В продолжение темы пожарной безопасности морских платформ мы публикуем перевод интересной статьи про катастрофу на Piper Alpha.
Оригинал статьи тут
Piper Alpha: катастрофа в деталях
Резюме
Катастрофа на Piper Alpha произошла более 30 лет назад, но и сейчас эта трагедия не забыта. Извлеченные уроки стали обязательными стандартами для добычи нефти не морском шельфе. Большая часть вещественных доказательств затонула на дно Северного моря, поэтому показания выживших и свидетелей пришлось собирать в связную историю. Расследование Каллена выявило не только то, что, вероятно, произошло в страшную ночь 06 июля 1988 года, но и сложный путь, ведущий к нему, ранние предупреждения и упущенные возможности, которые могли предотвратить трагедию, в которой погибли 167 человек.
Уроки, которые необходимо извлечь, применимы далеко за пределами морской нефтяной промышленности, во всех опасных отраслях промышленности, и каждый из них актуален сегодня.
Введение
Поздно вечером 06 июля 1988 года серия взрывов произошла на платформе Piper Alpha в Северном море. Охваченная огнем, в течение следующих нескольких часов большая часть модулей верхней части нефтяной установки рухнула в море. 167 мужчин погибли, еще многие получили ранения и травмы. Крупнейшая в мире морская нефтяная катастрофа затронула 10% добычи нефти в Великобритании и привела к финансовым потерям примерно в £2 млрд (эквивалент $5 млрд сегодня).
Что случилось с Пайпер Альфа? Почему это имело такие катастрофические последствия? А какие уроки еще можно извлечь сегодня?
Предыстория
Нефтяное месторождение Пайпер лежит примерно в 120 километрах к северо-востоку от Абердина в Шотландии. Обнаруженное в январе 1973 года, это было одно из первых глубоководных месторождений, эксплуатируемых на севере Северном море. Добыча нефти началась в декабре 1976 года, менее чем через четыре года после открытия. Это рекорд, который очень сложно побить. Нефть экспортировалась через подводный трубопровод длиной 128 миль на специально построенный нефтеперерабатывающий завод на острове Флотта в Оркнейсе.
Piper Alpha оказался чрезвычайно продуктивным, и когда оператор, Occidental, запросил разрешение на увеличение ставок, разрешение было дано при условии, что газ также должен быть экспортирован вместо того, чтобы разгоняться.
В декабре 1978 года была модернизирована установка по переработке газа, и был начат экспорт газа. После удаления воды и сероводорода в молекулярных ситах газ сжимали и затем охлаждали путем расширения. Более тяжелые фракции газа конденсировались в виде жидкости (по существу пропана), а остальная часть газа (главным образом метан) продолжала экспортироваться. Конденсат собирали в большой емкости, соединенной с двумя параллельными насосами конденсата (рабочим и резервным) и закачивали в нефть для экспорта в Флотту. Отметим, что было два режима работы. Режим фазы 1, в котором избыточный газ разгонялся, и режим фазы 2, в котором газ экспортировался. Пайпер работал в режиме фазы 2 до трех дней до катастрофы, когда молекулярные сита были выведены из эксплуатации для текущего обслуживания. Затем установки для обработки газа и конденсата были перекомпонованы таким образом, чтобы Piper мог работать в режиме фазы 1. Конденсат был по-прежнему удален из газа и введен в линию экспорта нефти. Метан, объем которого требуется для работы турбогенераторов и системы газлифта на Piper, выходил в атмосферу.
Катастрофа на морской платформе
Примерно в 21.45 06 июля 1988 года разгерметизировался насос конденсата B. Вскоре после этого сработали газовые анализаторы, остановились газовые компрессоры первой ступени, и было установлено, что факел намного больше обычного. Около 22.00 взрыв произошел на Пайпер Альфа.
Свидетели слышали сильный шум, сопровождаемый вспышкой и взрывом.
Взрыв сбили с ног мужчин в диспетчерской и бросил их на пол. Большинство сотрудников находились в жилых модулях. Взрывом их опрокидывало со стульев или выбрасывало с кроватей.
Первоначальный взрыв в модуле C (модуль газокомпрессора) привел к разрыву конденсатной линии в основном нефтепроводе в модуле B (модуль разделения нефти). Очевидцы сообщили о второй вспышке и взрыве, когда огромный огненный шар загорелся в ночном небе.
