krav fra toppledelsen. Kompleksiteten i både teknologi og arbeidsprosesser er stor i alle industrielle bedrifter. Når avstanden er for stor mellom ansatte og prosesser, vil selskaper derfor i praksis være styrt av lekpersoner.

Bør denne kompleksiteten mildne kritikken mot toppledelsen? Svaret er nei, for uten god innsikt i viktige sammenhenger vil ledelsen heller ikke kunne balansere vanskelige målkonflikter. Toppledelsen har tilgang til alle nødvendige ressurser og kompetanser i selskapet og likevel er Equinor gått i en klassisk felle med et naivt kostnadsfokus som har resultert i en nedadgående spiral i forhold til teknisk tilstand. Spiralen er farlig, også økonomisk, og krever store anstrengelser over tid før grepet løsnes. Jobben med å bedre tilstanden vil føles som å padle mot strømmen uten å komme noen særlig vei. Faren er at toppledelsen ikke ser at strømmen fører mot en foss og undervurderer hvor hardt og lenge det må padles.

Selskapet har nå i det minste fått en smekk over fingrene og antakeligvis blitt mer oppmerksom på at teknisk sikkerhet stiller større krav end de kanskje trodde. Men læringen er ikke god, og det synes å ha oppstått en blindhet for de årsaksforklaringer som ligger hos øverste ledelse selv. Granskningsrapporten fra PTIL er tydelig på at mangelfulle rammebetingelser anses for å være viktigste årsak til storulykken. I stedet velger øverste ledelse minst smertefulle tolkning og tror det handler om å rette opp i gamle avvik og korrigere flytskjema og arbeidsprosesser. Og muligheten går tapt i forhold til å utføre de viktige og varige risikoreduserende forbedringer.

Resultater fra granskningsrapporten

Det er nå to granskningsrapporter, Granskningsrapporten fra Petroleumstilsynet (PTIL) og Eguinors sin egen granskningsrapport 07.05.2021. Med mindre annet er nevnt, vil det i det følgende være rapporten fra PTIL som det referes til. Følgende var utløsende og bakenforliggende årsaker til brannen:

• Manuell kjøring av hetolje til anti-isingspaneler
• Oppfølging av tidligere hendelser med smelting av filterkasetter og praksis med manuell kjøring av reguleringsventil.
• Utskiftning av filtre
• Bemanning

Eguinors egen rapport bekrefter mye i PTILs rapport, men er også svak på avgjørende punkter. Rapporten forsøker å manipulere leseren på minst 3 punkter:

1. Prøver å gi inntrykk av at utført filtervedlikehold var tilstandsbasert.
2. Prøver å gi inntrykk av at manglende filterbytte på mer enn 5 år var i i samsvar med vedlikeholdsstrategien.
3. Beskriver frekt konklusjoner i den branntekniske rapporten som den branntekniske rapporten er eksplisitt på at den ikke støtter.

Resultatet er at Equinorledelsen (Irene Rummelhoff) vender ting på hodet. Et selskap vil ikke kunne drive etter dagens krav med denne oppfattelsen av tilstandsbasert vedlikehold. Slike absurde konklusjoner gjør det relevant også å stille spørsmålet om kulturen i selskapet er så svekket at toppledelsen ikke lytter til kompetansen eller at kompetansen ikke tør å være ærlig overfor toppledelsen.

Equinorrapporten hevder også at branntekniske undersøkelser indikerer at gamle filtre ikke har vært medvirkende årsak. Men de branntekniske undersøkelser viser med al tydelighet at gamle filtre muligvis har vært medvirkende årsak.

Manuell kjøring av hetolje

Dette var viktigste utløsende årsak til ulykken: Operatørene har brukt luftinntaket i en turbin til å kvitte seg med overskuddsvarme fra hetoljeanlegget. Fordi turbinen ikke var i drift kunne inntaket heller ikke bli kvitt varmen. Effekten var overopphetning av filtrene som førte til selvantenning. Dette var gjort flere ganger uten en beskrevet prosedyre og uten at hverken opplæring eller oppfølging av utførelsen i forhold til prosedyrer var ivaretatt. Etter at filtrene tok fyr ble brannen matet med hetolje som man ikke fikk stanset tilførselen av. Manglende mulighet for isolering av hetoljesystemet kan anses som hovedårsak til omfanget av skadene, men får relativt liten oppmerksomhet i begge rapporter. Det betyr at senere anlegg kan bli designet på samme måte for å spare 2 x 10 000 NOK på to manuelle stengeventiler.

