– Ren og skjær flaks.
Det mener brannforsker Ragnar Wighus ved SP Fire Research om lekkasjen på Gudrun i fjor.
Han mener at Statoil kun var halvannet minutt unna at gassen kunne blitt antent, noe som ville ha ført til eksplosjon, etterfulgt av en så kraftig brann at plattformen ikke ville ha tålt belastningen.
Konsekvensen kunne blitt at plattformen ble fullstendig ødelagt, liv ville mest sannsynlig gått tapt og det ville blitt store marine miljøødeleggelser.
– Lekkasjen på Gudrun-plattformen var så nær en fullstendig katastrofe i Nordsjøen man kunne komme, sier forskeren.
Dramatikken utspilte seg i løpet av to timer en onsdag morgen i februar i fjor. Teknisk Ukeblad går her igjennom timene, som med kun ubetydelige endringer kunne ha blitt en reell katastrofe.
Var på vei til lekkasjen
06:21:37, 18. februar 2015. Det er grytidlig på morgenen. Utendørs blåser det stiv kuling og inne i kontrollrommet på Gudrun-feltet i Nordsjøen kjennes kraftige vibrasjoner, som om et helikopter er i ferd med å lande.
Men det er ikke ventet noe helikopter. Om bord på plattformen er det 26 personer, og personellet som har jobbet nattskift er i boligmodulen for å forberede skiftavløsning. Prosessoperatør er på dette tidspunktet på vei ut i anlegget for å forsøke å finne ut hva som er årsaken til vibrasjonene.
Personellet i kontrollrommet forsøker å sjekke tilstanden på større roterende maskiner, men finner ikke noe som kan forklare vibrasjonene.
To minutter senere er lekkasjen et faktum. Hadde prosessoperatøren eller annet personell vært i nærheten, ville to ting vært sannsynlig: Med kondensat på mellom 90 og 100 varmegrader, var 2. gradsforbrenning, særlig i ansiktet, et potensielt utfall.
Mer alvorlig: Gassen som spredte seg kunne gitt akutt forgiftning, med påfølgende kvalme, synsforstyrrelser, balanseproblemer og rusfølelse. Enda verre: Tap av bevissthet, åndedrettsstans og sirkulasjonsstans.
Med andre ord: Dødsfall.
90 sekunder
06:21:51 14 sekunder senere blir varmekabelsikring «P-82-EL55_040» utløst. Dette varsles i kontrollrommet som en «mindre kritisk alarm».
Men varmekabel-hendelsen kan ha vært svært viktig. Kabelen lå nemlig på det samme røret der lekkasjen etter hvert finner sted. Kabelen er ikke beskyttet i henhold til Statoils tekniske krav, og har i tillegg to skader som følge av vibrasjonene. Kabelen utgjorde risiko for en tenndyktig gnist.
– Skadene er trolig oppstått som følge av vibrasjonene i rørsystemet. (…) Kabelen er ikke beskyttet i henhold til Statoil sine tekniske krav, heter det i rapporten.
Varmekabelen var dog sikret med jordfeilvern. Vernet koblet ut strømmen 90 sekunder før lekkasjen oppstod. Men ifølge granskningen var dette mer eller mindre tilfeldig: Det ville ikke vært usannsynlig at vernet slo ut etter lekkasjen hadde startet.
06:22:48 I overkant av ett minutt etter vibrasjonene oppstod, opphører vibrasjonene.
06:23:17 Under ett minutt senere, starter vibrasjonene igjen.
06:23:36 Etter 19 sekunder er lekkasjen et faktum: Utslippet av hydrokarboner kan observeres på CCTV-opptak. Lekkasjen er i tillegg massiv: 8 kilo i sekundet. Til sammenligning anslår Petroleumstilsynet at en lekkasjerate på 0,1 kilo i sekundet kan utgjøre et «betydelig ulykkespotensial».
Resten av tidslinjen rundt hendelsen kan du lese senere i artikkelen.
– Fullstendig ødeleggelse
– Potensialet i denne hendelsen var fullstendig ødeleggelse og tap av plattform. En antent kondensatlekkasje på åtte kilo i sekundet er i den kategorien som blir ansett som massiv. Gasskyene kunne blitt antent og ført til eksplosjonslaster som er over designlast, sier brannforsker ved SP Fire Research, Ragnar Wighus.
Han har lest igjennom Petroleumstilsynets rapport etter granskningen, og mener konsekvensene av hendelsene kunne blitt enorme.
– Dette kunne igjen ha ført til skade og mulig tap av barrierer mot en påfølgende brann. En så stor jetbrann som dette ville medføre, vil absolutt være en utfordring uansett, særlig dersom passiv brannbeskyttelse er skadet av forutgående eksplosjon, ifølge Wighus.
– Halvannet minutt unna katastrofe
Som Teknisk Ukeblad skrev tidligere denne uken, har Ptil gjort ferdig sin granskning av hendelsen. Her kommer det blant annet frem at Statoil kjente til gjentatte problemer med støy og kraftig vibrering på samme sted som lekkasjen fant sted.