Через двадцать минут, примерно в 22.20, газовая труба высокого давления, соединенная с платформой Тартан, управляемой компанией «Texaco», разорвалась. Начался выход газа с расходом около 3 т в секунду.
Через 50 минут, примерно в 22,50, газопровод, эксплуатируемый компанией Total, разорвался. Начал выходить газ на Piper Alpha из месторождения Фригг через MCP-01 в Сент-Фергус. Взрывом было уничтожено быстроходное спасательное судно, запущенное с резервного судна «Сандхавен», в результате чего погибли двое из экипажа из трёх человек и шесть человек, которых они только что спасли из моря.
Через 80 минут, примерно в 23,20, газопровод в Клеймор, другой платформе, эксплуатируемой Occidental, разорвался.
К этому времени конструкции Piper Alpha были настолько сильно ослаблены интенсивными пожарами, что верхние строения начали разрушаться. Главный жилой модуль, четырехэтажное здание, в котором укрывался не менее 81 мужчины, скатился в море. Все, кто внутри, погибли.
К раннему утру 07 июля 1988 года три четверти первоначальных верхних частей вместе со значительными участками куртки были уничтожены и лежали в запутанной массе на морском дне на глубине 140 метров.
Пожары из скважин и нефтегазовых трубопроводов (все они разорвались один за другим) породили пламя высотой около 200 метров и пиковым расходом энергии ~ 100 гигаватт, что в три раза превышает общий расход энергии в Великобритании.
На тушение пожаров ушло более трех недель. Останки Пипера Альфа утонули в море 28 марта 1989 года.
Из 226 человек, находившихся на борту в ту ночь, выжил только 61. Из погибших 109 скончались от вдыхания дыма, 13 — от утопления, 11 — от травм, в том числе от ожогов. В 4 случаях причину смерти установить не удалось, 30 тел так и не удалось опознать.
Расследование гибели Piper Alpha и анализ
Через неделю после катастрофы лорд Каллен потребовал провести Общественное расследование аварии. Общественные слушания продолжались в общей сложности 180 дней. Доклад лорда Каллена был опубликован 13 ноября 1990 года. В ходе расследования были заслушаны показания большого числа свидетелей, включая большинство выживших, и нескольких экспертов.
Установить причину катастрофы было непросто. Осталось мало вещественных доказательств, и никто из руководства Piper Alpha не выжил.
Было выдвинуто много возможных причин. Мало что можно было бы окончательно отрицать, но многие из них были крайне маловероятны, требуя, чтобы произошло несколько последовательных маловероятных событий, для которых вообще не было никаких доказательств.
В ходе исследования был сделан вывод о том, что наиболее вероятной причиной первого взрыва был выброс всего 30 кг конденсата (главным образом пропана) в течение тридцати секунд через необеспеченный глухой фланец в модуле С, где предохранительный клапан был снят в рамках технического обслуживания резервного конденсатного насоса.
Результаты
Вечером 06 июля 1988 года насос конденсата A был изолирован для технического обслуживания его муфты привода двигателя. Клапан сброса давления насоса A также был снят для технического обслуживания по отдельному разрешению и на его месте почти наверняка установлен глухой фланец. Однако фланец не испытывался на герметичность или давление. Когда насос B отключился примерно в 21.45, операторы безуспешно пытались его перезапустить.
Операторы должны были знать, что насос A вышел из строя для технического обслуживания — но поскольку техническое обслуживание еще не началось и проблема с насосом A не была особенно серьезной, было бы неразумно рассматривать возможность его возобновления.
Из-за того, как был организован процесс выдачи разрешения на работу на Piper Alpha, операторы не знали бы, что клапан сброса давления для насоса A отсутствует.
Предполагается, что операторы предприняли шаги по восстановлению насоса А и конденсата, вытекшего из глухого фланца, который был установлен вместо клапана сброса давления, но не полностью затянут.
Вытекающий конденсат загорелся. За первым взрывом быстро последовал разрыв масляной трубы и возгорание. После этого последовательный отказ газопроводов вызвал быстрое обострение катастрофы.
Извлеченные уроки
Из трагических событий на Пайпер Альфа можно извлечь много уроков; В настоящем документе основное внимание уделяется семи ключевым областям.