Bemanning

Her er det tydelig at Ptil tidligere har vært bekymret. Både manglende kompetanse og antall ansatte bidro til at driftsorganisasjonens evne til å drifte anlegget i henhold til kravene ikke var tilstrekkelig. Blant annet nevnes det at andelen av korrektivt vedlikehold mistenkes å være for stort. Og at akutte hendelser har tatt for mange ressurser bort fra andre viktige oppgaver.

Dette avviket kan være den viktigste årsak til ulykken. Selv om andre årsaker var utløsende, så kan bemanning være den viktigste årsaken til at prosedyrene ikke var til stede, ikke ble fulgt opp eller at operatørene gjorde uhensiktsmessige operasjoner. For lav bemanning betyr at rammebetingelsene til å håndtere kravene til sikker drift ikke er til stede. Arbeidsprosesser vil lide, og hverken prosedyrer, forebyggende arbeid, opplæring og sikkerhetsarbeidet vil være godt nok. Man ender i den klassiske, nedadgående spiralen fordi man i for høy grad styres av akutte hendelser som igjen stjeler tid fra forebyggende arbeid og forbedringsprosesser. Dermed økes antall akutte hendelser og man ender opp i en situasjon det er vanskelig å komme seg ut av.

Selv om man forsøker å endre kursen med mer bemanning, så er skaden allerede skjet når ledelsen først har bygget ned organisasjonen. Denne typen organisasjoner tar flere år å bygge opp til et høyt nivå. Som alle vet har kompetent personell vært mangelvare de siste mange årene, og det er ikke bare å rekruttere inn til nye stillinger. Dette vil gi store utfordringer når man nå tvinges til å øke bemanningen raskt. Spesielt i vedlikeholdsorganisasjoner kreves det en grunnkompetanse som er ettertraktet i markedet, men det tar også flere års erfaring på den spesifikke lokasjonen før den ansatte vil ha oppnådd nødvendig kompetanse.

I avsnittet Barrierrer som avgjørende faktor beskrives viktige barriere som ville ha forhindret ulykken og hvorfor storulykker ikke handler om uflaks.

Vedlikehold av filtre

Fornuftig intervall for bytte av filtre i luftinntaket var overskredet med god margin (siste bytte var mer enn 5 år før brannen). I de branntekniske undersøkelser framgår det at biologisk materiale kan ha senket filterets selvantennelsestemperatur og har derfor også muligvis vært en utløsende årsak. Det er litt misforståelser omkring dette punktet og det kan ikke konkluderes med sikkerhet at manglende utskiftning var en viktig årsak. Ptil har bekreftet overfor pålitelighet.no at det også er deres tolkning i rapporten. Men Equinor går i motsatt grøft og konkluderer at “Filterelementenes driftstid anses imidlertid ikke som signifikant for brannforløpet.” Dette uttaler rapporten til tross for at testresultater tydelig viser at både selvantennelsestemperatur og varmeutvikling i brukte filtre sier det motsatte. Så hvorfor er Equinor så sikker på at gamle filtre med biomasse ikke har vært signifikant faktor? Equinors skråsikre påstand gir mer mening når den ses i en kontekst hvor Equinor tidlig i krangel med Bellona og arbeidstakerorganisasjoner har lagt prestige i at manglende vedlikehold ikke var medvirkende årsak. Og al snakk om uhensiktsmessig filtervedlikehold blir derfor ømt tema.

Uansett om tidligere filtebytte ville ha forhindret brannen eller ikke, så er vedlikeholdet av filtrene likevel oppsiktsvekkende fra et vedlikeholdsperspektiv:

De driftsøkonomiske konsekvensene med manglende filterbytte på gassturbiner er store. Selv små trykktap i innsugningssiden på grunn av tette filtre medfører merkbart tap i virkningsgrad. Ekstra drivstofforbruk alene gjør dette til dårlig butikk. Manglende filterskift gir også andre, vesentlige konsekvenser for turbinens tekniske tilstand og vitner om en driftsorganisasjon som sliter. Alene av driftsøkonomiske årsaker er altså filterbytte hvert 5. år uansvarlig, og man må ha veldig gode grunner til å strekke byttet lengre enn to år.

Equinor gikk fra kalenderstyrt filterbytte (hvert 2. år) til i praksis ingen vedlikehold. Equinor mente å gå fra kalenderbasert til tilstandsbasert filterbytte, men endte i realiteten opp med ingen vedlikehold. Og er aldri er en god strategi på inntaksfiltre til noe som helst. Helt grunnleggende krever tilstandsbasert vedlikehold at kriterier for filterbytte spesifiseres – noe som manglet. Det blir enda mer kuriøst når det framkommer av granskningen at trykkdifferansemålingen ikke fungerte etter hensikten. Med denne feilen ville tilstandsbasert vedlikehold per definisjon ha vært umulig.