Likevel ble det ikke gjort nok av Statoils ledelse på Gudrun for å hindre lekkasjen. Dette ble Statoil kritisert for av Ptil.
Ifølge både rapporten og Wighus, var det bare tilfeldigheter som gjorde at lekkasjen ikke ble antent. Det var nemlig skadede varmekabler på det aktuelle røret der lekkasjen oppstod.
Heldigvis koblet jordfeilvernet ut strømmen halvannet minutt før gasslekkasjen, ifølge rapporten.
Ragnar Wighus mener dette er ren flaks.
– For å være litt tabloid så var man altså halvannet minutt unna mulig fullstendig tap av plattform.
Deepwater Horizon
– Var det ren flaks at det ikke gikk fullstendig galt?
– Ja, det er absolutt riktig. Det er så nær katastrofe du kan komme uten at det blir katastrofe.
– Hva mener du kunne skjedd her?
– Fullstendig ødeleggelse og fullstendig tap av plattform.
– En slags lokal Deepwater Horizon-ulykke?
– Ja. Det er så nær man er.
Deepwater Horizon-ulykken (også kalt Macondo) fant sted i Mexicogulfen i 2010, da plattformen begynte å brenne etter en eksplosjon. 11 personer omkom, plattformen ble totalskadd og miljøødeleggelsene var enorme.
Wighus sier at han ikke kjenner til at noen like stor hydrokarbonlekkasje som Gudrun-lekkasjen har funnet sted på lang tid i Nordsjøen. Han mener også at man i denne granskningen – som i granskninger flest – er ute etter å finne én enkelt årsak.
– Om man hever blikket litt, så er dette så nært en katastrofe i Nordsjøen man har vært siden Piper Alpha.
– Ville ikke tålt jetbrann
– Jeg er ingeniør av den gamle skolen. Jeg liker å se på årsakssammenhenger og identifisere konsekvensene. Etter hvert har risikomiljøet blitt så opptatt av å kvantifisere sannsynligheten for at ting skal skje, og konsentrerer seg mindre om konsekvensene som kan oppstå, sier han.
Wighus peker for øvrig at man i løpet av 35 minutter har fått trykkavlastet plattformen, og at barrierene i og for seg har vært bra. Likevel hadde ikke barrierene vært testet for de mulige konsekvensene.
– Når de sier at eksplosjonslasten er over designlasten, så betyr det at plattformen ikke hadde tålt konsekvensene, sier han og forklarer:
– En eksplosjon kunne ha ført til en påfølgende jetbrann. Eksplosjonen kunne ha påført skader i andre deler av anlegget og fått brannbeskyttelsen revet bort. Det er slik konsekvensrekkefølgen er ved fullstendig tap av plattform. Når brannisolasjonen ble blåst bort av selve gasslekkasjen tyder det på at denne ikke kan ha hatt den nødvendige styrken til å motstå jetbrann heller, sier han.
Wighus peker også på at det i disse innsparingstider hos oljeselskapene, vil være en fare for dårligere sikkerhet.
– Det foregår en utarming av sikkerhetsarbeidet når det er stor utskifting i personell, og når det er fokus på kostnadsreduksjoner, sier han.
Statoil: Kunne blitt fatalt
Pressetalsmann Morten Eek i Statoil vil ikke si noe om sammenligningen med Deepwater Horizon. Men han sier at det ikke er noen tvil om at hendelsen kunne hatt svært alvorlige konsekvenser.
– Dette var helt klart en hendelse med storulykkepotensial som kunne fått fatale konsekvenser. Jeg ønsker ikke å spekulere i hvilke scenarioer som kunne spilt seg ut, men det kunne helt klart medført store materielle skader og fatale følger, sier han.
I Statoils egen granskningsrapport, heter det også at det kun var tilfeldigheter som gjorde at det ikke ble en storulykke. Hendelsen ble klassifisert med høyeste mulige alvorlighetsgrad under «ubetydelig endrede omstendigheter».
– Det betyr at det bare var tilfeldig at alternative utfall av hendelsen ikke inntraff, ifølge Statoil.
Petroleumstilsynet vil ikke kommentere brannforskerens uttalelser, men viser til det som står i granskningsrapporten om antenning og potensiell konsekvens.
– Ved marginalt endrede omstendigheter kunne hendelsen resultert i en storulykke med tap av liv og store materielle skader og konsekvenser for marint miljø. Kondensatutslipp representerer en vesentlig større risiko for eksplosjon enn en oljelekkasje, ifølge granskningen.
17 gassdetektorer i alarm
Etter lekkasjen starter klokken 06:23:36, fortsetter hendelsen å spille seg ut slik:
- 06:23:39 Alarmen går i kontrollrommet. Gassdeteksjonssystemet melder om gass i M30-prosessmodul.