- Управление изменениями (вопросы проектирования);
- Личная безопасность превыше технологической безопасности (пожарные водяные насосы при ручном запуске для защиты водолазов);
- Разрешение на работу (повторный запуск насоса до завершения технического обслуживания);
- Передача (неадекватная передача информации между экипажами, сменами и дисциплинами);
- Соединение (ни одна буровая установка не является островом…);
- Экстренное реагирование — эвакуация;
- Культура безопасности (самоуспокоенность — все в порядке).
Управление изменениями (вопросы проектирования)
Piper Alpha предназначался для добычи и экспорта нефти. Требование об экспорте газа — с сопутствующим разделением конденсата — было дополнительным и предполагало масштабную модификацию. Модернизация шла в несколько этапов, начиная с разделения конденсата и заканчивая производством газа экспортного качества.
Новые помещения были расположены рядом с диспетчерской, под модулями электропитания, радио и размещения, так что когда произошла катастрофа, это имело катастрофические последствия для остальной части Piper Alpha.
Диспетчерская была сильно повреждена при первых взрывах (оператор диспетчерской выжил и дал ценные доказательства общественному расследованию о последовательности сигнализации, предшествующей этим первым взрывам). Радиоприёмник оказался бесполезным. Практически сразу пропала связь.
Во многих проектах модернизации требуются неидеальные проектные решения. Однако в случае Piper Alpha худший сценарий, на котором лежала конструкция безопасности процесса (пожар), не был эффективно пересмотрен, когда платформа была модифицирована для обработки газа с дополнительным риском взрыва.
Личная безопасность превыше безопасности процесса
Несмотря на обширную стационарную систему противопожарной защиты на Piper Alpha, ни одна капля воды от самого Piper Alpha не подавалась ни на один из пожаров. Одна только вода не потушила бы нефтяные пожары (а с газовыми пожарами не следует даже пытаться сделать это), но она могла бы охладить конструкцию и трубопроводы и предотвратить — или, по крайней мере, значительно задержать — разрыв газопровода, который был основным эскалационным фактором в катастрофе Piper Alpha. После разрыва первой газовой трубы Piper Alpha был обречен.
Так почему же система пожарной защиты не активировалась так, как предполагалось?
В течение многих лет практикой на Piper Alpha было переключение пожарных насосов с автоматических на ручные, когда водолазы находились в море. Поскольку погружение было такой регулярной частью нормальной работы, на практике насосы большую часть времени оставались на ручном режиме.
Гораздо проще представить себе ужас, когда близкого коллегу засасывают в трубу (как это было несколько лет назад, хотя ныряльщик выжил) и расставить его по приоритетам над опасностью оставить 226 мужчин без защиты в крайне маловероятном случае пожара.
Оценка риска была перекошена. Всасывающие трубы под Piper Alpha были защищены решетками, чтобы предотвратить всасывание водолазов, хотя любой человек в пределах 5 метров от входа мог быть привлечен к ним, когда пожарные насосы начинались с риском серьезных травм. На других буровых установках это управлялось тесным общением с водолазами и временным перерывом, использовавшимся только тогда, когда водолазы работали на небольшом расстоянии от всасывающих труб, что было относительно редким явлением.
Когда на Piper Alpha начался пожар, единственным способом активации системы пожаротушения был запуск насосов на месте. Несмотря на доблестные попытки, плотный дым и огонь мешали кому-либо добраться до них.
Неизвестно, разорвал ли первоначальный взрыв на Piper кольцевую магистраль пожарной воды или повредил систему управления пожарными насосами. Скорее всего, была выбита электроэнергия, но был предусмотрен резервный дизельный генератор. Неизвестно, насколько эффективным было бы дренчерное тушение, если бы он было запущено, поскольку насадки часто забивались ржавчиной, а пожарная вода на трубопроводе Alpha подвергалась поэтапной замене.
Разрешение на работу для технического обслуживания
Операторам ночной смены было известно, что насос A для закачки конденсата вышел из строя для технического обслуживания, а также что техническое обслуживание еще не началось: техническое обслуживание и соответствующие разрешения на работу были приостановлены на ночь.