Grunnleggende feil i vedlikeholdet for filtrene

Også når man ser bort fra senket selvantennelsestemperatur, så var det helt grunnleggende feil i vedlikeholdet for filtrene. Differansemålinger over filtre gir viktig informasjon og benyttes til at:

• Indikere at trykktapet er for stort. Dette senker virkningsgraden og øker driftskostnadene
• Indikere at trykktapet er for lite og indikerer hull eller målefeil som gjør at urenheter slipper gjennom. Dette øker slitasjen på turbinen og øker driftskostnaden.

Dersom trykkdifferansemålerne etter to år for eksempel er tilnærmet like, og ikke viser et trykkfall, så bytter man filtrene likevel. For manglende trykkfall over 2 år er mistenkelig gitt de enorme luftmengder som går gjennom, og det er aldri lønnsomt å utsette turbinen sin for dårlig filtrering.

Hele affæren omkring filtrene er uforståelig fordi Equinor sannsynligvis har ønsket å redusere vedlikeholdskostnaden på et område som med garanti ville øke driftskostnaden mye mer enn besparelsen på vedlikeholdet. Og strider mot sunne økonomiske prinsipper og god vedlikeholdsledelse. Likevel sier Equinor at “vedlikeholdsstrategien ble fulgt”…

Equinors egen granskningsrapport

Equinors egen granskningsrapport behandler også filtervedlikeholdet. Her ignorerer rapporten faglig kompetanse på filtervedlikehold og gir i stedet inntrykk av at filterskift mer enn hvert 5. år kan være greit. Det er trist å lese at rapportskriverne har forsøkt å formulere seg på en måte slik at de ikke “kan tas” på dette punktet, og det skinner igjennom at formuleringen er anstrengt og halvhjertet. Igjen gir dette punktet mer mening når det ses i kontekst med Equinors tidligere krangel med Bellona og arbeidstakerorganisasjoner omkring manglende vedlikehold. Pleie av personlige egoer blir da en nærliggende forklaring på hvorfor selskapet maler seg inn i et hjørne med konklusjoner som er umulige å forsvare. Direktøren for landanlegg, Irene Rummelhoff gjør seg også her uheldig bemerket, og konkluderer feilaktig at Equinor faktisk fulgte vedlikeholdsstrategien på disse filtre. Altså at vedlikeholdet som ble utført både var tilstandsbasert og at filterskift på mer enn 5 år er riktig vedlikeholdsstrategi. Et absurd standpunkt frambrakt både i E24 og i Equinors egen granskningsrapport som må ha krummet tæerne på mange vedlikeholdsfolk i selskapet.

Equinorrapporten inneholder også andre kritisable slutninger:

• Mandatet eller rammebetingelsene for granskningsrapporten stopper på Melkøya. Årsaker og feil som utspringer fra ledelsen og organisasjonen vil bli ytterligere behandlet i en ny rapport. Men kun for Melkøya. Organisasjonen på Melkøya kan altså se fram til flere granskninger, anbefalinger og utbedringer. At organisasjonen over Melkøya går fri for nærmere ettersyn og anbefalinger er et dårlig utgangspunkt for læring. Ting peker jo på organisasjonen over Melkøya som en viktig rotårsak.
• En ukontrollert brann i midten av et stort gassprosesseringsanlegg vurderer Equinor som “grønn” i risikomatrisen sin i forhold til “sannsynligheten for vesentlig større konsekvenser.” Det strider mot sunn fornuft og undergraver tilliten til selskapets egne risikovurderinger. Legg til at det senere kom fram at en kritisk brannpumpe sannsynligvis ikke ville ha startet om de forsøkte. En pussig detalj er også at de var gått tom for spesialfystikkene til fakkelen og dermed måtte kaldfakle – altså utløse uforbrente hydrokarboner ut i atmosfæren. Pålitelighet.no skal ikke gjøre seg veldig klok på kaldfakling, men er neppe ønskelig over et område i brann. Dette er eksempler på at det er umulig å ha oversikten over alle ting som kan gå galt og at barrierene kan ha vært svakere enn det den interne rapporten legger til grunn. Vurderingen “grønn” ved en slik hendelse kan ikke framstå som annet enn uærlig.
• Brannen ble kraftig fordi man ikke klarte å stoppe tilførsel av brannbar hetolje. Rapporten beskriver kun tiltak for å hindre tilbakestrømning av hetolje til andre anti-isingssystemer. Men neste gang er det et annet system hvor ikke man klarer å isolere brennbart medium. Rapporten burde derfor konkludere med at man i designfasen generelt må vurdere om man bør kunne isolere systemer med tanke på lekkasjer av farlig stoff.