- 06:23:45 6 sekunder senere går det alarm fra neste detektor. Nødavstengningssystemet initierer automatisk nedstengning av anlegget med trykkavlastning og deluge (brannslukkingssystem). Generell alarm blir utløst automatisk.
- 06:23:54 Nødavstengningssystemet utløser nedstengning av normal kraftforsyning som følge av deluge over livbåtstasjon.
- 06:24:38 17 gassdetektorer er gått i alarm, 11 av disse på moduldekket og 6 på øvre mezzanindekk. Det blåser kuling (40 knop) fra sørvest og de fleste av de aktiverte detektorene er nordøst fra lekkasjepunktet.
- 06:26 1. linje beredskap på Gudrun mønstrer. Beredskapsledelsen består av plattformsjef (beredskapsleder), drifts- og vedlikeholdsleder (aksjonsleder), forpleiningssjef (evakueringsleder) og elektriker (loggfører).
- 06:30 1. linje beredskap på Gudrun varsler hovedredningssentralen, HRS.
- 06:34 POB-kontroll (Personell om bord). 26 personer på Gudrun blir bekreftet ok.
- 06:35 2. linje beredskap (Statoil land) blir varslet.
- 06:39 POB-kontroll på boreriggen West Epsilon som ligger like ved Gudrun. 97 personer bekreftet ok.
- 06:57 Ptil beredskapsvakt varsles pr. telefon.
- 07:00 Anlegget er trykkløst.
- 07:20 West Epsilon blir varslet om at årsaken til hendelsen er brudd på rør i prosessanlegget. Plattformpersonell sjekker for ev. utslipp til sjø. Det observeres ikke noe utslipp.
- 08:10 Fagpersonellet om bord melder at lekkasjen er tettet med gummipakning og klemme. Dette hindrer ytterligere avdamping. Benytter åndedrettsvern når denne jobben gjøres.
- 08:25 1. linje beredskap melder at situasjon er avklart. Det er gjort rede for alt personell, ingen observasjon av utslipp til sjø og lekkasjepunktet er midlertidig tettet.
Kilder: Petroleumstilsynets granskningsrapport, Statoils granskningsrapport, SP Fire Research
I etterkant av reportasjen har Ragnar Wighus ved SP Fire Research ønsket å komme med følgende presisering:
"I reportasjen om granskingsrapporten fra gasslekkasjen på Gudrunplattformen har undertegnede uttalt:
Potensialet var fullstendig ødeleggelse og tap av plattform. En antent kondensatlekkasje på åtte kilo i sekundet er i den kategorien som blir ansett som massiv. Gasskyene kunne blitt antent og ført til eksplosjonslaster som er over designlast, sier brannforskeren. Dette kunne igjen ha ført til skade og mulig tap av barrierer mot en påfølgende brann. En så stor jetbrann som dette ville medføre vil absolutt være en utfordring uansett, særlig dersom passiv brannbeskyttelse er skadet av forutgående eksplosjon.
Dette er noe jeg og vi i SPFR AS står inne for og det er tatt utgangspunkt i en helhetsvurdering av omstendighetene rundt gasslekkasjen.
I TU ble det også nevnt at selve gasslekkasjen førte til skade på brannisolasjonen. Det er ikke nødvendigvis noe kritisk punkt i seg selv, men det er nevnt som et mulig ledd i en konsekvenskjede. Denne delen av barriære-tenkningen har ikke blitt berørt tidligere, så langt jeg vet, men det kan være et poeng at passiv brannbeskyttelse som ikke tåler selve gass- eller væskeutstrømningen heller ikke vil stå imot jetbrann.
I reportasjen ble denne uttalelsen presentert sammen med et bilde av lekkasjestedet, tatt av politiet og offentliggjort i granskingsrapporten. Vi vil presisere følgende: Bildet viser to typer brannisolasjon, en innkapsling av utstyr av type BENARX, som er uskadd etter lekkasjen. Den andre typen isolasjon ser ut til å være av enklere type, trolig lagt på som midlertidig beskyttelse etter vedlikehold eller feilsøking. Det er den siste typen isolasjon som er beskrevet som ikke å ha motstått utstrømning av kondensat.
Avsnittet kan misforståes, siden bildet viser en brannisolasjon som er uskadd mens skaden er oppstått på den enklere typen isolasjon. Typen innkapsling av merke BENARX er testet etter standardiserte jetbranntester og vil derfor oppfylle de krav som er satt til beskyttelse mot jetbrann Brannisolasjon som er testet i de standardiserte jetbranntestene vil ikke nødvendigvis måtte tåle selve lekkasjen innenfra for å oppfylle kravene som er satt til dem. Det som imidlertid er et mulig problem for noen systemer vil være om de tåler eksplosjonslast og erosjonspåvirkning fra massive væskelekkasjer eller sjokk fra selve utstrømningen. Dette kan være tilfellet for den enklere typen brannisolasjon."