Приостановленные разрешения на работу выставлялись не в диспетчерской, а в офисе охраны труда. Судя по всему, операторам не было известно о другом приостановленном разрешении. Клапан сброса давления для насоса А также был удален. Даже если операторы направились в офис охраны труда для проверки, разрешения в охране труда подавались по принадлежности к системе, а не по месту нахождения.
Предохранительные клапаны для насосов закачки конденсата располагались на этаже выше насосов. Хотя почти всегда лучше всего устанавливать предохранительный клапан как можно ближе к блоку, который он защищает, конденсат на стороне ниже по потоку должен быть способен сливаться в соответствующий сосуд. Клапан был расположен примерно на 8 м выше (и на расстоянии 15 м от) насоса.
Для восстановления работы насоса A для закачки конденсата необходимо выполнить два отдельных действия: восстановить электропитание и открыть газовые всасывающие и нагнетательные клапаны. При повторном подключении подачи воздуха к клапанам их затем можно открыть с помощью кнопок-переключателей на местной панели управления с помощью насоса A. Во избежание повторного наддува изолированной для технического обслуживания системы блокировки запорных клапанов, разгерметизации или двойного забора не производилось.
Разрешение на работу системы на Piper Alpha во многом опиралось на неформальную связь.
Следствие по делу Каллена задало четыре вопроса о системе разрешения на работу:
- Была ли процедура адекватной?
- Процедура выполнена?
- Была ли адекватная подготовка?
- За процедурой следили?
Ответ на все четыре вопроса был нет.
Передача информации
На Piper Alpha коммуникации между департаментами, между сменами и между экипажами были личными, неофициальными и адаптированными к работе. Хотя такие коммуникации могут иметь определенные преимущества, минимальные стандарты не были установлены или соблюдены.
Прибывшие экипажи должны были пройти вводный инструктаж по технике безопасности. Был огромный разрыв между тем, что намеревался донести отдел безопасности, и тем, что они на самом деле передавали. Общение — дело двустороннее. По словам очевидцев, если раньше новичок работал в офшоре, обучение для него не производилось. Инструктаж по безопасности состоял в том, что ему вручали буклет и просили прочитать. При этом большая часть информации в буклете устарела или была неприменима к Piper Alpha.
Операторы вели журнал, но часто не регистрировали операции технического обслуживания. Регистрация событий требовала времени. Эта процедура требовала технического обслуживания и проведения операций для выполнения работ, осмотра рабочей площадки и совместного утверждения разрешений. Однако операторы одновременно были заняты собственными передачами, и сложилась практика, когда технический персонал готовил бумагу и оставлял его в диспетчерской или офисе охраны труда. При переходе на другую смену операторы производства не рассматривали или обсуждали приостановленные разрешения.
Трубопроводы
От первых взрывов были потеряна связь между Пайпер Альфа, Клермором, Тартаном и MCP-01. Это задержало закрытие на других платформах, в частности на Клерморе и Тартане.
Может ли более быстрое отключение на других платформах, и в частности продувка или разгерметизация межплатформенных газовых магистралей, предотвратить катастрофу? Почти наверняка нет. Клеймор, Тартан или MCP-01 не могли быть сброшены достаточно быстро. Слишком мало газа могло быть разгерметизировано на других платформах в доступное время, чтобы реально изменить ситуацию.
Однако закрытие межплатформенных нефтепроводов, вероятно, имело бы значение. Нефть из Тартана в Клеймор присоединялась к нефти из Piper Alpha на Y-образном соединении перед тем, как течь дальше к Flotta. Нефть продолжала добываться и экспортироваться в линию до Флотта примерно через час после первого взрыва на Piper Alpha. Клапан аварийного отключения на линии экспорта нефти Piper Alpha, по-видимому, не смог плотно закрыться, что позволило нефти из Тартана и Клеймора принять более легкий обратный путь на Piper Alpha. Прекращение добычи нефти началось только на Тартане около 22.40 и на Клейморе около 23.00.
Нефть, экспортированная из Тартана и Клеймора, вытекла из разорванной нефтепровода на трубопроводе Альфа, затопила пол и переполнилась до пола под ним, начав крупный пожар в бассейне, который обрушился непосредственно на линии импорта и экспорта газа, что привело к их разрыву и, следовательно, к неизбежной эскалации событий на трубопроводе Альфа.
Экстренное реагирование — эвакуация
Одним из самых шокирующих аспектов трагедии Piper Alpha стала невозможность эвакуировать личный состав, находившийся на борту. Предполагалось, что что бы ни случилось эвакуация будет (по крайней мере, существенно) вертолетом. Это предположение, которое так легко критиковать задним числом, было основано на нескольких помещениях, наиболее важным из которых было то, что ни одно событие на Piper Alpha не сделает вертолетную площадку неработоспособной почти сразу и что будет достаточно вертолетов для эвакуации всех находившихся на борту.
Однако примерно через минуту после первого взрыва вертолетная площадка окуталась черным дымом (предположительно, от нефтяных пожаров) и вертолеты не могли приземлиться на ней.
Многофункциональное вспомогательное судно Tharos было близко к Piper Alpha на протяжении всей катастрофы. Хотя «Tharos» и не предназначался в первую очередь как противопожарное судно, но имел значительные противопожарные возможности. Отсутствие связи от Piper Alpha привело к задержке развертывания, тогда спрос на электроэнергию был настолько велик, что Tharos пережил почти полный сбой в питании, от которого ушло несколько минут на восстановление. Возникла последующая задержка, поскольку было открыто столько мониторов, что давление воды упало до уровня ниже того, при котором мог открываться выпускной клапан на пожарном насосе. Системы безопасности на Tharos, как бы они ни были, никогда раньше не испытывались в таких экстремальных условиях. Когда дело дошло до него, системы провалили этот тест.
Ни одна спасательная шлюпка или надувные спасательные плоты не были успешно запущены из Piper Alpha. Все, кто выжил, сделали это, добравшись до моря любыми средствами. Это включало восхождение по канатам и прыжки с вертолетной площадки высотой более 50 метров над уровнем моря.
Культура безопасности
Было много предупреждений, что все плохо с системами управления безопасностью на Piper Alpha задолго до аварии.
Менее чем за год до этого, 07 сентября 1987 года, в аварии на Piper Alpha погиб контрактник. В результате аварии были выявлены недостатки как в выдаче разрешения на работу, так и в процедурах передачи функций в смену. Золотая возможность исправить эту проблему была упущена.
Когда произошла катастрофа, безопасность на море регулировалась с помощью нормативных положений. Такие правила имеют свое применение при условии рассмотрения всех возможных ситуаций. Но система, ограниченная правилами, страдает, потому что практика, не охватываемая правилами, просто не рассматривается. Люди успокаиваются, когда им рекомендуется думать, что безопасность может быть обеспечена правилами, соблюдаемыми инспекторами: невозможно охватить все случаи в своде общих правил.
Следствие Каллена признало, что
— главную ответственность за безопасность несут те, кто создает риски, и те, кто работает с ними, иными словами, с руководством и операторами установки;
— системы управления безопасностью должны разрабатываться самими руководством и операторами установки, с тем чтобы они могли идентифицировать систему и обеспечить ее работу;
— необходимо проверить, как они работают на практике: аудит должен включать в себя то, что сделано на самом деле, а не только то, что предполагается сделать или что предполагается сделать.
ЗаключениЕ
После любой аварии понятна потребность выяснить, что именно пошло не так, приписать четкие причины любой аварии, выполнить конкретные рекомендации по их фиксации и двигаться дальше. Можно утверждать, что хорошо, что Каллен оставил открытой точную причину катастрофы. Те, кто имеет прекрасное разрешение на работу систем, возможно, чувствовали себя самодовольными и не смогли извлечь много других уроков, которые Каллен дает в своем действительно выдающемся докладе.
Уроки, описанные здесь, широко иллюстрируют распространенные сбои системы, которые привели к трагедии Piper Alpha. Понятно, что были серьезные недостатки конструкции, но даже прекрасно спроектированное «аппаратное» всегда может работать неправильно. Хотя технические меры необходимы для обеспечения безопасности, они ни в коем случае не являются достаточными. Безопасность также требует соответствующей структуры управления — и эта структура должна поддерживаться на протяжении всего срока действия проекта, от проектирования до замены на вывод из эксплуатации.
Литература:
- Cullen, W.D.: The Public Inquiry into the Piper Alpha Disaster, HMSO, London, 1990
